Deberes de gobernanza para cotizadas en el nuevo curso

Tribuna de Marina Torres, mánager de ECIJA Madrid, publicada en Expansión.

Tras el parón veraniego para recobrar fuerzas, la vuelta a las secretarías generales y las asesorías jurídicas exige repasar algunas de las tareas inmediatas que el nuevo curso trae en materia de gobernanza para las sociedades cotizadas.

En primer lugar, la Directiva sobre diligencia debida de las empresas en materia de sostenibilidad (CSRD) regula esencialmente tres aspectos. Uno, las obligaciones en relación con los efectos adversos, reales y potenciales, para los derechos humanos y el medio ambiente de las actividades de las propias compañías, de las de sus filiales y de las actividades de sus socios comerciales en las cadenas de actividades; dos, el régimen de responsabilidad por incumplimiento de las referidas obligaciones; y tres, la obligación de adoptar un plan de transición para la mitigación del cambio climático.

Aunque aún no se ha traspuesto al ordenamiento español y queda tiempo para su aplicación (que se hará progresivamente en función del tipo de compañía), la tarea es ingente y va a afectar a todos los niveles y áreas de las empresas.

De la mano de la CSRD, la Directiva de presentación de información sobre sostenibilidad (CSDDD) amplía las áreas de información del informe de sostenibilidad (hasta ahora, estado de información no financiera, EINF) que deben elaborar las compañías que reúnan determinados requisitos. Entre otra, el informe deberá incluir información acerca del estado de ejecución de la CSRD en la compañía. La CSDDD resultará aplicable de forma gradual, comenzando por las sociedades ya obligadas a elaborar el EINF, que deberán publicar en 2025 el informe de sostenibilidad sobre el ejercicio 2024, conforme a las previsiones del Reglamento de taxonomía de la UE.

El Reglamento de Inteligencia Artificial (IA) de la UE, en vigor desde el 1 de agosto de 2024, recoge normas armonizadas en materia de IA dentro de los Estados miembros, abordando los riesgos asociados con su uso y promoviendo su desarrollo ético y humano. Del Reglamento de IA se derivan distintas tareas que deberán abordar las compañías afectadas, como el diseño de un modelo de gobernanza coordinada entre las distintas áreas afectadas, la elaboración de políticas y procedimientos específicos de IA o implementar un plan de auditoría adaptado a la IA.

A su vez, la Comisión Europea inició el pasado 30 de julio una consulta sobre un Código de Buenas Prácticas para los proveedores de modelos de inteligencia artificial de uso general. Abordará ámbitos críticos como la transparencia, el régimen de los derechos de autor y la gestión de riesgos. La consulta finalizará el 18 de septiembre y se espera tener el Código en abril de 2025.

La Directiva sobre ciberseguridad (NIS2) – que actualiza la Directiva de 2016 – amplía su ámbito de aplicación, dotando de una mayor cobertura a los sectores y servicios de mayor relevancia social y económica. Así, diferencia entre entidades esenciales o importantes en función del grado de criticidad de sus sectores, de su tamaño o del tipo de servicio prestado. Refuerza los requisitos de seguridad de dichas entidades, concreta el proceso de notificación de incidentes, aborda la seguridad en la cadena de suministro, fortalece el intercambio de información sobre incidentes y vulnerabilidades, y establece una red europea de soporte de crisis.

A su vez, en junio de 2023 se publicó el Código de Buen Gobierno de la Ciberseguridad elaborado en el seno del Foro Nacional de Ciberseguridad. El Código propone a las compañías recomendaciones dirigidas a sustentar un modelo de buen gobierno de la ciberseguridad y facilitar su gestión en las redes y los sistemas de información. Asimismo, pretende contribuir a la mejora del proceso de toma de decisiones de los órganos de gobierno de las compañías y, en especial, del consejo de administración

Cuando muchos estábamos ya pensando en la playa, se publicó en el BOE la Ley Orgánica de representación paritaria y presencia equilibrada de mujeres y hombres. Prevé que el consejo de administración de las sociedades cotizadas deberá estar compuesto por, al menos, un 40% de consejeras, e impone obligaciones procedimentales en el caso de no alcanzar dicho objetivo en el plazo establecido, así como requisitos de información al mercado. También establece como norma programática que las cotizadas deberán velar por que la alta dirección cuente con un 40% de mujeres como mínimo. Se aplicará a las 35 sociedades con mayor valor de capitalización bursátil a partir del 30 de junio de 2026, y un año después al resto de cotizadas.

Por último, el 1 de julio la CNMV publicó la Guía Técnica 1/2024 sobre comisiones de auditoría de entidades de interés público, que supone una actualización necesaria desde la versión anterior. Si bien no supone una revolución, afectará al funcionamiento y normas corporativas de las comisiones de auditoría de las compañías y, en muchos casos, también a otras comisiones del consejo.

En definitiva, el curso se presenta cargado de obligaciones normativas para las sociedades cotizadas, especialmente para la dirección y el consejo de administración.

¡Manos a la obra!