GRC en seguridad de la información mejora la eficiencia de la gestión, genera retorno de la inversión y elimina riesgos, sobre la base de tres ejes fundamentales: buenas prácticas de Gobernanza, cumplimiento y gestión de riesgos.

En entradas anteriores hemos analizado el modelo de gestión GRC con detalle. Hoy hablamos del alcance real de GRC en seguridad de la información, cómo contribuye a lograr objetivos y por qué es importante implementarlo en cualquier organización.

¿Qué es GRC en seguridad de la información?

El concepto de gestión basada en la alineación de Gobernanza, Riesgo y Cumplimiento aparece con el nuevo milenio. Se trata de un modelo que busca mejorar la productividad, disminuir la posibilidad de error, evitar riesgos y asegurar el cumplimiento normativo y legal en todas las operaciones de la organización.

Hasta ahí, no hay mucho que aclarar. Lo novedoso están en el impacto que tiene GRC en seguridad de la información: el marco de gestión elimina los silos de información, al promover la comunicación entre diferentes áreas y departamentos. Así, todos tienen acceso a información y recursos.

¿Cómo trabaja la Gobernanza en un modelo GRC en seguridad de la información?

La Gobernanza implica tomar buenas decisiones, éticas y ajustadas a lo que se consideran buenas prácticas en cualquier lugar del mundo. La Gobernanza, de forma adicional, incorpora el cumplimiento de todas las obligaciones voluntarias o legales de la organización.

GRC en seguridad de la información aplica la Gobernanza al diseñar protocolos o controles que garanticen la seguridad de la información y de los activos, y la buena conducta de los empleados propietarios de esos activos y de los procesos asociados.

La Gobernanza es el elemento que garantiza la transparencia en la gestión de seguridad de la información. Pero también hace que exista comunicación fluida y productiva sobre el tema en todas las áreas de la organización.

¿Cómo funciona la Gestión de Riesgos en un modelo GRC en seguridad de la Información?

Una de las ventajas de adoptar un modelo GRC para gestionar la Seguridad de la Información es el derrumbe de barreras entre diferentes áreas para dinamizar el flujo de información. Como ya se advirtió, desaparecen los silos de información.

Las preocupaciones y los informes sobre riesgos inminentes se exponen con una alta exposición, facilitando la Gestión de Riesgos. La Gestión de Riesgos es ahora integral y tiene alcance sobre toda la organización.

¿Qué función cumple el cumplimiento en un modelo GRC en seguridad de la información?

Asegurar el cumplimiento en el área de seguridad de la información es cubrir la mayoría de las grietas que representan riesgos. El cumplimiento evita de paso el pago de multas o sanciones y la consecuente erosión de la imagen y la reputación de la organización.

GRC promueve el cumplimiento normativo, contractual, legal y regulatorio. Los datos y la información sensible de la organización, así como la conformidad con los requisitos de algún estándar como ISO 27001 o de reglamentos como RGPD, están asegurados.

¿Qué busca un modelo GRC en seguridad de la información?

Los objetivos son varios. El primero de ellos es mejorar los resultados de la gestión y optimizar el uso de recursos. Otros objetivos específicos son:

• Aumentar los indicadores de Retorno de la Inversión en el área de IT.
• Reducir costes y eliminar tareas redundantes.
• Eliminar silos de información.
• Promover la automatización de procesos y de Sistemas de Gestión.
• Aumentar la confianza en los inversores, los inversores y los reguladores.

Software ISO 37301 de ISOTools

Los modelos GRC tienen altos requerimientos de información. Muchas organizaciones necesitarán procesar grandes cantidades de datos en muy poco tiempo. El Software ISO 37301 de ISOTools es una herramienta diseñada para afrontar los retos que ofrece el modelo, pero también la gestión de cumplimiento.

Se trata de una plataforma que incorpora elementos de Big Data y de Inteligencia Artificial. Automatiza tu programa de cumplimiento con esta solución.

La entrada ¿Qué significa GRC en seguridad de la información? se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Las políticas, y la gestión de políticas, son la herramienta que utiliza la Alta Dirección para expresar, más que sus deseos, sus límites. Se trata de documentos en los que se define un marco para la toma de decisiones por parte de los ejecutivos medios de la organización.

La gestión de políticas desempeña un papel importante en la capacidad de gobernanza de la Alta Dirección. Pese a ello, no todas las Juntas Directivas lo entienden así y hace uso de una adecuada gestión de políticas.

¿Por qué la Alta Dirección necesita una adecuada gestión de políticas?

La Alta Dirección tiene la responsabilidad de tomar las mejores decisiones para el bienestar financiero, legal, social y reputacional de la organización. Sin embargo, es un hecho que el fragor del trabajo diario impide consultar todos los asuntos a la Alta Dirección.

Los ejecutivos, los directores de área y los gerentes de nivel medio toman decisiones inmediatas, que muchas veces no son conocidas por la Alta Dirección. Y no tienen por qué hacerlo: el trabajo de la Alta Dirección es guiar, conducir, liderar… no gestionar o tomar decisiones sobre todos y cada uno de los temas en la organización.

La Alta Dirección delega la toma de decisiones sobre asuntos menores, pero también de asuntos de importancia media. Incluso, algunos grandes temas entran en el radio de acción de los gerentes y ejecutivos medios, dentro de un marco que les permite saber hasta dónde pueden llegar y que no pueden hacer.

Ese marco está compuesto por las políticas que ha publicado la Alta Dirección. Y para que las políticas cumplan con su función se requiere una acertada y eficaz gestión de políticas.

La gestión de políticas es también una responsabilidad de los ejecutivos de la organización. A esta altura, muchos lectores estarán preguntándose sobre el trabajo real de la Alta Dirección.

La Alta Dirección, en una organización, es un órgano consultivo. No es operativo. Los miembros de la Alta Dirección se reúnen apenas algunas horas al mes. Algunos de esos miembros pertenecen a las Juntas de varias organizaciones.

Por eso necesitan las políticas: para comunicar lo que se espera que se haga, o lo que no se permitirá, en áreas como cumplimiento, seguridad de la información, seguridad en el trabajo, gestión ambiental… Todo esto, en conjunto, se denomina Gobernanza.

Las políticas son la guía que consulta y tiene en cuenta cada ejecutivo, cada gerente, cada supervisor, cada director de área, en el momento de tomar una decisión o aprobar un proyecto.

Y para que las políticas se produzcan a tiempo, sobre los temas que la Gobernanza requiere, y el mensaje llegue a las personas adecuadas, se necesita una eficaz, adecuada y oportuna gestión de políticas.

¿Qué elementos clave necesita considerar la gestión de políticas?

Algunas políticas son publicadas por la Alta Dirección obedeciendo un deseo autónomo o una necesidad identificada por los miembros de la junta. Otras, la mayoría, son solicitadas por equipos de gestión en las diferentes áreas.

En ambos casos los documentos son importantes. Para que cumplan con su cometido, estos documentos necesitan incorporar elementos mínimos. Es la gestión de políticas la que se encarga de verificar que esos elementos estén presentes:

1. Decisiones y requisitos de la Alta Dirección

No tendría objeto o funcionalidad una política que no exprese el deseo de la Alta Dirección para que se haga algo. Es importante que esas decisiones contenidas en la política respondan a una necesidad vigente o a un problema que no ha ocurrido aún.

2. Comprensible para la audiencia

La política de seguridad en el trabajo, por ejemplo, interesa a todos los empleados de la empresa. Igualmente, el cumplimiento incumbe a todas las áreas. Otras son un tanto más reducidas en su alcance, como seguridad de la información. Todas las políticas, no obstante, deben expresarse en términos comprensibles para la audiencia a la que se dirigen.

3. Expectativas

La política habla sobre lo que se quiere que se haga y sobre lo que no se permite o tolera. Pero también formula expectativas. Los miembros de la Alta Dirección expresan en la política lo que desean que ocurra, lo que esperan de la gestión, las metas que les gustaría ver alcanzadas, los objetivos hacia el futuro.

4. Aplicabilidad

La política necesita ser realista. Esto implica que lo que allí se dispone sea alcanzable, medible y verificable. Pero también debe expresar el documento a quien aplica y quien asume las responsabilidades primarias.

5. Mecanismos de revisión y monitoreo

Lo que no se puede medir no se puede controlar. Un elemento esencial en la gestión de políticas, y en las mismas políticas como documento, es la inclusión de herramientas y mecanismos de revisión y monitoreo diseñados para verificar el cumplimiento.

6. Acatamiento y respeto

Finalmente, es importante que el documento adopte el tono superior propio de la Alta Dirección. Todos en la organización necesitan entender que se trata de un mandamiento expreso de la Alta Dirección y que su incumplimiento implica sanciones.

¿En qué casos no utilizar la gestión de políticas?

La gestión de políticas y su resultado natural, que es la creación de este tipo de documentos, sólo proceden cuando la Alta Dirección busca comunicar lineamientos o posiciones con respecto a la gestión en un área definida.

Aunque algunos ejecutivos de la organización piensen que, con respecto a un determinado tema, conviene una declaración de la Alta Dirección, es importante que esto se haga bajo el concepto de “Declaración” y no utilizando el de política.

Específicamente, las políticas no se deben utilizar para:

1. Impartir órdenes específicas

Especialmente cuando estas órdenes o instrucciones corresponden por delegación o por jerarquía a mandos medios, ejecutivos, directores de área, supervisores u otros empleados a los que se les ha facultado para ello.

2. Divulgar procedimientos

Todos los procedimientos normalizados o estandarizados, así como otro conjunto de instrucciones para desempeñar un proceso o un conjunto de tareas, se comunican en otro tipo de documentos. Hacerlo en documentos como políticas, hace que estas pierdan el respeto y la jerarquía que tienen por definición.

3. Expresar opiniones sobre situaciones cotidianas o imprevistas

La Alta Dirección, por supuesto, tiene el derecho y la obligación de pronunciarse sobre la ocurrencia de situaciones imprevistas o inusuales, sobre todo si el origen de ese tipo de eventos implica un reproche o un llamado de atención para algunos empleados, algún área definida o un gerente o director de área.

Pero estos pronunciamientos se hacen de forma oral en una reunión preparada para cumplir ese objetivo o un comunicado que se remita a las personas competentes.

Software ISO 37301 de ISOTools

Más allá de la parte doctrinaria, la creación de políticas necesita trazabilidad, control de documentos y comunicación efectiva. Son aspectos procedimentales que necesitan la implementación de una solución como el Software ISO 37301 de ISOTools.

Esta plataforma tecnológica, basada en la nube, se especializa en la automatización de las diferentes tareas de un Sistema de Gestión de Compliance. Entre otros objetivos, la solución apoya y garantiza la eficiencia de la Gestión de Políticas. Conócela aquí.

La entrada La importancia del papel de la Alta Dirección en la gestión de políticas se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

El riesgo de cumplimiento de terceros siempre está presente. La única forma de evitarlo sería prescindiendo de todo tipo de asociación, cooperación o tercerización. Esto, por supuesto, implicaría reducir al mínimo las oportunidades de crecimiento de la organización.

Otra opción es contar con los terceros necesarios, pero no gestionar los riesgos que la asociación implica. Con un marco regulatorio en el área de cumplimiento cada día más estricto, dejar el cumplimiento de los terceros a su libre albedrío es un riesgo que no es necesario ni prudente correr.

¿Cómo tratar el riesgo de cumplimiento de terceros?

Una primera sugerencia es asociarse o contar con la colaboración de personas y organizaciones que tengan las mismas expectativas de cumplimiento. El incumplimiento de terceros genera acciones sancionatorias, detrimento económico y deterioro de la reputación, para el tercero, pero que se traslada y transmite a la organización.

Otra consecuencia que poco se advierte es el tratamiento opresivo de los reguladores, que puede limitar el accionar de la organización y el desarrollo normal de sus estrategias comerciales. El resultado es retraso del crecimiento.

Para evitar que esto suceda, la organización necesita verificar la presencia de diez elementos clave para tratar el riesgo de cumplimiento de terceros:

1. Procesos efectivos de debida diligencia

La debida diligencia permite conocer al tercero e identificar relaciones que pueden afectar el cumplimiento, y de paso, la conducta ética. La debida diligencia de terceros es una de las actividades que más tiempo y recursos consume.

Por ello es importante contar con una plataforma que permita procesar grandes cantidades de datos y que automatice tareas repetitivas. Establecer relaciones comerciales o firmar contratos con terceros que no han pasado por procesos de debida diligencia exhaustivos aumenta de forma exponencial el riesgo de cumplimiento de terceros.

La debida diligencia, finalmente, es un proceso que se repite de forma periódica mientras subsista la relación comercial con el tercero. Algunas organizaciones lo hacen cada trimestre. La recomendación es hacerlo con una frecuencia mínima de seis meses.

2. Verificar las expectativas del tercero

Es probable que el tercero no considere el cumplimiento como algo prioritario. Una buena señal de que esto no es así, es la certificación ISO 37301. La interacción con el tercero, a nivel de Alta Dirección, ayuda a obtener una visión sobre lo que espera el tercero, sus objetivos y sus intereses en cuanto al cumplimiento propio y el de los demás integrantes de una cadena de suministro.

3. Incluir el cumplimiento en el contrato

La firma de un contrato suele ser el inicio formal de una relación comercial. Es un documento cuya importancia sobra mencionar. Es también el documento ideal para incluir el cumplimiento como una obligación, una necesidad y un objetivo común para las partes que suscriben el contrato.

4. Auditorías de terceros

En este punto existen unos terceros que saben que la organización exige el cumplimiento, y se han comprometido a hacerlo firmando un contrato. Una herramienta de verificación y control eficaz es la auditoría de terceros.

La tarea será más fácil si la organización auditada cuenta con un Sistema de Gestión de Cumplimiento estandarizado y, en lo posible, basado en la norma ISO 37301. Un Sistema automatizado y digitalizado también facilita la tarea del auditor y el logro de los objetivos de la organización.

5. Priorizar los terceros de acuerdo con la Gestión de Riesgos

El riesgo de cumplimiento de terceros está en todos los socios comerciales de la organización. Pero, por diversas razones, algunos implican mayor probabilidad o suponen un riesgo de mayor impacto.

Los elementos anteriores permiten obtener la información necesaria para entender cuáles son, y cuáles deben encabezar un listado de alto riesgo. Estos, por supuesto, deben ser monitoreados y vigilados con mayor profundidad.

6. Extender el alcance a la cultura de cumplimiento

Es común pensar que la cultura de cumplimiento tiene alcance limitado a las fronteras de la organización. Compartiendo programas de formación y capacitación, charlas, foros, o incluso, tecnología, la cultura puede transmitirse y extenderse al ámbito de los terceros, con los beneficios que ello implica para la gestión del riesgo de cumplimiento de terceros.

7. Mantenerse actualizados y comunicar al tercero

El escenario regulatorio es dinámico y en ocasiones volátil. La organización necesita mantenerse al día con las novedades, los cambios y la evolución en general del escenario regulatorio en todas las áreas.

Se espera que los terceros hagan lo mismo. Pero no está de más comunicar y alertar. Esto demuestra interés y, de paso, fomenta cultura en todas las organizaciones involucradas.

8. Revisar el cumplimiento en conjunto

Las tareas que se realizan de forma colaborativa entregan mejores resultados y eliminan el riesgo de que el tercero se sienta intimidado o presionado. Reuniones amigables para discutir problemas, para verificar el avance de la gestión o para plantear nuevas expectativas, contribuyen a controlar el riesgo de cumplimiento de terceros.

9. Procesos de reacción ante infracciones

La gestión de riesgos trata de eliminar todas las amenazas, pero también de entregar herramientas para reaccionar ante la ocurrencia de un incidente o un problema. En el caso del riesgo de cumplimiento de terceros no es diferente.

La organización necesita contar con un procedimiento de acción ante la ocurrencia de incidentes o infracciones de cumplimiento. Esto incluye la interacción con el tercero, la investigación, la identificación de la causa raíz, las acciones inmediatas para minimizar el impacto negativo y las de medio y largo plazo para evitar la repetición.

10. Documentar todo

Nada contribuye más al éxito de la Gestión de Riesgos, que contar con un repositorio de información histórica que permita entender la evolución, las causas de los problemas acaecidos y las expectativas y tendencias hacia el futuro.

Nuevamente, es importante la incorporación de tecnología a la gestión. Mantener registros actuales, garantizar la trazabilidad de los documentos y asegurar su disponibilidad y comunicación, son elementos esenciales para tratar el riesgo de cumplimiento de terceros.

Software ISO 37301 de ISOTools

Un consejo final: la gestión de riesgo de cumplimiento de terceros también necesita indicadores eficientes y confiables para lograr objetivos y avanzar. El Software ISO 37301 de ISOTools es una herramienta diseñada para afrontar todos los desafíos que se mencionan en este informe y muchos más.

Esta funcional plataforma está lista para automatizar la Gestión de Compliance de tu organización. Encuéntrala aquí.

La entrada Riesgo de cumplimiento de terceros: 10 elementos clave para su gestión se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Las cifras y los datos son ahora más importantes que la percepción. Esto, suponiendo que las métricas consideradas son las indicadas. Los indicadores de cumplimiento utilizados necesitan entregar información relevante que ofrezca certeza sobre el rumbo de la gestión y su impacto positivo real en la organización.

¿Qué son indicadores de cumplimiento?

Los indicadores de cumplimiento son las métricas, cifras o datos que, en su conjunto, verifican el buen funcionamiento de la gestión de compliance, o, por el contrario, su incapacidad para cumplir con los objetivos propuestos.

Utilizar los indicadores de cumplimiento eficaces evita que una organización se vea inmersa en problemas de mala conducta o tenga que pagar multas o sanciones, por confiar en un Sistema de Compliance que en la práctica presenta muchas fallas.

Contar con indicadores adecuados disminuye los riesgos de cumplimiento y ayuda a identificar problemas con suficiente antelación. Brechas de capacitación, deficiencia en políticas o procedimientos o ausencia de tecnología, son entre otros, problemas que evidencian los indicadores de cumplimiento.

Todo esto, por supuesto, si se mide lo que se debe medir y se utilizan las herramientas adecuadas. Los indicadores pueden ser los necesarios. Pero si se obtienen cuando los hechos medidos ya son historia, resultarán poco relevantes.

¿Cuáles son los cinco indicadores de cumplimiento que debería utilizar toda organización?

Dos características hacen que un indicador sea relevante: que compruebe sin lugar a duda que la gestión garantiza el cumplimiento o que señale un problema existente que dificulta o impide el logro de los objetivos.

Los Sistemas de Gestión de Compliance digitalizados, con un alto grado de automatización, entregan datos e informes confiables y, por tanto, indicadores relevantes que tienen impacto inmediato en la mejora continua de la Gestión. Los cinco más importante, que toda empresa tendría que utilizar son:

1. Tiempo en el que se identifican los problemas

Este indicador muestra la media de tiempo que toma a la Oficina de Cumplimiento identificar un problema, desde su origen hasta que se produce el hallazgo. No se toma en cuenta, aún, el tiempo de reacción ni el que se utilizará para resolver el asunto.

El momento en que se identifica el problema es fácil de ubicar. Aparece en un informe de auditoría, en una inspección, como resultado de una denuncia interna o cuando la organización es sancionada o recibe el impacto negativo de una infracción o un incumplimiento.

El verdadero problema está en encontrar la fecha del origen. Los programas digitalizados pueden entregar pistas de trazabilidad que permiten encontrar el momento real en que aparece un problema. De hecho, suelen tener la capacidad de informarlo de forma automática.

Entrevistas, investigaciones dispendiosas o exámenes a documentos son formas tradicionales a las que es preciso acudir cuando no se cuenta con el debido soporte tecnológico.

El tiempo medio en el que el programa logra hallar un problema e identificarlo, evidencia la agilidad de la Gestión, la eficacia de la comunicación interna, el nivel de cultura de cumplimiento y la capacidad real para encontrar problemas antes de que su impacto sea irreparable.

Es un indicador expresado en tiempo, que se espera siempre esté a la baja.

2. Tiempo de reacción

Un problema identificado tendría que ser intervenido de inmediato. Es lo que se espera, pero no siempre es así. En algunos casos es preciso realizar una investigación para encontrar la causa raíz, diseñar estrategias para eliminarla, solicitar recursos, modificar un proceso, implementar un control…

El tiempo que transcurre desde la identificación del problema, y la intervención efectiva del equipo de cumplimiento con una acción correctiva o preventiva es fácil de obtener. Es un indicador muy importante ya que demuestra la capacidad de reacción que tiene el Sistema.

Es, además, un indicador que muestra que tan preparada está la Oficina de Cumplimiento para enfrentar imprevistos. Evitar ‘incendios’ es importante. Pero estar preparados para apagarlos lo más pronto posible también lo es.

3. Tiempo empleado para resolver problemas

Es, en la cadena de gestión, el siguiente indicador natural. La fecha de inicio en este caso es muy fácil de señalar: es el momento en que el problema es reportado en un informe de auditoría, en una inspección o a través de una denuncia, siendo estas las fuentes usuales para este tipo de hallazgos.

La fecha final es, por supuesto, cuando se resuelve el problema. Es un indicador útil para identificar problemas en la investigación o en la capacidad para implementar acciones correctivas. Muchos problemas no son resueltos con la debida oportunidad por ausencia de recursos. Otros delatan la resistencia de los empleados a ofrecer información y colaborar con la investigación.

En algunas organizaciones existen profesionales con competencias forenses que facilitan la resolución de problemas de cumplimiento. El tiempo para resolver los problemas es, no obstante, significativamente más bajo en organizaciones que cuentan con una gestión automatizada.

4. Coste de la Gestión

El coste total de la Gestión es ya un indicador de cumplimiento muy interesante. Sin embargo, obtener el coste por problema tratado entrega una cifra en dinero que necesita la Alta Dirección para la toma de decisiones futuras.

Esta cifra se puede enfrentar con el coste que hubiesen representado los problemas si no se trataran a tiempo. Otra forma de presentar el indicador es tomando el coste total del programa y dividiéndolo entre los casos exitosos.

La métrica ayuda a entender qué tipo de problemas resultan más costosos en su resolución, y cuál es la etapa de la resolución que más recursos consume: identificación, investigación, implementación de medidas, monitoreo, revisión…

5. Impacto previsto vs impacto real

La Gestión de Riesgos en cualquier área se basa en unos eventos hipotéticos. Eventos respaldados por cifras, por tendencias, por antecedentes históricos, pero, igualmente hipotéticos hasta que no se presentan.

No existe la Gestión de Riesgos infalible. Y la única forma de comprobar que tan acertadas son las predicciones es, desafortunadamente, la ocurrencia del evento negativo.

Cuando el riesgo impacta los profesionales encargados tienen la valiosa oportunidad de obtener un indicador muy interesante: la diferencia real entre el impacto negativo pronosticado y el real.

Esta brecha se puede medir de forma numérica, expresada en un valor monetario, o de forma cualitativa, cuando el impacto es sobre la reputación de la organización o sobre el nivel de confianza de los empleados o de un organismo regulador.

Entre los indicadores de cumplimiento este es el que mejor permite medir la eficacia de las evaluaciones de riesgos que, sabemos, miden probabilidad e impacto negativo.

Software ISO 37301 de ISOTools

Obtener indicadores de cumplimiento eficaces, relevantes y oportunos requiere un soporte tecnológico adecuado para la Gestión de Compliance. El Software ISO 37301 de ISOTools es una plataforma basada en la nube que ofrece funcionalidades diseñadas para ayudar a las organizaciones a potenciar la eficacia y el rendimiento de sus programas de cumplimiento.

La plataforma incorpora funcionalidad avanzada para producir informes inmediatos, señalar puntos críticos en mapas de calor, elaborar predicciones, mostrar tendencias, automatizar tareas repetitivas de la Gestión, entre otras características. Conócela aquí.

La entrada 5 indicadores de cumplimiento que toda empresa debería medir se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Por las mismas razones resulta un tanto difusa la definición de control de cumplimiento interno. Lo cierto es que comprender con precisión lo que es el control de cumplimiento interno, su importancia y qué herramientas tiene a su disposición el Oficial de Cumplimiento, es importante para garantizarlo.

¿Qué es el control de cumplimiento interno?

Un control puede ser una política, un proceso, un procedimiento, una tarea o una actividad que indique o promueva un comportamiento que haga que las personas “cumplan” con una norma, un objetivo, un acuerdo, un protocolo o una exigencia.

Los controles internos están en toda la organización. Por lo general están escritos, pero también pueden estar señalizados o sólo indicarse de forma verbal. Algunos están implícitos, como la ruta o el procedimiento que es preciso realizar para acceder al contenido de un programa de computador o a una base de datos.

El objetivo principal de un control de cumplimiento interno es evitar que las personas hagan cosas equivocadas y que dejen de cumplir con algo que es necesario. Los controles internos pueden ser el resultado de la conjunción o interacción de varios de los elementos mencionados: una política, una instrucción verbal, una señal o un manual de procedimiento.

Aunque en el contexto que aquí se mencionan, los controles internos ayudan a garantizar el cumplimiento al interior de la organización, también pueden apoyar el logro de objetivos de seguridad, comerciales, de convivencia u otros.

¿Cuántos tipos de controles internos existen?

De acuerdo con la forma de operación o de la etapa del procedimiento que lo contienen en que se activa, el control interno puede pertenecer a una entre varias categorías. Las principales son:

1. Preventivos

Son controles diseñados para evitar que las personas hagan algo incorrecto, por error o por un problema de conducta.

2. Manuales

Son los que requieren que una persona emprenda una acción y ejecute el control. Aunque se realice por medio informático, digital o virtual, si requiere de la elección de una persona, se considera manual.

3. Automatizados o automáticos

Usualmente se integran a una solución informática, una aplicación o un software. El mejor ejemplo de ello es la obligación de cambiar una contraseña tras un número determinado de veces utilizada o una vez ha pasado un lapso de tiempo predeterminado.

¿Cuál es la importancia del control de cumplimiento interno?

Las razones son varias. La primera de ellas es que estos controles son una parte esencial de la Gestión de Compliance. Una segunda razón, de igual importancia, es que este tipo de controles promueven el uso de comportamientos éticos y prestan grandes servicios a la Gestión Anticorrupción, que, desde la publicación de ISO 37301, está tan vinculada al área de Cumplimiento.

Sin controles de cumplimiento interno, las organizaciones no podrían estar seguras de que cumplen con lo que ellas mismas se imponen, o con lo que imponen a las personas que trabajan dentro de sus instalaciones.

Esto, por supuesto, tendría una repercusión negativa en la Gestión de Cumplimiento externo. ¿Cómo podrían los empleados entender la obligación de cumplir con agentes externos, si no es posible asegurar el cumplimiento interno?

¿Cuáles son los elementos del control de cumplimiento interno?

Los controles internos están en todas las áreas de la organización. Algunas son especialmente sensibles: auditoría, contabilidad, finanzas, Recursos Humanos… Para estas áreas se ha definido el marco COSO, hace un poco más de dos décadas, utilizado no solo en Gestión de Cumplimiento sino también en auditoría interna, gestión de riesgos y lucha anticorrupción.

Este marco considera los siguientes elementos:

1. Entorno del control

Se reúnen los procesos, normas o procedimientos que la organización utiliza para que los empleados cumplan. Usualmente, van acompañados de recompensas o sanciones.

2. Evaluación de riesgos

Identificación, análisis y evaluación de amenazas o de condiciones que pueden impedir el logro de objetivos, incluidos, por supuesto, los de cumplimiento.

3. Control interno

Hace referencia a las actividades necesarias para la ejecución efectiva del control interno de cumplimiento. Se incluyen procedimientos, instrucciones, acciones, tareas…

4. Seguimiento y control

Son los mecanismos dispuestos por la organización para verificar la eficacia de los controles.

5. Comunicación

Este último segmento comprende charlas, documentos, o cualquier tipo de comunicación relevante sobre el tema de controles internos y su rendimiento. Este tipo de informes sirve para mejorar la productividad de los controles, solucionar problemas o prevenir riesgos.

¿Cómo mejorar el control de cumplimiento interno?

El control de cumplimiento interno incorpora elementos de monitoreo y seguimiento para verificar la eficacia y para asegurar la mejora continua. Gran parte del éxito del control depende de los empleados. Y el desempeño de ellos, a su vez, del liderazgo que provenga de la Alta Dirección.

Otras recomendaciones para mejorar el control de cumplimiento interno son:

• Mantener procesos de debida diligencia ágiles y eficaces, apoyados por tecnología.
• Procedimientos e instrucciones firmes, claros, precisos y concretos.
• Programas de capacitación y espacios para obtener retroalimentación en diversos temas relacionados con el cumplimiento.
• Auditorías constantes sobre los controles y su rendimiento.
• Indicadores de rendimiento eficaces.
• Documentación y comunicación.
• Tecnología creada para mostrar problemas, automatizar tareas, monitorear, mostrar cuellos de botella y almacenar datos y registros con seguridad.

Software ISO 37301 de ISOTools

La debida diligencia es un elemento esencial para los controles de cumplimiento interno. Sin embargo, es una labor que demanda gran esfuerzo y muchos recursos. El Software ISO 37301 de ISOTools es una plataforma que incorpora funcionalidad avanzada para automatizar la Gestión de Cumplimiento y garantizar, entre otros objetivos, la eficacia del control de cumplimiento interno. Conócela aquí.

La entrada ¿Por qué es importante el control de cumplimiento interno? se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Al considerar los riesgos de la cadena de suministro, es importante anotar que la mayoría de ellos son externos. Eso implica que no se tiene el control absoluto sobre ellos, pero no significa que no se puedan tratar con efectividad desde el interior de la organización.

De hecho, la gestión de riesgos de la cadena de suministro se integra, o forma parte, de la gestión de riesgos generales de la empresa. Una cadena de suministro segura, vigilada y monitoreada, representa una ventaja competitiva importante para una organización.

Antes de entrar a desglosar los principales riesgos de la cadena de suministro, y la mejor forma para gestionarlos, vale la pena anotar que en este milenio la cadena de suministro es cada vez más digital, y por ello, más proclive a ataques e intromisiones desde la red, lo que convierte a la tecnología en un recurso esencial para el tratamiento de este tipo de amenazas.

¿Qué es la gestión de riesgos de la cadena de suministro?

La gestión de riesgos de la cadena de suministro es el proceso que permite a profesionales especializados en el área, identificar, evaluar, categorizar y tratar circunstancias, condiciones o eventos que puedan, en un momento determinado, interrumpir el suministro de insumos, materias primas u otro tipo de recursos vitales para la producción de un bien o un servicio.

Visto de esta forma, la cadena de suministro puede ser extensa y difícil de rastrear y controlar desde el origen. Pensemos que la interrupción del suministro a un pequeño proveedor que está al inicio de la cadena, probablemente en otro país u otro continente, puede afectar la operación de una gran organización en nuestro continente.

Pero además de los riesgos tradicionales – bloqueos de carreteras, quiebre financiero, robos o asalto a camiones…-, la gestión de riesgos de la cadena de suministro moderna encuentra un verdadero reto en el aumento de ataques cibernéticos.

Organizaciones de todo tipo tienen una mayor dependencia de proveedores y suministros que operan desde la Red. Este tipo de riesgo tiene la capacidad de impedir el suministro y cortar la cadena, pero también de exponer datos de usuarios y clientes, y, además, afectar la reputación de las organizaciones involucradas.

¿Cuáles son los riesgos de la cadena de suministro para el 2024?

La cadena de suministro del siglo XXI es digital, pero también extensa e interconectada. Esto significa que no tiene fronteras geográficas y que no son exclusivas para ninguna industria. Un problema en la industria de la automoción afecta el suministro de alimentos o de hidrocarburos en cualquier lugar del mundo.

Hace pocos meses el mundo vivió la imprevista crisis de los contenedores con efectos devastadores para muchas industrias. Para el 2024, los principales riesgos de la cadena de suministro pueden ser:

• Cambio climático, que genera tormentas, inundaciones, sismos, destrucción o daños en infraestructura, puertos o almacenes y bodegas.
• Dependencia tecnológica, que ya en este año se generó una escasez de chips y circuitos integrados.
• Contexto geopolítico, que se materializan en guerras y conflictos. Muchas empresas en el mundo aún se ven afectadas por la disminución o suspensión de productos provenientes tradicionalmente de Ucrania, que es el mejor ejemplo de riesgo geopolítico.
• Trastornos macroeconómicos, que generan inflación o deflación a grandes niveles. Este tipo de fenómenos, incluida la recesión, tienen la capacidad para acabar con empresas que producen insumos vitales para otras que se encuentran más arriba en la cadena.

¿Cuáles son las mejores prácticas para la gestión de riesgos de la cadena de suministro?

La gestión de riesgos de la cadena de suministro no es muy diferente de la gestión de riesgos generales, o en otras áreas. Identificada la amenaza, es preciso buscar su origen y buscar la forma de eliminarla.

Por supuesto, de no ser posible, lo aconsejable es buscar acciones para minimizar el riesgo o el impacto. Compartirlo o tolerarlo, aprovechando una oportunidad, son también acciones que están en la bitácora de cualquier especialista en riesgos.

Así, algunas de las prácticas que resultan efectivas para cualquier industria, en 2024, son:

1. Contar con un amplio portafolio de proveedores

Contratar el suministro con el mayor número posible de proveedores atomiza el riesgo, sobre todo cuando estos proveedores se encuentran diseminados en diferentes regiones del globo.

La diversidad es la clave. Muchos proveedores aportan un beneficio adicional: es posible establecer una relación fructífera con otros países, generando condiciones para un futuro coloniaje comercial en esas áreas.

2. Diseñar una cadena con proveedores cercanos a los puntos de distribución

Considerando los riesgos de la cadena de suministro mencionados, es importante que los proveedores estén ubicados de forma estratégica, muy cerca de puntos de distribución masiva, como puertos o aeropuertos.

Eliminar, en la medida posible, carreteras o largos trayectos por ríos u otros canales de comunicación, disminuye buena parte de las amenazas mencionadas.

3. Aumentar el nivel de las existencias de inventarios

Mantener altas existencias de inventarios genera tranquilidad para la organización. Es, además, una forma efectiva de mejorar el precio de compra y reducir costes, particularmente para las organizaciones que cuentan con almacenamiento propio de grandes proporciones.

4. Aplicar la debida diligencia y la gestión de riesgos a los proveedores

Los fabricantes o las grandes industrias dependen de pequeños proveedores en cualquier lugar del mundo. Entonces, ¿por qué no preocuparse por ellos y por sus problemas? La debida diligencia y la gestión de riesgos de proveedores son dos herramientas que permiten establecer, con un alto grado de seguridad, que el proveedor es confiable.

5. Vigilar a los proveedores

Lo que hoy es válido y bueno, mañana puede no serlo. Por eso es importante mantener una vigilancia constante sobre todos los puntos de la cadena de suministro. Esto implica actualizar de forma periódica la información, enviar cuestionarios, mantener entrevistas, revisar indicadores de rendimiento y producción, enterarse de las noticias locales…

6. Esperar lo mejor, pero prepararse para lo peor

¿Qué pasaría si…? Es el inicio de un modelo predictivo de eventos catastróficos o disruptivos. Son ideales para desarrollar planes de respuesta inmediata y efectiva, que garanticen un grado medio de operabilidad. Es lo que se conoce como gestión de continuidad del negocio, que se puede aplicar con mucho éxito a la gestión de riesgos de la cadena de suministro.

7. Incorporar tecnología a la gestión

Algunas cadenas de suministro son muy extensas. Sus ramificaciones son de tal envergadura, que se extienden por todo el planeta, llegando a pequeñas poblaciones en numerosos y pequeños países, en los cinco continentes.

La gestión eficaz y efectiva de riesgos no puede prescindir de la tecnología. El uso de una plataforma diseñada para gestionar este tipo de amenazas, ofrece un panorama y una visión completa, actualizada, en todo momento, lo que mejora las posibilidades de reacción ante un evento inesperado.

Software ISO 37301 de ISOTools

La digitalización y la automatización de la gestión de riesgos de la cadena de suministro, es posible de forma muy fácil, utilizando una herramienta como el Software ISO 37301 de ISOTools.

Esta plataforma ha sido creada para asumir los retos que propone el siglo XXI. Se trata de una herramienta basada en la nube, que incorpora funcionalidades avanzadas para el análisis y evaluación de la gestión. Obtenla aquí.

La entrada Riesgos de la cadena de suministro: buenas prácticas de gestión corporativa se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Dentro del programa de cumplimiento, es esencial contar con un subsistema de gestión de casos para gestionar los problemas identificados en el Sistema de Gestión de Cumplimiento.

Sin embargo, este subsistema a veces presenta fallos. A continuación, detallamos algunos errores comunes que suelen cometer los profesionales encargados de la Gestión de Compliance.

¿Cuáles son los errores que se deben evitar en la gestión de casos de cumplimiento?

La gestión de casos, como elemento individual, pero integrado al programa de cumplimiento, aparece como resultado de la entrada en vigor de regulaciones sobre canales de denuncia, investigaciones, confidencialidad y protección de informantes.

Se trata de directivas y exigencias regulatorias que son válidas tanto para la gestión de cumplimiento como para la gestión anticorrupción. A partir de la experiencia, se pueden identificar cuatro errores recurrentes en la gestión de casos de compliance:

1. Dejar de documentar hechos o asuntos importantes en una investigación

En una investigación de cumplimiento sobre un problema informado, registrado o identificado en una auditoría, ningún detalle es tan insignificante como para que se omita la obligación de documentarlo.

Las entrevistas, los datos y registros aportados por los involucrados, listas de personas y sus datos, las circunstancias generales sobre el hecho, percepciones del investigador, todo se documenta.

Si se hace referencia a un dato, que se sabe se almacena en una determinada base de datos, este debe ser igualmente documentado de forma única para el expediente. En una única ubicación se reúne toda la información documentada relacionada con la investigación y el hecho que la genera.

Es necesario pensar siempre que una investigación puede ser apenas una pieza de un problema mayor. En adelante, muchas personas necesitarán y agradecerán que todo se haya documentado con absoluta fidelidad y transparencia.

En muchas organizaciones, y para muchas personas, la dificultad para documentar dentro de la gestión de casos se relaciona con la ausencia de una plataforma que, dentro de sus funcionalidades, ofrezca un control de documentos automatizado y eficaz.

2. Desaprovechar el valor de los datos y registros

La automatización de la gestión de casos, y del programa de cumplimiento, permite obtener un nutrido y cada vez más valioso repositorio de información conformado por datos, documentos, informes y registros.

Sin embargo, un error frecuente es dejar que tan valioso recurso repose en un archivo que, aunque digital, no es utilizado ni consultado. Es información que permite establecer tendencias, crear indicadores eficaces, predecir problemas y delimitar puntos críticos para la gestión de cumplimiento.

3. No asegurar la confidencialidad

La confidencialidad en una investigación es requisito regulatorio, pero también es una cuestión de respeto hacia los informantes y hacia las personas involucradas. La automatización de la gestión de cumplimiento ofrece muchos beneficios, pero, en ocasiones, la confidencialidad no ha sido considerada para el diseño y arquitectura de la solución.

La confidencialidad necesita permisos y privilegios de acceso, de acuerdo con el rol que el empleado tiene dentro del programa de compliance. Los investigadores, por ejemplo, deberían tener un nivel de acceso privilegiado.

El uso de contraseñas seguras y las restricciones de acceso a personas de interés en una investigación, aunque sean directores de área o miembros de la Alta Dirección, son medidas necesarias para garantizar la confidencialidad en la gestión de casos de compliance.

4. Prescindir de la automatización y la tecnología

Hacemos referencia reiterativa al uso de plataformas que automatizan la gestión de casos y el programa de cumplimiento. Pero es preciso hablar de las organizaciones que aún trabajan con archivos de papel y, en el mejor de los casos, con hojas de cálculo y cuentas de correo electrónico.

La gestión de casos, en ese evento, suele ser lenta, improductiva y escasa en resultados. La sola tarea de ubicar un dato o un documento, puede representar un reto de proporciones mayúsculas para el equipo.

La gestión de cumplimiento requiere tecnología para ser eficaz. Y el mercado del software provee herramientas especializadas en apoyar el logro de objetivos propuestos por el Oficial de Cumplimiento, ahorrando tiempo, mejorando los indicadores de gestión, preservando la confidencialidad y aprovechando al máximo el valor de la información y de los datos. Un ejemplo de ello, a continuación.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es una solución basada en la nube, diseñada para automatizar la gestión de cumplimiento de organizaciones de todos los sectores y tamaños, aunque no hayan adoptado el estándar internacional ISO 37301.

La plataforma ofrece funcionalidades apoyadas por Inteligencia Artificial, para el control de documentación, debida diligencia, preservación y protección de la información, auditorías y todo lo que requiere un Oficial de Cumplimiento para alcanzar los objetivos propuestos. Solicita información detallada.

La entrada Gestión de casos en el programa de cumplimiento: 4 errores a evitar se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Mientras la organización crece, las expectativas y obligaciones de cumplimiento también lo hacen. El sistema compliance necesita adquirir capacidad de respuesta, robustez y eficacia.

Existen diferentes estrategias para impulsar y mejorar el sistema compliance, algunas de ellas de comprobada efectividad. Seleccionamos, a continuación, cinco muy interesantes que permiten mejorar el sistema, potenciar sus beneficios y hacerlo más productivo.

¿Cómo mejorar e impulsar el sistema compliance de la organización?

Los oficiales de cumplimiento buscan aliados en todas las áreas y todos los niveles de la organización. El cumplimiento es un tema que interesa a todos, y que encuentra obligaciones en cualquier punto de la organización. La idea es encontrar elementos que contribuyan a multiplicar esfuerzos y, por supuesto, resultados positivos.

Cinco estrategias efectivas para impulsar y mejorar el sistema compliance son:

1. Introducir la ética en todos rincones de la organización

El cumplimiento es en esencia hacer las cosas bien. Las organizaciones en las que hay cultura ética, y esa cultura forma parte del quehacer diario de todos los trabajadores, difícilmente tienen problemas de compliance.

Esto implica considerar dos elementos clave: concienciación y capacitación. Lo primero se logra con el ejemplo y lo segundo con formación. Es necesario que la ética forme parte de charlas, foros, conversaciones, material impreso, comunicaciones, emails…

La ética se convierte así en el faro que guía a los empleados en momentos en los que surgen dudas entre lo que dice el manual de conducta y lo que sugieren los objetivos comerciales. Conflictos de interés o vacíos en las políticas o manuales de procedimientos se resuelven acudiendo a la ética.

2. Incluir el cumplimiento en contratos con terceros

El sistema compliance necesita cobertura sobre los terceros. Por supuesto, no siempre es posible verificar el cumplimiento de proveedores, contratistas o socios comerciales.

Los contratos que se firman con terceros son la mejor herramienta para garantizar el cumplimiento de personas y organizaciones con las que se tienen acuerdos. La cobertura en seguridad social de trabajadores subcontratados, por ejemplo, es una obligación de cumplimiento que corresponde a la organización para la cual trabajan esos contratistas. Si no se incluye esta obligación, de forma clara y expresa en el contrato, es probable que esa organización ignore o evada esa responsabilidad.

El contrato es el mecanismo ideal para inducir a terceros a cumplir, y, así mismo, multiplicar la cultura de cumplimiento de forma vertical.

3. Garantizar la confidencialidad de los informantes

Los canales de denuncia o de recepción de informes sobre infracciones de conducta, éticas y de cumplimiento, han demostrado gran efectividad en sistemas compliance y en programas anticorrupción.

Son tan efectivos que han sido normalizados y son en el momento una obligación regulatoria en muchos Estados, y en toda la Unión Europea. El éxito de estos canales está en la capacidad para conservar la confidencialidad y el anonimato de los informantes.

Si no se protege la confidencialidad, el canal, y el sistema en general, pierde confianza.

4. Probar los controles internos

Los controles internos son las válvulas del sistema compliance. De su eficacia depende que el sistema reciba recursos adecuados, que los objetivos se alcancen y, sobre todo, que no se presenten incidentes o infracciones de cumplimiento.

Los controles internos se diseñan con la mejor intención y se implementan con base en técnicas de ingeniería de procesos que han sido probadas en muchas ocasiones. Pero las condiciones pueden cambiar, el contexto puede ser otro o, incluso, el marco regulatorio puede convertir un control eficiente en uno obsoleto.

Por eso es tan importante revisar con frecuencia los controles internos, verificar su eficacia y establecer indicadores para calificar su efectividad.

5. Incorporar tecnología al sistema compliance

El cumplimiento tiene alcance sobre todas las áreas y está presente en todos los niveles de la organización. Es imposible cubrir tantos frentes, procesar datos y analizar informes, sin la ayuda de una plataforma especializada en Gestión de Cumplimiento.

El análisis de datos es esencial para un Oficial de Cumplimiento. Algunas organizaciones inician este camino con hojas de cálculo. Esto permite realizar algunos análisis básicos. Pero quedan por fuera muchos procesos de debida diligencia, la gestión de documentos y la gestión de canales de denuncias, entre otros elementos muy importantes para un sistema compliance.

Software ISO 37301 de ISOTools

La trazabilidad en procesos de investigación de denuncias, por ejemplo, es otro elemento clave para el éxito de un programa de cumplimiento. La credibilidad y la transparencia son fundamentales para mantener el sistema y ampliar la adhesión y el compromiso de los empleados.

El Software ISO 37301 de ISOTools es una plataforma tecnológica especializada, basada en la nube, diseñada para automatizar tu sistema de cumplimiento y asegurar el logro de los objetivos y la mejora continua. Aquí la puedes encontrar.

La entrada 5 formas de impulsar y mejorar el sistema compliance de la organización se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Pero evaluar el cumplimiento también permite obtener evidencia de la existencia de un marco sólido de compliance. Hacerlo, implica revisar políticas, procesos y revisar la evidencia incontrovertible, que no es otra que el cumplimiento de cada una de las obligaciones, en todas las áreas.

La auditoría es una forma de evaluar el cumplimiento. Inspecciones o revisiones de la Alta Dirección también lo son. Por supuesto, los objetivos que persigue la evaluación son muy importantes para la organización. De ahí, la importancia de contar con una metodología sistemática para la práctica de esta evaluación. A continuación, proponemos una basada en seis pasos.

¿Por qué es importante evaluar el cumplimiento en la organización?

Muchos oficiales de cumplimiento esperan que el marco regulatorio aumente en los próximos años. Dado que los requisitos reglamentarios y de la industria cambian y se actualizan constantemente, es importante evaluar el cumplimiento para garantizar que la organización cumple con los estándares con regularidad.

Además, la evaluación es importante por varias razones:

• Garantiza que los controles, las políticas, los procesos y los procedimientos son los adecuados y funcionan de acuerdo con lo planificado.
• Aumenta la confianza en terceros y partes interesadas, entre ellos clientes, reguladores, inversores, bancos y miembros de la comunidad.
• Ofrece la tranquilidad de no incurrir en multas, sanciones, pérdidas de licencias o cierre de la operación.
• Entrega información valiosa para auditores de cumplimiento, o de otras áreas relacionadas, como Seguridad y Salud en el Trabajo, Seguridad de la Información o Gestión del Medio Ambiente.

¿Cómo evaluar el cumplimiento en 6 pasos?

La tarea requiere programación, planificación y adoptar un enfoque sistemático. Los empleados, en todas las áreas, necesitan acoger la evaluación como algo rutinario, necesario y beneficioso para todos. Los pasos para seguir son:

1. Planificar el trabajo

La planificación implica considerar el objetivo de la evaluación, que puede ser general, integral, sobre toda la organización, o apenas comprender un departamento o un área. Es preciso, además, establecer si se hará asumiendo la formalidad de una auditoría, como una revisión o como una inspección.

El número de personas encargadas, los días y las horas deben aparecer en el plan de trabajo. Todo debe comunicarse con la debida oportunidad, para asegurar la disponibilidad de personas claves para la evaluación.

Cuando se ha adoptado un estándar de cumplimiento, como ISO 37301, la tarea es más fácil, pues la estructura, las cláusulas y los requisitos de la norma guían al auditor en su trabajo.

2. Realizar la evaluación sobre el terreno

El siguiente paso es acometer la evaluación sobre el terreno. Esto implica revisar:

• Documentos, políticas, manuales de instrucciones y de procedimientos.
• Versiones o declaraciones de empleados clave o con responsabilidades dentro de la gestión de cumplimiento, mediante entrevistas o solicitud de respuesta a cuestionarios.
• La documentación y los resultados de la Gestión de Riesgos de Compliance.
• Los resultados de los programas de capacitación y formación.
• La efectividad de las soluciones informáticas, si las hay, destinadas a la automatización y digitalización de la gestión.

3. Analizar la información recopilada

Con la evidencia recopilada sobre el terreno, el Oficial de Cumplimiento, o quien haya asumido la responsabilidad de evaluar el cumplimiento, realiza un trabajo de análisis, documentación e identificación de brechas y problemas.

Es el momento en el que se produce la estructura de un informe que demuestra la capacidad del auditor y la eficacia de la evaluación. Es importante documentar y argumentar de forma profesional todos los hallazgos, y señalar con precisión los problemas que representan o pueden implicar el incumplimiento con alguna regulación u obligación de la organización.

4. Producir el informe y comunicarlo a las partes interesadas

La información recabada, los hallazgos identificados y la evidencia encontrada, adquieren importancia cuando se pueden documentar en el informe, y comunicarlos a las personas adecuadas, para tomar las decisiones pertinentes.

El evaluador debe tener habilidades de comunicación que le permitan mostrar con claridad los problemas, señalar los puntos críticos para la Gestión de Cumplimiento y enfocarse en las acciones efectivas y los resultados.

5. Diseñar un plan para solucionar problemas y mejorar el cumplimiento

La Alta Dirección, en particular, espera algo más del Oficial de Cumplimiento o Auditor de Compliance, que un informe con ‘lo malo y lo bueno’. El lector del informe espera que, una vez estudiado y leído por las partes interesadas, se presente un plan con acciones eficaces para solucionar los problemas.

Es necesario en este penúltimo paso, clasificar los problemas en orden de importancia, utilizando como criterio el impacto financiero, comercial o reputacional. Cada uno de estos riesgos o problemas identificados, estará acompañado de una solución ejecutable en poco tiempo.

Asignar responsabilidades y propietarios para esas responsabilidades es parte de la tarea a desarrollar en esta etapa final de la evaluación de cumplimiento.

6. Identificar necesidades tecnológicas

Evaluar el cumplimiento requiere información. Producir información de calidad en actividades como la Debida Diligencia, por ejemplo, requiere incorporar herramientas tecnológicas.

Identificar las necesidades tecnológicas que presenta la gestión, el Sistema o el Programa, es el cierre de la tarea de evaluar el cumplimiento. Un ejemplo de ello es el que se trata en nuestro apartado final.

Software ISO 37301 de ISOTools

Además de los beneficios mencionados, la automatización de la Gestión de Cumplimiento proporciona herramientas, informes, datos y todo el soporte que requiere un Oficial de Cumplimiento o un Auditor, para evaluar el cumplimiento de una organización. Conoce un poco más sobre este software ISO 37301 aquí.

La entrada Cómo evaluar el cumplimiento en 6 prácticos pasos se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Por supuesto, todo inicia estableciendo procesos sólidos de gestión de riesgos. Pero esa es apenas una primera etapa. En algún momento las organizaciones necesitan un software de gestión de riesgos.

¿Qué beneficios obtiene la organización con un software de gestión de riesgos?

El primer beneficio evidente es la centralización de la gestión en una única plataforma. Esto permite racionalizar recursos, garantizar la integridad y disponibilidad de la información y obtener un panorama general siempre actual. Pero las organizaciones que implementa un software de gestión de riesgos, además, obtienen estos beneficios:

1. Se optimiza el proceso de gestión de riesgos

La automatización elimina el error humano y hace que muchas tareas se realicen de forma sistemática. Así, nada se olvida, las evaluaciones se producen de forma automática y se obtienen evaluaciones inmediatas, en el momento en que se consideren necesarias.

2. Se toman mejores decisiones

La información oportuna, confiable y accesible es la base de la toma de una decisión informada. El software compila la información en una ubicación única, entregando así informes que agrupan diferentes fuentes desde una visión holística de la gestión de riesgos, facilitando una mejor toma de decisiones.

3. Se garantiza el cumplimiento

El software de gestión de riesgos ayuda a la organización a monitorizar el acontecer regulatorio y normativo, optimizando los flujos de trabajo y los procesos de cumplimiento.

4. Se gestionan los riesgos de forma proactiva

La gestión proactiva es un objetivo para muchas organizaciones que suele resultar difícil de cumplir porque la información no siempre se entrega con la debida anticipación. Con un software de gestión de riesgos, las organizaciones pueden identificar y evaluar riesgos de inmediato, atendiendo eventos que están ocurriendo en el mismo momento en el que se actúa para mitigarlos o eliminarlos.

¿Cuáles son las funcionalidades de un software de gestión de riesgos?

El software de gestión de riesgos ayuda a las organizaciones a gestionar sus amenazas de manera proactiva, tomar las mejores decisiones, asegurar el cumplimiento, optimizar tiempo y recursos a través de la automatización, eliminar el error humano y estar al día con el acontecer de la gestión en todo momento. Pero, ¿cómo lo hace en la práctica?:

1. Permite controlar el ciclo de vida de los riesgos inventariados

Los riesgos tienen un ciclo de vida. Durante este ciclo, los riesgos están bajo el control o la responsabilidad de diferentes personas. El software, además de permitir el registro de un inventario completo de riesgos, informa en todo momento sobre el estado de la amenaza, quién es el responsable en el momento, qué acciones se han tomado y cuáles se prevén, y todo ello con la debida actualidad y desde una ubicación centralizada.

2. Mantiene un registro histórico y estadístico de la gestión

Registrar incidentes o eventos, además de ser un requisito en estándares de cumplimiento, de seguridad de los trabajadores o de seguridad de la información, es una forma de conservar y aprovechar el conocimiento valioso que se acumula con el tiempo, como resultado de la gestión o como fruto de algún tipo de formación.

Es también una forma de garantizar una gestión proactiva, aunque los responsables cambien. Finalmente, el comportamiento histórico resulta muy útil en la medición de la mejora de la gestión y para el trabajo de auditores u otro tipo de evaluadores.

3. Mantiene la trazabilidad

La gestión de riesgos demanda acciones diarias, evaluaciones, asignación de responsabilidades, creación de documentos, modificación o actualización de otros, y es necesario que de todo ello se conserve la trazabilidad que facilite el seguimiento y, en caso de ser necesario, identificar en qué punto se cometió un error.

4. Gestión inmediata de riesgos cotidianos

Los riesgos corporativos o los estratégicos se tratan en un nivel alto de la organización. Pero los pequeños riesgos, los que surgen de un momento a otro en la cotidianidad de la operación, también deben ser atendidos y no siempre es posible si no se automatiza la gestión.

5. Controla todos los procesos

El software evita que se presenten brechas en la gestión, que se pase por alto algún proceso o que se quede un área o un proyecto sin controlar. La automatización agiliza la identificación de riesgos en todos los procesos, los proyectos, los departamentos y los niveles de la organización.

6. Facilita la gestión

Los procesos de generación de informes, análisis y evaluación, se pueden llevar a cabo con gran facilidad, reduciendo tiempo y costes, pero también entregando información mucho más rápido.

Software ISO 37301 de ISOTools

Automatizar la gestión de riesgos de cumplimiento es, además de los beneficios y funcionalidades anotados, la función principal del Software ISO 37301 de ISOTools. La función de cumplimiento basada en la norma ISO 37301 necesita asumir una gestión de riesgos integral, total y holística, para lo cual, esta herramienta resulta esencial. Aprende un poco más de esta herramienta tecnológica aquí.

La entrada Software de gestión de riesgos: beneficios que impulsan el éxito corporativo se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.