La necesidad está ahí. Y el mercado digital ofrece una gran variedad de herramientas diseñadas para cumplir los objetivos señalados. Por supuesto, no todas las soluciones son iguales.

Cada organización buscará el software para gestión de riesgos que soluciones sus propios problemas. Sin requerimientos que pueden ser compartidos por otras empresas, especialmente de la misma industria. ¿Cómo elegir el apropiado?

¿Cómo elegir el software para gestión de riesgos ideal para la organización?

Las razones que tiene cada organización para buscar un software para gestión de riesgos son diferentes. Problemas de cumplimiento, infracciones de seguridad de la información, dificultades para completar procesos efectivos de debida diligencia, son algunos de ellos.

Por eso el primer paso es precisamente establecer que es lo que se necesita:

1. Identificar las necesidades específicas

El software para gestión de riesgos viene a solucionar unos problemas que ya están ahí. El inicio entonces es identificar esos problemas y establecer si es el software la herramienta adecuada para solucionarlos.

Las necesidades se buscan en toda la organización. Desde el área de mantenimiento y aseo hasta lo más alto de la cúpula de la Alta Dirección. Pero no solo se buscan en todos los lugares. Se buscan en todos los momentos.

Las necesidades pasadas, presentes y futuras son igualmente válidas. Las presentes, por obvias razones. Las que son de vieja data tienen la posibilidad de reaparecer. Y las futuras son las que garantizan que el software crecerá de la mano con la organización y con sus problemas futuros.

2. Elegir soluciones configurables y personalizables

La búsqueda de una plataforma para la gestión de riesgos ideal llevará a la persona encargada a descubrir que existen cientos de soluciones rígidas, estáticas, diseñadas para una industria especifica.

Las hay para empresas de la construcción, para el sector financiero, para las empresas del sector sanitario… Aunque la organización pertenezca a una de esas áreas, lo mejor siempre será buscar una plataforma flexible, que se adapte a todo tipo de empresas, que sea escalable y que facilite la personalización y la configuración.

3. Revisar el coste

El coste del software siempre será un factor con peso en la decisión. De hecho, en muchas organizaciones es el primero que se evalúa, y con base en él se hace una primera depuración de opciones.

Las soluciones a la medida, que requieren instalación en ordenadores y el uso de servidores propios, resultan mucho más costosas, suponen un coste asociado de mantenimiento y actualización constante, llevan tiempo en entrar en funcionamiento y presentan dificultades para adaptarse con la debida rapidez a cambios repentinos.

Las soluciones en la nube tienen un coste mucho menor, las actualizaciones y mejoras no las paga la organización que contrata el software y son accesibles desde cualquier lugar y en cualquier momento sin instalación física en ordenadores.

4. Considerar la seguridad de la información

La seguridad de los datos y de la información es un factor esencial en la decisión de contratar un software para gestión de riesgos. La debida diligencia, por ejemplo, trata datos de terceros como proveedores, clientes, empleados, entre otros.

Es información confidencial que, además, debe ser protegida de acuerdo con el RGPD. El software elegido necesita medidas de seguridad como cifrado de datos, privilegios de acceso o protocolos de seguridad web.

5. Comprobar la experiencia de otras organizaciones

Las organizaciones suelen promover por diversos canales sus casos de éxito. Los fabricantes de Software también lo hacen. El quinto paso en esta guía es contactar a los usuarios del programa e indagarlos sobre su experiencia, especialmente en lo relativo a los cuatro puntos anteriores.

¿Qué debe tener el software para gestión de riesgos?

De los pasos propuestos en la guía se deducen algunas características indispensables: seguro, accesible y con funcionalidades que solucionen problemas. Además, es necesario que el software para gestión de riesgos sea:

• Fácil de utilizar, práctico, intuitivo y amigable con los usuarios. Recordemos que finalmente será para uso de los empleados y de algunos terceros muy cercanos.
• Flexible, lo que significa adaptable a cualquier organización, sin importar su tamaño o el sector en el que opere.
• Ofrecer trazabilidad, para rastrear todos los eventos que se procesen, los cambios en la documentación, el recorrido de una asignación o el curso de una evaluación.
• Entregar información visual, además de los informes escritos. Los mapas de calor o la visión gráfica del estado de la gestión en todo momento, en forma visual, permite a los expertos realizar un seguimiento en tiempo real de todos los eventos, los cuellos de botella y los problemas que están ocurriendo en ese mismo momento.
• Almacenar grandes cantidades de datos y crear copias de seguridad automáticas, o proporcionar funcionalidades que permitan exportar los datos y la información y almacenarla en medios externos.
• Proporcionar análisis predictivo con el fin de formular escenarios hipotéticos hacia el futuro, que permitan anticipar la gestión y mejorar la protección a la organización.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es una plataforma que integra todas las tareas propias de la Gestión de Cumplimiento, incluyendo por supuesto, la Gestión de Riesgos. Al garantizar el cumplimiento en todas las áreas de la organización se crea un marco de operación seguro y productivo.

Esta herramienta está lista para proteger a tu organización en todas las áreas. Además, integra todas las funcionalidades que hemos mencionado. Conócela aquí.

La entrada Guía para elegir el software para gestión de riesgos adecuado a tu negocio se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

La tarea, no obstante, es compleja y desafiante. Estrategias, procesos, estándares de gestión, tecnología, son, entre otros, aspectos a considerar. Digitalizar el Sistema GRC surge como alternativa eficaz para enfrentar los desafíos que enfrentan las organizaciones que avanzan en la construcción de marcos de GRC.

¿Qué es un Sistema GRC?

El Sistema GRC incorpora tres conceptos: Gobernanza, Riesgo y Cumplimiento. Pero lo hace de forma integral. Esto significa que no son silos aislados que trabajan cada uno por un rumbo diferente.

La gestión es holística, lo que implica que cada elemento depende y de los otros y los tres conforman un todo funcional. Las estrategias, los procesos y todas las decisiones son evaluadas de forma constante de acuerdo con las mejores prácticas de Gobernanza, Riesgo y Cumplimiento.

El Sistema GRC se extiende hacia todas las actividades de la organización, especialmente las relacionadas con la producción y comercialización. Las organizaciones que trabajan bajo este marco eliminan procesos ineficaces o redundantes, aumentan su productividad, promueven la auditoria y los procesos de revisión e inspección y toman decisiones basadas en la ética y la buena conducta.

El Sistema produce organizaciones resilientes, listas para afrontar cualquier desafío, siempre atentas a los riesgos que pueden aparecer, cumplidoras de la ley y de sus compromisos, pero, sobre todo, sostenibles y socialmente responsables.

¿De dónde viene el Sistema GRC?

El marco corporativo bajo el que opera una organización en el siglo XXI es muy diferente al que correspondió a las empresas que crecieron en la primera mitad del siglo XX.

El mundo cambió y con él la forma de hacer negocios. Las organizaciones modernas enfrentan problemas que no conocieron sus antecesoras: cambio climático, infracciones de seguridad de la información, problemas en la cadena de suministro, aparición de nuevas amenazas, marco regulatorio exigente…

Las iniciativas tradicionales sencillamente dejaron de funcionar. La forma de administrar las empresas cambió y ahora se hace imperativo cumplir la ley, tratar con riesgos nuevos y hacer negocios pensando en proteger el planeta y asegurar recursos para la siguiente generación.

Son todas estas consideraciones las que crean el escenario propicio para la aparición del Sistema GRC. Una forma de gobernar una empresa gestionando riesgos sin descuidar las obligaciones de cumplimiento. Pero la gestión de un modelo GRC va más allá de sumar una sigla al nombre de la organización o acomodar un texto en las políticas y documentos de la empresa.

Por eso surge la necesidad de digitalizar el sistema GRC para optimizar los procesos en las tres áreas involucradas: Gobernanza, Riesgo y Cumplimiento.

¿Por qué digitalizar el Sistema GRC?

Porque son muchos los temas y las áreas que cubre el Sistema. Dejar el funcionamiento del Sistema a hojas de cálculo y documentos en papel no permitirá abordar las complejidades que la gestión implica ni alcanzar la integralidad que el Sistema demanda.

El Sistema GRC ofrece características y funcionalidades que sólo son relevantes si actúan sobre los acontecimientos que se presentan en el momento. La digitalización permite:

1. Obtener información en tiempo real

Un software GRC permite visualizar lo que está sucediendo en tiempo real. Los paneles de información, mapas de calor e informes inmediatos entregan información útil para tomar decisiones oportunas, establecer tendencias e identificar nuevos riesgos. Se obtiene así una visión real y eficaz sobre el estado del Sistema y los problemas que requieren atención inmediata.

2. Automatizar tareas

Con la automatización, el Software asume tareas repetitivas que antes restaban tiempo a los empleados para actividades más importantes. La automatización también permite diseñar flujos de trabajo eficientes, optimizando la producción y agilizando procesos de revisión y evaluación de riesgos.

3. Mejorar la evaluación y gestión de riesgos

Digitalizar el Sistema permite a los profesionales en Gestión de Riesgos obtener información inmediata para identificar, evaluar, priorizar y tratar amenazas, sin tener que esperar los acostumbrados periodos de producción de informes, que, en el mejor de los casos eran trimestrales. Por supuesto, los informes mostraban hechos que ya habían transcurrido y sobre los que ya no era posible actuar.

4. Vigilar, monitorear y actuar

El Software GRC permite a los profesionales en las áreas de Cumplimiento y Riesgos, hacer un seguimiento diario a temas como el marco regulatorio, riesgos emergentes o evaluaciones inmediatas requerida por un proyecto nuevo. Lo más importante es que es posible actuar en el momento y no esperar a que ya los hechos sean irremediables.

5. Comunicar y colaborar

La integralidad propia del sistema demanda funcionalidades eficientes de comunicación y colaboración. El Software GRC permite a las personas interactuar de forma eficaz y productiva.

De hecho, en algunos casos esa comunicación la produce de forma automática la solución, al enviar comunicaciones automáticas para asignar una tarea, recordar una tarea o informar sobre un atraso.

6. Integrar y automatizar

La integración en un modelo GRC se produce a todos los niveles y en todas las áreas. Esto significa que los procesos, los procedimientos, la información, las políticas y todo, dentro de la organización, asume un enfoque holístico.

Esto implica conectar departamentos y áreas, implementar herramientas que faciliten la colaboración y la comunicación, estandarizar procesos y compartir información incluso con agentes externos, como proveedores, clientes o socios.

7. Analizar de forma inteligente datos, registros e informes

La capacidad para tratar datos en grandes cantidades, evaluarlos, analizarlos y obtener conclusiones relevantes ya no es un problema. El Software GRC incorpora herramientas que permiten extraer datos relevantes, establecer tendencia y patrones, formular predicciones con un alto grado de precisión, y producir informes que alerten sobre posibles amenazas o sobre la existencia actual de problemas que han pasado inadvertidos en determinado punto de la organización.

8. Escalar con la organización

Las organizaciones crecen, evolucionan y asumen nuevos desafíos. El Software GRC está preparado para acompañarlas en ese camino. La capacidad de personalización y configuración permite al Software crecer con la organización y adaptarse a sus nuevas circunstancias.

Las opciones de personalización, por otra parte, permiten a la solución acomodarse a las condiciones particulares de casa industria, especialmente en cuanto a sus exigencias de cumplimiento y sus vulnerabilidades.

9. Controlar riesgos y garantizar el cumplimiento

El objetivo final es tomar decisiones acertadas, informadas, controlando los riesgos y garantizando el cumplimiento. El Software GRC ayuda a las organizaciones que han estandarizado su Gestión de Riesgos de Cumplimiento, bajo la norma ISO 37301, a cumplir con el requisito de mejora continua, revisando los resultados de forma continua e indicando estrategias de Gestión que contribuyan a la mejora.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools entrega una plataforma centralizada para integrar las tareas de gestión de Gobernanza, Riesgo y Cumplimiento. Esto permite a la organización alinear sus procesos GRC con sus estrategias de negocios, obtener información en tiempo real y evaluar y tratar riesgos con suficiente anticipación.

Esta herramienta efectiva está lista para impulsar tu Sistema GRC. Da el primer paso aquí.

La entrada Digitalizar el sistema GRC para optimizar los procesos de gobernanza, riesgo y cumplimiento se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Por supuesto, también hay conductas no éticas que constituyen un delito desde su concepción. Son piezas dentro de un plan mayor para defraudar, estafar, robar o, en todo caso, afectar la reputación de la organización.

Las conductas no éticas se diferencian de los errores o del conflicto de intereses en la intensión clara de cometer un delito. La gravedad del objetivo planificado es lo que hace que estos actos se conviertan en un riesgo real de cumplimiento y de corrupción.

¿Por qué ocurren conductas no éticas en una organización y cómo tratarlas? Es el tema que abordamos a continuación.

¿Por qué se presentan conductas no éticas en una organización?

Los empleados incurren en conductas no éticas por muchas razones. Se destacan, no obstante, las motivaciones económicas. Las presiones sociales para destacarse en el grupo o el exceso de carga laboral, son también condicionantes para la aparición de conductas no éticas.

No obstante, tres condiciones crean escenarios laborales en los que no se respetan los estándares éticos:

1. Inestabilidad en la estructura organizacional

Las familias inestables producen ciudadanos con problemas de conducta. Las empresas que no pueden presentar una estructura de gobierno sólida, coherente y sostenible, estarán expuestas a la libre interpretación de las normas o al irrespeto hacia ellas.

La pérdida o difuminación de la estructura de gobierno se produce por muchas razones: fusiones, adquisiciones forzosas, problemas en la Alta Dirección, alta rotación de los empleados, falta de liderazgo…

En cualquier caso, es claro que los empleados de organizaciones en las que no es posible identificar una estructura de gobierno clara y definida, y, por tanto, una línea de mando que genere respeto, son más propensas a la aparición de conductas poco éticas.

2. Presión laboral

Sorprende el número de empleados que incurren en prácticas no éticas, sin esperar un beneficio económico para ellos. Apenas buscan satisfacer los pedidos de sus superiores, cumplir metas imposibles o alcanzar indicadores de rendimiento irracionales.

3. Ausencia de liderazgo y cultura ética

En muchas organizaciones, las conductas no éticas son parte del diario acontecer porque nadie las sanciona y si alguien denuncia no sucede nada con esa información.

En estas empresas los buenos empleados se sienten desmotivados. Algunos abandonan la organización y otros terminan uniéndose al grupo de los que faltan a las normas.

¿Cómo tratar las conductas no éticas en el lugar de trabajo?

Algunas de las circunstancias mencionadas son inevitables. Una fusión, procesos de reorganización producto del crecimiento, presión por resultados… No obstante, es preciso contar con plan para tratar las conductas no éticas. Esta guía de nueve pasos ayuda a resolver muchos de los problemas:

1. Crear políticas y códigos de conducta

Las políticas y el código de conducta les dicen a las personas qué pueden y qué no pueden hacer. Son, además, la expresión legitima de la voz de la Alta Dirección y, por ello, su contenido tiene tono de mandato.

Las políticas y los códigos deben además recalcar el valor y la obligación de denunciar y expresar sin lugar a dudas el compromiso de la organización y de la Alta Dirección con la protección de los informantes y de su integridad.

2. Comunicar las políticas y hablar de ética y corrupción

Las políticas, los códigos o los manuales de procedimiento se quedan en el papel o en un archivo digital si no son compartidos y comunicados en la forma adecuada. Una forma de hacerlo es convocando a los empleados a eventos como charlas, foros o debates, en los que además de presentar los documentos y su contenido, se hable del tema y se escuche la voz de los empleados.

Esto contribuye a poner de moda el tema. Y esto es un elemento importante en la creación de una verdadera cultura ética.

3. Hablar de las consecuencias de la conducta no ética

Tan importante como hablar de la ética y la corrupción, y de las normas que se deben cumplir, es mostrar lo que sucede cuando no se respetan los estándares de conducta socialmente aceptados.

Para hacerlo no hay que ir muy lejos. Los casos de organizaciones que han tenido que pagar enormes cantidades, o las que han sucumbido a causa de un escándalo que acabó con sus finanzas y su reputación, están a la vista en cualquier telediario.

4. Crear un canal de denuncias

El canal de denuncias es más que una necesidad. Es una obligación regulatoria. Pero los empleados necesitan verlo como una línea amiga. Un lugar en el que podrán hablar de sus preocupaciones, aclarar si algo es una conducta no ética, un conflicto de intereses o tan solo un problema menor fácil de solucionar.

Los empleados necesitan contar con la certeza de que el canal recibirá con el mismo entusiasmo sus comentarios positivos, negativos, críticos, confidenciales, anónimos, y que en cualquier caso se tomarán acciones y se mantendrá informado y protegido al informante.

5. Crear programas de capacitación

Una de las tareas del oficial de compliance es identificar las brechas de formación en todos los niveles de la organización. Esto es especialmente importante para los empleados que desempeñan funciones en un programa de cumplimiento o de Gestión Anticorrupción.

Los empleados tienden a dar credibilidad a charlas o conferencias dictadas por especialistas con reconocimiento internacional. La ética es un tema que se puede incluir en charlas sobre liderazgo, sobre gobierno corporativo, sobre cumplimiento o sobre Gestión Anticorrupción.

6. Crear controles y auditar la Gestión

Los controles cumplen una función preventiva. Son procedimientos creados para disminuir la probabilidad de que los empleados incurran en conductas no éticas. Pero para conocer la efectividad de esos controles es preciso monitorearlos y auditarlos.

El programa anual de auditorías corresponde a la Oficina de Cumplimiento. De los informes de cada auditoría resulta la bitácora que permite mejorar el sistema y la Gestión.

7. Incluir la ética en los procesos de contratación

Los valores éticos pueden ser el resultado de procesos de formación. Algunos empleados los traen desde sus empleos anteriores. Para otros, el origen es la educación y la formación en la familia.

En cualquier caso, estos empleados con valores éticos facilitan el trabajo para el Oficial de Cumplimiento y mitigan los riesgos asociados a conductas fuera de la ética. Por eso es importante identificar esos valores en los candidatos y asignar un valor a esos candidatos en los procesos de contratación.

8. Educar con el ejemplo

Los miembros de la Alta Dirección, los gerentes y los directores de área son los encargados de dar ejemplo sobre conductas éticas. El trabajo diario de estas personas tiene un alto impacto en el comportamiento de los empleados que se encuentras debajo de ellos en el organigrama.

Cuanto más alto se encuentre un directivo, mayor será la repercusión que tengan sus acciones en los niveles inferiores de la organización.

9. Automatizar la Gestión

Las soluciones tecnológicas modernas, basadas en la nube y con integración de elementos de Inteligencia Artificial, permite obtener una visión constante, integral y completa de los acontecimientos en toda la organización.

Es, además, una herramienta que permite individualizar incidentes y caracterizarlos: conductas no éticas, fallos humanos, conflictos de intereses, soborno, corrupción…

Software ISO 37301 de ISOTools

La Gestión de Cumplimiento tiene una relación directa con la ética. El Software ISO 37301 de ISOTools es una herramienta que digitaliza el Sistema de Compliance, entregando como resultado una gestión eficaz, productiva, enfocada en la prevención de riesgos.

La plataforma automatiza tareas, entrega informes actuales para mejorar la toma de decisiones, presenta mapas de calor y entrega indicadores útiles para la mejora continua del Sistema. Encuéntralo aquí.

La entrada 9 pasos para gestionar las conductas no éticas en el lugar de trabajo se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Dentro del programa de cumplimiento, es esencial contar con un subsistema de gestión de casos para gestionar los problemas identificados en el Sistema de Gestión de Cumplimiento.

Sin embargo, este subsistema a veces presenta fallos. A continuación, detallamos algunos errores comunes que suelen cometer los profesionales encargados de la Gestión de Compliance.

¿Cuáles son los errores que se deben evitar en la gestión de casos de cumplimiento?

La gestión de casos, como elemento individual, pero integrado al programa de cumplimiento, aparece como resultado de la entrada en vigor de regulaciones sobre canales de denuncia, investigaciones, confidencialidad y protección de informantes.

Se trata de directivas y exigencias regulatorias que son válidas tanto para la gestión de cumplimiento como para la gestión anticorrupción. A partir de la experiencia, se pueden identificar cuatro errores recurrentes en la gestión de casos de compliance:

1. Dejar de documentar hechos o asuntos importantes en una investigación

En una investigación de cumplimiento sobre un problema informado, registrado o identificado en una auditoría, ningún detalle es tan insignificante como para que se omita la obligación de documentarlo.

Las entrevistas, los datos y registros aportados por los involucrados, listas de personas y sus datos, las circunstancias generales sobre el hecho, percepciones del investigador, todo se documenta.

Si se hace referencia a un dato, que se sabe se almacena en una determinada base de datos, este debe ser igualmente documentado de forma única para el expediente. En una única ubicación se reúne toda la información documentada relacionada con la investigación y el hecho que la genera.

Es necesario pensar siempre que una investigación puede ser apenas una pieza de un problema mayor. En adelante, muchas personas necesitarán y agradecerán que todo se haya documentado con absoluta fidelidad y transparencia.

En muchas organizaciones, y para muchas personas, la dificultad para documentar dentro de la gestión de casos se relaciona con la ausencia de una plataforma que, dentro de sus funcionalidades, ofrezca un control de documentos automatizado y eficaz.

2. Desaprovechar el valor de los datos y registros

La automatización de la gestión de casos, y del programa de cumplimiento, permite obtener un nutrido y cada vez más valioso repositorio de información conformado por datos, documentos, informes y registros.

Sin embargo, un error frecuente es dejar que tan valioso recurso repose en un archivo que, aunque digital, no es utilizado ni consultado. Es información que permite establecer tendencias, crear indicadores eficaces, predecir problemas y delimitar puntos críticos para la gestión de cumplimiento.

3. No asegurar la confidencialidad

La confidencialidad en una investigación es requisito regulatorio, pero también es una cuestión de respeto hacia los informantes y hacia las personas involucradas. La automatización de la gestión de cumplimiento ofrece muchos beneficios, pero, en ocasiones, la confidencialidad no ha sido considerada para el diseño y arquitectura de la solución.

La confidencialidad necesita permisos y privilegios de acceso, de acuerdo con el rol que el empleado tiene dentro del programa de compliance. Los investigadores, por ejemplo, deberían tener un nivel de acceso privilegiado.

El uso de contraseñas seguras y las restricciones de acceso a personas de interés en una investigación, aunque sean directores de área o miembros de la Alta Dirección, son medidas necesarias para garantizar la confidencialidad en la gestión de casos de compliance.

4. Prescindir de la automatización y la tecnología

Hacemos referencia reiterativa al uso de plataformas que automatizan la gestión de casos y el programa de cumplimiento. Pero es preciso hablar de las organizaciones que aún trabajan con archivos de papel y, en el mejor de los casos, con hojas de cálculo y cuentas de correo electrónico.

La gestión de casos, en ese evento, suele ser lenta, improductiva y escasa en resultados. La sola tarea de ubicar un dato o un documento, puede representar un reto de proporciones mayúsculas para el equipo.

La gestión de cumplimiento requiere tecnología para ser eficaz. Y el mercado del software provee herramientas especializadas en apoyar el logro de objetivos propuestos por el Oficial de Cumplimiento, ahorrando tiempo, mejorando los indicadores de gestión, preservando la confidencialidad y aprovechando al máximo el valor de la información y de los datos. Un ejemplo de ello, a continuación.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es una solución basada en la nube, diseñada para automatizar la gestión de cumplimiento de organizaciones de todos los sectores y tamaños, aunque no hayan adoptado el estándar internacional ISO 37301.

La plataforma ofrece funcionalidades apoyadas por Inteligencia Artificial, para el control de documentación, debida diligencia, preservación y protección de la información, auditorías y todo lo que requiere un Oficial de Cumplimiento para alcanzar los objetivos propuestos. Solicita información detallada.

La entrada Gestión de casos en el programa de cumplimiento: 4 errores a evitar se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Mientras la organización crece, las expectativas y obligaciones de cumplimiento también lo hacen. El sistema compliance necesita adquirir capacidad de respuesta, robustez y eficacia.

Existen diferentes estrategias para impulsar y mejorar el sistema compliance, algunas de ellas de comprobada efectividad. Seleccionamos, a continuación, cinco muy interesantes que permiten mejorar el sistema, potenciar sus beneficios y hacerlo más productivo.

¿Cómo mejorar e impulsar el sistema compliance de la organización?

Los oficiales de cumplimiento buscan aliados en todas las áreas y todos los niveles de la organización. El cumplimiento es un tema que interesa a todos, y que encuentra obligaciones en cualquier punto de la organización. La idea es encontrar elementos que contribuyan a multiplicar esfuerzos y, por supuesto, resultados positivos.

Cinco estrategias efectivas para impulsar y mejorar el sistema compliance son:

1. Introducir la ética en todos rincones de la organización

El cumplimiento es en esencia hacer las cosas bien. Las organizaciones en las que hay cultura ética, y esa cultura forma parte del quehacer diario de todos los trabajadores, difícilmente tienen problemas de compliance.

Esto implica considerar dos elementos clave: concienciación y capacitación. Lo primero se logra con el ejemplo y lo segundo con formación. Es necesario que la ética forme parte de charlas, foros, conversaciones, material impreso, comunicaciones, emails…

La ética se convierte así en el faro que guía a los empleados en momentos en los que surgen dudas entre lo que dice el manual de conducta y lo que sugieren los objetivos comerciales. Conflictos de interés o vacíos en las políticas o manuales de procedimientos se resuelven acudiendo a la ética.

2. Incluir el cumplimiento en contratos con terceros

El sistema compliance necesita cobertura sobre los terceros. Por supuesto, no siempre es posible verificar el cumplimiento de proveedores, contratistas o socios comerciales.

Los contratos que se firman con terceros son la mejor herramienta para garantizar el cumplimiento de personas y organizaciones con las que se tienen acuerdos. La cobertura en seguridad social de trabajadores subcontratados, por ejemplo, es una obligación de cumplimiento que corresponde a la organización para la cual trabajan esos contratistas. Si no se incluye esta obligación, de forma clara y expresa en el contrato, es probable que esa organización ignore o evada esa responsabilidad.

El contrato es el mecanismo ideal para inducir a terceros a cumplir, y, así mismo, multiplicar la cultura de cumplimiento de forma vertical.

3. Garantizar la confidencialidad de los informantes

Los canales de denuncia o de recepción de informes sobre infracciones de conducta, éticas y de cumplimiento, han demostrado gran efectividad en sistemas compliance y en programas anticorrupción.

Son tan efectivos que han sido normalizados y son en el momento una obligación regulatoria en muchos Estados, y en toda la Unión Europea. El éxito de estos canales está en la capacidad para conservar la confidencialidad y el anonimato de los informantes.

Si no se protege la confidencialidad, el canal, y el sistema en general, pierde confianza.

4. Probar los controles internos

Los controles internos son las válvulas del sistema compliance. De su eficacia depende que el sistema reciba recursos adecuados, que los objetivos se alcancen y, sobre todo, que no se presenten incidentes o infracciones de cumplimiento.

Los controles internos se diseñan con la mejor intención y se implementan con base en técnicas de ingeniería de procesos que han sido probadas en muchas ocasiones. Pero las condiciones pueden cambiar, el contexto puede ser otro o, incluso, el marco regulatorio puede convertir un control eficiente en uno obsoleto.

Por eso es tan importante revisar con frecuencia los controles internos, verificar su eficacia y establecer indicadores para calificar su efectividad.

5. Incorporar tecnología al sistema compliance

El cumplimiento tiene alcance sobre todas las áreas y está presente en todos los niveles de la organización. Es imposible cubrir tantos frentes, procesar datos y analizar informes, sin la ayuda de una plataforma especializada en Gestión de Cumplimiento.

El análisis de datos es esencial para un Oficial de Cumplimiento. Algunas organizaciones inician este camino con hojas de cálculo. Esto permite realizar algunos análisis básicos. Pero quedan por fuera muchos procesos de debida diligencia, la gestión de documentos y la gestión de canales de denuncias, entre otros elementos muy importantes para un sistema compliance.

Software ISO 37301 de ISOTools

La trazabilidad en procesos de investigación de denuncias, por ejemplo, es otro elemento clave para el éxito de un programa de cumplimiento. La credibilidad y la transparencia son fundamentales para mantener el sistema y ampliar la adhesión y el compromiso de los empleados.

El Software ISO 37301 de ISOTools es una plataforma tecnológica especializada, basada en la nube, diseñada para automatizar tu sistema de cumplimiento y asegurar el logro de los objetivos y la mejora continua. Aquí la puedes encontrar.

La entrada 5 formas de impulsar y mejorar el sistema compliance de la organización se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Habitualmente, la Gestión de Riesgos Empresariales funciona como un departamento agregado, pero independiente, de la Gestión de Riesgos General. Por ello, utiliza algunas estrategias comunes y adopta las mejores prácticas para el diseño e implementación de controles internos.

La Gestión de Riesgos Empresariales, históricamente, aparece al final de la década de los años 20, del siglo pasado. La Gran Depresión de 1929 condujo a muchos empresarios a diseñar estrategias para enfrentar amenazas de este tipo.

Así, estas estrategias han evolucionado en un siglo convulso, marcado por la aparición de tecnologías innovadoras y fenómenos de globalización que definen la Gestión de Riesgos Empresariales moderna.

La Gestión de Riesgos Empresariales, en el siglo XXI, considera riesgos operacionales, de TI, de proyectos específicos e incluso, los que amenacen a socios comerciales en la cadena de suministro.

¿Cuáles son los componentes esenciales en la Gestión de Riesgos Empresariales?

Las organizaciones adoptan diferentes marcos o modelos de Gestión de Riesgos Empresariales. Las empresas que optan por un enfoque GRC, necesitan cumplir con requisitos y exigencias regulatorias adicionales, especialmente en lo relacionado con informes sobre Gestión de Riesgos.

Aunque existen diferentes marcos de operación, los elementos esenciales en la Gestión de Riesgos Empresariales son:

1. Contexto interno de la organización

El contexto interno de la organización lo conforman la cultura, la gobernanza y los valores. Son importantes para la Gestión de Riesgos Empresariales porque inciden de forma directa en la creación de políticas, el diseño de procedimientos y el establecimiento de códigos de comportamiento y conducta.

Políticas, procedimientos y códigos incluyen las normas y las directrices que moldean el comportamiento de los empleados. Así, el liderazgo y el tono de la Alta Dirección contribuye al objetivo de generar una cultura sólida de Gestión de Riesgos.

2. Planificación estratégica

La Gestión de Riesgos Empresariales necesita definir objetivos. Y para alcanzarlos, necesita elaborar planes estratégicos. El enfoque de la Gestión es de arriba hacia abajo. Es, en consecuencia, la Alta Dirección el órgano encargado de establecer el apetito de riesgo de la organización, definir objetivos generales y orientar la estrategia que será desarrollada por los profesionales especializados en el área.

El nivel de detalle con que intervenga la Alta Dirección dependerá del tamaño, la complejidad y el grado de regulación al que está sometida la organización. En pequeñas empresas es común que la Alta Dirección asuma funciones de Gestión de Riesgos de forma integral, sin delegar a equipos especializados.

3. Ciclo de Gestión de Riesgos

Retomando una idea expresada en la introducción sobre “la Gestión de Riesgos Empresariales utiliza herramientas, estrategias y modelos que son comunes a la Gestión en General”, el ciclo de Gestión de Riesgos es uno de esos elementos comunes:

• Identificación de riesgos, haciendo uso de modelos como la lluvia de ideas, los informes sobre incidentes, las experiencias de industrias del sector o el análisis de indicadores e informes financieros y contables.
• Evaluación de riesgos, que permite categorizar los riesgos y elaborar una lista priorizada.
• Cuantificación de los factores relevantes, que son el impacto y la probabilidad. Es común en esta etapa el uso de una Matriz de Evaluación del Riesgo.
• Categorizar los riesgos, ubicándolos en cada uno de los tipos de Riesgos Empresariales. Algunos de ellos son:
  • Estratégicos.
  • Financieros.
  • Operacionales.
  • De Calidad.
  • De Cumplimiento.
  • De Seguridad de la Información.
  • Reputacional.
  • Externos.
• Acciones para tratar los riesgos, que conformarán la Estrategia de Gestión considerando en orden de relevancia:
  • Eliminar.
  • Mitigar.
  • Transferir.
  • Tolerar.
• Supervisar y controlar el resultado de las acciones implementadas, verificar su efectividad y, de acuerdo con el comportamiento, reiniciar el ciclo.

4. Mejora continua

Con base en la supervisión y control de los riesgos detectados, la organización adopta un modelo de Gestión de Riesgos cíclico, que busca la mejora continua. La mejora continua requiere que se actualice de forma periódica la lista de riesgos, el perfil y el apetito de riesgo. La auditoría del Sistema, basada en información confiable y oportuna entregada por una plataforma que automatice las herramientas GRC, es un elemento diferencial importante para la mejora continua y sostenida.

5. Informes y comunicación

La capacidad para producir informes transparentes, relevantes y comunicarlos de forma asertiva y acertada, es el último elemento esencial de la gestión de riesgos corporativa. La información y los informes deben fluir con facilidad hacia las partes interesadas, iniciando con la Alta Dirección.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es una solución informática eficaz, diseñada para apoyar la Gestión de Riesgos de Cumplimiento, Operacionales, Financiero y de orden Empresarial.

Esta herramienta basada en la nube permite diseñar flujos de trabajo, supervisar tareas asignadas, automatizar funciones, informar sobre retrasos o incumplimiento, generar mapas de riesgos, y, entre otras muchas funcionalidades, obtener información total útil para gestionar riesgos y para tomar las mejores decisiones. Infórmate aquí.

La entrada Gestión de riesgos empresariales: los 5 componentes esenciales para una gestión efectiva se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Para los auditores internos, seguir el ritmo puede representar una dificultad. Los procesos de auditoria consideran nuevas prioridades y la complejidad de la tarea crece con el volumen de información nueva, que requiere evaluación y análisis.

En algunas organizaciones, las auditorías internas son una práctica constante durante todo el año. Es con base en ellas que se garantiza la gobernanza, la gestión de riesgos eficiente y la adopción de controles efectivos. Para que esto suceda, es preciso contar con procesos de auditoría ágiles. Explicamos cómo hacerlo.

¿Qué son procesos de auditoría ágiles y que es la metodología ágil?

El término Agile se acuña inicialmente en la industria del desarrollo de software. Agile declara cuatro valores esenciales que se basan en la colaboración continua:

• Personas e interacciones.
• Software.
• Colaboración con el cliente.
• Respuesta al cambio.

¿Qué es metodología ágil?

El objetivo principal de la metodología ágil es entregar resultados inmediatos al cliente, resolviendo sus necesidades prioritarias. La metodología ágil se basa en el supuesto de que las acciones rápidas ofrecen uno de dos resultados, igualmente valiosos: confirmación del acierto o verificación del error.

Lo que se busca es detectar fallos o deficiencias lo más rápido posible. El éxito, en la industria del software, ha desencadenado el uso de las metodologías ágiles hacia todos los sectores e industrias, y, por supuesto, al campo de la auditoría interna.

La gestión de riesgos, y los procesos de auditoría, encuentran elementos de alto valor en la metodología ágil. Entre ellos, la velocidad en la ejecución de la tarea y la capacidad de reacción ante la presencia de nuevas amenazas, cambios en la regulación o nuevas modalidades de ciberataques, por ejemplo.

¿Cómo son los procesos de auditoría ágiles?

Los procesos de auditoría ágiles se basan en los cuatro valores declarados para la metodología descrita, apartándose de los postulados de la auditoría tradicional que sigue procesos y procedimientos rígidos.

Los procesos de auditoría tradicionales no se abandonan. Su uso continúa siendo útil en áreas como Gestión de Cumplimiento o para auditar la capacidad de un Sistema de Gestión para ser certificado.

Los procesos de auditoría ágiles inician con una evaluación de riesgos con el fin de establecer los objetivos prioritarios. A partir de esta evaluación, los equipos de auditores eligen uno de dos modelos de trabajo:

1. Kanban

Cómo otras técnicas corporativas que hoy son tendencia, Kanban tiene origen en oriente. En japonés, la palabra significa etiquetar. Esta metodología utiliza tableros, modelos gráficos y tarjetas, que aportan una visión integral de las tareas. El uso de etiquetas Post-It, que se pueden mover con facilidad de una columna a otro, de acuerdo con la ejecución de cada tarea.

2. Scrum

El modelo Scrum promueve la prueba y el error, como una forma de aprender de la experiencia e identificar fallos y aciertos con prontitud. Scrum provee la flexibilidad y el dinamismo necesarios para enfrentar una auditoría en la que es frecuente la aparición de información nueva o riesgos no evaluados con anterioridad.

¿Qué técnicas se pueden utilizar para generar procesos de auditoría ágiles?

La auditoría ágil inicia con la evaluación de riesgos. El objetivo es identificar áreas de atención prioritaria. A partir de esa evaluación, los auditores pueden implementar algunas técnicas ágiles:

1. Sprints en espacios de tiempo cortos

Dependiendo de la complejidad de la tarea, se establecen periodos de tiempo rápidos, que pueden ser de una o dos semanas, o, incluso, de tres o cuatro días. En el periodo definido, el equipo debe evaluar los resultados y, de ser necesario, repetir el sprint en el mismo periodo de tiempo.

2. Realizar reuniones periódicas

Esto fomenta el valor número uno de la metodología ágil: la interacción entre las personas. Las reuniones necesitan ser rápidas y productivas. Reuniones diarias de no más de 15 minutos permitirán conocer los avances, comunicar errores, establecer cuellos de botella y avanzar con rapidez en el logro de objetivos.

3. Diseñar planes de auditoría flexibles

La metodología ágil necesita planes flexibles que respondan de inmediato a situaciones y hallazgos imprevistos.

4. Procesar información en tiempo real

En los métodos tradicionales de auditoría, la información se entrega en un informe final dirigido a la Alta Dirección. Con base en ese informe se toman acciones correctivas, que son evaluadas y monitorizadas, para ser consideradas en la siguiente auditoría. La metodología ágil no espera a que se complete ese ciclo. La información se procesa en tiempo real y se da respuesta inmediata a los problemas.

¿Cuáles son los beneficios de la metodología ágil en auditorías?

La implementación de la metodología ágil en procesos de auditoría puede representar algunos problemas para los equipos de trabajo. Los auditores están acostumbrados a la formalidad y la rigidez en los procesos, y convencerlos de lo contrario requiere adoptar las mejores técnicas de comunicación.

Entender los beneficios es un buen punto de partida. Algunos de ellos son:

• Menos tiempo en etapas como la planificación. Una auditoría tradicional puede tomar semanas, tan solo para el diseño del plan. La metodología ágil puede hacerlo en días, o incluso, horas.
• Combinación de técnicas y metodologías, como reuniones rápidas, tableros, tarjetas, informes inmediatos….
• Colaboración e interacción entre equipos multidisciplinarios provenientes de diferentes áreas o entre diferentes equipos de auditores.
• Flexibilidad que permite el cambio de objetivos, enfoque o alcance de la auditoría sobre la marcha, dependiendo de los hallazgos o de los resultados de las evaluaciones de riesgos.
• Atención inmediata de los problemas, sin tener que esperar al formalismo de presentación del informe final, evitando así el avance del impacto negativo de los riesgos.
• Realizar auditorías rápidas, con menor inversión de recursos económicos, humanos y tecnológicos.
• Revisar asuntos archivados, que no han podido ser objeto de una auditoría formal debido a los costes o la complejidad que implica un modelo de auditoría tradicional.

¿Cuáles son los desafíos que resuelve la auditoría ágil?

La auditoría interna es el inicio y el fin del ciclo de mejora continua en cualquier área o proyecto corporativo. La auditoría ágil resuelve varios desafíos que superan las capacidades de la auditoría tradicional. Entre ellos, encontramos:

1. Crear planes de auditoría relevantes

Los problemas relevantes, necesitan soluciones igualmente importantes. Los planes de auditoría para evaluaciones tradicionales no logran satisfacer esta necesidad. Un plan para auditorías ágiles puede enfocarse en los problemas corporativos urgentes e inmediatos.

2. Adaptar objetivos y alcance sobre la marcha

Lo cual no es posible en un modelo tradicional. La capacidad de adaptación, permite acomodar los objetivos y el alcance, incluso varias veces, dentro de una misma auditoría.

3. Fomentar el trabajo en equipo

Uno de los problemas que enfrentan los auditores es la resistencia o apatía de parte de sus auditados. La metodología ágil, por el contrario, genera un entorno colaborativo útil y proclive a la identificación rápida y eficaz de riesgos.

4. Aumentar la efectividad de los informes

Las técnicas de auditoría ágil permiten dividir la tarea en fracciones tan pequeñas como sea necesario. Así, los resultados son específicos y puntuales, facilitando la implementación de acciones para tratar riesgos o solucionar problemas, acelerando los flujos de trabajo.

¿Cómo implementar procesos de auditoría ágiles con base en un software de gestión?

Los métodos de auditoria tradicionales – que no es preciso descartar -, así como los procesos de auditoría ágiles, presentan requerimientos de información inmediata, de calidad, en tiempo real.

Es tal vez el principal obstáculo que enfrentan las organizaciones al implementar auditorías ágiles. Una plataforma diseñada para automatizar Sistemas de Gestión, en el área en que se implemente la auditoría ágil, permitirá a equipos de diferentes áreas ejecutar proyectos conjuntos, contando con el suministro constante de información y la capacidad de procesamiento de nuevos datos sobre la marcha.

Software ISO 37301 de ISOTools

Una plataforma diseñada para satisfacer las necesidades de información y procesamiento inmediato, generadas por la implementación de procesos de auditoria ágiles, es el Software ISO 37301 de ISOTools. Esta solución, basada en la nube, está aquí para facilitar el logro de las necesidades de información para las auditorias en tu organización. Conócela aquí.

La entrada Procesos de auditoría ágiles: cómo adaptarse rápido a nueva información y prioridades cambiantes se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.