GRC

GRC es el conjunto de prácticas organizacionales que integran la Gobernanza, el Riesgo y el Cumplimiento en un marco unificado. Su objetivo es coordinar las actividades de gobernanza, gestionar los riesgos y asegurar el cumplimiento de normas, leyes y políticas, todo ello en un solo sistema. El enfoque GRC permite a las organizaciones optimizar su rendimiento y evitar posibles sanciones o problemas de reputación.

Componentes clave de GRC:

• Gobernanza: Define cómo la empresa toma decisiones, asegurando que estas estén alineadas con los objetivos estratégicos de la organización.
• Riesgo: Se centra en la identificación, evaluación y mitigación de los riesgos que puedan afectar a la organización, ya sea en su operación o en su reputación.
• Cumplimiento (Compliance): Asegura que la organización sigue las normativas, regulaciones y políticas establecidas. Este componente es esencial para minimizar los riesgos legales y operacionales.

Rol de Compliance dentro de GRC

Cumplimiento normativo y regulatorio

El compliance dentro de un marco GRC se encarga de que la empresa cumpla con todas las leyes y regulaciones relevantes. La función de compliance es vital para identificar y evaluar los requisitos normativos aplicables a la organización, estableciendo mecanismos y controles que aseguren el cumplimiento normativo y reduzcan los riesgos de sanciones o multas.

Creación y revisión de políticas

Uno de los roles principales del compliance es la creación de políticas y procedimientos que rigen la operación de la organización. Esto incluye desde políticas de ética hasta protocolos de seguridad y controles financieros. Estas políticas no solo aseguran el cumplimiento legal, sino que también establecen un estándar de comportamiento ético y responsable para los empleados.

Capacitación y concienciación

La implementación de un sistema GRC efectivo requiere la participación activa de todos los empleados. Para lograrlo, el compliance organiza programas de capacitación y concienciación para informar y educar al personal sobre las políticas internas, las normativas y los riesgos de incumplimiento. Esta capacitación permite que los empleados comprendan sus responsabilidades y participen activamente en el cumplimiento de los objetivos de la organización.

Beneficios de integrar el compliance en un sistema

Mejora de la reputación empresarial

Un enfoque de GRC que incluye el compliance contribuye significativamente a la reputación empresarial. Cuando una empresa demuestra que cumple con todas las normativas y se adhiere a altos estándares éticos, genera confianza entre sus clientes, inversores y socios comerciales, lo que puede traducirse en mayores oportunidades de negocio.

Reducción de riesgos legales y financieros

El compliance ayuda a mitigar los riesgos legales y financieros al asegurarse de que la organización cumpla con las leyes y regulaciones. Esto incluye la prevención de actividades fraudulentas, la minimización de sanciones regulatorias y la reducción de posibles demandas. Al gestionar estos riesgos de manera proactiva, el compliance protege la estabilidad financiera de la empresa.

GRC es el conjunto de prácticas organizacionales que integran la Gobernanza, el Riesgo y el Cumplimiento en un marco unificado.
Compartir en X

Optimización de los procesos operativos

El compliance dentro del marco GRC contribuye a la optimización de procesos al estandarizar las políticas y procedimientos. Esto mejora la eficiencia operativa y ayuda a reducir la duplicación de esfuerzos, permitiendo que la organización funcione de manera más eficaz y coordinada en todas sus áreas.

Estrategias clave para un compliance efectivo

Evaluación y monitoreo continuo

El compliance dentro de un sistema GRC requiere de una evaluación y monitoreo continuos para adaptarse a los cambios en las regulaciones y en el entorno de la empresa. Este monitoreo incluye la revisión de políticas, la auditoría de procesos y la implementación de mejoras cuando sea necesario. El monitoreo constante permite detectar y resolver problemas de cumplimiento antes de que se conviertan en riesgos graves.

Uso de tecnología en compliance

Las herramientas tecnológicas, como el software de GRC, facilitan el monitoreo y la administración de riesgos. Estas soluciones permiten automatizar procesos de auditoría, controlar el cumplimiento normativo en tiempo real y centralizar la gestión de políticas y documentación. El uso de tecnología en compliance es fundamental para gestionar eficazmente los riesgos y mejorar la transparencia en la organización.

Cultura de cumplimiento

Fomentar una cultura de cumplimiento es esencial para el éxito de cualquier programa de compliance. La dirección debe promover los valores de ética y transparencia, creando un entorno donde los empleados se sientan responsables de cumplir con las políticas de la organización. Una cultura de cumplimiento sólida permite a la empresa ser más resiliente ante los riesgos y mejora el compromiso de los empleados con los objetivos de la organización.

Implementación del compliance en GRC: mejores prácticas

Establecer un comité de cumplimiento

Formar un comité de cumplimiento ayuda a coordinar y supervisar las actividades de compliance dentro de la organización. Este comité se encarga de definir las políticas, realizar auditorías internas y evaluar la eficacia del sistema GRC, permitiendo una visión integrada y estratégica del cumplimiento normativo en toda la empresa.

Realizar auditorías internas

Las auditorías internas son una herramienta esencial para evaluar la eficacia del compliance dentro de un sistema GRC. Estas auditorías permiten identificar posibles problemas, evaluar la eficacia de las políticas y asegurarse de que las áreas de mejora se aborden de manera oportuna.

Evaluación de proveedores y terceros

En un entorno de GRC, es fundamental evaluar el cumplimiento de proveedores y terceros, ya que cualquier incumplimiento en la cadena de suministro puede tener un impacto negativo en la empresa. Establecer políticas para la selección, monitoreo y auditoría de terceros es fundamental para garantizar que todos los socios comerciales cumplan con las normas y los valores de la organización.

Software de Compliance en GRC

El rol del compliance en GRC es crucial para asegurar el cumplimiento de las normativas, reducir riesgos y proteger la reputación de la empresa. Mediante la integración de políticas de cumplimiento en un marco de gobernanza y riesgo, las organizaciones pueden establecer una base sólida para el crecimiento sostenible y la mejora continua. Con una cultura de cumplimiento y un monitoreo constante, el compliance dentro de GRCTools se convierte en un pilar esencial de la gestión empresarial moderna.

El Software de Compliance de GRCTools permite a las empresas gestionar el cumplimiento normativo de manera eficiente, facilitando la automatización de auditorías y el monitoreo continuo de políticas. Con GRCTools, las empresas pueden centralizar y gestionar todas las actividades de cumplimiento, asegurando que cumplen con las normativas y estándares.

La entrada Rol del compliance en GRC se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

La necesidad está ahí. Y el mercado digital ofrece una gran variedad de herramientas diseñadas para cumplir los objetivos señalados. Por supuesto, no todas las soluciones son iguales.

Cada organización buscará el software para gestión de riesgos que soluciones sus propios problemas. Sin requerimientos que pueden ser compartidos por otras empresas, especialmente de la misma industria. ¿Cómo elegir el apropiado?

¿Cómo elegir el software para gestión de riesgos ideal para la organización?

Las razones que tiene cada organización para buscar un software para gestión de riesgos son diferentes. Problemas de cumplimiento, infracciones de seguridad de la información, dificultades para completar procesos efectivos de debida diligencia, son algunos de ellos.

Por eso el primer paso es precisamente establecer que es lo que se necesita:

1. Identificar las necesidades específicas

El software para gestión de riesgos viene a solucionar unos problemas que ya están ahí. El inicio entonces es identificar esos problemas y establecer si es el software la herramienta adecuada para solucionarlos.

Las necesidades se buscan en toda la organización. Desde el área de mantenimiento y aseo hasta lo más alto de la cúpula de la Alta Dirección. Pero no solo se buscan en todos los lugares. Se buscan en todos los momentos.

Las necesidades pasadas, presentes y futuras son igualmente válidas. Las presentes, por obvias razones. Las que son de vieja data tienen la posibilidad de reaparecer. Y las futuras son las que garantizan que el software crecerá de la mano con la organización y con sus problemas futuros.

2. Elegir soluciones configurables y personalizables

La búsqueda de una plataforma para la gestión de riesgos ideal llevará a la persona encargada a descubrir que existen cientos de soluciones rígidas, estáticas, diseñadas para una industria especifica.

Las hay para empresas de la construcción, para el sector financiero, para las empresas del sector sanitario… Aunque la organización pertenezca a una de esas áreas, lo mejor siempre será buscar una plataforma flexible, que se adapte a todo tipo de empresas, que sea escalable y que facilite la personalización y la configuración.

3. Revisar el coste

El coste del software siempre será un factor con peso en la decisión. De hecho, en muchas organizaciones es el primero que se evalúa, y con base en él se hace una primera depuración de opciones.

Las soluciones a la medida, que requieren instalación en ordenadores y el uso de servidores propios, resultan mucho más costosas, suponen un coste asociado de mantenimiento y actualización constante, llevan tiempo en entrar en funcionamiento y presentan dificultades para adaptarse con la debida rapidez a cambios repentinos.

Las soluciones en la nube tienen un coste mucho menor, las actualizaciones y mejoras no las paga la organización que contrata el software y son accesibles desde cualquier lugar y en cualquier momento sin instalación física en ordenadores.

4. Considerar la seguridad de la información

La seguridad de los datos y de la información es un factor esencial en la decisión de contratar un software para gestión de riesgos. La debida diligencia, por ejemplo, trata datos de terceros como proveedores, clientes, empleados, entre otros.

Es información confidencial que, además, debe ser protegida de acuerdo con el RGPD. El software elegido necesita medidas de seguridad como cifrado de datos, privilegios de acceso o protocolos de seguridad web.

5. Comprobar la experiencia de otras organizaciones

Las organizaciones suelen promover por diversos canales sus casos de éxito. Los fabricantes de Software también lo hacen. El quinto paso en esta guía es contactar a los usuarios del programa e indagarlos sobre su experiencia, especialmente en lo relativo a los cuatro puntos anteriores.

¿Qué debe tener el software para gestión de riesgos?

De los pasos propuestos en la guía se deducen algunas características indispensables: seguro, accesible y con funcionalidades que solucionen problemas. Además, es necesario que el software para gestión de riesgos sea:

• Fácil de utilizar, práctico, intuitivo y amigable con los usuarios. Recordemos que finalmente será para uso de los empleados y de algunos terceros muy cercanos.
• Flexible, lo que significa adaptable a cualquier organización, sin importar su tamaño o el sector en el que opere.
• Ofrecer trazabilidad, para rastrear todos los eventos que se procesen, los cambios en la documentación, el recorrido de una asignación o el curso de una evaluación.
• Entregar información visual, además de los informes escritos. Los mapas de calor o la visión gráfica del estado de la gestión en todo momento, en forma visual, permite a los expertos realizar un seguimiento en tiempo real de todos los eventos, los cuellos de botella y los problemas que están ocurriendo en ese mismo momento.
• Almacenar grandes cantidades de datos y crear copias de seguridad automáticas, o proporcionar funcionalidades que permitan exportar los datos y la información y almacenarla en medios externos.
• Proporcionar análisis predictivo con el fin de formular escenarios hipotéticos hacia el futuro, que permitan anticipar la gestión y mejorar la protección a la organización.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es una plataforma que integra todas las tareas propias de la Gestión de Cumplimiento, incluyendo por supuesto, la Gestión de Riesgos. Al garantizar el cumplimiento en todas las áreas de la organización se crea un marco de operación seguro y productivo.

Esta herramienta está lista para proteger a tu organización en todas las áreas. Además, integra todas las funcionalidades que hemos mencionado. Conócela aquí.

La entrada Guía para elegir el software para gestión de riesgos adecuado a tu negocio se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Esto no es tan claro en la realidad. Por supuesto, muchas ideas de verdad no son tan buenas. Sin embargo, la única forma de saber si una iniciativa contribuirá al éxito de una estrategia empresarial o no, es ejecutándola.

Pero para hacerlo, hay que invertir tiempo, recursos y, por supuesto, correr el riesgo. Y es en este punto precisamente, en el del riesgo, que vale la pena hacer algo para disminuir la posibilidad de error.

¿Cómo identificar las mejores iniciativas para una estrategia empresarial?

Son muchas las organizaciones que inician el diseño de una estrategia empresarial con una actividad muy conocida: la lluvia de ideas. La cantidad de ideas que surgen en este tipo de actividades es abrumadora.

Algunas de esas iniciativas se excluyen entre ellas mismas por simple contraposición. Son tan opuestas que su implementación simultánea es imposible. Otro factor para considerar es la imposibilidad de probar todas las ideas en la práctica. El tiempo y los recursos nunca serán suficientes.

Una solución es elegir ideas aleatorias, dejando al azar la decisión. Tomar las menos costosas será la elección de algunos. Pero ¿por qué no aplicar un filtro que permita seleccionar con cierto grado de certidumbre las mejores?

Nueve preguntas, nueve filtros para decantar las mejores propuestas. Es lo que planteamos a continuación. Aquí están nueve criterios para seleccionar las mejores ideas para implementar una estrategia empresarial exitosa:

1. Impacto de la iniciativa en los indicadores

La estrategia empresarial busca alcanzar uno o varios objetivos. Esos objetivos serán inteligentes o SMART. Esto significa que serán medibles entre otras condiciones.

Entonces, el primer criterio para seleccionar ideas que contribuyen al éxito de la estrategia empresarial es el impacto que la implementación de esa iniciativa tiene sobre uno o varios indicadores o KPIs.

El impacto necesita ser directo y relevante. Cuando una iniciativa tiene la capacidad de modificar un indicador, pasando por varias etapas, o tiene un impacto positivo, pero poco significativo, es posible determinar que no pasa por este primer filtro.

2. Tiempo de impacto en la métrica

Una vez identificado o pronosticado el impacto que la idea puede tener en uno o varios indicadores, el siguiente filtro es pronosticar cuando lo hará. La estrategia empresarial se propone para un determinado plazo: tres meses, seis, un año…

No tendría mucho sentido pensar en tomar una idea que tardará más de un año en presentar resultados efectivos, cuando la estrategia ha sido diseñada para seis meses.

3. Mejora de los procesos de Transformación Digital

Hay ideas que requieren la implementación de tecnología especializada o diseño de procesos definidos. Esto no las hace descartables. Pero las ideas que se acomodan sin problema a procesos de Transformación Digital que ya están en marcha, o a los procesos propios de la organización, especialmente los que forman parte de Sistemas de Gestión Estandarizados, resultan mucho más amigables.

Las sugerencias que se adaptan a la estructura funcional actual, por supuesto implican menores costes para su implementación, a la vez que plantean la posibilidad de impulsar y acelerar procesos que son esenciales para el desarrollo y crecimiento de la organización.

Una idea que calce a la medida usualmente genera nuevas ideas para el futuro.

4. Número de áreas que intervienen

El número de personas, de áreas o departamentos que tendrán que aprobar e intervenir en la implementación es un factor que genera suspensiones prolongadas, objeciones imprevistas, solicitudes de modificaciones, costes adicionales, y, finalmente, una prolongación indefinida en el tiempo.

Al final la implementación concluye sin éxito, por supuesto consumiendo trabajo y recursos. En algunas organizaciones el liderazgo y el tono superior de la Alta Dirección logran salvar el obstáculo. Si no es así, conviene optar por iniciativas que apenas involucren a un departamento o dos como máximo.

5. Recursos para la implementación

Pocas iniciativas se pueden implementar sin asignar recursos. Desde tecnología, hasta contratación de personal adicional, pasando por capacitación o adecuación de instalaciones físicas, todos son recursos que tienen un coste financiero.

El filtro consiste en comparar el beneficio económico esperado de la iniciativa, frente a los costes que representa la puesta en marcha. Si es menor el primero, o apenas ligeramente superior, la recomendación es abandonar la idea ahora y continuar aplicando los filtros restantes a las que hasta este punto haya superado las cribas anteriores.

6. Otras ideas asociadas

Las iniciativas que dependen de otra están sujetas a los requisitos y los obstáculos de la idea vinculada o asociada. Esto significa que, aunque una primera revisión indique que la idea evaluada es viable, el proyecto del que depende puede no serlo.

Es algo que pocas veces se contempla. Las iniciativas necesitan ser evaluadas a lo largo de varios grados de separación. En algún momento el proyecto puede atarse a una idea que ya fue descartada generando su suspensión tras haber consumido recursos importantes y dejando truncada la estrategia empresarial.

7. Ciclo de vida de la idea

Determinar el momento preciso en que iniciará la implementación, los puntos exactos de cada hito durante el desarrollo de la idea y el momento de culminación es lo que se busca al aplicar este séptimo filtro.

Esto permite apreciar con claridad cualquier tipo de incongruencia o incompatibilidad con otras iniciativas o con proyectos que ya están en marcha y que forman parte de la estrategia comercial y operativa de la organización.

Algunas ideas necesitan que un proceso que está en etapa de gestación se encuentre finalizado para el momento en que intercepte con la idea en curso. La modificación de un producto, por ejemplo, requerirá que una campaña publicitaria haya tenido el tiempo suficiente para crear expectativa y curiosidad en los consumidores.

La compaña de marketing, por otra parte, podría llegar a un punto máximo de repercusión, cuando el rediseño del producto ni siquiera ha salido de una fase embrionaria. Para cuando la reingeniería concluya, es probable que el efecto publicitario sea historia. Por eso es importante sincronizar los ciclos de vida de las diferentes ideas asociadas o dependientes.

8. Coste beneficio

En este punto, antes de pasar por el filtro final, las iniciativas que subsisten deben ser en verdad muy buenas. Pero ¿son viables en términos económicos? Eso lo define la relación coste beneficio.

Coste beneficio es el factor determinante para la Alta Dirección. Si este factor no es contundente, es poco probable que el tomador de la decisión la acoja. Un beneficio ligeramente superior al coste no será suficiente para implementar la iniciativa y llevarla a ser parte de la estrategia empresarial.

El beneficio necesita ser más que aceptable al compararlo con el coste. Pero también necesita ser sostenible en el tiempo y comprobable.

9. Evaluación de riesgos

Las nuevas iniciativas pueden traer nuevos riesgos o aumentar la probabilidad de otros ya existentes. También, por supuesto, pueden eliminar alguna amenaza o representar una interesante oportunidad.

La estrategia empresarial involucra muchos aspectos y muchos riesgos asociados: riesgo económico, riesgo empresarial, riesgo reputacional, riesgo operacional, riesgo de cumplimiento, riesgo regulatorio…

Es importante que las nuevas iniciativas no contribuyan a exacerbar esas amenazas y a incrementar la exposición al riesgo de la organización. Por supuesto, una evaluación de riesgo profesional considera el apetito de riesgo de la organización, las oportunidades y la capacidad de reacción que tenga ante la ocurrencia de una amenaza.

Si una idea pasa por estos nueve filtros, la probabilidad de que en verdad contribuya al éxito de la estrategia empresarial es muy alta. Las oportunidades aumentan si se apoya la estrategia con tecnología.

Software ISO 37001 de ISOTools

La implementación de iniciativas para mejorar la estrategia empresarial implica el consumo de recursos. Los riesgos de corrupción, fraude y soborno, entre otros, aumentan.

Los conflictos de intereses también se multiplican. El Software ISO 37001 de ISOTools es una herramienta diseñada para automatizar la Gestión, apoyando de paso la creación de iniciativas y generando un marco seguro para que prosperen. Encuéntrala aquí.

La entrada Estrategia empresarial: 9 criterios para identificar las mejores iniciativas se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Habitualmente, la Gestión de Riesgos Empresariales funciona como un departamento agregado, pero independiente, de la Gestión de Riesgos General. Por ello, utiliza algunas estrategias comunes y adopta las mejores prácticas para el diseño e implementación de controles internos.

La Gestión de Riesgos Empresariales, históricamente, aparece al final de la década de los años 20, del siglo pasado. La Gran Depresión de 1929 condujo a muchos empresarios a diseñar estrategias para enfrentar amenazas de este tipo.

Así, estas estrategias han evolucionado en un siglo convulso, marcado por la aparición de tecnologías innovadoras y fenómenos de globalización que definen la Gestión de Riesgos Empresariales moderna.

La Gestión de Riesgos Empresariales, en el siglo XXI, considera riesgos operacionales, de TI, de proyectos específicos e incluso, los que amenacen a socios comerciales en la cadena de suministro.

¿Cuáles son los componentes esenciales en la Gestión de Riesgos Empresariales?

Las organizaciones adoptan diferentes marcos o modelos de Gestión de Riesgos Empresariales. Las empresas que optan por un enfoque GRC, necesitan cumplir con requisitos y exigencias regulatorias adicionales, especialmente en lo relacionado con informes sobre Gestión de Riesgos.

Aunque existen diferentes marcos de operación, los elementos esenciales en la Gestión de Riesgos Empresariales son:

1. Contexto interno de la organización

El contexto interno de la organización lo conforman la cultura, la gobernanza y los valores. Son importantes para la Gestión de Riesgos Empresariales porque inciden de forma directa en la creación de políticas, el diseño de procedimientos y el establecimiento de códigos de comportamiento y conducta.

Políticas, procedimientos y códigos incluyen las normas y las directrices que moldean el comportamiento de los empleados. Así, el liderazgo y el tono de la Alta Dirección contribuye al objetivo de generar una cultura sólida de Gestión de Riesgos.

2. Planificación estratégica

La Gestión de Riesgos Empresariales necesita definir objetivos. Y para alcanzarlos, necesita elaborar planes estratégicos. El enfoque de la Gestión es de arriba hacia abajo. Es, en consecuencia, la Alta Dirección el órgano encargado de establecer el apetito de riesgo de la organización, definir objetivos generales y orientar la estrategia que será desarrollada por los profesionales especializados en el área.

El nivel de detalle con que intervenga la Alta Dirección dependerá del tamaño, la complejidad y el grado de regulación al que está sometida la organización. En pequeñas empresas es común que la Alta Dirección asuma funciones de Gestión de Riesgos de forma integral, sin delegar a equipos especializados.

3. Ciclo de Gestión de Riesgos

Retomando una idea expresada en la introducción sobre “la Gestión de Riesgos Empresariales utiliza herramientas, estrategias y modelos que son comunes a la Gestión en General”, el ciclo de Gestión de Riesgos es uno de esos elementos comunes:

• Identificación de riesgos, haciendo uso de modelos como la lluvia de ideas, los informes sobre incidentes, las experiencias de industrias del sector o el análisis de indicadores e informes financieros y contables.
• Evaluación de riesgos, que permite categorizar los riesgos y elaborar una lista priorizada.
• Cuantificación de los factores relevantes, que son el impacto y la probabilidad. Es común en esta etapa el uso de una Matriz de Evaluación del Riesgo.
• Categorizar los riesgos, ubicándolos en cada uno de los tipos de Riesgos Empresariales. Algunos de ellos son:
  • Estratégicos.
  • Financieros.
  • Operacionales.
  • De Calidad.
  • De Cumplimiento.
  • De Seguridad de la Información.
  • Reputacional.
  • Externos.
• Acciones para tratar los riesgos, que conformarán la Estrategia de Gestión considerando en orden de relevancia:
  • Eliminar.
  • Mitigar.
  • Transferir.
  • Tolerar.
• Supervisar y controlar el resultado de las acciones implementadas, verificar su efectividad y, de acuerdo con el comportamiento, reiniciar el ciclo.

4. Mejora continua

Con base en la supervisión y control de los riesgos detectados, la organización adopta un modelo de Gestión de Riesgos cíclico, que busca la mejora continua. La mejora continua requiere que se actualice de forma periódica la lista de riesgos, el perfil y el apetito de riesgo. La auditoría del Sistema, basada en información confiable y oportuna entregada por una plataforma que automatice las herramientas GRC, es un elemento diferencial importante para la mejora continua y sostenida.

5. Informes y comunicación

La capacidad para producir informes transparentes, relevantes y comunicarlos de forma asertiva y acertada, es el último elemento esencial de la gestión de riesgos corporativa. La información y los informes deben fluir con facilidad hacia las partes interesadas, iniciando con la Alta Dirección.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es una solución informática eficaz, diseñada para apoyar la Gestión de Riesgos de Cumplimiento, Operacionales, Financiero y de orden Empresarial.

Esta herramienta basada en la nube permite diseñar flujos de trabajo, supervisar tareas asignadas, automatizar funciones, informar sobre retrasos o incumplimiento, generar mapas de riesgos, y, entre otras muchas funcionalidades, obtener información total útil para gestionar riesgos y para tomar las mejores decisiones. Infórmate aquí.

La entrada Gestión de riesgos empresariales: los 5 componentes esenciales para una gestión efectiva se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Pero también pueden predecir amenazas emergentes internas o de terceros y preparar a la organización para el futuro. Los indicadores clave de riesgo de permiten actuar en tiempo real y gestionar riesgos incipientes antes de que alcancen su máximo poder lesivo.

Sin embargo, es importante elegir y utilizar los indicadores clave de riesgo adecuados. ¿Cuáles son y cómo desarrollarlos?

¿Qué son los indicadores clave de riesgo?

Un indicador es una cifra, un dato o una condición que, como su nombre lo sugiere, indica algo. Los indicadores hacen ver al analista o al evaluador que algo está sucediendo o puede suceder en un futuro próximo.

Es una forma de monitorear la actividad y establecer si los controles han sido efectivos o si su efectividad está próxima a caducar. Los indicadores emiten alertas tempranas que facilitan actuar sobre riesgos o amenazas que sucederán muy pronto, o están actuando en el momento.

Un indicador clave de riesgo, por ejemplo, puede ser el número de comunicaciones reportadas en una línea dedicada o canal de denuncias. Los indicadores cumplen una función esencial en la gestión de compliance y anticorrupción. Entre otros, permite lograr objetivos como:

• Identificar nuevos riesgos o la variación en el comportamiento de uno ya evaluado (probabilidad o impacto).
• Establecer el impacto real de un riesgo en términos financieros o reputacionales.
• Elaborar comparativos de cifras periódicas, que permitan conformar una tendencia.
• Obtener un panorama real e inmediato sobre la gestión anticorrupción.
• Verificar la eficacia de los controles implementados.
• Fijar nuevos objetivos para la gestión.

¿Cómo establecer indicadores clave de riesgo adecuados?

Los indicadores de riesgo deben ser adecuados a la gestión, al nivel de exposición de riesgo de la organización, a los antecedentes históricos, al grado de regulación y control, entre otros factores para considerar.

Para establecer indicadores clave de riesgo es preciso seguir un proceso que inicia por:

1. Reunir el equipo de gestión de riesgos

Al igual que otras tareas en el área de gestión de riesgos, la definición de los indicadores clave de riesgo es una tarea de equipo. Es importante que todos aporten y que se conforme un marco de operación en el que todos actúen bajo las mismas directrices tras un objetivo común.

2. Dividir la tarea por áreas o por unidades de negocio

Identificar problemas de cumplimiento y corrupción puede requerir una dinámica diferente en el área de Recursos Humanos y otra en Adquisiciones o en Servicios Generales. Los KRI que resultan interesantes o efectivos en un punto, pueden ser irrelevantes o inocuos en otro.

3. Revisar el comportamiento de los KRI actuales

Cada uno de los grupos de trabajo establecidos revisa los indicadores de uso común en el momento, su comportamiento y su aporte a la gestión.

4. Analizar la evaluación del riesgo asociado al KRI

Los indicadores clave de riesgo, incumplimiento, fraude y soborno, son definidos como tales por el aporte que entregan a la gestión. Si se invierte tiempo y recursos en obtener una métrica es porque el resultado final lo amerita. Cada métrica se toma para descubrir si un riesgo está ocurriendo, se mantiene o deja de ocurrir. Un indicador asociado a un riesgo que cada día tiene mayor incidencia y mayor impacto, es un indicador no adecuado.

5. Identificar procesos o cambios de procesos

Los indicadores de riesgo vinculados a un proceso pierden actualidad si el proceso desaparece o sufre una modificación estructural sustancial. Los cambios inadvertidos en procesos obligan a cambiar controles y, por supuesto, indicadores.

6. Priorizar los riesgos para establecer controles

El trabajo de definición y desarrollo de indicadores clave de riesgo, como cualquier actividad en gestión de riesgos, deben enfocarse de manera prioritaria en las amenazas que mayor impacto negativo representen, o mayor probabilidad de ocurrencia.

7. Analizar y procesar los datos

El análisis de la información recopilada debe realizarse de manera metódica, sistemática y automatizada. Los KRI necesitan ser medibles, comparables y comprobables. Para ello, especialmente cuando se trata con grandes volúmenes de datos, es preciso contar con una plataforma diseñada para esta función, y mejor si es creada para la gestión anticorrupción.

8. Establecer límites mínimos y máximos

Finalmente, es preciso establecer límites para la información que arrojan los KRI. Estos limites permiten disparar las alertas que son el objetivo principal de los indicadores. Estos umbrales también pueden ser fijados por un software que determine con alto grado de confiabilidad cuál es el punto que indica una situación crítica.

¿Qué tipos de indicadores clave de riesgo existen?

A nivel general aparecen diferentes tipos de indicadores. La forma en que expresan la información, el área en la que operan o el valor que representan, son los principales criterios de clasificación:

• Cuantitativos, cuando expresan el resultado en un valor numérico absoluto.
• Cualitativos, cuando indican una condición o una característica: alto, medio, bajo, suficiente, insuficiente, notable, escaso.
• Financieros, que son los que hacen referencia a un valor monetario.
• De Recursos Humanos, cuando se refieren a grupos de personas, empleados que cumplen con características comunes, o áreas en las que se presentan problemas o conductas atribuibles a los empleados.
• Operacionales, cuando se enfocan en la medición de los resultados de procesos, procedimientos o tareas específicas.
• Tecnológicos, que pueden expresarse en medidas como gigas, bites… pero también pueden ser incidentes o eventos que sugieran o indiquen la ocurrencia de delitos, fraudes u otros problemas de corrupción.

¿Cómo desarrollar indicadores clave de riesgo realmente efectivos?

Para que los indicadores realmente sean claves, relevantes y eficaces, es recomendable:

1. Enfocarse en riesgos relevantes

Los riesgos relevantes merecen controles e indicadores igualmente relevantes. Las amenazas menores, probablemente no requieran que se desplieguen todos los procedimientos mencionados.

2. Diseñar e implementar un proceso coherente y metódico

Si cada vez que se evalúan los indicadores, su efectividad o su actualidad, es preciso reinventar un proceso, a veces pasando por largas y desgastantes reuniones de consenso, es probable que la tarea se pueda realizar apenas una vez cada cinco años. El proceso debe establecerse para ser utilizado siempre, de forma coherente, metódica y, de ser posible, automatizada. Por supuesto, esto no implica que se pueda revisar y mejorar de forma periódica.

3. Documentar la tarea

El desarrollo de indicadores clave de riesgo es una de las tareas más constructivas y edificantes en el área de gestión de riesgos. En la gestión de cumplimiento y anticorrupción estas características son aún más notorias y relevantes. Para que este aprendizaje no se pierda, y, por el contrario, se convierta en un valor diferencial para la gestión en el futuro, es importante que todos los eventos se documenten, registren y almacenen. Una plataforma con funcionalidades de gestión documental es necesaria para alcanzar el objetivo.

Software ISO 37001 de ISOTools

La gestión de riesgos en el área de cumplimiento y anticorrupción encuentra un aliado excepcional en el Software ISO 37001 de ISOTools. Es una plataforma basada en la nube con funcionalidades eficaces para el procesamiento de altos volúmenes de datos e información, y control de documentos, desde la creación hasta su archivo definitivo.

Estadísticas, mapas de calor, informes inmediatos, son, entre otros, herramientas de gran valor para la gestión de cumplimiento y anticorrupción proactiva. Conócela aquí.

La entrada Cómo desarrollar indicadores clave de riesgo (KRI) para fortalecer la organización se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Los presidentes, CEOs y miembros de la Junta de Dirección están muy ocupados para ver detalles. Son las grandes cifras y los hechos contundentes los que los persuaden de tomar una decisión. Y la de implementar un Software de Gestión GRC no es para nada diferente.

Y nada resulta más eficaz que mostrar los ahorros en términos cuantitativos. A continuación, presentamos seis formas en las que un Software de Gestión GRC puede ayudar a la organización a reducir costos y, así, argumentar el proyecto ante la Alta Dirección.

¿Qué es un Software de Gestión GRC?

Empecemos por definir el instrumento que genera el ahorro. Se trata de una solución informática que automatiza las tareas de un programa GRC, con un objetivo esencial: gestionar los riesgos, garantizando el cumplimiento, en un marco que se basa en las mejores prácticas de gobierno y dirección.

Es algo que han venido haciendo ya muchas organizaciones, con base en hojas de cálculo y cuentas de correo electrónico. Las intenciones son las mejores, pero los resultados no lo son tanto.

Los fallos de la gestión así planteada, ocasionan multas, sanciones, afectación a la reputación e incluso pérdida de permisos, licencias y cierre de la operación. Un Software de Gestión GRC tiene la capacidad para impedirlo, en seis formas diferentes.

¿Cómo puede reducir costes el Software de Gestión GRC?

La implementación de un Software de Gestión GRC reduce costos, elimina fugas de dinero y, sobre todo, aporta muchos beneficios a la oficina del oficial de cumplimiento y el equipo que trabaja con él. Este tipo de soluciones proporciona ahorros evidentes como los siguientes:

1. Reduce la posibilidad de multas y sanciones

Las fallas de cumplimiento resultan en exceso costosas para las organizaciones, en especial cuando provienen de organismos regulatorios. Por supuesto, la erogación imprevista, y hasta cierto punto innecesaria, es un problema. Pero lo es aún mayor la pérdida de ingresos a causa del daño o deterioro de la reputación corporativa.

Invertir en un Software de Gestión GRC ayuda a la organizaciones a reducir sus costes identificando y abordando los problemas o riesgos de cumplimiento de forma proactiva. Evitando trabajar de forma reactiva cuando los problemas son ya una realidad.

Es una inversión para salvar a la organización de posibles infracciones en el futuro y una preocupación menos para el oficial de cumplimiento que, así, podrá enfocarse en otros puntos clave prioritarios, fortaleciendo la gestión de compliance y evitando que surjan problemas similares en otras áreas.

2. Más y mejores clientes confiarán en la organización

Las organizaciones que logran implementar modelos GRC, automatizados, generan confianza en cuanto al manejo de datos y de la información, lo que se convierte en un incremento de clientes. Y fomentar el aumento de ingresos es otra forma de ahorrar dinero, por ejemplo, aumentando la fidelización de clientes y evitando tener que captar nuevos clientes de forma constante. Rotación que no permite un verdadero crecimiento.

3. Reduce los riesgos de corrupción, fraude y soborno

La corrupción es un coste mucho más alto que cualquier impuesto, multa o sanción. Las organizaciones que no se preocupan por tratar sus riesgos de corrupción, soborno, fraude, hurto o uso indebido de sus activos, cada día encuentra una brecha más grande y más difícil de cerrar.

Por supuesto, el Software de Gestión GRC tiene un coste. Pero este se amortiza con el ahorro que se obtiene al evitar robos y otros delitos. Es lo que genera el ROI alto y rápido que caracteriza a este tipo de soluciones.

4. Una solución en la nube evita costes de licencias, actualizaciones e instalación

Las soluciones para automatizar la Gestión GRC, de las que hablamos hoy, han sido diseñadas y alojadas en la nube, y desde ahí operan. En este tipo de software, los costes de desarrollo, mantenimiento y actualización corren a cargo del fabricante, y no afectan al suscriptor o usuario.

Por supuesto, la accesibilidad desde cualquier dispositivo móvil está garantizada, y se prescinde de cualquier tipo de instalación local, con el ahorro de dinero que ello supone.

5. Ahorro de dinero gracias a la integración de gestión de tres áreas

Muchas organizaciones adoptan un modelo GRC, gestionando los tres componentes por separado. Esto implica un esfuerzo tres veces mayor y costes tres veces más altos.

El Software integra todos los elementos en una sola plataforma, lo que proporciona una visión holística del Sistema, ahorrando dinero, reduciendo horas de trabajo hombre y proporcionando una visión integral siempre actual de la gestión.

6. Disminuir costes de salarios de personal

La debida diligencia, por citar apenas una de las tareas más representativas de la Gestión de Cumplimiento, demanda muchas horas de trabajo de muchas personas. El Software de Gestión GRC permite automatizar esta y otras tareas, eliminando el error humano, y dejando tiempo libre a los empelados para que acometan proyectos más interesantes y productivos.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es una de estas soluciones, diseñada para afrontar desafíos tan importantes como la velocidad de los cambios en el escenario regulatorio actual, los complejos flujos de documentación o las dificultades que implican tareas como la debida diligencia.

Esta plataforma ha sido desarrollada y alojada en la nube. Es un producto listo para empezar a ahorrar dinero y obtener un ROI positivo desde el primer día. Compruébalo aquí.

La entrada 6 formas en las que el Software de Gestión GRC puede ayudar a reducir costos se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Tener una plataforma única y unificada para manejar todas las necesidades de riesgo, cumplimiento y seguridad de una empresa es cada vez más vital. Las empresas pueden mejorar la eficiencia y eficacia de sus procesos de gobernanza, gestión de riesgos y cumplimiento mediante la adopción de una serie de técnicas y tecnologías de uso común.

Al automatizar los procesos de GRC, optimizar las operaciones y disminuir la complejidad de la implementación, los equipos pueden beneficiarse enormemente del software y las soluciones de TI.

¿Qué es un modelo de gestión GRC?

Antes de revisar la definición del software de Gobierno Corporativo, Riesgo y Cumplimiento, conviene repasar las características que identifican un modelo GRC. Se trata de una estrategia de administración y liderazgo que se sostiene sobre tres ejes centrales:

• Las mejores prácticas de gobierno corporativo.
• La gestión de cumplimiento.
• La gestión de riesgos.

Pero no se trata apenas de incluir estos elementos en la gestión. Es preciso que estos se interrelacionen, se sincronicen y, lo más importante, que todos los empleados entiendan que sus acciones deben pasar por estos tres filtros: estar de acuerdo con prácticas éticas y eficaces, considerar los riesgos y asegurar el cumplimiento.

¿Qué es un Software de Gobierno Corporativo, Riesgo y Cumplimiento?

La definición de GRC no deja dudas sobre lo que es este modelo de gestión. Pero, ponerlo en práctica, evidencia dificultades reales, que son solucionadas por un Software de Gobierno Corporativo, Riesgo y Cumplimiento.

Se trata de un desarrollo informático que involucra una serie de funcionalidades que permiten que se adopte un enfoque sistemático de la gestión, al automatizar tareas y procesos desde una única plataforma, evitando así la formación de silos de información.

Este tipo de plataformas incluyen herramientas de análisis y evaluación, soportadas con elementos de Inteligencia Artificial, que tienen la capacidad de informar en todo momento de los puntos críticos, identificar problemas, adelantarse a los acontecimientos, informar sobre retrasos, crear flujos de trabajo, asignar tareas y notificarlas a los interesados y proveer información constante y confiable.

¿Cómo implementar con éxito un Software de Gobierno Corporativo, Riesgo y Cumplimiento?

Las funcionalidades y las características propias del software elegido inciden en el desempeño del producto y la capacidad que tenga para solucionar los problemas de gestión que se presentan en una organización que adopta el modelo GRC.

Pero la implementación acertada del Software de Gobierno Corporativo, Riesgo y Cumplimiento, también es un factor esencial a considerar. Por eso es tan importante conocer estas buenas prácticas de implementación de este tipo de soluciones:

1. Involucrar a los usuarios reales del software

La Alta Dirección percibirá los beneficios de la implementación de un software GRC. Pero no serán esas las personas que estarán incorporando información, obteniendo reportes, revisando mapas de calor…

Es importante considerar las necesidades de esos usuarios finales, sus expectativas y sus necesidades de capacitación. Pero también es preciso integrarlos al proceso de selección de software desde el inicio, para evitar un rechazo inicial, que es una constante en la implementación de cualquier tipo de software nuevo.

2. Contratar una plataforma única

Algunas organizaciones optan por contratar un programa para gestionar el cumplimiento y el gobierno corporativo, en tanto que la gestión de riesgos va por otro lado.

También hay proveedores que venden las tres soluciones, en módulos separados, que no fueron diseñados para integrarse en algún momento. Los empleados que harán uso del software necesitan acudir a un único sitio. Abandonar hojas de cálculo, presentaciones de PowerPoint o documentos de Word.

Pero esto no significa que el nuevo programa no pueda, y deba, acoger estos formatos con facilidad.

3. Confiabilidad del proveedor

Lo ideal es que el Software de Gobierno Corporativo, Riesgo y Cumplimiento sea una solución basada en la nube. Esto eliminará muchos problemas en la implementación, especialmente los derivados de la instalación local en cada ordenador.

También ofrece las mejores condiciones de movilidad y accesibilidad desde cualquier tipo de dispositivo. Y, finalmente, el soporte que puede ofrecer el proveedor es ilimitado. Todas las actualizaciones y mejoras se reciben de forma automática, sin que representen coste adicional para la organización.

4. Tener diseñado e implementado el modelo GRC

Muchas organizaciones piensan en el Software de Gobierno Corporativo, Riesgo y Cumplimiento como una herramienta que les ayudará en la construcción de su marco GRC.

El software es una herramienta que automatiza procesos ya definidos e implementados. Puede ser una buena guía y un aliciente para el equipo que trabaja en la implementación de sistemas de gestión de riesgos o de cumplimiento. Pero su verdadero valor se verá cuando GRC ya esté incorporado a la organización.

5. Realizar un análisis de brechas

Los problemas de cumplimiento o los que afectan la gestión de riesgos, deben ser el objetivo prioritario del Software de Gobierno Corporativo, Riesgo y Cumplimiento. Al identificar brechas operativas, se aíslan puntos en los que el software entra a solucionar problemas, evitar duplicación de esfuerzos, eliminar pasos manuales y, en general, digitalizar y automatizar la gestión.

6. Tener sistemas de gestión sólidos

Muchas organizaciones se preocupan por el cumplimiento, por adoptar las mejores prácticas éticas y por prevenir riesgos. Dedican mucho esfuerzo a ello, pero no construyen una base sólida, propia de los sistemas de gestión estandarizados, en las áreas de gestión anticorrupción, gestión de riesgos y gestión de cumplimiento.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es una solución basada en la nube, diseñada para apoyar la implementación y desarrollo exitoso de un modelo GRC. Esta plataforma permite adoptar un enfoque integral de la gestión de riesgos de cumplimiento, basada en las mejores prácticas éticas.

Con tantas obligaciones de cumplimiento en el radar, un oficial de cumplimiento necesita una herramienta que automatice la gestión y provea información útil y constante. Esa herramienta está aquí.

La entrada Software de Gobierno Corporativo, Riesgo y Cumplimiento (GRC): buenas prácticas de implementación se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

El Sistema de Control Interno crea una barrera difícil de franquear para quienes insisten en cometer delitos, sobornar y defraudar. Los controles que integran el Sistema sirven también para que todos los empleados sepan exactamente qué es lo correcto y qué no está permitido, para obtener informes contables y financieros confiables y para cumplir con las normas y regulaciones aplicables.

La aplicación correcta de los controles internos aporta importantes beneficios para cualquier organización, para sus empleados y para sus socios de negocio. Pero para que un Sistema de Control Interno cumpla con los objetivos esperados, es preciso saber cuáles son los diferentes tipos y dónde implementarlos.

Sistema de Control Interno – Los diferentes tipos de controles

En un Sistema de Control Interno Corporativo aparecen dos categorías de controles: los preventivos, y los de detección. Dentro de cada una de estas categorías se encuentran diferentes medidas específicas, diseñadas para poner barreras que dificulten o impidan a los infractores alcanzar sus objetivos.

1. Controles preventivos

Los controles preventivos son diseñados e implementados para evitar que ocurra un error o que se presente una infracción intencional por parte de empleados dispuestos a infringir las normas y las leyes. Se trata de medidas proactivas, que se ponen en marcha aún sin la presencia de indicios o señales de que se cometerá un delito. Los controles representativos de esta categoría son:

a. Segregación de deberes

La separación de funciones, como también se conoce, consiste en involucrar a muchas personas en una misma operación o transacción, con el fin de minimizar el riesgo de error o de confabulación para cometer un delito.

Cuantas más personas tengan que ver con una operación, menor el riesgo de error o de infracción voluntaria. Ninguno de los empleados con responsabilidades tendrá autonomía para autorizar por sí solo una transacción, disminuyendo así el riesgo de fraude, robo o soborno.

Algunos ejemplos de segregación de deberes son:

• Inscripción y registro de nuevos proveedores.
• Conciliación de cuentas contables, especialmente las que se relacionan directamente con movimiento de dinero, como bancos, caja general o caja menor.
• La recepción de dinero en efectivo o cheques.
• La aprobación de gastos, inversiones o erogaciones de dinero.

b. Aprobaciones y autorizaciones

Este control pretende que todas las aprobaciones y autorizaciones de operaciones que superen un monto determinado, pasen por varios niveles de aprobación, que involucre a dos, tres o hasta cinco empleados, en ocasiones pertenecientes a áreas diferentes.

Algunos ejemplos de este tipo de control son:

• Aprobación de pago de facturas.
• Autorización para comprar un bien o contratar un servicio.
• Contratación de empleados en puestos clave.

c. Seguridad física

La seguridad física pretende limitar el acceso físico de personas no autorizadas a bienes, dinero, maquinaria y equipo, bienes muebles y otros activos patrimoniales de la organización.

Algunos ejemplos:

• Uso de cajas fuertes.
• Uso de controles biométricos para el acceso a determinadas instalaciones.
• Imposición de guardas o agentes de seguridad.

2. Controles de detección

Los controles de detección son posteriores a la posible ocurrencia de una infracción, un soborno o un fraude. Este tipo de controles trata de encontrar evidencia de la ocurrencia de un delito o de un acto contra la ética o la ley.

La aplicación de controles de detección, además de su objetivo natural, sirven para confirmar la eficacia de los controles preventivos o, por el contrario, su ineficacia.

En esta categoría encontramos las siguientes actividades:

a. Conciliaciones

Las conciliaciones son revisiones o verificaciones cruzadas, usualmente entre informes provenientes de dos fuentes diferentes, con el fin de hallar evidencia de inconsistencias, errores o comisión de actos de corrupción.

Algunos ejemplos recurrentes de conciliaciones son:

• Conciliación entre el informe mensual de una cuenta de banco y el reporte de contabilidad.
• Conciliación entre el informe contable de la cuenta de caja menor y los soportes documentales físicos.
• Conciliación entre inventarios físicos y los documentos soporte de ingreso de mercancías por compra y de salidas por venta.

b. Revisiones de desempeño

Este tipo de revisiones, en un Sistema de Control Interno, sirven para comparar la gestión real, con los indicadores y parámetros supuestos con anterioridad. El objetivo es establecer diferencias entre lo supuesto y lo real, y encontrar explicaciones para estas discrepancias.

En este grupo de controles se encuentran:

• La revisión entre el presupuesto de gastos y los informes de gasto reales.
• Los flujos proyectados de caja y los saldos finales reales en esa cuenta.

c. Auditorías Internas

La auditoría es la revisión en su máxima expresión. Por el carácter de esta actividad, por la dignidad que reviste al auditor y por el alcance que tiene esta evaluación, se trata de la actividad más importante en un Sistema de Control Interno.

Algunos ejemplos de auditorías son:

• Auditoría contable y/o financiera.
• Auditoría de compras y adquisiciones.
• Auditoría general.
• Auditoría de inventarios.
• Auditoría a los informes contables y financieros.
• Auditoría al programa anticorrupción.

Plataforma tecnológica para ISO 37001 de ISOTools

La implementación de un Sistema de Control Interno Corporativo efectivo necesita recopilar información, procesarla, analizarla, evaluarla y producir informes oportunos y eficaces, como mapas de calor y evaluaciones de riesgos, entre otros.

La plataforma tecnológica para ISO 37001 de ISOTools, es una herramienta que automatiza muchas tareas propias de la Gestión Anticorrupción e, incluso, muchas actividades de las que se han descrito y que forman parte del Sistema de Control Interno Corporativo.

Esta herramienta de última generación está lista para ayudar a las organizaciones a prevenir actos de corrupción. Conoce aquí la plataforma tecnológica para programas antisoborno de ISOTools.

La entrada Sistema de control interno corporativo: tipos y ejemplos de actividades importantes a implementar se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Este enfoque para gestionar áreas clave para el crecimiento y la supervivencia de la organización, en muchos casos, se percibe como un obstáculo para la toma de decisiones de negocio, en lugar de como un posible motor de crecimiento empresarial.

Sin embargo, en la actualidad, estas tres líneas de defensa, indispensables en una organización, confluyen en lo que se conoce como un programa GRC, con un enfoque diferente y resultados muy interesantes.

Se trata de una evolución apoyada por la tecnología, que genera una visión holística del negocio y una evaluación de riesgos sólida y mucho más amigable con los tomadores de decisiones.

Surge así la visión de que un programa GRC moderno y de alto rendimiento puede aportar a la organización agilidad, resiliencia y un impacto dentro y fuera de la organización que favorece la actividad corporativa.

Programa GRC – Tres características que garantizan la eficacia

El mundo corporativo moderno requiere tomar decisiones estratégicas y de negocio todos los días. Cada decisión desata la probabilidad de muchos y muy complejos riesgos. Si bien, un programa GRC moderno, eficaz y de alto rendimiento debe presentar tres características que lo conviertan en un acelerador y facilitador de negocios y de crecimiento:

1. Agilidad

Aquellas organizaciones que son ágiles se adaptan mejor a los cambios cuando surgen desafíos, aprovechan antes las oportunidades emergentes y, en general, están mejor posicionadas para alcanzar sus objetivos estratégicos. Y la base para la toma de decisiones con cierto grado de confianza es contar con información de respaldo sólida.

Es en este punto donde un programa GRC fuerte puede promover la agilidad. Los tomadores de decisiones no siempre son expertos en todas las áreas de riesgo. Por ejemplo, en áreas que pueden requerir ciertos conocimientos técnicos como la privacidad de los datos o la ciberseguridad. Pero sí son conscientes de la importancia de estos riesgos a la hora de priorizar.

Como vimos al analizar la importancia de los informes GRC, estos permiten tener visibilidad e información precisa, detallada y completa sobre los riesgos y las áreas que requieren atención en la organización. De esta forma, un programa GRC sólido puede ayudar a los tomadores de decisiones a avanzar rápidamente sobre temas complejos, contando con información fiable para operar de forma ágil.

2. Resiliencia

Las organizaciones que adoptan un modelo de gobierno GRC, tienen mayor capacidad de resiliencia. Esto es especialmente válido cuando se trata de terceros, como proveedores, inversores o representantes en otros países, que generan noticias negativas debido a comportamientos poco éticos o, claramente, hechos de corrupción.

Por supuesto, esto representa un momento difícil para cualquier organización. Un programa GRC aumenta la capacidad para detectar esto antes de que suceda, o para levantarse y seguir adelante en caso de que el riesgo realmente se presente.

3. Facilitador de negocios

Clientes y consumidores obtienen confianza y seguridad ante la presencia de los elementos que conforman el modelo GRC. También los mejores talentos son atraídos por un sólido programa GRC que considera y gestiona de forma adecuada cómo las acciones de una organización impactan a las personas y al medio ambiente. Factores que cada vez se tienen más en cuenta en las decisiones de compra y en la retención y reclutamiento de empleados.

Incluso, puede haber organizaciones proclives a entablar relaciones comerciales únicamente con compañías que comparten sus valores.

La gestión de riesgos integrada y un programa GRC robusto pueden permitir a la organizaciones anticipar, reaccionar y responder a estos factores que tienen un impacto real en los resultados de negocio.

Software ISO 37301 de ISOTools

La Gestión de Cumplimiento, como parte esencial de un modelo de gestión GRC, requiere apoyo tecnológico especialmente en tareas como Gestión de Riesgos y Debida Diligencia.

El Software ISO 37301 de ISOTools ha sido diseñado para automatizar y digitalizar estas y otras tareas, necesarias para una Gestión de Compliance eficaz, pero también para aportar a un modelo GRC eficaz, moderno y que agregue valor a la organización.

Esta avanzada solución está lista para apoyar la gestión de complimiento de su organización. Conozca un poco más de ella aquí.

La entrada 3 Características de un programa GRC eficaz: agilidad, resiliencia y facilitador de negocios se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Son varias las preguntas clave que se deben formular para tener la certeza de que el software GRC que se contrata es el que responde a las necesidades y expectativas de la organización y de las partes interesadas. El objetivo es que realizar un análisis previo sobre la plataforma de gestión de cumplimiento, riesgos y gobernanza permita una integración de la herramienta fluida y efectiva.

Por ello, hemos diseñado una concisa checklist, con 8 temas esenciales sobre las características y el alcance del software GRC que se considera contratar.

Software GRC – 8 preguntas para elegir el mejor

Es claro que no todas las organizaciones tienen las mismas necesidades, ni todos los programas GRC están hechos a la misma medida. Los temas y las preguntas específicas que recopilamos, no obstante, consideran la generalidad de los casos, por lo que en una proporción importante esta lista de verificación resultará importante para todas las organizaciones interesadas:

1. ¿Qué valor incorpora el software GRC a la gestión interna de la organización?

• ¿El software GRC está diseñado para gestionar casi todas las regulaciones de cumplimiento internacionales, nacionales y locales?
• ¿La gestión de riesgos y la gestión de auditorías forman parte de la solución?
• ¿La solución facilita el análisis de gestión de riesgos y gestión de riesgos de terceros?

2. ¿Cuáles son las características principales del software y cuáles sus beneficios?

• ¿La plataforma permite gestionar planes de acción y las obligaciones de cumplimiento en toda la organización?
• ¿Es posible gestionar respuestas a incidentes e incluye formularios para recabar información cuando esto sucede?
• ¿Proporciona plantillas personalizables para realizar auditorías en todas las áreas y niveles de la organización?
• ¿Es posible realizar evaluaciones de riesgos internas y a terceros?
• ¿Permite administrar las regulaciones propias del sector o industria?
• ¿Incorpora funcionalidad de gestión de documentos para almacenarlos, organizarlos, mantener la trazabilidad y gestionar su ciclo de vida?
• ¿Permite administrar contratos de todo tipo, incluidos acuerdos formales o informales, con socios, inversores o aliados comerciales?

3. ¿El programa es fácil de utilizar?

• ¿Es amigable con el usuario?
• ¿El proveedor ofrece diferentes canales y opciones de soporte?
• ¿Ofrece programas de capacitación sobre el uso de la plataforma?

4. ¿El software GRC puede crecer y escalar con la organización?

• ¿Es una solución flexible que se adapta a los cambios?
• ¿Es posible añadir nuevos usuarios?
• ¿El proveedor trabaja en actualizaciones?
• ¿Estas actualizaciones tendrán coste para la organización?
• ¿Es posible almacenar grandes cantidades de información, en la nube o en backups?

5. ¿Cómo trabajan las funcionalidades de informes?

• ¿El software produce los informes solicitados por organismos gubernamentales y reguladores?
• ¿Estos informes son fáciles de obtener, almacenar y distribuir?

6. ¿El programa se actualiza con determinada periodicidad?

• ¿Cómo funcionan las actualizaciones del software?
• ¿Se hacen cuando es necesario o el proveedor tiene un programa de actualizaciones definido?

7. ¿La solución se integra con otras herramientas ofimáticas, como cuentas de correo electrónico, para facilitar las notificaciones?

• ¿Es posible generar y distribuir mensajes de correo electrónico a todos los usuarios?
• ¿Administra planes de acción y envía notificaciones sobre asignación de tareas o atraso en la ejecución de ellas?

8. ¿Hay actualizaciones obligatorias como consecuencia del cambio en normas, leyes o regulaciones?

• ¿Este tipo de actualizaciones se generan de forma automática o es preciso solicitarlas?
• ¿El proveedor informa que se requiere determinada actualización y avisa cuando esta ha sido incorporada?

Software ISO 37301 de ISOTools

Dentro de un programa GRC, la gestión de cumplimiento adquiere una importancia crítica. El Software ISO 37301 de ISOTools cumple con todas y cada una de las expectativas planteadas en las preguntas que conforman la lista de verificación anterior.

Se trata de una solución avanzada de gestión de cumplimiento para facilitar, optimizar y mejorar la efectividad de las iniciativas corporativas. Y es una solución tecnológica en constante evolución.

Las organizaciones que adoptan una estrategia GRC y, en particular, las que confían sus obligaciones de cumplimiento al estándar internacional ISO 37301, encuentran aquí un gran aliado para el logro de sus objetivos.

La entrada Software GRC: 8 preguntas clave para elegir la mejor solución para tu organización se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.