La responsabilidad que no se delega

La creciente dependencia de los sistemas digitales ha incorporado nuevos riesgos a la administración de las sociedades, cuyas consecuencias pueden comprometer la continuidad operacional, el cumplimiento de obligaciones contractuales y los intereses de los accionistas. Por ello, la delimitación de las responsabilidades del directorio adquiere especial relevancia, particularmente cuando la gestión de la ciberseguridad ha sido encomendada a equipos especializados o proveedores externos.

El artículo 41 de la Ley N° 18.046 sobre Sociedades Anónimas establece un deber de cuidado y diligencia en el ejercicio de las funciones de los directores, acompañado de un régimen de responsabilidad solidaria por los perjuicios causados a la sociedad y a los accionistas mediante actuaciones dolosas o culpables. Su aplicación a los riesgos digitales exige distinguir entre la materialización de un incidente y la eventual infracción de los deberes de administración, considerando las circunstancias particulares, las decisiones adoptadas y los antecedentes disponibles al momento de resolver.

La posibilidad de delegar determinadas funciones, contemplada en el artículo 40 de la misma ley, permite distribuir responsabilidades operativas sin que ello implique una desvinculación del directorio respecto de sus obligaciones legales. En materia de ciberseguridad, esta distinción supone que la supervisión debe sustentarse en información suficiente para comprender los riesgos relevantes, evaluar las medidas propuestas y conocer las consecuencias de aquellas vulnerabilidades que permanecen sin resolver.

Desde esta perspectiva, la documentación de las deliberaciones adquiere importancia para reconstruir el proceso mediante el cual se adoptaron decisiones sobre recursos, prioridades y aceptación de riesgos. Las actas pueden contribuir a establecer qué antecedentes fueron conocidos por los directores, cuáles fueron las recomendaciones examinadas y qué acuerdos se adoptaron, aunque, fuera de la constancia de oposición que contempla el artículo 48 de la misma ley, su existencia no acredita por sí sola el cumplimiento del estándar de diligencia exigible.

La evaluación de ese estándar requiere atender igualmente a la razonabilidad de las decisiones y a la pertinencia de los antecedentes considerados. La adopción de medidas habituales en una determinada industria puede constituir una referencia, pero resulta insuficiente cuando las características de la sociedad, sus dependencias tecnológicas o la exposición de sus operaciones exigen un análisis específico. La diligencia directiva debe examinarse en relación con las circunstancias conocidas o razonablemente cognoscibles al momento de decidir, evitando confundir la existencia posterior de un daño con una presunción general de actuación negligente.

A este marco se incorpora la Ley N° 21.663, Marco de Ciberseguridad, que establece obligaciones específicas para las instituciones comprendidas en su ámbito de aplicación, entre ellas los prestadores de servicios esenciales y los operadores de importancia vital. Su alcance diferenciado obliga a distinguir las exigencias regulatorias particulares del deber general de diligencia que corresponde a los directores de sociedades anónimas.

La supervisión de los riesgos digitales debe comprenderse, en consecuencia, como una manifestación de las obligaciones propias de la administración societaria, cuya evaluación jurídica depende tanto de las decisiones sustantivas como de los antecedentes que permitieron adoptarlas. La especialización técnica puede justificar la distribución de funciones, pero la responsabilidad de ejercer una dirección informada permanece vinculada al cargo y al estándar de diligencia establecido por el ordenamiento jurídico.

Juan Pablo López Maluenda

Fundador de Ciberlegal