98 República de Colombia Con Suprima de Justicia Ella de Casadie taima Sala de Duconeestilm N: 3 JORGE PRADA SÁNCHEZ Magistrado ponente SL3942-2022 Radicación n.° 85283 Acta 42 Bogotá, D. C., dieciséis (16) de noviembre de dos mil veintidós (2022). La Sala decide el recurso de casación interpuesto por RUBÉN DARÍO MORERA contra la sentencia proferida por la Sala Laboral del Tribunal Superior del Distrito Judicial de Bogotá D. C., el 14 de junio de 2018, en el proceso que, junto con LUZ STELLA AGUDELO OCAMPO, MARÍA FERNANDA y JUAN JOSÉ MORERA AGUDELO, promovió contra el BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S.A. I.

ANTECEDENTES Rubén Darío Morera, Luz Stella Agudelo Ocampo, Manía Fernanda y Juan José Morera Agudelo llamaron a juicio al Banco Bilbao Vizcaya Argentaria Colombia S.A., con el fin de obtener, a favor del primero, el pago indexado de «los salarios dejados de percibir, bonificaciones y la indemnización de que trata el art. 64 de la Ley 50 de 1990, en concordancia con el SCLAIPT-10 V.00 Radicación n.° 85283 pacto colectivo del cual era miembro», que tasaron en $78.792.000 por salarios «y/o ingresos fijos mensuales dejados de percibir»; $28.173.143 por bonificaciones causadas gy las dejadas de recibir», «en razón a las calificaciones y reconocimiento efectuados a mi poderdante»; y $538.680.000 a título de indemnización del «art. 64 de la Ley 50 de 1990» en concordancia con lo dispuesto en el «pacto colectivo del cual era miembro» (fls. 163 a 177 y 182 a 196).

Solicitaron el pago de los perjuicios morales causados con el despido injusto, gen un mínimo de (100) CIEN Salarios Mínimos Legales Mensuales Vigentes» para cada uno, junto con las costas del proceso. Manifestaron que desde el 15 de julio de 1982 y en ejecución de un contrato de trabajo a término indefinido, Rubén Darío Morera prestó servicios al Banco demandado, hasta el 24 de noviembre de 2014, cuando lo despidió sin justa causa.

Precisaron que para ese momento, aquel desempeñaba el cargo de Gerente de Seguridad de la Información, con una asignación fija mensual de $10.800.000, más $1.260.000 por auxilio de vivienda. Señalaron que el motivo del despido radicó en que en su calidad de gerente y responsable de seguridad informática, el trabajador no verificó «si la herramienta CHECKER estaba en el modo de operación que es efectivo para que no se infecten con software malicioso los cajeros»; también, incurrió en «exceso de confianza en los trabajadores que también tenían relación con la operación de la SCLAPT-10 V.00 2 4/47 Radicación n.° 85283 herramienta», lo cual facilitó que delincuentes informáticos sustrajeran recursos de la entidad a través de los cajeros electrónicos.

Negaron cualquier acto irregular o negligente del trabajador, menos con el carácter de grave. Explicaron que, por el contrario, aquel desplegó varias acciones para proteger los intereses del Banco ante la vulnerabilidad de sus sistemas, como la organización de reuniones con los trabajadores involucrados, a las que también asistieron el Director del /Vea de Gestión del Fraude y Seguridad de la Información y los especialistas forenses Gabriel Enrique Lasso Ramírez y Carlos Alberto Trilleras Lasso; igualmente, el diseño y puesta en marcha de un plan de choque» para conjurar la fuga de información de la entidad.

Recalcaron que Rubén Darío Morera realizó un constante y riguroso seguimiento a dicho plan y solicitó información a los funcionarios responsables acerca del funcionamiento de los programas de seguridad. Adujeron que aquel nunca fue informado de que el producto checker estuviera mal configurado, ni de que la implementación de ese software pusiera en peligro la red de cajeros.

Destacaron que el trabajador ni siquiera tenía acceso al servidor, porque su equipo de cómputo no se encontraba conectado, ni contaba con usuario y clave de acceso; menos, al aplicativo checker, pues esa posibilidad era exclusiva de los especialistas forenses mencionados, por disposición expresa del manual de funciones. SCLAWT-10 V.00 3 Radicación n.° 85283 Agregaron que Rubén Darío Morera «era miembro activo del Pacto Colectivo del Banco» y fue desvinculado después de 32 arios de servicio a la entidad, lo que generó dolor, tristeza, congoja, vergüenza y discriminación social, además de una crisis económica para él y su familia, pues g lo dejaron como un copartícipe o autor del desfalco sufrido por el banco».

El ente financiero se opuso a la prosperidad de las pretensiones y propuso las excepciones de prescripción, pago, compensación, inexistencia de la obligación, inexistencia de perjuicios morales, cobro de lo no debido y buena fe (fls. 235 a 295). Negó ser la causante de cualquier perjuicio al ex trabajador y a su grupo familiar, como quiera que la decisión de terminar el contrato de trabajo fue legítima y se ciñó a la realidad.

Explicó que aquel actuó en forma «descuidada y negligente» en el cumplimiento de sus funciones, pues el exceso de confianza lo condujo a no verificar los procesos de seguridad de la información, así como a la omisión de acciones que realmente garantizaran el funcionamiento de las herramientas de protección de los sistemas del Banco. Enfatizó en la falta de supervisión sobre la forma en que estaba operando la aplicación checker pues, si bien, otros trabajadores tenían a cargo la administración de la herramienta, el demandante era el responsable del área, por manera que debió verificar las condiciones de instalación y operación, lo que habría podido neutralizar la actividad delincuencial.

SCLAJPT-10 V.00 4 Radicación n.° 85283 II. SENTENCIA DE PRIMERA INSTANCIA El 28 de septiembre de 2016, el Juzgado Veintinueve Laboral del Circuito de Bogotá D.C. (fl. 2526 Cd), resolvió:

PRIMERO: DECLARAR que el demandante RUBÉN DARÍO MORERA PEÑA (sic) ( ) estuvo vinculado para el BBVA COLOMBIA desde el 15 de julio de 1982 hasta el 24 de noviembre de 2014, devengando como último salario la suma de $10.800.000.

SEGUNDO: CONDENAR al BBVA COLOMBIA a pagar al demandante señor RUBÉN DARÍO MORERA PEÑA la suma de $467.640.000 por concepto de indemnización por despido sin justa causa.

TERCERO: CONDENAR al BBVA COLOMBIA a indexar la suma anterior de conformidad con el IPC certificado por el DANE al momento de su pago.

CUARTO: CONDENAR al BBVA COLOMBIA a pagar a titulo de perjuicios morales las siguientes sumas de dinero: a) A favor de RUBÉN DARÍO MORERA PEÑA (sic): 70 SMLMV b) A favor de LUZ STELLA AGUDELO OCAMPO: 50 SMLMV c) A favor de MARÍA FERNANDA MORERO AGUDELO: 50 SMLMV d) A favor de JUAN JOSÉ MORERA PEÑA(sic): 50 SMLMV QUINTO: CONDENAR en costas a la demandada BBVA COLOMBIA incluyendo como agencias en derecho la suma de $20.000.000.

SEXTO: ABSOLVER a la demandada BBVA Colombia de las demás pretensiones incoadas en su contra. III. SENTENCIA DE SEGUNDA INSTANCIA Al resolver los recursos interpuestos por las partes, el Tribunal revocó la sentencia del a quo y, en su lugar, absolvió a la demandada, con costas al demandante. SCLA3PT-10 V.00 5 Radicación n.° 85283 En lo que interesa al recurso extraordinario, centró su competencia en discernir si Rubén Darío Morera incumplió las obligaciones y/o incurrió en las prohibiciones que le eran propias, con la gravedad requerida para justificar el despido.

En caso positivo, si había lugar a liquidar la indemnización por despido con arreglo a lo dispuesto en el pacto colectivo vigente en la empresa. Para comenzar, indicó que esta Corporación ha entendido «por grave negligencia la que ponga en peligro la seguridad de las personas o de las cosas, pero cuando uno solo no pone en peligro las cosas, sino que efectivamente se genera un darlo, como el que representa la pérdida de unos bienes, a fortiori se configura la justa causa del despido«.

Citó las sentencias con «radicado 37080 de 2010«, CSJ SL1226- 2018 y, CSJ SL, 31 jul. 2006, rad. 28439. A continuación, relacionó la carta de terminación del contrato de trabajo (f.° 30-41), el manual de funciones del área de medios tecnológicos para la seguridad (f.° 42-77), los cursos y capacitaciones realizadas por el trabajador (f.° 125-130), el manual de instalación del programa checker (f.° 320-416), el reglamento interno de trabajo (f.° 418-454), el código de conducta del BBVA (f.° 456-482), la diligencia de descargos del actor (f.° 18-29), la declaración del representante legal de la demandada y los testimonios de John Ardila Aponte, Gabriel Lasso Ramírez y Alvaro Niño. Concluyó que: [ ] conforme a toda esta prueba que ha analizado la Sala, queda claro que en efecto la persona directamente encargada de la plataforma checker era el señor Trilleros; sin embargo, cabe SCUUPT-10 V.00 6 Radicación n.° 85283 resaltar que el trabajador pertenecía al área de medios, tecnologías para la seguridad, en donde fungía en calidad de gerente, siendo el encargado de direccionar, controlar, gestionar y realizar todas las funciones necesarias para prevenir el riesgo de infiltración ilícita a los cajeros del banco BBVA, lo cual en principio deja ver que el cargo desempeñado por el señor Rubén Darío Morera representaba una gran responsabilidad para la entidad, en ese sentido tenía que estar pendiente de todas las gestiones realizadas por sus subalternos para que el área por él encargada funcionara de la manera esperada, por lo que si bien, dentro de su perfil no se indica de manera específica que tuviera el acceso directo a la plataforma checker, lo cierto es que de manera general sí se encontraba al conocimiento de dicha plataforma como se pudo apreciar en el manual de funciones 4.4 accesos adicionales.

Resaltó que los testigos mencionados fueron claros, en tanto señalaron que, en su calidad de gerente, el accionante podía solicitar ingreso al programa y no lo hizo, a pesar de que el trabajador Igor Alexander Gómez había relatado que los delincuentes tenían acceso al sistema, lo que generó alerta dentro de la entidad financiera. Destacó la «reunión en la cual estuvo presente el actor el día 30 de septiembre de 2014, momento en el cual tal y como indicó en la demanda y en la contestación se le encargó la investigación sobre el caso de mayor implementación de los servicios de seguridad de acuerdo a sus responsabilidades».

A partir de allí, asentó que: [ ] el actor no podía quedarse sólo con los informativos dados por el señor Trilleras sin percatarse de que lo dicho fuera cierto, pues las conductas no se dan solo por la acción sino también por omisión, máxime cuando el aplicativo checker era el único que podía dar certeza de las irregularidades en el sistema, según lo manifestaron los testigos, situación que quedó clara que el actor no hizo, pues no basta con señalarse que las personas encargadas de manejar el sistema eran profesionales y especializados por lo que no veía la necesidad de verificar su trabajo, y que tan solo le bastaba con el informe dado por ellos ya que como máximo órgano del área era evidente su SCUOPT-10 V.00 Radicación n.° 85283 responsabilidad en todo su funcionamiento, sin que fuera necesario que se indicara de manera específica dentro de sus funciones las de la revisión de campo, toda vez que el área se encontraba en ese momento frente a una alarma significativa para el banco, lo que conllevaba que el señor Morera debía estar en un todo pendiente de todos sus subalternos para que no se llevara a cabo el fraude.

En razón de ello, esta Sala de Decisión considera que contrario a lo dicho por el a quo y alegado por la parte demandante, sí hubo negligencia en el cumplimiento de sus funciones por parte del actor, pues no tuvo la atención necesaria como gerente para evitar el problema. Consideró que las funciones del demandante no eran solo de orden administrativo, sino que, en su mayoría, implicaban gestionar y garantizar la implementación de mecanismos y procedimientos tecnológicos definidos por el Banco, necesarios para minimizar y reducir el riesgo de fraude por esa vía. Añadió que Rubén Darío Morera, en diligencia de descargos y al absolver interrogatorio de parte, corroboró que el aplicativo checker debía estar en modo activo, de suerte que como aquella herramienta estaba configurada en modo aprendizaje, facilitó el ilícito.

Precisó que el actor solo se percató de ello 3 días después del hurto, es decir, que sí pudieron acceder al aplicativo sin problema alguno, por lo que si hubiera actuado diligentemente y oportunamente desde el mismo momento en que fue alertado hubiera podido prevenir el robo». Remató: I.••] si bien no quedó demostrado que la conducta del actor se encuentra establecida como grave dentro del reglamento interno de trabajo o convención colectiva, a la luz de las citas jurisprudenciales en los eventos del numeral 6° letra a) del artículo 7o del Decreto 2351 de 1965, le compete al juzgador calificar la gravedad de la conducta, tal cómo se indicó por ejemplo en las sentencias 15822 del 19 de septiembre de 2001, 38855 del 28 de agosto de 2012 y 53901 del 14 de febrero de SCLAPT-10 V.00 8 52 Radicación n.° 85283 2014 proferidas por la Corte Suprema de Justicia, Sala Laboral entre muchas otras.

Conforme a ello para la Sala como se dijo anteriormente existió negligencia en el cumplimiento de las funciones del actor que incurrió en violación de sus obligaciones y funciones que fueron tan significativas patrimonialmente para la entidad demandada que en efecto amerita que se catalogue como grave la conducta y se avale la terminación del contrato por justa causa de la que fue objeto; por lo anterior, se revoca la sentencia apelada y en su lugar se absuelve a la demandada de todas y cada una las pretensiones de la demanda, siendo entonces innecesario por este resultado de estudiar la apelación de la parte demandante.

IV. RECURSO DE CASACIÓN Interpuesto por Rubén Darío Morera, fue concedido por el Tribunal y admitido por la Corte. Se procede a resolver. V. ALCANCE DE LA IMPUGNACIÓN Mediante un cargo, replicado en tiempo, pide que la Corte case la sentencia impugnada y, en sede de instancia, confirme la proferida por el a quo. VI. CARGO ÚNICO Denuncia violación indirecta, por aplicación indebida del artículo 62, literal a), numerales 4 y 6, del Código Sustantivo del Trabajo, en concordancia con los artículos 58, numerales 1 y5, 60, 64, 115y 216 ibídem.

A título de errores evidentes de hecho, imputa: 1. Dar por demostrado sin estarlo, que el señor RUBÉN DARÍO MORERA era el encargado de direccionar, controlar, SCLAIFT-10 V.00 Radicación n.° 85283 gestionar y realizar todas las funciones necesarias para prevenir el riesgo de filtración ilícita de los cajeros automáticos del Banco demandado. 2.

Dar por demostrado, sin estarlo, que el señor RUBÉN DARÍO MORERA, de manera específica tenía la función de revisar en campo, las actividades desarrolladas por sus subalternos, en especial lo referente al aplicativo Checker. 3. Dar por demostrado, sin estarlo, que el señor RUBÉN DARÍO MORERA actuó con grave negligencia en el cumplimiento de sus funciones, al no haber tenido la atención necesaria como Gerente para evitar el problema de seguridad del Banco demandado. 4.

No dar por demostrado, estándolo, que el señor RUBÉN DARÍO MORERA fue diligente y estuvo pendiente y atento de sus subalternos en la implementación de los mecanismos de seguridad dispuestos por el Banco, con el fin de evitar fraudes. 5. Dar por demostrado, sin estarlo, que el señor RUBÉN DARÍO MORERA de acuerdo con el Manual de Funciones, tenía la función básica (objetivo de cargo) de gestionar y garantizar que se implementaran los mecanismos, procedimientos y tecnologías corporativas necesarias definidas por el grupo para minimizar y reducir el fraude tecnológico en el BBVA. 6.

Dar por demostrado, sin estarlo, que el señor RUBÉN DARÍO MORERA incurrió en violación de sus obligaciones y funciones contractuales, que fue tan significativa que ameritó ser catalogada como una falta grave. 7. Dar por demostrado, sin estarlo, que en la ceremonia de descargos rendida por el señor RUBÉN DARÍO MORERA, dentro del proceso disciplinario, adelantado por el Banco demandado, se hubiere reconocido o confesado algún incumplimiento a sus obligaciones legales, contractuales y/ o reglamentarias. 8.

No dar por demostrado, estándolo, que el demandante desarrolló su labor de Gerente de Administración de Seguridad de la Información, conforme a las directrices legales, contractuales y reglamentarias. 9. No dar por demostrado, estándolo, que el señor MORERA PENA (sic), en sus más de 30 arios de servicio, tuvo un desempeño impecable en sus labores, sin ninguna sanción disciplinaria, tomándose la decisión adoptada por el Banco demandado, de terminar su contrato de trabajo con justa causa, como desproporcionada. 10.

Dar por demostrado, sin estarlo, que los hechos relacionados en la carta de terminación del contrato de trabajo fueron efectivamente realizados por el demandante. SCLAPT-10 V.00 10 Radicación n.° 85283 11. No dar por demostrado, estándolo, que la sociedad demandada no logró probar la justa causa o motivos que invocó para dar por finalizado el contrato de trabajo del demandante. 12.

No dar por demostrado, estándolo, que el despido del demandante fue sin justa causa. 13. No dar por demostrado, estándolo, que el demandante, así como su cónyuge e hijos, sufrieron unos perjuicios morales, como consecuencia de la terminación injusta e intempestiva del contrato de trabajo por parte del Banco demandado. Asevera que tales yerros fueron el resultado de la apreciación errónea de la carta de terminación del contrato de trabajo (f.° 28-39); el manual de funciones del Gerente de Seguridad de la Información (f.° 70-77); las capacitaciones realizadas por el actor (f.° 125-130); el acta de diligencia de descargos (f.° 18-29); la política de seguridad de los sistemas de la información (f.° 320-416); la declaración del representante legal del Banco demandado (CD 1.a audiencia); el manual de instalación de la herramienta checker (f.° 132- 141); el código de conducta del BBVA (f.° 18-29) y los testimonios de John Ardila Aponte y Gabriel Lasso Ramírez.

Además, la preterición de los manuales de funciones del profesional senior (f.° 42 y ss) y del profesional especializado en tecnologías para la seguridad (f.° 52 y ss); los descargos presentados (f.° 22-26) y los correos electrónicos que envió (f.° 236-241). Asegura que el BBVA Colombia no acreditó en el proceso los motivos del despido; menos, que constituyeran grave negligencia o incumplimiento de sus obligaciones laborales.

Explica que, ni siquiera en forma genérica, el SCLAJPT-10 V.00 II Radicación n.° 85283 manual de funciones contempla que en su condición de Gerente de Administración de Seguridad de la Información, debía participar directamente en la implementación del aplicativo checker en el sistema operativo de los cajeros electrónicos. Refiere que: i) El señor MORERA PEÑA (sic) nunca estuvo a cargo de los Cajeros Electrónicos del Banco, pues esta función era ajena al desempeño gerencial emanado del propio Manual de Funciones, ii) la prevención del riesgo del Banco estaba diseñada en todos los cargos y estructuras pertenecientes al área de Gestión del Fraude y Seguridad Informática, la cual era desempeñada por personas capacitadas y especializadas y iii) las funciones de gestión, control y riesgo también eran desempeñadas por los profesionales senior y especializados.

Lo anterior denota una evidente inconsistencia por parte del Tribunal en el señalamiento de las funciones desarrolladas por el demandante, conforme a las directrices emitidas por el Banco. Agrega que como lo refirió en sus descargos ante la entidad (fls. 22 a 26) y lo corroboran las funciones previstas en el manual de folios 70 a 77, tampoco le concernía desplegar trabajo de campo en cajeros automáticos, porque solo estaba facultado para gestionar, de manera regular y periódica, el seguimiento, control y validación de los diferentes proyectos y productos de seguridad informática, con el objetivo de blindar y asegurar las plataformas de atención y servicios del banco.

Que esa actividad se desarrollaba a través de un grupo de especialistas que integraban el área de tecnología para la seguridad, los cuales tenían directamente a su cargo la operación, implementación y manejo del aplicativo checker. SCUOPT-10 V.00 12 52 I Radicación n.° 85283 Sostiene que en el caso puntual de la herramienta checker, gestionaba y ejecutaba el seguimiento mensual a los especialistas a cargo de su implementación, que es lo que correspondía a su ámbito funcional.

Para tal fin, les solicitaba informes sobre el estado del producto y el grado de avance en la actualización a la nueva versión. Explica que no solo lo manifestó en sus descargos y en su declaración, sino que así lo corroboraron el representante legal del Banco al momento de absolver interrogatorio de parte, y el testigo John Ardila, que era su jefe inmediato.

Asevera que el ad quem no tuvo en cuenta que de las capacitaciones que recibió, nunca hubo una específica sobre el aplicativo checker, lo cual se explica porque sus funciones no requerían conocimientos específicos, experiencia, ni acceso al sistema, como sí ocurría en el caso de los profesionales senior y especializado que interactuaban con el programa, tal cual lo contemplan los manuales de funciones aplicables a esos trabajadores.

Sostiene que los correos electrónicos que obran en el informativo dan cuenta de las acciones que adelantó una vez conoció de la denuncia presentada por el trabajador Igor Alexander Gómez, representadas en el inicio e impulso de una investigación exhaustiva y un plan de contingencia con el fin de evitar el fraude. Fue así que pudo analizar la seguridad de los cajeros a través del aplicativo Netopp, exigió y remitió a las áreas involucradas informes diarios sobre la presencia de archivos sospechosos, recolectó y procesó la información de los accesos remotos de aquel trabajador y de SCUUPT-10 V.00 13 Radicación n.° 85283 los cajeros automáticos, y colaboró con las autoridades para adelantar las investigaciones correspondientes; es decir, «coordinó, apoyó, gestionó, implementó y diseñó todas la medidas (sic) de seguridad con el fin de contrarrestar el ilícito que se estaba cometiendo y así continuar garantizando la integridad informática del Banco demandado», conforme su marco funcional.

Precisa que, en ese contexto, no puede endilgársele una negligencia grave pues, por el contrario, su gestión evitó mayores perjuicios a la entidad; «sencillamente», afirma, «realizó lo que funcional, técnica y operativamente estaba a su alcance». Es decir, no se trató de un descuido, falta de atención o desinterés en la ejecución de las labores a cargo, pues hizo el seguimiento que correspondía sobre la actividad de los trabajadores encargados de la instalación del producto checker, quienes nunca informaron acerca de alguna deficiencia en la implementación del producto.

Cuestiona que el juez colegiado de instancia coligiera que el trabajador incumplió el deber de «gestionar y garantizar que se implementen los mecanismos, procedimientos y tecnologías corporativas necesarias definidas por el grupo para minimizar y reducir el fraude tecnológico en el BBVA», siendo que, según los manuales de funciones incorporados al proceso, «dicha función corresponde única y exclusivamente para los cargos de profesional especializado y profesional senior».

SCLAJPT-10 V.00 14 Er Radicación n.° 85283 Reprocha que el Tribunal avalara la consideración del empleador sobre la gravedad de la conducta, «desconociendo que ninguno de los documentos allegados al expediente, en especial los relacionados como erróneamente apreciados (políticas de seguridad, código de conducta de funciones (sic), diligencia de descargos, manual de funciones), endilgaran dicha gravedad».

Añade que era necesario «acreditar la gravedad de la falta en algún pacto, convención colectiva de trabajo, fallos arbitrales, contrato individual o reglamento», de suerte que al no aparecer acreditado ese supuesto, «el empleador es el que califica la gravedad de la conducta atendiendo a la naturaleza y circunstancias de la empresa, pero dicha conducta debe estar consagrada de manera clara, expresa y pública en un documento conocido previa y ampliamente por el trabajador».

Insiste en que en la diligencia de descargos, jamás aceptó ser el responsable de la implementación y manejo del aplicativo checker, pues siempre sostuvo que esas actividades se hallaban a cargo y bajo el conocimiento de los especialistas capacitados en la herramienta, quienes suministraban reportes periódicos en ese sentido. Para finalizar, resalta que prestó servicios a la empresa por más de 30 años, sin antecedentes disciplinarios, ni objeciones de fondo a su desempeño; enfatiza que, por el contrario, su hoja de vida acredita una «larga trayectoria marcada por su óptimo rendimiento que lo llevó a trascender al punto de ocupar un cargo gerencial».

SCLAPT-10 V.00 15 Radicación n.° 85283 VII. RÉPLICA La entidad demandada glosa la técnica del recurso. Destaca la introducción de planteamientos jurídicos en un cargo orientado por la senda de los hechos, en tanto cuestiona la falta de calificación de la conducta reprochada al trabajador; además, la ausencia de una verdadera demostración de los «supuestos desatinos» endilgados al juez de segunda instancia. Afirma que la censura propone un ataque a la facultad de apreciar libremente la prueba e intenta trasladar a terceros la responsabilidad de lo ocurrido, lo que «no borra la obligación de diligencia y cuidado que le competía al demandante en su función como gerente de seguridad de la información».

Refiere que la ausencia de faltas en 30 arios de trabajo Res un argumento pueril», toda vez que no se le despidió por lo que hubiera pasado en ese lapso, sino por lo que aconteció en esa última oportunidad, de suerte que «aceptar el argumento del cargo supondría que hay que esperar que el hurto se repita para que se pueda responsabilizar al demandante, lo cual involucra un claro absurdo».

VIII. CONSIDERACIONES Previo a abordar el estudio de la acusación, es necesario precisar que si bien, el recurrente solicita casar la sentencia de segundo grado y confirmar la de primer nivel, esta última impuso condenas a favor de Luz Stella Agudelo Ocampo, María Fernanda y Juan José Morera Agudelo, quienes no SCLAJPT-10 V.00 16 Radicación n.° 85283 acudieron a sede extraordinaria.

Por ende, la Sala entenderá que el alcance de la impugnación está circunscrito al quiebre de la decisión del Tribunal, en cuanto fuera desfavorable al demandante y recurrente en casación. De otro lado, la Sala no coincide con la réplica en que el cargo incursione en cuestionamientos de orden jurídico, dentro de una discusión eminentemente fáctica.

Distinto es que para explicar que el Tribunal se equivocó al hallar demostrada la gravedad de la conducta del trabajador, en los términos del artículo 62, literal a, numeral 6, 1.a parte, del estatuto laboral, la censura diferenciara que, cuando ha de aplicarse la segunda parte de esa disposición, es imprescindible la consagración del carácter grave de la falta, en pactos o convenciones colectivas, fallos arbitrales, contratos individuales o reglamentos.

Tras aludir a ese supuesto, en que solo es procedente verificar la consagración normativa de la falta grave, el propio recurrente admite que en este caso había lugar a ponderar «la gravedad de la conducta atendiendo a la naturaleza y circunstancias de la empresa»; es decir, finalmente coincide con el Tribunal en la regla jurídica de que este se sirvió, consistente en que correspondía al juzgador evaluar la conducta del trabajador y calificar su gravedad.

De ahí que esas anotaciones y comentarios no descalifican, ni desarticulan, el sentido general de los cuestionamientos, que lucen adecuadamente encaminados a demostrar que el juez colegiado de instancia se equivocó en SCLAJPT-10 V.00 17 Radicación n.° 85283 la valoración de los medios de convicción adosados al expediente. Dicho lo anterior, la Sala entiende que sin cuestionar la relación laboral entre Rubén Darío Morera y el Banco Bilbao Vizcaya Argentaria Colombia, entre el 15 de julio de 1982 y el 24 de noviembre de 2014, cuando aquel se desempeñaba como Gerente de Seguridad de la Información en la dependencia de Gestión de Fraude y Seguridad de la Información, la censura arremete contra la conclusión central de la decisión absolutoria de segundo grado, consistente en que el empleador acreditó que el despido del trabajador se fundó en una justa causa, representada en un actuar negligente y en una grave «violación de sus obligaciones y funciones».

Importa recordar que para arribar a esa conclusión, el fallador de la alzada dijo apoyarse en el marco funcional establecido por la entidad, de donde dedujo que el actor i) era «el encargado de direccionar, controlar, gestionar y realizar todas las funciones necesarias para prevenir el riesgo de infiltración ilícita a los cajeros del banco BBVA»; ii) si bien, dentro de su perfil no se precisó de manera específica que tuviera acceso directo a la plataforma checker, «lo cierto es que de manera general si se encontraba al conocimiento de dicha plataforma como se pudo apreciar en el manual de funciones 4.4 accesos adicionales»; y que iii) desarrollaba funciones que no eran solo de orden administrativo, sino que en su mayoría, conllevaban gestionar y garantizar la implementación de mecanismos y procedimientos SCLIOPT-10 V.00 18 5-7 Radicación n.° 85283 tecnológicos definidos por el Banco, necesarios para minimizar y reducir el riesgo de fraude por esa vía. Así mismo, coligió que en diligencia de descargos, el actor sostuvo que el aplicativo checker debía estar configurado en modo activo y no en modo aprendizaje, como en realidad lo estuvo durante los días en que ocurrió el ilícito.

Dedujo patente la falta de diligencia y oportunidad del demandante para «prevenir el robo». Sin más preámbulos, la Sala concentrará su estudio en los medios de convicción denunciados y que, en criterio del recurrente, descartan toda negligencia o incumplimiento grave de sus obligaciones y, por ende, dejan sin piso la decisión censurada. De entrada, la Sala descarta que la política de seguridad de los sistemas de la información (fls. 320-416 cuaderno anexo), el Código de conducta del Banco (fls. 456-482 cuaderno anexo), y el Manual de instalación de la herramienta checker (fls. 132-141 cuaderno anexo), presten utilidad a los propósitos de la acusación. Los dos primeros son documentos que consagran deberes y reglas de conducta del común de los trabajadores de la entidad financiera, mientras que el tercero es una guía del paso a paso para la instalación del programa mencionado; ninguno refiere detalles sobre las funciones específicas del trabajador, que es lo que aquí interesa. 19 Radicación n.° 85283 La carta de terminación del contrato de trabajo (fls. 28 a 39), empieza con una alusión a aspectos generales de la vinculación del trabajador y sigue con un compendio de las funciones básicas y específicas de dirección, gestión, control y riesgo propias de su rol gerencial.

En cuanto al motivo concreto del despido, se infiere que el empleador reprochó al actor que pese a los riesgos a los que se hallaba expuesta la entidad por la infiltración de software malicioso en sus sistemas operativos, no tomó medidas inmediatas y urgentes para evitar el fraude; en particular, cuestionó que a sabiendas de que el Banco había adquirido la herramienta de seguridad checker, no verificó que se mantuviera en modo activo, lo que a la postre facilitó el accionar de los delincuentes informáticos.

Así mismo, le enrostró que sus funciones no eran solo de tipo administrativo, sino de «dirección, gestión, control y riesgo» y, pese a ello, «no hizo ni venía haciendo lo mínimo, que, para este caso, era el control frente al adecuado uso de la herramienta checker». En el mismo sentido, le criticó la falta de control sobre la actividad de los profesionales subalternos y que no hubiera hecho «labor de campo de verificación de la forma de operación de la herramienta».

Visto el contenido de dicho documento, en estricto sentido, el Tribunal no desacertó en su valoración; solo que hizo eco de las afirmaciones del empleador acerca del espectro funcional del trabajador, así como de lo que el empresario consideró como un actuar negligente y omisivo, hasta llegar al mismo punto, esto es, la configuración de los SCLAPT-10 V.00 20 Radicación n.° 85283 supuestos del artículo 62, literal a), numerales 4 y 6 del Código Sustantivo del Trabajo, para proceder al despido con justa causa.

De cara a la valoración del marco funcional del trabajador, conviene acotar que el Tribunal se refirió al compendio de folios 42 a 77, que contiene no solo el catálogo de actividades y roles asignados al actor en condición de Gerente de Seguridad de la Información, sino el de los profesionales senior y especializado de la misma dependencia. De ahí, coligió que dentro de sus funciones básicas, el demandante debía «gestionar y garantizar que se implementen los mecanismos, procedimientos y tecnologías corporativas necesarias definidas por el grupo para minimizar y reducir el fraude tecnológico en el BBVA Colombia»; y, dentro de las específicas: [ ] las de gestionar que se cumpla la integridad, confidencialidad, disponibilidad de la información procesada y almacenada en los sistemas de información del Banco, gestionar e implementar los procedimientos concernientes al control de incidentes de seguridad informática, garantizar que se instauren los procedimientos de monitorización en la modalidad 7x24x365 para eventos de seguridad del grupo, investigando posibles intentos de fraude, gestionar y propender por la implementación de las directrices corporativas o en los componentes online y procesos bath, gestionar el cumplimiento de la metodología establecida para el ciclo de vida de aplicativos del capítulo de seguridad informática, entre otras, también apoyar el desarrollo de estudios periódicos de análisis de riesgo de la plataforma tecnológica de internet, red ATMS y servidores que almacenan y procesan información clasificada como confidencial del banco, gestionar y propender por la normal operación y disponibilidad SCLAPT-10 V.00 21 Radicación n.° 85283 de las diferentes plataformas de seguridad, información e internet.

Igualmente se puede, entre varias, otras, igualmente se puede apreciar de dicho manual de funciones en su numeral 4° información complementaria 4.4 accesos adicionales encontrándose allí servidor checker, en el numeral 5.2 refiere a conocimientos específicos el cual indica el conocimiento está catalogado como experto dada la involucración en el diseño, análisis, instalación, administración, gestión e implementación de estrategias tecnológicas de prevención de fraude, dentro del numeral 5.4 se habla de la experiencia y se encuentra plataforma corporativa checker.

Esta acotación es relevante, como quiera que al revisar la documental acusada, la Sala observa con facilidad que el juez de segunda instancia se remitió a las funciones asignadas al Profesional Especializado (fls. 42 a 55), que claramente no corresponde al cargo desempeñado por el promotor del juicio. Semejante ligereza o dislate no es de poca monta pues, evidentemente, condujo a extraviar la perspectiva desde la cual debía sopesarse el ámbito de acción del demandante.

Es decir, el Tribunal apuntaló sus premisas sobre supuestos equivocados; en particular, la asignación al actor de funciones básicas y específicas propias de un rol operativo, dedicado a la implementación e interacción con las herramientas tecnológicas del Banco, y la posibilidad de acceso a la plataforma checker, prevista concretamente para el citado profesional, pero no para el gerente, quien solo registraba acceso a oTS0 Producción y Desarrollo, Beta88» y a «office» (fl. 76).

SCLAPT-10 V.00 22 Radicación n.° 85283 En contraste con lo anterior, los folios 70 a 77 dan cuenta de que el verdadero marco funcional del actor seguía este norte básico: Garantizar la integridad, confidencialidad y disponibilidad de la información procesada y almacenada en los sistemas de información del Banco, dada por directrices institucionales de México y España, apoyando la implementación y mantenimiento de políticas, estándares y procedimientos de seguridad informática, en la infraestructura de Hardware y Software especializado de seguridad, por la administración y control de incidentes de seguridad informática.

Así como el seguimiento y control de la solución de los casos de fraude tecnológico -Call Center e Internet. Y dentro de las funciones específicas, vale la pena resaltar Funciones de Dirección: - Apoyar y gestionar la normal operación y disponibilidad (7x24x365) de las diferentes plataformas de seguridad informática en el ambiente de Producción, propendiendo siempre por obtener la mayor eficiencia y rendimiento de ellas. - Coordinar la ejecución en la definición y mantenimiento de parámetros del ambiente de equipos de seguridad informática. - Diseñar e implantar controles necesarios para asegurar y proteger la información del BBVA Colombia. - Definir las estrategias para el cumplimiento de la disponibilidad de los equipos de seguridad del Banco (7x24x365) de las diferentes plataformas de Hardware del Banco. - Definir las estrategias para la personalización administración de las herramientas de seguridad de información. - Solicitar y controlar los accesos adicionales y/ o aplicativos utilizados por los funcionarios de la dependencia y/ o grupo a su cargo, corroborando que sean necesarios para ejecución de sus funciones.

Y la SCLAPT-10 V.00 23 Radicación n.° 85283 Funciones de Gestión: - Gestionar la garantía de la disponibilidad de los equipos de seguridad del Banco (7x24x365) de las diferentes plataformas de Hardware. Implantar controles derivados de las Directrices Corporativas de Seguridad lógica. Funciones de Control: • Gestionar y velar por la mejora de los procedimientos operativos y administrativos de la seguridad informática en las plataformas y productos instalados en el BBVA Colombia. • Coordinar y controlar el mantenimiento preventivo y correctivo de la infraestructura de Hardware y Software de seguridad informática del Banco. • Definir las estrategias para el monitoreo y funcionamiento de los productos de seguridad, para identificar y tomar acciones correctivas sobre las anomalías que se detecten.

Funciones de Riesgo: • Definir las estrategias que apoyen la administración y monitoreo de usuarios y perfiles de los diferentes sistemas de información para el cumplimiento de las políticas y estándares de seguridad establecidos. • Definir las estrategias que apoyen la administración, control y monitoreo a acceso lógico a las plataformas tecnológicas del Banco BBVA Colombia. • Definir las estrategias para atender las situaciones irregulares detectadas en la red perimetral de seguridad del BBVA Colombia, desarrollando objetivamente los procesos de investigación apoyados con tecnología de punta con el fin de determinar las posibles causas, responsables y proponer soluciones lógicas que minimicen los niveles de riesgo (subraya la Sala).

De las funciones mencionadas, no cabe duda que la administración, manejo, actualización y operatividad del SCLAPT-10V.00 24 Prir érno Radicación n.° 85283 sistema checker no estaba asignada a Rubén Darío Morera, sino al Profesional Especializado del área. Tampoco, le era exigible el desarrollo de «labores de campo», propias de trabajadores de nivel profesional de la entidad.

En ese orden, el juez colegiado de instancia desapercibió que desde la perspectiva funcional básica y aún en los ámbitos específicos de dirección, gestión, control y riesgos, el demandante no se desenvolvía dentro de la implementación, interacción y ejecución directa de programas de seguridad como el denominado checker. De acuerdo con su nivel de responsabilidad dentro de la organización, su función estaba encaminada a ser garante de procesos, formular políticas y diseñar estrategias, así como a brindar apoyo para su implementación, mantenimiento y mejora.

Es a partir de ese rasero que debió validarse la diligencia y nivel de cumplimiento del actor; de ahí, provino el desacierto evidente del Tribunal, al ubicar al trabajador en un contexto funcional diferente, ajeno al que en realidad le era oponible. Nada más se infiere de que, sin el menor asomo de objetividad, considerara que la conducta de aquel debía ser ponderada a partir de lo que en su criterio pudo haber hecho, de espalda al verdadero alcance de las funciones asignadas y de las que tenían a cargo otros trabajadores de la dependencia. SCLAJ PT-10 V.00 25 Radicación n.° 85283 Ahora bien, la Sala no ignora que el Tribunal también insistió en el actuar negligente u omisivo del trabajador, pese a la inminencia de los riesgos que se cernían sobre la entidad.

No obstante, el cruce de correos electrónicos entre el actor y diferentes áreas del Banco, contradice esa deducción. De folios 236 a 241 del cuaderno anexo, obra registro de las acciones emprendidas por el área de Seguridad de la Información una vez se tuvo conocimiento de la situación que había dado lugar a la exposición de los sistemas del Banco.

De esto último, se destaca el análisis a través del aplicativo Netopp, que llevó a detectar gen el cajero nro 0011 de la Avda. Chile la presencia de archivos sospechosos», lo que obligó al cambio de su disco duro; así mismo, se llevó a cabo el procesamiento de la información sobre los accesos remotos efectuados por el trabajador que dio pie a la infiltración de software malicioso, así como de los «Logs de los cajeros mencionados».

Por ello, también desacertó el Tribunal al colegir que los medios de convicción incorporados al expediente, hicieron evidente un actuar negligente o descuidado del trabajador. Menos aún, que den cuenta de la falta de seguimiento a un evento extraño que, finalmente, se concretó gracias a acciones particulares o individuales que no podían estar bajo su control las 24 horas del día. Por ejemplo, que fueran otros funcionarios de la entidad quienes pudieran acceder, cualquier día y a cualquier hora, al aplicativo checker y resolver, en últimas, si este quedaba en modo activo o de aprendizaje.

SCLAWT-10 V.00 26 Radicación n.° 85283 En consecuencia, según el análisis objetivo de los medios probatorios estudiados, el Tribunal se equivocó en forma manifiesta al concluir que el empleador acreditó que el despido del trabajador se fundó en una justa causa, representada en un actuar negligente y en una grave «violación de sus obligaciones y funciones».

Por lo demás, vale acotar que los descargos presentados por el trabajador y las versiones del representante legal de la demandada y de los testigos citados al proceso, tan solo representan la percepción individual y subjetiva sobre las circunstancias objeto de debate. De esta suerte, en nada influyen sobre el escenario elaborado con base en los medios documentales analizados, que fue ignorado o desapercibido por el fallador de segundo grado.

Sin perder de vista la naturaleza fáctica de la acusación, conviene no olvidar que si bien, en estos casos corresponde al juez laboral calificar con un amplio margen la gravedad de la negligencia o de las conductas endilgadas al trabajador (CSJ SL 10 mar. 2012, rad. 35105, reiterada en la CSJ SL1920-2018), no es menos cierto que ese ejercicio debe fundarse, naturalmente, en la apreciación objetiva y correcta de las pruebas; también, en lo que la jurisprudencia ha acuñado como «el justiprecio de las circunstancias concurrentes» (Sentencia del 7 de julio de 1958 del extinto Tribunal Supremo del Trabajo, reiterada en las providencias CSJ SL 14 ago. 2012, rad. 39518 y CSJ 5L19449-2017), que no es algo distinto a la búsqueda de un parámetro de ponderación objetivo acerca de los hechos a los que se vio SCLAPT-10 V.00 27 Radicación n.° 85283 enfrentado el trabajador y la razonabilidad de su comportamiento.

Desde luego, dichos parámetros jurisprudenciales riñen con lo plasmado en la sentencia de segundo grado, en la que el juez de la alzada pretendió imponer su criterio a partir de lo que, sin prueba ni soporte, estimó que pudo haber hecho el trabajador en un momento dado. Por tanto, de conformidad con lo discurrido y al haberse acreditado los errores manifiestos de hecho endilgados al Tribunal, el cargo prospera y se casará la sentencia de segundo grado, en cuanto revocó las condenas proferidas por el a quo a favor del demandante Rubén Darío Morera.

Sin costas en sede extraordinaria. IX. SENTENCIA DE INSTANCIA Basta lo expuesto en sede extraordinaria para desestimar la impugnación del demandado, en cuanto se centró en la suficiente demostración de los motivos de despido. La convocada ajuicio también cuestiona la condena por los perjuicios morales ocasionados al trabajador por razón del despido; niega que, al motivar el desahucio, le hubiera reprochado comportamientos contrarios a la ética, como para considerar que afectó su dignidad y honor y, con ello, le generó una afectación que deba ser objeto de reparación. SCUUPT-I0 V.00 28 62 Radicación n.° 85283 Agrega que la extensión de la relación laboral por varios lustros, tampoco puede ser un factor relevante para conceder dicha indemnización. Para resolver, cumple recordar que el artículo 64 del Código Sustantivo del Trabajo prevé una indemnización por la terminación unilateral del contrato sin justa causa, que comprende el lucro cesante y el daño emergente.

De ahí que, en criterio de esta Sala, «es posible que se resarza el daño moral cuando quiera que se pruebe que este se configuró ante una actuación reprochable del empleador, que tenia por objeto lesionarlo, o que le originó un grave detrimento no patrimonial» (CSJ SL14618-2014). Pues bien, la demandada acierta al advertir que la carta de terminación del contrato de trabajo no contiene señalamientos que afecten la dignidad y el buen nombre del trabajador.

Sin perjuicio de que las razones invocadas para el despido quedaran desvirtuadas en el proceso, lo cierto es que se enfocaron en asuntos de orden técnico que, bajo la percepción del empleador, conllevaron incumplimiento de las obligaciones del trabajador, pero nada más. Así mismo, más allá de la frustración natural por la terminación del vínculo, el demandante no trajo al proceso elementos que ofrezcan certeza del menoscabo de aspectos emocionales de su vida íntima, familiar o social.

Por tanto, se revocará la condena por este rubro. SCUUPT-10 V.00 29 Radicación n.° 85283 Por lo demás, no hay lugar a revisar el monto de la indemnización por despido sin justa causa a la luz del pacto colectivo vigente en la entidad, como lo pidió el demandante en su apelación, como quiera que en el alcance del recurso extraordinario solicitó la confirmación de la sentencia de primer grado «en todas y cada una de sus partes».

Consecuencia de lo expuesto, se confirmará la decisión del a quo, salvo el numeral cuarto, que se revocará. Sin costas en segunda instancia. X. DECISIÓN En mérito de lo expuesto, la Corte Suprema de Justicia, Sala de Casación Laboral, administrando justicia en nombre de la República y por autoridad de la ley, CASA la sentencia proferida el 14 de junio de 2018, por la Sala Laboral del Tribunal Superior del Distrito Judicial de Bogotá DC, dentro del proceso ordinario laboral seguido por RUBÉN DARÍO MORERA contra BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA, en cuanto revocó las condenas proferidas por el a quo a favor del demandante Rubén Darío Morera.

En sede de instancia, confirma la sentencia proferida el 28 de septiembre de 2016 por el Juzgado Veintinueve Laboral del Circuito de Bogotá D.C., salvo el numeral 4, que SC entiende revocado en su integridad. Sin costas. SCLAWT-10 V.00 30 Radicación n.° 85283 Notifiquese, publíquese, cúmplase y devuélvase el expediente al tribunal de origen.

DONALD JOSÉ DIX PONNEFZ I GOC—i--10C JIMENA ISABEL GODOY FAJARDO 0 'Eel— V 0 FO, SCUOPT-10 V.00 31