Desde el 10/4/2026, empresas con +50 trabajadores están obligadas a comunicar el responsable del Canal Ético.
Protección de datos médicos: cumplimiento en el alto rendimiento
noticias
Marisa Romero

Protección de datos médicos: cumplimiento en el alto rendimiento

La doctora Alessandra Pinto abordará en el quinto Foro Empresarial la gestión crítica de datos sensibles en el deporte de alto nivel y el ámbito corporativo. El tratamiento de información médica, fisiológica y psicológica exige el establecimiento de protocolos de confidencialidad y privacidad sumamente estrictos. La experiencia con delegaciones olímpicas internacionales evidencia la necesidad de firmar acuerdos de confidencialidad para garantizar la intimidad de los profesionales. La correcta protección de los datos personales de los trabajadores es un pilar estratégico para sostener el bienestar y el alto rendimiento empresarial. La protección de datos médicos y deportivos como motor del alto rendimiento Javier Nogueroles ha confirmado la participación de la doctora Alessandra Pinto en el quinto Foro Empresarial, que se celebrará el próximo día 28. La destacada especialista en asesoramiento deportivo impartirá una ponencia centrada en la gestión y liderazgo de equipos. Durante su intervención, pondrá de relieve la importancia del tratamiento normativo de los datos médicos. Privacidad extrema en el deporte de élite Los departamentos deportivos y de salud manejan a diario un volumen significativo de información altamente sensible sobre sus integrantes. La doctora Pinto, que ha liderado el rendimiento en selecciones olímpicas de países como China, Brasil o India, advierte sobre estos riesgos. La gestión de este tipo de perfiles requiere un cumplimiento exhaustivo de los protocolos de seguridad. El desafío de proteger la intimidad fisiológica El seguimiento analítico de un atleta implica registrar análisis de sangre, métricas de estrés psicológico y detalles de los ciclos menstruales. Esta recopilación masiva de información clínica obliga a las organizaciones deportivas a implementar medidas de seguridad excepcionales. Garantizar la privacidad de forma absoluta es innegociable para evitar vulnerabilidades públicas. El modelo de confidencialidad en el tejido corporativo Las rigurosas exigencias de privacidad del movimiento olímpico son perfectamente aplicables al mundo de la empresa privada. Cualquier corporación trata constantemente con información que afecta directamente a la salud y al ámbito privado de sus empleados. La experta recuerda que auditar y proteger esta esfera es un deber ético y legal ineludible. Contratos de silencio y bienestar laboral Durante la preparación de los pasados Juegos Olímpicos de Tokio, la gestión del equipo chino exigió la firma de estrictos contratos de confidencialidad. Estas herramientas jurídicas aseguran que la información del trabajador jamás se comparta con terceros no autorizados. Un liderazgo efectivo debe asegurar un entorno protegido que impulse el bienestar del equipo.

Leer más »
Ley de Protección de Datos: derecho a la desconexión digital
noticias
Marisa Romero

Ley de Protección de Datos: derecho a la desconexión digital

El artículo 88 de la Ley Orgánica 3/2018 reconoce el derecho a la desconexión digital para proteger el tiempo personal del empleado. Las organizaciones deben implementar una política interna de desconexión que involucre a todos los niveles, incluyendo la alta dirección. La normativa exige acciones de sensibilización para fomentar el buen uso de la tecnología y prevenir la fatiga informática. La protección legal se aplica de forma estricta en las modalidades de trabajo a distancia y formato híbrido.  Garantía del descanso y la intimidad del trabajador El artículo 88 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, consagra el derecho a la desconexión digital. Esta normativa estipula que los trabajadores no deben recibir correos, llamadas o mensajes laborales fuera de su horario legal o pactado. El propósito central de la legislación es asegurar que los empleados dediquen tiempo a su vida personal sin interrupciones corporativas. Con ello, se busca potenciar la conciliación y garantizar el estricto respeto a los permisos, las vacaciones y la intimidad personal y familiar. Ajuste a la naturaleza del puesto de trabajo Las modalidades prácticas para el ejercicio de este derecho deben adaptarse a las características específicas de cada función laboral. Del mismo modo, las directrices estarán sujetas a los acuerdos alcanzados en la negociación colectiva o entre la empresa y los representantes. Obligación de crear políticas internas corporativas La normativa obliga a los empleadores a diseñar e implementar una política interna aplicable a la totalidad de la plantilla, abarcando también a los directivos. Este documento debe definir con absoluta claridad cómo se ejercerá el derecho a la desconexión una vez finalizada la jornada. Además de fijar las reglas de comunicación, las organizaciones tienen el deber de promover acciones formativas y de sensibilización. El objetivo principal es instruir sobre el uso razonable de las herramientas tecnológicas y prevenir problemas de salud laboral como la fatiga informática. Rigurosidad en el modelo de trabajo a distancia La legislación se muestra especialmente estricta cuando se trata de modalidades de trabajo desde casa o formatos de carácter híbrido. En estas circunstancias, la empresa asume la responsabilidad de garantizar que no se utilicen equipos tecnológicos con fines laborales fuera del horario establecido.

Leer más »
Las pymes digitalizadas: el gran riesgo de ciberseguridad en España
noticias
Marisa Romero

Las pymes digitalizadas: el gran riesgo de ciberseguridad en España

El verdadero riesgo de ciberseguridad en España recae sobre miles de pymes digitalizadas que carecen de la protección operativa adecuada frente a ciberataques. Los incidentes gestionados por el INCIBE aumentaron un 26% en 2025, alcanzando los 122.223 casos, con el malware y el phishing como amenazas recurrentes. La ciberseguridad deja de ser un asunto exclusivo de los departamentos técnicos para convertirse en una responsabilidad ineludible de la dirección empresarial. Normativas como las directivas europeas NIS2 y DORA exigen a las organizaciones una gestión integral del riesgo y una mayor resiliencia operativa. Las pymes digitalizadas se convierten en el mayor punto ciego de la ciberseguridad en España La falsa percepción de seguridad corporativa Existe una creencia equivocada de que las vulnerabilidades digitales afectan únicamente a las grandes corporaciones y a los sectores altamente regulados. Esta comodidad mental oculta el verdadero desafío al que se enfrenta el tejido empresarial a nivel nacional. En un país con 1,51 millones de empresas activas, miles de pymes operan conectadas y dependen de terceros para mantener su actividad. Sin embargo, muchas de estas organizaciones siguen considerando la protección como una compra puntual. La paradoja radica en que la digitalización avanza sin una protección proporcional. Actualmente, el 74,2% de las pymes alcanza un nivel básico de intensidad digital, lo que supone un incremento de 6,7 puntos respecto a las cifras de 2023. A esto se suma que el uso de la nube llega al 27,3% y la integración de inteligencia artificial al 11,3%. Esta fuerte dependencia tecnológica estrecha el margen de error, ya que operar con sistemas conectados no garantiza hacerlo con seguridad.   Un reto organizativo frente a una simple capa tecnológica La protección de los activos ya no puede concebirse únicamente como una capa de software o hardware. La tecnología es necesaria, pero no resuelve los retos operativos, como la gestión de identidades, el control de proveedores o la recuperación de datos. Desde el INCIBE formulan con claridad que la seguridad al 100% no existe en ningún entorno conectado. Por ello, el objetivo principal debe ser garantizar la continuidad del negocio y reaccionar con rapidez sin comprometer la actividad empresarial. El impacto normativo en la cadena de suministro Las directivas europeas NIS2 y DORA han cambiado el paradigma del cumplimiento, alejando la ciberseguridad de la exclusividad técnica. Ahora, la normativa exige gestionar riesgos, asegurar la resiliencia operativa y auditar meticulosamente la cadena de suministro. Esta regulación obliga a trasladar la responsabilidad corporativa a la alta dirección. Un ciberataque interrumpe la producción, degrada la relación con los clientes y genera graves riesgos reputacionales que penalizan duramente al negocio. El aumento de incidentes y el papel de la inteligencia artificial Los datos oficiales confirman la urgencia de adoptar medidas estructurales y operativas. Durante 2025, el INCIBE gestionó 122.223 incidentes, lo que representa un aumento del 26% frente a 2024, e identificó 237.028 sistemas vulnerables relevantes. Entre los ataques más habituales detectados destacan el malware, el fraude en línea y el phishing. Esta presión sostenida se agrava enormemente por el uso de la inteligencia artificial, que amplía la superficie de exposición y acelera los ataques. El riesgo se incrementa al abordar el problema de forma tardía o como una simple complejidad añadida. Compañías de zonas intermedias, como el sector industrial o logístico, operan hiperconectadas y son altamente vulnerables si no integran la seguridad en sus procesos. El tejido empresarial debe transformar su cultura para garantizar la continuidad. La verdadera ventaja competitiva residirá en aquellas organizaciones capaces de mantener su operatividad cuando el entorno digital falle.

Leer más »
La oferta de empleo público de 2026 prioriza perfiles de inteligencia artificial y ciberseguridad para la administración
noticias
Marisa Romero

La oferta de empleo público de 2026 prioriza perfiles de IA y ciberseguridad para la administración

El Gobierno aprueba 37.017 plazas para 2026, con 1.700 puestos enfocados específicamente en perfiles tecnológicos y de inteligencia artificial. La estrategia busca incorporar expertos en ciberseguridad y ciencia del dato para asegurar una correcta gobernanza ética de los algoritmos. El Ejecutivo impondrá la formación obligatoria en digitalización en todos los cursos selectivos de la Administración para los funcionarios. CSIF y CCOO rechazan frontalmente el plan gubernamental, denunciando la falta de transparencia, los recortes y los graves déficits estructurales. La oferta de empleo público de 2026 impulsa los perfiles en IA y ciberseguridad Apuesta sin precedentes por el talento tecnológico El ministro de Función Pública, Óscar López, ha presentado la Oferta de Empleo Público (OEP) correspondiente al año 2026. Esta nueva convocatoria asciende a un total de 37.017 plazas, de las cuales 27.232 están dirigidas de forma específica a la Administración General del Estado. El objetivo principal de esta medida es convocar pruebas de acceso por especialidades para el Cuerpo Superior de Sistemas y Tecnologías de la Información. Se busca cubrir cerca de 1.700 vacantes, lo que representa un significativo incremento del 42% en comparación con las cifras de la oferta del año anterior. Según las declaraciones del propio ministro, la intención del Gobierno es aumentar en un 200% las plazas para el sector TIC. Esta propuesta, catalogada como la primera vez en la historia, persigue captar especialistas altamente cualificados en inteligencia artificial, ciberseguridad y ciencia del dato. Gobernanza ética de los algoritmos y soberanía del dato La estrategia gubernamental pretende incorporar capacidades concretas en las áreas de ciencia, tecnología, ingeniería y matemáticas para mejorar la competitividad pública. El ministro defendió esta hoja de ruta asegurando que el propósito principal es transformar empleos y no destruir los ya existentes en las instituciones. Siguiendo la Estrategia Nacional de Inteligencia Artificial 2024, este plan tecnológico se articulará cuidadosamente a través de tres niveles fundamentales. El Cuerpo Superior se encargará de la dirección estratégica y la ciberseguridad, mientras que el Cuerpo de Gestión se centrará exclusivamente en desarrollar aplicaciones. Por su parte, los Técnicos Auxiliares proporcionarán el soporte operativo necesario en toda esta nueva estructura digital de la Administración. La incorporación de estos perfiles se considera completamente prioritaria para mantener la soberanía del dato y garantizar la correcta gobernanza ética de los algoritmos. Alfabetización tecnológica transversal en la administración El despliegue planeado por el Ejecutivo no se limitará de manera exclusiva a la contratación de nuevos especialistas técnicos. Ante lo que Función Pública define como la segunda fase de la inteligencia artificial, el Gobierno impondrá una alfabetización tecnológica de carácter transversal. A partir de este momento, todos los cursos selectivos de la Administración Pública incluirán formación específica y de carácter obligatorio en digitalización e IA. El propósito de esta medida es lograr digitalizar, como mínimo, un 25% adicional de todos los servicios públicos ofrecidos a la ciudadanía. El Ministerio justifica esta acción recordando que España se encuentra actualmente en una clara posición de ventaja respecto a sus socios comunitarios. El 83% de los ciudadanos ya se relaciona por vía digital con el Estado, una cifra que sitúa al país ocho puntos por encima de la media europea. Refuerzos adicionales frente a la emergencia climática De manera paralela al fuerte impulso digital, el Gobierno ha confirmado una convocatoria extraordinaria compuesta por 346 plazas específicas. Estas vacantes estarán destinadas al Ministerio para la Transición Ecológica con el fin urgente de hacer frente a la actual emergencia climática. Además de las plazas medioambientales, se ha anunciado oficialmente que se incrementará en un 30% la oferta pública en diversas áreas estratégicas del Estado. Entre estos sectores prioritarios destacan la atención ciudadana, la gestión de las migraciones y el necesario refuerzo estructural de la ciberseguridad nacional. El rechazo frontal de las centrales sindicales a la oferta La luz verde a la nueva OEP ha chocado con el profundo rechazo de los principales sindicatos, quienes han endurecido notablemente su tono. Las centrales sindicales denuncian lo que consideran una absoluta falta de respeto y critican la total falta de transparencia por parte del Gobierno. Desde CSIF critican que se les ha hurtado el derecho a negociar en la Mesa General el reparto de los refuerzos que requieren las plantillas. Consideran que el secretismo del Ejecutivo responde a intereses mediáticos y denuncian que se han ocultado las cifras antes de la rueda de prensa. La organización argumenta que la convocatoria apenas crea 217 nuevas plazas de ingreso y, por segundo año consecutivo, reduce en 220 los puestos de promoción interna. Advierten que los anuncios de digitalización carecen de concreción e impedirán solucionar los problemas de organismos como el SEPE, la Seguridad Social, la Agencia Tributaria, la DGT o Instituciones Penitenciarias. Por su parte, CCOO confirma su rechazo argumentando que el plan gubernamental consolida la pérdida real de personal público. El sindicato critica que la hoja de ruta relega al último lugar la atención al ciudadano y obvia las necesidades de los nuevos servicios prestados. La central sindical alerta de que las elevadas ofertas de los últimos años no se han traducido en una recuperación de empleo público neto. Ante esta situación, caracterizada por una alta tasa de vacantes, la organización no descarta convocar movilizaciones para exigir compromisos en defensa del servicio público.

Leer más »
Externalizar el ENS vs implantarlo internamente en pymes
Esquema Nacional de Seguridad
Marisa Romero

Externalizar el ENS vs implantarlo internamente en pymes

La adaptación al marco normativo de ciberseguridad gubernamental supone un reto estructural para cualquier organización que preste servicios a la administración, obligando a los comités de dirección a decidir entre asumir el proyecto con recursos propios o delegarlo en especialistas. Esta disyuntiva paraliza a muchas empresas que temen desviar a su personal de tecnología de las operaciones críticas del negocio, mientras los plazos límite para poder licitar se agotan inexorablemente. Errar en esta decisión estratégica conlleva un doble impacto catastrófico para la viabilidad comercial y legal de la compañía. Por un lado, una implantación interna fallida por falta de conocimiento regulatorio genera no conformidades graves en la auditoría final, y por otro, la incapacidad para certificar a tiempo bloquea automáticamente el acceso a los contratos públicos. A nivel sancionador, presentar garantías deficientes en protección de la información expone a la entidad a multas estipuladas en el marco europeo de privacidad y a la pérdida absoluta de confianza en el mercado. La solución pasa por realizar un diagnóstico objetivo de las capacidades operativas reales de la empresa frente a los exigentes requisitos técnicos y documentales que impone la legislación vigente. Para garantizar el éxito sin hipotecar el rendimiento del departamento de sistemas, la externalización integral apoyada en un servicio especializado de adecuación al ENS permite transferir el riesgo normativo, optimizar la inversión financiera y asegurar la obtención de la certificación oficial en el plazo acordado. El modelo de adopción del Esquema Nacional de Seguridad es la decisión estratégica que determina si una organización asume el diseño de controles técnicos con su propio personal interno o delega esta responsabilidad en una consultora externa especializada. Según el Real Decreto 311/2022, ambos modelos son completamente válidos siempre que se garantice la correcta implantación técnica de las medidas de seguridad aplicables según la categoría del sistema. Qué implica la gestión interna del cumplimiento normativo frente a la externalización La gestión interna del Esquema Nacional de Seguridad es un modelo organizativo que asigna la pesada carga de trabajo de cumplimiento legal a la plantilla tecnológica actual de la empresa. Este enfoque obliga al departamento de sistemas a abandonar temporalmente sus funciones habituales para interpretar regulaciones complejas, redactar extensas políticas de seguridad corporativas y reconfigurar la arquitectura de red sin ningún tipo de apoyo externo experto. El primer gran obstáculo de la asunción interna del proyecto radica en la estricta exigencia de segregación de funciones que marca la normativa. El artículo 12 del Real Decreto 311/2022 exige una separación funcional de roles entre el responsable de la información, el responsable del servicio y el responsable de la seguridad. En la mayoría de las pequeñas y medianas empresas, el director de tecnologías de la información (CTO) suele asumir todos estos roles simultáneamente, lo que genera un conflicto de intereses que los auditores penalizan severamente. Además de los conflictos organizativos, la curva de aprendizaje técnico es extremadamente pronunciada. El personal interno debe dominar no solo la administración de sistemas, sino también la intrincada metodología de gestión de riesgos Magerit y las densas directrices técnicas publicadas por el organismo competente. Para ilustrar la complejidad operativa de optar por el desarrollo interno, es necesario evaluar las tareas críticas que el equipo propio deberá asumir en solitario: La elaboración exhaustiva de la declaración de aplicabilidad requiere un conocimiento profundo de cada control técnico para evitar implementar medidas sobredimensionadas que encarecerían injustificadamente el mantenimiento de la infraestructura. La adaptación de las configuraciones de los servidores y puestos de trabajo exige el cumplimiento literal de las guías CCN-STIC del Centro Criptológico Nacional, un proceso minucioso que consume cientos de horas de ingeniería de sistemas. Frente a este escenario, la externalización se erige como un mecanismo de transferencia de carga operativa. Al contratar a una firma especializada, la empresa no compra horas de trabajo, sino una metodología previamente testada y el conocimiento legal destilado de decenas de certificaciones exitosas previas. El equipo interno solo interviene para validar las políticas propuestas y facilitar el acceso a la infraestructura tecnológica. El impacto en los costes ocultos de la empresa Uno de los errores más comunes en los comités de dirección es considerar que la implantación con personal propio es «gratuita» porque los salarios ya están presupuestados. Esta visión ignora el concepto financiero del coste de oportunidad y el desgaste del talento interno. Cuando un ingeniero de sistemas dedica el cuarenta por ciento de su jornada laboral durante ocho meses a redactar procedimientos documentales de ciberseguridad, ese tiempo se resta directamente del desarrollo de nuevos productos, de la atención técnica a clientes o del mantenimiento de la operatividad del negocio. Estos costes ocultos suelen superar ampliamente los honorarios de un servicio de consultoría externa altamente cualificada. Diferencias clave al externalizar el ENS vs implantarlo internamente La comparativa entre modelos de adopción es un proceso analítico que evalúa variables financieras, operativas y de mitigación de riesgos regulatorios para determinar la estrategia más eficiente. Entender estas dimensiones resulta vital para proteger la viabilidad económica de la compañía durante el largo proceso de adecuación al estricto marco normativo de ciberseguridad gubernamental español. A nivel de ejecución, la diferencia más notable se percibe en la velocidad de implantación. Las empresas que deciden actuar por su cuenta suelen enfrentarse a un cronograma dilatado, lleno de interrupciones causadas por las urgencias del día a día (incidencias de red, soporte a usuarios). Por el contrario, un equipo consultor externo impone un ritmo de trabajo sostenido, guiando el proyecto a través de hitos predefinidos y forzando la toma de decisiones ágil. Desde la perspectiva de la seguridad ante la auditoría, el sesgo interno es un enemigo invisible. Los administradores de sistemas propios tienden a evaluar de forma excesivamente optimista la robustez de las configuraciones que ellos mismos han diseñado a lo largo de los años. La externalización aporta una visión objetiva e independiente, identificando vulnerabilidades críticas antes de que lo haga el auditor oficial de la certificadora acreditada por ENAC. Para clarificar las diferencias operativas entre ambas modalidades, la siguiente tabla desgrana los criterios fundamentales

Leer más »
Cuánto tiempo se tarda en obtener la certificación ENS
Esquema Nacional de Seguridad
Marisa Romero

Cuánto tiempo se tarda en obtener la certificación ENS

La exigencia de cumplir con los más altos estándares de ciberseguridad se ha convertido en una barrera de entrada crítica para las empresas que desean licitar y prestar servicios al sector público. Ante este escenario, la pregunta sobre los plazos de adecuación genera gran incertidumbre en los equipos directivos, que ven cómo los pliegos de contratación establecen fechas límite innegociables. No disponer del certificado correspondiente en el tiempo exigido tiene una consecuencia directa y letal para el negocio: la exclusión automática de las licitaciones públicas y la pérdida de contratos millonarios. Además, el incumplimiento prolongado de los requerimientos de protección de la información expone a la entidad a severas responsabilidades legales frente a la administración y frente a sus propios clientes. Para superar este desafío sin poner en riesgo la viabilidad de los proyectos, es imprescindible contar con una planificación milimétrica y un acompañamiento experto. Definir una hoja de ruta clara desde el primer día es la única vía para garantizar el éxito, apoyándose en un servicio profesional de adecuación al ENS que minimice los tiempos de implantación y asegure la superación de la auditoría final. El tiempo para obtener la certificación ENS desde el diagnóstico inicial oscila habitualmente entre los 6 y los 12 meses, dependiendo fundamentalmente de la categoría del sistema de información (Básica, Media o Alta). Este plazo integral abarca la fase de consultoría previa, el diseño del plan de adecuación, la implantación técnica de los controles exigidos por la normativa y la resolución del proceso de auditoría final. Factores que determinan la duración del proyecto de adecuación Los factores de adecuación son las variables organizativas y técnicas que determinan el tiempo necesario para cumplir con la normativa. El cronograma no es idéntico para todas las organizaciones, ya que la situación de partida y la complejidad de la infraestructura tecnológica marcan el ritmo de avance de cada fase del proyecto. El primer elemento diferenciador es la categoría del sistema. El Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad, clasifica los sistemas en las categorías Básica, Media y Alta, en función del impacto que tendría un incidente de seguridad sobre la organización. Un sistema de categoría Básica requiere la implantación de un conjunto reducido de controles y puede resolverse mediante una autoevaluación o declaración de conformidad, lo que acorta los plazos a unos 4 o 6 meses. Sin embargo, los sistemas de categoría Media y Alta exigen la certificación por parte de una entidad independiente, lo que extiende el calendario hacia los 9 o 12 meses. Otro aspecto fundamental es el nivel de madurez tecnológica previo de la empresa. Las organizaciones que ya cuentan con un Sistema de Gestión de Seguridad de la Información (SGSI) basado en la norma ISO 27001 parten con una ventaja significativa. Aunque ambos marcos normativos tienen enfoques distintos, comparten numerosos controles organizativos y de gestión de riesgos, lo que permite reducir la fase de implantación hasta en un 30 % del tiempo total estimado. La disponibilidad de recursos internos también influye decisivamente en el calendario. La adecuación normativa no es un proyecto exclusivo del departamento legal o del área de sistemas, sino que requiere la implicación transversal de recursos humanos, dirección y operaciones. Los cuellos de botella suelen producirse cuando los responsables internos no disponen de tiempo para aprobar políticas, revisar la clasificación de la información o configurar las herramientas tecnológicas requeridas para cumplir con los controles de acceso y trazabilidad. Fases del proyecto y estimación de tiempos de implantación Las fases del proyecto son las etapas metodológicas y secuenciales que estructuran la adaptación completa de una organización a los requisitos legales. Conocer la duración aproximada de cada una de estas etapas permite a la dirección alinear el proyecto de certificación con el calendario de licitaciones públicas. El proceso se divide típicamente en cuatro grandes bloques, que deben ejecutarse con rigor para evitar retrocesos en etapas posteriores. A continuación se detallan las fases críticas que consumen el presupuesto temporal del proyecto: La fase de diagnóstico inicial y análisis de brechas requiere entre 3 y 6 semanas para ejecutarse correctamente, ya que implica inventariar todos los activos, categorizar el sistema y redactar la preceptiva declaración de aplicabilidad de los controles. El diseño y aprobación del plan de adecuación suele abarcar de 4 a 8 semanas, periodo en el que se redactan todas las normativas internas, políticas de seguridad y procedimientos operativos que la organización deberá cumplir a rajatabla. La fase de implantación técnica y despliegue de medidas es la más extensa, oscilando entre 3 y 6 meses, puesto que requiere configurar arquitecturas de red, sistemas de monitorización de eventos, copias de seguridad inmutables y controles de acceso robustos. El proceso de auditoría y certificación consume entre 1 y 3 meses adicionales, incluyendo la selección de la entidad auditora, la revisión documental, el trabajo de campo, la emisión del informe y el plazo para subsanar posibles no conformidades menores. Para ilustrar de forma más precisa el impacto de la categoría del sistema en la duración del proyecto, es útil comparar los plazos estándar. Categoría del sistema Plazo estimado de adecuación Tipo de evaluación requerida Complejidad de la implantación Categoría básica De 4 a 6 meses Declaración de conformidad Baja, controles fundamentales y autoevaluación Categoría media De 6 a 9 meses Auditoría de certificación Media, controles exhaustivos e inspección externa Categoría alta De 9 a 12 meses Auditoría de certificación Alta, controles avanzados y máxima rigurosidad El tiempo invertido en la fase de implantación puede variar si se cuenta con el soporte de un equipo especializado en el despliegue del ENS, ya que el conocimiento previo de los criterios de auditoría evita la implementación de controles ineficientes o sobredimensionados que retrasan el cronograma. Requisitos técnicos del marco legal y su impacto en el calendario Los requisitos técnicos del esquema son las medidas de protección de la información que garantizan la confidencialidad, integridad y disponibilidad exigidas por el sector público. La principal causa de desviación en los plazos de un proyecto

Leer más »
Compliance penal en el sector energético
Compliance corporativo
Marisa Romero

Compliance penal en el sector energético: riesgos y prevención

Las corporaciones que operan en el mercado de la energía se encuentran inmersas en un ecosistema regulatorio de extraordinaria complejidad, donde los riesgos de incumplimiento normativo conllevan repercusiones jurídicas y financieras inmediatas. La constante evolución de las directrices comunitarias, combinada con la rigidez de las normativas nacionales de supervisión, sitúa a estas organizaciones en una posición de vulnerabilidad permanente ante la comisión involuntaria de ilícitos. Esta inestabilidad regulatoria exige que los consejos de administración evalúen de manera continua la suficiencia de sus controles operativos para evitar fallas que expongan a la compañía. Las implicaciones de un sistema de control deficiente en este ámbito no se limitan a meras correcciones administrativas, sino que pueden traducirse en procesos penales de gran envergadura. El Código Penal español contempla la exigencia de responsabilidad directa para las personas jurídicas que cometan infracciones graves, lo que puede materializarse en la clausura temporal o definitiva de plantas de generación, la pérdida del derecho a percibir subvenciones del sector eléctrico, o incluso multas millonarias por prácticas anticompetitivas. La inacción o la mera adopción formal de manuales éticos ya no es suficiente para contener la fiscalización activa de los tribunales y los organismos reguladores. Para salvaguardar la viabilidad del negocio y estructurar un entorno de operaciones que cumpla estrictamente con las directrices vigentes, se vuelve indispensable el diseño de programas de supervisión adaptados a la cadena de valor de la energía. El servicio de Compliance proporcionado por Audidat ofrece el marco metodológico necesario para identificar los focos de riesgo operativo, auditar el cumplimiento del personal y mitigar las contingencias corporativas mediante un enfoque preventivo especializado. El compliance en el sector energético es un marco integral de control y prevención que identifica, mitiga y gestiona los riesgos penales y de cumplimiento regulatorio específicos de las empresas de energía. Este sistema técnico garantiza la observancia de la normativa sectorial y del artículo 31 bis del Código Penal para evitar responsabilidades corporativas. Los riesgos específicos del compliance en el sector energético: riesgos penales y prevención en las actividades reguladas El riesgo penal energético es una contingencia jurídica de alta gravedad que se deriva de la inobservancia de las normas administrativas y penales reguladoras del mercado de la energía. Esta vulnerabilidad legal exige la implementación de protocolos internos que impidan que la actuación de los operadores intermedios derive en responsabilidades de carácter penal para la propia organización. La tipología delictiva en este sector abarca supuestos especialmente sensibles para la sociedad y el medio ambiente. La manipulación de los precios del mercado de electricidad y de gas, tipificada en el artículo 284 del Código Penal, constituye uno de los mayores focos de vigilancia de la Comisión Nacional de los Mercados y la Competencia (CNMC), la cual colabora directamente con la Fiscalía en la detección de fraudes de cotización. Asimismo, la comisión de delitos contra los recursos naturales y el medio ambiente (artículo 325 del Código Penal) puede imputarse directamente a la dirección en casos de vertidos, emisiones incontroladas o gestión defectuosa de residuos en infraestructuras de generación eléctrica. Los delitos económicos y la manipulación de precios La manipulación de precios a través del mercado de futuros de la energía constituye un ilícito que las empresas comercializadoras e intermediarias deben vigilar con extremo rigor técnico. Los sistemas de prevención penal deben incorporar controles automáticos y auditorías de transacciones diarias que impidan la difusión de datos falsos o el uso de información privilegiada encaminada a alterar de forma artificial la tarifa final de los consumidores. La responsabilidad ambiental corporativa Las implicaciones del delito ecológico dentro de las empresas energéticas exigen la implantación de un marco estricto de cumplimiento ambiental. La jurisprudencia del Tribunal Supremo ha establecido que la ausencia de medidas preventivas de carácter técnico para mitigar el impacto medioambiental derivado de la actividad industrial es causa suficiente para la imputación penal de la persona jurídica, con independencia de la sanción administrativa concurrente. El marco normativo del compliance en el sector energético: riesgos penales y prevención aplicados a la transición ecológica El marco preventivo sectorial es un conjunto de directrices legales que integra las obligaciones de la Ley 24/2013 del Sector Eléctrico con las exigencias del Código Penal español. Esta confluencia regulatoria determina el contenido mínimo de los planes de cumplimiento y fija las pautas que los auditores externos deben valorar para comprobar la viabilidad y robustez técnica de los sistemas implementados en la organización. La normativa sectorial impone requerimientos adicionales de transparencia a las empresas que participan en los procesos de transporte, distribución y comercialización de energía. El incumplimiento de estas obligaciones puede derivar en la comisión de delitos contra la hacienda pública por fraude en impuestos especiales, o de fraudes de subvenciones estatales en proyectos de energías renovables. Para sistematizar el control de estas exigencias, la siguiente tabla detalla la correspondencia entre los riesgos sectoriales identificados, su fuente regulatoria principal y las medidas de cumplimiento correspondientes: Área de riesgo corporativo Fuente normativa sectorial Medidas preventivas sugeridas Manipulación de mercados Reglamento UE 1227/2011 (REMIT) Monitorización del canal de negociación mercantil Delitos medioambientales Artículo 325 del Código Penal Auditoría externa de emisiones y vertidos Fraude fiscal de hidrocarburos Ley 38/1992 de Impuestos Especiales Control estricto de procedencia y trazabilidad Soborno y corrupción Ley orgánica 1/2015 de reforma penal Protocolo de debida diligencia de contratistas Fuga de información confidencial Directiva UE 2016/943 de secretos comerciales Sistemas de cifrado y limitación de accesos La adecuada aplicación de estas directrices normativas minimiza las brechas de seguridad legal que las inspecciones periódicas de los reguladores sectoriales intentan detectar en su actividad ordinaria de fiscalización. Los programas diseñados bajo la cobertura especializada del servicio de Compliance de Audidat alinean los objetivos comerciales de las compañías energéticas con los requerimientos específicos de transparencia exigidos por los organismos supervisores nacionales e internacionales. Las obligaciones derivadas del reglamento REMIT El Reglamento (UE) nº 1227/2011 sobre la integridad y la transparencia del mercado mayorista de la energía (REMIT) constituye un elemento de cumplimiento insoslayable para todos los operadores de mercado. Esta disposición prohíbe explícitamente

Leer más »
Auditoría de compliance penal: evaluación y preparación
Compliance corporativo
Marisa Romero

Auditoría de compliance penal: evaluación y preparación

Las organizaciones se enfrentan a un entorno regulatorio cada vez más exigente, donde la responsabilidad penal de las personas jurídicas ya no es una posibilidad remota, sino un riesgo operativo crítico e inmediato. La falta de control interno y la ausencia de mecanismos eficaces para prevenir delitos en el seno de la empresa exponen a las compañías a una vulnerabilidad constante frente a posibles malas prácticas de empleados o directivos. Esta incertidumbre operativa genera una tensión constante en los consejos de administración, que a menudo desconocen si sus políticas actuales resistirían un análisis judicial riguroso. No actuar a tiempo ante estas debilidades normativas puede acarrear consecuencias devastadoras, que van desde sanciones económicas de gran envergadura hasta la disolución judicial de la propia compañía. El Código Penal, en su artículo 31 bis, detalla penas graves como la suspensión de actividades, la clausura de locales, la inhabilitación para obtener subvenciones públicas o, incluso, la intervención judicial, sin olvidar el irreparable daño reputacional que destruye la confianza de clientes y socios comerciales. Ante este escenario, la improvisación deja de ser una opción viable y el cumplimiento preventivo se convierte en el único salvavidas real. Para mitigar estos riesgos de forma definitiva y garantizar la máxima seguridad jurídica, resulta indispensable contar con un diagnóstico externo especializado que valide de manera objetiva la eficacia de los sistemas preventivos implementados. El servicio de Compliance que ofrece Audidat proporciona la estructura técnica, el análisis pormenorizado de riesgos y el acompañamiento profesional necesarios para verificar la solidez de sus modelos de organización y gestión, permitiendo identificar brechas antes de que se conviertan en contingencias legales graves. La auditoría de compliance penal es un proceso de evaluación sistemático e independiente que analiza la eficacia, idoneidad e implantación real del modelo de prevención de delitos de una organización. Este procedimiento técnico verifica el cumplimiento de las exigencias del artículo 31 bis del Código Penal y la norma UNE 19601 para acreditar la eximente de responsabilidad penal corporativa. El alcance técnico de la auditoría de compliance penal: qué evalúa y cómo prepararse ante los inspectores La auditoría de compliance penal es una herramienta de supervisión legal que examina de manera exhaustiva el diseño y la operatividad de los controles internos de una compañía. Este examen técnico tiene como finalidad certificar ante terceros y autoridades judiciales que la persona jurídica ejerce un control debido sobre sus directivos y empleados. Para comprender su trascendencia, es necesario recurrir a la doctrina de la Fiscalía General del Estado. En su Circular 1/2016, la institución especifica que los programas de cumplimiento deben ser reales, dinámicos y contar con un presupuesto propio para ser considerados eficaces, descartando por completo aquellos modelos que se limiten a una mera declaración de intenciones en papel. En el mismo sentido, el Tribunal Supremo, en resoluciones como la Sentencia 154/2016, destaca que la existencia de una cultura de cumplimiento ético en la organización es el verdadero núcleo para eximir de responsabilidad a la persona jurídica. El criterio del debido control según la jurisprudencia española El debido control se evalúa a través de la correspondencia entre los riesgos identificados por la entidad y las medidas de mitigación que efectivamente se aplican en el día a día operativo. Los auditores analizan si el oficial de cumplimiento dispone de la autoridad y los recursos financieros suficientes para ejercer su función de manera autónoma, un pilar que la Fiscalía General del Estado vigila con especial atención en sus procesos de investigación. El estándar de certificación UNE 19601 La norma de referencia UNE 19601 establece los requisitos auditables para implantar un sistema de gestión de compliance penal que permita mitigar los riesgos penales y fomentar una cultura de cumplimiento. Al alinearse con esta norma, la auditoría proporciona una estructura técnica estandarizada que facilita la obtención de un certificado de conformidad, sirviendo como un elemento probatorio de primer orden ante cualquier tribunal penal. Los elementos nucleares que evalúa la auditoría de cumplimiento penal en la estructura corporativa La evaluación de cumplimiento penal es un diagnóstico normativo sistemático que analiza cada componente del sistema de prevención de delitos corporativo. Su objetivo primordial consiste en verificar que el modelo implantado responda con precisión a la realidad operativa de la empresa. Durante este proceso se someten a examen los protocolos de toma de decisiones, los flujos financieros de la organización y el diseño de las medidas disciplinarias aplicables ante infracciones internas. La integración y revisión técnica periódica de estas herramientas forma parte indispensable del servicio de Compliance que Audidat diseña de acuerdo con la tipología y tamaño de cada cliente corporativo. Evaluación del mapa de riesgos penales El mapa de riesgos es el cimiento de cualquier programa de prevención. El equipo auditor analiza si este documento identifica con precisión los delitos aplicables según el objeto social de la empresa, valorando tanto la probabilidad de ocurrencia como el impacto económico y penal de cada conducta delictiva potencial. Verificación del funcionamiento del canal de denuncias La Ley 2/2023, de 20 de febrero, obliga a las empresas de más de 50 trabajadores a implantar un sistema interno de información que garantice la confidencialidad. Los auditores analizan la accesibilidad de este canal y evalúan si el proceso de recepción, investigación y resolución de denuncias cumple estrictamente con las garantías procesales que exige la normativa. Requisitos del canal de denuncias auditables: Confidencialidad absoluta del informante para evitar cualquier tipo de represalia laboral, económica o social dentro del entorno organizativo. Accesibilidad permanente a la plataforma por parte de todos los empleados y colaboradores externos a través de medios telemáticos seguros. Plazos de resolución definidos que contemplen un acuse de recibo en un periodo máximo de siete días y una resolución en tres meses. Integración directa con el órgano de cumplimiento para garantizar una investigación imparcial y exhaustiva de todas las irregularidades detectadas. Registro estructurado de todas las comunicaciones recibidas para facilitar la trazabilidad técnica y la aportación de pruebas ante posibles inspecciones. El papel de la dirección y el compliance officer La auditoría evalúa el compromiso

Leer más »
LOPIVI en clubes deportivos: protocolo y cumplimiento legal
Entornos seguros
audidat

LOPIVI para clubes deportivos y federaciones: protocolo obligatorio y su impacto legal en la gestión corporativa

LOPIVI para clubes deportivos y federaciones: protocolo obligatorio y su impacto legal en la gestión corporativa El tejido asociativo deportivo asume cada día la enorme responsabilidad de gestionar y tutelar a cientos de miles de menores de edad en entrenamientos, competiciones y desplazamientos. Sin embargo, la realidad demuestra que los entornos deportivos, debido a sus dinámicas de poder y contacto físico, pueden convertirse en escenarios vulnerables donde se materializan diversas formas de abuso o violencia hacia la infancia si no existen controles estrictos. Ignorar las exigencias de la Ley Orgánica 8/2021 de protección integral a la infancia y la adolescencia frente a la violencia expone a las directivas no solo a un riesgo reputacional devastador, sino a graves consecuencias legales. La falta de diligencia debida en la creación de entornos seguros puede derivar en sanciones económicas millonarias, inhabilitaciones administrativas para recibir fondos públicos y la asunción de responsabilidades penales directas por la omisión del deber de socorro. Implantar un marco normativo real y operativo requiere un conocimiento jurídico profundo que permita integrar la salvaguarda de la infancia con el estricto cumplimiento de la privacidad y los derechos de todos los implicados. Para garantizar esta cobertura total sin fisuras legales, la contratación de un servicio especializado de LOPIVI permite a las entidades deportivas cumplir integralmente con todas las exigencias legales mediante un sistema adaptado a su estructura. El protocolo obligatorio de la LOPIVI para clubes deportivos y federaciones es un marco normativo preventivo y reactivo que establece medidas concretas para erradicar cualquier forma de violencia sobre menores. La Ley Orgánica 8/2021 exige la designación de un Delegado de Protección y la implementación de canales de denuncia seguros en todas las entidades con menores habituales. Qué es el marco normativo de la Ley Orgánica 8/2021 en el deporte El marco normativo de la Ley Orgánica 8/2021 en el deporte es un sistema de obligaciones legales preventivas que exige la erradicación sistemática de cualquier conducta violenta hacia la infancia. Esta normativa impone un cambio de paradigma, trasladando la responsabilidad de la mera reacción ante un problema a la proactividad constante en la gestión de riesgos en instalaciones y rutinas deportivas. La Ley Orgánica 8/2021, en su artículo 48, obliga a todas las entidades deportivas y de ocio que trabajen habitualmente con personas menores de edad a nombrar un Delegado de Protección. Este nombramiento no es un simple trámite burocrático, sino la designación de una figura central con responsabilidad legal sobre la supervisión y ejecución de las políticas de buen trato. El Consejo Superior de Deportes (CSD) ha incidido fuertemente en la necesidad de que las federaciones deportivas nacionales y autonómicas actúen como ejes vertebradores de este cumplimiento. Las directrices emitidas por el CSD exigen que no solo se dicten normas generales, sino que exista un control en cascada hacia los clubes base afiliados. Para que el marco normativo sea válido ante la administración, las entidades deben evidenciar el cumplimiento material de obligaciones muy precisas establecidas por el legislador: La obligatoriedad de designar formalmente a un Delegado de Protección que supervise el cumplimiento interno y actúe como punto de contacto principal frente a las administraciones públicas y las familias de los menores. La creación e implantación de un protocolo de actuación claro frente a situaciones de acoso, abuso o cualquier forma de violencia detectada, estableciendo pasos ineludibles para la comunicación inmediata a las autoridades competentes. La instauración de canales de comunicación y denuncia accesibles y adaptados al lenguaje infantil, garantizando en todo momento la estricta confidencialidad de los datos personales de los menores afectados y de los denunciantes. La obligación de exigir, verificar y custodiar de forma segura y actualizada el certificado negativo de delitos de naturaleza sexual para cualquier profesional, empleado o voluntario que tenga un contacto regular con los deportistas menores. Requisitos técnicos para la implantación del protocolo de prevención Un protocolo de prevención bajo la normativa vigente es un manual operativo de obligado cumplimiento que define de forma estructurada los mecanismos para detectar, evaluar y atajar agresiones. Este documento debe abandonar las generalidades teóricas y plasmar escenarios de riesgo específicos del ámbito deportivo, como los desplazamientos, las pernoctaciones y el uso de vestuarios. El primer requisito técnico ineludible es la elaboración de un mapa de riesgos de la entidad. La junta directiva debe analizar metódicamente qué situaciones cotidianas exponen a los menores a posibles vulneraciones. Este análisis de riesgos servirá de base para la redacción de un código de conducta que establezca límites claros y sancionables sobre las interacciones entre adultos y menores. La normativa exige que estos protocolos sean documentos vivos, conocidos y accesibles. Deben ser entregados y firmados por todo el personal técnico, así como difundidos entre los padres y los propios deportistas en un lenguaje comprensible. La ausencia de evidencia documental sobre esta formación invalida la eficacia del protocolo ante una inspección o un procedimiento judicial. Es precisamente en la articulación de estos requisitos técnicos complejos donde las entidades suelen cometer errores críticos. Contar con un servicio especializado de LOPIVI asegura que la redacción del mapa de riesgos y el diseño de los canales de denuncia cumplan tanto con las exigencias del CSD como con los estrictos requerimientos de la Agencia Española de Protección de Datos. Diferencias entre un cumplimiento documental y una integración efectiva La integración efectiva de protocolos preventivos es la aplicación práctica de políticas legales que transforma el simple papel en procedimientos reales interiorizados por el personal técnico. La mera tenencia de un documento descargado de internet y guardado en un cajón no exime a un club deportivo de sus responsabilidades si no puede demostrar su aplicación sistemática. Enfoque de cumplimiento Cumplimiento puramente documental Integración legal y efectiva Rol del delegado Nombramiento nominal sin funciones ni autoridad real Figura empoderada, formada y con recursos asignados Formación del personal Entrega de un documento escrito a la firma del contrato Sesiones formativas periódicas y evaluación de conocimientos Gestión de denuncias Buzón de correo genérico sin garantías de confidencialidad Canal específico cifrado con trazabilidad y plazos legales

Leer más »

Consultoría integral de cumplimiento normativo

Contacta con un experto

Déjanos tus datos y te asesoraremos de forma personalizada en menos de 48h sin compromiso.

INFORMACIÓN BÁSICA SOBRE PROTECCIÓN DE DATOS
Responsable del tratamiento: AUDIDAT 3.0, S.L. | Dirección del responsable: Paseo de la Castellana 182, 6ª planta 28046 Madrid |
Finalidad: Sus datos serán usados para poder atender sus solicitudes y prestarle nuestros servicios. Asimismo, si usted nos ha facilitado su currículum personal, sus datos personales serán utilizados para participar en nuestros procesos de selección. | Publicidad: Solo le enviaremos publicidad con su autorización previa, que podrá facilitarnos mediante la casilla correspondiente establecida al efecto. | Legitimación: Únicamente trataremos sus datos con su consentimiento previo, que podrá
facilitarnos mediante la casilla correspondiente establecida al efecto. | Destinatarios: Con carácter general, sólo el personal de nuestra entidad que esté debidamente autorizado podrá tener conocimiento de la información que le pedimos. Así mismo comunicaremos su información a entidades ofertantes interesadas en su perfil curricular. | Derechos: Tiene derecho a saber qué información tenemos sobre usted, corregirla y eliminarla,
tal y como se explica en la información
adicional disponible en nuestra página web. | Información adicional: Más información en el apartado ““política de privacidad”” de nuestra página web. | Delegado de Protección: de Datos dpd@audidat.com

¿Necesitas ayuda con el cumplimiento normativo de tu organización?

Te asignaremos un consultor experto para darte una solución personalizada gratuita en menos de 48h.

INFORMACIÓN BÁSICA SOBRE PROTECCIÓN DE DATOS
Responsable del tratamiento: AUDIDAT 3.0, S.L. | Dirección del responsable: Paseo de la Castellana 182, 6ª planta 28046 Madrid |
Finalidad: Sus datos serán usados para poder atender sus solicitudes y prestarle nuestros servicios. Asimismo, si usted nos ha facilitado su currículum personal, sus datos personales serán utilizados para participar en nuestros procesos de selección. | Publicidad: Solo le enviaremos publicidad con su autorización previa, que podrá facilitarnos mediante la casilla correspondiente establecida al efecto. | Legitimación: Únicamente trataremos sus datos con su consentimiento previo, que podrá
facilitarnos mediante la casilla correspondiente establecida al efecto. | Destinatarios: Con carácter general, sólo el personal de nuestra entidad que esté debidamente autorizado podrá tener conocimiento de la información que le pedimos. Así mismo comunicaremos su información a entidades ofertantes interesadas en su perfil curricular. | Derechos: Tiene derecho a saber qué información tenemos sobre usted, corregirla y eliminarla,
tal y como se explica en la información
adicional disponible en nuestra página web. | Información adicional: Más información en el apartado ““política de privacidad”” de nuestra página web. | Delegado de Protección: de Datos dpd@audidat.com

Audidat
Resumen de privacidad

Bienvenida/o a la información básica sobre las cookies de la página web responsabilidad de la entidad: AUDIDAT 3.0, S.L. Una cookie o galleta informática es un pequeño archivo de información que se guarda en tu ordenador, “smartphone” o tableta cada vez que visitas nuestra página web. Algunas cookies son nuestras y otras pertenecen a empresas externas que prestan servicios para nuestra página web.  Las cookies pueden ser de varios tipos: las cookies técnicas son necesarias para que nuestra página web pueda funcionar, no necesitan de tu autorización y son las únicas que tenemos activadas por defecto.  El resto de cookies sirven para mejorar nuestra página, para personalizarla en base a tus preferencias, o para poder mostrarte publicidad ajustada a tus búsquedas, gustos e intereses personales. Puedes aceptar todas estas cookies pulsando el botón ACEPTAR, rechazarlas pulsando el botón RECHAZAR o configurarlas clicando en el apartado CONFIGURACIÓN DE COOKIES. Si quieres más información, consulta la POLÍTICA DE COOKIES de nuestra página web.