Política de compliance de una empresa y objetivos según la norma ISO/FDIS 37301

Escuchar esta entrada

La norma ISO/FDIS 37301 sitúa la política y los objetivos de compliance como los dos pilares que dan dirección a todo el sistema de gestión del cumplimiento. La política, definida y aprobada por la alta dirección, debe ser apropiada para el propósito de la organización, servir de marco para fijar objetivos, comprometerse con el cumplimiento de los requisitos aplicables y con la mejora continua; además, tiene que estar redactada en lenguaje sencillo, comunicarse a toda la plantilla y garantizar la protección frente a represalias de quien reporta una irregularidad. Los objetivos, por su parte, se derivan de esa política y pueden ser estratégicos, tácticos u operativos: deben ser medibles siempre que sea posible, hacer seguimiento continuo y actualizarse cuando cambien las circunstancias. En conjunto, política y objetivos funcionan como el timón del sistema de compliance: sin ellos, la organización navegaría a la deriva; con ellos bien alineados, la empresa puede convertir el cumplimiento normativo en una ventaja estratégica real.

Política y objetivos de compliance según ISO/FDIS 37301

Un sistema de gestión de cumplimiento requiere de un corpus sólido para ser completo. Debe estar compuesto por personas responsables de su puesta en marcha, revisión, mejora continua, entre otros. En esta entrega tomaremos en cuenta dos de los aspectos que juzgamos como particularmente relevantes: se trata de la política y los objetivos de compliance.

Requisitos de la política de compliance de una empresa

La política forma parte de la información documentada. Allí se exponen las intenciones y dirección de una organización, expresadas formalmente por su alta dirección y/o su órgano de gobierno. En ausencia de una política, la empresa no tendría claridad en cuanto a su proceder. Es por eso que la norma ISO/FDIS 37301 establece como requisito que la política de compliance:

Apropiada para el propósito de la organización

Marco para establecer objetivos de cumplimiento

La política debe actuar como paraguas normativo bajo el cual se definan después los objetivos de compliance, tanto estratégicos como operativos. No se trata de un documento aislado, sino del punto de partida que da coherencia a todo lo que viene después: cada objetivo que se establezca en el sistema de gestión —ya sea reducir el número de incidencias, mejorar los tiempos de respuesta ante denuncias o aumentar la formación del personal— debe poder justificarse como un desarrollo natural de los principios recogidos en la política.

Compromiso de satisfacer los requisitos aplicables

La política debe incluir un compromiso explícito de cumplir con los requisitos legales, regulatorios, contractuales y voluntarios que afectan a la organización, incluyendo los códigos de conducta a los que se haya adherido. Este compromiso no es simbólico: implica que la organización se obliga a identificar de forma sistemática qué normativa le resulta aplicable, mantenerse actualizada ante los cambios legislativos y disponer de mecanismos que garanticen su cumplimiento efectivo en el día a día.

Compromiso con la mejora continua del sistema de gestión del cumplimiento

Ninguna política de compliance puede considerarse estática. ISO 37301 exige un compromiso formal con la mejora continua, lo que significa que la organización debe revisar periódicamente la eficacia de su sistema de gestión, incorporar las lecciones aprendidas de incidencias pasadas y adaptar sus procesos a medida que evolucionan los riesgos, la legislación o la propia estructura de la empresa. Este compromiso convierte el compliance en un proceso vivo, no en un documento que se archiva tras su aprobación.

Cómo definir objetivos de compliance alineados con la política

Definir objetivos de compliance no consiste en fijar metas aisladas, sino en traducir los principios de la política en resultados concretos y medibles. Para lograr esa alineación, la norma ISO 37301 propone tener en cuenta una serie de criterios:

• Partir siempre de la política de compliance: cada objetivo debe poder vincularse directamente a uno o varios de los compromisos recogidos en ella. Si un objetivo no responde a ningún principio de la política, probablemente no debería formar parte del sistema.
• Diferenciar niveles de objetivos: es recomendable establecer objetivos estratégicos (a largo plazo, vinculados a la dirección general de la organización), tácticos (a nivel de departamento o área) y operativos (acciones concretas y a corto plazo), de forma que exista coherencia entre todos los niveles.
• Hacerlos medibles siempre que sea posible: siempre que la naturaleza del objetivo lo permita, debe expresarse mediante indicadores cuantificables —número de formaciones impartidas, tiempo medio de resolución de denuncias, porcentaje de proveedores auditados— que permitan comprobar objetivamente su grado de cumplimiento.
• Asignar responsables y plazos: todo objetivo debe tener un responsable claro de su ejecución y un horizonte temporal definido, evitando objetivos difusos sin fecha de revisión.
• Comunicarlos a las partes implicadas: los objetivos deben trasladarse a las personas y departamentos responsables de alcanzarlos, asegurando que entienden su papel dentro del sistema de gestión.
• Revisarlos y actualizarlos periódicamente: los objetivos no son inmutables; deben someterse a seguimiento continuo y ajustarse cuando cambien las circunstancias internas o externas de la organización, tal y como exige la propia norma en su apartado dedicado a la planificación.

Cuando la política y los objetivos están correctamente alineados, el sistema de gestión de compliance deja de ser un conjunto de buenas intenciones para convertirse en una herramienta operativa capaz de generar resultados verificables y de demostrar, ante auditores y terceros, el compromiso real de la organización con el cumplimiento normativo.

¿Qué sería del sistema de gestión de cumplimiento sin una política definida y comunicada adecuadamente? La organización se conduciría como un barco sin timón, navegaría a la deriva y su destino sería incierto. Para que la empresa se conduzca con precisión, la norma expone que la política de cumplimiento deberá:

• estar alineada con los valores, objetivos y estrategia de la organización;
• exigir el cumplimiento de las obligaciones de cumplimiento de la organización;
• respaldar los principios de gobernanza del cumplimiento de acuerdo con la cláusula 5.1.3;
• describir las consecuencias de no cumplir con las obligaciones de cumplimiento de la organización, con las políticas, procedimientos y procesos;
• fomentar la presentación de inquietudes y prohibir cualquier forma de represalia;
• estar redactado en un lenguaje sencillo para que todo el personal pueda comprender fácilmente los principios y la intención;
• implementarse y hacerse cumplir adecuadamente;
• deberá estar disponible como información documentada;
• comunicarse dentro de la organización;
• estar disponible para las partes interesadas, según corresponda.

En cuanto a los objetivos, que son los resultados que en la organización se esfuerzan por alcanzar, la norma expresa que estos pueden ser estratégicos (por ejemplo, aumentar la confianza en un segmento del mercado, insertarse en nuevos mercados, posicionarse en la mente de los clientes…), tácticos (podría ser mantener la eficacia en los controles en el cumplimiento con los clientes, colocar determinada cantidad de productos innovadores en el mercado) u operativos (como la eficacia de las acciones para ejecutar los controles, mantener al día el portafolio de proyectos…). Son tan relevantes que no solo atañen al compliance, sino que pueden relacionarse con las metas financieras, de seguridad y salud en el trabajo, ambientales; y pueden aplicarse en proyectos, productos, procesos y en toda la empresa.

Los objetivos se pueden concebir como un propósito a lograr, un resultado previsto o un criterio operativo. Si nos referimos al sistema de gestión de compliance, los objetivos deben ser fijados por la organización – varían de una a otra – y ameritan estar de acuerdo con la política de cumplimiento, para que sea posible conseguir resultados específicos. Siempre y cuando sea factible, deben ser medidos. Y siempre tienen que hacer seguimiento, comunicados y actualizados cuando sea pertinente. Otro aspecto relevante a considerar son los requisitos aplicables.

Por supuesto, los objetivos forman parte de la información documentada. La redacción permite que haya evidencias y claridad sobre qué se hará, qué recursos se necesitarán, quiénes serán los responsables de cada tarea, cuándo se completarán las tareas, cómo se evaluarán los resultados, entre otros.

La coherencia y armonía entre políticas y objetivos apuntan hacia la sostenibilidad y mejora continua no solo del sistema de gestión, sino de la empresa. De hecho, los objetivos parten de la política, ella establece el marco de acción. La consecución de esos objetivos es la materialización de la política. Esta idea puede asimilarse con mayor exactitud en el siguiente esquema.

La política es el instrumento mediante el cual se puede alinear la estrategia con la operación y mejora del sistema de gestión de compliance. La relación de estos dos elementos le dará a la dirección el potencial para sacar los mayores beneficios posibles de la norma ISO 37301.

Software para la gestión compliance

Próximamente, la norma ISO 19600 será reemplazada por la ISO 37301, la cual, al ser certificable, precisará de seguimientos, auditorías, medidas, gestión de riesgos, etc., de los que dependerá la futura certificación.

Ser protecnología y apostar por herramientas tecnológicas como el software ISOTools para compliance es una apuesta segura, ya que la automatización es el siguiente paso hacia la excelencia empresarial.

Nunca ha sido tan fácil alinearse con los requisitos de las normas y conseguir la conformidad; contáctanos, y uno de nuestros asesores contactará con usted.