El Mundo Real por Miguel A. Hernández

En esta ocasión quiero iniciar una serie de posts sobre algunos aspectos algo controvertidos de la norma ISO 27001 y que quizá, una vez expuestos aquí, puedan ayudar a aquellos que se encuentren ante el problema de su implantación. Son ya unos cuantos años peleándome disfrutando con esta normativa, pero aún a día de hoy sigo encontrando algunos controles o apartados de la norma que no resultan todo lo claros que me gustaría. A continuación voy a dar mi interpretación de uno de ellos, el Proceso Disciplinario.

Disclaimer: el de siempre, que no soy abogado ni pretendo serlo por lo que el siguiente texto puede contener errores u omisiones.

Agradecimientos: quiero agradecer su aportación en este post a Nuria Martínez @numarfer, Ángel Juan Cano @Angel_juca y Javier Cao @javiercao.

Control A.8.2.3. Proceso Disciplinario

Este control es uno de los más controvertidos al resultar complejo distinguir entre lo que puede realmente regular la empresa, y lo que no.

Podemos distinguir en este control varios casos entre los que quiero destacar 3:

• Caso 1: Personal Laboral en Empresas Privadas
• Caso 2: Personal Funcionario en Administraciones Públicas
• Caso 3: Personal Laboral Privado en Administraciones Públicas

En los 3 casos hay una base legal reguladora que crea un marco sancionador y en algún caso también el proceso disciplinario. Analizaremos los casos anteriores por separado.

Caso 1: Personal Laboral en Empresas Privadas

Vamos a comenzar por el plato fuerte porque los otros dos parecen algo más claros. El personal laboral en empresas privadas debe regirse por la siguiente legislación de aplicación en relación al proceso disciplinario:

• Real Decreto Legislativo 1/1995, de 24 de marzo, Ley del Estatuto de los trabajadores. En el que se regulan las relaciones laborales por cuenta ajena.
• Convenio colectivo de aplicación al sector de la empresa. En el que se ofrece regulación sectorial y condiciones pactadas entre trabajadores y empresarios así como puede definirse también el régimen disciplinario.
• Resolución de 13 de mayo de 1997, de la Dirección General de Trabajo, Acuerdo de Cobertura de Vacíos. Donde se define el régimen disciplinario de aplicación si no existiera otro en la legislación de aplicación más directa.

El Estatuto de los Trabajadores define en su artículo 58 las Faltas y Sanciones de los Trabajadores pero deja abierta la puerta a la definición de qué se considerará una falta, y los tipos de falta, al convenio colectivo correspodiente, siendo común denominador la definición de tres tipos de faltas categorizadas como muy graves,  graves y leves en función de diversos criterios. Así, para entender cómo se aplica la legislación vinculante para este control en una empresa determinada es necesario conocer los convenios colectivos que le aplican y acudir a los mismos en busca de un criterio de clasificación de las faltas y una orientación sobre qué puede suponer una falta de mayor o menor gravedad. El problema suele venir cuando, una vez identificados los convenios correspondientes, tampoco se localiza el capítulo correspondiente al régimen disciplinario, tal como sucede en el Convenio de Empresas de Consultoría por ejemplo. Para estos casos se debe estar a lo dispuesto en el Acuerdo de Cobertura de Vacíos que define en su Título II, Capítulo IV el Régimen disciplinario.

Todo lo anterior es necesario a la hora de tener claro qué sanciones podría la empresa aplicar a un trabajador en caso de un incumplimiento de sus deberes y obligaciones en el desempeño de sus tareas. Estas sanciones deben ser proporcionales porque lo normal es que, ante una sanción de carácter grave o muy grave, sobre todo aquellas que acaban con un despido disciplinario recogido también en el Estatuto de los Trabajadores, se acabe en un proceso judicial en el que el resultado dependerá del buen hacer de la empresa.

El control A.8.2.3 es muy escueto y hay que ir a la ISO 27002 para ver qué se pretende realmente con el control (como con otros muchos). De la 27002 deducimos que lo que debería solucionar este proceso disciplinario, entre otros aspectos, es lo siguiente:

• Identificación del marco legal de aplicación referenciando al mismo como el que rige en todo momento en caso de conducta inadecuada del empleado.
• Si se estimase necesario, asociaciones entre el marco normativo organizacional y la gravedad de las faltas en que se incurriría por su incumplimiento para aquellos casos que no tengan un claro encaje en la legislación de aplicación. El acuerdo de cobertura de vacíos proporciona una buena guía para modular de forma adecuada las sanciones ya que sí es un poco más intensivo en relación a las alteraciones o mal uso de los activos físicos de la organización. Esto nos puede dar una idea a la hora de establecer una correspondencia coherente.
• Actuaciones a realizar por cada una de las faltas sancionadas, observando en todo momento las restricciones legales que pueden señalar, como lo hace el artículo 17 del Acuerdo de Cobertura de Vacíos cuando cita: “La falta, sea cual fuere su calificación, requerirá comunicación escrita y motivada de la empresa al trabajador”. Pueden existir situaciones en las que la organización estime conveniente una actuación en una hora determinada, que requiera de ciertas personas, escolta del trabajador, retirada de material con el que trabaja, o bien que existan trámites de expedientes internos, etc. Esto puede suceder ante situaciones de despido disciplinario, ocasionado por una conducta grave y culpable del trabajador, como así recoge el artículo 54 del Estatuto de los Trabajadores.
• Vinculación a los procedimientos internos de la organización en caso de ser necesaria su ejecución por el incumplimiento de algunas normas internas. Algunos de los procedimentos vinculados pueden ser, entre otros, los surgidos de los controles A.11.2.2. Gestión de Privilegios o A.13.2.3. Recolección de Evidencias. Estos procedimientos pueden sentar las bases para actuaciones ante determinado tipo de faltas, como un mal uso del puesto de trabajo que pueda perjudicar la imagen de la organización.

El proceso disciplinario dentro de una empresa privada requiere de la participación de Recursos Humanos. Aún no perteneciendo a este control sino a los controles “A.8.1.3 Términos y Condiciones de la Contratación” y “A.7.1.3 Uso aceptable de los activos” es básica la comunicación al trabajador de todas sus obligaciones y la normativa a cumplir junto con el código disciplinario de aplicación en relación al desempeño de sus funciones. La no comunicación al usuario de qué puede y qué no puede hacer con su puesto de trabajo puede dar con situaciones tan absurdas como tener que indemnizar a un empleado al que se había despedido de forma disciplinaria por consultar más de 300 páginas de contenido pornográfico en dos semanas desde su puesto de trabajo.

Caso 2: Personal Funcionario en Administraciones Públicas

El empleado público tiene regulado su proceso disciplinario dentro de la propia legislación española por lo que sería suficiente mencionar tales circunstancias y señalar la legislación de aplicación que ya debe ser conocida de facto por el personal que ocupe un cargo público.

La legislación de aplicación que puede vincularse al personal funcionario a este respecto es la siguiente:

• R.D. 33/1986 de 10 de Enero por el que se aprueba el Reglamento de Régimen Disciplinario de los Funcionarios de la Administración del Estado. Donde se gradúan las faltas y se definen los supuestos en los que se incurriría en cada tipo de las mismas.
• Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Donde se definen los procesos a seguir en caso de una posible sanción a un empleado público.
• Ley 7/2007, de 12 de abril, del Estatuto Básico del Empleado Público. Donde se definen los derechos y deberes de los empleados públicos así como su régimen disciplinario.

La base de los códigos disciplinarios de aplicación a los empleados públicos es el R.D. 33/1986 de 10 de Enero por el que se aprueba el Reglamento de Régimen Disciplinario de los Funcionarios de la Administración del Estado. En este reglamento se determina qué es constitutivo de falta muy grave, grave y leve, y también señala a la Ley de Procedimiento Administrativo como la sistemática a seguir para el procesado de cualquier sanción al funcionariado. Asimismo, el Estatuto Básico del Empleado Público define en su Título VII el Régimen Disciplinario, y detalla en su artículo 95 las faltas que se consideran como muy graves.

El estatuto básico del empleado público, deja a cargo de la Ley de Cortes Generales y la Ley de Función Pública la definición de las faltas graves y leves respectivamente así como a lo dispuesto en los convenios colectivos. A este respecto se puede acudir al III Convenio Único para el Personal Laboral de la Administración General de Estado. En este convenio, a partir del artículo 78 se puede localizar el régimen disciplinario de aplicación al colectivo bajo este convenio. De forma similar a la anterior se gradúan las faltas y las sanciones.

Lo único que restaría, una vez comprobamos que legalmente todo se encuentra atado, es asegurarnos de que se ha contemplado también la legislación local. En el caso de Murcia a los empleados públicos les sería de aplicación lo declarado en:

• Decreto legislativo 1/2001, de 36 de Enero, Ley de la Función Pública de la Región de Murcia. Donde se exponen requisitos adicionales al régimen disciplinario recogido en el Estatuto Básico del Empleado Público.

Caso 3: Personal Laboral Privado en Administraciones Públicas

Este caso es, aparentemente, el más sencillo porque aplicaría el caso 1 a pesar de estar en dependencias públicas. Ha de tenerse en cuenta que el personal laboral que trabaja en las dependencias de la administración pública lo hace a través de una empresa o empleador, de forma que, en caso de incumplimiento por parte del trabajador, se estaría a lo dispuesto en el contrato firmado entre administración y empresa o empleador, en lo que a la Administración Pública se refiere. Al empleado le sería de aplicación el código disciplinario del caso 1.

Referencias

[1] Responsabilidad Disciplinaria Laboral

Espero que os resulte de utilidad a los que caigáis por este blog. Nos leemos…

Uno de los aspectos que cualquier organización debe plantearse cuando afronta una certificación ISO 27001 es cual va a ser su coste real de implantación. Este coste depende de múltiples y resulta complejo de estimar.

Esta mañana me ha informado Dejan Kosutic que han lanzado una calculadora que recoge algunos de los parámetros más significativos a la hora de afrontar una implantación de ISO 27001. Los parámetros que se recogen para la estimación son:

• Número de Empleados bajo el Alcance
• Número de Departamentos bajo el Alcance
• Número de Ubicaciones Físicas bajo el alcance
• Implementación de otros estándares relacionados como 9001, PCI-DSS, etc.
• Contratación de expertos para la implementación
• Coordinación interna del proyecto
• Soporte de Dirección

Si la memoria no me falla, los tres primeros parámetros son los que normalmente se solicitan por las entidades de certificación a la hora de estimar los recursos necesarios para auditorías, tanto de certificación como de seguimiento. El resto de parámetros definitivamente influye en el tiempo de implantación. Lo único que echo en falta en un primer vistazo es que la proporcionalidad de las respuestas es, para mi, algo escasa. No es lo mismo tener a alguien experto trabajando a tiempo completo en la organización cliente (en la que se va a implantar ISO 27001), que contratar este servicio a alguien externo que no va a estar en las instalaciones de la empresa y a encargarse de la implementación. Asimismo hecho en falta una pregunta para determinar cuantos empleados de la organización se destinarán al proyecto, no sólo si hay o no un manager, sino qué recursos voy a dedicar a tiempo parcial o completo al proyecto.

A pesar de estos detalles, la iniciativa me ha parecido muy buena y tal como ya comentamos en relación a CVSS, las calculadoras son una buena herramienta para hacernos una primera idea, a partir de ahí, entra la casuística de cada organización.

Actualizado 04/10 Corregido el enlace a la calculadora que contenía  un error.