En este artículo, exploraremos los pasos clave para llevar a cabo una evaluacion de riesgos de compliance y cómo esta actividad fortalece la integridad y sostenibilidad de las empresas.

Evaluacion de Riesgos

La evaluacion de riesgos de compliance es un proceso estructurado que ayuda a las empresas a identificar los riesgos legales, regulatorios, éticos y reputacionales asociados con sus actividades. Este análisis permite implementar controles y medidas correctivas para minimizar el impacto de estos riesgos en la organización.

Importancia de la evaluacion de riesgos en Compliance

• Prevención de sanciones: Ayuda a cumplir con normativas locales e internacionales, evitando multas y sanciones.
• Protección de la reputación: Reducir riesgos reputacionales es crucial para mantener la confianza de clientes, empleados y socios.
• Optimización de recursos: Permite priorizar los riesgos más críticos, asignando recursos de manera eficiente.
• Promoción de una cultura ética: Fomenta el compromiso de los empleados con las políticas de cumplimiento y las mejores prácticas.

Pasos Clave para una evaluacion de riesgos de Compliance

1. Definir el alcance y los objetivos

El primer paso es establecer claramente el propósito de la evaluacion de riesgos. Esto incluye:

• Identificar las áreas funcionales o departamentos que se evaluarán.
• Definir los tipos de riesgos a analizar (legales, financieros, operativos, reputacionales).
• Establecer los estándares normativos y éticos aplicables, como ISO 31000, la Ley de Prácticas Corruptas en el Extranjero (FCPA), o normativas sectoriales.

Consejo: Involucra a líderes de todas las áreas para garantizar que el alcance sea integral y relevante.

2. Identificación de riesgos

Este paso implica mapear todos los riesgos potenciales que puedan afectar la operación de la empresa. Para ello:

• Revisa normativas aplicables: Identifica qué leyes, regulaciones y estándares impactan directamente tu actividad.
• Consulta a las partes interesadas: Realiza entrevistas o encuestas a empleados, socios comerciales y proveedores para identificar áreas vulnerables.
• Evalúa el historial de incidentes: Analiza eventos previos que hayan puesto en riesgo el cumplimiento.

3. Análisis de riesgos

En esta etapa se evalúa cada riesgo identificado, determinando:

• Probabilidad de ocurrencia: ¿Qué tan probable es que el riesgo se materialice?
• Impacto potencial: ¿Cuál sería la magnitud de las consecuencias en caso de que el riesgo ocurra?
• Nivel de control existente: ¿Qué medidas actuales están en vigor para mitigar el riesgo?

El uso de una matriz de riesgo (probabilidad x impacto) facilita priorizar los riesgos más críticos.

4. Evaluación y priorización

Una vez analizados, se deben clasificar los riesgos en función de su nivel de criticidad:

• Riesgos altos: Requieren atención inmediata y recursos significativos para su mitigación.
• Riesgos moderados: Necesitan seguimiento continuo y mejoras en los controles.
• Riesgos bajos: Se monitorean regularmente, pero no requieren intervención urgente.

5. Diseño e implementación de controles

Para mitigar los riesgos priorizados, es esencial establecer controles internos y políticas claras. Algunos ejemplos incluyen:

• Capacitación: Sensibilizar a los empleados sobre los riesgos y cómo evitarlos.
• Due diligence: Verificar la integridad de proveedores y socios comerciales.
• Políticas internas: Implementar códigos de ética, canales de denuncia y políticas anticorrupción.

6. Monitoreo y revisión continua

La evaluacion de riesgos no es un ejercicio único. Los riesgos y el entorno regulatorio cambian constantemente, por lo que:

• Se deben realizar revisiones periódicas del sistema de compliance.
• Los incidentes y hallazgos deben retroalimentar el proceso de evaluación para mejorar su efectividad.

Realizar una evaluación de riesgos efectiva permite identificar, analizar y mitigar posibles amenazas.
Compartir en X

Herramientas y Tecnologías

La tecnología es un aliado clave para realizar una evaluacion de riesgos precisa y eficiente. Las soluciones de software permiten:

• Automatizar la recopilación y análisis de datos.
• Generar reportes detallados en tiempo real.
• Facilitar el seguimiento de controles implementados.
• Asegurar el cumplimiento normativo mediante auditorías internas digitales.

Beneficios

Reducción de costos

Identificar riesgos de manera proactiva evita pérdidas económicas significativas asociadas con sanciones o demandas legales.

Fortalecimiento del compliance

Una evaluación bien estructurada asegura que la empresa opere dentro de los límites legales y éticos, fomentando una cultura de cumplimiento.

Toma de decisiones informada

Con un mapa claro de los riesgos, los líderes empresariales pueden tomar decisiones estratégicas con mayor confianza.

Mejor reputación corporativa

Cumplir con las regulaciones y promover la ética corporativa mejora la percepción de la empresa entre sus grupos de interés.

Mejores Prácticas para la Evaluacion de Riesgos

Existen diversas prácticas para la evaluacion de riesgos que son altamente efectivas:

• Involucra a toda la organización: La participación activa de todos los departamentos garantiza una visión integral de los riesgos.
• Mantén una comunicación clara: Informar a los empleados sobre los resultados y medidas derivadas de la evaluación fomenta su compromiso.
• Utiliza estándares internacionales: Adoptar marcos reconocidos, como ISO 31000 o COSO, asegura la calidad del proceso de evaluación.
• Integra tecnología: El uso de herramientas avanzadas simplifica y mejora la precisión del proceso.

Software de GRCTools para la evaluacion de riesgos

Para facilitar una evaluacion de riesgos efectiva, el Software de Gestión de Riesgos de GRCTools ofrece una solución integral que ayuda a las organizaciones a:

• Identificar y evaluar riesgos: Automatiza la recopilación de datos y la generación de matrices de riesgo.
• Implementar controles: Centraliza políticas, procedimientos y herramientas de monitoreo.
• Generar reportes en tiempo real: Facilita la toma de decisiones informadas con análisis actualizados.
• Monitorear el cumplimiento: Permite auditar de manera constante las operaciones para garantizar el cumplimiento normativo.

El Software de Gestión de Riesgos de GRCTools es una herramienta imprescindible para organizaciones que buscan fortalecer su programa de compliance.

La entrada Pasos Clave para una Evaluacion de Riesgos de Compliance se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

En este artículo, exploraremos cómo la Gestion de Riesgos puede potenciar un programa anticorrupción y las estrategias clave para implementarla de manera efectiva.

Gestion de Riesgos

La Gestion de Riesgos es el proceso sistemático de identificar, evaluar y mitigar factores que pueden afectar negativamente a una organización. En el contexto del compliance, este enfoque permite anticipar, controlar y reducir riesgos asociados con prácticas corruptas, como el soborno o el fraude.

Elementos esenciales de la gestion de riesgos:

• Identificación de riesgos: Reconocer las áreas vulnerables a actos corruptos.
• Evaluación del impacto: Analizar la magnitud de las consecuencias financieras, legales y reputacionales.
• Mitigación y control: Implementar medidas para reducir la probabilidad de ocurrencia y el impacto de los riesgos.

Importancia de la gestion de riesgos en un Programa Anticorrupción

La corrupción es un riesgo significativo que puede acarrear consecuencias legales, pérdidas económicas y daño irreparable a la reputación. La gestion de riesgos en el ámbito anticorrupción permite:

• Cumplir con regulaciones internacionales: Los marcos normativos globales exigen procesos formales de identificación y mitigación de riesgos.
• Evitar sanciones legales: Actuar proactivamente reduce la probabilidad de multas, demandas y procesos judiciales.
• Fortalecer la cultura ética: La implementación de controles y políticas anticorrupción genera confianza entre empleados, socios y clientes.
• Proteger la reputación: Las empresas con programas sólidos de compliance son percibidas como responsables y confiables en el mercado.

Estrategias Clave para Fortalecer tu Programa Anticorrupción

Identificación de riesgos específicos

El primer paso para integrar la gestion de riesgos en un programa anticorrupción es identificar las áreas donde la organización es más vulnerable. Estos riesgos pueden variar según:

• Industria: Por ejemplo, la construcción y la minería suelen ser más propensas a actos corruptos debido a su relación con contratos públicos.
• Geografía: Operar en países con altos niveles de corrupción, según índices como el Índice de Percepción de la Corrupción (CPI), incrementa el riesgo.
• Relación con terceros: Proveedores, distribuidores o agentes externos pueden convertirse en fuentes de riesgo si no se gestionan adecuadamente.

Evaluación del impacto y probabilidad

Una vez identificados los riesgos, es fundamental:

• Cuantificar su impacto: Analizar el costo potencial de una violación de compliance.
• Determinar la probabilidad de ocurrencia: Esto permite priorizar los riesgos más críticos.

Para facilitar este proceso, se utilizan herramientas como mapas de riesgo o matrices de probabilidad e impacto.

Establecimiento de controles internos

Los controles internos son esenciales para prevenir actos corruptos. Algunas acciones efectivas incluyen:

• Políticas claras: Definir normativas contra el soborno y la corrupción.
• Capacitación: Educar a los empleados sobre prácticas éticas y políticas corporativas.
• Mecanismos de denuncia: Proveer canales seguros y confidenciales para reportar conductas indebidas.

Monitoreo continuo

La gestion de riesgos no es un proceso estático. Es necesario monitorear constantemente el entorno interno y externo para ajustar las estrategias. Esto incluye:

• Revisar periódicamente las políticas anticorrupción.
• Evaluar la efectividad de los controles implementados.
• Adaptarse a cambios normativos o a nuevas amenazas emergentes.

Uso de tecnología en la Gestión de Riesgos

Las herramientas tecnológicas permiten automatizar y optimizar procesos, como la evaluación de riesgos, la implementación de controles y el seguimiento de políticas. Estas plataformas facilitan la centralización de datos y aseguran una respuesta más ágil ante incidentes.

La gestion de riesgos se ha convertido en un pilar fundamental para proteger las organizaciones frente a posibles actos de corrupción.
Compartir en X

Mejores Prácticas para un Programa Anticorrupción Exitoso

Compromiso de la alta dirección

El liderazgo debe estar completamente involucrado en la promoción de una cultura de compliance. Esto incluye respaldar la gestion de riesgos y asignar recursos suficientes para su implementación.

Transparencia en las operaciones

Las empresas deben documentar y registrar todas las transacciones y procesos clave. Esto no solo previene irregularidades, sino que también facilita la auditoría y la rendición de cuentas.

Evaluación de terceros

Los socios comerciales y proveedores representan una de las principales fuentes de riesgo. Es esencial llevar a cabo un due diligence para asegurar que sus prácticas estén alineadas con las políticas de la empresa.

Actualización constante

Las normativas y regulaciones evolucionan constantemente. Las organizaciones deben estar al tanto de estos cambios para mantener sus programas anticorrupción actualizados.

Tecnología como Aliada en la Gestión de Riesgos Anticorrupción

Varios casos de corrupción corporativa han evidenciado la importancia de una sólida Gestion de Riesgos. Por ejemplo, las sanciones impuestas a empresas bajo la FCPA destacan la necesidad de:

• Monitorear constantemente las operaciones internacionales.
• Implementar programas efectivos de compliance.
• Promover una cultura corporativa basada en la ética.

Implementar un programa anticorrupción efectivo puede ser un desafío, especialmente para organizaciones grandes o con operaciones globales. Aquí es donde las soluciones tecnológicas, como los compliance software, marcan la diferencia.

Un compliance software puede:

• Centralizar la información relevante, como políticas, controles y registros de auditorías.
• Automatizar la evaluación de riesgos y generar informes detallados.
• Facilitar la identificación de riesgos asociados con terceros.
• Garantizar el seguimiento continuo del cumplimiento normativo.

Software de GRCTools para la Gestion de Riesgos

El Software de Gestión de Riesgos de GRCTools es una herramienta integral diseñada para ayudar a las empresas a implementar y gestionar programas anticorrupción efectivos. Este software permite:

• Evaluar riesgos en tiempo real: Identificar vulnerabilidades en operaciones, transacciones y relaciones con terceros.
• Automatizar controles internos: Garantizar el cumplimiento de políticas corporativas y normativas internacionales.
• Monitorear el cumplimiento continuo: Facilitar auditorías internas y externas con registros claros y centralizados.
• Simplificar la toma de decisiones: Proveer análisis basados en datos para responder rápidamente a incidentes.

El Software de GRCTools es la solución ideal para fortalecer la Gestion de Riesgos en cualquier organización, asegurando un programa anticorrupción robusto y alineado con los más altos estándares.

La entrada Cómo la Gestion de Riesgos Fortalece tu Programa Anticorrupción se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Al considerar los riesgos de la cadena de suministro, es importante anotar que la mayoría de ellos son externos. Eso implica que no se tiene el control absoluto sobre ellos, pero no significa que no se puedan tratar con efectividad desde el interior de la organización.

De hecho, la gestión de riesgos de la cadena de suministro se integra, o forma parte, de la gestión de riesgos generales de la empresa. Una cadena de suministro segura, vigilada y monitoreada, representa una ventaja competitiva importante para una organización.

Antes de entrar a desglosar los principales riesgos de la cadena de suministro, y la mejor forma para gestionarlos, vale la pena anotar que en este milenio la cadena de suministro es cada vez más digital, y por ello, más proclive a ataques e intromisiones desde la red, lo que convierte a la tecnología en un recurso esencial para el tratamiento de este tipo de amenazas.

¿Qué es la gestión de riesgos de la cadena de suministro?

La gestión de riesgos de la cadena de suministro es el proceso que permite a profesionales especializados en el área, identificar, evaluar, categorizar y tratar circunstancias, condiciones o eventos que puedan, en un momento determinado, interrumpir el suministro de insumos, materias primas u otro tipo de recursos vitales para la producción de un bien o un servicio.

Visto de esta forma, la cadena de suministro puede ser extensa y difícil de rastrear y controlar desde el origen. Pensemos que la interrupción del suministro a un pequeño proveedor que está al inicio de la cadena, probablemente en otro país u otro continente, puede afectar la operación de una gran organización en nuestro continente.

Pero además de los riesgos tradicionales – bloqueos de carreteras, quiebre financiero, robos o asalto a camiones…-, la gestión de riesgos de la cadena de suministro moderna encuentra un verdadero reto en el aumento de ataques cibernéticos.

Organizaciones de todo tipo tienen una mayor dependencia de proveedores y suministros que operan desde la Red. Este tipo de riesgo tiene la capacidad de impedir el suministro y cortar la cadena, pero también de exponer datos de usuarios y clientes, y, además, afectar la reputación de las organizaciones involucradas.

¿Cuáles son los riesgos de la cadena de suministro para el 2024?

La cadena de suministro del siglo XXI es digital, pero también extensa e interconectada. Esto significa que no tiene fronteras geográficas y que no son exclusivas para ninguna industria. Un problema en la industria de la automoción afecta el suministro de alimentos o de hidrocarburos en cualquier lugar del mundo.

Hace pocos meses el mundo vivió la imprevista crisis de los contenedores con efectos devastadores para muchas industrias. Para el 2024, los principales riesgos de la cadena de suministro pueden ser:

• Cambio climático, que genera tormentas, inundaciones, sismos, destrucción o daños en infraestructura, puertos o almacenes y bodegas.
• Dependencia tecnológica, que ya en este año se generó una escasez de chips y circuitos integrados.
• Contexto geopolítico, que se materializan en guerras y conflictos. Muchas empresas en el mundo aún se ven afectadas por la disminución o suspensión de productos provenientes tradicionalmente de Ucrania, que es el mejor ejemplo de riesgo geopolítico.
• Trastornos macroeconómicos, que generan inflación o deflación a grandes niveles. Este tipo de fenómenos, incluida la recesión, tienen la capacidad para acabar con empresas que producen insumos vitales para otras que se encuentran más arriba en la cadena.

¿Cuáles son las mejores prácticas para la gestión de riesgos de la cadena de suministro?

La gestión de riesgos de la cadena de suministro no es muy diferente de la gestión de riesgos generales, o en otras áreas. Identificada la amenaza, es preciso buscar su origen y buscar la forma de eliminarla.

Por supuesto, de no ser posible, lo aconsejable es buscar acciones para minimizar el riesgo o el impacto. Compartirlo o tolerarlo, aprovechando una oportunidad, son también acciones que están en la bitácora de cualquier especialista en riesgos.

Así, algunas de las prácticas que resultan efectivas para cualquier industria, en 2024, son:

1. Contar con un amplio portafolio de proveedores

Contratar el suministro con el mayor número posible de proveedores atomiza el riesgo, sobre todo cuando estos proveedores se encuentran diseminados en diferentes regiones del globo.

La diversidad es la clave. Muchos proveedores aportan un beneficio adicional: es posible establecer una relación fructífera con otros países, generando condiciones para un futuro coloniaje comercial en esas áreas.

2. Diseñar una cadena con proveedores cercanos a los puntos de distribución

Considerando los riesgos de la cadena de suministro mencionados, es importante que los proveedores estén ubicados de forma estratégica, muy cerca de puntos de distribución masiva, como puertos o aeropuertos.

Eliminar, en la medida posible, carreteras o largos trayectos por ríos u otros canales de comunicación, disminuye buena parte de las amenazas mencionadas.

3. Aumentar el nivel de las existencias de inventarios

Mantener altas existencias de inventarios genera tranquilidad para la organización. Es, además, una forma efectiva de mejorar el precio de compra y reducir costes, particularmente para las organizaciones que cuentan con almacenamiento propio de grandes proporciones.

4. Aplicar la debida diligencia y la gestión de riesgos a los proveedores

Los fabricantes o las grandes industrias dependen de pequeños proveedores en cualquier lugar del mundo. Entonces, ¿por qué no preocuparse por ellos y por sus problemas? La debida diligencia y la gestión de riesgos de proveedores son dos herramientas que permiten establecer, con un alto grado de seguridad, que el proveedor es confiable.

5. Vigilar a los proveedores

Lo que hoy es válido y bueno, mañana puede no serlo. Por eso es importante mantener una vigilancia constante sobre todos los puntos de la cadena de suministro. Esto implica actualizar de forma periódica la información, enviar cuestionarios, mantener entrevistas, revisar indicadores de rendimiento y producción, enterarse de las noticias locales…

6. Esperar lo mejor, pero prepararse para lo peor

¿Qué pasaría si…? Es el inicio de un modelo predictivo de eventos catastróficos o disruptivos. Son ideales para desarrollar planes de respuesta inmediata y efectiva, que garanticen un grado medio de operabilidad. Es lo que se conoce como gestión de continuidad del negocio, que se puede aplicar con mucho éxito a la gestión de riesgos de la cadena de suministro.

7. Incorporar tecnología a la gestión

Algunas cadenas de suministro son muy extensas. Sus ramificaciones son de tal envergadura, que se extienden por todo el planeta, llegando a pequeñas poblaciones en numerosos y pequeños países, en los cinco continentes.

La gestión eficaz y efectiva de riesgos no puede prescindir de la tecnología. El uso de una plataforma diseñada para gestionar este tipo de amenazas, ofrece un panorama y una visión completa, actualizada, en todo momento, lo que mejora las posibilidades de reacción ante un evento inesperado.

Software ISO 37301 de ISOTools

La digitalización y la automatización de la gestión de riesgos de la cadena de suministro, es posible de forma muy fácil, utilizando una herramienta como el Software ISO 37301 de ISOTools.

Esta plataforma ha sido creada para asumir los retos que propone el siglo XXI. Se trata de una herramienta basada en la nube, que incorpora funcionalidades avanzadas para el análisis y evaluación de la gestión. Obtenla aquí.

La entrada Riesgos de la cadena de suministro: buenas prácticas de gestión corporativa se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Habitualmente, la Gestión de Riesgos Empresariales funciona como un departamento agregado, pero independiente, de la Gestión de Riesgos General. Por ello, utiliza algunas estrategias comunes y adopta las mejores prácticas para el diseño e implementación de controles internos.

La Gestión de Riesgos Empresariales, históricamente, aparece al final de la década de los años 20, del siglo pasado. La Gran Depresión de 1929 condujo a muchos empresarios a diseñar estrategias para enfrentar amenazas de este tipo.

Así, estas estrategias han evolucionado en un siglo convulso, marcado por la aparición de tecnologías innovadoras y fenómenos de globalización que definen la Gestión de Riesgos Empresariales moderna.

La Gestión de Riesgos Empresariales, en el siglo XXI, considera riesgos operacionales, de TI, de proyectos específicos e incluso, los que amenacen a socios comerciales en la cadena de suministro.

¿Cuáles son los componentes esenciales en la Gestión de Riesgos Empresariales?

Las organizaciones adoptan diferentes marcos o modelos de Gestión de Riesgos Empresariales. Las empresas que optan por un enfoque GRC, necesitan cumplir con requisitos y exigencias regulatorias adicionales, especialmente en lo relacionado con informes sobre Gestión de Riesgos.

Aunque existen diferentes marcos de operación, los elementos esenciales en la Gestión de Riesgos Empresariales son:

1. Contexto interno de la organización

El contexto interno de la organización lo conforman la cultura, la gobernanza y los valores. Son importantes para la Gestión de Riesgos Empresariales porque inciden de forma directa en la creación de políticas, el diseño de procedimientos y el establecimiento de códigos de comportamiento y conducta.

Políticas, procedimientos y códigos incluyen las normas y las directrices que moldean el comportamiento de los empleados. Así, el liderazgo y el tono de la Alta Dirección contribuye al objetivo de generar una cultura sólida de Gestión de Riesgos.

2. Planificación estratégica

La Gestión de Riesgos Empresariales necesita definir objetivos. Y para alcanzarlos, necesita elaborar planes estratégicos. El enfoque de la Gestión es de arriba hacia abajo. Es, en consecuencia, la Alta Dirección el órgano encargado de establecer el apetito de riesgo de la organización, definir objetivos generales y orientar la estrategia que será desarrollada por los profesionales especializados en el área.

El nivel de detalle con que intervenga la Alta Dirección dependerá del tamaño, la complejidad y el grado de regulación al que está sometida la organización. En pequeñas empresas es común que la Alta Dirección asuma funciones de Gestión de Riesgos de forma integral, sin delegar a equipos especializados.

3. Ciclo de Gestión de Riesgos

Retomando una idea expresada en la introducción sobre “la Gestión de Riesgos Empresariales utiliza herramientas, estrategias y modelos que son comunes a la Gestión en General”, el ciclo de Gestión de Riesgos es uno de esos elementos comunes:

• Identificación de riesgos, haciendo uso de modelos como la lluvia de ideas, los informes sobre incidentes, las experiencias de industrias del sector o el análisis de indicadores e informes financieros y contables.
• Evaluación de riesgos, que permite categorizar los riesgos y elaborar una lista priorizada.
• Cuantificación de los factores relevantes, que son el impacto y la probabilidad. Es común en esta etapa el uso de una Matriz de Evaluación del Riesgo.
• Categorizar los riesgos, ubicándolos en cada uno de los tipos de Riesgos Empresariales. Algunos de ellos son:
  • Estratégicos.
  • Financieros.
  • Operacionales.
  • De Calidad.
  • De Cumplimiento.
  • De Seguridad de la Información.
  • Reputacional.
  • Externos.
• Acciones para tratar los riesgos, que conformarán la Estrategia de Gestión considerando en orden de relevancia:
  • Eliminar.
  • Mitigar.
  • Transferir.
  • Tolerar.
• Supervisar y controlar el resultado de las acciones implementadas, verificar su efectividad y, de acuerdo con el comportamiento, reiniciar el ciclo.

4. Mejora continua

Con base en la supervisión y control de los riesgos detectados, la organización adopta un modelo de Gestión de Riesgos cíclico, que busca la mejora continua. La mejora continua requiere que se actualice de forma periódica la lista de riesgos, el perfil y el apetito de riesgo. La auditoría del Sistema, basada en información confiable y oportuna entregada por una plataforma que automatice las herramientas GRC, es un elemento diferencial importante para la mejora continua y sostenida.

5. Informes y comunicación

La capacidad para producir informes transparentes, relevantes y comunicarlos de forma asertiva y acertada, es el último elemento esencial de la gestión de riesgos corporativa. La información y los informes deben fluir con facilidad hacia las partes interesadas, iniciando con la Alta Dirección.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es una solución informática eficaz, diseñada para apoyar la Gestión de Riesgos de Cumplimiento, Operacionales, Financiero y de orden Empresarial.

Esta herramienta basada en la nube permite diseñar flujos de trabajo, supervisar tareas asignadas, automatizar funciones, informar sobre retrasos o incumplimiento, generar mapas de riesgos, y, entre otras muchas funcionalidades, obtener información total útil para gestionar riesgos y para tomar las mejores decisiones. Infórmate aquí.

La entrada Gestión de riesgos empresariales: los 5 componentes esenciales para una gestión efectiva se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Los controles internos están diseñados para proporcionar una seguridad razonable sobre el logro de los objetivos de una empresa en tres áreas clave: la confiabilidad de los informes financieros, la eficacia y eficiencia de las operaciones y el cumplimiento de las leyes aplicables. y regulaciones. Existe una deficiencia en el control interno cuando un control no permite a la gerencia o a los empleados prevenir, detectar y corregir errores de manera oportuna.

No identificar o corregir las deficiencias de control puede ser desastroso, dañar la integridad de los informes financieros, erosionar la confianza del público y de los inversores y desestabilizar a la organización. En este artículo, explicamos cómo evaluar controles internos, brindando 10 consejos sobre cómo evaluar controles internos de forma adecuada.

¿Cómo evaluar controles internos y detectar fallos en ellos?

Como respuesta a los incidentes e infracciones que han afectado a empresas de grandes dimensiones, los gobiernos han promulgado regulaciones severas que imponen requisitos estrictos especialmente en las áreas financieras y contables.

Estos requisitos tienen algo en común: proporcionar informes sobre controles internos por parte de los auditores. Por supuesto, las organizaciones necesitan construir una estructura de procesos adecuada para evaluar controles internos que puedan ser certificados y avalados por cualquier auditor o compañía auditora.

Los controles internos son los procedimientos o protocolos que la organización diseña e implementa para asegurar que se cumplan las normas y se sigan las mejores prácticas contables, financieras y comerciales, generalmente aceptadas.

Para evaluar controles internos es preciso comprender que estos pueden ser físicos, electrónicos, financieros o híbridos. Los fallos en los controles, por otra parte, pueden estar relacionadas con el diseño inicial, fallos de capacitación o ausencia de aplicación del control. También es posible que se detecte que sencillamente el control falta. Es preciso diseñarlo, implementarlo, capacitar a las personas y verificar su efectividad.

¿Cómo se evalúan las deficiencias de los controles internos?

La globalización y la Transformación Digital agregan complejidad a los auditores encargados de evaluar controles internos. El desafío puede enfrentarse con éxito siguiendo estas recomendaciones.

1. Identificar y evaluar el contexto que rodea al control

Tiene sentido pensar que para evaluar algo, es importante saber dónde opera, en qué condiciones y bajo qué reglas. Esto es identificar un contexto, un contorno, un entorno en el que funciona el control. Algunas condiciones para tener en cuenta en este punto son la cultura ética existente, la capacidad tecnológica y la capacitación o competencia de los empleados.

2. Evaluar los riesgos

El control está ahí porque fue diseñado para contener una amenaza. Los riesgos mutan, evolucionan, se transforman, aparecen y desaparecen. Algunos riesgos son específicos, otros generales y comunes a toda la industria. Todos estos aspectos deben ser calificados al evaluar controles internos. Un control puede existir, estar bien diseñado, pero ser inoperante tan solo porque el riesgo para el que fue implementado desapareció.

3. Evaluar actividades paralelas de control

Los controles trabajan de la mano, o de forma paralela, con otras acciones asistenciales que colaboran para que el control sea efectivo. La evaluación de controles necesita identificar esas actividades, verificar su procedencia, su eficacia, su funcionamiento y su utilidad.

4. Verificar el apoyo tecnológico y de comunicaciones

La operación del control necesita herramientas tecnológicas y vías de comunicación eficientes para alcanzar el objetivo. Los controles electrónicos por su entorno, tienen una mayor dependencia de la tecnología para operar, que los físicos. Los últimos, por otra parte, necesitan en mayor proporción de una adecuada comunicación. Dos factores sin duda esenciales en la evaluación.

5. Comprobar los procesos de seguimiento y supervisión

Evaluar controles internos es una última etapa de verificación. Antes existen procesos intermedios de seguimiento y supervisión que ayudan a encontrar problemas antes de la llegada del auditor. Cuando estos procesos o procedimientos no se aplican, no existen o son defectuosos, el trabajo final del auditor será mucho más arduo y complejo.

10 pasos para evaluar controles internos y detectar deficiencias

Seguir las recomendaciones iniciales para evaluar controles internos allanará el camino del auditor o área responsable. Los 10 pasos para desarrollar la tarea son:

1. Agrupar los controles que se evalúan

Algunos criterios para indexar los controles y facilitar así la tarea son: área en la que opera el control, carácter (físico o electrónico), importancia, departamento a cargo…

2. Priorizar los controles

Con una lista elaborada con base en el primer paso, el siguiente paso es priorizar de acuerdo con el impacto negativo del riesgo sobre el que opera el control, los incidentes o infracciones reportados o la evidencia recopilada por los auditores en anteriores auditorías.

3. Hacer seguimiento a las recomendaciones de auditoría

El objetivo de una auditoría, más allá de identificar problemas y señalarlos, es indicar las soluciones, recomendarlas y, por supuesto, formular las acciones necesarias. La tarea del auditor puede ser mucho más relevante en la etapa posterior, verificando la implementación de las acciones señaladas y su eficacia.

4. Diferenciar los fallos humanos de las deficiencias de los controles

En todas las auditorías es usual encontrar problemas que, al investigar su causa raíz, evidencian un error humano, un fallo de comunicación acertada del proceso o deficiencias de capacitación, pero no del control. La tarea aquí consiste en identificar esos eventos.

5. Identificar el origen de la deficiencia

El fallo de un control puede ser estructural, relacionada con el diseño, u operacional, vinculada a la ejecución incorrecta. La errada ejecución, no vinculada a las causas descritas en el ítem anterior, pueden originarse en falta de herramientas adecuadas, personal no competente, negligencia o circunstancias coyunturales, únicas, presentadas de forma ocasional.

6. Clasificar el impacto negativo de las deficiencias

Al evaluar controles internos, en este paso, ya existe una lista de deficiencias, que pueden ser definidas sin lugar a duda como problemas de los controles. No todas ellas tienen el mismo impacto. No todas son tan graves. Un indicador confiable para priorizar las deficiencias es el valor del daño financiero que ocasionaron o pueden ocasionar.

7. Calificar la evidencia recopilada

Cuando parece que el trabajo concluye, aún es posible agregar un nuevo elemento de confiabilidad: revisar, evaluar y calificar la confiabilidad de la evidencia, los informes, los documentos y las entrevistas, recopiladas para realizar la auditoría.

8. Evaluar las infracciones de cumplimiento ocasionadas

En este punto, la tarea del auditor toma un rumbo alterno, pero de gran importancia. Al margen del daño financiero o del riesgo, aun no inmediato, identificado al evaluar controles internos, hay unas consecuencias sobre la capacidad de cumplimiento, en muchas áreas, de la organización. Estas deben ser identificadas y señaladas y priorizadas.

9. Proponer procedimientos de auditoría alternativos para controlar los riesgos

Evaluar controles internos es una tarea que se desarrolla de forma periódica. El dinamismo de los riesgos así lo exige. El auditor puede proponer procedimientos de auditoría alternos, adicionales, para atender con eficiencia y oportunidad los eventos que pueden presentarse entre una evaluación y otra. El objetivo es reducir al mínimo el nivel de exposición de riesgo de la organización.

10. Recomendar la implementación de una plataforma tecnológica

Los controles internos son muy importantes en la Gestión de Riesgos, en todos los niveles. Las organizaciones que invierten en tecnología tendrán mayores oportunidades de tener éxito en este propósito. La efectividad de un control suele depender del apoyo tecnológico o de suministro de información confiable y oportuno que encuentre.

Software ISO 37001 de ISOTools

El Software ISO 37001 de ISOTools se presenta como la herramienta esencial para establecer y evaluar eficazmente los controles internos corporativos. Al ofrecer una estructura organizativa sólida y directrices claras, facilita la creación de políticas anti-soborno robustas y la implementación de prácticas éticas. Este software permite una evaluación exhaustiva de los procesos internos, asegurando la transparencia y reduciendo el riesgo de actividades corruptas. Al automatizar el monitoreo y seguimiento, optimiza la gestión del cumplimiento, brindando a las empresas la confianza necesaria para operar con integridad y en cumplimiento con las normativas anti-soborno. Solicita información detallada aquí.

La entrada 10 pasos para evaluar controles internos y detectar deficiencias se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Pero también pueden predecir amenazas emergentes internas o de terceros y preparar a la organización para el futuro. Los indicadores clave de riesgo de permiten actuar en tiempo real y gestionar riesgos incipientes antes de que alcancen su máximo poder lesivo.

Sin embargo, es importante elegir y utilizar los indicadores clave de riesgo adecuados. ¿Cuáles son y cómo desarrollarlos?

¿Qué son los indicadores clave de riesgo?

Un indicador es una cifra, un dato o una condición que, como su nombre lo sugiere, indica algo. Los indicadores hacen ver al analista o al evaluador que algo está sucediendo o puede suceder en un futuro próximo.

Es una forma de monitorear la actividad y establecer si los controles han sido efectivos o si su efectividad está próxima a caducar. Los indicadores emiten alertas tempranas que facilitan actuar sobre riesgos o amenazas que sucederán muy pronto, o están actuando en el momento.

Un indicador clave de riesgo, por ejemplo, puede ser el número de comunicaciones reportadas en una línea dedicada o canal de denuncias. Los indicadores cumplen una función esencial en la gestión de compliance y anticorrupción. Entre otros, permite lograr objetivos como:

• Identificar nuevos riesgos o la variación en el comportamiento de uno ya evaluado (probabilidad o impacto).
• Establecer el impacto real de un riesgo en términos financieros o reputacionales.
• Elaborar comparativos de cifras periódicas, que permitan conformar una tendencia.
• Obtener un panorama real e inmediato sobre la gestión anticorrupción.
• Verificar la eficacia de los controles implementados.
• Fijar nuevos objetivos para la gestión.

¿Cómo establecer indicadores clave de riesgo adecuados?

Los indicadores de riesgo deben ser adecuados a la gestión, al nivel de exposición de riesgo de la organización, a los antecedentes históricos, al grado de regulación y control, entre otros factores para considerar.

Para establecer indicadores clave de riesgo es preciso seguir un proceso que inicia por:

1. Reunir el equipo de gestión de riesgos

Al igual que otras tareas en el área de gestión de riesgos, la definición de los indicadores clave de riesgo es una tarea de equipo. Es importante que todos aporten y que se conforme un marco de operación en el que todos actúen bajo las mismas directrices tras un objetivo común.

2. Dividir la tarea por áreas o por unidades de negocio

Identificar problemas de cumplimiento y corrupción puede requerir una dinámica diferente en el área de Recursos Humanos y otra en Adquisiciones o en Servicios Generales. Los KRI que resultan interesantes o efectivos en un punto, pueden ser irrelevantes o inocuos en otro.

3. Revisar el comportamiento de los KRI actuales

Cada uno de los grupos de trabajo establecidos revisa los indicadores de uso común en el momento, su comportamiento y su aporte a la gestión.

4. Analizar la evaluación del riesgo asociado al KRI

Los indicadores clave de riesgo, incumplimiento, fraude y soborno, son definidos como tales por el aporte que entregan a la gestión. Si se invierte tiempo y recursos en obtener una métrica es porque el resultado final lo amerita. Cada métrica se toma para descubrir si un riesgo está ocurriendo, se mantiene o deja de ocurrir. Un indicador asociado a un riesgo que cada día tiene mayor incidencia y mayor impacto, es un indicador no adecuado.

5. Identificar procesos o cambios de procesos

Los indicadores de riesgo vinculados a un proceso pierden actualidad si el proceso desaparece o sufre una modificación estructural sustancial. Los cambios inadvertidos en procesos obligan a cambiar controles y, por supuesto, indicadores.

6. Priorizar los riesgos para establecer controles

El trabajo de definición y desarrollo de indicadores clave de riesgo, como cualquier actividad en gestión de riesgos, deben enfocarse de manera prioritaria en las amenazas que mayor impacto negativo representen, o mayor probabilidad de ocurrencia.

7. Analizar y procesar los datos

El análisis de la información recopilada debe realizarse de manera metódica, sistemática y automatizada. Los KRI necesitan ser medibles, comparables y comprobables. Para ello, especialmente cuando se trata con grandes volúmenes de datos, es preciso contar con una plataforma diseñada para esta función, y mejor si es creada para la gestión anticorrupción.

8. Establecer límites mínimos y máximos

Finalmente, es preciso establecer límites para la información que arrojan los KRI. Estos limites permiten disparar las alertas que son el objetivo principal de los indicadores. Estos umbrales también pueden ser fijados por un software que determine con alto grado de confiabilidad cuál es el punto que indica una situación crítica.

¿Qué tipos de indicadores clave de riesgo existen?

A nivel general aparecen diferentes tipos de indicadores. La forma en que expresan la información, el área en la que operan o el valor que representan, son los principales criterios de clasificación:

• Cuantitativos, cuando expresan el resultado en un valor numérico absoluto.
• Cualitativos, cuando indican una condición o una característica: alto, medio, bajo, suficiente, insuficiente, notable, escaso.
• Financieros, que son los que hacen referencia a un valor monetario.
• De Recursos Humanos, cuando se refieren a grupos de personas, empleados que cumplen con características comunes, o áreas en las que se presentan problemas o conductas atribuibles a los empleados.
• Operacionales, cuando se enfocan en la medición de los resultados de procesos, procedimientos o tareas específicas.
• Tecnológicos, que pueden expresarse en medidas como gigas, bites… pero también pueden ser incidentes o eventos que sugieran o indiquen la ocurrencia de delitos, fraudes u otros problemas de corrupción.

¿Cómo desarrollar indicadores clave de riesgo realmente efectivos?

Para que los indicadores realmente sean claves, relevantes y eficaces, es recomendable:

1. Enfocarse en riesgos relevantes

Los riesgos relevantes merecen controles e indicadores igualmente relevantes. Las amenazas menores, probablemente no requieran que se desplieguen todos los procedimientos mencionados.

2. Diseñar e implementar un proceso coherente y metódico

Si cada vez que se evalúan los indicadores, su efectividad o su actualidad, es preciso reinventar un proceso, a veces pasando por largas y desgastantes reuniones de consenso, es probable que la tarea se pueda realizar apenas una vez cada cinco años. El proceso debe establecerse para ser utilizado siempre, de forma coherente, metódica y, de ser posible, automatizada. Por supuesto, esto no implica que se pueda revisar y mejorar de forma periódica.

3. Documentar la tarea

El desarrollo de indicadores clave de riesgo es una de las tareas más constructivas y edificantes en el área de gestión de riesgos. En la gestión de cumplimiento y anticorrupción estas características son aún más notorias y relevantes. Para que este aprendizaje no se pierda, y, por el contrario, se convierta en un valor diferencial para la gestión en el futuro, es importante que todos los eventos se documenten, registren y almacenen. Una plataforma con funcionalidades de gestión documental es necesaria para alcanzar el objetivo.

Software ISO 37001 de ISOTools

La gestión de riesgos en el área de cumplimiento y anticorrupción encuentra un aliado excepcional en el Software ISO 37001 de ISOTools. Es una plataforma basada en la nube con funcionalidades eficaces para el procesamiento de altos volúmenes de datos e información, y control de documentos, desde la creación hasta su archivo definitivo.

Estadísticas, mapas de calor, informes inmediatos, son, entre otros, herramientas de gran valor para la gestión de cumplimiento y anticorrupción proactiva. Conócela aquí.

La entrada Cómo desarrollar indicadores clave de riesgo (KRI) para fortalecer la organización se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Por supuesto, todo inicia estableciendo procesos sólidos de gestión de riesgos. Pero esa es apenas una primera etapa. En algún momento las organizaciones necesitan un software de gestión de riesgos.

¿Qué beneficios obtiene la organización con un software de gestión de riesgos?

El primer beneficio evidente es la centralización de la gestión en una única plataforma. Esto permite racionalizar recursos, garantizar la integridad y disponibilidad de la información y obtener un panorama general siempre actual. Pero las organizaciones que implementa un software de gestión de riesgos, además, obtienen estos beneficios:

1. Se optimiza el proceso de gestión de riesgos

La automatización elimina el error humano y hace que muchas tareas se realicen de forma sistemática. Así, nada se olvida, las evaluaciones se producen de forma automática y se obtienen evaluaciones inmediatas, en el momento en que se consideren necesarias.

2. Se toman mejores decisiones

La información oportuna, confiable y accesible es la base de la toma de una decisión informada. El software compila la información en una ubicación única, entregando así informes que agrupan diferentes fuentes desde una visión holística de la gestión de riesgos, facilitando una mejor toma de decisiones.

3. Se garantiza el cumplimiento

El software de gestión de riesgos ayuda a la organización a monitorizar el acontecer regulatorio y normativo, optimizando los flujos de trabajo y los procesos de cumplimiento.

4. Se gestionan los riesgos de forma proactiva

La gestión proactiva es un objetivo para muchas organizaciones que suele resultar difícil de cumplir porque la información no siempre se entrega con la debida anticipación. Con un software de gestión de riesgos, las organizaciones pueden identificar y evaluar riesgos de inmediato, atendiendo eventos que están ocurriendo en el mismo momento en el que se actúa para mitigarlos o eliminarlos.

¿Cuáles son las funcionalidades de un software de gestión de riesgos?

El software de gestión de riesgos ayuda a las organizaciones a gestionar sus amenazas de manera proactiva, tomar las mejores decisiones, asegurar el cumplimiento, optimizar tiempo y recursos a través de la automatización, eliminar el error humano y estar al día con el acontecer de la gestión en todo momento. Pero, ¿cómo lo hace en la práctica?:

1. Permite controlar el ciclo de vida de los riesgos inventariados

Los riesgos tienen un ciclo de vida. Durante este ciclo, los riesgos están bajo el control o la responsabilidad de diferentes personas. El software, además de permitir el registro de un inventario completo de riesgos, informa en todo momento sobre el estado de la amenaza, quién es el responsable en el momento, qué acciones se han tomado y cuáles se prevén, y todo ello con la debida actualidad y desde una ubicación centralizada.

2. Mantiene un registro histórico y estadístico de la gestión

Registrar incidentes o eventos, además de ser un requisito en estándares de cumplimiento, de seguridad de los trabajadores o de seguridad de la información, es una forma de conservar y aprovechar el conocimiento valioso que se acumula con el tiempo, como resultado de la gestión o como fruto de algún tipo de formación.

Es también una forma de garantizar una gestión proactiva, aunque los responsables cambien. Finalmente, el comportamiento histórico resulta muy útil en la medición de la mejora de la gestión y para el trabajo de auditores u otro tipo de evaluadores.

3. Mantiene la trazabilidad

La gestión de riesgos demanda acciones diarias, evaluaciones, asignación de responsabilidades, creación de documentos, modificación o actualización de otros, y es necesario que de todo ello se conserve la trazabilidad que facilite el seguimiento y, en caso de ser necesario, identificar en qué punto se cometió un error.

4. Gestión inmediata de riesgos cotidianos

Los riesgos corporativos o los estratégicos se tratan en un nivel alto de la organización. Pero los pequeños riesgos, los que surgen de un momento a otro en la cotidianidad de la operación, también deben ser atendidos y no siempre es posible si no se automatiza la gestión.

5. Controla todos los procesos

El software evita que se presenten brechas en la gestión, que se pase por alto algún proceso o que se quede un área o un proyecto sin controlar. La automatización agiliza la identificación de riesgos en todos los procesos, los proyectos, los departamentos y los niveles de la organización.

6. Facilita la gestión

Los procesos de generación de informes, análisis y evaluación, se pueden llevar a cabo con gran facilidad, reduciendo tiempo y costes, pero también entregando información mucho más rápido.

Software ISO 37301 de ISOTools

Automatizar la gestión de riesgos de cumplimiento es, además de los beneficios y funcionalidades anotados, la función principal del Software ISO 37301 de ISOTools. La función de cumplimiento basada en la norma ISO 37301 necesita asumir una gestión de riesgos integral, total y holística, para lo cual, esta herramienta resulta esencial. Aprende un poco más de esta herramienta tecnológica aquí.

La entrada Software de gestión de riesgos: beneficios que impulsan el éxito corporativo se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

La globalización ha diversificado el tipo, el número y las formas de relacionarse con los terceros. Las organizaciones tienen proveedores en cualquier lugar del mundo. Se trata de empresas que están conformadas por una o por miles de personas.

Algunas de ellas son digitales y otras operan de forma tradicional. Las ubicaciones no excluyen ningún continente. Tal diversidad genera riesgos de cumplimiento, de corrupción, de capacidad de suministro…

El objetivo de la gestión de riesgos de proveedores es construir un marco de operación que permita seguir aprovechando la oportunidad que representa poder adquirir bienes y servicios en cualquier punto del mundo, con seguridad y eficacia.

¿Qué es la gestión de riesgos de proveedores?

La gestión de riesgos de proveedores congrega las tareas, actividades, estrategias y procedimientos necesarios para identificar los riesgos que entraña para una organización la relación con un proveedor.

Con base en esa identificación, la organización tiene la oportunidad de diseñar e implementar acciones para tratar esas amenazas. Las opciones de tratamiento son las mismas que están disponibles en la gestión de riesgos en otras áreas: mitigar, eliminar, compartir o admitir.

La debida diligencia es el proceso que mayor eficacia representa para la gestión de riesgos de proveedores. La debida diligencia, que en síntesis es una investigación sobre el proveedor, seguida de una evaluación de la información recopilada, pretende establecer si el tercero es confiable, no lo es, o es preciso aplicar algunos controles para poder trabajar con él.

La debida diligencia disminuye el riesgo que implica la relación con un proveedor. Pero no es la única herramienta de la que dispone la gestión de riesgos de proveedores. Examinemos algunos de esos riesgos y la forma en que se pueden gestionar.

¿Cuáles son los riesgos de proveedores?

Hasta la mitad del siglo XX la relación con proveedores no resultaba tan compleja. Pocas empresas tenían proveedores en el exterior, y estos eran fácilmente identificables y, por ello, confiables.

La globalización y la proliferación de ofertas de bienes y servicios en Internet, crean un espectro infinito de ofertas comerciales. Un número infinito de posibilidades genera riesgos en igual proporción. Riesgos que se pueden agrupar en seis categorías:

1. Seguridad de la información

La relación con un proveedor implica compartir tecnologías e información confidencial, como secretos industriales, fórmulas, procesos… Los riesgos de seguridad de la información abordan el área digital, pero también el conocimiento y la información que se transmite de forma oral o escrita.

La protección de datos y el acceso a información privilegiada son los temas más importantes para considerar. Se trata de un riesgo que tiene incidencia en el cumplimiento, en la estrategia de negocios y en la reputación de la organización.

2. Repercusiones en la reputación

Los proveedores tienen una capacidad real para impactar la reputación y la imagen de una organización. La imagen y reputación de organizaciones o personas que cometen delitos, por ejemplo, se pueden transmitir a la organización. Y también existe la probabilidad de que el mismo proveedor recurra a prácticas poco éticas o ilegales en las transacciones con la organización.

3. Riesgo financiero

Los problemas financieros de un proveedor pueden impactar a sus clientes. Los escenarios más frecuentes son: el proveedor traslada el problema a su cliente incrementando los precios, o incurre en suspensión del suministro ante la incapacidad para operar que genera la falta de flujo de efectivo.

4. Riesgo operativo

La gestión de riesgos de proveedores debe ocuparse de los problemas logísticos y estructurales que, en un momento determinado, pueden impedir al proveedor entregar los productos acordados o hacerlo de acuerdo con las especificaciones contratadas. Es lo que se conoce como riesgo operativo.

5. Riesgo estratégico

El riesgo estratégico es el que se deriva de la toma de una decisión, que no está alineada con los objetivos de negocio, generando problemas e impactando la capacidad para operar y cumplir.

Un proveedor que no gestiona de forma eficaz sus riesgos estratégicos, puede incumplir las obligaciones contraídas, perder licencias para operar o incurrir en altas multas y sanciones.

6. Riesgo de cumplimiento

La gestión de riesgos de proveedores se basa en la transmisión de los efectos de las amenazas a lo largo de la cadena de suministro. Es el caso del riesgo de cumplimiento que impacta a la organización contratante de dos formas: incumpliendo las obligaciones con sus clientes, como efecto del incumplimiento de su proveedor, o vulnerando normas regulatorias comunes como el RGPD, normas ambientales, de Seguridad de la Información o normas anticorrupción.

¿Cómo crear un marco de gestión de riesgos de proveedores eficaz?

La gestión de riesgos de proveedores puede ser tan compleja como el número y la diversidad de proveedores. La debida diligencia es el paso previo a cualquier tipo de evaluación. Es con base en ella que se determina qué tipos de riesgos existen y cuáles tienen mayor relevancia para cada tercero.

Después, el camino a seguir es:

1. Evaluar y calificar los riesgos

Con los datos obtenidos es posible evaluar cada proveedor y producir una lista de terceros categorizada de acuerdo con el potencial riesgo que cada uno de ellos ofrece.

Es una evaluación que se debe realizar de forma periódica, con base en una metodología estandarizada para todos y sistemas de puntuación igualmente populares.

2. Mantener un equipo de gestión de riesgos de proveedores

Los riesgos relacionados con la interacción con proveedores, o con otros terceros, interesan a los encargados de la gestión de cumplimiento, en primera instancia, pero también a los encargados de Seguridad de la Información, Calidad o finanzas, entre otras áreas.

Es importante que exista un equipo de trabajo interdisciplinario dedicado a examinar las amenazas que implican los proveedores, desde diferentes enfoques.

3. Realizar evaluaciones por líneas de productos

Este tipo de evaluaciones permite establecer qué productos tienen una mayor exposición al riesgo de proveedores. Identificar líneas de productos con mayor riesgo, permite enfocar los esfuerzos y optimizar los recursos.

4. Diseñar estrategias de gestión

Los riesgos de proveedores se gestionan de acuerdo con la metodología generalmente aceptada en cualquier otra área. Es preciso establecer el impacto o gravedad de la amenaza, así como la probabilidad de ocurrencia.

Una matriz de riesgos permitirá priorizar amenazas y determinar cuáles se pueden eliminar. Las demás, de acuerdo con la evaluación técnica, podrán ser mitigadas, compartidas o admitidas, de acuerdo con el apetito de riesgo de la organización o la oportunidad que puedan representar.

5. Automatizar la gestión

Crear un marco de gestión de riesgos de proveedores seguro y eficaz, es una tarea que consume una alta cantidad de información y datos. Automatizar la recopilación y gestión de datos permitirá realizar evaluaciones constantes, aumentado así la efectividad.

Software ISO 37301 de ISOTools

Automatizar la gestión de riesgos de proveedores, utilizando una herramienta como el Software ISO 37301 de ISOTools permite a las organizaciones asumir los retos que propone la globalización y la eliminación de fronteras para la suscripción de acuerdos con proveedores.

Se trata de una solución basada en la nube, con funcionalidades avanzadas para garantizar el cumplimiento en toda la organización, sin importar su tamaño o el número de terceros involucrados. Encuentra más información aquí.

La entrada Cómo crear un marco de gestión de riesgos de proveedores eficaz se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Con una guerra en Europa, una inflación desbordada en todo el planeta, problemas con la cadena de suministro y una relación cada vez más tensa entre las dos grandes potencias militares y comerciales del mundo, el riesgo geopolítico está a la orden del día.

El escenario es sin duda de incertidumbre. Y es en estos entornos donde más valor adquiere la gestión corporativa del riesgo geopolítico. La geopolítica no interesa de manera exclusiva a las altas esferas gubernamentales. Las organizaciones, de todos los tamaños, son las que al final se ven afectadas.

¿Cómo gestionar el riesgo geopolítico en un entorno de incertidumbre?

Operar en un entorno como el que se ha descrito equivale a navegar en un mar turbulento. La navegación en aguas tranquilas y seguras no siempre es posible. Del mismo modo, las empresas no eligen el entorno geopolítico en el que deben operar.

Las organizaciones necesitan agilidad y flexibilidad para responder con la debida inmediatez a los cambios. Lo que no se debe confundir con la improvisación. La gestión del riesgo geopolítico debe ser planificada y estructurada. Estas siete recomendaciones resultarán muy útiles:

1. Predecir posibles escenarios con base en el conocimiento

Los movimientos geopolíticos responden a la voluntad y el proceder de seres humanos. Y es eso lo que los hace absolutamente imprevisibles. Pero sí es posible trabajar sobre varias posibilidades basadas en el conocimiento y en el estudio de situaciones específicas.

El impacto que puede tener la guerra en Ucrania, por ejemplo, es susceptible de evaluarse con base en dos o tres escenarios posibles: una guerra larga, un acuerdo de paz en pocos meses o la rendición de Ucrania.

Cada uno de ellos, implica riesgos y oportunidades, incluso para organizaciones que se encuentran al otro lado del planeta. En este y en cualquier otro caso, es prudente considerar la visión de expertos observadores políticos.

No se trata de jugar a adivinar. Se trata de ir un paso adelante y gestionar riesgos que en cualquier momento será preciso enfrentar.

2. Planificar la gestión del riesgo geopolítico

Desde hace algún tiempo, la tendencia en el área de gestión de riesgos es hacia la prevención, contrario al enfoque que imperó en el siglo XX, el cual prefería la reacción.

Sin embargo, por las razones que se han anotado, se cree que el riesgo geopolítico debe permanecer bajo el enfoque del siglo pasado. Las organizaciones necesitan flexibilidad y agilidad para responder, pero sobre la base de una planificación seria, juiciosa y estructurada.

Las posibles amenazas deben ser consideradas con base en su impacto y en su probabilidad de ocurrencia. Y, con base en ello, deben ser priorizadas y gestionadas. Es importante reconocer que dentro del riesgo geopolítico hay amenazas disruptivas, del tipo cisne negro, que tienen la capacidad para impedir la continuidad del negocio.

3. Contar con expertos en gestión de riesgos y con auditores

Los expertos en gestión de riesgos cumplen un papel, y los auditores otros. Los dos deben, sin embargo, trabajar sobre un mismo plan que considera los riesgos geopolíticos.

El trabajo sincronizado de estos dos profesionales asegura el éxito en la gestión de riesgos geopolíticos. Es necesario contar con los perfiles adecuados, pero también con los recursos tecnológicos que aseguren la disponibilidad y la confiabilidad de la información, así como el procesamiento de los datos.

4. Evaluar con visión largo plazo

La geopolítica plantea riesgos inmediatos o a términos que pueden superar los 30 o los 50 años. Las organizaciones que tienen clientes, distribuidores o que efectúan procesos de producción en otros países, deben considerar la permanencia de esas relaciones, monitorizando el acontecer político en esa área del planeta.

Las naciones que hoy son amigas, pueden no serlo en el futuro. Esto supone posponer o eliminar posibles inversiones, limitar el alcance de la operación o considerar una operación de apenas algunos años, dependiendo del resultado de la evaluación de riesgos.

5. Ser coherentes con el objetivo de negocios de la organización

Siguiendo con el ejemplo más reciente de la guerra en Ucrania, muchas organizaciones decidieron abandonar operaciones en Rusia, o dejar de vender a clientes de ese país.

Es importante que los expertos en gestión de riesgos no asuman posiciones políticas o éticas no relevantes para el negocio. La estrategia comercial no tiene relación con los intereses políticos de uno u otro país en contienda.

6. Considerar las oportunidades

Las crisis también generan oportunidades. Y las organizaciones necesitan estar preparadas para aprovecharlas. Muchas de estas oportunidades superan con mucho los problemas que vienen con los riesgos geopolíticos.

7. Proporcionar información eficaz a la Alta Dirección y a los directores de áreas clave

Los ejecutivos informados, toman decisiones acertadas. Y la información eficaz proviene de soluciones diseñadas para apoyar la gestión de riesgos y, particularmente, la gestión de cumplimiento de las organizaciones.

La gestión de compliance está directamente relacionada con el riesgo geopolítico, lo cual es evidente en organizaciones que tienen intereses en otras latitudes.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTOools es una herramienta eficaz para apoyar la gestión de riesgos de cumplimiento y de cualquier programa de compliance.

Los riesgos geopolíticos, sin duda, tienen la capacidad de afectar el cumplimiento de la organización. Con tantos elementos en el radar, la Alta Dirección, los directores de áreas clave y los profesionales en Gestión de Riesgos encontrarán en esta solución un gran aliado. Conócelo aquí.

La entrada 7 recomendaciones para gestionar el riesgo geopolítico en un entorno de elevada incertidumbre se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Tener una plataforma única y unificada para manejar todas las necesidades de riesgo, cumplimiento y seguridad de una empresa es cada vez más vital. Las empresas pueden mejorar la eficiencia y eficacia de sus procesos de gobernanza, gestión de riesgos y cumplimiento mediante la adopción de una serie de técnicas y tecnologías de uso común.

Al automatizar los procesos de GRC, optimizar las operaciones y disminuir la complejidad de la implementación, los equipos pueden beneficiarse enormemente del software y las soluciones de TI.

¿Qué es un modelo de gestión GRC?

Antes de revisar la definición del software de Gobierno Corporativo, Riesgo y Cumplimiento, conviene repasar las características que identifican un modelo GRC. Se trata de una estrategia de administración y liderazgo que se sostiene sobre tres ejes centrales:

• Las mejores prácticas de gobierno corporativo.
• La gestión de cumplimiento.
• La gestión de riesgos.

Pero no se trata apenas de incluir estos elementos en la gestión. Es preciso que estos se interrelacionen, se sincronicen y, lo más importante, que todos los empleados entiendan que sus acciones deben pasar por estos tres filtros: estar de acuerdo con prácticas éticas y eficaces, considerar los riesgos y asegurar el cumplimiento.

¿Qué es un Software de Gobierno Corporativo, Riesgo y Cumplimiento?

La definición de GRC no deja dudas sobre lo que es este modelo de gestión. Pero, ponerlo en práctica, evidencia dificultades reales, que son solucionadas por un Software de Gobierno Corporativo, Riesgo y Cumplimiento.

Se trata de un desarrollo informático que involucra una serie de funcionalidades que permiten que se adopte un enfoque sistemático de la gestión, al automatizar tareas y procesos desde una única plataforma, evitando así la formación de silos de información.

Este tipo de plataformas incluyen herramientas de análisis y evaluación, soportadas con elementos de Inteligencia Artificial, que tienen la capacidad de informar en todo momento de los puntos críticos, identificar problemas, adelantarse a los acontecimientos, informar sobre retrasos, crear flujos de trabajo, asignar tareas y notificarlas a los interesados y proveer información constante y confiable.

¿Cómo implementar con éxito un Software de Gobierno Corporativo, Riesgo y Cumplimiento?

Las funcionalidades y las características propias del software elegido inciden en el desempeño del producto y la capacidad que tenga para solucionar los problemas de gestión que se presentan en una organización que adopta el modelo GRC.

Pero la implementación acertada del Software de Gobierno Corporativo, Riesgo y Cumplimiento, también es un factor esencial a considerar. Por eso es tan importante conocer estas buenas prácticas de implementación de este tipo de soluciones:

1. Involucrar a los usuarios reales del software

La Alta Dirección percibirá los beneficios de la implementación de un software GRC. Pero no serán esas las personas que estarán incorporando información, obteniendo reportes, revisando mapas de calor…

Es importante considerar las necesidades de esos usuarios finales, sus expectativas y sus necesidades de capacitación. Pero también es preciso integrarlos al proceso de selección de software desde el inicio, para evitar un rechazo inicial, que es una constante en la implementación de cualquier tipo de software nuevo.

2. Contratar una plataforma única

Algunas organizaciones optan por contratar un programa para gestionar el cumplimiento y el gobierno corporativo, en tanto que la gestión de riesgos va por otro lado.

También hay proveedores que venden las tres soluciones, en módulos separados, que no fueron diseñados para integrarse en algún momento. Los empleados que harán uso del software necesitan acudir a un único sitio. Abandonar hojas de cálculo, presentaciones de PowerPoint o documentos de Word.

Pero esto no significa que el nuevo programa no pueda, y deba, acoger estos formatos con facilidad.

3. Confiabilidad del proveedor

Lo ideal es que el Software de Gobierno Corporativo, Riesgo y Cumplimiento sea una solución basada en la nube. Esto eliminará muchos problemas en la implementación, especialmente los derivados de la instalación local en cada ordenador.

También ofrece las mejores condiciones de movilidad y accesibilidad desde cualquier tipo de dispositivo. Y, finalmente, el soporte que puede ofrecer el proveedor es ilimitado. Todas las actualizaciones y mejoras se reciben de forma automática, sin que representen coste adicional para la organización.

4. Tener diseñado e implementado el modelo GRC

Muchas organizaciones piensan en el Software de Gobierno Corporativo, Riesgo y Cumplimiento como una herramienta que les ayudará en la construcción de su marco GRC.

El software es una herramienta que automatiza procesos ya definidos e implementados. Puede ser una buena guía y un aliciente para el equipo que trabaja en la implementación de sistemas de gestión de riesgos o de cumplimiento. Pero su verdadero valor se verá cuando GRC ya esté incorporado a la organización.

5. Realizar un análisis de brechas

Los problemas de cumplimiento o los que afectan la gestión de riesgos, deben ser el objetivo prioritario del Software de Gobierno Corporativo, Riesgo y Cumplimiento. Al identificar brechas operativas, se aíslan puntos en los que el software entra a solucionar problemas, evitar duplicación de esfuerzos, eliminar pasos manuales y, en general, digitalizar y automatizar la gestión.

6. Tener sistemas de gestión sólidos

Muchas organizaciones se preocupan por el cumplimiento, por adoptar las mejores prácticas éticas y por prevenir riesgos. Dedican mucho esfuerzo a ello, pero no construyen una base sólida, propia de los sistemas de gestión estandarizados, en las áreas de gestión anticorrupción, gestión de riesgos y gestión de cumplimiento.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es una solución basada en la nube, diseñada para apoyar la implementación y desarrollo exitoso de un modelo GRC. Esta plataforma permite adoptar un enfoque integral de la gestión de riesgos de cumplimiento, basada en las mejores prácticas éticas.

Con tantas obligaciones de cumplimiento en el radar, un oficial de cumplimiento necesita una herramienta que automatice la gestión y provea información útil y constante. Esa herramienta está aquí.

La entrada Software de Gobierno Corporativo, Riesgo y Cumplimiento (GRC): buenas prácticas de implementación se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.