La Ley de responsabilidad y transferibilidad de los seguros médicos (Health Insurance Portability & Accountability Act) de 1996 (21 de agosto 21), ley pública 104-191, que modifica el código del Internal Revenue Service de 1986. También conocida como la Ley de Kennedy-Kassebaum.
El Título II incluye una sección, Simplificación administrativa, que exige:
1. Mayor eficiencia en la asistencia médica por medio de la estandarización del intercambio electrónico de datos, y
2. La protección de la confidencialidad y seguridad de los datos médicos, a través del establecimiento y cumplimiento de estándares.
Más específicamente, la HIPAA pide:
1. La estandarización de los datos electrónicos administrativos, financieros y de salud de los pacientes
2. Identificadores médicos únicos para personas, empleados, planes de salud y proveedores de cuidados médicos
3. Normas de seguridad que protejan la confidencialidad y la integridad de la "información médica identificable a nivel personal" pasada, presente o futura.
En resumen: cambios radicales en la mayoría de los sistemas de información administrativos y de transacciones médicas.
¿A QUIÉN AFECTA? A todas las organizaciones de salud. Esto incluye a todos los proveedores de asistencia médica, contando a los consultorios de un solo médico, a los planes de salud, empresas, autoridades de salud, compañías de seguros, cámaras de compensación, agencias de facturación, proveedores de sistemas de información, organizaciones de servicios y universidades.
¿HAY SANCIONES? La HIPAA pide sanciones civiles y penales graves en caso de incumplimiento, como multas de hasta 25,000 dólares por violaciones reiteradas del mismo estándar en un solo año, multas de hasta 250,000 dólares o hasta 10 años de prisión por el mal uso consciente de la información de salud identificable a nivel personal.
PLAZOS DE APLICACIÓN La mayoría de las entidades disponen de 24 meses desde la fecha de entrada en vigor de la regla final, para cumplirla en su totalidad. Normalmente, la fecha de entrada en vigor es 60 días después de la publicación de una regla. La Regla sobre transacciones se publicó el 17 de agosto de 2000. Por lo tanto, la fecha de cumplimiento de esa regla es el 16 de octubre de 2002. La Regla sobre confidencialidad se publicó el 28 de diciembre de 2000, pero debido a pequeños problemas técnicos, no entró en vigor hasta el 14 de abril de 2001. El cumplimiento de la regla sobre confidencialidad se exige a partir del 14 de abril de 2003.
¿CÓMO SE APLICARÁ? De manera amplia y profunda. Las respuestas de cumplimiento exigidas no son estándar, ya que las organizaciones tampoco lo son. Por ejemplo, una organización con una red de cómputo deberá poner en funcionamiento uno o más mecanismos de acceso con autenticación de seguridad, basados en los usuarios, las funciones o el contexto, dependiendo del entorno de red.
Un cumplimiento efectivo requerirá de una aplicación en toda la organización. Los pasos incluirán:
Fomentar el conocimiento inicial de la HIPAA en toda la organización.
Evaluar de forma completa los sistemas de seguridad de la información, los reglamentos y los procedimientos de la organización.
Desarrollar un plan de acción con plazos y fechas límite.
Desarrollar una infraestructura técnica y de administración para poner el plan en funcionamiento.
Poner en marcha un plan de acción completo que incluya
el desarrollo de nuevos reglamentos, procesos y procedimientos
Crear acuerdos de "cadena de confianza" con la organización de servicios.
Rediseñar una infraestructura de información técnica que cumpla los requisitos.
Adaptar o adquirir nuevos sistemas de información
Desarrollar nuevas comunicaciones internas
Capacitación y aplicación
Ahora, exploraremos el siguiente nivel de particularidades de la HIPAA que, para muchos de nosotros, son más fuente de confusión que de entendimiento. Intentemos simplificar la "Simplificación administrativa".
La disposición sobre "Simplificación administrativa" de la HIPAA consta de cuatro partes, cada una de las cuáles genera varias "reglas" y "estándares". Muchas de las reglas y estándares están aún en la fase de "propuesta" (por el DHHS); sin embargo, está previsto que la mayoría de ellas se conviertan en reglas "finales" en el año 2000. Para complicar el asunto aún más, cuando las reglas sean finales, la mayoría de ellas tendrá diferentes fechas de aplicación.
Las cuatro partes de la simplificación administrativa son:
ESTÁNDARES PARA TRANSACCIONES ELECTRÓNICAS RELACIONADAS CON LA SALUD
IDENTIFICADORES ÚNICOS
ESTÁNDARES DE SEGURIDAD Y FIRMAS ELECTRÓNICAS
ESTÁNDARES DE PRIVACIDAD Y CONFIDENCIALIDAD
I. ESTÁNDARES PARA TRANSACCIONES ELECTRÓNICAS RELACIONADAS CON LA SALUD
El término "transacciones electrónicas relacionadas con la salud" incluye las reivindicaciones médicas, la elegibilidad para los planes de salud, la inclusión y exclusión, los pagos de primas de los planes de salud y asistencia, el estado de las reclamaciones, los primeros informes de lesiones, la coordinación de prestaciones y las transacciones relacionadas.
En la actualidad, los proveedores de cuidados y los planes de salud usan un gran número de formatos electrónicos distintos. La aplicación de un estándar nacional significa que todos usaremos un solo formato, lo que "simplificará" y mejorará la eficiencia de las transacciones en todo el país. La regla propuesta exige el uso de formatos electrónicos específicos desarrollados por el ANSI (American National Standards Institute) para la mayoría de las transacciones, con excepción de las reclamaciones y los primeros informes de lesión. La reglamentación propuesta para estas excepciones aún no se conoce.
Prácticamente todos los planes de salud tendrán que adoptar estos estándares, aunque la transacción se realice en papel, por teléfono o por fax. Los proveedores que usan transacciones no electrónicas no tendrán que adoptar los estándares, pero si no lo hacen, deberán contratar a un centro de cambio y compensación que proporcione los servicios de conversión.
Las organizaciones de salud también deben adoptar CONJUNTOS DE CÓDIGOS ESTÁNDAR para utilizarlos en todas las transacciones médicas. Por ejemplo, los sistemas de codificación que describen las enfermedades, las lesiones y otros problemas de salud, así como sus causas, síntomas y medidas adoptadas deberán ser uniformes. Todas las partes de una transacción deberán usar y aceptar los mismos códigos. Una vez más, esto tiene como fin reducir, a la larga, los errores, la duplicación de esfuerzos y los costos. Afortunadamente, muchos planes de salud, centros de compensación y proveedores de cuidados de la salud ya utilizan los conjuntos de códigos que se proponen como estándares de la HIPAA, lo que facilitará la transición.
II. IDENTIFICADORES ÚNICOS PARA PROVEEDORES, EMPRESARIOS, PLANES DE SALUD y PACIENTES
El sistema actual nos permite tener varios números de Id. para distintas relaciones entre nosotros; la HIPAA considera que esto es confuso, caro e induce a errores. Se espera que los identificadores estándar reduzcan estos problemas.
III. ESTÁNDARES DE SEGURIDAD DE LA INFORMACIÓN MÉDICA Y FIRMA ELECTRÓNICA
El nuevo estándar de seguridad proporcionará un nivel de protección uniforme a toda la información médica que se aloje o se transmita electrónicamente, y pertenezca a una persona. Además, las organizaciones que usen firmas electrónicas deberán cumplir con un estándar que garantice la integridad del mensaje, la autenticación del usuario y la ausencia de rechazo.
El estándar de seguridad obliga a tener sistemas de protección para el almacenamiento y mantenimiento físicos, para la transmisión y el acceso a la información de salud de una persona. Esto es válido no sólo para las transacciones que se lleven a cabo después de la entrada en vigor de la HIPAA, sino para toda la información de salud de una persona que se conserve o se transmita. El estándar de firma electrónica, sin embargo, sólo se aplica a las transacciones realizadas después de la entrada en vigor de la HIPAA.
El estándar de seguridad no exige el uso de tecnologías específicas; las soluciones variarán de una organización a otra, dependiendo de las necesidades y la tecnología de cada lugar. Asimismo, no se exige actualmente la firma electrónica para ninguna de las transacciones realizadas según la HIPAA.
IV. PRIVACIDAD Y CONFIDENCIALIDAD
La regla final de confidencialidad se publicó cuando terminaba el mandato del presidente Clinton, el 28 de diciembre de 2001. Ciertos problemas de papeleo retrasaron la comunicación al Congreso, por lo que la revisión del Congreso no comenzó hasta febrero, lo que retrasó la fecha de entrada en vigor de la regla hasta el 14 de abril de 2001. El Secretario del DHHS, Tommy Thompson, utilizó ese tiempo para solicitar comentarios adicionales durante el mes de marzo. El DHHS recibió más de 11,000 comentarios y como respuesta, tiene previsto emitir lineamientos y aclaraciones sobre la regla final. A partir del 14 de abril de 2003, se exigirá su cumplimiento por parte de la mayoría de las entidades.
En general, la privacidad se refiere a quién puede tener acceso a la información de salud que permite identificar a una persona. La regla abarca toda la información de salud con datos de identificación personal en manos de las entidades afectadas, independientemente de si dicha información está o estuvo en formato electrónico.
Los estándares de confidencialidad:
limitan el uso no consensuado y la divulgación de la información de salud privada;
dan a los pacientes derecho de acceso a sus registros médicos y a saber quién más ha tenido acceso a ellos;
restringen la divulgación de la información médica a lo mínimo necesario para los fines deseados;
establecen nuevas sanciones civiles y penales por el uso o divulgación indebidos;
establecen nuevos requisitos para el acceso a los registros por parte de los investigadores y otras personas.
La nueva regla refleja los cinco principios básicos planteados en ese momento:
Control del consumidor: la regla proporciona a los consumidores nuevos derechos críticos de control sobre la divulgación de su información médica
Límites: con pocas excepciones, la información de asistencia médica de una persona debe utilizarse exclusivamente para fines de salud legítimos, incluidos el tratamiento y el pago.
Contabilidad: con la HIPAA, por primera vez, habrá sanciones federales específicas si se viola el derecho a la confidencialidad de un paciente.
Responsabilidad pública: los nuevos estándares reflejan la necesidad de equilibrar la protección privada y la responsabilidad pública de apoyar prioridades nacionales, como la protección de la salud pública, el desarrollo de investigaciones médicas, la mejora de la calidad de la atención, y la lucha contra el fraude y el abuso en los servicios de salud.
Seguridad: es responsabilidad de las organizaciones a las que se confía la información médica protegerla contra el mal uso o la divulgación deliberada o accidental.
Fuente: www.hchdonline.com
martes, 6 de diciembre de 2011
sábado, 5 de noviembre de 2011
MÉTODOS Y TÉCNICAS ANTIFORENSES
Según [Cano, 2007] Son métodos que limitan la identificación, adquisición, análisis y validación de la evidencia digital en cuanto a cantidad y calidad.
Cano, también da un concepto más amplio “Cualquier intento exitoso efectuado por un individuo o proceso que impacte de manera negativa la identificación, la disponibilidad, la confiabilidad y la relevancia de la evidencia digital en un proceso forense.”
Los objetivos de los métodos antiforenses son [Cano, 2007]:
• Limitar la detección de un evento que haya ocurrido.
• Distorsionar la información residente en el sitio.
• Incrementar el tiempo requerido para la investigación del caso.
• Generar dudas en el informe forense o en el testimonio que se presente.
• Engañar y limitar la operación de las herramientas forenses informáticas.
• Diseñar y ejecutar un ataque contra el investigador forense que realiza la pericia.
• Eliminar los rastros que pudiesen haber quedado luego de los hechos investigados.
COMENTARIO:
Entre los métodos antiforenses tenemos desde los más simples e ingeniosos hasta los más tecnificados por ejemplo:
- Uso de programas de freezado de sistema operativo, por ejemplo DeepFreezer
- Uso de CDs booteables que no escriben en el disco rígido y por tanto no dejan rastros.
- Uso de USB con tecnología U3 con propio sistema operativo y programas portables. Una variante en USB que no cuentan con tecnología U3 es el uso de programas portables almacenados en dispositivos USB (Ej. FireFox portable, Emule portable, etc).
- Uso de máquinas virtuales.
- Borrado de históricos del navegador de Internet.
- Ocultamiento de IPs con proxys anónimos.
- Uso de PCs en cibercafes para realizar actividades ilícitas
- Borrar los datos del archivo desde la aplicación. Ejemplo un documento de Word borrar los datos y guardar con el mismo nombre.
- Programas que cambian metadatos. Ej. Fecha de creación, modificación, etc.
- Cambio del dispositivo de almacenamiento (disco rígido utilizado para actividades ilícitas) por uno nuevo de paquete y con los programas que tenía el antiguo.
- Formateo de disco, solo borra el índice que indica donde están los archivos.
- Destrucción de datos (wipeado) mediante la sobreescritura de archivos.
- Ocultar particiones.
- Ocultar archivos mediante cambio de atributo a oculto, cambio de extensión o lo más tecnificado ocultar mediante estenografía en imágenes o audio.
- Encripción de discos y de datos mediante software o mediante hardware.
- Destrucción física es decir romper el disco, imantar, quemar, etc.
Sin embargo de todos los métodos y técnicas mencionados, cabe resaltar que si bien dificultan el trabajo del profesional forense, siempre se podrá recurrir a procedimientos alternativos que encuentren o den indicios de las actividades ilícitas. Por ejemplo: Si se encuentra que un disco rígido fue sometido a técnicas de wipeado se puede presumir que realizaba actividades de las cuales no quería ser descubierto. Si se conectó a Internet se podrá realizar la búsqueda de correos electrónicos, pedir datos a la ISP y es muy posible en algún momento utilizó dispositivos de almacenamiento USB, haber guardado nombres de usuario y contraseña en papeles.
No existe el crimen perfecto pues "siempre" se deja rastros y si existiera algún crimen perfecto, todovía no nos enteramos porque fuen tan perfecto que ocultó o borró bastante bien sus rastros.
También cabe mencionar una frase que me gusta bastante:
"No existe la verdad absoluta y esta frase es una verdad absoluta".
[Cano, 2007], Jeimy Cano. “Estrategias anti-forenses en informática: Repensando la computación forense”, Revista de Derecho Informático, No. 110 - Septiembre del 2007. http://www.alfa-redi.org/rdi-articulo.shtml?x=9608 Consultado 16/10/2010
Cano, también da un concepto más amplio “Cualquier intento exitoso efectuado por un individuo o proceso que impacte de manera negativa la identificación, la disponibilidad, la confiabilidad y la relevancia de la evidencia digital en un proceso forense.”
Los objetivos de los métodos antiforenses son [Cano, 2007]:
• Limitar la detección de un evento que haya ocurrido.
• Distorsionar la información residente en el sitio.
• Incrementar el tiempo requerido para la investigación del caso.
• Generar dudas en el informe forense o en el testimonio que se presente.
• Engañar y limitar la operación de las herramientas forenses informáticas.
• Diseñar y ejecutar un ataque contra el investigador forense que realiza la pericia.
• Eliminar los rastros que pudiesen haber quedado luego de los hechos investigados.
COMENTARIO:
Entre los métodos antiforenses tenemos desde los más simples e ingeniosos hasta los más tecnificados por ejemplo:
- Uso de programas de freezado de sistema operativo, por ejemplo DeepFreezer
- Uso de CDs booteables que no escriben en el disco rígido y por tanto no dejan rastros.
- Uso de USB con tecnología U3 con propio sistema operativo y programas portables. Una variante en USB que no cuentan con tecnología U3 es el uso de programas portables almacenados en dispositivos USB (Ej. FireFox portable, Emule portable, etc).
- Uso de máquinas virtuales.
- Borrado de históricos del navegador de Internet.
- Ocultamiento de IPs con proxys anónimos.
- Uso de PCs en cibercafes para realizar actividades ilícitas
- Borrar los datos del archivo desde la aplicación. Ejemplo un documento de Word borrar los datos y guardar con el mismo nombre.
- Programas que cambian metadatos. Ej. Fecha de creación, modificación, etc.
- Cambio del dispositivo de almacenamiento (disco rígido utilizado para actividades ilícitas) por uno nuevo de paquete y con los programas que tenía el antiguo.
- Formateo de disco, solo borra el índice que indica donde están los archivos.
- Destrucción de datos (wipeado) mediante la sobreescritura de archivos.
- Ocultar particiones.
- Ocultar archivos mediante cambio de atributo a oculto, cambio de extensión o lo más tecnificado ocultar mediante estenografía en imágenes o audio.
- Encripción de discos y de datos mediante software o mediante hardware.
- Destrucción física es decir romper el disco, imantar, quemar, etc.
Sin embargo de todos los métodos y técnicas mencionados, cabe resaltar que si bien dificultan el trabajo del profesional forense, siempre se podrá recurrir a procedimientos alternativos que encuentren o den indicios de las actividades ilícitas. Por ejemplo: Si se encuentra que un disco rígido fue sometido a técnicas de wipeado se puede presumir que realizaba actividades de las cuales no quería ser descubierto. Si se conectó a Internet se podrá realizar la búsqueda de correos electrónicos, pedir datos a la ISP y es muy posible en algún momento utilizó dispositivos de almacenamiento USB, haber guardado nombres de usuario y contraseña en papeles.
No existe el crimen perfecto pues "siempre" se deja rastros y si existiera algún crimen perfecto, todovía no nos enteramos porque fuen tan perfecto que ocultó o borró bastante bien sus rastros.
También cabe mencionar una frase que me gusta bastante:
"No existe la verdad absoluta y esta frase es una verdad absoluta".
[Cano, 2007], Jeimy Cano. “Estrategias anti-forenses en informática: Repensando la computación forense”, Revista de Derecho Informático, No. 110 - Septiembre del 2007. http://www.alfa-redi.org/rdi-articulo.shtml?x=9608 Consultado 16/10/2010
viernes, 21 de octubre de 2011
Contralor interno de La Polar revela misterioso “local 70”, entrega a culpables y cuenta cómo se destruirían documentos
Alejandro Aedo, que entregó su testimonio ante la autoridad reguladora el pasado 7 de septiembre durante 3 horas y 41 minutos, explicó cómo se le entregaba información parcial a la cuestionada consultora Price Waterhouse, aunque ésta no podía menos que detectar las anomalías. Asimismo acusa el intento de inducir a posibles testigos en sus declaraciones.
Por primera vez desde que se inició la investigación contra La Polar en la Superintendencia de Valores y Seguros (SVS), uno de los funcionarios que aún se mantiene en la empresa, decidió contar toda la verdad. Y lo hizo con ventilador.
El contralor interno Alejandro Aedo, en su declaración ante la SVS la semana pasada -que publica The Clinic Online- reveló una serie de episodios internos hasta ahora desconocidos y la existencia del misterioso “local 70”. Además cómo se le entregaba información incompleta a la auditora externa Price Waterhouse, el intento de destruir documentos y los -a su juicio- responsables de toda la maquinaria de las renegociaciones unilaterales que investiga el Ministerio Público. Y como si fuera poco, la inducción a otros posibles testigos de parte de un ex empleado de la firma del retail.
El testimonio de Aedo comenzó el pasado 7 de octubre a las 9.00 frente a los investigadores María Luz Schachtebeck y don Hernán Hidalgo Gómez. Duró 3 horas y 41 minutos y quedó plasmado en 11 páginas.
El “local 70”
Este profesional ingresó a La Polar en 2007. A poco andar, les contó a los fiscalizadores de la SVS del llamado “local 70”. Este último no era otro que la sede donde operaba toda la maquinaria para hacer las renegociaciones unilaterales a los clientes sin autorización de estos últimos.
A partir de ese momento, Aedo aseguró que Price Waterhouse, la cuestionada consultora que nunca advirtió las anomalías, tomaba muestras para establecer si se cumplían las políticas de crédito. Los jefes directos de Aedo eran el jefe de Auditoría Héctor Quezada, el subgerente de la misma área Mario Oliva y la gerenta contralora Fabiola Maldonado. En la cúspide estaba la ex ejecutiva María Isabel Farah, hasta ahora una de las principales imputadas de la caída junto al ex gerente general y ex presidente del directorio, Pablo Alcalde, y el ex gerente Julián Moreno.
El recorrido de nombres es relevante en el relato de Aedo, porque asegura que PW, recibió en un correo electrónico una página Excel, del período enero a octubre de 2010., donde se daba cuenta de 70 mil a 80 mil transacciones.
“…Me pareció extraño porque muchas veces en tres o cuatro días se cursaban esa cantidad de transacciones. Al identificar cada celda de transacciones al ver el local 70, que era el de Panamericana visualicé que no había ninguna transacción de dicho local. Solamente contaba con transacciones realizadas en sucursales”, explicó Aedo a la SVS. Esa información, según el profesional, fue canalizada por los ejecutivos mencionados más arriba.
En otras palabras, Price Waterhouse no observó que tenía sólo un 4% de la información para realizar su auditoría y el otro 96% dice Aedo, quedaba en el “local 70”, para que la consultora no lo analizara.
Hasta ahí podría parecer que PW pudo haber sido engañada, sin embargo, Aedo admite que con la información disponible daba al menos para sospechar, porque incluso se hizo un estudio interno en 2009 en La Polar, que daba cuenta de las repactaciones unilaterales que alcanzaban ya a las 300 mil, es decir, dos años antes. Cabe recordar al respecto, que luego que la firma del retail informara al mercado de su verdadera situación patrimonial en junio pasado, se estableció que eran cerca de un millón de chilenos los afectados.
Who is who
En las contrapreguntas a Aedo de parte de la SVS, le consultaron quiénes eran los responsables de saber de la entrega de información a PW -y por extensión al mercado- y cómo le constaba. Aedo contestó:
“Bajo mi criterio, serían los gerentes corporativos, María Isabel Farah, de productos financiero Julián Moreno, gerente de informática Pablo Fuenzalida, ellos eran los representantes y los dueños de las áreas afectadas por la materialización de las renegociaciones. No me consta que se hubieran reunidos pero ellos eran los responsables, administración controlar, informática operar y productos financieros definir las reglas. Al menos una de las tres debería haber señalado que algo extraño ocurría”, aseveró.
Al referirse al caso de Pablo Alcalde, aseguró desconocer si este estaba enterado o no. Sin embargo, tanto en el Ministerio Público como en una presentación hecha en la SVS, Julián Moreno asegura lo contrario.
“Tienen que resetearse”
Aedo no escatimó detalles. También contó cómo Farah les ordenó deshacerse de la información relevante y que pudiera afectarlos, pero asegura que no aceptó.
“Mario Oliva solicita que a petición de María Isabel, había que borrar información sobre el caso, entonces le señalo que claramente al hacer eso nos convierte en participe y ya tenemos la evidencia necesaria que esto es fraude. A lo que responde “¿tú crees que esto era un fraude”? Entonces le contesté que esto era el indicador… En la tarde del mismo día aproximadamente a las 14:30 entra a la oficina Fabiola Maldonado, gerente de contraloría, habla con Mario y cuando se va retirando, nos dice “ya hablaron con uds. Que tienen que resetearse” y sale de la oficina… ”
Por último, indicó que Oliva, trató de inducir a otros posibles testigos del caso en sus declaraciones: “… le solicitó al jefe de auditoría que no me hablara ni se contaminara conmigo y lo empezó a inducir cuales eran las versiones”.
Lee la declaración de Alejandro Aedo
http://issuu.com/theclinic/docs/aedo_svs/1#print
http://issuu.com/theclinic/docs/alcalde_y_moreno_sin_sello_de_agua?mode=window&backgroundColor=%23222222
Fuente: http://www.theclinic.cl
Por primera vez desde que se inició la investigación contra La Polar en la Superintendencia de Valores y Seguros (SVS), uno de los funcionarios que aún se mantiene en la empresa, decidió contar toda la verdad. Y lo hizo con ventilador.
El contralor interno Alejandro Aedo, en su declaración ante la SVS la semana pasada -que publica The Clinic Online- reveló una serie de episodios internos hasta ahora desconocidos y la existencia del misterioso “local 70”. Además cómo se le entregaba información incompleta a la auditora externa Price Waterhouse, el intento de destruir documentos y los -a su juicio- responsables de toda la maquinaria de las renegociaciones unilaterales que investiga el Ministerio Público. Y como si fuera poco, la inducción a otros posibles testigos de parte de un ex empleado de la firma del retail.
El testimonio de Aedo comenzó el pasado 7 de octubre a las 9.00 frente a los investigadores María Luz Schachtebeck y don Hernán Hidalgo Gómez. Duró 3 horas y 41 minutos y quedó plasmado en 11 páginas.
El “local 70”
Este profesional ingresó a La Polar en 2007. A poco andar, les contó a los fiscalizadores de la SVS del llamado “local 70”. Este último no era otro que la sede donde operaba toda la maquinaria para hacer las renegociaciones unilaterales a los clientes sin autorización de estos últimos.
A partir de ese momento, Aedo aseguró que Price Waterhouse, la cuestionada consultora que nunca advirtió las anomalías, tomaba muestras para establecer si se cumplían las políticas de crédito. Los jefes directos de Aedo eran el jefe de Auditoría Héctor Quezada, el subgerente de la misma área Mario Oliva y la gerenta contralora Fabiola Maldonado. En la cúspide estaba la ex ejecutiva María Isabel Farah, hasta ahora una de las principales imputadas de la caída junto al ex gerente general y ex presidente del directorio, Pablo Alcalde, y el ex gerente Julián Moreno.
El recorrido de nombres es relevante en el relato de Aedo, porque asegura que PW, recibió en un correo electrónico una página Excel, del período enero a octubre de 2010., donde se daba cuenta de 70 mil a 80 mil transacciones.
“…Me pareció extraño porque muchas veces en tres o cuatro días se cursaban esa cantidad de transacciones. Al identificar cada celda de transacciones al ver el local 70, que era el de Panamericana visualicé que no había ninguna transacción de dicho local. Solamente contaba con transacciones realizadas en sucursales”, explicó Aedo a la SVS. Esa información, según el profesional, fue canalizada por los ejecutivos mencionados más arriba.
En otras palabras, Price Waterhouse no observó que tenía sólo un 4% de la información para realizar su auditoría y el otro 96% dice Aedo, quedaba en el “local 70”, para que la consultora no lo analizara.
Hasta ahí podría parecer que PW pudo haber sido engañada, sin embargo, Aedo admite que con la información disponible daba al menos para sospechar, porque incluso se hizo un estudio interno en 2009 en La Polar, que daba cuenta de las repactaciones unilaterales que alcanzaban ya a las 300 mil, es decir, dos años antes. Cabe recordar al respecto, que luego que la firma del retail informara al mercado de su verdadera situación patrimonial en junio pasado, se estableció que eran cerca de un millón de chilenos los afectados.
Who is who
En las contrapreguntas a Aedo de parte de la SVS, le consultaron quiénes eran los responsables de saber de la entrega de información a PW -y por extensión al mercado- y cómo le constaba. Aedo contestó:
“Bajo mi criterio, serían los gerentes corporativos, María Isabel Farah, de productos financiero Julián Moreno, gerente de informática Pablo Fuenzalida, ellos eran los representantes y los dueños de las áreas afectadas por la materialización de las renegociaciones. No me consta que se hubieran reunidos pero ellos eran los responsables, administración controlar, informática operar y productos financieros definir las reglas. Al menos una de las tres debería haber señalado que algo extraño ocurría”, aseveró.
Al referirse al caso de Pablo Alcalde, aseguró desconocer si este estaba enterado o no. Sin embargo, tanto en el Ministerio Público como en una presentación hecha en la SVS, Julián Moreno asegura lo contrario.
“Tienen que resetearse”
Aedo no escatimó detalles. También contó cómo Farah les ordenó deshacerse de la información relevante y que pudiera afectarlos, pero asegura que no aceptó.
“Mario Oliva solicita que a petición de María Isabel, había que borrar información sobre el caso, entonces le señalo que claramente al hacer eso nos convierte en participe y ya tenemos la evidencia necesaria que esto es fraude. A lo que responde “¿tú crees que esto era un fraude”? Entonces le contesté que esto era el indicador… En la tarde del mismo día aproximadamente a las 14:30 entra a la oficina Fabiola Maldonado, gerente de contraloría, habla con Mario y cuando se va retirando, nos dice “ya hablaron con uds. Que tienen que resetearse” y sale de la oficina… ”
Por último, indicó que Oliva, trató de inducir a otros posibles testigos del caso en sus declaraciones: “… le solicitó al jefe de auditoría que no me hablara ni se contaminara conmigo y lo empezó a inducir cuales eran las versiones”.
Lee la declaración de Alejandro Aedo
http://issuu.com/theclinic/docs/aedo_svs/1#print
http://issuu.com/theclinic/docs/alcalde_y_moreno_sin_sello_de_agua?mode=window&backgroundColor=%23222222
Fuente: http://www.theclinic.cl
Suscribirse a:
Entradas (Atom)
