El director financiero del Palacio de Congresos de Valencia incumplió el protocolo al no comprobar el cambio de cuenta

Para entender lo sucedido, hay que retrotraerse en el tiempo. No demasiado, apenas un par de años. Cuando en 2020 al Palacio de Congresos le robaron 21.000 euros, saltaron todas las alarmas. El fraude llegó más o menos en la mismas fechas que el que sacudió los cimientos de la EMT y los dirigentes del centro de convenciones se lo tomaron en serio. Tanto que en apenas dos meses habían elaborado un protocolo especial que complicara los cambios de cuenta y evitara, por tanto, un robo mediante el tan simple método de «hola, soy de la empresa tal, quiero que me envíes los pagos a esta nueva dirección». La aplicación estricta de este protocolo habría evitado el robo de 199.000 euros del que acaba de ser víctima el Palacio de Congresos.

La palabra clave aquí es «estricta». El protocolo, tal como aparece en el «Informe sobre el fraude de suplantación de identidad sufrido por el palacio de congresos de Valencia el 23 de diciembre de 2020», marca un complejo programa de cuatro pasos. Bajo el epígrafe «Autenticación de cuenta corriente del proveedor», se indica que ante la solicitud de efectuar el pago en una cuenta bancaria, «bien sea por tratarse de un primer pago o por tratarse de un cambio en la cuenta corriente hasta entonces utilizada», hay un programa de cuatro pasos que tiene que hacer, sí o sí, el director financiero, el mismo que cuando en junio recibió un correo de una cuenta falsa con un aviso de 'phishing' que obvió, lo reenvió a la empresa encargada de la contabilidad.

El protocolo marca que es él, el directivo, el que ha de mantener «conversación telefónica con el interlocutor autorizado de la empresa proveedora que le reasegure la pertinencia y corrección de la cuenta corriente en la que se ha de ingresar el pago». Es él, el directivo, el que tiene que pedir la documentación consistente en el certificado electrónico del proveedor, la certificación bancaria de la titularidad de la cuenta, los poderes de la persona física que representa a la persona jurídica y el nombre, teléfono y correo electrónico del director de la sucursal bancaria en la que se desea domiciliar los pagos. Es él, el directivo, quien tras hablar con el director de la sucursal le ha de enviar un coreo electrónico con el certificado de titularidad de la cuenta remitido por el proveedor para que confirme su autoridad y corrección.

Una vez obtenida la validación de la cuenta por parte del personal autorizado de la sucursal, el protocolo marca que el director financiero ha de guardar la documentación en una carpeta de entidades financieras «que está en en el archivo correspondiente». Pues bien, todos estos pasos Daniel Sobrino, director financiero del Palacio de Congresos en baja durante el fraude, se los quitó de encima al reenviar el correo a la empresa encargada de la contabilidad, que ciertamente hizo más de lo que debía. Según ha podido saber este diario, se da la circunstancia de que este proceder había ocurrido en otras ocasiones, por lo que no terminó de sorprender a la empleada habitual que se hacía cargo de los pagos.

En la denuncia presentada en los juzgados el pasado 17 de septiembre, los abogados de la ciudad explican que la empresa externa conocía los protocolos. Según los letrados, la trabajadora «no debería haber hecho las gestiones que se indican en el procedimiento del Palacio a no ser que hubiese recibido indicación expresa por parte del director administrativo financiero que no la emitió, entre otras razones, porque se encontraba de baja».

Tal como explican fuentes municipales, el mensaje que recibió el directivo del Palacio no pedía el cambio de cuenta, sino que preguntaba cómo hacerlo. La literalidad del segundo mensaje indica que los ladrones dijeron: «También, comentarles que la empresa 4foreverything S. L., va a cambiar sus datos bancarios, por lo tanto, todos los pagos deben realizarse a la nueva cuenta». En otro mensaje que le fue reenviado por el técnico de Calidad se dice: «¿Puedes informarnos si es posible la información bancaria? Desde el 10 de junio de 2024, hemos actualizado nuestra información bancaria y deseamos recibir el pago en la nueva cuenta bancaria. ¿Qué se necesita para realizar este cambio?».