La gestión integrada de riesgos corporativos también conocida como IRM –Integrated Risk Management, por sus siglas en inglés– supone un enfoque disciplinado para la gestión de riesgos, apoyada por la tecnología, para identificar y rastrear amenazas, entregando a los líderes de la organización, y de cada área, una comprensión de los eventos o la conjunción de circunstancias que representan un mayor peligro.

Al mismo tiempo, la gestión conjunta de riesgos estratégicos y una visión de negocio coherente y sólida, se constituye en un factor determinante para el éxito de modelos como ESG –Environmental, Social and Governance– y GRC –Gobernanza, Riesgo y Cumplimiento.

Pero aún podemos encontrar otras razones por las cuales las organizaciones necesitan integrar riesgos corporativos con sus estrategias comerciales y que estas últimas sean coherentes, sólidas y sostenibles. Las analizamos a continuación.

Gestión integrada de riesgos corporativos – ¿Qué es IRM?

En el plano teórico, todas las organizaciones, de una u otra forma, realizan una evaluación de sus riesgos. Así, las responsabilidades y peligros que enfrenta una corporación es lo que conocemos como riesgos corporativos.

Algunas organizaciones, por su tamaño y complejidad, realizan una identificación, evaluación, calificación y tratamiento de riesgos corporativos, de forma integral, y es eso lo que conocemos como gestión integrada de riesgos corporativos.

Estas organizaciones identifican sus riesgos corporativos, asignan un propietario a cada riesgo, implementan indicadores clave (KPI y KRI), desarrollan planes para mitigar, eliminar o admitir un riesgo y obtienen una visión integral en tiempo real de la situación de la organización.

IRM genera cultura de gestión de riesgos en todos los niveles de la organización, lo que conduce a que cada decisión se tome considerando posibles escenarios de riesgos, con base en evaluaciones estratégicas.

La importancia de la estrategia de negocio

La estrategia comercial o estrategia de negocio, hace referencia al conjunto de procesos y procedimientos diseñados para satisfacer las expectativas y necesidades de las partes interesadas de la organización, considerando en primer lugar a los clientes.

La estrategia incluye metas y objetivos, que al igual que los procesos, procedimientos y actividades se alinean con los valores, normas, políticas, misión y visión de la organización.

Los objetivos pueden ir más allá de los intereses puramente comerciales. Temas como el gobierno corporativo, incluyendo los riesgos, así como la sostenibilidad, el cumplimiento y la responsabilidad forman parte de una estrategia de negocios sólida.

Diseñar una sólida estrategia de negocios permite comprender las ventajas competitivas de la organización, construir una estructura financiera que apoye la ejecución de los procesos comerciales y operativos, todo ello considerando siempre los riesgos, su probabilidad y su impacto.

Gestión integrada de riesgos corporativos – ¿Por qué requiere una estrategia de negocios sólida?

Hay cuatro razones fundamentales que explican por qué la gestión integrada de riesgos corporativos requiere de una estrategia de negocios sólida:

• Porque la organización puede mapear todas las amenazas que se encuentran en el camino hacia el logro de metas y objetivos, lo que facilita el desarrollo de planes para alcanzar esos objetivos.
• Porque la Alta Dirección tiene la oportunidad de evaluar riesgos desde arriba hacia abajo, identificando diferentes tipos de amenazas en cada nivel de la organización.
• Porque la organización obtiene información valiosa para el desarrollo de sus estrategias comerciales, pero también para identificar y evaluar ventajas y desventajas en diferentes escenarios de riesgo.
• Porque toda la organización, en todos los niveles, asumirá un enfoque en el cumplimiento de los objetivos comerciales, siempre bajo el escenario más seguro de riesgos.

Software ISO 37301 de ISOTools

Dentro de los riesgos corporativos encontramos en un lugar predominante los riesgos de cumplimiento. La gestión de compliance efectiva demanda muchos esfuerzos especialmente en temas como la debida diligencia, que es la principal herramienta que tienen los oficiales de cumplimiento para prevenir los riesgos.

El Software ISO 37301 de ISOTools es una solución informática avanzada, diseñada para automatizar y digitalizar sistemas de gestión de cumplimiento basados en la antigua norma ISO 19600 o en la nueva ISO 37301. Se trata de una herramienta que provee información actual, en tiempo real, adecuada para la toma de las decisiones correctas en todo momento.

Hable con uno de nuestros consultores ahora.

La entrada Por qué la gestión integrada de riesgos corporativos requiere de una estrategia de negocio sólida se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Pero sin duda, el aumento del rendimiento, sin arriesgar el cumplimiento, es la mejor recompensa que obtiene la organización que opta por implementar una estrategia GRC.

El concepto GRC –Gobierno, Riesgo y Cumplimiento– fue definido en 2007 por el OCEG –Grupo de Ética y Cumplimiento Abierto, por sus iniciales en inglés-, como la “reunión integrada de prácticas y capacidades, con la finalidad de que una organización alcance sus objetivos de forma confiable, gestionando los riesgos y garantizando el cumplimiento y la adopción de las mejores prácticas éticas y de gobierno”.

A medida que crecen, las organizaciones enfrentan mayores y más frecuentes riesgos de gobernanza y cumplimento. Implementar una estrategia GRC se hace cada vez más necesario. Por ello, ofrecemos las siguientes 5 recomendaciones.

Implementar una estrategia GRC – 5 consejos para hacerlo fácil

Uno de los obstáculos recurrentes en las organizaciones que deciden implementar una estrategia GRC es la forma propia y hasta cierto punto autónoma que asumen las diferentes áreas para identificar riesgos, monitorearlos e, incluso, realizar auditorías internas.

GRC requiere un enfoque unificado basado en compartir experiencias, objetivos comunes y procesos estandarizados para alcanzar objetivos generales en toda la organización. La tarea es compleja, pero los resultados lo justifican. Estos cinco consejos facilitarán la labor:

1. Evaluar la situación y contexto antes de la implementación

Iniciando con la identificación de las obligaciones de cumplimiento. Esto implica revisar regulaciones, contratos, acuerdos, leyes e, incluso, expectativas en cuanto a legislación a corto plazo. También es preciso realizar una auditoría interna para evaluar la eficacia de los procesos existentes y su adaptabilidad al nuevo modelo de administración.

Un objetivo importante en esta primera fase será identificar procesos compartidos o que representan esfuerzos duplicados. Así, se inicia con la optimización de procesos y de la gestión en general.

2. Obtener el compromiso y liderazgo de la Alta Dirección

Aunque la iniciativa se origine en un área como cumplimiento o el departamento contable, el proyecto no prosperará si no es apoyado y liderado por la Alta Dirección. Esto puede requerir realizar una fase de “lobby” para que los miembros de la Alta Dirección comprendan los evidentes beneficios que implementar una estrategia GRC significa, entre ellos la posibilidad de contar con información de calidad para la toma de mejores decisiones.

La Alta Dirección tendrá que definir los objetivos específicos y la mejor forma de implementar la estrategia.

3. Aprovechar la tecnología para agilizar la implementación

La trazabilidad, disponibilidad y confiabilidad de la información, así como la realización a tiempo de las diferentes tareas que el modelo GRC requiere, son retos que vienen con la estrategia que se implementa.

Herramientas tecnológicas diseñadas para automatizar la gestión de cumplimiento permitirán rastrear procesos y procedimientos, centralizar la documentación y garantizar su integridad y el acceso de las personas adecuadas.

4. Establecer la mejora continua como una premisa

Los Sistemas de Gestión en el siglo XXI se basan en la mejora continua. GRC no se aparta de este lineamiento, especialmente en lo relativo a la gestión de riesgos. Implementar una estrategia GRC debe apuntar a mejorar siempre los procesos, hacer de la gestión un elemento que contribuya a la productividad, proporcionando un espacio de seguridad ideal para la toma de las mejores decisiones.

5. Comunicar el proyecto y sus objetivos

Una forma efectiva para que el proyecto no conduzca a la generación de nuevos silos, es comunicarlo con claridad, haciendo énfasis en los objetivos y en los beneficios de adoptar un enfoque de gobierno, riesgo y cumplimiento corporativo. Es probable que esto necesite de programas o actividades de capacitación para lograr que todos los empleados, en todos los niveles, comprendan el proyecto y se comprometan con él.

Esto es aún más importante cuando la implementación de GRC se acompaña, desde el inicio, con la introducción de una solución informática que apoya la gestión. Algunas de estas herramientas representan una gran oportunidad para el crecimiento de la organización y de sus empleados.

Software ISO 37301 de ISOTools

Implementar una estrategia GRC implica asumir un gran trabajo en el área de gestión de riesgos de cumplimiento. Pero, además, es necesario considerar la debida diligencia y otras tareas que son inherentes e inseparables de una estrategia GRC y de la gestión de cumplimiento en particular.

El Software ISO 37301 de ISOTools es una solución basada en la nube, diseñada para automatizar muchas de las tareas que implica un Sistema de Gestión de Cumplimiento basado en la norma internacional ISO 37301. Mapas de riesgo, informes actualizados, evaluaciones de riesgos y muchas otras funcionalidades específicas para apoyar la toma de las mejores decisiones.

Obtenga información adicional y el asesoramiento de un consultor.

La entrada 5 consejos para implementar una estrategia GRC: estructura de gobierno, gestión de riesgos y cumplimiento normativo se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Para determinar el contexto de la organización en ISO 37301, la organización debe considerar aspectos legales y regulatorios, en primera instancia, pero también sociales, culturales y financieros, entre otros, sin dejar de lado algo muy importante: las necesidades de las partes interesadas.

Tanto interno como externo, el contexto de la organización en ISO 37301 influye sobre las decisiones estratégicas de la organización. Pero este contexto está en constante movimiento. Entonces, la tarea de determinar el contexto de la organización en ISO 37301 es continua y cíclica. ¿Cómo hacerlo de manera efectiva?

Determinar el contexto de la organización en ISO 37301 – ¿Qué tener en cuenta?

El contexto externo se relaciona con el entorno en el que opera la organización, definido por la cultura, el ambiente político, los problemas sociales, el desarrollo tecnológico, y, especialmente, los requisitos legales y regulatorios.

El contexto interno está definido por factores que no tienen alcance más allá de la misma organización, como reglamentos internos, acuerdos con empleados, objetivos de negocios, estructura organizativa, políticas, procesos y procedimientos internos, entre otros.

Es necesario asegurar que nada relevante se quede fuera. Para ello, sin considerar el tipo de organización, su tamaño o su complejidad, es preciso tener en cuenta:

• El modelo de negocio.
• La naturaleza y la complejidad de las actividades de la organización.
• El alcance de las operaciones de la organización.
• El entorno legal y regulatorio.
• El modelo económico en el país y las condiciones de la economía de la nación.
• El contexto social, cultural y ambiental.
• La estructura organizativa de la organización.
• La tecnología adoptada por la organización.
• Las obligaciones contraídas con empleados, proveedores, contratistas o comunidad.

Hasta aquí, tenemos una aproximación a la definición del contexto de la organización en ISO 37301. Para completarla, debemos considerar:

Las necesidades y expectativas de las partes interesadas

Clientes y proveedores, son el ejemplo típico de partes interesadas externas en un Sistema de Gestión de Cumplimiento. Los empleados son sin duda la mejor representación de parte interesada interna.

Dentro del mismo capítulo sobre contexto de la organización, en el estándar 37301, encontramos la cláusula 4.2 que nos insta a comprender las necesidades y expectativas de las partes interesadas en el Sistema de Gestión de Cumplimiento.

Es claro que, aunque puede no tratarse de obligaciones de cumplimiento propias de la organización, si pueden encontrarse obligaciones que le interesen a las partes y que deben ser respetadas. Por ello, el proceso implica definir partes interesadas, encontrar sus expectativas y necesidades, e identificar en ellas factores que pueden afectar la capacidad de cumplimiento de ese tipo de obligaciones.

Determinar el alcance del Sistema de Gestión de Cumplimiento

Por supuesto, el alcance del Sistema tiene una incidencia directa en la definición del contexto de la organización. No de otra forma podríamos saber si tenemos que considerar el entorno regulatorio nacional, continental o internacional. Revisando las cuestiones internas y externas ya determinadas, y los requisitos y expectativas de las partes interesadas, podremos definir el alcance del Sistema.

Monitoreo y revisión del contexto

Finalmente, ISO 37301 solicita a la organización revisar y monitorear a intervalos regulares el contexto tanto interno como externo. Sabemos que el contexto se determina con base en factores dinámicos y siempre cambiantes, como también son dinámicas las expectativas y necesidades de las partes interesadas. Por eso es importante mantener actualizada esta información y alineada con las tendencias del mercado y las estrategias de la organización.

Software ISO 37301/19600 de ISOTools

Definir el contexto de la organización, para efectos de la nueva norma ISO 37301, puede ser una tarea un tanto compleja. Para alcanzar la conformidad con este y otros requisitos del nuevo estándar, es recomendable contar con una herramienta avanzada que permita automatizar la Gestión de Cumplimiento y trabajar con información confiable y oportuna.

Esta solución es el Software ISO 37301/19600 de ISOTools. Hoy puede saber un poco más de ella contactando a uno de nuestros consultores.

La entrada Cómo determinar el contexto de la organización en ISO 37301 se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.