"La EMT no funcionaba bien": Zafra recurrirá la condena del Tribunal de Cuentas por el fraude

VALÈNCIA. Este viernes se hizo pública la sentencia del Tribunal de Cuentas sobre la estafa de cuatro millones que perpetraron unos estafadores anónimos contra la EMT de València. El fallo condena a la que fuera jefa de Administración de la empresa municipal, Celia Zafra, como responsable contable de lo acontecido. Los defraudadores se hicieron pasar por el presidente de la EMT, Giuseppe Grezzi, y un abogado de Deloitte para conseguir de ella información sensible de sus superiores y que diera curso a ocho transferencias de más de cuatro millones de euros. El Tribunal de Cuentas considera que Zafra debería haber actuado con mayor diligencia y control, por lo que la condena a pagar el agujero millonario generado en la empresa. 

Se trata de una condena "injusta" para el círculo cercano de la que fuera trabajadora de la EMT, fulminantemente despedida acto seguido de conocerse lo sucedido en septiembre de 2019. En ese sentido, resaltan las fuentes consultadas, la sentencia del Tribunal admite que "no existe dolo" y que la empleada "no pretendía el resultado", y subrayan que durante el fraude "las cosas no funcionaban bien en la EMT", por lo que ven una "injusticia" la condena a la ex empleada.

De ahí que la intención sea, tras el fallo del Tribunal de Cuentas, presentar un recurso de apelación en el mismo organismo en un plazo máximo de 15 días. De no acabar revisándose la sentencia, incluso la defensa augura un recurso en el departamento de lo contencioso-administrativo del Tribunal Supremo.

Tanto el presidente de la EMT, Giuseppe Grezzi, como el alcalde de València, Joan Ribó, han sostenido que la responsable contable de lo acaecido es exclusivamente Zafra al saltarse los procedimientos internos de la empresa y dar curso a transferencias para las que no estaba habilitada y por facilitar información secreta a los estafadores. De ahí que el también edil de Movilidad al anunciar el auto reiterara que dentro de la EMT las cosas "se estaban haciendo bien".

Por su parte, Ribó destacó la "máxima importancia" de esta sentencia que "deja en el aire todos los elementos que apuntaban a que no había control en la EMT". "Había unos mecanismos de control y alguien se los saltó", expresó el primer edil: "Se habían dicho muchas cosas que hoy el tribunal ha dicho que no eran verdad". Afirmaciones que sin embargo parecen no corresponderse plenamente con otros pronunciamientos de la Agencia Española de Protección de Datos (AEPD) o de la propia comisión de investigación constituida en el seno de la EMT tras el fraude millonario.

¿Estaba todo bien en la EMT?

Por ejemplo, la investigación de la AEPD concluyó que "las medidas de seguridad que tenía implantadas la entidad investigada [la EMT de València] [...] no eran las adecuadas al momento de producirse la incidencia, con la consecuencia del acceso por terceros ajenos a datos personales de empleados de la entidad". Y en ese sentido, la instructora de la Agencia señalaba a la empresa municipal de ser la "responsable de la falta de formación de su personal". Una deficiencia que provocó "la aceptación por un empleado [la directiva] del ataque phishing".

Es por ello que la Agencia tenía claro de las "sólidas evidencias" de que la EMT de València incumplió el Reglamento General de Protección de Datos, que establece que el responsable de los datos, en este caso la firma, debe aplicar "medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo".

Sí se hizo un análisis de riesgo, pero la EMT "no estimó como riesgo a minimizar [...] la repercusión de la falta de formación de su personal". Y eso "impidió garantizar un nivel de seguridad adecuado al riesgo", lo que derivó en el fraude millonario. En definitiva, que las medidas técnicas y organizativas, en especial en cuanto a la formación, "no son las adecuadas al momento de producirse el ataque" y "la consecuencia" fue la "exposición" de los datos de los responsables superiores que la directiva facilitó a los estafadores.

Pese a las contundentes conclusiones sobre el fondo de la cuestión por parte de la Agencia, finalmente no se materializaron porque el organismo no trasladó en su día a la EMT un recurso presentado por el PP, un trámite formal omitido que impidió a la empresa municipal presentar alegaciones. Ello obligó a la AEPD a archivar la causa por dicha cuestión procedimental.

Pero incluso se admitían deficiencias internas en las conclusiones aprobadas por la comisión de investigación en la que estaba integrado el presidente de la EMT, que también aprobó. Había deficiencias en el procedimiento de conciliación bancaria y en el control de la tesorería, así como en la falta de un protocolo organizado para la delegación de funciones en situación de baja o permiso.

"No se puede verificar en ningún protocolo ni relación de funciones de los puestos" a quién correspondía la tarea de revisar las cuentas, rezaba el documento, quien incidía en que la superior de la directiva engañada, que estaba de baja, "no había delegado formalmente ninguna tarea" durante este período e incluso esta directiva aseguró entrar alguna vez a ver las cuentas, sin percatarse de la salida extraña de dinero.

Así las cosas, otro factor a tener en cuenta durante el fraude fue el hecho de que, entre vacaciones y bajas, en el departamento sólo había dos trabajadoras cuando se produjo la estafa, lo que también influyó en el desarrollo de los acontecimientos. "El reducido número de personas en el departamento fue, sin duda, una de las claves para que los trabajos relacionados con la conciliación bancaria no se llevasen a cabo con la debida diligencia". Ello, unido al hecho de que Rayón no delegó ninguna función, llevó a concluir que "existieron tareas que quedaron desatendidas" aquellos días.