La CSDDD, o Directiva de Diligencia Debida en Sostenibilidad Corporativa, es una normativa propuesta por la Comisión Europea que obliga a las empresas a identificar, prevenir, mitigar y, en su caso, remediar los impactos negativos sobre los derechos humanos y el medio ambiente en sus operaciones y cadenas de suministro.

La Corporate Sustainability Due Diligence Directive (CSDDD) es una de las iniciativas más importantes en la regulación empresarial de la Unión Europea en los últimos años. Su objetivo es asegurar que las empresas integren consideraciones de sostenibilidad y derechos humanos en sus operaciones y cadenas de suministro.

Objetivos

Los principales objetivos de la CSDDD son:

• Promover la sostenibilidad en las operaciones corporativas.
• Garantizar el respeto por los derechos humanos en toda la cadena de suministro.
• Mitigar los impactos ambientales negativos asociados con las actividades empresariales.
• Aumentar la transparencia y la responsabilidad de las empresas frente a los consumidores y otras partes interesadas.

Alcance de la CSDDD

La directiva se aplica a:

• Grandes empresas dentro de la Unión Europea con más de 500 empleados y una facturación neta de más de 150 millones de euros.
• Empresas de sectores de alto riesgo con más de 250 empleados y una facturación neta de más de 40 millones de euros.
• Empresas extranjeras que operan en la UE y cumplen con los criterios anteriores.

Requisitos de la CSDDD

La implementación de la CSDDD implica una serie de requisitos clave que las empresas deben cumplir. Estos incluyen la diligencia debida, la transparencia y el compromiso con los derechos humanos y el medio ambiente.

Diligencia debida

Las empresas deben realizar una evaluación exhaustiva de los riesgos en sus cadenas de suministro y operaciones. Esto incluye:

• Identificar y evaluar los riesgos potenciales y reales para los derechos humanos y el medio ambiente.
• Integrar y actuar sobre los resultados de las evaluaciones de riesgos.
• Monitorear y comunicar sobre los riesgos identificados y las acciones tomadas.

Transparencia

La CSDDD exige que las empresas sean transparentes en sus prácticas de sostenibilidad. Esto implica:

• Informar públicamente sobre las políticas y medidas adoptadas para cumplir con la directiva.
• Mantener registros detallados de las evaluaciones de riesgos y las acciones de mitigación.
• Facilitar el acceso a la información a las partes interesadas, incluyendo consumidores, inversores y organizaciones no gubernamentales.

Compromiso con los derechos humanos y el medio ambiente

Las empresas deben demostrar un compromiso activo con la protección de los derechos humanos y el medio ambiente. Esto incluye:

• Desarrollar políticas claras y procedimientos para abordar los riesgos identificados.
• Colaborar con las partes interesadas para mejorar las prácticas de sostenibilidad en toda la cadena de suministro.
• Implementar medidas correctivas cuando se identifiquen violaciones de los derechos humanos o daños ambientales.

Obliga a las empresas a identificar, prevenir, mitigar y, en su caso, remediar los impactos negativos sobre los derechos humanos y el medio ambiente.
Compartir en X

Beneficios de la CSDDD para las empresas

Adoptar la CSDDD no solo es una obligación legal, sino que también ofrece varios beneficios para las empresas:

• Mejora de la reputación: Las empresas que cumplen con la CSDDD pueden mejorar su reputación y fortalecer la confianza de los consumidores y otras partes interesadas.
• Reducción de riesgos: Identificar y mitigar los riesgos de manera proactiva puede ayudar a las empresas a evitar sanciones y litigios costosos.
• Acceso a nuevos mercados: Cumplir con los estándares de sostenibilidad puede abrir oportunidades en mercados que valoran prácticas empresariales responsables.

Cómo prepararse para la CSDDD

Prepararse para cumplir con la CSDDD requiere un enfoque estratégico y sistemático. Aquí hay algunas recomendaciones clave para las empresas:

Evaluación inicial

Realizar una evaluación inicial para entender el estado actual de las prácticas de sostenibilidad y diligencia debida en la empresa.

Desarrollo de políticas y procedimientos

Desarrollar e implementar políticas y procedimientos claros que aborden los requisitos de la CSDDD. Esto incluye la creación de un equipo de cumplimiento dedicado y la capacitación del personal.

Monitoreo y mejora continua

Establecer sistemas de monitoreo para evaluar la eficacia de las políticas y procedimientos implementados y realizar mejoras continuas según sea necesario.

GRCTools: La solución para el cumplimiento de la CSDDD

Implementar la CSDDD puede ser complejo, pero herramientas como el Software Debida Diligencia de GRCTools pueden facilitar el proceso. GRCTools ofrece un software integral de gestión de riesgos, cumplimiento y gobernanza que ayuda a las empresas a:

• Automatizar las evaluaciones de riesgos y los informes de sostenibilidad.
• Monitorear y gestionar el cumplimiento normativo en tiempo real.
• Mejorar la transparencia y la rendición de cuentas mediante la centralización de la información.

Con GRCTools, las empresas pueden asegurarse de cumplir con los requisitos de la CSDDD de manera eficiente y efectiva, minimizando riesgos y maximizando oportunidades.

La CSDDD representa un cambio significativo en la forma en que las empresas deben abordar la sostenibilidad y los derechos humanos. Prepararse adecuadamente y utilizar herramientas como GRCTools puede ser la clave para un cumplimiento exitoso y beneficioso.

La entrada Todo lo que debes saber sobre la CSDDD se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Es por eso por lo que algunas organizaciones pequeñas y de tamaño medio, optan por prescindir del Sistema de Gestión de Conflictos de Intereses, tratando estos asuntos de manera informal, lo que suele generar insatisfacción e incomodidad en los empleados.

Las organizaciones de todos los tamaños necesitan un Sistema de Gestión de Conflictos de Intereses. Pero, es claro que hay desafíos para superar para llevar la tarea a un final satisfactorio.

¿Cómo implementar un Sistema de Gestión de Conflictos de Intereses eficaz?

El Sistema de Gestión de Conflictos de Intereses es el mecanismo que utiliza la organización para prevenir o detectar con anticipación hechos de corrupción, fraude o soborno.

El Sistema previene riesgos inmediatos, cercanos, que están al alcance de la mano de cualquier persona dentro de la organización. Por eso es tan importante y por eso es por lo que se considera el primer escudo de defensa. Pese a su importancia, algunas organizaciones prescinden de tan valioso instrumento.

Algunos consejos para construir un Sistema de Gestión de Conflictos de Intereses eficaz, superando los retos que la tarea propone son:

1. Hacerlo fácil y amigable

Este tipo de Sistema de Gestión guarda ciertas similitudes con un software o una aplicación informática: si es incomprensible, complejo y poco amistoso, los empleados no lo utilizarán.

En un Sistema de Gestión de Conflictos de Intereses, por ejemplo, los empleados suelen completar formularios con información confidencial, utilizada para establecer vínculos con terceros susceptibles de constituir conflictos de intereses. Si estos formatos son difíciles de llenar, complejos, con preguntas difíciles de entender, pocas personas lo harán. Si es obligatorio, es probable que muchos empleados contesten cualquier cosa por cumplir el requisito.

Así que la recomendación es: básico, fácil, corto y amigable.

2. Evitar los esfuerzos duplicados

La debida diligencia es un elemento esencial en un Sistema de Gestión de Conflictos de Intereses. Sin embargo, es un trabajo que demanda mucho esfuerzo y que consume muchas horas para muchas personas.

Los equipos de cumplimiento o del área de Gestión Anticorrupción, cuando esta existe, cometen el error de tratar de hacer todo de nuevo. Mucha información requerida para la debida diligencia ha sido tomada, clasificada y a veces digitalizada por áreas como Recursos Humanos, Contabilidad o servicios Generales.

Entonces, la recomendación es no generar cuellos de botella, tomar información desde el área que ya la recopiló y ajustar procesos de selección y contratación para que adelanten buena parte del trabajo que tendría que hacer en el futuro el Sistema de Gestión de Conflictos de Intereses.

3. Construir un Sistema confiable para los empleados

Además de la facilidad de uso, los empleados toman la decisión de involucrarse en algo, si lo consideran transparente y confiable. La naturaleza de la información que se gestiona, así como las consecuencias que puede tener poner en evidencia un vínculo, un grado de familiaridad o una conexión pasada con una persona o con una organización, justifican la posible desconfianza de los empleados.

La recomendación es que los empleados tengan la posibilidad de ver más allá del Sistema: las políticas, la regulación externa que obliga al uso de este tipo de mecanismos, el profesionalismo que acompaña el proceso y las consecuencias que trae no prevenir los riesgos de corrupción y soborno.

4. Crear un Sistema consistente y coherente

La coherencia y la consistencia de un Sistema de Gestión la determinan la capacidad para hacer siempre lo mismo, en las mismas condiciones y la uniformidad en el trato para todos los involucrados.

Esto significa que el Sistema actúa siempre del mismo modo y sin importar el nivel, el puesto o la calidad de las personas. La Alta Dirección y los Directores de Área tienen una responsabilidad enorme en el cumplimiento de este objetivo. Son las personas que deben dar ejemplo de adhesión al Sistema y respeto por sus requerimientos.

La recomendación: diseñar un Sistema que opera de la misma forma para todos.

5. Verificar la escalabilidad del Sistema

El crecimiento de una organización representa una prueba exigente para el Sistema. Algunos no logran pasarla y pierden capacidad de ejecución, dejan de ofrecer resultados y se vuelven poco confiables.

Las organizaciones que crecen y, por ejemplo, incursionan en otros continentes, necesitan un Sistema que pueda adaptarse y enfrentar las nuevas condiciones. De lo contrario, generará confusión, desconfianza y problemas más graves que los que pretende prevenir.

La recomendación es construir un Sistema dinámico, en lo posible apoyado por una plataforma que facilite la operabilidad en una organización más grande, más compleja o con operaciones en otros países.

Una recomendación final

Desde la primera hasta la quinta recomendación, las acciones sugeridas parecen indicar la necesidad de contratar más personas o encontrar otro tipo de recurso que facilite la operación eficaz y ágil del Sistema de Gestión de Conflictos de Intereses.

Esa herramienta es la tecnología. Por supuesto, se trata de una inversión. Pero es una inversión que entrega un retorno rápido y evidente: evita multas, sanciones, agrega valor a la marca, disminuye horas de trabajo, permite cumplir con exigencias regulatorias y, sobre todo, mejora el Sistema y lo mantiene operativo y relevante.

La solución, por supuesto, viene a eliminar problemas y no a crear nuevos. Por eso, es importante que sea amigable, intuitiva, basada en la nube, diseñada para la tarea específica, adaptable a otras herramientas ofimáticas, entre otras interesantes características. Una buena idea es la que mencionamos en el apartado final.

Software ISO 37001 de ISOTools

Los Sistemas para tratar conflictos de intereses, la debida diligencia, los canales de denuncia, son los elementos que soportan un Sistema de Gestión Anticorrupción. El Software ISO 37001 de ISOTools es la solución, basada en la nube, que cuenta con las funcionalidades diseñadas para automatizar un Sistema Anticorrupción. Aquí lo encuentras.

La entrada 5 Consejos para implementar un sistema de gestión de conflictos de intereses en tu organización se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

La gestión de riesgos tradicional, basada en etiquetas autoadhesivas sobre un tablero y, en el mejor de los casos utilizando como apoyo hojas de cálculo, no tiene la capacidad para enfrentar la avalancha de riesgos que afectan a las organizaciones en el siglo XXI. Es la primera razón para utilizar una herramienta GRC.

Pero existen otras. Y es bueno entender, además de los beneficios, la diferencia entre una gestión de riesgos tradicional y una apoyada por una herramienta GRC.

¿Por qué es importante implementar una herramienta GRC?

El modelo GRC – Gobierno, Riesgo y Cumplimiento – integra las mejores prácticas de gobierno, con la seguridad que aporta una Gestión de Cumplimiento eficaz, siempre pensando en el riesgo.

Es un concepto moderno que caracteriza en el siglo XXI a las organizaciones que lideran su sector. Por supuesto, la integración de estos tres elementos requiere una herramienta GRC que permita abordar la gestión desde una plataforma única.

Implementar una herramienta GRC es tan importante, que muchos Oficiales de Cumplimiento consideran que es este el primer paso en el proceso de adopción de un modelo GRC. Entre otras, por las siguientes razones:

1. Asumir una Gestión integral con un enfoque holístico

Una herramienta GRC permite abordar los riesgos de todas las áreas y todas las ubicaciones de una organización de forma integral y unificada. Esto, que en otras palabras es un enfoque holístico, mejora la visibilidad de los problemas, optimiza procesos y ayuda a los equipos de cumplimiento y de Gestión de Riesgos a actuar con suficiente antelación, previniendo cualquier impacto negativo.

2. Automatizar la Gestión

La automatización de la Gestión de Riesgos y de Cumplimiento, eliminando procesos manuales, ayuda a eliminar el error humano, producir mejores resultados en menor tiempo, contar con información inmediata, generar evaluaciones complejas y monitorear el estado general de la Gestión en tiempo real.

3. Garantizar el cumplimiento normativo

El cumplimiento normativo implica considerar muchos ámbitos: seguridad de la información, seguridad y salud en el trabajo, medio ambiente, área legal, contratos, acuerdos, compromisos sociales y con la comunidad…Con un espectro de fuentes de riesgos de cumplimiento tan amplio, una plataforma que automatiza la Gestión unifica los esfuerzos en un solo lugar generando trazabilidad, informes inmediatos, datos y registros que son valorados por los auditores y que aseguran el cumplimiento normativo en la organización, se hace indispensable.

4. Diseñar estrategias inteligentes para tratar riesgos emergentes

Los riesgos emergentes son los que no han sido clasificados, pero tienen un alto impacto negativo. Este tipo de amenazas suelen ser comunes a todas las empresas de un mismo sector, o, en ocasiones, a todas las organizaciones. La Emergencia Sanitaria ocurrida en los años 2020 y 2021, fue en su momento un riesgo emergente. Las herramientas GRC cuentan con funcionalidades de monitores y evaluación en tiempo real, que ayudan a generar estrategias inteligentes para mitigar el impacto de este tipo de riesgos.

¿Cómo se desarrolla la Gestión de Riesgos tradicional?

El enfoque tradicional de la Gestión de Riesgos se basa en los procesos manuales, con los desafíos que conlleva. Además de los mencionados en la introducción de este texto, podemos hablar de los siguientes desafíos:

1. Formación de silos

La gestión tradicional no es unificada. Cada área, cada sección, cada ubicación, emprende un proyecto diferente de Gestión de Riesgos. Esto genera informes aislados, esfuerzos repetitivos y, sobre todo, silos de información. Información que no se comparte, que no es aprovechada por otros y que suele terminar en una pila de documentos que nadie consulta, entre otras razones, porque pocos saben que existe y para qué sirve.

2. Exceso de recursos

Alguien podría pensar que la gestión en papel o en hojas de cálculo, al prescindir de la inversión en tecnología, resulta más barata. No es así. El número de horas hombre que se requieren es superior. La posibilidad del error humano hace que se inviertan muchas horas en revisar, realizar cálculos matemáticos, recolectar evidencia, para presentar un informe que una plataforma que automatiza la Gestión GRC, ofrece de inmediato.

3. Falta de integración

El modelo GRC integra tres elementos esenciales para la buena y eficaz gobernanza de una organización. El modelo tradicional de Gestión de Riesgos no considera la integración en ningún momento. Los informes, por supuesto, presentan deficiencias, son incompletos, parcializados y con evaluaciones fragmentadas de riesgos.

4. Informes retrasados

Las evaluaciones y los informes de riesgos, aunque brillantes y completos, son inútiles si no se presentan a tiempo. Y el problema en los tiempos modernos, es que la única forma en la que un informe es oportuno es cuando es inmediato, en tiempo real.

¿Cuáles son los beneficios de utilizar una herramienta GRC?

Concluyendo, una herramienta GRC ofrece muchos beneficios específicos. Algunos de ellos ya se esbozan en el contenido anterior a este apartado. Otros, sin embargo, vale la pena resaltarlos:

1. Identificación oportuna de amenazas

Informar sobre riesgos que ya están ocurriendo, o ya han evidenciado su poder lesivo, es como informar sobre el resultado de un juego que ya pasó o una elección que ya culminó. Una plataforma GRC identifica amenazas en tiempo real, permitiendo diseñar estrategias efectivas con la suficiente anticipación, utilizando un mínimo de recursos humanos.

2. Respuesta eficaz y eficiente

La detección temprana de amenazas lleva a una respuesta inteligente, oportuna, eficaz y eficiente. Esto significa que las estrategias son completas e integrales. Las estrategias diseñadas con el apoyo de una herramienta GRC, incorporan seguimiento automatizado y monitoreo constante, facilitando la recomposición de la acción si algo indica que es susceptible de ser mejorada.

3. Garantiza el cumplimiento normativo

La Gestión de Cumplimiento, a diferencia de otras, no tiene límites dentro de la organización. En ocasiones, incluso traspasa las líneas de las instalaciones. Por eso, los esfuerzos para centralizar la tarea y automatizarla, permiten garantizar el cumplimiento en tantos frentes, evitando las sanciones y el desprestigio reputacional asociados a cualquier infracción de compliance.

4. Optimiza el uso de recursos

La automatización disminuye el uso de recursos humanos. Los recursos que se liberan se pueden asignar a actividades de orden estratégicos, usualmente en la Oficina de Cumplimiento. Esto potencia la eficiencia operativa del Sistema de Gestión de Cumplimiento.

5. Gestión de Riesgos eficaz

La Gestión de Riesgos es eficaz cuando demuestra que ha advertido con suficiente anticipación sobre una amenaza y ha logrado implementar la acción adecuada para prevenir, eliminar, mitigar, compartir o tolerar el riesgo asociado a esa amenaza. Esto es posible con una plataforma GRC que automatice la gestión, centralice los recursos y la información, y, al final del día, presente cifras que indiquen la reducción de amenazas, de probabilidad y de impacto negativo.

6. Protección de la reputación de la organización

Como colofón de esta charla, el uso de una herramienta GRC es una forma de proteger la reputación de la organización y su imagen de marca. De hecho, es una herramienta eficaz para mejorarla. Las organizaciones que se preocupan por cumplir, y trabajan en ello asignado recursos tecnológicos son valoradas por sus consumidores, en primera instancia, y después por inversionistas, empleados y por su comunidad.

Software ISO 37301 de ISOTools

Utilizar una herramienta GRC es una forma de entregar a la organización que adopta el modelo, el modelo holístico e integral y la necesaria automatización, para obtener los objetivos gracias a una mejor y mayor inteligencia de riesgos.

El Software ISO 37301 de ISOTools es una herramienta efectiva para aumentar la resiliencia de la organización ante riesgos emergentes, normativos y de cumplimiento, garantizando así la operabilidad y el logro de objetivos comerciales a largo plazo. Conoce un poco más sobre ella aquí.

La entrada Por qué utilizar una herramienta GRC para gestionar los riesgos se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

La Directiva de Debida Diligencia sobre Sostenibilidad crea un marco normativo que facilita a los estados verificar que las organizaciones de todos los sectores emprendan acciones para proteger el planeta y asegurar el respeto por los derechos humanos.

¿Qué es la Directiva de Debida Diligencia sobre Sostenibilidad Corporativa de la Unión Europea?

La Directiva de Debida Diligencia sobre Sostenibilidad es un marco normativo, regulatorio y legislativo, que solicita requisitos a las organizaciones para que identifiquen, evalúen y traten con efectividad, riesgos derivados de su operación que impacten el medio ambiente o vulneren los derechos humanos.

La Directiva no se restringe a las operaciones de la organización. La organización aplicará procesos de Debida Diligencia para comprobar que sus socios comerciales, inversionistas, proveedores y clientes, entre otros terceros, toman medidas para mitigar el impacto ambiental y garantizar los derechos humanos.

Las organizaciones, además de aplicar la Debida Diligencia tendrían que establecer sanciones contractuales para los terceros que, durante la vigencia de la relación comercial, cometan infracciones en cualquier de las áreas objeto de control.

¿Qué organizaciones están obligadas a cumplir con la Directiva de Debida Diligencia sobre Sostenibilidad Corporativa?

La comisión de la Unión Europea encargada ha definido cuatro grupos de empresas con obligaciones diferentes. Las Pymes, a primera vista parecen estar por fuera del ámbito de aplicación de la directiva. Sin embargo, es bueno aclarar que una empresa de estas características, u otra que no encaje en cualquiera de los cuatro grupos definidos, estará obligada si forma parte de la cadena de suministro de una organización a la que si aplica la Directiva.

Los grupos definidos son:

1. Empresas con más de 500 empleados

Que además facturen más de 150 millones de euros en el año. Las empresas con estas características necesitan Identificar, prevenir, mitigar y hacer todo lo que esté a su alcance para eliminar impactos negativos sobre los derechos humanos y el medio ambiente, así como verificar que los eslabones de su cadena de valor también lo hagan, aunque estén fuera del continente europeo. Igualmente, necesitan crear un plan para asegura que su operación se ajusta a límite de alerta global de 1.5 grados, conforme con el acuerdo de París.

2. Empresas con más de 250 empleados

Que facturen más de 40 millones y que desarrollen actividades (50 % o más) de alto impacto ambiental. En este segmento encajan las empresas transformadoras, petroquímica, minería, fabricación de bienes, entre otras.

Estas organizaciones también están obligadas a identificar, prevenir, mitigar y eliminar riesgos ambientales y posibles vulneraciones a los derechos humanos. Sin embargo, no están obligadas a crear el plan mencionado para las organizaciones del grupo 1.

3. Empresas extracomunitarias

Siempre que facturen 150 millones de euros o más durante el último año fiscal. Las obligaciones son las mismas asignadas al grupo 1.

4. Empresa extracomunitarias de menores ingresos

Se ubican en este segmento las organizaciones extracomunitarias con ingresos entre 40 y 149 millones de euros, siempre que el 50 % o más de estos negocios se desarrollen en un sector de alto impacto ambiental. Obligaciones iguales a las determinadas para el grupo 2.

¿Cómo se aplicará la Directiva de Debida Diligencia sobre Sostenibilidad Corporativa?

La directiva será aplicable a los estados miembros de la Unión Europea. En la práctica se destacan dos aspectos esenciales:

1. La responsabilidad de los directores

La Alta Dirección de las organizaciones reciben la responsabilidad de supervisar el cumplimiento de la Directiva y su aplicación en los procesos de Debida Diligencia. Los estados tendrán que ajustar sus legislaciones laborales para sumar estas obligaciones a las normas que hablen sobre deberes de los directores y miembros de Alta Dirección y las sanciones correspondientes en caso de infracción o incumplimiento.

2. Responsabilidad civil

Las organizaciones asumen una responsabilidad civil como consecuencia del impacto ambiental o la vulneración de derechos humanos, o cualquier otro impacto negativo, que pudiese haberse evitado aplicando la Directiva de Debida Diligencia sobre Sostenibilidad Corporativa.

¿En qué estado está la aprobación de la Directiva de Debida Diligencia sobre Sostenibilidad Corporativa de la UE?

La Comisión Europea propuso la Directiva en febrero de 2022. En diciembre del mismo año, el Consejo Europeo fijó una primera posición sobre la propuesta realizando algunas modificaciones relacionadas con el impacto y con las sanciones inicialmente consideradas.

Tanto el alcance como las sanciones se revisaron en votaciones realizadas durante el año 2023. Finalmente, el 14 de diciembre de 2023 se llegó a un acuerdo sobre la Directiva, lo que permitirá su publicación y entrada en vigor en 2024.

Los estados que aún no cuentan con legislación pueden avanzar en este sentido, ya que se espera que la aprobación final se producirá antes de terminar el primer semestre de 2024.

¿Cómo prepararse para cumplir con la Directiva de Debida Diligencia sobre Sostenibilidad de la UE?

Los estados pueden avanzar en la parte legislativa y normativa. Algunos, como Reino Unido y Alemania tienen poco que hacer. Otros ajustarán su legislación durante 2024, puesto que la entrada en vigor será para 2025, si el trámite en el Consejo Europeo no encuentra obstáculos mayores.

Las empresas pueden empezar a afinar sus procesos de Gestión de Riesgos especialmente en el área de cumplimiento. Incorporar tecnología avanzada para automatizar la Gestión de Cumplimiento, puede resultar una buena idea, si se tienen presente las dificultades prácticas que tienen los procesos de Debida Diligencia, especialmente cuando se desarrollan de forma manual.

Software ISO 37301 de ISOTools

Los procesos de Debida Diligencia incorporan muchas actividades repetitivas que demandan tiempo y consumen muchos recursos humanos. El Software ISO 37301 de ISOTools es una herramienta basada en la nube, que permite automatizar y digitalizar la Gestión, eliminando el error humano, disminuyendo costes y agilizando los resultados.

Es plataforma incorpora elementos de Inteligencia Artificia, que mejora la eficiencia y tienen la capacidad de entregar informes inmediatos en los que se resaltan problemas en tiempo real. Encuéntrala aquí.

La entrada ¿Qué es la Directiva de debida diligencia sobre sostenibilidad corporativa de la UE? se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Por supuesto, también hay conductas no éticas que constituyen un delito desde su concepción. Son piezas dentro de un plan mayor para defraudar, estafar, robar o, en todo caso, afectar la reputación de la organización.

Las conductas no éticas se diferencian de los errores o del conflicto de intereses en la intensión clara de cometer un delito. La gravedad del objetivo planificado es lo que hace que estos actos se conviertan en un riesgo real de cumplimiento y de corrupción.

¿Por qué ocurren conductas no éticas en una organización y cómo tratarlas? Es el tema que abordamos a continuación.

¿Por qué se presentan conductas no éticas en una organización?

Los empleados incurren en conductas no éticas por muchas razones. Se destacan, no obstante, las motivaciones económicas. Las presiones sociales para destacarse en el grupo o el exceso de carga laboral, son también condicionantes para la aparición de conductas no éticas.

No obstante, tres condiciones crean escenarios laborales en los que no se respetan los estándares éticos:

1. Inestabilidad en la estructura organizacional

Las familias inestables producen ciudadanos con problemas de conducta. Las empresas que no pueden presentar una estructura de gobierno sólida, coherente y sostenible, estarán expuestas a la libre interpretación de las normas o al irrespeto hacia ellas.

La pérdida o difuminación de la estructura de gobierno se produce por muchas razones: fusiones, adquisiciones forzosas, problemas en la Alta Dirección, alta rotación de los empleados, falta de liderazgo…

En cualquier caso, es claro que los empleados de organizaciones en las que no es posible identificar una estructura de gobierno clara y definida, y, por tanto, una línea de mando que genere respeto, son más propensas a la aparición de conductas poco éticas.

2. Presión laboral

Sorprende el número de empleados que incurren en prácticas no éticas, sin esperar un beneficio económico para ellos. Apenas buscan satisfacer los pedidos de sus superiores, cumplir metas imposibles o alcanzar indicadores de rendimiento irracionales.

3. Ausencia de liderazgo y cultura ética

En muchas organizaciones, las conductas no éticas son parte del diario acontecer porque nadie las sanciona y si alguien denuncia no sucede nada con esa información.

En estas empresas los buenos empleados se sienten desmotivados. Algunos abandonan la organización y otros terminan uniéndose al grupo de los que faltan a las normas.

¿Cómo tratar las conductas no éticas en el lugar de trabajo?

Algunas de las circunstancias mencionadas son inevitables. Una fusión, procesos de reorganización producto del crecimiento, presión por resultados… No obstante, es preciso contar con plan para tratar las conductas no éticas. Esta guía de nueve pasos ayuda a resolver muchos de los problemas:

1. Crear políticas y códigos de conducta

Las políticas y el código de conducta les dicen a las personas qué pueden y qué no pueden hacer. Son, además, la expresión legitima de la voz de la Alta Dirección y, por ello, su contenido tiene tono de mandato.

Las políticas y los códigos deben además recalcar el valor y la obligación de denunciar y expresar sin lugar a dudas el compromiso de la organización y de la Alta Dirección con la protección de los informantes y de su integridad.

2. Comunicar las políticas y hablar de ética y corrupción

Las políticas, los códigos o los manuales de procedimiento se quedan en el papel o en un archivo digital si no son compartidos y comunicados en la forma adecuada. Una forma de hacerlo es convocando a los empleados a eventos como charlas, foros o debates, en los que además de presentar los documentos y su contenido, se hable del tema y se escuche la voz de los empleados.

Esto contribuye a poner de moda el tema. Y esto es un elemento importante en la creación de una verdadera cultura ética.

3. Hablar de las consecuencias de la conducta no ética

Tan importante como hablar de la ética y la corrupción, y de las normas que se deben cumplir, es mostrar lo que sucede cuando no se respetan los estándares de conducta socialmente aceptados.

Para hacerlo no hay que ir muy lejos. Los casos de organizaciones que han tenido que pagar enormes cantidades, o las que han sucumbido a causa de un escándalo que acabó con sus finanzas y su reputación, están a la vista en cualquier telediario.

4. Crear un canal de denuncias

El canal de denuncias es más que una necesidad. Es una obligación regulatoria. Pero los empleados necesitan verlo como una línea amiga. Un lugar en el que podrán hablar de sus preocupaciones, aclarar si algo es una conducta no ética, un conflicto de intereses o tan solo un problema menor fácil de solucionar.

Los empleados necesitan contar con la certeza de que el canal recibirá con el mismo entusiasmo sus comentarios positivos, negativos, críticos, confidenciales, anónimos, y que en cualquier caso se tomarán acciones y se mantendrá informado y protegido al informante.

5. Crear programas de capacitación

Una de las tareas del oficial de compliance es identificar las brechas de formación en todos los niveles de la organización. Esto es especialmente importante para los empleados que desempeñan funciones en un programa de cumplimiento o de Gestión Anticorrupción.

Los empleados tienden a dar credibilidad a charlas o conferencias dictadas por especialistas con reconocimiento internacional. La ética es un tema que se puede incluir en charlas sobre liderazgo, sobre gobierno corporativo, sobre cumplimiento o sobre Gestión Anticorrupción.

6. Crear controles y auditar la Gestión

Los controles cumplen una función preventiva. Son procedimientos creados para disminuir la probabilidad de que los empleados incurran en conductas no éticas. Pero para conocer la efectividad de esos controles es preciso monitorearlos y auditarlos.

El programa anual de auditorías corresponde a la Oficina de Cumplimiento. De los informes de cada auditoría resulta la bitácora que permite mejorar el sistema y la Gestión.

7. Incluir la ética en los procesos de contratación

Los valores éticos pueden ser el resultado de procesos de formación. Algunos empleados los traen desde sus empleos anteriores. Para otros, el origen es la educación y la formación en la familia.

En cualquier caso, estos empleados con valores éticos facilitan el trabajo para el Oficial de Cumplimiento y mitigan los riesgos asociados a conductas fuera de la ética. Por eso es importante identificar esos valores en los candidatos y asignar un valor a esos candidatos en los procesos de contratación.

8. Educar con el ejemplo

Los miembros de la Alta Dirección, los gerentes y los directores de área son los encargados de dar ejemplo sobre conductas éticas. El trabajo diario de estas personas tiene un alto impacto en el comportamiento de los empleados que se encuentras debajo de ellos en el organigrama.

Cuanto más alto se encuentre un directivo, mayor será la repercusión que tengan sus acciones en los niveles inferiores de la organización.

9. Automatizar la Gestión

Las soluciones tecnológicas modernas, basadas en la nube y con integración de elementos de Inteligencia Artificial, permite obtener una visión constante, integral y completa de los acontecimientos en toda la organización.

Es, además, una herramienta que permite individualizar incidentes y caracterizarlos: conductas no éticas, fallos humanos, conflictos de intereses, soborno, corrupción…

Software ISO 37301 de ISOTools

La Gestión de Cumplimiento tiene una relación directa con la ética. El Software ISO 37301 de ISOTools es una herramienta que digitaliza el Sistema de Compliance, entregando como resultado una gestión eficaz, productiva, enfocada en la prevención de riesgos.

La plataforma automatiza tareas, entrega informes actuales para mejorar la toma de decisiones, presenta mapas de calor y entrega indicadores útiles para la mejora continua del Sistema. Encuéntralo aquí.

La entrada 9 pasos para gestionar las conductas no éticas en el lugar de trabajo se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Al considerar los riesgos de la cadena de suministro, es importante anotar que la mayoría de ellos son externos. Eso implica que no se tiene el control absoluto sobre ellos, pero no significa que no se puedan tratar con efectividad desde el interior de la organización.

De hecho, la gestión de riesgos de la cadena de suministro se integra, o forma parte, de la gestión de riesgos generales de la empresa. Una cadena de suministro segura, vigilada y monitoreada, representa una ventaja competitiva importante para una organización.

Antes de entrar a desglosar los principales riesgos de la cadena de suministro, y la mejor forma para gestionarlos, vale la pena anotar que en este milenio la cadena de suministro es cada vez más digital, y por ello, más proclive a ataques e intromisiones desde la red, lo que convierte a la tecnología en un recurso esencial para el tratamiento de este tipo de amenazas.

¿Qué es la gestión de riesgos de la cadena de suministro?

La gestión de riesgos de la cadena de suministro es el proceso que permite a profesionales especializados en el área, identificar, evaluar, categorizar y tratar circunstancias, condiciones o eventos que puedan, en un momento determinado, interrumpir el suministro de insumos, materias primas u otro tipo de recursos vitales para la producción de un bien o un servicio.

Visto de esta forma, la cadena de suministro puede ser extensa y difícil de rastrear y controlar desde el origen. Pensemos que la interrupción del suministro a un pequeño proveedor que está al inicio de la cadena, probablemente en otro país u otro continente, puede afectar la operación de una gran organización en nuestro continente.

Pero además de los riesgos tradicionales – bloqueos de carreteras, quiebre financiero, robos o asalto a camiones…-, la gestión de riesgos de la cadena de suministro moderna encuentra un verdadero reto en el aumento de ataques cibernéticos.

Organizaciones de todo tipo tienen una mayor dependencia de proveedores y suministros que operan desde la Red. Este tipo de riesgo tiene la capacidad de impedir el suministro y cortar la cadena, pero también de exponer datos de usuarios y clientes, y, además, afectar la reputación de las organizaciones involucradas.

¿Cuáles son los riesgos de la cadena de suministro para el 2024?

La cadena de suministro del siglo XXI es digital, pero también extensa e interconectada. Esto significa que no tiene fronteras geográficas y que no son exclusivas para ninguna industria. Un problema en la industria de la automoción afecta el suministro de alimentos o de hidrocarburos en cualquier lugar del mundo.

Hace pocos meses el mundo vivió la imprevista crisis de los contenedores con efectos devastadores para muchas industrias. Para el 2024, los principales riesgos de la cadena de suministro pueden ser:

• Cambio climático, que genera tormentas, inundaciones, sismos, destrucción o daños en infraestructura, puertos o almacenes y bodegas.
• Dependencia tecnológica, que ya en este año se generó una escasez de chips y circuitos integrados.
• Contexto geopolítico, que se materializan en guerras y conflictos. Muchas empresas en el mundo aún se ven afectadas por la disminución o suspensión de productos provenientes tradicionalmente de Ucrania, que es el mejor ejemplo de riesgo geopolítico.
• Trastornos macroeconómicos, que generan inflación o deflación a grandes niveles. Este tipo de fenómenos, incluida la recesión, tienen la capacidad para acabar con empresas que producen insumos vitales para otras que se encuentran más arriba en la cadena.

¿Cuáles son las mejores prácticas para la gestión de riesgos de la cadena de suministro?

La gestión de riesgos de la cadena de suministro no es muy diferente de la gestión de riesgos generales, o en otras áreas. Identificada la amenaza, es preciso buscar su origen y buscar la forma de eliminarla.

Por supuesto, de no ser posible, lo aconsejable es buscar acciones para minimizar el riesgo o el impacto. Compartirlo o tolerarlo, aprovechando una oportunidad, son también acciones que están en la bitácora de cualquier especialista en riesgos.

Así, algunas de las prácticas que resultan efectivas para cualquier industria, en 2024, son:

1. Contar con un amplio portafolio de proveedores

Contratar el suministro con el mayor número posible de proveedores atomiza el riesgo, sobre todo cuando estos proveedores se encuentran diseminados en diferentes regiones del globo.

La diversidad es la clave. Muchos proveedores aportan un beneficio adicional: es posible establecer una relación fructífera con otros países, generando condiciones para un futuro coloniaje comercial en esas áreas.

2. Diseñar una cadena con proveedores cercanos a los puntos de distribución

Considerando los riesgos de la cadena de suministro mencionados, es importante que los proveedores estén ubicados de forma estratégica, muy cerca de puntos de distribución masiva, como puertos o aeropuertos.

Eliminar, en la medida posible, carreteras o largos trayectos por ríos u otros canales de comunicación, disminuye buena parte de las amenazas mencionadas.

3. Aumentar el nivel de las existencias de inventarios

Mantener altas existencias de inventarios genera tranquilidad para la organización. Es, además, una forma efectiva de mejorar el precio de compra y reducir costes, particularmente para las organizaciones que cuentan con almacenamiento propio de grandes proporciones.

4. Aplicar la debida diligencia y la gestión de riesgos a los proveedores

Los fabricantes o las grandes industrias dependen de pequeños proveedores en cualquier lugar del mundo. Entonces, ¿por qué no preocuparse por ellos y por sus problemas? La debida diligencia y la gestión de riesgos de proveedores son dos herramientas que permiten establecer, con un alto grado de seguridad, que el proveedor es confiable.

5. Vigilar a los proveedores

Lo que hoy es válido y bueno, mañana puede no serlo. Por eso es importante mantener una vigilancia constante sobre todos los puntos de la cadena de suministro. Esto implica actualizar de forma periódica la información, enviar cuestionarios, mantener entrevistas, revisar indicadores de rendimiento y producción, enterarse de las noticias locales…

6. Esperar lo mejor, pero prepararse para lo peor

¿Qué pasaría si…? Es el inicio de un modelo predictivo de eventos catastróficos o disruptivos. Son ideales para desarrollar planes de respuesta inmediata y efectiva, que garanticen un grado medio de operabilidad. Es lo que se conoce como gestión de continuidad del negocio, que se puede aplicar con mucho éxito a la gestión de riesgos de la cadena de suministro.

7. Incorporar tecnología a la gestión

Algunas cadenas de suministro son muy extensas. Sus ramificaciones son de tal envergadura, que se extienden por todo el planeta, llegando a pequeñas poblaciones en numerosos y pequeños países, en los cinco continentes.

La gestión eficaz y efectiva de riesgos no puede prescindir de la tecnología. El uso de una plataforma diseñada para gestionar este tipo de amenazas, ofrece un panorama y una visión completa, actualizada, en todo momento, lo que mejora las posibilidades de reacción ante un evento inesperado.

Software ISO 37301 de ISOTools

La digitalización y la automatización de la gestión de riesgos de la cadena de suministro, es posible de forma muy fácil, utilizando una herramienta como el Software ISO 37301 de ISOTools.

Esta plataforma ha sido creada para asumir los retos que propone el siglo XXI. Se trata de una herramienta basada en la nube, que incorpora funcionalidades avanzadas para el análisis y evaluación de la gestión. Obtenla aquí.

La entrada Riesgos de la cadena de suministro: buenas prácticas de gestión corporativa se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

El contenido de la checklist de conflicto de intereses que compartimos a continuación se compone de una selección de 29 preguntas clave. Preguntas que para los profesionales del área son conocidas, pero que con frecuencia se encuentran dispersas en hojas de cálculo o compartidas a través de correos electrónicos.

¿Qué preguntas incluir en tu checklist de conflictos de intereses?

Un primer paso, en la tarea de construir una checklist de conflictos de intereses que se pueda utilizar en todos los departamentos de la organización es dimensionar y agrupar las diferentes áreas a abordar.

En el contexto organizacional, tres escenarios destacan a la hora de crear una checklist de conflictos de intereses. El financiero, es el primero de ellos:

1. Conflictos de intereses financieros

El conflicto de intereses financiero aparece cuando los empleados encuentran oportunidades económicas relacionadas con el cumplimiento de sus tareas y responsabilidades. Algunas preguntas útiles para identificarlo son:

1. ¿Tiene usted intereses financieros, acciones o ingresos económicos, o los tiene algún miembro de su familia, en organizaciones que proveen bienes o servicios a esta empresa?
2. ¿Usted o algún miembro de su familia ha recibido beneficios económicos, obsequios, regalos o prebendas de alguna organización proveedora o contratista, que en un momento dado pudiese influenciar decisiones con respecto a la asignación de contratos o negocios comerciales?
3. ¿Tiene usted alguna actividad de inversión que pueda entrar en conflicto con sus deberes u obligaciones para con la organización?
4. ¿Usted o algún miembro de su familia posee patentes, licencias o derechos de autor sobre fórmulas, métodos, tecnologías o cualquier tipo de conocimiento susceptible de generar derechos de autor, en materia relevante para el cumplimiento de los objetivos comerciales de la organización?
5. ¿En el cumplimiento de sus tareas, tiene usted acceso a información privilegiada sobre la organización que pueda ser comercializada en su beneficio?
6. ¿Tiene usted inversiones personales que puedan entrar en conflicto con los intereses comerciales de la organización o influir en su toma de decisiones?
7. ¿Usted o un miembro cercano de su familia debe dinero a esta organización o a otra vinculada, proveedora o contratista de esta?

2. Conflictos comerciales

Los conflictos comerciales, similares a los financieros, pueden surgir cuando los intereses externos de un empleado entran en conflicto con sus responsabilidades para con su empleador. Estos conflictos pueden crear dilemas éticos y dañar la reputación de la organización si no se controlan. Para identificar estos riesgos potenciales es importante hacer las preguntas correctas:

8. ¿Presta servicios de asesoría o consultoría a otra organización competidora, o vinculada de otra forma a esta?
9. ¿Ha solicitado o recibido patrocinio, becas o algún incentivo para el desarrollo de algún proyecto personal o académico suyo o de un familiar cercano, por parte de alguna organización competidora o vinculada a esta?
10. ¿Tiene usted algún tipo de relación profesional con una o varias organizaciones competidoras o vinculadas a esta?
11. ¿Ha obtenido licencias, patentes o permisos de cualquier clase, de parte de organismos reguladores, proveedores o competidores de esta organización?
12. ¿Recibe usted beneficios de parte de esta organización, o de otra vinculada, que representen un posible conflicto de intereses?
13. ¿Tiene usted, o algún miembro de su familia, relaciones comerciales como cliente, proveedor, contratista o consultor, con organizaciones competidoras, afiliadas, proveedoras, subsidiarias, distribuidoras o de representación comercial de estas?
14. ¿Es usted o algún miembro de su familia consultor o asesor de una empresa competidora o relacionada de alguna forma con esta organización?
15. ¿Tiene usted o algún miembro de su familia intereses económicos o inversiones que puedan generar conflictos de intereses ahora o en el futuro?
16. ¿Es usted directivo o miembro de la Alta Dirección, o lo es un familiar suyo, en organizaciones competidoras o vinculadas a estas?
17. ¿Conoce información confidencial o privilegiada, que pueda ser comercializada e influir en el desempeño financiero de esta organización?
18. ¿Tiene usted algún tipo de relación comercial con organizaciones competidoras, proveedoras, contratitas, representantes, distribuidoras o relacionadas de alguna forma con esta empresa?

3. Conflictos personales

Las relaciones sociales o personales, que no son de índole familiar, también son propicias para la aparición de conflictos de intereses. Estas aparecen como resultado de la interacción social del empleado, los deportes que practica, sus pasatiempos o cualquier actividad que desarrolle en su tiempo de ocio. Estas aparecen en el último segmento de esta checklist de conflictos de intereses:

19. ¿Tiene relaciones de amistad, o las tiene un familiar suyo, con empleados o miembros de la Alta Dirección de organizaciones vinculadas a esta?
20. ¿Algún familiar o amigo cercano trabaja para un competidor, proveedor, cliente relevante u organización que mantenga un vínculo comercial con esta empresa?
21. ¿Es dueño de alguna empresa asociada, vinculada o de interés para esta organización o lo es algún familiar o amigo cercano?
22. ¿Al desarrollar sus actividades personales, dentro de su tiempo libre, se relaciona con empleados o vinculados a organizaciones que actúan como proveedoras, clientes, inversionistas, contratistas o representantes de estas?
23. ¿Sus posiciones políticas crean un conflicto de intereses con los objetivos de negocio de esta organización?
24. ¿Usted, un familiar o un amigo cercano desarrolla actividades sin fines de lucro, que entren en conflicto con los intereses comerciales de esta organización?
25. ¿Mantiene litigios legales con esta organización u otra vinculada de alguna forma a esta?
26. ¿Ha hecho usted, algún familiar o amigo cercano, declaraciones públicas en contra de los negocios que efectúa esta organización o alguna competidora?
27. ¿Tiene participación en actividades pedagógicas, culturales o educativas, susceptibles de generar conflictos de intereses?
28. ¿Realiza usted, un miembro de su familia o un amigo cercano, donaciones en dinero a organizaciones competidoras de esta?
29. ¿Existe alguna circunstancia o condición que no se haya considerado en esta checklist de conflictos de intereses?

Software ISO 37001 de ISOTools

La checklist de conflictos de intereses arroja información valiosa para la práctica de la debida diligencia en tu organización. Información que debe ser procesada, analizada, evaluada y almacenada de forma sistemática, siendo esta una de las principales funcionalidades del Software ISO 37001 de ISOTools.

Es esta una herramienta basada en la nube, diseñada para automatizar y digitalizar los programas de gestión anticorrupción, especialmente los soportados en el estándar internacional ISO 37001. Hoy tienes una gran oportunidad para conocerla aquí.

La entrada Checklist de conflictos de intereses: 29 preguntas importantes que se deben hacer se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

La globalización ha diversificado el tipo, el número y las formas de relacionarse con los terceros. Las organizaciones tienen proveedores en cualquier lugar del mundo. Se trata de empresas que están conformadas por una o por miles de personas.

Algunas de ellas son digitales y otras operan de forma tradicional. Las ubicaciones no excluyen ningún continente. Tal diversidad genera riesgos de cumplimiento, de corrupción, de capacidad de suministro…

El objetivo de la gestión de riesgos de proveedores es construir un marco de operación que permita seguir aprovechando la oportunidad que representa poder adquirir bienes y servicios en cualquier punto del mundo, con seguridad y eficacia.

¿Qué es la gestión de riesgos de proveedores?

La gestión de riesgos de proveedores congrega las tareas, actividades, estrategias y procedimientos necesarios para identificar los riesgos que entraña para una organización la relación con un proveedor.

Con base en esa identificación, la organización tiene la oportunidad de diseñar e implementar acciones para tratar esas amenazas. Las opciones de tratamiento son las mismas que están disponibles en la gestión de riesgos en otras áreas: mitigar, eliminar, compartir o admitir.

La debida diligencia es el proceso que mayor eficacia representa para la gestión de riesgos de proveedores. La debida diligencia, que en síntesis es una investigación sobre el proveedor, seguida de una evaluación de la información recopilada, pretende establecer si el tercero es confiable, no lo es, o es preciso aplicar algunos controles para poder trabajar con él.

La debida diligencia disminuye el riesgo que implica la relación con un proveedor. Pero no es la única herramienta de la que dispone la gestión de riesgos de proveedores. Examinemos algunos de esos riesgos y la forma en que se pueden gestionar.

¿Cuáles son los riesgos de proveedores?

Hasta la mitad del siglo XX la relación con proveedores no resultaba tan compleja. Pocas empresas tenían proveedores en el exterior, y estos eran fácilmente identificables y, por ello, confiables.

La globalización y la proliferación de ofertas de bienes y servicios en Internet, crean un espectro infinito de ofertas comerciales. Un número infinito de posibilidades genera riesgos en igual proporción. Riesgos que se pueden agrupar en seis categorías:

1. Seguridad de la información

La relación con un proveedor implica compartir tecnologías e información confidencial, como secretos industriales, fórmulas, procesos… Los riesgos de seguridad de la información abordan el área digital, pero también el conocimiento y la información que se transmite de forma oral o escrita.

La protección de datos y el acceso a información privilegiada son los temas más importantes para considerar. Se trata de un riesgo que tiene incidencia en el cumplimiento, en la estrategia de negocios y en la reputación de la organización.

2. Repercusiones en la reputación

Los proveedores tienen una capacidad real para impactar la reputación y la imagen de una organización. La imagen y reputación de organizaciones o personas que cometen delitos, por ejemplo, se pueden transmitir a la organización. Y también existe la probabilidad de que el mismo proveedor recurra a prácticas poco éticas o ilegales en las transacciones con la organización.

3. Riesgo financiero

Los problemas financieros de un proveedor pueden impactar a sus clientes. Los escenarios más frecuentes son: el proveedor traslada el problema a su cliente incrementando los precios, o incurre en suspensión del suministro ante la incapacidad para operar que genera la falta de flujo de efectivo.

4. Riesgo operativo

La gestión de riesgos de proveedores debe ocuparse de los problemas logísticos y estructurales que, en un momento determinado, pueden impedir al proveedor entregar los productos acordados o hacerlo de acuerdo con las especificaciones contratadas. Es lo que se conoce como riesgo operativo.

5. Riesgo estratégico

El riesgo estratégico es el que se deriva de la toma de una decisión, que no está alineada con los objetivos de negocio, generando problemas e impactando la capacidad para operar y cumplir.

Un proveedor que no gestiona de forma eficaz sus riesgos estratégicos, puede incumplir las obligaciones contraídas, perder licencias para operar o incurrir en altas multas y sanciones.

6. Riesgo de cumplimiento

La gestión de riesgos de proveedores se basa en la transmisión de los efectos de las amenazas a lo largo de la cadena de suministro. Es el caso del riesgo de cumplimiento que impacta a la organización contratante de dos formas: incumpliendo las obligaciones con sus clientes, como efecto del incumplimiento de su proveedor, o vulnerando normas regulatorias comunes como el RGPD, normas ambientales, de Seguridad de la Información o normas anticorrupción.

¿Cómo crear un marco de gestión de riesgos de proveedores eficaz?

La gestión de riesgos de proveedores puede ser tan compleja como el número y la diversidad de proveedores. La debida diligencia es el paso previo a cualquier tipo de evaluación. Es con base en ella que se determina qué tipos de riesgos existen y cuáles tienen mayor relevancia para cada tercero.

Después, el camino a seguir es:

1. Evaluar y calificar los riesgos

Con los datos obtenidos es posible evaluar cada proveedor y producir una lista de terceros categorizada de acuerdo con el potencial riesgo que cada uno de ellos ofrece.

Es una evaluación que se debe realizar de forma periódica, con base en una metodología estandarizada para todos y sistemas de puntuación igualmente populares.

2. Mantener un equipo de gestión de riesgos de proveedores

Los riesgos relacionados con la interacción con proveedores, o con otros terceros, interesan a los encargados de la gestión de cumplimiento, en primera instancia, pero también a los encargados de Seguridad de la Información, Calidad o finanzas, entre otras áreas.

Es importante que exista un equipo de trabajo interdisciplinario dedicado a examinar las amenazas que implican los proveedores, desde diferentes enfoques.

3. Realizar evaluaciones por líneas de productos

Este tipo de evaluaciones permite establecer qué productos tienen una mayor exposición al riesgo de proveedores. Identificar líneas de productos con mayor riesgo, permite enfocar los esfuerzos y optimizar los recursos.

4. Diseñar estrategias de gestión

Los riesgos de proveedores se gestionan de acuerdo con la metodología generalmente aceptada en cualquier otra área. Es preciso establecer el impacto o gravedad de la amenaza, así como la probabilidad de ocurrencia.

Una matriz de riesgos permitirá priorizar amenazas y determinar cuáles se pueden eliminar. Las demás, de acuerdo con la evaluación técnica, podrán ser mitigadas, compartidas o admitidas, de acuerdo con el apetito de riesgo de la organización o la oportunidad que puedan representar.

5. Automatizar la gestión

Crear un marco de gestión de riesgos de proveedores seguro y eficaz, es una tarea que consume una alta cantidad de información y datos. Automatizar la recopilación y gestión de datos permitirá realizar evaluaciones constantes, aumentado así la efectividad.

Software ISO 37301 de ISOTools

Automatizar la gestión de riesgos de proveedores, utilizando una herramienta como el Software ISO 37301 de ISOTools permite a las organizaciones asumir los retos que propone la globalización y la eliminación de fronteras para la suscripción de acuerdos con proveedores.

Se trata de una solución basada en la nube, con funcionalidades avanzadas para garantizar el cumplimiento en toda la organización, sin importar su tamaño o el número de terceros involucrados. Encuentra más información aquí.

La entrada Cómo crear un marco de gestión de riesgos de proveedores eficaz se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Pero no solo lo hacen los empleados. Es una conducta que también pueden seguir contratistas, proveedores, visitantes, y otras personas que no consideran los riesgos GRC y la forma en que este fenómeno, conocido como ‘TI en la sombra’, puede impactar a la organización, y poner en riesgo su reputación y su capacidad para operar.

Este tipo de acciones parten de una decisión irresponsable y sin consulta previa de una o varias personas que, de forma paradójica, puede estar bien intencionada. Sin embargo, en la mayoría de los casos vulneran la privacidad de los datos y de la información que maneja la organización.

¿Cuáles son los riesgos GRC que se conocen como sistemas TI en la sombra?

TI en la sombra consiste en el uso de aplicaciones, software, dispositivos o periféricos no autorizados por la organización. Al ser herramientas desconocidas y no controladas, se convierten en puntos ciegos para el control y vigilancia de seguridad de la información y, por ello, en uno de los riesgos GRC más lesivos.

Las razones por las que los empleados hacen esto son muchas: falta de capacitación, uso permitido de herramientas deficientes, incapacidad de la solución autorizada para absorber el flujo de trabajo. Pero también puede haber intenciones deshonestas desde el inicio.

Los riesgos GRC que pueden conllevar los sistemas TI en la sombra son varios y todos ellos de alto impacto negativo. Entre los más reconocidos se encuentran:

1. Incremento de ataques e infracciones

Aunque las intenciones del empleado sean buenas, es un hecho que el empleo de software o hardware desconocido, no probado e imposible de monitorizar, genera una brecha de seguridad que puede ser utilizada por ciberdelincuentes. Si los propósitos del empleado son otros, las consecuencias pueden ser fatales.

El software empleado, por ejemplo, puede contener errores que deterioren la información. También pueden ser portadores de virus o de malware. Cuanto más grande sea la organización, más difícil será controlar este tipo de riesgos GRC.

2. Falta de controles

En algunas organizaciones, la implementación de controles de seguridad se percibe como restrictiva y limitante. Es uno de los principales problemas que enfrentan los profesionales encargados de gestionar riesgos GRC y de seguridad de la información. Lo cierto es que el cumplimiento de regulaciones como RGPD, en el caso de Europa, obligan al diseño e implementación de controles y a mantener protocolos de seguridad cada vez más estrictos.

3. Riesgo de cumplimiento

Los empleados que usan sistemas TI en la sombra, además de los riesgos expuestos, conducen a su organización a incurrir en vulnerabilidades de cumplimiento. Cuando esto sucede, las organizaciones más expuestas son las que trabajan en entornos de alta regulación, como financieros, aeronáutica o farmacéutico. Los fallos de cumplimiento en el área de seguridad de datos e información pueden acarrear sanciones, multas e, incluso, el cierre de la operación.

4. Corrupción de la información y divulgación indebida de datos

Muchos empleados encuentran fácil almacenar información sobre clientes, proveedores u otros vinculados a la organización, en cuentas personales en la nube. Es una forma de tenerla disponible para realizar trabajo extra los fines de semana o en las noches.

La nube es un lugar relativamente seguro para la información. Pero, ¿qué pasa cuando el empleado se va? Esa información puede perderse, si el empleado la elimina. Pero también, puede hacer uso no lícito de ella, compartirla, venderla o usufructuarla.

5. Falta de compromiso, liderazgo y cultura de seguridad

Los sistemas de TI en la sombra suelen aparecer cuando la Alta Dirección no asigna los recursos suficientes para atender los requisitos de tecnología en cada una de las áreas. Con herramientas deficientes para hacer su trabajo, los empleados necesitan cubrir necesidades inmediatas. Y lo hacen descargando software o aplicaciones no controladas.

Los empleados se desmoralizan, abandonan cualquier liderazgo que hubiesen asumido en la gestión de riesgos GRC o sobre seguridad de la información y dejan de comprometerse.

¿Cómo gestionar los riesgos GRC asociados a sistemas TI en la sombra?

La gestión de riesgos GRC, incluida la que se enfoca en las amenazas generadas por los sistemas TI en la sombra, sigue un curso similar al que caracteriza al tratamiento de riesgos en otras áreas: identificar, clasificar, priorizar, aplicar acciones correctivas, revisar y volver a iniciar el ciclo.

Sin embargo, cuatro elementos esenciales garantizan el éxito en la gestión de riesgos GRC derivados de los sistemas TI en la sombra:

1. Políticas y procedimientos

Cuando se prohíbe el uso de sistemas TI en la sombra, y se declara el compromiso con el uso responsable de herramientas informáticas, desde la Alta Dirección, a través de una política, el tono superior que reviste ese documento hace que sea tenido en cuenta, respetado y acatado.

Las políticas, reflejadas en la redacción de procedimientos, contendrán listas de software, aplicaciones, dispositivos y otros recursos cuyo empleo es permitido. Esta política debe acompañarse de los recursos adecuados para el suministro de las herramientas tecnológicas que requieren los empleados.

2. Controles técnicos efectivos

Solicitar autorizaciones para descargar nuevo software, es un ejemplo de control efectivo. Sin embargo, para los trabajadores que desempeñan sus tareas desde casa, esto no puede funcionar muy bien, a menos que el dispositivo pertenezca a la organización.

En la actualidad, es posible encontrar dispositivos de hardware, y soluciones informáticas, diseñados para detectar y eliminar software y aplicaciones no permitidos, reduciendo así los riesgos.

3. Formación y capacitación

Muchos empleados utilizan software o aplicaciones no permitidos porque no son conscientes de las consecuencias que puede ocasionar. El primer paso para generar cultura de gestión de riesgos, GRC y de seguridad de la información es hablando de ello en foros, charlas, conferencias y otros escenarios similares.

Algunos programas de formación especializados en seguridad de la información, gestión de riesgos y gestión de cumplimiento, también contribuirán a prevenir y eliminar riesgos. Los empleados deben entender que sus acciones responsables contribuyen a la seguridad de la información.

4. Automatización de la gestión

La seguridad de la información y la gestión de riesgos son áreas que requieren el compromiso de los empleados. Esto no sucederá si no encuentran herramientas ágiles que les permitan reportar incidentes, infracciones, realizar procesos inmediatos de debida diligencia y otras funcionalidades propias de Sistemas de Gestión automatizados y digitalizados y, por ende, eficaces.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es un desarrollo tecnológico, alojado en la nube, diseñado para automatizar y digitalizar la gestión de compliance en organizaciones de todos los tamaños.

Con los cambios acelerados en el marco regulatorio para todas las organizaciones, sumado a la incertidumbre que caracteriza la seguridad de la información por causa de los factores que hemos mencionado, las organizaciones necesitan automatizar su gestión de cumplimiento si desean cubrir todos los frentes con seguridad. Conoce más sobre ISOTools aquí.

La entrada Riesgos GRC: por qué los sistemas TI en la sombra o ‘Shadow IT’ son un peligro y cómo gestionarlos se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Es mucho más importante para las organizaciones que deben afrontar procesos a gran escala, sobre un número de terceros muy alto. Por eso es necesario saber qué buscar y preguntar cuando se consideran varias opciones para contratar el software de debida diligencia.

Algunas de estas preguntas surgen de la oficina del Oficial de Cumplimiento. Es entendible: es él el que más aprovechará las funcionalidades del software de debida diligencia. Entonces, ¿cuáles son esas preguntas? Hemos recopilado las 10 más eficaces.

¿Qué preguntas hacer para elegir el software de debida diligencia adecuado?

Para muchas organizaciones, la capacidad de procesar enormes cantidades de datos resulta esencial. Otras, más pequeñas y menos complejas, pueden buscar análisis y evaluación antes que volumen de procesamiento. Por eso, es tan importante hacer las preguntas adecuadas, antes de tomar la decisión final sobre el software de debida diligencia:

1. ¿Es una solución en la nube?

Las soluciones SaaS muestran una clara preferencia de los consumidores de este tipo de productos por varias razones: tienen precios más competitivos, no requieren instalación, las actualizaciones no tienen coste para el usuario, la seguridad de los datos es óptima y el almacenamiento de información no requiere utilizar servidores.

2. ¿Es accesible desde dispositivos móviles?

El mundo corporativo moderno acontece en las oficinas, en los hogares de muchos empleados, en áreas industriales y, lo más importante, en cualquier lugar del planeta. Esto último significa que se requiere disponibilidad de la herramienta en cualquier horario y desde cualquier dispositivo. Así, la disponibilidad del software de debida diligencia desde dispositivos móviles es imprescindible.

3. ¿El software permite hacer seguimiento a terceros?

Solicitar algunos datos, confrontarlos, establecer una trazabilidad y crear una ficha de información con cada uno de ellos, aunque resulta una tarea dispendiosa, no es la única tarea importante en los procesos de debida diligencia.

Las organizaciones modernas necesitan obtener una trazabilidad del comportamiento del tercero, cruzarlo con otras fichas para obtener puntos de relación, y poder hacer seguimiento para verificar las informaciones. El monitoreo y seguimiento a terceros es una funcionalidad esencial en este tipo de soluciones informáticas.

4. ¿Es una solución configurable?

La flexibilidad es muy importante en este tipo de software, ya que es la que permite evolucionar con el marco regulatorio y adaptarse al contexto cambiante de la organización.

Esta característica se aprecia en todo su valor cuando la organización debe contratar más empleados, abrir sucursales en países que se rigen por otra legislación o cuando se establecen negocios con clientes o contratistas que operan bajo otras reglas.

5. ¿La información se almacena en una ubicación centralizada?

De no ser así, se corre el riesgo de trabajar muy duro para construir silos de datos e información. Una solución moderna, basada en la nube, debe proveer los datos desde una ubicación centralizada, y permitir la creación de diferentes niveles de acceso, con privilegios de diferente nivel.

6. ¿El proveedor ofrece soporte?

En principio, el uso del software de debida diligencia debe ser fácil, intuitivo y amigable. Sin embargo, es apenas normal que algunos empleados, especialmente los que tienen responsabilidades en el Sistema de Gestión Anticorrupción, tengan dudas o encuentren algún obstáculo al inicio. Es importante que el proveedor esté listo para resolver esas dudas.

7. ¿Ofrece informes visuales o gráficos?

La Alta Dirección, los directores de área e incluso, el mismo Oficial de Cumplimiento, valorarán la disponibilidad de mapas visuales, mapas de calor y todo aquello que les permita obtener conclusiones útiles para la toma inmediata de decisiones, sin pasar demasiado tiempo analizando complejos informes.

8. ¿Opera bajo un enfoque basado en el riesgo?

Esto adquiere especial relevancia para las organizaciones que han implementado el estándar ISO 37001 o ISO 37301. La Debida Diligencia es algo más que recopilar datos. Es una actividad que pretende, entre otros objetivos, identificar riesgos y prevenirlos.

La capacidad que tenga el software para adoptar un enfoque basado en el riesgo, identificando transacciones sospechosas o de alto riesgo, por ejemplo, pesa mucho en la balanza para la toma de la decisión.

9. ¿Se integra con otras herramientas ofimáticas?

La adopción de un software de debida diligencia no implica que se prescinda del uso de otro tipo de herramientas ofimáticas, especialmente los productos de Office. Word, por ejemplo, seguirá siendo un elemento esencial para la creación de documentos, y es importante que el nuevo software integre archivos provenientes de esa aplicación, así como de Excel o Power Point.

10. ¿La solución crece con la organización?

Las organizaciones que implementan un software de debida diligencia, para la gestión de cumplimiento o, incluso, para la gestión contable y financiera, lamentan no haber preguntado si ese desarrollo tecnológico estaba preparado para crecer con la organización, especialmente cuando esta se posiciona en otros países.

Software ISO 37001 de ISOTools

La Debida Diligencia es un proceso comercial de cumplimiento y de gestión anticorrupción esencial. El Software ISO 37001 de ISOTools permite realizar un registro estructurado de debidas diligencias, ofrecer informes inmediatos en diferentes formatos, y mostrar los riesgos o los problemas que implicaría la incorporación de un tercero determinado.

Este software trabaja para la prevención. Ofrece, además, una serie de funcionalidades para digitalizar un programa anticorrupción basado en la norma internacional ISO 37001. Solicita información sobre el Software ISO 37001 aquí.

La entrada Software de debida diligencia: 10 preguntas clave para elegir la plataforma adecuada se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.