Pero también pueden predecir amenazas emergentes internas o de terceros y preparar a la organización para el futuro. Los indicadores clave de riesgo de permiten actuar en tiempo real y gestionar riesgos incipientes antes de que alcancen su máximo poder lesivo.

Sin embargo, es importante elegir y utilizar los indicadores clave de riesgo adecuados. ¿Cuáles son y cómo desarrollarlos?

¿Qué son los indicadores clave de riesgo?

Un indicador es una cifra, un dato o una condición que, como su nombre lo sugiere, indica algo. Los indicadores hacen ver al analista o al evaluador que algo está sucediendo o puede suceder en un futuro próximo.

Es una forma de monitorear la actividad y establecer si los controles han sido efectivos o si su efectividad está próxima a caducar. Los indicadores emiten alertas tempranas que facilitan actuar sobre riesgos o amenazas que sucederán muy pronto, o están actuando en el momento.

Un indicador clave de riesgo, por ejemplo, puede ser el número de comunicaciones reportadas en una línea dedicada o canal de denuncias. Los indicadores cumplen una función esencial en la gestión de compliance y anticorrupción. Entre otros, permite lograr objetivos como:

• Identificar nuevos riesgos o la variación en el comportamiento de uno ya evaluado (probabilidad o impacto).
• Establecer el impacto real de un riesgo en términos financieros o reputacionales.
• Elaborar comparativos de cifras periódicas, que permitan conformar una tendencia.
• Obtener un panorama real e inmediato sobre la gestión anticorrupción.
• Verificar la eficacia de los controles implementados.
• Fijar nuevos objetivos para la gestión.

¿Cómo establecer indicadores clave de riesgo adecuados?

Los indicadores de riesgo deben ser adecuados a la gestión, al nivel de exposición de riesgo de la organización, a los antecedentes históricos, al grado de regulación y control, entre otros factores para considerar.

Para establecer indicadores clave de riesgo es preciso seguir un proceso que inicia por:

1. Reunir el equipo de gestión de riesgos

Al igual que otras tareas en el área de gestión de riesgos, la definición de los indicadores clave de riesgo es una tarea de equipo. Es importante que todos aporten y que se conforme un marco de operación en el que todos actúen bajo las mismas directrices tras un objetivo común.

2. Dividir la tarea por áreas o por unidades de negocio

Identificar problemas de cumplimiento y corrupción puede requerir una dinámica diferente en el área de Recursos Humanos y otra en Adquisiciones o en Servicios Generales. Los KRI que resultan interesantes o efectivos en un punto, pueden ser irrelevantes o inocuos en otro.

3. Revisar el comportamiento de los KRI actuales

Cada uno de los grupos de trabajo establecidos revisa los indicadores de uso común en el momento, su comportamiento y su aporte a la gestión.

4. Analizar la evaluación del riesgo asociado al KRI

Los indicadores clave de riesgo, incumplimiento, fraude y soborno, son definidos como tales por el aporte que entregan a la gestión. Si se invierte tiempo y recursos en obtener una métrica es porque el resultado final lo amerita. Cada métrica se toma para descubrir si un riesgo está ocurriendo, se mantiene o deja de ocurrir. Un indicador asociado a un riesgo que cada día tiene mayor incidencia y mayor impacto, es un indicador no adecuado.

5. Identificar procesos o cambios de procesos

Los indicadores de riesgo vinculados a un proceso pierden actualidad si el proceso desaparece o sufre una modificación estructural sustancial. Los cambios inadvertidos en procesos obligan a cambiar controles y, por supuesto, indicadores.

6. Priorizar los riesgos para establecer controles

El trabajo de definición y desarrollo de indicadores clave de riesgo, como cualquier actividad en gestión de riesgos, deben enfocarse de manera prioritaria en las amenazas que mayor impacto negativo representen, o mayor probabilidad de ocurrencia.

7. Analizar y procesar los datos

El análisis de la información recopilada debe realizarse de manera metódica, sistemática y automatizada. Los KRI necesitan ser medibles, comparables y comprobables. Para ello, especialmente cuando se trata con grandes volúmenes de datos, es preciso contar con una plataforma diseñada para esta función, y mejor si es creada para la gestión anticorrupción.

8. Establecer límites mínimos y máximos

Finalmente, es preciso establecer límites para la información que arrojan los KRI. Estos limites permiten disparar las alertas que son el objetivo principal de los indicadores. Estos umbrales también pueden ser fijados por un software que determine con alto grado de confiabilidad cuál es el punto que indica una situación crítica.

¿Qué tipos de indicadores clave de riesgo existen?

A nivel general aparecen diferentes tipos de indicadores. La forma en que expresan la información, el área en la que operan o el valor que representan, son los principales criterios de clasificación:

• Cuantitativos, cuando expresan el resultado en un valor numérico absoluto.
• Cualitativos, cuando indican una condición o una característica: alto, medio, bajo, suficiente, insuficiente, notable, escaso.
• Financieros, que son los que hacen referencia a un valor monetario.
• De Recursos Humanos, cuando se refieren a grupos de personas, empleados que cumplen con características comunes, o áreas en las que se presentan problemas o conductas atribuibles a los empleados.
• Operacionales, cuando se enfocan en la medición de los resultados de procesos, procedimientos o tareas específicas.
• Tecnológicos, que pueden expresarse en medidas como gigas, bites… pero también pueden ser incidentes o eventos que sugieran o indiquen la ocurrencia de delitos, fraudes u otros problemas de corrupción.

¿Cómo desarrollar indicadores clave de riesgo realmente efectivos?

Para que los indicadores realmente sean claves, relevantes y eficaces, es recomendable:

1. Enfocarse en riesgos relevantes

Los riesgos relevantes merecen controles e indicadores igualmente relevantes. Las amenazas menores, probablemente no requieran que se desplieguen todos los procedimientos mencionados.

2. Diseñar e implementar un proceso coherente y metódico

Si cada vez que se evalúan los indicadores, su efectividad o su actualidad, es preciso reinventar un proceso, a veces pasando por largas y desgastantes reuniones de consenso, es probable que la tarea se pueda realizar apenas una vez cada cinco años. El proceso debe establecerse para ser utilizado siempre, de forma coherente, metódica y, de ser posible, automatizada. Por supuesto, esto no implica que se pueda revisar y mejorar de forma periódica.

3. Documentar la tarea

El desarrollo de indicadores clave de riesgo es una de las tareas más constructivas y edificantes en el área de gestión de riesgos. En la gestión de cumplimiento y anticorrupción estas características son aún más notorias y relevantes. Para que este aprendizaje no se pierda, y, por el contrario, se convierta en un valor diferencial para la gestión en el futuro, es importante que todos los eventos se documenten, registren y almacenen. Una plataforma con funcionalidades de gestión documental es necesaria para alcanzar el objetivo.

Software ISO 37001 de ISOTools

La gestión de riesgos en el área de cumplimiento y anticorrupción encuentra un aliado excepcional en el Software ISO 37001 de ISOTools. Es una plataforma basada en la nube con funcionalidades eficaces para el procesamiento de altos volúmenes de datos e información, y control de documentos, desde la creación hasta su archivo definitivo.

Estadísticas, mapas de calor, informes inmediatos, son, entre otros, herramientas de gran valor para la gestión de cumplimiento y anticorrupción proactiva. Conócela aquí.

La entrada Cómo desarrollar indicadores clave de riesgo (KRI) para fortalecer la organización se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Por supuesto, este enfoque de gobierno, riesgo y cumplimiento corporativo produce beneficios. Por ello, hoy en día es en una tendencia dentro del mundo corporativo, de administración de empresas y de gestión de negocios.

Adoptar un enfoque de gobierno, riesgo y cumplimiento en una organización, significa implementar cambios estructurales y trascendentales, procesos y, sobre todo, asumir un enfoque novedoso que forma parte de una nueva cultura.

En el día a día, aplicar una estrategia de gobierno, riesgo y cumplimiento consiste en introducir en la gestión empresarial e institucional un conjunto de buenas prácticas para alcanzar los objetivos de negocio, abordar la incertidumbre y actuar con integridad.

Comprender la recompensa que obtendrá la organización al adoptar este enfoque ayudará a impulsar el proyecto. Por eso, a continuación, explicamos los beneficios que aporta adoptar este enfoque en la administración corporativa.

Gobierno, riesgo y cumplimiento – ¿Qué beneficios aporta a la organización?

El entorno tecnológico, regulatorio y de riesgos es volátil y siempre cambiante. Todos los días tenemos noticias sobre avances tecnológicos, nuevas regulaciones y tendencias en el campo de la administración de las organizaciones.

Gobierno, riesgo y cumplimiento es un enfoque que permite que se tomen decisiones basadas en información de calidad, siempre considerando los riesgos y las obligaciones de cumplimiento.

Esto por supuesto, aporta beneficios, como los siguientes:

1. Mejorar la eficiencia operativa

Un marco GRC lleva a la automatización de procesos comunes, que son monitoreados de forma continua, considerando siempre la exposición al riesgo. El resultado es el incremento de la eficiencia, reducción de esfuerzos duplicados y mejora de los indicadores generales de rendimiento en todas las áreas.

2. Obtener información de mayor calidad

La Alta Dirección, los gerentes y los directores de áreas obtendrán una visión holística del desempeño de la organización en conjunto, lo que permitirá tomar decisiones inteligentes, informadas y con una mayor probabilidad de acierto.

3. Reducir costes

Se reducen los costes de mantenimiento de controles, pruebas, problemas, acciones e informes duplicados en todas las áreas. La reducción de costes aumenta la rentabilidad y se constituye en un argumento para explicar el ROI que representa adoptar el enfoque.

4. Garantizar la transparencia

GRC entrega una imagen completa del desempeño y la gestión en toda la organización, garantizando el acceso y control de la Alta Dirección sobre toda la operación. El resultado es la garantía de que toda la operación se desarrolla bajo las mejores prácticas éticas y de transparencia.

5. Eliminar la duplicación de esfuerzos

Se eliminan procesos, tareas y actividades que no agregan valor a la operación, y se simplifican procedimientos para reducir tiempo y eliminar esfuerzos duplicados. El resultado es un aumento de la eficiencia y de la trazabilidad.

6. Generar estabilidad

La adopción de un enfoque GRC permite que la organización tenga una visión constante y completa de los riesgos a los que está expuesta, permitiendo operar en un entorno seguro, estable y escalable.

7. Facilitar el logro de los objetivos corporativos

Optimizar la gestión de riesgos, asegurar el cumplimiento y adoptar las mejores estrategias de gobernanza, evita el desgaste que ocasiona “apagar pequeños incendios” de forma constante. Esto permite que las personas apropiadas, se ocupen de resolver los problemas sustantivos, asegurando el logro de los objetivos corporativos.

8. Eliminar silos de información

Los silos de información son un gran problema para todas las organizaciones. En estos silos se almacena información inútil e inoperante, que no fluye, no resulta útil para nadie y no produce nada. Las prácticas GRC, con la visión holística que requieren, disminuye la posibilidad de que se creen estos silos de información.

Software ISO 37001 de ISOTools

Adoptar el enfoque de Gobierno, Riesgo y Cumplimiento Corporativo requiere contar con información de calidad y herramientas para automatizar tareas, optimizar el trabajo y eliminar la duplicidad de esfuerzos.

Con el Software ISO 37001 de ISOTools las organizaciones pueden potenciar los beneficios que produce un enfoque de Gobierno, Riesgo y Cumplimiento Corporativo. Esta, que es la mejor solución en el mercado en esta área, está disponible para su organización aquí.

La entrada Principales beneficios de adoptar un enfoque de gobierno, riesgo y cumplimiento corporativo se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Los mercados fronterizos no solo traen inversiones emocionantes, atractivas o exóticas. También son un refugio seguro cuando los mercados locales se tornan lentos y difíciles. Sin embargo, para nadie es un secreto que países como Sri Lanka, Kazajstán, Nigeria, Venezuela o Haití, representan también un alto riesgo de corrupción y soborno que hay que saber gestionar.

Los mercados fronterizos requieren inversión en compliance

Los mercados fronterizos son un tercer nivel después de los mercados desarrollados – EEUU, Unión Europea, Japón… –, y de los mercados emergentes – Brasil, Rusia, China… –. La denominación no se basa en la riqueza o en la etapa de desarrollo de un país exactamente, sino en la dinámica de sus mercados.

Por supuesto, dependiendo de quien haga la distinción, existe una línea borrosa entre un mercado emergente y un mercado fronterizo. Actualmente, según una clasificación de MSCI Inc, el compilador de índices más grande del mundo, existen alrededor de 30 mercados fronterizos, ubicados principalmente en Medio Oriente, Ásia, África y Europa del Este.

Técnicamente, los mercados fronterizos deben cumplir con criterios subjetivos que incluyen “algo de apertura a la propiedad extranjera”, y algo de “facilidad para el movimiento de flujos de capital”. En definitiva, se puede invertir en ellos, pero presentan una capitalización y una liquidez menor que en el caso de los mercados considerados emergentes. Podríamos decir que son como aquellos pero en una escala más pequeña.

Los mercados fronterizos, por tanto, ofrecen oportunidades, pero también suelen responder a prácticas de negocios que representan un riesgo para el cumplimiento normativo como son el soborno y la corrupción. El cumplimiento laxo o inexistente de las normas, puede envolver a una organización en un torbellino de investigaciones, sanciones y vetos. Eso implicaría un alto coste económico y para la reputación. Por eso se requiere aprovechar estos nuevos mercados con seguridad, es decir, a través de la inversión en compliance.

Las organizaciones que incursionan en mercados fronterizos, y han sobrevivido en mercados desarrollados haciendo una baja o ninguna inversión en compliance, requieren un esfuerzo en tiempo, dinero, recursos humanos y tecnología para operar en un ambiente agresivo y culturalmente muy diferente. Además, es bueno hacer las siguientes consideraciones:

Intermediarios y socios estratégicos

Establecer alianzas comerciales con socios estratégicos con experiencia en esos mercados puede ser una buena idea. De hecho, es casi imposible incursionar en mercados fronterizos sin establecer relación con intermediarios locales.

¿Cómo saber cuál es el socio ideal que no generará problemas en la organización? Es aquí donde la debida diligencia desempeña un papel definitivo y requiere una justa dedicación. Para aplicarla del modo adecuado, es probable que deba contratar los servicios de un asesor local en el país, que conozca la cultura y que sepa donde encontrar información confiable.

La dinámica de negocios 

En muchos de estos países, hacer tratos implica ofrecer un soborno, y esto es parte de la cultura de negocios. ¿Cómo contrarrestar los efectos negativos de alguien empeñado en hacer negocios a la vieja usanza? La comunicación y la capacitación son claves en este punto. Pero también puede ayudar un sistema de compensaciones justo y atractivo que premie la transparencia y castigue la corrupción.

Las contrataciones

Es probable que, dentro de los empleados contratados, aparezcan familiares de funcionarios públicos, de los clientes, o de los proveedores. El riesgo es mucho mayor en mercados fronterizos, por lo cual se deben incorporar procesos de investigación y un código de conducta que se enfoque en el tema de los conflictos de interés, la denuncia y la transparencia.

Los mercados fronterizos no dejan de ser atractivos, de hecho pueden representar opciones muy positivas para las organizaciones. Pero sin duda, requieren una alta inversión en compliance para garantizar la seguridad normativa.

Software ISO 19600 de ISOTools

La automatización de los sistemas de compliance forma parte de la inversión necesaria para incursionar en mercados fronterizos. Para ello, ISOTools ha desarrollado una solución tecnológica especializada en la norma ISO 19600, que como ya sabemos, es el estándar internacional para la gestión de compliance: el Software ISO 19600

Se trata de una solución de alto nivel, que optimiza la gestión de riesgos y la debida diligencia de terceros, sobre una plataforma simple y estructurada, eficiente y dinámica. 

Es probable que desee obtener información detallada sobre esta solución tecnológica de ISOTools. Solo tiene que contactar con un consultor aquí.

La entrada Los mercados fronterizos y la inversión en compliance se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

5 preguntas clave sobre la gestión de riesgos de cumplimiento de terceros

Cada vez leemos más historias sobre corrupción que involucran las operaciones extranjeras de una organización. El hilo común en estas historias es la detección de deficiencias en la gestión de riesgos de cumplimiento de terceros. Por esta razón es fundamental que las organizaciones adopten un enfoque estratégico para la selección y evaluación de terceros, que bien puede iniciarse con las siguientes preguntas:

1. ¿El sistema de mi organización está basado en el riesgo?

Los sistemas de gestión de riesgos de cumplimiento de terceros que no están basados en el riesgo son más comunes de lo que imaginamos. Pero los organismos reguladores solicitan este enfoque y existe una razón para ello: no todos los países, ni todos los terceros, ofrecen el mismo nivel de riesgo.

Es importante que los encargados del sistema se cuestionen si los terceros de mayor riesgo obtienen un nivel más alto de debida diligencia, y si los obstáculos que deben superar son más complejos que los que deben atravesar los terceros de menor riesgo. Una respuesta negativa obliga a un replanteamiento del enfoque del sistema.

2. ¿Cumple el sistema con su objetivo de forma consistente?

Muchas sanciones por incumplimiento parten de un incidente en el que la organización olvidó o evitó someter a la debida diligencia a un tercero de alto riesgo. Un sistema con lagunas o vacíos hace que la organización considere alianzas con terceros que evaden o evitan la debida diligencia con las previsibles consecuencias. Por ello, es importante tener un sistema de gestión documental consistente y efectivo.

3. ¿Se ha evaluado el programa de gestión de cumplimiento de terceros recientemente?

Las regulaciones, las condiciones políticas, los acuerdos y las tendencias cambian, sobre todo cuando se opera en otras naciones. Lo que se consideró hace unos años un buen programa de gestión, hoy puede no pasar una prueba muy exigente. Las mejores prácticas sobre debida diligencia están en constante evolución. Ignorar estos cambios pone en riesgo el cumplimiento de la organización, por lo que es preciso estar siempre actualizado.

4. ¿Cuál es la mejor estrategia para monitorear continuamente a los terceros?

El hecho de que un tercero complete con éxito el proceso de diligencia debida no significa que se deba archivar y nunca mirar hacia atrás. Es preciso implementar procedimientos de monitoreo continuo, para que las organizaciones puedan mantenerse informadas en tiempo real sobre cualquier cambio o incidente que involucre a los terceros. Solo así es posible adaptarse a ellos mediante cambios contractuales.

La automatización de la gestión de riesgos de cumplimiento de terceros es una forma de llevar a cabo este seguimiento de manera efectiva.

5. ¿Los cambios tecnológicos han cambiado la forma en que se administran y controlan los riesgos de terceros?

Muchas compañías suelen administrar la gestión de riesgos de cumplimiento de terceros mediante el uso de las recurrentes aplicaciones de documentos de Word y Excel. Sin embargo, a medida que la gestión se hace más sofisticada e integral e involucra personas en diferentes áreas de la organización, la necesidad de un sistema más eficiente y escalable aumenta.

Desde ese punto de vista, ya se puede utilizar una solución tecnológica con funcionalidades específicas para aplicar la debida diligencia a terceros.

Software ISO 19600 de ISOTools

Garantizar que un programa de debida diligencia de terceros cuenta con los elementos esenciales es posible cuando se dispone de las herramientas apropiadas. En este sentido, el Software ISO 19600 de ISOTools es la solución tecnológica específica para el cumplimiento que permite llevar a cabo los procesos de debida diligencia de modo estructurado.

Descubra cómo optimizar la gestión de riesgos de cumplimiento. Uno de nuestros consultores le informará al respecto.

La entrada Gestión de riesgos de cumplimiento de terceros: 5 preguntas clave se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.