Durante años, muchas empresas consideraron la ciberseguridad una responsabilidad exclusiva de sus departamentos tecnológicos. Proteger contraseñas, instalar antivirus o impedir accesos no autorizados parecía suficiente. Sin embargo, la transformación digital y la evolución de la criminalidad han cambiado ese escenario.
Hoy, una empresa puede convertirse en instrumento para cometer fraudes electrónicos, lavado de activos, manipulación de información o utilización fraudulenta de datos. Frente a estos riesgos surge una pregunta fundamental: ¿puede una empresa responder penalmente por delitos cometidos dentro de su estructura?
La respuesta adquiere especial relevancia con la Ley núm. 74-25, Orgánica que instituye el Código Penal de la República Dominicana, modificada mediante la Ley núm. 44-26. Su artículo 8 establece la responsabilidad penal de las personas jurídicas por infracciones cometidas por sus órganos, representantes o subordinados, cuando sean consecuencia del incumplimiento de sus deberes de dirección, control o supervisión.
Aunque su entrada en vigor está prevista para el proximo año 2027, este régimen plantea desde ahora la necesidad de fortalecer los mecanismos de prevención empresarial. Ya no bastará con identificar a quien ejecutó materialmente una conducta delictiva; también deberá examinarse si la organización incumplió sus obligaciones de vigilancia y control.
Aquí cobra importancia el compliance, entendido como el conjunto de políticas, procedimientos y controles destinados a garantizar el cumplimiento normativo y prevenir infracciones dentro de una organización.
Su desarrollo internacional estuvo inicialmente vinculado a la prevención de la corrupción y los delitos financieros, impulsado por legislaciones estadounidenses como la Foreign Corrupt Practices Act de 1977 y la Sarbanes-Oxley Act de 2002. Posteriormente, evolucionó hacia modelos integrales de gestión de riesgos y buen gobierno corporativo.
Pero ¿de qué sirve disponer de un programa de cumplimiento normativo si la empresa mantiene vulnerabilidades tecnológicas que facilitan la comisión de delitos?
Imaginemos una organización cuyos empleados comparten contraseñas, utilizan sistemas sin controles adecuados o realizan transferencias sin mecanismos independientes de verificación. Si estas deficiencias facilitan una conducta delictiva atribuible a la empresa, podría cuestionarse la eficacia de sus controles internos.
Esto no significa que cualquier ataque informático genere automáticamente responsabilidad penal empresarial. La imputación exige demostrar los presupuestos legales correspondientes, incluida la relación entre el hecho punible y el incumplimiento de los deberes de dirección, control o supervisión.
El artículo 8 reconoce que los programas de cumplimiento verificables y medibles pueden favorecer la atenuación de la responsabilidad penal. También contempla supuestos de exclusión cuando los mecanismos de prevención han sido fraudulentamente vulnerados y concurren las condiciones legales.
Por tanto, tener un manual de compliance no basta: es necesario demostrar que sus controles funcionan realmente.
En este escenario, las empresas dominicanas deberían integrar la ciberseguridad a sus programas de prevención penal mediante evaluaciones de riesgos digitales, controles de acceso, protección de información, auditorías tecnológicas, protocolos ante incidentes y capacitación permanente.
También resulta indispensable definir responsabilidades entre los órganos de administración, encargados de cumplimiento y responsables de seguridad informática. La prevención no puede descansar exclusivamente en un técnico ni comenzar después de ocurrido un incidente.
El artículo 8, párrafo IV, contempla la identificación de riesgos penales, mecanismos de supervisión, procedimientos de actuación y revisión periódica de los modelos preventivos. En una economía digitalizada, estas exigencias ofrecen una base para incorporar los riesgos tecnológicos al cumplimiento empresarial.
La transformación digital exige transformar también nuestra cultura de prevención.
La ciberseguridad ya no debe entenderse únicamente como una inversión para proteger computadoras o información. Debe asumirse como una decisión de gobierno corporativo, una herramienta de prevención del delito y un componente fundamental del compliance penal. Porque en este nuevo escenario, tan importante como determinar quién cometió el delito será establecer qué hizo la empresa para prevenirlo.
Por Luis Alberto Tavarez Peña
La entrada Ciberseguridad y compliance: La nueva frontera de la responsabilidad penal de la persona jurídica se publicó primero en El Nuevo Diario (República Dominicana).