Capítulo 12: El Régimen de Sanciones: Consecuencia como Control¶
La Doctrina de la Imputabilidad Efectiva¶
"Un control técnico sin respaldo administrativo es una sugerencia, no una regla. Si el firewall detecta y el log registra, pero la organización no ejecuta una consecuencia ante la violación probada, el sistema de control pierde su validez. La impunidad ante la evidencia es el incentivo estructural más potente para la reincidencia."
Hemos validado técnicamente el entorno (Bloque 3). Sabemos quién es, qué hizo y cómo lo hizo. La pregunta del Bloque 4 es: ¿Qué pasa ahora?
En muchas organizaciones, la respuesta es: "Se cierra el ticket técnico". Para la Doctrina de la Evidencia, eso es inaceptable. El cierre técnico del incidente es irrelevante si no existe un cierre de responsabilidad.
Este capítulo establece que la Sanción no es un acto emocional ni vindicativo; es un componente funcional del Control Interno. Sin consecuencia, el control no cierra su ciclo.
12.1. La Traducción Forense: De la Evidencia a la Acción¶
El principal obstáculo para la imputabilidad es que la evidencia suele ser incomprensible para el área administrativa.
- El Técnico: "El usuario violó la política DLP en el puerto 443."
- RRHH/Legal: "No podemos sancionar eso, no está tipificado."
El Rol del Auditor: El Fiscal Digital no entrega logs crudos; entrega Hechos Administrativos Probados. Su función es traducir la evidencia técnica en lenguaje contractual:
"El usuario extrajo activos confidenciales fuera del horario laboral y por canales no autorizados, violando la cláusula de confidencialidad y el deber de custodia."
Sin esta traducción, la evidencia técnica carece de fuerza ejecutiva.
12.2. Tipificación de la Falta: Proporcionalidad del Riesgo¶
La evidencia recolectada permite categorizar la conducta objetivamente. La consecuencia no depende de la simpatía, sino de la evidencia material y la proporcionalidad del riesgo generado.
- Error Operativo: Fallo por complejidad o falta de capacitación.
- Consecuencia: Reentrenamiento (Remediación de competencia).
- Negligencia (Culpa): Conocimiento de la norma pero decisión de ignorarla por comodidad.
- Consecuencia: Sanción administrativa disciplinaria.
- Dolo (Intención): Búsqueda activa de daño, beneficio propio o encubrimiento.
- Consecuencia: Desvinculación y acción legal.
La sanción debe ser quirúrgica: proporcional al quiebre del deber, no al estado de ánimo de la gerencia.
12.3. La Asimetría de la Sanción (Inmunidad Ejecutiva)¶
Aquí reside la falla más crítica de gobernanza: La Sanción Selectiva. Un sistema de control que castiga implacablemente al operativo pero "perdona" al directivo por la misma falta, es un sistema fraudulento (Simulación, Cap 4).
El Principio de Coherencia Jerárquica: Si un Gerente comparte su contraseña o evade un control crítico y causa una brecha, la falta es agravada por su posición de garante, no atenuada.
- La Inmunidad Ejecutiva destruye el control: Si la estructura de poder está exenta de las reglas que impone, la "Cultura de Seguridad" es una ficción.
- Riesgo Moral: La impunidad en la cima valida la negligencia en la base.
Para el Auditor, la jerarquía no es un escudo; es un factor de agravante de responsabilidad.
12.4. Responsabilidad Contractual (Proveedores)¶
Cuando el responsable es un tercero (Vendor, Nube, Soporte), la consecuencia se traslada al contrato.
La Cláusula de Responsabilidad Material: El Auditor utiliza el Informe Forense para ejecutar las garantías. No basta con la devolución del costo mensual (SLA); se exige la reparación del daño.
- Multas por incumplimiento de niveles de seguridad.
- Rescisión de contrato por negligencia grave probada.
Mantener a un proveedor que ha demostrado negligencia probada es financiar la propia vulnerabilidad.
Conclusión del Capítulo¶
La tecnología permite la trazabilidad perfecta, pero esa trazabilidad es inútil sin voluntad política de ejecución. La auditoría forense entrega la certeza técnica; la administración debe tener el valor de ejecutar la consecuencia, sin importar el cargo del infractor.
Un sistema que detecta y prueba la falta, pero decide no sancionarla, no es un sistema tolerante; es un sistema cómplice. La ausencia de consecuencia ante la evidencia es una decisión administrativa explícita de aceptar el riesgo.