ISO 37301. 8.- Operación
8.1 Planificación y control operacional
La empresa tiene que planificar, implantar y controlar los procesos necesarios para cumplir con todos los requisitos e implementar las acciones que se determinan en la cláusula 6, mediante:
- El establecimiento de criterios para los procesos.
- La implantación del control de los procesos según los criterios.
La información documentada tiene que estar disponible en la medida necesaria para tener la confianza de que los procesos se han llevado a cabo según lo previsto.
La empresa tiene que controlar los cambios planificados y revisar las consecuencias de los cambios no deseados. Se debe tomar medidas para mitigar cualquier efecto adverso.
La empresa tiene que asegurarse de que los procesos, productos o servicios proporcionados de forma externa, son relevantes para el sistema de gestión del cumplimiento.
8.2 Establecimiento de controles y procedimientos
La empresa tiene que implantar controles para gestionar las obligaciones de cumplimiento y sus riesgos de cumplimiento. Los controles tienen que mantenerse, revisarse y probarse de forma periódica para garantizar su eficacia continua.
8.3 Planteamiento de inquietudes
La empresa tiene que establecer, implantar y mantener un proceso para alentar y realizar un informe sobre violaciones sospechosas o reales de la política de cumplimiento o de las obligaciones de cumplimiento.
El proceso debe:
- Ser visible y accesible en toda la organización.
- Tratar los informes de forma confidencial.
- Aceptar informes anónimos.
- Proteger de represalias a quienes denuncien.
- Permitir que el personal reciba asesoramiento.
La empresa tiene que asegurar que todo el personal conozca los procedimientos de presentación de informes, derechos y protecciones, además de utilizarlas.
8.4 Proceso de investigación
La empresa tiene que desarrollar, establecer, implantar y mantener procesos para evaluar, investigar y cerrar informes sobre casos reales o sospechosos de incumplimiento. Estos procesos deben asegurar que se tomen las decisiones justas e imparciales.
El proceso de investigación se realiza de forma independiente y sin conflicto de intereses por el personal competente.
La empresa tiene que utilizar los resultados de las investigaciones para mejorar el cumplimiento del sistema de gestión según corresponda.
La empresa tiene que informar de forma periódica sobre el número y los resultados de la investigación a la alta dirección.
La empresa deberá conservar información documentada sobre la investigación.