La norma ISO 37001 establece un marco para ayudar a las organizaciones a prevenir, detectar y abordar el soborno. Proporcionando un conjunto de buenas prácticas para la gestión del riesgo de corrupción. La versión 2025 introduce cambios para alinearse mejor con otros estándares internacionales y reflejar las lecciones aprendidas desde su lanzamiento inicial en 2016.

Actualizaciones de la transición a la nueva ISO 37301:2025

Las actualizaciones en la transición hacia la nueva norma ISO 37301:2025 incluyen una serie de mejoras y ajustes clave. Estas refuerzan la eficacia de los sistemas de gestión de compliance y fortalecen los mecanismos de integridad en las organizaciones. Entre los principales cambios se destacan:

• Mayor alineación con la ISO 37301 sobre sistemas de gestión de compliance, permitiendo una mejor integración con otros estándares internacionales de gestión, facilitando su implementación y armonización con los marcos regulatorios existentes.
• Un enfoque más estructurado en la debida diligencia para terceros y socios comerciales, asegurando que las organizaciones realicen evaluaciones más rigurosas de los riesgos asociados con sus relaciones externas, incluyendo proveedores, distribuidores y otros actores clave en la cadena de valor.
• Reforzamiento del liderazgo y la cultura organizacional en la lucha contra la corrupción, promoviendo una mayor responsabilidad de la alta dirección y fomentando una cultura de cumplimiento que impregne todos los niveles de la empresa, con énfasis en la ética y la transparencia.
• Mejoras en los mecanismos de denuncia y en la protección de denunciantes, estableciendo procedimientos más claros, seguros y efectivos para que los empleados y otros interesados puedan reportar posibles irregularidades sin temor a represalias, fortaleciendo así la confianza en el sistema de compliance.
• Mayor énfasis en la evaluación de riesgos y en los controles internos, con metodologías más robustas para la identificación, análisis y mitigación de riesgos, asegurando que las organizaciones cuenten con estructuras adecuadas para prevenir, detectar y responder a posibles incumplimientos normativos.

Diferencias Clave entre la ISO 37001:2016 y la ISO 37001:2025

La transición de la ISO 37001:2016 a la ISO 37001:2025 trae consigo una serie de cambios significativos. Buscan fortalecer la gestión del riesgo de soborno y la integración con otros sistemas de cumplimiento. Algunas diferencias clave son:

1.Integración con la ISO 37301

La versión 2025 permite una mejor compatibilidad con los sistemas de gestión de compliance en general, facilitando su implementación dentro de marcos más amplios.

2. Mayor énfasis en el liderazgo

La nueva versión refuerza el papel de la alta dirección en la promoción de una cultura ética, asegurando que el compromiso contra el soborno provenga de los niveles más altos de la organización.

3. Requisitos más estrictos en la debida diligencia

Se incrementan las exigencias para evaluar y gestionar el riesgo de soborno en terceros, como proveedores y socios comerciales.

4. Fortalecimiento de los canales de denuncia

Se establecen mecanismos más claros para proteger a los denunciantes y garantizar que sus informes sean tratados de manera eficaz y segura.

5. Evaluación de riesgos más dinámica

 La versión 2025 exige una revisión y actualización periódica de los riesgos, en lugar de una evaluación estática ocasional.

La transición de la ISO 37001:2016 a la ISO 37001:2025 trae consigo una serie de cambios significativos. Buscan fortalecer la gestión del riesgo de soborno y la integración con otros sistemas de cumplimiento.
Compartir en X

 Beneficios de la Implementación de la ISO 37001

Adoptar un sistema de gestión antisoborno basado en la ISO 37001 proporciona numerosas ventajas a las organizaciones, en la mejora de la cultura corporativa y la competitividad. Entre los principales beneficios destacan:

• Mitigación del riesgo legal y reputacional: al implementar controles efectivos, las empresas pueden reducir significativamente el riesgo de verse envueltas en casos de soborno y corrupción, protegiendo su imagen y evitando sanciones.
• Mayor confianza de inversores y clientes: contar con una certificación en ISO 37001 refuerza la reputación de la organización, generando confianza entre sus stakeholders y facilitando relaciones comerciales.
• Eficiencia operativa mejorada: la estandarización de procesos y controles ayuda a reducir errores y mejorar la gestión interna, optimizando recursos.
• Ventaja competitiva en licitaciones y contratos: muchas organizaciones y gobiernos priorizan la contratación de empresas certificadas en ISO 37001, otorgando una ventaja clave a quienes cumplen con la norma.
• Fomento de una cultura de ética y transparencia: la implementación de esta norma contribuye a crear un entorno organizacional basado en la integridad, donde se promueve el comportamiento ético.

Software ISO 37001:2025

Actualmente la lucha contra el soborno se ha convertido en una prioridad para empresas de todos los sectores. Cumplir con la ISO 37001 ya no es una opción, sino una necesidad para evitar sanciones, mejorar la reputación y generar confianza.

ISOTools te ofrece la plataforma más avanzada para la gestión automatizada del Sistema de Gestión Antisoborno (SGAS), con el software ISO 37001, simplificando la implementación, monitoreo y mejora continua de la norma.

¿Por qué elegir el software ISO 37001 de ISOTools?

• Automatización completa
• Cumplimiento normativo asegurado
• Evaluación de riesgos en tiempo real
• Módulo de denuncias anónimas
• Integración con otros sistemas
• Soporte experto y actualizaciones constantes

Transforma la gestión de ISO 37001:2025 en tu empresa con ISOTools, fortaleces la cultura ética de tu organización y te posicionas como un referente en transparencia y responsabilidad corporativa.

La entrada ¿Cómo es el proceso de transición a la nueva ISO 37001:2025? se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

La relación que se establece con los trabajadores es compleja. Implica considerar, además de las obligaciones contractuales que adquiere la empresa con sus empleados, normas de origen local, nacional y requisitos de orden internacional. Por eso, el cumplimiento en Recursos Humanos enfrenta desafíos mayores.

La amplitud del espectro sobre el que se mueve el cumplimiento en Recursos Humanos y la diversidad de fuentes de obligaciones legales y regulatorias, llevan a los profesionales encargados a cometer errores.

Por supuesto, son fallas entendibles, pero no por ello de obligatoria aceptación. Es preciso tomar acciones para resolver los problemas. Es el tema que abordamos hoy, empezando por entender la importancia del cumplimiento en Recursos Humanos.

¿Por qué es importante el cumplimiento en Recursos Humanos?

El cumplimiento en Recursos Humanos demuestra que la organización, además de verificar el cumplimiento de múltiples obligaciones, se preocupa por implementar las mejores prácticas de convivencia laboral, de Seguridad y Salud en el Trabajo y de bienestar económico y social de sus trabajadores.

Comportamientos censurables, como el acoso laboral, sexual o la discriminación por cualquier causa, también competen al cumplimiento en Recursos Humanos. Pero existen otras razones relevantes para considerar que este es un tema de gran importancia en una organización que espera generar un crecimiento constante y ser exitosa en su industria:

• Enfoca la Gestión de Riesgos en un área definida, facilitando la búsqueda de amenazas.
• Evita el pago de multas y sanciones por incumplimiento, y de costosas demandas de trabajadores.
• Protege la reputación de la organización.
• Mejora el Employer Branding de la empresa.
• Crea un ambiente laboral feliz, proclive a la productividad.

¿Cómo construir un marco seguro de cumplimiento en Recursos Humanos?

El cumplimiento en Recursos Humanos es algo más que un propósito. Necesita un marco de operación que le entregue las herramientas necesarias para ser efectivo. Conformar un equipo de trabajo con la experiencia y el conocimiento adecuados es la primera acción para desarrollar.

La tecnología, como se evidenciará en adelante, es un factor determinante para alcanzar los objetivos propuestos en poco tiempo y generar una tendencia de mejora continua sostenible. Lo que sigue se puede resumir en los siguientes pasos:

1. Definir políticas y diseñar procesos

El cumplimiento en Recursos Humanos es un Sistema de Gestión. Por eso requiere de una política proveniente de la Alta Dirección, en la que se incluya, además del compromiso con el cumplimiento, los objetivos que se persiguen y la seguridad de la asignación de los recursos necesarios. Es preciso, igualmente, diseñar los procesos, los procedimientos que los conforman y las tareas y actividades que hacen parte de cada uno de ellos.

2. Identificar brechas de formación

La organización necesitará crear un programa de formación, de acuerdo con las necesidades del Sistema. Algunos empleados, con funciones específicas en el cumplimiento, requerirán programas muy definidos y técnicos. Otros empleados necesitarán contenidos que busquen la sensibilización y la creación de cultura de cumplimiento.

3. Crear la estructura para documentación y registro

Un marco eficaz y transparente de cumplimiento en el área de Recursos Humanos, necesita documentar y registrar muchos eventos, actividades de monitoreo y seguimiento y resultados de evaluaciones e inspecciones, entre otros hechos relevantes. Los instrumentos utilizados necesitan asegurar la accesibilidad, la incorruptibilidad y la trazabilidad de la información. Es preciso adoptar una solución informática que tenga la capacidad para afrontar los desafíos.

4. Realizar un inventario minucioso de obligaciones

Lo más importante, cuando se desea cumplir, es saber con precisión qué es lo que se debe cumplir. Las obligaciones en el área de Recursos Humanos provienen de muchas fuentes, algunas muy cercanas, otras no tanto. Es importante entender también, que el marco regulatorio y legal es dinámico. Esto significa que el inventario se debe revisar y actualizar mes a mes.

5. Implementar canales de comunicación fluidos

La comunicación debe fluir en los dos sentidos. Por una parte, se busca mantener informados a todos los empleados, sobre lo que se pretende hacer y lo que se espera obtener en el medio y largo plazo. Pero también se espera la retroalimentación de los trabajadores que expresen problemas, alerten sobre incumplimientos o propongan ideas para mejorar.

6. Auditar el marco

Aunque los resultados de la Gestión de cumplimiento en Recursos Humanos sean evidentes, es preciso monitorear, inspeccionar y, sobre todo, auditar. La auditoría es el único mecanismo efectivo y reconocido para comprobar los buenos resultados, encontrar problemas y mejorar de forma continua.

¿Cuáles son los errores recurrentes en el cumplimiento en Recursos Humanos?

Las auditorías, las inspecciones o las revisiones de la Alta Dirección sirven para identificar problemas y abordarlos con anticipación. Estos problemas surgen como consecuencia de errores que son recurrentes. Los 10 más comunes son:

1. Realizar auditorías poco confiables, con base en documentos inexactos

La práctica regular y sistemática de auditorías disminuye la probabilidad de error y promueve la mejora continua. El trabajo y los recursos, no obstante, pueden desperdiciarse si los documentos no son confiables, no existe trazabilidad, la información no está disponible y los registros no están completos.

El problema más grave que se hereda de la práctica de auditorías con estas características, es que generan la falsa percepción de seguridad. Esto es común en organizaciones que aún gestionan documentos y registros en papel o, cuando mucho, en Hojas de Cálculo.

¿Cómo evitar el error?

Tres componentes forman parte de la solución de este problema: automatizar y digitalizar la Gestión de Cumplimiento en Recursos Humanos, diseñar procesos eficaces para la creación, actualización, almacenamiento, comunicación y accesibilidad de documentos y registros y, finalmente, practicar auditorías frecuentes, sistemáticas y realizadas por auditores certificados.

2. No contar con apoyo tecnológico

La tecnología resuelve muchos problemas en la Gestión de Cumplimiento. Los relacionados con la Gestión de Documentos, ya mencionados, son importantes. Pero el error recurrente número dos es no contar con el soporte tecnológico de respaldo adecuados para cumplir muchas de las tareas que demanda el cumplimiento en Recursos Humanos.

El cumplimiento de muchos requisitos, regulaciones, normas o acuerdos contractuales, implica realizar tareas, conformar equipos de trabajo, realizar acciones y crear flujos de trabajo. Asumir el desafío, hace que los flujos de trabajo sean ineficientes, se cometan errores, muchas cosas importantes pasen por alto y, finalmente, generar incumplimiento.

¿Cómo evitar el error?

La tecnología se necesita para evitar los errores, pero también para automatizar tareas repetitivas, evitar la duplicación de funciones, mejorar la productividad de la Gestión y obtener actualizaciones en tiempo real sobre el estado de cumplimiento y sobre el devenir de las obligaciones. Evitar el error es fácil. Basta que la organización entienda la necesidad de invertir en tecnología.

3. Dejar de monitorear la actualidad regulatoria y legislativa

Tal vez el error más recurrente en el área de cumplimiento en Recursos Humanos es regirse a una lista de obligaciones que no es revisada y actualizada nunca. Cuando se afirma que el marco regulatorio y normativo en Recursos Humanos es dinámico y volátil no se exagera un ápice.

La diversidad de fuentes de normas, leyes o requisitos aumenta la dificultad para seguir los cambios. Algunos equipos de cumplimiento llegan a tener reuniones diarias para debatir sobre el acontecer noticioso y las novedades legislativas.

¿Cómo evitar el error?

La solución es estar alerta a cualquier movimiento. Por supuesto, los medios de comunicación en general son un buen punto de partida. Pero también hay foros o escenarios de debate especializados. Los compañeros, en otras empresas de la misma industria, son una buena fuente de noticias. Pero, todo esfuerzo será inútil si no se cuenta con una plataforma que permita procesar, clasificar, analizar, almacenar y distribuir la información recopilada.

4. No prestar atención a la voz de los trabajadores

Las organizaciones en las que no se escucha la voz de los empleados, en áreas criticas como Seguridad y Salud en el Trabajo, y por supuesto, cumplimiento en Recursos Humanos, no cuentan con una verdadera y transparente cultura de cumplimiento.

Las razones son varias: los equipos de gestión de cumplimiento desestiman la opinión o el valor del aporte del trabajador, se cree que alentar la participación representa algún tipo de peligro para la estabilidad de la organización o simplemente no se ha formado a los trabajadores para que piensen y actúen de esa forma.

¿Cómo evitar el error?

Capacitación, comunicación y, nuevamente, tecnología. La capacitación lleva al trabajador a comprender porqué es importante su voz y su aporte. La comunicación asertiva motiva al trabajador a involucrarse con la Gestión y la tecnología entrega los canales y las herramientas para facilitar los reportes de los empleados.

5. Ignorar la tecnología

La necesidad de utilizar una plataforma para procesar los datos, automatizar tareas y digitalizar la Gestión de cumplimiento en Recursos Humanos, es una preocupación recurrente en este texto. Y lo es porque la resistencia a acoger la tecnología es uno de los errores que mayores costes trae para la organización.

¿Cómo evitar el error?

Una plataforma así, está preparada para analizar los CV de los empleados, desde la misma etapa de selección y contratación, establecer puntos de interés, aplicar debida diligencia, verificar antecedentes y, en general, optimizar todos los procesos del área, incluyendo por supuesto, los que atañen al cumplimiento.

6. Diseñar procesos ineficientes

Los procesos en el área de Recursos Humanos son especialmente críticos. Una falla en ellos redunda en toda la organización. Después de todo, es precisamente el Departamento que provee el talento para toda la organización y el responsable de la buena relación de los trabajadores con la organización.

Muchos procesos son complicados sin necesidad, poco claros, o simplemente no sirven para el objetivo para el que fueron implementados. Las fallas en procesos relacionados con el cumplimiento son especialmente lesivas para la organización. Cuestan dinero, afectan la reputación y hacen que se pierdan buenos empleados.

¿Cómo evitar el error?

Es importante diseñar procesos para que se adapten a las necesidades de la Gestión de Cumplimiento en un área tan sensible al error. Lo contrario, hacer que el sistema se adapte al proceso, nunca funcionará. Un software que provea flujos de trabajo automatizados, con puntos de intercepción con otros procesos, con entradas y salidas lógicas, facilitará la tarea y aportará fluidez y coherencia a la Gestión.

7. Falta de documentos

Algunas áreas dependen mucho más de documentos que otras. Recursos Humanos tiene una muy alta dependencia. Todo se documenta y todo se evidencia con un documento. Desde la identificación de los empleados, el historial de Salud, los resultados de las capacitaciones, el registro histórico de incidentes y accidentes… Todo se basa en documentos. No contar con los documentos suficientes y adecuados, es un error más de cumplimiento en Recursos Humanos.

¿Cómo evitar el error?

La organización necesita un sistema confiable para la creación, modificación, actualización, comunicación, almacenamiento y eliminación de toda clase de documentos que involucren la Gestión de Cumplimiento. Este sistema requiere automatización que es el factor que asegura transparencia, seguridad y trazabilidad.

8. Ausencia de comunicación con los trabajadores

Algunos equipos de Recursos Humanos sienten que se encuentran en una esfera superior, en la que no es posible tener contacto con las personas que se encuentran bajo su control. Esto genera estrategias alejadas de la realidad, desconexión total con el acontecer diario, baja moral de los empleados, disminución de la productividad y, finalmente, deserción.

¿Cómo evitar el error?

El profesional en Recursos Humanos, y en particular, el que se especializa en cumplimiento, necesita habilidades naturales de comunicación. Estos profesionales necesitan canales fluidos para comunicarse con sus “clientes”, que son los trabajadores de la organización. Deben ser, además, profesionales que se informan a diario, aumentan su conocimiento cada día y aprovechan el aporte de la tecnología.

9. No evaluar la Gestión de Cumplimiento

La Gestión de Cumplimiento en Recursos Humanos necesita ser auditada, inspeccionada, monitoreada, pero también evaluada. La evaluación es un concepto que se diferencia de los otros en la capacidad que tiene para calificar el rendimiento y el trabajo de las personas encargadas.

Las evaluaciones proporcionan información valiosa, señalan brechas de cumplimiento y muestran oportunidades de mejora.

¿Cómo evitar el error?

La solución es apenas obvia: es preciso practicar evaluaciones a la Gestión y a las personas encargadas. Sin embargo, no se realizan evaluaciones con la suficiente periodicidad, porque representan un desgaste por la dificultad que implica obtener la información requerida para hacerlo. Nuevamente, la tecnología soluciona el problema.

10. Hacer uso de soluciones no adecuadas

Cuando se habla de tecnología para el área de cumplimiento en Recursos Humanos, se piensa en una solución creada y diseñada para solucionar problemas de cumplimiento. Algunas plataformas, muy eficientes en otros terrenos, no han sido diseñadas para automatizar la Gestión de Cumplimiento y terminan convirtiéndose en un costoso problema más, antes que en una solución.

¿Cómo solucionarlo?

Por supuesto, contratando una plataforma que se especialice en Cumplimiento, que se aloje en la nube, que sea parametrizable, que crezca con la organización y, por supuesto, que sea amigable y fácil de operar. Una buena opción es la que presentamos en nuestro apartado final.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es una plataforma creada específicamente para automatizar la Gestión de Cumplimiento. El Software provee indicadores, muestra mapas de calor, elabora flujos de trabajo, genera notificaciones automáticas a las personas indicadas y, en resumen, está preparada para afrontar los desafíos que propone el cumplimiento en Recursos Humanos. Conócela aquí.

La entrada 10 Errores comunes de cumplimiento en Recursos Humanos y cómo evitarlos se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

El objetivo es poner la legislación a tono con el creciente número de delitos que ahora mismo no están cubiertos por las leyes vigentes en los países del continente. Tráfico de influencias, abuso de poder en el sector público o el privado, lavado de activos, enriquecimiento ilícito, son los más representativos.

Así, las organizaciones necesitan crear su estrategia corporativa sobre la base de un endurecimiento de la legislación, qué, entre otros temas, busca aumentar las sanciones penales en los países de la Unión y estandarizarlos para lograr penas similares que desincentiven el movimiento de los infractores por todo el continente.

¿Cuáles son las tendencias en gestión anticorrupción que inciden en la estrategia corporativa?

Las tendencias indican hacia dónde va la gestión, pero también el marco regulatorio y, por supuesto, hacia dónde encaminar la estrategia corporativa en 2024. El éxito de la estrategia corporativa dependerá de la adecuada comprensión de las tendencias en el área de lucha anticorrupción y soborno. Las más relevantes son:

1. Estandarización de la legislación a nivel mundial

Cuatro grandes zonas geográficas se pueden identificar a nivel global en cuanto a legislación sobre soborno y corrupción: Norteamérica (Canadá y EE. UU.), Reino Unido, Unión Europea, y Asia y Oceanía.

Las cuatro zonas, que agrupan la totalidad de los países desarrollados, han promulgado desde el inicio del siglo regulaciones y legislaciones independientes. Si embargo, transcurridas las dos primeras décadas del Siglo, es clara la tendencia hacia la alineación y estandarización de requisitos, leyes, solicitudes y directivas.

2. Colaboración internacional

Reafirmando la tendencia sobre alineación y estandarización, las naciones hacen público su interés por colaborar, compartir evidencia, aplicar la ley, establecer controles financieros y hacer todo lo posible para evitar que se conformen paraísos independientes para los corruptos.

Como parte de la estrategia, los países alinean sus leyes con normas como la Directiva de Denuncia de Irregularidades de la Unión Europea, aunque no estén ubicados en la zona geográfica.

3. Tecnología incorporada a la Gestión Anticorrupción

La estrategia corporativa depende cada día más de la tecnología, en lo relacionado con la Gestión Anticorrupción. La debida diligencia, que ahora tiene alcance global, solo puede ofrecer los resultados esperados con la automatización que ofrece una solución informática que incorpore elementos de inteligencia artificial.

La tecnología elimina el error humano, pero también permite analizar, clasificar y obtener conclusiones de grandes cantidades de datos en muy poco tiempo.

4. Debida diligencia en fusiones y adquisiciones

Las operaciones de fusión o adquisición incorporan tareas de debida diligencia en todos lo niveles. Esto implica que ya no basta con revisar el origen de los capitales que se fusionarán. También es necesario aplicar debida diligencia a las personas en todas las áreas, en todos los niveles y áreas, especialmente cuando se trata de dos países o dos continentes diferentes.

5. Gestión en la cadena de suministro

Las organizaciones deben preocupase por ser transparentes. Pero también necesitan asegurar que sus proveedores lo sean. Y también los proveedores de sus proveedores.

La transparencia en la cadena de suministro es un requisito de los consumidores, de los organismos reguladores, pero también del estándar internacional ISO 37001. Esto implica mayor responsabilidad y mayor trabajo. La debida diligencia se multiplica de forma exponencial, con lo que la tecnología se convierte en la herramienta esencial para asegurar el logro de los objetivos.

¿Qué necesita la estrategia corporativa en 2024 para enfrentar la corrupción y el soborno?

La estrategia corporativa en 2024 necesita herramientas eficaces para tratar riesgos de corrupción y soborno. Para hacerlo necesitan integrar las mejores prácticas, de acuerdo con las tendencias referenciadas. Algunas de esas prácticas son:

1. Generar cultura de cumplimiento

Desde la publicación de ISO 37301 es claro que compliance y Gestión Anticorrupción van de la mano. Si lo empleados están educados y formados para cumplir, es poco probable que incurran en conductas censurables, por lo menos de forma consciente y voluntaria.

La generación de cultura de cumplimiento inicia desde la Alta Dirección y debe estar expresada en las políticas. Esto significa que, además, se debe hablar de cumplimiento en muchos escenarios dentro de la organización. También es necesario explicar porque es imperioso ser transparentes y las consecuencias, incluso penales, de no hacerlo.

2. Potenciar la debida diligencia

La debida diligencia crecerá en 2024. Crecerá en profundidad, en número de personas investigadas y en alcance. Ahora se extiende, como ya se advirtió, a toda la cadena de suministro.

3. Evaluar riesgos

Todos los días se actualizan leyes, directivas, reglamentos y obligaciones de cumplimiento. La evaluación de riesgos necesita ir a la misma velocidad. Esto determinará la capacidad de reacción que tenga la organización para prevenir y actuar con la debida celeridad.

4. Monitorear y vigilar

Definir objetivos inteligentes es importante. Pero servirá de poco si no se puede medir con precisión el logro o establecer si en verdad son eficaces y relevantes. La Gestión necesita incorporar mecanismos y herramientas de monitores y vigilancia.

5. Involucrar a las partes interesadas

Los buenos resultados de la Gestión Anticorrupción interesan a los empleados, a los inversionistas, bancos, organismos reguladores, consumidores, gobierno… todos ellos, como interesados, agradecerán y aprovecharán que se les invite a participar de forma activa en la tarea de alcanzar la transparencia.

6. Obtener certificaciones ISO

Una de las razones por las que se publicó ISO 37001, en sustitución de ISO 19600, es la capacidad de certificación que ofrece la nueva norma. Obtener las certificaciones ISO 37001 e ISO 37301 hace que la organización no necesite algo adicional para demostrar su compromiso con la transparencia y el cumplimiento.

7. Aprovechar la tecnología

La estrategia corporativa, la gestión de cumplimiento y, en especial, la lucha contra el soborno y la corrupción, se benefician del trabajo que realiza para ellos la tecnología. La posibilidad de monitorear y vigilar en todo momento, la evaluación de cientos de datos y registros para obtener proceso de debida diligencia eficaces e inmediatos, la eliminación del error humano, son, entre otros, beneficios que aporta una plataforma diseñada para automatizar la Gestión Anticorrupción.

Software ISO 37001 de ISOTools

Debida diligencia, canales de denuncia de irregularidades, investigaciones en las que se preserve el anonimato, son, entre otros, elementos esenciales para un Programa Anticorrupción basado en la norma internacional ISO 37001.

El Software ISO 37001 de ISOTools ofrece, además, funcionalidades que facilitan la obtención de informes, la asignación de tareas a las personas adecuadas, el seguimiento a procesos o el diseño de flujos de trabajo eficientes. Lo encuentras aquí.

La entrada Previsiones y estrategia corporativa para 2024 en el ámbito de la lucha contra la corrupción y el soborno se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

La tarea, no obstante, es compleja y desafiante. Estrategias, procesos, estándares de gestión, tecnología, son, entre otros, aspectos a considerar. Digitalizar el Sistema GRC surge como alternativa eficaz para enfrentar los desafíos que enfrentan las organizaciones que avanzan en la construcción de marcos de GRC.

¿Qué es un Sistema GRC?

El Sistema GRC incorpora tres conceptos: Gobernanza, Riesgo y Cumplimiento. Pero lo hace de forma integral. Esto significa que no son silos aislados que trabajan cada uno por un rumbo diferente.

La gestión es holística, lo que implica que cada elemento depende y de los otros y los tres conforman un todo funcional. Las estrategias, los procesos y todas las decisiones son evaluadas de forma constante de acuerdo con las mejores prácticas de Gobernanza, Riesgo y Cumplimiento.

El Sistema GRC se extiende hacia todas las actividades de la organización, especialmente las relacionadas con la producción y comercialización. Las organizaciones que trabajan bajo este marco eliminan procesos ineficaces o redundantes, aumentan su productividad, promueven la auditoria y los procesos de revisión e inspección y toman decisiones basadas en la ética y la buena conducta.

El Sistema produce organizaciones resilientes, listas para afrontar cualquier desafío, siempre atentas a los riesgos que pueden aparecer, cumplidoras de la ley y de sus compromisos, pero, sobre todo, sostenibles y socialmente responsables.

¿De dónde viene el Sistema GRC?

El marco corporativo bajo el que opera una organización en el siglo XXI es muy diferente al que correspondió a las empresas que crecieron en la primera mitad del siglo XX.

El mundo cambió y con él la forma de hacer negocios. Las organizaciones modernas enfrentan problemas que no conocieron sus antecesoras: cambio climático, infracciones de seguridad de la información, problemas en la cadena de suministro, aparición de nuevas amenazas, marco regulatorio exigente…

Las iniciativas tradicionales sencillamente dejaron de funcionar. La forma de administrar las empresas cambió y ahora se hace imperativo cumplir la ley, tratar con riesgos nuevos y hacer negocios pensando en proteger el planeta y asegurar recursos para la siguiente generación.

Son todas estas consideraciones las que crean el escenario propicio para la aparición del Sistema GRC. Una forma de gobernar una empresa gestionando riesgos sin descuidar las obligaciones de cumplimiento. Pero la gestión de un modelo GRC va más allá de sumar una sigla al nombre de la organización o acomodar un texto en las políticas y documentos de la empresa.

Por eso surge la necesidad de digitalizar el sistema GRC para optimizar los procesos en las tres áreas involucradas: Gobernanza, Riesgo y Cumplimiento.

¿Por qué digitalizar el Sistema GRC?

Porque son muchos los temas y las áreas que cubre el Sistema. Dejar el funcionamiento del Sistema a hojas de cálculo y documentos en papel no permitirá abordar las complejidades que la gestión implica ni alcanzar la integralidad que el Sistema demanda.

El Sistema GRC ofrece características y funcionalidades que sólo son relevantes si actúan sobre los acontecimientos que se presentan en el momento. La digitalización permite:

1. Obtener información en tiempo real

Un software GRC permite visualizar lo que está sucediendo en tiempo real. Los paneles de información, mapas de calor e informes inmediatos entregan información útil para tomar decisiones oportunas, establecer tendencias e identificar nuevos riesgos. Se obtiene así una visión real y eficaz sobre el estado del Sistema y los problemas que requieren atención inmediata.

2. Automatizar tareas

Con la automatización, el Software asume tareas repetitivas que antes restaban tiempo a los empleados para actividades más importantes. La automatización también permite diseñar flujos de trabajo eficientes, optimizando la producción y agilizando procesos de revisión y evaluación de riesgos.

3. Mejorar la evaluación y gestión de riesgos

Digitalizar el Sistema permite a los profesionales en Gestión de Riesgos obtener información inmediata para identificar, evaluar, priorizar y tratar amenazas, sin tener que esperar los acostumbrados periodos de producción de informes, que, en el mejor de los casos eran trimestrales. Por supuesto, los informes mostraban hechos que ya habían transcurrido y sobre los que ya no era posible actuar.

4. Vigilar, monitorear y actuar

El Software GRC permite a los profesionales en las áreas de Cumplimiento y Riesgos, hacer un seguimiento diario a temas como el marco regulatorio, riesgos emergentes o evaluaciones inmediatas requerida por un proyecto nuevo. Lo más importante es que es posible actuar en el momento y no esperar a que ya los hechos sean irremediables.

5. Comunicar y colaborar

La integralidad propia del sistema demanda funcionalidades eficientes de comunicación y colaboración. El Software GRC permite a las personas interactuar de forma eficaz y productiva.

De hecho, en algunos casos esa comunicación la produce de forma automática la solución, al enviar comunicaciones automáticas para asignar una tarea, recordar una tarea o informar sobre un atraso.

6. Integrar y automatizar

La integración en un modelo GRC se produce a todos los niveles y en todas las áreas. Esto significa que los procesos, los procedimientos, la información, las políticas y todo, dentro de la organización, asume un enfoque holístico.

Esto implica conectar departamentos y áreas, implementar herramientas que faciliten la colaboración y la comunicación, estandarizar procesos y compartir información incluso con agentes externos, como proveedores, clientes o socios.

7. Analizar de forma inteligente datos, registros e informes

La capacidad para tratar datos en grandes cantidades, evaluarlos, analizarlos y obtener conclusiones relevantes ya no es un problema. El Software GRC incorpora herramientas que permiten extraer datos relevantes, establecer tendencia y patrones, formular predicciones con un alto grado de precisión, y producir informes que alerten sobre posibles amenazas o sobre la existencia actual de problemas que han pasado inadvertidos en determinado punto de la organización.

8. Escalar con la organización

Las organizaciones crecen, evolucionan y asumen nuevos desafíos. El Software GRC está preparado para acompañarlas en ese camino. La capacidad de personalización y configuración permite al Software crecer con la organización y adaptarse a sus nuevas circunstancias.

Las opciones de personalización, por otra parte, permiten a la solución acomodarse a las condiciones particulares de casa industria, especialmente en cuanto a sus exigencias de cumplimiento y sus vulnerabilidades.

9. Controlar riesgos y garantizar el cumplimiento

El objetivo final es tomar decisiones acertadas, informadas, controlando los riesgos y garantizando el cumplimiento. El Software GRC ayuda a las organizaciones que han estandarizado su Gestión de Riesgos de Cumplimiento, bajo la norma ISO 37301, a cumplir con el requisito de mejora continua, revisando los resultados de forma continua e indicando estrategias de Gestión que contribuyan a la mejora.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools entrega una plataforma centralizada para integrar las tareas de gestión de Gobernanza, Riesgo y Cumplimiento. Esto permite a la organización alinear sus procesos GRC con sus estrategias de negocios, obtener información en tiempo real y evaluar y tratar riesgos con suficiente anticipación.

Esta herramienta efectiva está lista para impulsar tu Sistema GRC. Da el primer paso aquí.

La entrada Digitalizar el sistema GRC para optimizar los procesos de gobernanza, riesgo y cumplimiento se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

La gestión de riesgos tradicional, basada en etiquetas autoadhesivas sobre un tablero y, en el mejor de los casos utilizando como apoyo hojas de cálculo, no tiene la capacidad para enfrentar la avalancha de riesgos que afectan a las organizaciones en el siglo XXI. Es la primera razón para utilizar una herramienta GRC.

Pero existen otras. Y es bueno entender, además de los beneficios, la diferencia entre una gestión de riesgos tradicional y una apoyada por una herramienta GRC.

¿Por qué es importante implementar una herramienta GRC?

El modelo GRC – Gobierno, Riesgo y Cumplimiento – integra las mejores prácticas de gobierno, con la seguridad que aporta una Gestión de Cumplimiento eficaz, siempre pensando en el riesgo.

Es un concepto moderno que caracteriza en el siglo XXI a las organizaciones que lideran su sector. Por supuesto, la integración de estos tres elementos requiere una herramienta GRC que permita abordar la gestión desde una plataforma única.

Implementar una herramienta GRC es tan importante, que muchos Oficiales de Cumplimiento consideran que es este el primer paso en el proceso de adopción de un modelo GRC. Entre otras, por las siguientes razones:

1. Asumir una Gestión integral con un enfoque holístico

Una herramienta GRC permite abordar los riesgos de todas las áreas y todas las ubicaciones de una organización de forma integral y unificada. Esto, que en otras palabras es un enfoque holístico, mejora la visibilidad de los problemas, optimiza procesos y ayuda a los equipos de cumplimiento y de Gestión de Riesgos a actuar con suficiente antelación, previniendo cualquier impacto negativo.

2. Automatizar la Gestión

La automatización de la Gestión de Riesgos y de Cumplimiento, eliminando procesos manuales, ayuda a eliminar el error humano, producir mejores resultados en menor tiempo, contar con información inmediata, generar evaluaciones complejas y monitorear el estado general de la Gestión en tiempo real.

3. Garantizar el cumplimiento normativo

El cumplimiento normativo implica considerar muchos ámbitos: seguridad de la información, seguridad y salud en el trabajo, medio ambiente, área legal, contratos, acuerdos, compromisos sociales y con la comunidad…Con un espectro de fuentes de riesgos de cumplimiento tan amplio, una plataforma que automatiza la Gestión unifica los esfuerzos en un solo lugar generando trazabilidad, informes inmediatos, datos y registros que son valorados por los auditores y que aseguran el cumplimiento normativo en la organización, se hace indispensable.

4. Diseñar estrategias inteligentes para tratar riesgos emergentes

Los riesgos emergentes son los que no han sido clasificados, pero tienen un alto impacto negativo. Este tipo de amenazas suelen ser comunes a todas las empresas de un mismo sector, o, en ocasiones, a todas las organizaciones. La Emergencia Sanitaria ocurrida en los años 2020 y 2021, fue en su momento un riesgo emergente. Las herramientas GRC cuentan con funcionalidades de monitores y evaluación en tiempo real, que ayudan a generar estrategias inteligentes para mitigar el impacto de este tipo de riesgos.

¿Cómo se desarrolla la Gestión de Riesgos tradicional?

El enfoque tradicional de la Gestión de Riesgos se basa en los procesos manuales, con los desafíos que conlleva. Además de los mencionados en la introducción de este texto, podemos hablar de los siguientes desafíos:

1. Formación de silos

La gestión tradicional no es unificada. Cada área, cada sección, cada ubicación, emprende un proyecto diferente de Gestión de Riesgos. Esto genera informes aislados, esfuerzos repetitivos y, sobre todo, silos de información. Información que no se comparte, que no es aprovechada por otros y que suele terminar en una pila de documentos que nadie consulta, entre otras razones, porque pocos saben que existe y para qué sirve.

2. Exceso de recursos

Alguien podría pensar que la gestión en papel o en hojas de cálculo, al prescindir de la inversión en tecnología, resulta más barata. No es así. El número de horas hombre que se requieren es superior. La posibilidad del error humano hace que se inviertan muchas horas en revisar, realizar cálculos matemáticos, recolectar evidencia, para presentar un informe que una plataforma que automatiza la Gestión GRC, ofrece de inmediato.

3. Falta de integración

El modelo GRC integra tres elementos esenciales para la buena y eficaz gobernanza de una organización. El modelo tradicional de Gestión de Riesgos no considera la integración en ningún momento. Los informes, por supuesto, presentan deficiencias, son incompletos, parcializados y con evaluaciones fragmentadas de riesgos.

4. Informes retrasados

Las evaluaciones y los informes de riesgos, aunque brillantes y completos, son inútiles si no se presentan a tiempo. Y el problema en los tiempos modernos, es que la única forma en la que un informe es oportuno es cuando es inmediato, en tiempo real.

¿Cuáles son los beneficios de utilizar una herramienta GRC?

Concluyendo, una herramienta GRC ofrece muchos beneficios específicos. Algunos de ellos ya se esbozan en el contenido anterior a este apartado. Otros, sin embargo, vale la pena resaltarlos:

1. Identificación oportuna de amenazas

Informar sobre riesgos que ya están ocurriendo, o ya han evidenciado su poder lesivo, es como informar sobre el resultado de un juego que ya pasó o una elección que ya culminó. Una plataforma GRC identifica amenazas en tiempo real, permitiendo diseñar estrategias efectivas con la suficiente anticipación, utilizando un mínimo de recursos humanos.

2. Respuesta eficaz y eficiente

La detección temprana de amenazas lleva a una respuesta inteligente, oportuna, eficaz y eficiente. Esto significa que las estrategias son completas e integrales. Las estrategias diseñadas con el apoyo de una herramienta GRC, incorporan seguimiento automatizado y monitoreo constante, facilitando la recomposición de la acción si algo indica que es susceptible de ser mejorada.

3. Garantiza el cumplimiento normativo

La Gestión de Cumplimiento, a diferencia de otras, no tiene límites dentro de la organización. En ocasiones, incluso traspasa las líneas de las instalaciones. Por eso, los esfuerzos para centralizar la tarea y automatizarla, permiten garantizar el cumplimiento en tantos frentes, evitando las sanciones y el desprestigio reputacional asociados a cualquier infracción de compliance.

4. Optimiza el uso de recursos

La automatización disminuye el uso de recursos humanos. Los recursos que se liberan se pueden asignar a actividades de orden estratégicos, usualmente en la Oficina de Cumplimiento. Esto potencia la eficiencia operativa del Sistema de Gestión de Cumplimiento.

5. Gestión de Riesgos eficaz

La Gestión de Riesgos es eficaz cuando demuestra que ha advertido con suficiente anticipación sobre una amenaza y ha logrado implementar la acción adecuada para prevenir, eliminar, mitigar, compartir o tolerar el riesgo asociado a esa amenaza. Esto es posible con una plataforma GRC que automatice la gestión, centralice los recursos y la información, y, al final del día, presente cifras que indiquen la reducción de amenazas, de probabilidad y de impacto negativo.

6. Protección de la reputación de la organización

Como colofón de esta charla, el uso de una herramienta GRC es una forma de proteger la reputación de la organización y su imagen de marca. De hecho, es una herramienta eficaz para mejorarla. Las organizaciones que se preocupan por cumplir, y trabajan en ello asignado recursos tecnológicos son valoradas por sus consumidores, en primera instancia, y después por inversionistas, empleados y por su comunidad.

Software ISO 37301 de ISOTools

Utilizar una herramienta GRC es una forma de entregar a la organización que adopta el modelo, el modelo holístico e integral y la necesaria automatización, para obtener los objetivos gracias a una mejor y mayor inteligencia de riesgos.

El Software ISO 37301 de ISOTools es una herramienta efectiva para aumentar la resiliencia de la organización ante riesgos emergentes, normativos y de cumplimiento, garantizando así la operabilidad y el logro de objetivos comerciales a largo plazo. Conoce un poco más sobre ella aquí.

La entrada Por qué utilizar una herramienta GRC para gestionar los riesgos se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Por supuesto, también hay conductas no éticas que constituyen un delito desde su concepción. Son piezas dentro de un plan mayor para defraudar, estafar, robar o, en todo caso, afectar la reputación de la organización.

Las conductas no éticas se diferencian de los errores o del conflicto de intereses en la intensión clara de cometer un delito. La gravedad del objetivo planificado es lo que hace que estos actos se conviertan en un riesgo real de cumplimiento y de corrupción.

¿Por qué ocurren conductas no éticas en una organización y cómo tratarlas? Es el tema que abordamos a continuación.

¿Por qué se presentan conductas no éticas en una organización?

Los empleados incurren en conductas no éticas por muchas razones. Se destacan, no obstante, las motivaciones económicas. Las presiones sociales para destacarse en el grupo o el exceso de carga laboral, son también condicionantes para la aparición de conductas no éticas.

No obstante, tres condiciones crean escenarios laborales en los que no se respetan los estándares éticos:

1. Inestabilidad en la estructura organizacional

Las familias inestables producen ciudadanos con problemas de conducta. Las empresas que no pueden presentar una estructura de gobierno sólida, coherente y sostenible, estarán expuestas a la libre interpretación de las normas o al irrespeto hacia ellas.

La pérdida o difuminación de la estructura de gobierno se produce por muchas razones: fusiones, adquisiciones forzosas, problemas en la Alta Dirección, alta rotación de los empleados, falta de liderazgo…

En cualquier caso, es claro que los empleados de organizaciones en las que no es posible identificar una estructura de gobierno clara y definida, y, por tanto, una línea de mando que genere respeto, son más propensas a la aparición de conductas poco éticas.

2. Presión laboral

Sorprende el número de empleados que incurren en prácticas no éticas, sin esperar un beneficio económico para ellos. Apenas buscan satisfacer los pedidos de sus superiores, cumplir metas imposibles o alcanzar indicadores de rendimiento irracionales.

3. Ausencia de liderazgo y cultura ética

En muchas organizaciones, las conductas no éticas son parte del diario acontecer porque nadie las sanciona y si alguien denuncia no sucede nada con esa información.

En estas empresas los buenos empleados se sienten desmotivados. Algunos abandonan la organización y otros terminan uniéndose al grupo de los que faltan a las normas.

¿Cómo tratar las conductas no éticas en el lugar de trabajo?

Algunas de las circunstancias mencionadas son inevitables. Una fusión, procesos de reorganización producto del crecimiento, presión por resultados… No obstante, es preciso contar con plan para tratar las conductas no éticas. Esta guía de nueve pasos ayuda a resolver muchos de los problemas:

1. Crear políticas y códigos de conducta

Las políticas y el código de conducta les dicen a las personas qué pueden y qué no pueden hacer. Son, además, la expresión legitima de la voz de la Alta Dirección y, por ello, su contenido tiene tono de mandato.

Las políticas y los códigos deben además recalcar el valor y la obligación de denunciar y expresar sin lugar a dudas el compromiso de la organización y de la Alta Dirección con la protección de los informantes y de su integridad.

2. Comunicar las políticas y hablar de ética y corrupción

Las políticas, los códigos o los manuales de procedimiento se quedan en el papel o en un archivo digital si no son compartidos y comunicados en la forma adecuada. Una forma de hacerlo es convocando a los empleados a eventos como charlas, foros o debates, en los que además de presentar los documentos y su contenido, se hable del tema y se escuche la voz de los empleados.

Esto contribuye a poner de moda el tema. Y esto es un elemento importante en la creación de una verdadera cultura ética.

3. Hablar de las consecuencias de la conducta no ética

Tan importante como hablar de la ética y la corrupción, y de las normas que se deben cumplir, es mostrar lo que sucede cuando no se respetan los estándares de conducta socialmente aceptados.

Para hacerlo no hay que ir muy lejos. Los casos de organizaciones que han tenido que pagar enormes cantidades, o las que han sucumbido a causa de un escándalo que acabó con sus finanzas y su reputación, están a la vista en cualquier telediario.

4. Crear un canal de denuncias

El canal de denuncias es más que una necesidad. Es una obligación regulatoria. Pero los empleados necesitan verlo como una línea amiga. Un lugar en el que podrán hablar de sus preocupaciones, aclarar si algo es una conducta no ética, un conflicto de intereses o tan solo un problema menor fácil de solucionar.

Los empleados necesitan contar con la certeza de que el canal recibirá con el mismo entusiasmo sus comentarios positivos, negativos, críticos, confidenciales, anónimos, y que en cualquier caso se tomarán acciones y se mantendrá informado y protegido al informante.

5. Crear programas de capacitación

Una de las tareas del oficial de compliance es identificar las brechas de formación en todos los niveles de la organización. Esto es especialmente importante para los empleados que desempeñan funciones en un programa de cumplimiento o de Gestión Anticorrupción.

Los empleados tienden a dar credibilidad a charlas o conferencias dictadas por especialistas con reconocimiento internacional. La ética es un tema que se puede incluir en charlas sobre liderazgo, sobre gobierno corporativo, sobre cumplimiento o sobre Gestión Anticorrupción.

6. Crear controles y auditar la Gestión

Los controles cumplen una función preventiva. Son procedimientos creados para disminuir la probabilidad de que los empleados incurran en conductas no éticas. Pero para conocer la efectividad de esos controles es preciso monitorearlos y auditarlos.

El programa anual de auditorías corresponde a la Oficina de Cumplimiento. De los informes de cada auditoría resulta la bitácora que permite mejorar el sistema y la Gestión.

7. Incluir la ética en los procesos de contratación

Los valores éticos pueden ser el resultado de procesos de formación. Algunos empleados los traen desde sus empleos anteriores. Para otros, el origen es la educación y la formación en la familia.

En cualquier caso, estos empleados con valores éticos facilitan el trabajo para el Oficial de Cumplimiento y mitigan los riesgos asociados a conductas fuera de la ética. Por eso es importante identificar esos valores en los candidatos y asignar un valor a esos candidatos en los procesos de contratación.

8. Educar con el ejemplo

Los miembros de la Alta Dirección, los gerentes y los directores de área son los encargados de dar ejemplo sobre conductas éticas. El trabajo diario de estas personas tiene un alto impacto en el comportamiento de los empleados que se encuentras debajo de ellos en el organigrama.

Cuanto más alto se encuentre un directivo, mayor será la repercusión que tengan sus acciones en los niveles inferiores de la organización.

9. Automatizar la Gestión

Las soluciones tecnológicas modernas, basadas en la nube y con integración de elementos de Inteligencia Artificial, permite obtener una visión constante, integral y completa de los acontecimientos en toda la organización.

Es, además, una herramienta que permite individualizar incidentes y caracterizarlos: conductas no éticas, fallos humanos, conflictos de intereses, soborno, corrupción…

Software ISO 37301 de ISOTools

La Gestión de Cumplimiento tiene una relación directa con la ética. El Software ISO 37301 de ISOTools es una herramienta que digitaliza el Sistema de Compliance, entregando como resultado una gestión eficaz, productiva, enfocada en la prevención de riesgos.

La plataforma automatiza tareas, entrega informes actuales para mejorar la toma de decisiones, presenta mapas de calor y entrega indicadores útiles para la mejora continua del Sistema. Encuéntralo aquí.

La entrada 9 pasos para gestionar las conductas no éticas en el lugar de trabajo se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Todo eso está bien. Pero, no se puede olvidar que siempre se trata con personas. Personas que viven realidades diferentes con contextos siempre en transformación. La debida diligencia entrega una fotografía que corresponde al momento en que inicia la relación con el empleado o con el tercero. Esa imagen puede dejar de ser real un par de meses después.

El formulario de conflicto de intereses es una herramienta para incentivar a los empleados a reportar esos cambios en su contexto que, eventualmente, pueden ubicarlos a ellos mismos en una situación incómoda y a la organización en un estado de vulnerabilidad.

¿Cómo crear un formulario de conflicto de intereses eficaz?

El formulario de conflicto de intereses es una herramienta más, entre varias, que facilita a los empleados ser transparentes y asumir conductas éticas y responsables con la organización y con sus compañeros.

El uso del formulario debe estar precedido de la comunicación asertiva y efectiva de un concepto: el conflicto de intereses no es algo malo. Lo malo es no reportarlo en el momento indicado.

La presente guía busca acompañar a las organizaciones en el objetivo de crear un formulario de conflicto de intereses efectivo y eficaz, y que no genere rechazo entre los empleados. Las siguientes recomendaciones resultarán útiles:

1. Dividir los conflictos de acuerdo con su origen

Es importante señalar y comunicar a los empleados dónde se pueden presentar conflictos de intereses. El conflicto, la misma palabra lo indica, es por definición difícil de entender. Por ello, es importante categorizar y explicar a los empleados los diferentes tipos de conflictos que se pueden presentar:

• Financieros o económicos.
• Recursos Humanos, contrataciones de consultores o subcontratistas.
• Relaciones familiares o personales.
• Regalos, atenciones, invitaciones u otro tipo de prebendas.
• Acceso a información privilegiada o confidencial.

2. Incluir en el formulario espacio para las fechas

Una de las razones por las que se utiliza un formulario de conflicto de intereses es garantizar que el empleado disponga de un canal inmediato para reportar el problema. No tendría mucho sentido que lo hiciese cuando el factor de conflicto ha dejado de existir.

Por eso es importante destinar un espacio en el formulario para indicar la fecha en la que se genera el conflicto potencial, y la fecha en la que desaparecerá, estimada por supuesto. Es importante determinar, así mismo, si el conflicto puede reaparecer o si aún está presente.

3. Describir las condiciones que generan conflicto con precisión

Esta es la parte medular del formulario. Aquí es donde el empleado necesita libertad y espacio para describir, con el mayor detalle posible, las condiciones o los factores que determinan el conflicto de intereses.

En el primer paso se habla de los diferentes tipos de conflictos. Cada uno de ellos requiere información específica:

Conflicto financiero o económico

El empleado debe informar sobre el factor que determinaría, eventualmente, un beneficio económico para él, a causa de la suscripción de un contrato, por ejemplo. Es necesario también revelar las cifras estimadas que le reportaría la operación. Un caso típico es el empleado que tiene una participación accionaria en una organización, sin tener injerencia en la administración.

Sin embargo, la organización para la que trabaja suscribe un contrato con la organización en la que el empleado tiene una participación. Esto no es malo, pero el empleado debe reportar el valor de esa participación, el porcentaje y la fecha en que la obtuvo. Por supuesto, debe declarar su intención de apartarse de cualquier proceso o procedimiento relacionado con esa relación comercial.

Conflictos laborales, de contratación o de consultoría

Este tipo de conflictos son frecuentes en el área de Recursos Humanos. La debida diligencia indica que el candidato a una posición en una organización, como empleado, consultor o contratista, debe indicar si algún pariente, amigo o relacionado cercano trabaja en el momento para esa empresa.

Pero, si el postulante lo olvida, el empleado puede hacerlo. Debe completar el formulario de conflicto de intereses indicando cuál es el vínculo con determinada persona y de qué forma esa persona o él mismo podrían verse beneficiados con la contratación.

Conflictos familiares o personales

Las relaciones familiares o personales, en un radio mucho más amplio, también generan conflictos de intereses. Esposo o esposa, amigo cercano, hermano u otro tipo de relación muy cercana entre un empleado y, por ejemplo, un representante de un organismo regulador, de una empresa estatal, de un competidor o de un medio de comunicación, son relaciones que deben ser reportadas en el formulario.

Conflictos por beneficios, regalos, atenciones

Este tipo de conflictos son realmente difíciles de determinar. La atención a clientes, las invitaciones a restaurantes o a eventos, son admitidas en muchos escenarios comerciales. En algunas organizaciones, dedicadas a la moda, el entretenimiento o las comunicaciones, de hecho, forman parte del puesto de trabajo y de los beneficios lícitos para el empleado.

Sin embargo, ¿en qué momento se pasa la línea y empiezan a convertirse en un problema? Es importante utilizar el formulario de conflicto de intereses, en estos casos, para reportar el tipo y el valor del obsequio recibido, la persona que lo gestiona o lo entrega, el nombre de la organización, la fecha y cualquier otro evento relevante, entre ellos, por supuesto, si ha existido alguna solicitud poco común como retribución.

Conflicto de información privilegiada o confidencial

Aún empleados de niveles intermedios o bajos, tienen acceso a información privilegiada o confidencial. La posibilidad de fusión entre una organización y otra de gran notoriedad, permite a algunos empleados aprovechar esa información y hacerla rentable para él o para alguien cercano.

Es importante determinar en el formulario de conflicto de intereses el carácter de la información aludida, el beneficio que puede reportar al empleado, la fecha desde que tiene acceso a esa información y las razones por la que la conoce.

4. Tomar medidas para resolver los conflictos

Como sucede con otro tipo de reportes, si no se hace algo efectivo con la información suministrada en el formulario de conflicto de intereses, los empleados sentirán que pierden el tiempo y que no es realmente útil completarlo.

Por eso es importante tomar acciones inmediatas, hacer saber al empleado que ha actuado muy bien y que la organización tomará medidas efectivas para proteger al tercero en sus derechos, sin poner en una situación incómoda al empleado.

Una forma de tomar acciones efectivas para actuar sobre los informes de conflictos de intereses es contar con las herramientas adecuadas. Organizaciones pequeñas o de gran tamaño responden con la debida celeridad a este tipo de informes automatizando las tareas del Sistema de Gestión de Cumplimiento. Una herramienta que ha demostrado gran eficacia, es la que mencionamos en nuestro apartado final.

Software ISO 37301 de ISOTools

Conocer con oportunidad los conflictos de intereses es importante para la organización y para la Oficina de Compliance. Los Sistemas de Gestión automatizados permiten procesar los informes y tomar decisiones sobre la marcha, con el impacto que ello tiene sobre el empleado que reporta, el tercero involucrado y la seguridad de la organización.

El Software ISO 37301 de ISOTools es la solución que resuelve muchos de esos problemas y automatiza gran parte de las tareas cotidianas propias de la Gestión de Cumplimiento. Te la presentamos aquí.

La entrada Cómo elaborar un formulario de conflicto de intereses eficaz se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Habitualmente, la Gestión de Riesgos Empresariales funciona como un departamento agregado, pero independiente, de la Gestión de Riesgos General. Por ello, utiliza algunas estrategias comunes y adopta las mejores prácticas para el diseño e implementación de controles internos.

La Gestión de Riesgos Empresariales, históricamente, aparece al final de la década de los años 20, del siglo pasado. La Gran Depresión de 1929 condujo a muchos empresarios a diseñar estrategias para enfrentar amenazas de este tipo.

Así, estas estrategias han evolucionado en un siglo convulso, marcado por la aparición de tecnologías innovadoras y fenómenos de globalización que definen la Gestión de Riesgos Empresariales moderna.

La Gestión de Riesgos Empresariales, en el siglo XXI, considera riesgos operacionales, de TI, de proyectos específicos e incluso, los que amenacen a socios comerciales en la cadena de suministro.

¿Cuáles son los componentes esenciales en la Gestión de Riesgos Empresariales?

Las organizaciones adoptan diferentes marcos o modelos de Gestión de Riesgos Empresariales. Las empresas que optan por un enfoque GRC, necesitan cumplir con requisitos y exigencias regulatorias adicionales, especialmente en lo relacionado con informes sobre Gestión de Riesgos.

Aunque existen diferentes marcos de operación, los elementos esenciales en la Gestión de Riesgos Empresariales son:

1. Contexto interno de la organización

El contexto interno de la organización lo conforman la cultura, la gobernanza y los valores. Son importantes para la Gestión de Riesgos Empresariales porque inciden de forma directa en la creación de políticas, el diseño de procedimientos y el establecimiento de códigos de comportamiento y conducta.

Políticas, procedimientos y códigos incluyen las normas y las directrices que moldean el comportamiento de los empleados. Así, el liderazgo y el tono de la Alta Dirección contribuye al objetivo de generar una cultura sólida de Gestión de Riesgos.

2. Planificación estratégica

La Gestión de Riesgos Empresariales necesita definir objetivos. Y para alcanzarlos, necesita elaborar planes estratégicos. El enfoque de la Gestión es de arriba hacia abajo. Es, en consecuencia, la Alta Dirección el órgano encargado de establecer el apetito de riesgo de la organización, definir objetivos generales y orientar la estrategia que será desarrollada por los profesionales especializados en el área.

El nivel de detalle con que intervenga la Alta Dirección dependerá del tamaño, la complejidad y el grado de regulación al que está sometida la organización. En pequeñas empresas es común que la Alta Dirección asuma funciones de Gestión de Riesgos de forma integral, sin delegar a equipos especializados.

3. Ciclo de Gestión de Riesgos

Retomando una idea expresada en la introducción sobre “la Gestión de Riesgos Empresariales utiliza herramientas, estrategias y modelos que son comunes a la Gestión en General”, el ciclo de Gestión de Riesgos es uno de esos elementos comunes:

• Identificación de riesgos, haciendo uso de modelos como la lluvia de ideas, los informes sobre incidentes, las experiencias de industrias del sector o el análisis de indicadores e informes financieros y contables.
• Evaluación de riesgos, que permite categorizar los riesgos y elaborar una lista priorizada.
• Cuantificación de los factores relevantes, que son el impacto y la probabilidad. Es común en esta etapa el uso de una Matriz de Evaluación del Riesgo.
• Categorizar los riesgos, ubicándolos en cada uno de los tipos de Riesgos Empresariales. Algunos de ellos son:
  • Estratégicos.
  • Financieros.
  • Operacionales.
  • De Calidad.
  • De Cumplimiento.
  • De Seguridad de la Información.
  • Reputacional.
  • Externos.
• Acciones para tratar los riesgos, que conformarán la Estrategia de Gestión considerando en orden de relevancia:
  • Eliminar.
  • Mitigar.
  • Transferir.
  • Tolerar.
• Supervisar y controlar el resultado de las acciones implementadas, verificar su efectividad y, de acuerdo con el comportamiento, reiniciar el ciclo.

4. Mejora continua

Con base en la supervisión y control de los riesgos detectados, la organización adopta un modelo de Gestión de Riesgos cíclico, que busca la mejora continua. La mejora continua requiere que se actualice de forma periódica la lista de riesgos, el perfil y el apetito de riesgo. La auditoría del Sistema, basada en información confiable y oportuna entregada por una plataforma que automatice las herramientas GRC, es un elemento diferencial importante para la mejora continua y sostenida.

5. Informes y comunicación

La capacidad para producir informes transparentes, relevantes y comunicarlos de forma asertiva y acertada, es el último elemento esencial de la gestión de riesgos corporativa. La información y los informes deben fluir con facilidad hacia las partes interesadas, iniciando con la Alta Dirección.

Software ISO 37301 de ISOTools

El Software ISO 37301 de ISOTools es una solución informática eficaz, diseñada para apoyar la Gestión de Riesgos de Cumplimiento, Operacionales, Financiero y de orden Empresarial.

Esta herramienta basada en la nube permite diseñar flujos de trabajo, supervisar tareas asignadas, automatizar funciones, informar sobre retrasos o incumplimiento, generar mapas de riesgos, y, entre otras muchas funcionalidades, obtener información total útil para gestionar riesgos y para tomar las mejores decisiones. Infórmate aquí.

La entrada Gestión de riesgos empresariales: los 5 componentes esenciales para una gestión efectiva se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Para los auditores internos, seguir el ritmo puede representar una dificultad. Los procesos de auditoria consideran nuevas prioridades y la complejidad de la tarea crece con el volumen de información nueva, que requiere evaluación y análisis.

En algunas organizaciones, las auditorías internas son una práctica constante durante todo el año. Es con base en ellas que se garantiza la gobernanza, la gestión de riesgos eficiente y la adopción de controles efectivos. Para que esto suceda, es preciso contar con procesos de auditoría ágiles. Explicamos cómo hacerlo.

¿Qué son procesos de auditoría ágiles y que es la metodología ágil?

El término Agile se acuña inicialmente en la industria del desarrollo de software. Agile declara cuatro valores esenciales que se basan en la colaboración continua:

• Personas e interacciones.
• Software.
• Colaboración con el cliente.
• Respuesta al cambio.

¿Qué es metodología ágil?

El objetivo principal de la metodología ágil es entregar resultados inmediatos al cliente, resolviendo sus necesidades prioritarias. La metodología ágil se basa en el supuesto de que las acciones rápidas ofrecen uno de dos resultados, igualmente valiosos: confirmación del acierto o verificación del error.

Lo que se busca es detectar fallos o deficiencias lo más rápido posible. El éxito, en la industria del software, ha desencadenado el uso de las metodologías ágiles hacia todos los sectores e industrias, y, por supuesto, al campo de la auditoría interna.

La gestión de riesgos, y los procesos de auditoría, encuentran elementos de alto valor en la metodología ágil. Entre ellos, la velocidad en la ejecución de la tarea y la capacidad de reacción ante la presencia de nuevas amenazas, cambios en la regulación o nuevas modalidades de ciberataques, por ejemplo.

¿Cómo son los procesos de auditoría ágiles?

Los procesos de auditoría ágiles se basan en los cuatro valores declarados para la metodología descrita, apartándose de los postulados de la auditoría tradicional que sigue procesos y procedimientos rígidos.

Los procesos de auditoría tradicionales no se abandonan. Su uso continúa siendo útil en áreas como Gestión de Cumplimiento o para auditar la capacidad de un Sistema de Gestión para ser certificado.

Los procesos de auditoría ágiles inician con una evaluación de riesgos con el fin de establecer los objetivos prioritarios. A partir de esta evaluación, los equipos de auditores eligen uno de dos modelos de trabajo:

1. Kanban

Cómo otras técnicas corporativas que hoy son tendencia, Kanban tiene origen en oriente. En japonés, la palabra significa etiquetar. Esta metodología utiliza tableros, modelos gráficos y tarjetas, que aportan una visión integral de las tareas. El uso de etiquetas Post-It, que se pueden mover con facilidad de una columna a otro, de acuerdo con la ejecución de cada tarea.

2. Scrum

El modelo Scrum promueve la prueba y el error, como una forma de aprender de la experiencia e identificar fallos y aciertos con prontitud. Scrum provee la flexibilidad y el dinamismo necesarios para enfrentar una auditoría en la que es frecuente la aparición de información nueva o riesgos no evaluados con anterioridad.

¿Qué técnicas se pueden utilizar para generar procesos de auditoría ágiles?

La auditoría ágil inicia con la evaluación de riesgos. El objetivo es identificar áreas de atención prioritaria. A partir de esa evaluación, los auditores pueden implementar algunas técnicas ágiles:

1. Sprints en espacios de tiempo cortos

Dependiendo de la complejidad de la tarea, se establecen periodos de tiempo rápidos, que pueden ser de una o dos semanas, o, incluso, de tres o cuatro días. En el periodo definido, el equipo debe evaluar los resultados y, de ser necesario, repetir el sprint en el mismo periodo de tiempo.

2. Realizar reuniones periódicas

Esto fomenta el valor número uno de la metodología ágil: la interacción entre las personas. Las reuniones necesitan ser rápidas y productivas. Reuniones diarias de no más de 15 minutos permitirán conocer los avances, comunicar errores, establecer cuellos de botella y avanzar con rapidez en el logro de objetivos.

3. Diseñar planes de auditoría flexibles

La metodología ágil necesita planes flexibles que respondan de inmediato a situaciones y hallazgos imprevistos.

4. Procesar información en tiempo real

En los métodos tradicionales de auditoría, la información se entrega en un informe final dirigido a la Alta Dirección. Con base en ese informe se toman acciones correctivas, que son evaluadas y monitorizadas, para ser consideradas en la siguiente auditoría. La metodología ágil no espera a que se complete ese ciclo. La información se procesa en tiempo real y se da respuesta inmediata a los problemas.

¿Cuáles son los beneficios de la metodología ágil en auditorías?

La implementación de la metodología ágil en procesos de auditoría puede representar algunos problemas para los equipos de trabajo. Los auditores están acostumbrados a la formalidad y la rigidez en los procesos, y convencerlos de lo contrario requiere adoptar las mejores técnicas de comunicación.

Entender los beneficios es un buen punto de partida. Algunos de ellos son:

• Menos tiempo en etapas como la planificación. Una auditoría tradicional puede tomar semanas, tan solo para el diseño del plan. La metodología ágil puede hacerlo en días, o incluso, horas.
• Combinación de técnicas y metodologías, como reuniones rápidas, tableros, tarjetas, informes inmediatos….
• Colaboración e interacción entre equipos multidisciplinarios provenientes de diferentes áreas o entre diferentes equipos de auditores.
• Flexibilidad que permite el cambio de objetivos, enfoque o alcance de la auditoría sobre la marcha, dependiendo de los hallazgos o de los resultados de las evaluaciones de riesgos.
• Atención inmediata de los problemas, sin tener que esperar al formalismo de presentación del informe final, evitando así el avance del impacto negativo de los riesgos.
• Realizar auditorías rápidas, con menor inversión de recursos económicos, humanos y tecnológicos.
• Revisar asuntos archivados, que no han podido ser objeto de una auditoría formal debido a los costes o la complejidad que implica un modelo de auditoría tradicional.

¿Cuáles son los desafíos que resuelve la auditoría ágil?

La auditoría interna es el inicio y el fin del ciclo de mejora continua en cualquier área o proyecto corporativo. La auditoría ágil resuelve varios desafíos que superan las capacidades de la auditoría tradicional. Entre ellos, encontramos:

1. Crear planes de auditoría relevantes

Los problemas relevantes, necesitan soluciones igualmente importantes. Los planes de auditoría para evaluaciones tradicionales no logran satisfacer esta necesidad. Un plan para auditorías ágiles puede enfocarse en los problemas corporativos urgentes e inmediatos.

2. Adaptar objetivos y alcance sobre la marcha

Lo cual no es posible en un modelo tradicional. La capacidad de adaptación, permite acomodar los objetivos y el alcance, incluso varias veces, dentro de una misma auditoría.

3. Fomentar el trabajo en equipo

Uno de los problemas que enfrentan los auditores es la resistencia o apatía de parte de sus auditados. La metodología ágil, por el contrario, genera un entorno colaborativo útil y proclive a la identificación rápida y eficaz de riesgos.

4. Aumentar la efectividad de los informes

Las técnicas de auditoría ágil permiten dividir la tarea en fracciones tan pequeñas como sea necesario. Así, los resultados son específicos y puntuales, facilitando la implementación de acciones para tratar riesgos o solucionar problemas, acelerando los flujos de trabajo.

¿Cómo implementar procesos de auditoría ágiles con base en un software de gestión?

Los métodos de auditoria tradicionales – que no es preciso descartar -, así como los procesos de auditoría ágiles, presentan requerimientos de información inmediata, de calidad, en tiempo real.

Es tal vez el principal obstáculo que enfrentan las organizaciones al implementar auditorías ágiles. Una plataforma diseñada para automatizar Sistemas de Gestión, en el área en que se implemente la auditoría ágil, permitirá a equipos de diferentes áreas ejecutar proyectos conjuntos, contando con el suministro constante de información y la capacidad de procesamiento de nuevos datos sobre la marcha.

Software ISO 37301 de ISOTools

Una plataforma diseñada para satisfacer las necesidades de información y procesamiento inmediato, generadas por la implementación de procesos de auditoria ágiles, es el Software ISO 37301 de ISOTools. Esta solución, basada en la nube, está aquí para facilitar el logro de las necesidades de información para las auditorias en tu organización. Conócela aquí.

La entrada Procesos de auditoría ágiles: cómo adaptarse rápido a nueva información y prioridades cambiantes se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Por supuesto, todo inicia estableciendo procesos sólidos de gestión de riesgos. Pero esa es apenas una primera etapa. En algún momento las organizaciones necesitan un software de gestión de riesgos.

¿Qué beneficios obtiene la organización con un software de gestión de riesgos?

El primer beneficio evidente es la centralización de la gestión en una única plataforma. Esto permite racionalizar recursos, garantizar la integridad y disponibilidad de la información y obtener un panorama general siempre actual. Pero las organizaciones que implementa un software de gestión de riesgos, además, obtienen estos beneficios:

1. Se optimiza el proceso de gestión de riesgos

La automatización elimina el error humano y hace que muchas tareas se realicen de forma sistemática. Así, nada se olvida, las evaluaciones se producen de forma automática y se obtienen evaluaciones inmediatas, en el momento en que se consideren necesarias.

2. Se toman mejores decisiones

La información oportuna, confiable y accesible es la base de la toma de una decisión informada. El software compila la información en una ubicación única, entregando así informes que agrupan diferentes fuentes desde una visión holística de la gestión de riesgos, facilitando una mejor toma de decisiones.

3. Se garantiza el cumplimiento

El software de gestión de riesgos ayuda a la organización a monitorizar el acontecer regulatorio y normativo, optimizando los flujos de trabajo y los procesos de cumplimiento.

4. Se gestionan los riesgos de forma proactiva

La gestión proactiva es un objetivo para muchas organizaciones que suele resultar difícil de cumplir porque la información no siempre se entrega con la debida anticipación. Con un software de gestión de riesgos, las organizaciones pueden identificar y evaluar riesgos de inmediato, atendiendo eventos que están ocurriendo en el mismo momento en el que se actúa para mitigarlos o eliminarlos.

¿Cuáles son las funcionalidades de un software de gestión de riesgos?

El software de gestión de riesgos ayuda a las organizaciones a gestionar sus amenazas de manera proactiva, tomar las mejores decisiones, asegurar el cumplimiento, optimizar tiempo y recursos a través de la automatización, eliminar el error humano y estar al día con el acontecer de la gestión en todo momento. Pero, ¿cómo lo hace en la práctica?:

1. Permite controlar el ciclo de vida de los riesgos inventariados

Los riesgos tienen un ciclo de vida. Durante este ciclo, los riesgos están bajo el control o la responsabilidad de diferentes personas. El software, además de permitir el registro de un inventario completo de riesgos, informa en todo momento sobre el estado de la amenaza, quién es el responsable en el momento, qué acciones se han tomado y cuáles se prevén, y todo ello con la debida actualidad y desde una ubicación centralizada.

2. Mantiene un registro histórico y estadístico de la gestión

Registrar incidentes o eventos, además de ser un requisito en estándares de cumplimiento, de seguridad de los trabajadores o de seguridad de la información, es una forma de conservar y aprovechar el conocimiento valioso que se acumula con el tiempo, como resultado de la gestión o como fruto de algún tipo de formación.

Es también una forma de garantizar una gestión proactiva, aunque los responsables cambien. Finalmente, el comportamiento histórico resulta muy útil en la medición de la mejora de la gestión y para el trabajo de auditores u otro tipo de evaluadores.

3. Mantiene la trazabilidad

La gestión de riesgos demanda acciones diarias, evaluaciones, asignación de responsabilidades, creación de documentos, modificación o actualización de otros, y es necesario que de todo ello se conserve la trazabilidad que facilite el seguimiento y, en caso de ser necesario, identificar en qué punto se cometió un error.

4. Gestión inmediata de riesgos cotidianos

Los riesgos corporativos o los estratégicos se tratan en un nivel alto de la organización. Pero los pequeños riesgos, los que surgen de un momento a otro en la cotidianidad de la operación, también deben ser atendidos y no siempre es posible si no se automatiza la gestión.

5. Controla todos los procesos

El software evita que se presenten brechas en la gestión, que se pase por alto algún proceso o que se quede un área o un proyecto sin controlar. La automatización agiliza la identificación de riesgos en todos los procesos, los proyectos, los departamentos y los niveles de la organización.

6. Facilita la gestión

Los procesos de generación de informes, análisis y evaluación, se pueden llevar a cabo con gran facilidad, reduciendo tiempo y costes, pero también entregando información mucho más rápido.

Software ISO 37301 de ISOTools

Automatizar la gestión de riesgos de cumplimiento es, además de los beneficios y funcionalidades anotados, la función principal del Software ISO 37301 de ISOTools. La función de cumplimiento basada en la norma ISO 37301 necesita asumir una gestión de riesgos integral, total y holística, para lo cual, esta herramienta resulta esencial. Aprende un poco más de esta herramienta tecnológica aquí.

La entrada Software de gestión de riesgos: beneficios que impulsan el éxito corporativo se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.