La Ley 19/2013, de 10 de diciembre, de transparencia, acceso a la información pública y buen gobierno. Representa un marco legislativo fundamental en España que establece las normas para garantizar la transparencia en la gestión pública y el acceso a la información. Esta ley busca fortalecer la confianza en las instituciones públicas mediante la promoción de la transparencia y la rendición de cuentas.

La Ley 19/2013 tiene como objetivo principal asegurar la transparencia en el funcionamiento del sector público y en la gestión de recursos públicos. La ley establece un marco legal para que los ciudadanos puedan acceder a la información pública y exige a las instituciones cumplir con altos estándares de transparencia y buen gobierno. Sus principales componentes incluyen:

• Derecho de Acceso a la Información: La ley garantiza el derecho de los ciudadanos a solicitar y recibir información pública de las administraciones y entidades públicas. La información debe ser accesible de manera que permita la participación ciudadana y el control social.
• Obligaciones de Transparencia: Las administraciones y entidades públicas están obligadas a publicar información relevante de manera proactiva. Esto incluye detalles sobre presupuestos, gastos, contratos, y actividades, entre otros aspectos.
• Regulación del Buen Gobierno: La ley introduce normas para asegurar prácticas de buen gobierno en las instituciones públicas, incluyendo la ética y la integridad en la gestión pública, y la creación de códigos de conducta.
• Sanciones y Recursos: La normativa establece mecanismos para sancionar el incumplimiento de las obligaciones de transparencia y prevé recursos para los ciudadanos que no obtengan la información solicitada.

¿Cuándo y cómo debe implementarse la Ley 19/2013?

La Ley 19/2013 entró en vigor el 10 de diciembre de 2013. Desde esa fecha, las administraciones públicas y entidades afectadas debieron iniciar el proceso de adaptación a los requerimientos establecidos por la ley. La implementación de la ley requiere varios pasos clave:

• Adaptación de Políticas y Procedimientos: Las entidades públicas deben revisar y ajustar sus políticas y procedimientos para cumplir con los requisitos de transparencia. Esto incluye la creación de mecanismos para la gestión de solicitudes de información y la publicación proactiva de datos relevantes.
• Desarrollo de Plataformas de Acceso: La ley exige que las instituciones faciliten el acceso a la información mediante plataformas en línea y otros canales. Esto implica el desarrollo o mejora de sitios web y sistemas de gestión de información pública.
• Capacitación y Formación: Es fundamental capacitar al personal en temas de transparencia y gestión de solicitudes de información para garantizar el cumplimiento efectivo de la ley.
• Establecimiento de Códigos de Buen Gobierno: Las entidades deben desarrollar e implementar códigos de conducta y políticas de buen gobierno que reflejen los principios establecidos por la ley.
• Monitoreo y Auditoría: Se deben establecer sistemas de monitoreo y auditoría para asegurar que las prácticas de transparencia y buen gobierno se mantengan de manera continua y efectiva.

¿A quién afecta esta normativa?

La Ley 19/2013 afecta a una amplia gama de entidades y personas en el sector público y, en algunos casos, a entidades privadas que gestionan recursos públicos o realizan funciones de interés público. Los principales afectados incluyen:

• Administraciones Públicas: Incluye entidades como los ministerios, las comunidades autónomas, los ayuntamientos y otras entidades dependientes del gobierno central o regional.
• Entidades del Sector Público: Empresas públicas, organismos autónomos y cualquier entidad que maneje recursos públicos o realice funciones de servicio público.
• Organizaciones Privadas con Financiación Pública: Las entidades privadas que reciben fondos públicos significativos o que gestionan recursos públicos también deben cumplir con ciertos requisitos de transparencia.
• Funcionarios y Servidores Públicos: Todos los empleados del sector público deben adherirse a los principios de buen gobierno y ética establecidos por la ley.

La Ley 19/2013 tiene como objetivo principal asegurar la transparencia en el funcionamiento del sector público y en la gestión de recursos públicos.
Compartir en X

Software de GRCTools para cumplir con la Ley 19/2013

Para facilitar el cumplimiento de la Ley 19/2013, el Software Compliance de GRCTools ofrece una solución integral que ayuda a las organizaciones a gestionar de manera eficiente los requisitos de transparencia y buen gobierno. Esta plataforma proporciona varias funcionalidades clave:

Gestión de Solicitudes de Información: GRCTools permite a las organizaciones gestionar de manera eficiente las solicitudes de acceso a la información pública. El software facilita el registro, seguimiento y respuesta a las solicitudes, asegurando que se cumplan los plazos establecidos por la ley.

Publicación de Información: La plataforma de GRC-Tools facilita la publicación proactiva de información pública en línea. Permite a las entidades gestionar y actualizar la información publicada de manera sencilla, asegurando que los datos relevantes estén disponibles para el público.

Cumplimiento de Buen Gobierno: GRC Tools incluye módulos para desarrollar e implementar códigos de conducta y políticas de buen gobierno. La herramienta ayuda a las organizaciones a establecer y mantener prácticas éticas y de integridad en la gestión pública.

Auditoría y Reportes: El software ofrece funcionalidades para la auditoría y generación de informes. Lo que permite a las entidades monitorear su cumplimiento con la ley y evaluar el desempeño en materia de transparencia.

Capacitación y Formación: Proporciona recursos y herramientas para la capacitación del personal en temas relacionados con la transparencia y el buen gobierno. Asegurando que todos los empleados comprendan y adhieran a los requisitos legales.

La entrada ¿Qué dice la Ley 19/2013? se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

La investigación de cumplimiento eficaz es la demostración de que el canal funciona, y tiene la capacidad para entregar informes profundos, sólidos, transparentes y confiables.

A pesar de la importancia de la investigación de cumplimiento, es precisamente en esa etapa en donde muchos esfuerzos de la oficina de compliance se malogran. Y es porque no se adopta un proceso coherente y efectivo para emprender y llevar a buen puerto la investigación.

¿Cómo realizar una investigación de cumplimiento eficaz en cuatro pasos?

En un escenario de negocios competitivo, los empleados pueden verse tentados traspasar líneas rojas. Líneas éticas, de cumplimiento o abiertamente ilegales. Por eso es tan importante contar con canales de denuncias que permitan obtener informes oportunos.

Pero para aprovechar el valor de esos informes es preciso investigar y entregar resultados en muy poco tiempo. Hacerlo rápido no implica hacerlo mal. Por el contrario: se espera que la investigación de cumplimiento entregue resultados transparentes y confiables. Es posible hacerlo siguiendo estos cuatro pasos:

1. Preparar la investigación

La preparación implica reunir todos los elementos necesarios para adelantar todas las investigaciones que sean necesarias, de acuerdo con los informes suministrados en el canal de denuncias.

Si bien algunas de esas investigaciones requerirán recursos muy específicos, es conveniente amar la estructura física y tecnológica útil para todos los casos. Algunos elementos esenciales son:

• Conformar el equipo de investigadores, que puede ser dedicado y de tiempo completo, o asignar la tarea como accesoria a otras funciones, dependiendo por supuesto del tamaño, los recursos disponibles y la complejidad de la organización. Los investigadores deben reunir las competencias y las habilidades que la tarea requiere: imparciales, analíticos, buenos comunicadores, empáticos y confiables.
• Elegir un investigador líder que responda por el trabajo de todo el equipo y asuma responsabilidades importantes como presentar informes de la gestión en general, o de investigaciones puntuales.
• Identificar las necesidades de formación que puedan presentar algunos miembros del equipo investigador, o el líder. Es importante que todos los miembros del equipo dominen términos como “debida diligencia”, “compliance”, “conflicto de intereses”, entre otros, así como un conocimiento profundo de lo que es la Gestión de Cumplimiento.
• Proveer los recursos tecnológicos necesarios para adelantar las investigaciones. En organizaciones en las que la Gestión de Cumplimiento se ha automatizado, con base en una plataforma diseñada para esa tarea, este punto está resuelto con antelación.

2. Revisar la evidencia y los informes del caso

Las infracciones éticas, legales o de cumplimiento, al igual que la comisión de un delito, dejan huellas que se convierten en evidencia. Evidencia que debe ser recopilada y revisada por parte del equipo que emprende la investigación de cumplimiento. Los objetivos que se persiguen en este paso son:

• Identificar posibles implicados, de ser posible enunciando el nombre, el puesto de trabajo y los datos generales de cada uno de los empleados involucrados. Se trata de información eficaz para trazar un rumbo para profundizar en la investigación, conservando por supuesto la debida confidencialidad.
• Entender los hechos y su alcance, especialmente las normas o las leyes que se quebrantan o los acuerdos que se dejan de cumplir. También es procedente hablar de conflictos de intereses, fraudes, u otras infracciones que atañen tanto a la Gestión de Cumplimiento como a la Gestión Anticorrupción.
• Elaborar una línea de tiempo de la infracción o la falta, que permita conocer el alcance final del hecho denunciado, las áreas afectadas, los periodos de tiempo a investigar y las personas – empleados o exempleados – que tendrán que ser entrevistadas.

3. Abordar la investigación de cumplimiento sobre el terreno

Con todos los elementos reunidos, los investigadores están listos para salir al terreno y realizar la investigación. Básicamente en esta etapa de la investigación de cumplimiento se llevan a cabo las siguientes tareas:

• Realizar entrevistas en las que se hacen preguntas de acuerdo con la línea de tiempo establecida y los hechos relatados en la denuncia. La lista de preguntas debe atender a las características de los entrevistados, entendiendo que algunos pueden ser acusados, sospechosos y otros tan solo testigos o personas con la capacidad de aportar información valiosa sin relación, aunque no estén vinculados con los hechos investigados.
• Recolectar la evidencia documental, que incluye registros, reportes, formularios… También pueden resultar útiles imágenes, diagramas, fotografías, vídeos o archivos de audio.
• Entrevistar a otras personas, no programadas inicialmente, cuyos informes resulten relevantes de acuerdo con la evidencia recolectada o las primeras entrevistas realizadas.
• Documentar todo el proceso de investigación, cuidando de registrar fechas y horas exactas en las que se realizó cada tarea, identificación clara de cada persona que intervino, registros gráficos y de sonido, y todo aquello que pueda aportar solidez, transparencia y credibilidad al informe final de la investigación de cumplimiento.

4. Producir los informes finales de la investigación

El resultado ideal final de una investigación de cumplimiento es una conclusión clara y precisa. No siempre es posible. Al terminar las tres primeras fases, los investigadores tienen en su mente una opinión y un veredicto que no siempre es concluyente. En la etapa final es preciso:

• Revisar, evaluar y analizar todo el material recolectado, incluyendo entrevistas, documentos, registros y, por supuesto, la impresión que tienen los investigadores sobre proceso observados o circunstancias particulares excepcionales.
• Resumir hechos comprobados y hacer un relato cronológico de los hechos denunciados y de cada una de las etapas transcurridas hasta el momento en la investigación. En este apartado, el investigador líder reporta hallazgos y consigna sus impresiones particulares basadas en su experiencia.
• Adjuntar documentos y otro tipo de pruebas que respalden las conclusiones del informe, sean estas concluyentes o no.
• Comunicar el resultado a los implicados, al denunciante, a la Oficina de Cumplimiento, a la Alta Dirección y a los directores de áreas involucradas.

¿Cómo llevar a cabo una investigación de cumplimiento con facilidad?

Seguir los cuatro pasos anteriores garantizará una investigación ágil, oportuna y satisfactoria para todas las partes. Además, los siguientes consejos resultarán de gran utilidad:

• Conservar la imparcialidad y mantener la mente abierta durante todo el proceso.
• No divulgar ningún detalle de la investigación hasta que esta culmine.
• Seguir los protocolos de investigación durante todo el proceso.
• No asignar responsabilidades ni absolver a nadie, en tanto no concluya la investigación.
• Documentar todo lo que ocurre durante la investigación, conservando la cadena de custodia para todos los documentos y pruebas recolectadas.

Software ISO 37301 de ISOTools

Asegurar la trazabilidad en todo el proceso de investigación, así como garantizar el control de documentos que entrega credibilidad y transparencia, son dos elementos valiosos para cualquier equipo de cumplimiento con los que cuentan las organizaciones que implementan el Software ISO 37301 de ISOTools.

La tecnología tiene mucho que aportar a la Gestión de Compliance. Esta plataforma, basada en la nube está lista para apoyar tu trabajo en cualquier etapa: conócela aquí.

La entrada 4 pasos para un proceso de investigación de cumplimiento eficaz se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Los frentes que debe cubrir un Oficial de Cumplimiento son muchos. Prescindir del registro de riesgos lleva a repetir un trabajo y no aprovechar la información y la experiencia valiosa de cada evaluación de riesgos.

El registro de riesgos puede ser aprovechado en toda la organización. Los riesgos de seguridad de datos, por ejemplo, están presentes en Recursos Humanos, Contabilidad, Adquisiciones, Comercial… Si no existe un registro de riesgos formal, establecido, y que se alimente de forma sistemática, el trabajo ya hecho en un punto se replicará una y otra vez en cada departamento, cada área y cada ubicación.

¿Por qué un registro de riesgos ayuda a evitar la repetición?

El escenario que se plantea en la introducción es el que se conoce como formación de silos de información. Evitar la formación de esos silos, es la primera razón para contar con un registro de riesgos. Pero hay otras:

1. Identificar riesgos que son comunes a varias áreas

Con mayor o menor exposición, muchos riesgos aparecen en todas las áreas de la organización. Esto significa que la forma de tratarlos puede ser la misma. Además de evitar la repetición, la organización evita duplicación de esfuerzos con el consecuente ahorro de tiempo y dinero.

2. Planificar y priorizar los riesgos

Unificar los riesgos en un registro permite visualizarlos de manera integral y establecer cuáles precisan atención más urgente, por su capacidad lesiva o por la probabilidad de ocurrencia. Un registro de riesgos priorizado y categorizado ayuda a asignar recursos de forma eficiente y a trabajar sobre las amenazas más apremiantes.

3. Aportar transparencia a la Gestión de Cumplimiento

Cuando los riesgos se tratan con base en silos de información, es posible que aparezcan susceptibilidades en algunos sectores de la organización, porque se implementan controles o, por el contrario, porque se ignoran las consecuencias de una determinada amenaza. Con un registro de riesgos unificado desaparece esa posibilidad y se hace más transparente la Gestión de Cumplimiento.

4. Eliminar la duplicación de esfuerzos

La Gestión de Riesgos de Cumplimiento demanda tiempo, dinero, recursos humanos y tecnológicos. Las auditorías al Sistema también. Es importante entonces, disminuir la posibilidad de duplicidad de esfuerzos.

5. Centralizar la información en un solo lugar

Si un Oficial de Cumplimiento, o uno de sus asistentes especializado en Gestión de Riesgos tiene que recorrer toda la organización en busca de datos y registros, probablemente pueda entregar un resultado confiable cuando los riesgos ya hayan ocurrido o ya no representen una amenaza.

Por tanto, centralizar la información es una medida de eficacia necesaria para gestionar los riesgos y para agilizar la gestión corporativa.

6. Obtener indicadores confiables

La Gestión de Riesgos de Cumplimiento produce indicadores como el número de infracciones, número de denuncias, investigaciones resueltas, tolerancia al riesgo de la organización, entre otros. Con registros de riesgos aislados, por departamentos o por procesos, entregar resultados confiables será cada vez más difícil.

7. Contar con una visión panorámica de la Gestión

Con un registro unificado, los profesionales en Riesgos de Cumplimiento obtienen una imagen completa de la Gestión. Si la organización cuenta con el apoyo de una plataforma que automatice tareas y ofrezca informes tan útiles como mapas de calor, la Oficina de Cumplimiento tendrá herramientas eficaces en todo momento, para prevenir riesgos con suficiente antelación.

8. Recopilar información valiosa para el futuro

El registro de riesgos es algo más que un listado de amenazas identificadas. El registro lo componen, además de la descripción del riesgo, fechas de incidentes, descripciones, sugerencias de tratamiento, evidencia de monitoreo… Se trata de un repositorio valioso para la Gestión futura y para evaluaciones o auditorías por venir.

¿Qué desafíos se enfrentan con un Registro de Riesgos de Cumplimiento?

El primer paso para crear un Registro Único de Riesgos dentro de la organización es tomar la decisión. Lo puede hacer la Alta Dirección o el Oficial de Cumplimiento. Algunos factores para examinar, que representan desafíos para el logro del objetivo son:

• La estructura de la organización – departamentos, niveles, áreas -.
• El tamaño y el número de localizaciones, sobre todo cuando estas últimas están ubicadas en otros países o continentes.
• Madurez de la cultura de cumplimiento.
• Recursos disponibles.
• Existencia o no de un modelo GRC – Gobierno, Riesgo y Cumplimiento -.
• Nivel de regulación.
• Partes interesadas.
• Apoyo tecnológico.

La tecnología es un elemento esencial en el éxito de la Gestión, pero especialmente, en el proyecto de crear un Registro Único de Riesgos de Compliance. De poco sirve una lista almacenada en algún anaquel, si no se pueden establecer relaciones inmediatas, confrontar datos y revisar de inmediato antecedentes históricos en toda la organización.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools ofrece numerosas ventajas a las organizaciones en su búsqueda de una gestión efectiva del cumplimiento normativo. Facilita la automatización de procesos, la gestión de documentos y el seguimiento continuo del cumplimiento, lo que ahorra tiempo y reduce la carga de trabajo manual.

Además, mejora la transparencia, simplifica la gestión de auditorías y ayuda en la identificación y mitigación de riesgos, contribuyendo a una cultura de cumplimiento más sólida y eficiente. Este software altamente personalizable también facilita la toma de decisiones informadas y puede resultar en ahorros significativos de costos operativos para las organizaciones.

Si quieres obtener más información sobre la Plataforma ISOTools, solicita información sin compromiso.

La entrada Cómo un registro de riesgos ayuda a evitar que se repitan se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

A pesar de su importancia, muchas organizaciones descuidan la planificación estratégica en cuanto al cumplimiento normativo o corporativo. Algunas consideran que la planificación rutinaria trimestral o semestral cumple su propósito. No obstante, el plan estratégico de cumplimiento normativo se enfoca en el futuro y es un documento perenne, sin fecha de caducidad, que requiere revisión y adaptación constante según los cambios regulatorios y el entorno interno y externo de la organización.

¿Por qué es importante tener un plan estratégico de cumplimiento normativo?

La estrategia empresarial puede describirse mejor como objetivos generales y planes formales para el futuro, un marco para tomar decisiones sobre cómo se lograrán los objetivos y se generará valor y ventaja competitiva.

Un plan estratégico debe recoger de forma más precisa los objetivos a alcanzar, no necesariamente una lista grande de 10-20 para evitar perder el foco, pero sí varios objetivos clave que alcanzar a nivel de cumplimiento. Este plan es un documento que adquiere gran relevancia debido a:

1. Establece una dirección para la gestión

El cumplimiento normativo es importante porque protege a la organización de sanciones, cierres de operación o deterioro de la reputación, entre otros beneficios. Pero cumplir no es un punto de llegada. Es una dirección, un punto en el horizonte que siempre se debe seguir.

El plan estratégico de cumplimiento normativo marca el norte para la Alta Dirección, para el Oficial de Cumplimiento y para todos los empleados en la organización. Con una estrategia planificada, todos los proyectos se encauzan por el mismo camino, definido por el plan.

2. El plan estratégico de cumplimiento promueve el debate sobre ética y transparencia

En el mundo comercial algunas prácticas pueden ser admitidas, y por ello, no discutidas. Sin embargo, algunas de ellas pueden transgredir terrenos que competen a la gestión de compliance.

Hablar sobre estos temas puede resultar incómodo o generar roces entre empleados del área comercial, con otras áreas como financiera o legal. Enmarcar los proyectos dentro de un plan estratégico de cumplimiento normativo facilita hablar sin restricciones sobre estos temas, aclarar conceptos y desarrollar procesos dentro de los límites de transparencia ética y cumplimiento que esperan todos en la organización.

3. Define reglas para asignación de recursos

El destino de los recursos humanos, tecnológicos y, sobre todo, financieros, es un punto crítico en cualquier organización. Un proyecto puede detenerse o retrasarse debido a la excesiva cautela en la asignación de recursos.

Lo contrario también puede ser perjudicial: asignación de recursos de forma irracional o desproporcionada, genera corrupción, desperdicio e ineficiencia. Un plan estratégico de cumplimiento normativo proporciona directrices precisas para la asignación de recursos de forma eficiente y productiva.

4. Aumenta la productividad de los empleados

El plan estratégico proporciona seguridad y tranquilidad a los empleados. Se construye un contexto proclive al desarrollo de los mejores talentos. La capacidad laboral crece y la productividad se puede medir en los indicadores y los resultados. Los proyectos cumplen con los objetivos propuestos con menos recursos y mejores resultados.

5. Genera cultura de cumplimiento y de toma de las mejores decisiones

Las estrategias de cumplimiento normativo planificadas hacen que todos los empleados trabajen por objetivos comunes, siguiendo las mismas reglas. Este es el pilar de la cultura de cumplimiento.

Con normas claras para seguir, es más fácil tomar las mejores decisiones. Cada área, cada Director de Departamento, cada líder de la organización, actúa como un engranaje integrado en una sola maquinaria, que trabaja por objetivos relevantes para todos en la organización.

6. Refuerza la credibilidad en la misión, la visión y los valores de la organización

Las organizaciones trabajan mucho en la definición de la misión, la visión y los valores. Este trabajo suele desvanecerse a causa de la falta de credibilidad en los principios expresados en la visión, la misión y los valores.

La falta de credibilidad real en estos tres ejes es un problema recurrente en muchas organizaciones. Planificar estrategias de cumplimiento hace que los objetivos y los principios que construyen estos elementos se integren a las labores diarias de los empleados, y estos los aprecien como la guía a seguir en la búsqueda de sus objetivos.

Un problema recurrente encontrado por los Oficiales de Cumplimiento al implementar planes estratégicos de cumplimiento normativo, es que el esfuerzo suele quedarse en el papel y no trascender. La tecnología se convierte en un eficiente aliado para la gestión. Un ejemplo, a continuación.

Software ISO 37301de ISOTools

El Software ISOTools ISO 37301 incorpora funcionalidades avanzadas para la automatización de la Gestión de Cumplimiento. Es una plataforma basada en la nube, que facilita el alcance de los objetivos propuestos por la Alta Dirección y el Oficial de Compliance. Acércate a ella aquí.

La entrada 6 razones por las que toda organización necesita un plan estratégico se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Los resultados de la evaluación de proveedores externos resultan especialmente útiles para Oficiales de Cumplimiento, líderes de programas anticorrupción, CEOs y miembros de la Alta Dirección. Todos ellos tendrán mejores herramientas para tomar decisiones tras una evaluación de proveedores externos.

La tarea, sin duda fructífera para la organización, requiere información, datos, recursos humanos y uso de metodologías diseñadas para organizar, analizar y evaluar. A continuación, explicamos cómo hacerlo.

¿Qué es una evaluación de proveedores externos y por qué es importante?

La evaluación de proveedores externos es la primera tarea de debida diligencia que practica la organización sobre este tipo de terceros. Es una revisión preliminar, pero no por ello superficial. El objetivo es reducir el número de proveedores, eliminando los que desde esta etapa inicial presentan altos riesgos de corrupción o de cumplimiento.

Si una organización realiza una acertada evaluación de proveedores externos, es poco probable que tenga problemas serios al transcurrir la relación comercial con los terceros que pasen este primer filtro.

Esta primera etapa de la debida diligencia puede arrojar información que indica que un determinado proveedor representa un riesgo alto. Sin embargo, por el precio, por la disponibilidad del producto o por las características de los artículos que suministra, este tercero es vital y estratégicamente esencial. Aún en estos casos, la información suministrada por la evaluación de proveedores externos resultará útil para minimizar los riesgos, tratarlos o establecer controles eficaces que permitan una relación comercial transparente y productiva para las dos partes.

La evaluación de proveedores externos tiene que ser un paso indispensable en el proceso de incorporación de un nuevo eslabón en la cadena de suministro. La efectividad de esta evaluación dependerá de la suficiencia y calidad de los datos y la información disponible y de la metodología utilizada para realizar la investigación.

¿Qué datos se buscan para la evaluación de proveedores de terceros?

La evaluación inicia con la comprobación de la veracidad de la información básica suministrada por el proveedor. La confrontación con otras bases de datos, internas o externas, resulta muy útil en este primer paso. Otros datos que deben ser verificados son:

1. Antecedentes del proveedor

La evaluación tiene alcance sobre el nombre de la organización y el número de identificación fiscal que la distingue, pero también sobre los miembros de su Alta Dirección, CEOs, socios, accionistas. La investigación se enfoca en áreas como el cumplimiento legal, comportamiento fiscal y antecedentes en temas como lavado de dinero, fraude o corrupción.

2. Sanciones, multas o pérdida de licencias

Usualmente, este tipo de información se puede realizar online, digitando el número de identificación fiscal. El objetivo es conocer el objetivo de cumplimiento del proveedor, pero también su capacidad para evitar las interrupciones de la operación.

3. Relación con personas comprometidas con organismos estatales

En este grupo se incluyen las personas políticamente expuestas, las que tienen antecedentes criminales, funcionarios corruptos, funcionarios de organismos reguladores, y otros similares que tengan capacidad para afectar la reputación de la organización.

4. Conexiones del tercero

Algunos tipos de conexiones no deseables, son las que establece un proveedor con un competidor de la organización, con empleados que pueden tomar decisiones o con autoridades locales u organismos reguladores.

5. Historial crediticio y comercial

Los terceros que no cumplen con sus obligaciones financieras, presentan una alta exposición de incumplimiento del suministro, como resultado de la falta de liquidez.

6. Comentarios de otros clientes

Los proveedores que acumulan comentarios en Redes Sociales o en otras empresas de la industria, adquieren mala reputación. En este tipo de organizaciones, la rotación de empleados es alta, los cierres de operación son frecuentes y el riesgo de incumplimiento en el suministro también es grande.

¿Cómo realizar una evaluación de proveedores externos efectiva?

La evaluación de terceros, y de proveedores específicamente, requiere algo más que revisar y analizar datos. El objetivo es identificar riesgos, comprenderlos, y establecer si se pueden admitir, tolerar, tratar, eliminar o minimizar.

Algunos consejos para realizar una evaluación profunda, completa y eficaz son:

1. Revisar el estado de la cultura anticorrupción en la organización

Si la organización (proveedor) no cuenta con una sólida cultura ética, políticas y programas anticorrupción, los riesgos de soborno, fraude y practicas antiéticas, serán mucho más altos. Comprender los riesgos propios, por otra parte, facilitará identificar amenazas en el proveedor evaluado.

2. Inspeccionar al tercero de forma general y especifica

La evaluación de proveedores externos necesita unos criterios generales, de acuerdo con la industria y el tipo de producto que suministra el tercero, y otros específicos, que se relacionan con aspectos como la ubicación geográfica, el tamaño, la complejidad, sus antecedentes y sus procesos internos, entre otros.

3. Ampliar el espectro de búsqueda

Muchos datos o informes sobre un tercero pueden aparecer con una ligera variación ortográfica, un nombre comercial, o, incluso, una denominación alterna. Esto, que de por si ya es una señal de alerta, puede dificultar la tarea para las herramientas de detección utilizadas.

4. Crear políticas y diseñar procedimientos para la evaluación

La evaluación de terceros es una tarea sistemática, que obedece a políticas creadas por la Alta Dirección. Así mismo se necesitan procedimientos consistentes, que se desarrollen siempre, en todos los casos.

5. Definir el nivel de riesgo aceptable

Es poco probable que un proveedor muestre un nivel de riesgo cero como resultado de la evaluación. La organización necesita definir, de acuerdo con su apetito de riesgo, los niveles de riesgo que puede tolerar, de acuerdo con la madurez de su programa anticorrupción, la efectividad de sus controles y las oportunidades que pueda representar un determinado proveedor, a pesar del riesgo.

6. Contar con el suficiente apoyo tecnológico

Un programa de evaluación de proveedores y el proceso de debida diligencia, en general, requieren un soporte tecnológico para que la información que arrojan sea confiable y oportuna.

Esto es mucho más importante cuando el número de terceros a evaluar es elevado, o implican gran complejidad. Es el caso de los proveedores ubicados en otros continentes.

Por otra parte, el sistema necesita ser auditado e inspeccionado para verificar la validez de los resultados. Un sistema basado en hojas de cálculo y papel, presenta muchas dificultades para un auditor o inspector.

Software ISO 37001 de ISOTools

Las organizaciones que adoptan el estándar internacional ISO 37001 para tratar sus riesgos de corrupción y soborno, tienen mejores oportunidades para alcanzar objetivos relevantes en poco tiempo. Pero sus opciones mejoran, si implementan una plataforma como el Software ISO 37001 de ISOTools.

La automatización de los procesos de debida diligencia, incluida la evaluación de terceros, como proveedores, contratistas, socios o empleados, es una funcionalidad muy atractiva para organizaciones de todos los tamaños y de cualquier industria. Pregunta por ella a uno de nuestros consultores.

La entrada Evaluación de proveedores externos: cómo organizar y analizar los datos para tomar mejores decisiones se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Es posible comparar la cultura corporativa de cumplimiento con la base de un edificio o una estructura arquitectónica. Esa base, sólida y resistente al inicio, puede verse deteriorada por el paso del tiempo, la humedad en el terreno construido o fenómenos sísmicos, entre otros factores.

La cultura corporativa de cumplimiento también se ve afectada por factores externos e internos. Por eso es importante revisarla, evaluarla y medirla de forma periódica, para identificar puntos débiles y, así, diseñar e implementar acciones para mantener la solidez de la base del programa de cumplimiento.

¿Cuáles son las señales de que una cultura corporativa de cumplimiento necesita revisión?

Los programas de cumplimiento maduros deben considerar la revisión periódica de la cultura corporativa de cumplimiento de acuerdo con un cronograma de tareas anual. El Oficial de Compliance, no obstante, puede advertir sobre la necesidad de revisar y evaluar la cultura, de forma extraordinaria, ante la presencia de uno o varios de los siguientes síntomas:

1. Apatía de los empleados

La primera manifestación de que la cultura corporativa de cumplimiento necesita revisión, aparece al interior de la organización: los empleados mostrarán apatía, disgusto y desprecio por las políticas e instrucciones provenientes de la Alta Dirección.

La aversión alcanza los postulados éticos y las recomendaciones para el uso de las mejores prácticas comerciales. Esto genera una brecha en la cultura de cumplimiento, en la que es posible crear un código de conducta propio, de acuerdo con lo que cada empleado cree que es correcto, o le conviene.

2. Hechos contradictorios de la Alta Dirección

Este tipo de acciones, no coherentes con lo expresado en políticas o en comunicados orales u escritos, aparecen también en directores de área, supervisores e incluso, auditores.

Son comportamientos más lesivos que los expresados en el ítem anterior, porque se convierten en ejemplos que tienden a ser replicados en esferas inferiores de la organización.

3. Desconocimiento del liderazgo

El liderazgo en temas de cumplimiento corresponde al Oficial de Compliance. Cuando sus instrucciones no son atendidas, no se le convoca a espacios de discusión en los que se tratan temas legales o de cumplimiento, o se toman decisiones sin tener en cuenta los posibles riesgos de cumplimiento, hay un desconocimiento de liderazgo, que evidencia un problema en la cultura corporativa de cumplimiento.

4. No asignar recursos para la Gestión de Cumplimiento

La Gestión de Cumplimiento necesita recursos. En organizaciones que adoptan el estándar internacional ISO 37301, la asignación de recursos para el cumplimiento corresponde a la Alta Dirección.

No obstante, esta función puede ser delegada al área financiera o contable. Puede haber responsabilidades transversales en el área de Recursos Humanos o de Adquisiciones. En cualquiera de estos puntos puede presentarse negligencia o resistencia para proveer los recursos humanos, financieros y tecnológicos que demanda la gestión. Esto es signo inequívoco de deterioro de la cultura corporativa de cumplimiento.

5. Actos indebidos no sancionados

La ocurrencia de actos de mala conducta, antiéticos o censurables, que no son sancionados ni señalados, bajan la moral de los empleados que sí cumplen las normas y se esfuerzan por que la organización no incurra en infracciones, o sea culpada por acciones contra la ley o las normas internas o externas.

¿Cómo medir el nivel de la cultura corporativa de cumplimiento?

La presencia de las señales que hemos desglosado en el apartado anterior, arroja un indicador cualitativo interesante, sobre la necesidad de evaluar la cultura de compliance.

Obtener información cuantitativa, mucho más precisa, es posible aplicando estas técnicas:

1. Encuestas

Preguntar de forma directa a los empleados en todos los niveles, es una forma de obtener cifras concretas sobre el estado de la cultura de cumplimiento. Es importante que las preguntas que se efectúen en este tipo de encuestas sean muy precisas y definidas: ¿Le han ofrecido una recompensa para que haga algo reprobable?, ¿ha sido testigo de actos indebidos?, ¿tiene conocimiento de conductas que vayan en contra de alguna norma o alguna ley?… Es importante realizar un número significativo de encuestas, para obtener datos confiables y representativos.

2. Identificar las causas por las que los empleados se van

La escasa capacidad para retener a los mejores empleados es una señal más de problemas en la cultura de cumplimiento. Es importante analizar información completa sobre las renuncias de empleados: número de empleados en el periodo evaluado, causa aducida para la renuncia género, puesto de trabajo, área en la que se desempeñaba, nivel de estudios, reportes efectuados en canales de denuncia…

3. Utilizar métricas especificas

La evolución y sofisticación de la Gestión Comercial y de Recursos Humanos, en las organizaciones modernas, ha creado la necesidad de contar con metodologías e indicadores para medir aspectos como el compromiso de los empleados y la lealtad con la organización. Una, entre varias metodologías útiles para este caso, es la de Employer Net Prometer Score.

4. Analizar los informes de los canales de denuncia

El mejor indicador sobre deterioro de la cultura corporativa de cumplimiento lo entregan los canales de denuncia. Entre otros datos, resultan de especial utilidad el número de denuncias, los temas abordados, las quejas de los informantes, la existencia de represalias, el tiempo de respuesta y los resultados y la confiabilidad de las investigaciones.

¿Qué preguntas básicas evidencian problemas en la cultura corporativa de cumplimiento?

Antes de seguir el paso a paso o aplicar técnicas y herramientas de medición y análisis, es importante obtener respuesta a preguntas básicas, pero de Alto Nivel, que proporcionan una visión amplia y panorámica sobre el estado de la cultura, y la necesidad de realizar una evaluación profunda. Estas preguntas pueden ser:

• ¿La Alta Dirección apoya las iniciativas del Oficial de Cumplimiento y su oficina?
• ¿Los empleados toman en serio las recomendaciones y directivas provenientes de la Oficina de Cumplimiento?
• ¿Existen canales de comunicación, sobre temas de cumplimiento, fluidos y efectivos?
• ¿La Gestión de Compliance cuenta con los recursos económicos, humanos y tecnológicos, para cumplir con los objetivos propuestos?
• ¿La percepción que tienen los empleados sobre los canales de denuncia y sobre las investigaciones es buena, regular o mala?
• ¿Los profesionales en el área de cumplimiento están capacitados y actualizados en el tema?
• ¿Es suficiente el apoyo tecnológico para le gestión de compliance?

Software ISO 37301 de ISOTools

El aporte de la tecnología en la construcción de cultura de cumplimiento, y para la Gestión de Compliance en general, es definitivo. Es una primera conclusión del informe de hoy, que encuentra una eficaz respuesta con el Software ISO 37301 de ISOTools.

Esta plataforma, basada en la nube, está lista para apoyar la Gestión de Cumplimiento en organizaciones que han adoptado el estándar ISO 37301, pero también en las que operan con programas independientes o basados en otros estándares. Conócelo aquí.

La entrada Cómo evaluar la cultura corporativa de cumplimiento en la práctica se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Pero automatizar las herramientas GRC es algo más que contratar un sistema informático que automatice y agilice las tareas. También, es importante entender que la automatización se adopta para obtener beneficios adicionales al ahorro de tiempo y dinero.

¿Por qué es importante automatizar las herramientas GRC?

Los primeros avances en la implementación de modelos de Gobernanza, Riesgos y Compliance se hicieron con base en hojas de cálculo y documentos redactados y creados a mano o en procesadores de texto de uso cotidiano.

Esto sucedió hace dos décadas. Hoy, la avalancha de regulaciones y normas, seguida de los previsibles riesgos, obligan a las organizaciones a asumir una posición proactiva, vanguardista, para enfrentar los múltiples desafíos que implica adoptar un modelo GRC.

Las hojas de cálculo ya no son suficiente. Es preciso automatizar las herramientas GRC, entre otras, por estas razones:

• Es posible crear una estructura que recopile y almacene datos, a la vez que aprende de ellos, para entregar informes sobre posibles escenarios futuros o amenazas que aún no han sido identificadas.
• Proporciona una visión general, integral y panorámica, del estado de la gestión, señalando puntos críticos y problemas serios como los relacionados con la seguridad cibernética, la Gestión Ambiental o la Seguridad de los Trabajadores.
• Facilita la ejecución de procesos y procedimientos de debida diligencia, responsables de la seguridad y del cumplimiento de la organización.
• Permite responder de inmediato ante la aparición de riesgos, ya que la información se captura y se procesa en tiempo real.
• Actualiza la información sobre el rumbo del panorama normativo, regulatorio y legislativo, facilitando a los especialistas en compliance y en riesgos tomar acciones oportunas para tratar las amenazas.
• Disminuye costes de auditorías e inspecciones, ya que estas tareas y otro tipo de evaluaciones se llevarán a cabo en muy poco tiempo, demandando menos horas y menos personas para realizarlas.
• Promueve la colaboración entre las áreas, y entre los diferentes niveles de la organización. El sistema GRC se convierte en un común denominador para todas las personas de la organización, sin importar el departamento en el que trabajen o el nivel en que lo hagan.
• Proporciona información detallada, fácil de digerir, para comunicar a la Alta Dirección o a los directores de un área determinada, acerca de la inminencia y el impacto posible de un riesgo.

¿Qué desafíos se enfrentan al automatizar las herramientas GRC?

Los beneficios de automatizar las herramientas GRC son contundentes. Aún así, en muchas organizaciones se enfrentarán desafíos que es importante superar. Conocerlos, es el primer paso para lograr salvarlos con éxito:

1. Coste

La automatización del modelo de gestión GRC puede requerir inversión en equipos y en la plataforma que tendrá a cargo la tarea. La alternativa es adoptar una solución que crezca con la organización. Las mejores herramientas informáticas disponibles en el momento, son desarrolladas y alojadas en la nube, lo cual disminuye los costes para el usuario. Esto también permite el acceso desde todo tipo de dispositivos móviles, prescindiendo de inversiones costosas en servidores, periféricos, o numerosos equipos fijos.

2. La cultura

La cultura es un elemento esencial en la implementación de un modelo GRC. Sin embargo, automatizar las herramientas GRC requerirá un grado adicional de cultura. Los empleados necesitarán entender que hay una herramienta informática nueva en el escenario, que su uso es obligatorio y que esta viene a apoyar el éxito en los tres ejes que soportan el modelo.

3. Recursos

Aunque hablamos en el primer ítem de este apartado sobre el coste, esto no significa que el proyecto puede prescindir de los recursos. Además del coste de la plataforma, es preciso pensar en necesidades de formación, equipos mínimos, costes de implementación, entre otros.

4. Aceptación de todos los empleados

Todos los empleados dirán que aceptan el proyecto para automatizar las herramientas GRC, pero no todos lo pondrán en práctica a diario. Esto se relaciona con la aversión a aprender el uso de una tecnología nueva, temor a perder el empleo, apego a lo tradicional, reservas sobre el uso de la herramienta… Es necesario comunicar muy bien el proyecto, hablar de él en foros y eventos diseñados para ello, capacitar a los empleados con tareas clave y, en general, impulsar la automatización y sus beneficios en todos los departamentos de la organización.

¿Cómo automatizar las herramientas GRC?

Automatizar las herramientas GRC es un proyecto importante para la organización. Requiere planificación, evaluación y análisis. Seguir estos pasos ayudará a los profesionales encargados a culminar la tarea con éxito:

1. Identificar los objetivos

No todas las organizaciones persiguen los mismos objetivos. Para algunas, el objetivo será disminuir costes y mejorar la productividad. Otras, considerarán el proyecto como un módulo dentro de un proyecto mayor de Transformación Digital. Y las hay también que lo asumen como un compromiso con clientes o socios comerciales.

2. Identificar riesgos

Como cualquier proyecto importante, la automatización implica riesgos y oportunidades. Es importante considerar ambos, antes de tomar decisiones de fondo.

3. Actualizar controles

Automatizar las herramientas GRC significa llevar la gobernanza, la Gestión de Riesgos y la de Cumplimiento a otro nivel. Es un nivel en el que aparecerán nuevas amenazas. Por eso es tan importante revisar y ajustar los controles y las medidas de prevención diseñadas para contrarrestar amenazas.

4. Establecer indicadores

El rendimiento de la Gestión de Cumplimiento, como de la gobernanza o la Gestión de Riesgos, se mide con una multitud de indicadores. Es importante elegir entre ellos, cuáles serán los que mostrarán, en cada área, el aumento del rendimiento obtenido con la automatización.

5. Consultar expertos en automatización

Aun con investigaciones, datos y ofertas de diferentes proveedores, es importante contar con la asesoría de expertos en el campo de la automatización, y mejor que esta experiencia sea especifica en procesos de Gobernanza, Riesgos y Compliance.

6. Elegir un proveedor

La mejor forma de convencer a la Alta Dirección, a los empleados, a los socios comerciales y a los organismos reguladores, de los beneficios del proyecto, es implementando una solución eficiente, accesible, escalable, fácil de utilizar, productiva y capaz de respaldar cualquier iniciativa de Gobernanza, Riesgo y Cumplimiento. Un ejemplo de ello es la herramienta que te presentamos a continuación.

Software ISO 37301 de ISOTools

Para algunas organizaciones, el coste puede ser un desafío insalvable. El Software ISO 37301 de ISOTools, es una herramienta avanzada, que incorpora elementos de Inteligencia Artificial, y está disponible para apoyar tus proyectos GRC a un coste más que accesible.

Se trata de una herramienta basada en la nube, diseñada para crecer con tu organización. Esta plataforma permite diseñar flujos de trabajo, monitorizar la evolución de tareas, asignar responsabilidades, alertar sobre retrasos o incumplimientos, presentar mapas de calor, entregar informes útiles para la toma de decisiones, pero, sobre todo, automatizar tareas y eliminar el error humano.

Esta solución ofrece funcionalidades que puede aprovechar el Oficial de Cumplimiento para liberar tiempo y desarrollar estrategias que potencien la seguridad y la capacidad de cumplimiento de la organización. Encuentra más información de esta interesante solución aquí.

La entrada Automatizar las herramientas GRC: beneficios, retos y pasos a seguir se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

La mayoría de los empleados quiere hacerlo así. Por supuesto, si fuesen todos, y lo hiciesen siempre, no seria necesario contar con un programa de Compliance Corporativo.

Pero no siempre es así. Además, es preciso considerar que el contexto cambia, el marco regulatorio es más estricto o aparecen condiciones extraordinarias. Todos estos elementos, aislados o en su conjunto, generan la necesidad de recalibrar o ajustar el programa de Compliance Corporativo, con el propósito de mantener su efectividad.

¿Cómo recalibrar y mantener el rendimiento del programa de Compliance Corporativo?

Uno de los deberes del oficial de compliance es garantizar el cumplimiento en todos los niveles y todas las áreas de la organización, iniciando por la Alta Dirección. Es con base en este postulado que se diseña el programa de Compliance Corporativo.

El programa debe ser revisado y ajustado de forma periódica, de tal forma que se mantenga al día y conserve su efectividad. Ocho formas de hacerlo con éxito son las siguientes:

1. Revisar la gestión de riesgos de forma periódica

Una práctica recomendable en cualquier área que se aplique la gestión de riesgos, es revisarla de forma periódica. Esto es mucho más válido en el área de cumplimiento.

Lo es porque el panorama regulatorio y normativo cambia todos los días. Pero también es posible que aparezcan nuevos riesgos como consecuencia de la adopción de nuevas tecnologías, el cambio de empleados o de roles, la incursión en nuevos mercados o fenómenos sociales o políticos no previstos.

La evaluación y gestión de riesgos corporativos no es necesariamente una actividad vinculada a una auditoría o al cumplimiento de un cronograma. Se puede y debe hacer siempre que las condiciones y los hechos así lo exijan.

2. Vigilar el acontecer regulatorio y normativo

La mayor fuente de riesgos y de probabilidades de incumplimiento es el dinamismo que caracteriza el marco regulatorio y normativo, en cualquier industria y en cualquier región del planeta.

Todos los días aparecen normas, exigencias, leyes, decretos… Otros desaparecen o son modificados. Las organizaciones firman acuerdos, se comprometen con sus empleados, con sus clientes, con su comunidad e, incluso, con ellas mismas. Así, es claro que mantenerse al día con este acontecer normativo y regulatorio, es una medida apenas lógica para un Oficial de Cumplimiento que desee garantizar el Compliance Corporativo en su organización.

3. Evaluar los informes de canales de denuncias

Los canales de denuncia proporcionan información muy valiosa para mantener el programa de Compliance Corporativo. Evaluar los informes de canales de denuncias implica considerar, además del número de informantes y la forma en la que presentan la información (anónima, presencial, correo, telefónica…), los detalles del informe, el área a la que corresponde, la existencia o no de acoso y represalias, o si se reporta tan solo incumplimiento o también algún tipo de conducta dolosa o delictiva.

Además de identificar problemas, el Oficial de Compliance puede obtener una percepción sobre el grado de solidez de la cultura de cumplimiento en su organización.

4. Hacer seguimiento a las investigaciones

En la misma línea, la Oficina de Cumplimiento necesita revisar las acciones posteriores a la recepción de una denuncia o un informe. La investigación puede revelar nuevos problemas, además de los que están implícitos en el informe.

El desarrollo de las investigaciones y el análisis del trabajo de los profesionales encargados de esa tarea, puede revelar deficiencias del programa, como falta de recursos, ausencia de apoyo tecnológico para la gestión de Compliance Corporativo o cuellos de botella en procesos de debida diligencia, que pueden ser solucionados con la automatización del programa.

5. Evaluar el compromiso de los empleados

El compromiso de los empleados con el Compliance Corporativo parece un indicador un tanto difícil de medir. Los datos que proporcionan los canales de denuncia proporcionan datos interesantes para hacerlo.

Los resultados de programas de formación o capacitación, o la respuesta a foros o charlas sobre el tema, también indican el compromiso de los empleados. Las consultas a líneas éticas y, por supuesto, la ausencia de fallos de cumplimiento, son también formas de medir el compromiso.

6. Probar los controles

Los controles, en un programa de Cumplimiento Corporativo, actúan como mecanismos de defensa o escudos de protección. Por eso es tan importante comprobar con regularidad su funcionamiento y su eficacia.

En algunos casos, las infracciones evidentes, los informes en canales de denuncia o los hallazgos de auditoría, muestran fallos o ineficacia de un control. La tarea del Oficial de Cumplimiento es identificar esos problemas, aislarlos y buscar la causa raíz del problema.

En algunos casos, lo procedente será diseñar un nuevo control. Otros, apenas ameritarán una modificación o un ajuste.

7. Revisar los indicadores de rendimiento

Evaluar el programa de Compliance Corporativo, significa establecer con claridad el nivel de cumplimiento de objetivos y los niveles de tolerancia al riesgo que admite la organización. Esto es lo que muestran los indicadores, o KPIs.

De la acertada elección de indicadores, dependerá la veracidad y la utilidad de la evaluación del programa, y la efectividad de las acciones que se tomen para ajustarlo. Buenos indicadores muestran problemas de inmediato o revelan los buenos resultados de una tarea bien hecha.

Los indicadores, además de ser eficientes, suelen necesitar una plataforma tecnológica que procese la información con la requerida celeridad y produzca los informes en los que señale problemas específicos.

8. Documentar la tarea

La tarea de recalibración del programa de Compliance Corporativo finaliza con el registro y documentación de todo lo hecho. Es importante porque esta no será la última vez que se efectúe la revisión general del programa.

Cada vez que se recalibre el programa, contar con un punto de referencia documentado, sobre el estado de la Gestión, en la última revisión, ayudará a establecer la mejora o el deterioro, y la eficacia de las acciones tomadas en la anterior evaluación.

En todas las acciones que se recomiendan para revisar y recalibrar el programa de Compliance Corporativo, contar con una plataforma tecnológica diseñada para automatizar y digitalizar la Gestión de Cumplimiento se convierte en un elemento decisivo para el éxito de la tarea.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es una solución basada en la nube, diseñada específicamente para digitalizar y automatizar la Gestión de Cumplimiento. Conoce sus funcionalidades aquí.

La entrada Compliance corporativo: 8 formas de recalibrar y mantener el programa de cumplimiento se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Al establecer diferentes niveles de debida diligencia, las organizaciones pueden adjudicar cada uno de ellos a diferentes grupos de terceros, dependiendo de sus perfiles de riesgo.

La gestión anticorrupción, la implementación de la norma ISO 37001 y las exigencias de los reguladores propenden por la aplicación de la debida diligencia con un enfoque basado en el riesgo.

En términos generales, es posible definir tres grandes niveles de debida diligencia. A continuación, explicamos cada uno de los niveles y cómo gestionarlos.

¿Cuáles son los niveles de debida diligencia de acuerdo con el riesgo del tercero?

Los niveles de debida diligencia se diferencian entre sí por los objetivos que persiguen, la forma en que se ejecutan en la práctica y las preguntas que buscan resolver. Con base en esta estructura, se definen tres niveles de debida diligencia que pueden ser adoptados como marco de referencia en cualquier tipo de organización:

1. Nivel de diligencia I

Este es un nivel de riesgo bajo o controlado. La debida diligencia se ejecuta para terceros que no representan riesgos probables o de poco impacto.

Algunos objetivos usuales en este nivel son:

• Reunir informes sobre el tercero, que indiquen la posibilidad de soborno u otros actos de corrupción.
• Verificar si el tercero o algún vinculado cercano es investigado por delitos de corrupción, fraude o soborno, y como consecuencia de ello, figura o figuran en algún tipo de lista sancionatoria.
• Definir procedimientos o acciones preventivas para terceros que, aunque tengan problemas, sean susceptibles de ser controlados o neutralizados.

¿Qué se requiere?

Usualmente, en este nivel la oficina de cumplimiento o los encargados de ejecutar la debida diligencia hacen uso de:

• Cuestionarios y entrevistas.
• Revisión de listas y cruce de datos entre ellas.
• Contactos con personas u organizaciones vinculadas al tercero, para hablar sobre sus hábitos y sus posibles problemas.

¿Cómo se hace?

Con pocos o muchos terceros la automatización siempre será una buena idea. Utilizar una solución informática, permite obtener patrones de lo que se considera el tercero ideal.

La automatización también permite separar los terceros que necesitarán pasar a otros niveles de debida diligencia. Finalmente, la obtención de listas de verificación para dinamizar los procesos, inspeccionar la gestión o practicar auditorias, son otros beneficios que se obtienen al contratar un software que automatice la gestión de debida diligencia.

2. Nivel de diligencia II

Este nivel requiere mayor aporte tecnológico. La organización necesita ahora reunir información, suficientemente confiable, para tomar decisiones y operar dentro de un marco de total seguridad, evitando riesgos legales, de cumplimiento o regulatorios.

Algunos objetivos usuales en este nivel son:

• Asegurarse de que los terceros, sus vinculados inmediatos, sus empleados y sus socios comerciales no han participado en actividades ilícitas, o en operaciones que implican soborno y corrupción.
• Crear informes completos y detallados sobre cada uno de los terceros evaluados.
• Capacitar investigadores expertos, que sigan un procedimiento diseñado para asegurar cobertura total sobre el tercero y sus actividades.

¿Cómo se hace?

Este nivel se caracteriza por el uso de extensas bases de datos, de alcance global, que constituyen la materia prima con la que trabaja una plataforma de automatización de la gestión anticorrupción. Es importante entender que no se trata apenas de mejorar la debida diligencia de nivel I. Se trata de obtener:

• Perfil completo del tercero, sus asociados y vinculados cercanos, en cualquier ubicación del planeta.
• Generar un organigrama del tercero que permita conocer y entender sus asociaciones, vínculos y conexiones. El mapa mostrará sucursales, clientes principales, proveedores, empleados, relaciones con organismos estatales y reguladores…
• Descubrir titularidades encubiertas, las cuales son usuales en organizaciones pequeñas, con normas laxas para permitir la capitalización con recursos de origen no muy claro.
• Obtener evidencia sólida, que confirme lo declarado por el tercero o lo contradiga de plano.
• Conocer los antecedentes judiciales y de policía de los miembros de la Alta Dirección y de los principales empleados, directores de área o mandos medios.
• Informes sobre opiniones o comentarios en medios de comunicación, foros especializados de la industria o Redes Sociales.
• Establecer indicadores de corrupción, en la ubicación geográfica del tercero. Resultan muy útiles para evaluar terceros en regiones como América Latina, algunos países asiáticos y África.

3. Nivel de diligencia III

En este, el tercero de los niveles de debida diligencia, la exigencia en la calidad y la celeridad de la información crece, y, por tanto, también el requerimiento en cuanto a recursos tecnológicos.

Algunos objetivos usuales en este nivel son:

• Garantizar que los terceros no ofrecen ningún tipo de riesgo de soborno y corrupción, de cumplimiento o regulatorios, ahora y en un futuro inmediato.
• Generar procesos que permitan actualizar la debida diligencia, de forma inmediata y automática.

¿Cómo se hace?

Además de las actividades descritas en los anteriores niveles de debida diligencia, en este será preciso:

• Examinar archivos y registros de agremiaciones de la industria, cámaras de comercio o despachos judiciales.
• Entrevistar a competidores y otras personas u organizaciones que tengan capacidad para suministrar información interesante.
• Realizar auditorías o inspecciones en las instalaciones del tercero y sus vinculados.
• Auditar con frecuencia los procesos de investigación y recopilación de información y evidencia practicados para ejecutar la debida diligencia.

Software ISO 37001 de ISOTools

En cualquier nivel y en organizaciones de cualquier tamaño, industria y complejidad, las organizaciones encuentran en el Software ISO 37001 de ISOTools la herramienta más eficiente del mercado para automatizar su gestión anticorrupción, y, por supuesto, sus procesos de debida diligencia.

Solicita más información aquí.

La entrada Niveles de debida diligencia según el riesgo: cómo categorizar a los terceros según el riesgo se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Pero también es preciso contar con un proceso para la denuncia de irregularidades como herramienta fundamental para alcanzar los objetivos propuestos en un programa de cumplimiento basado en la norma ISO 37301.

A continuación, explicamos por qué y cómo diseñar el procedimiento de denuncia de irregularidades. Así como las preguntas frecuentes que se deben resolver acerca de la configuración de un proceso para la denuncia de irregularidades efectivo, que satisfaga la exigencia regulatoria y del estándar internacional ISO 37301.

¿Por qué es necesario implementar un proceso para la denuncia de irregularidades?

El primer beneficio que ofrece un proceso para la denuncia de irregularidades es el cumplimiento con normativas y regulaciones, que, en el caso de Europa son muy estrictas. La conformidad con requisitos de ISO 37301 es una segunda razón para implementar canales de denuncia y procesos para su operación eficaz.

Otros argumentos que justifican la necesidad de implementar un proceso para la denuncia de irregularidades son:

• Proteger la reputación de la organización y proyectar una imagen de confianza y credibilidad.
• Anticiparse a la ocurrencia de infracciones de cumplimiento o problemas de soborno, corrupción o conductas antiéticas.
• Ajustarse a los requerimientos de organismos reguladores, especialmente en organizaciones que operan en sectores de Alta Regulación, como farmacéutico, financiero o sanitario.
• Evitar investigaciones regulatorias y posteriores sanciones, multas u otras consecuencias de mayor impacto, controlando los problemas dentro de la organización, antes de que lleguen a otros ámbitos.

¿Qué preguntas resolver antes de implementar un proceso para la denuncia de irregularidades eficaz?

Antes de iniciar la implementación práctica del proceso, es preciso resolver algunos temas específicos, que son tratados de manera particular en cada organización, de acuerdo con su contexto, su cultura, los recursos de los que disponga, su tamaño, su complejidad y el nivel de regulación al que está sometida. Tres de estos aspectos adquieren especial importancia:

1. Las formas que tendrán los denunciantes para presentar sus informes

Lo ideal es que los informantes dispongan de múltiples canales de denuncia: orales, escritos, electrónicos, presenciales, a distancia… Para satisfacer esta exigencia, la oficina del Oficial de Cumplimiento necesita prever el uso de una línea telefónica dedicada – convencional y móvil -, una cuenta de correo electrónico, una oficina física con personas capacitadas para recibir informes, un apartado en el sitio web, un buzón para la entrega de denuncias escritas, entre otros.

Es importante que en cada uno de estos canales el usuario tenga la potestad de conservar su anonimato, si así lo desea. Igualmente, es preciso verificar que los empleados conocen todos estos canales, la forma de utilizarlos y la ubicación de cada uno de ellos.

2. Procedimientos para abordar las denuncias

Recibir los informes es apenas el primer eslabón en un proceso para la denuncia de irregularidades. Lo que se hace de forma inmediata con esos informes es tan o más importante que el canal.

Para esto la Alta Dirección, en colaboración con la Oficina de Cumplimiento crean, publican y comunican políticas y procedimientos sobre la recepción de las denuncias, el inicio de la investigación, la forma y la periodicidad con la que se informará al denunciante…

Entre otros aspectos, es preciso establecer criterios para la clasificación de las denuncias de acuerdo con su gravedad, el área a la que compete y las necesidades de protección del informante.

3. Tratamiento de represalias

Represalias, acoso y otras acciones en contra de los denunciantes son aspectos que siempre se deben considerar. Es necesario diseñar e implementar acciones para contrarrestar este tipo de comportamientos. Estas acciones, que deben aparecer en manuales de procedimiento y políticas con el peso que imprime la voz de la Alta Dirección, deben ser publicadas y comunicadas en todas las áreas y niveles, y su cumplimiento debe ser obligatorio. El incumplimiento estará sujeto a sanciones.

Atender el tema de represalias, maltrato o acoso a los informantes, involucra al área legal, recursos humanos, la oficina de cumplimiento y, por supuesto, la Alta Dirección. Este es un asunto regulado y sobre él existen normas de obligatorio cumplimiento a nivel europeo.

¿Qué pasos seguir para configurar un proceso para la denuncia de irregularidades?

Con los canales de denuncia definidos, operativos y resueltos los aspectos esenciales, por definición se ha configurado un proceso para la gestión de informes sobre irregularidades. Sin embargo, aún es necesario seguir tres pasos adicionales para terminar la tarea:

1. Revisar el marco regulatorio y evaluar los riesgos

Existen normas a nivel continental y específicas para cada una de las naciones. De acuerdo con el sector o la industria, algunas organizaciones tendrán unas exigencias adicionales, además de las que aportan estándares como ISO 37301 o ISO 37001.

Es necesario hacer un inventario de normas, leyes, requisitos y exigencias en cuanto a tratamiento de denuncias e informantes, ya que de ello dependerá en buena parte la eficacia que aporte una plataforma tecnológica que se implemente para automatizar la gestión de compliance.

2. Conformar el equipo de gestión de denuncias y asignar los recursos

El siguiente paso es designar a los responsables encargados de recibir denuncias y evaluarlas, investigadores, inspectores, revisores, auditores de la gestión…

Además de los recursos mumanos es preciso considerar los recursos económicos y tecnológicos que demandará el proceso y el programa en general.

3. Comunicar el proceso para la denuncia de irregularidades

El proceso, los canales de los que dispondrán los denunciantes y su uso, el apoyo tecnológico del que se dispone, los mecanismos de protección a los denunciantes, entre otros temas, deben ser conocidos por todos los empleados, en todos los niveles y áreas de la organización.

Es importante también capacitar a los empleados que tendrán funciones clave en el proceso, como los encargados de recibir informes o realizar investigaciones. Para todos ellos, el soporte tecnológico resulta imprescindible.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools permite a las empresas centralizar y simplificar la administración de su programa de cumplimiento, lo que resulta en una mayor eficiencia y reducción de riesgos. Además, facilita la identificación y evaluación de los riesgos de incumplimiento, lo que ayuda a tomar decisiones más informadas y a implementar acciones correctivas de manera oportuna.

Otra ventaja clave del Software ISO 37301 de ISOTools es su capacidad para mantener un registro detallado de todas las actividades de cumplimiento, incluyendo auditorías internas, seguimiento de no conformidades y documentación de evidencias. Esto no solo asegura la transparencia y la trazabilidad, sino que también facilita el proceso de certificación y la demostración del compromiso de la organización con el cumplimiento normativo.

Obtén más información con un consultor experto.

La entrada Cómo configurar un proceso para la denuncia de irregularidades se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.