Capítulo 77: Seguros y responsabilidad profesional: ¿quién paga por el daño?
El siguiente escenario es un ejemplo pedagógico basado en patrones de fraude comunes. Los personajes y eventos tienen fines ilustrativos solamente.
Eran las dos de la mañana cuando el teléfono de Rami, director general de una empresa de infraestructura, vibró en la mesita de noche. Por lo general, Rami ignoraba las llamadas a esa hora, pero el número que aparecía en la pantalla era el de su directora financiera. Cuando descolgó, no escuchó su voz tranquila y autorizada, sino respiraciones cortas y sofocadas.
"Rami", susurró ella, "el dinero no llegó al proveedor italiano. Y el banco dice... el banco dice que la cuenta a la que transferimos los 800.000 euros ayer ni siquiera les pertenece a ellos. Pertenece a una entidad en Singapur que cerró esta mañana".
En ese instante, Rami sintió que el suelo desaparecía bajo sus pies. Pero en medio del pánico, le vino un pensamiento tranquilizador: "Tenemos seguro". Siempre se aseguró de que la empresa estuviera asegurada. Responsabilidad profesional, seguro de directores, seguro de responsabilidad civil; pagaba primas significativas cada año exactamente para este momento. No sabía entonces, en esa fatídica noche, que la verdadera lucha apenas comenzaba y que la póliza de seguro en la que se apoyaba podría resultar ser un apoyo frágil.
En capítulos anteriores tratamos las técnicas de los estafadores y las formas de prevención. Pero, ¿qué sucede cuando la prevención falla? Cuando el dinero ya ha salido de la cuenta y ha desaparecido en los rincones de la red global? Aquí es donde entra la cuestión legal y económica más dolorosa: ¿quién asume el daño? ¿Es el banco que no detuvo la transferencia sospechosa? ¿Es la compañía de seguros que firmó la póliza de responsabilidad profesional? ¿O tal vez el contador y el departamento de contabilidad que fallaron en identificar la estafa?
La historia de la empresa de infraestructura: cuando el seguro dice "no"
La empresa estaba en medio de un complejo proyecto de construcción de un puente. Su proveedor principal, una empresa italiana, envió un correo electrónico con una actualización sobre un cambio en los detalles de la cuenta bancaria debido a una "auditoría contable interna". La directora financiera vio el logotipo familiar, el estilo de escritura educado del gerente de ventas, y aprobó la transferencia del dinero a la nueva cuenta.
Tres días después, cuando el proveedor envió una notificación de falta de pago, se descubrió la magnitud del desastre. Los piratas informáticos hackearon el buzón de correo del proveedor (o de la empresa de infraestructura; esto podría determinarse en la investigación), siguieron la correspondencia durante un período de tiempo y, en el momento de la verdad, "insertaron" la factura falsa con sus propios datos bancarios.
En la reunión con el agente de seguros, se le dijo al director general que existía una póliza de responsabilidad profesional y un seguro de ciberseguridad básico, por lo que había cobertura. Sin embargo, poco tiempo después llegó la carta de la aseguradora. La respuesta fue un rechazo a la reclamación.
"De acuerdo con los términos de la póliza", rezaba la carta de rechazo, "el seguro no cubre daños causados como resultado de 'ingeniería social' (Social Engineering) o una transferencia voluntaria de fondos por parte del asegurado, a menos que se haya adquirido una extensión específica para ello. Además, se alega que el asegurado falló en realizar la verificación telefónica requerida por los términos de protección, algo que podría considerarse negligencia".
En ese momento, quedó claro que la batalla no era solo contra los estafadores, sino también dentro del marco legal y de seguros. Se creó un "triángulo de las Bermudas" legal: la aseguradora alega negligencia del negocio; el banco alega que cumplió con las instrucciones del cliente; y el proveedor exige su dinero y amenaza con detener el proyecto.
Este es el lugar donde el derecho y la realidad se encuentran. En este capítulo analizaremos la responsabilidad potencial de cada uno de los actores en el campo, y entenderemos por qué la palabra "seguro" es a veces solo el comienzo de un complejo viaje legal.
El agujero negro en las pólizas de seguro: responsabilidad profesional frente a ciberseguro
Uno de los fallos principales con los que nos encontramos durante años de trabajo profesional representando a empresas que han sido víctimas de estafas es la falta de comprensión de las diferencias entre los tipos de cobertura de seguros. Muchos dueños de negocios creen que el "seguro de responsabilidad profesional" es una especie de seguro para cualquier error humano. La realidad legal es más compleja.
Una póliza de responsabilidad profesional está destinada a cubrir daños causados a un tercero debido a un error profesional del asegurado. Pero cuando se trata de un fraude digital en el que el propio negocio ha perdido su dinero, las aseguradoras pueden argumentar que se trata de un daño financiero puro para el propio negocio, y no de una responsabilidad hacia un tercero cubierta bajo "responsabilidad profesional".
Aquí es donde entra en juego el "ciberseguro". En los últimos años, este seguro se ha convertido en un producto común. Pero aquí radica la trampa: muchas pólizas de ciberseguridad estándar cubren daños a sistemas informáticos, costos de recuperación de datos y, quizás, pérdida de beneficios por interrupción. No incluyen necesariamente ni de forma automática transferencias de fondos realizadas como resultado de un fraude.
El término profesional que es importante conocer es Social Engineering Fraud (Fraude por Ingeniería Social). Las aseguradoras pueden considerar tal transferencia como una "transferencia voluntaria". Desde su punto de vista, el empleado es quien realizó las acciones técnicas para aprobar la transferencia. Sin una extensión específica para fraudes de ingeniería social, la posibilidad de recibir una indemnización de la aseguradora podría ser extremadamente difícil.
Más aún, las compañías de seguros establecen umbrales. Pueden exigir que la empresa demuestre que implementó controles internos; por ejemplo, confirmación telefónica de cualquier cambio en los detalles de la cuenta bancaria con una parte autorizada del proveedor. Si esta acción no se llevó a cabo, la aseguradora puede alegar un aumento del riesgo o negligencia por parte del asegurado, lo que afecta el derecho a la indemnización según la Ley de Contrato de Seguro de 1981.
La responsabilidad del banco: ¿se durmió el guardia?
Cuando surge una dificultad con la compañía de seguros, la atención se dirige a veces al banco. Surge la pregunta de cómo permitió el banco una transferencia por una cantidad significativa a un destino inusual sin realizar una verificación adicional.
La cuestión legal es cuál es el "deber de cuidado" del banco hacia su cliente. Por un lado, el banco está obligado a cumplir con las instrucciones del cliente. Un retraso en una transferencia de fondos podría causar daños comerciales. Por otro lado, el banco tiene sistemas de monitoreo que se supone deben detectar actividad inusual.
El análisis legal sobre este tema está en proceso de evolución. En el pasado, el enfoque predominante era que la responsabilidad recaía en el cliente que dio la instrucción. Pero hoy, se puede ver una tendencia a examinar un deber de cuidado incrementado de los bancos. En determinadas circunstancias, cuando la transferencia es inusualmente irregular (por ejemplo, un destino en un país de alto riesgo, una suma que no corresponde al historial de la cuenta, o detalles del beneficiario que no coinciden con el nombre del titular de la cuenta), es posible que se examine la responsabilidad del banco si no realizó una verificación suficiente.
Sin embargo, es importante entender la limitación: en los sistemas de transferencia internacional, los bancos operan generalmente según números de cuenta y no siempre verifican la correspondencia completa con el nombre del beneficiario. El análisis de las opciones legales sugiere que no siempre se impone al banco una obligación general de verificar cada correspondencia, y la responsabilidad de ingresar los detalles correctos sigue siendo, por lo general, del cliente.
Los casos en los que se puede considerar la imposición de responsabilidad a los bancos son aquellos en los que hubo "luces rojas" claras que fueron ignoradas, o casos en los que el banco no cumplió con sus promesas de una verificación reforzada.
La responsabilidad del contador y del departamento de contabilidad
El tercer factor en el debate es el nivel profesional que gestiona los fondos. En un escenario de fraude, puede surgir una pregunta sobre la responsabilidad de la firma de contadores o de los contadores responsables.
¿Se supone que un contador en una auditoría anual debe identificar dicho fraude? Por lo general, la respuesta es no, ya que su función es examinar los estados financieros. Sin embargo, cuando se trata de la gestión contable corriente, la responsabilidad puede aumentar. Si el profesional estuvo expuesto a un correo sospechoso y no planteó dudas, o si no se establecieron procedimientos de trabajo básicos de "doble autorización", puede surgir un argumento para examinar la negligencia profesional.
En tal caso, se analiza la póliza de responsabilidad profesional del profesional. Si se demuestra la negligencia, podría ser posible examinar la posibilidad de cobrar de su compañía de seguros, aunque las aseguradoras pueden argumentar exclusiones debido a la naturaleza del acto o negligencia contributiva del dueño del negocio.
El aspecto legal: leyes y normas en la distribución de la responsabilidad
En el análisis legal de tales casos, se examinan varias fuentes:
- Ley de Contrato de Seguro, 1981: Se examina el cumplimiento de la aseguradora con el deber de divulgación. ¿Se le aclaró al asegurado qué incluye el ciberseguro? ¿Se destacaron las exclusiones como lo exige la sección 3 de la ley? Las restricciones que no fueron destacadas podrían, a veces, ser anuladas en un examen legal.
- Ordenanza de Agravios [Nueva Versión]: Examen del agravio de negligencia. ¿Se incumplió el deber de cuidado por parte del banco o la aseguradora? ¿Era posible prever y evitar el daño?
- Ley de Servicios de Pago, 2019: Esta ley regula la responsabilidad en casos de uso indebido de medios de pago. Sus principios también se aplican al mundo de las transferencias bancarias, especialmente en cuanto a la definición de negligencia por parte del cliente.
- Doctrina de la "culpa contributiva": Los bancos y las compañías de seguros tienden a argumentar que la culpa principal recae en el negocio que actuó según un correo electrónico falso. En el análisis de opciones legales, es posible que el tribunal divida la responsabilidad entre las partes de acuerdo con las circunstancias del caso.
Señales de advertencia antes de dificultades en la cobertura
- Oferta de ciberseguro a un costo extremadamente bajo: Puede que no incluya cobertura para fraudes financieros (Funds Transfer Fraud).
- Ausencia de anexo de "ingeniería social": Sin dicha cobertura explícita, el negocio podría no estar protegido en caso de suplantación de identidad.
- Ausencia de requisitos de seguridad por parte del banco: Si no se definieron mecanismos de confirmación reforzados, esto puede constituir una brecha.
- Confianza excesiva en el seguro: La idea de que el seguro cubrirá todo sin tomar precauciones es un riesgo significativo.
Acciones recomendadas al identificar un evento (aspecto de seguros y responsabilidad)
- Notificación inmediata a la aseguradora: La notificación a tiempo es crucial para evaluar la reclamación. Debe documentarse toda comunicación.
- Documentación de los procedimientos de trabajo: Recopilar pruebas de cumplimiento con los procedimientos aceptados puede ayudar a enfrentar las acusaciones de negligencia.
- Llamada urgente al banco: Solicitud por escrito y en una llamada grabada para detener los fondos (Recall). La velocidad de respuesta del banco puede influir en su responsabilidad.
- Examen por un experto en ciberseguridad: Un experto independiente puede ayudar a determinar el origen de la brecha, lo que constituye un pilar importante en la aclaración de la responsabilidad.
- Examen de la responsabilidad del proveedor: Si el origen del fraude está en el buzón de correo del proveedor, se puede evaluar su responsabilidad por el daño.
Aspecto legal: resumen del escenario educativo
En un escenario posible, tras examinar las pruebas y llevar a cabo un proceso legal, las partes pueden llegar a un acuerdo. El banco puede asumir una parte del daño si se demuestra que sus sistemas detectaron señales sospechosas que no se trataron adecuadamente. La compañía de seguros puede acordar pagar una indemnización parcial si resulta que las exclusiones en la póliza no eran lo suficientemente claras para el asegurado.
El mensaje que surge de los diversos casos a lo largo de los años es que los tribunales pueden ampliar la responsabilidad de las entidades financieras, pero la posibilidad depende de las circunstancias y del grado de precaución que tomó el dueño del negocio. El derecho tiene como objetivo proteger a quien actúa con una precaución razonable y fue víctima de una sofisticación excepcional.
En el próximo capítulo, revisaremos la construcción de un "plan de protección para el negocio" (que incluye aspectos legales y de seguros) con el fin de minimizar el riesgo de llegar a una discusión legal en primer lugar. Como se desprende de muchos casos, la prevención profesional es la herramienta más eficaz.
2154 Palabras · 11 min de lectura