ISO 37301 – Apartado 4.6 Evaluación de riesgos de compliance o cómo conocer a tu enemigo

Escuchar esta entrada

El apartado 4.6 de la ISO 37301, dedicado a la evaluación de riesgos de compliance, se apoya en la ISO 31000 para trazar un proceso en cinco pasos: establecer un proceso sistemático de gestión de riesgos basado en el enfoque por procesos; identificar los riesgos relacionando las obligaciones de cumplimiento con las actividades, productos y servicios de la organización; analizarlos combinando probabilidad y consecuencia en una escala de riesgo; evaluarlos de forma periódica y siempre que cambien las circunstancias, comparando los resultados con el apetito de riesgo de la empresa para decidir si se aceptan, transfieren o mitigan; y, por último, conservar información documentada sobre toda la evaluación y las acciones adoptadas. La norma distingue además entre riesgos inherentes (los que existen sin ninguna medida de tratamiento aplicada) y riesgos residuales (los que persisten pese a los controles ya implementados), y advierte que las consecuencias de incumplir pueden traducirse en daños personales, ambientales, económicos, reputacionales e incluso en responsabilidades civiles y penales. En definitiva: sin una evaluación de riesgos previa, cualquier intento de implementar el sistema de gestión de compliance equivale a luchar contra un enemigo que no se puede ver.

ISO 37301 apartado 4.6 y evaluación de riesgos compliance

Luchar contra un fantasma que no se ve y que es capaz de derribar los sartenes de la cocina y de levantar las sábanas de la habitación mientras intentamos atraparlo sin éxito una y otra vez se parece mucho a implementar la norma ISO 37301 sin antes evaluar los riesgos de compliance a los que nos enfrentamos. La batalla está perdida mucho antes de empezar, puesto que un enemigo invisible tiene todas las de ganar. ¿Cómo podemos hacernos una idea general de ese monstruo de siete cabezas al que debemos dar pelea? Y antes de que digas que somos exagerados, te contamos que los efectos del incumplimiento son potencialmente devastadores y que no es dramático asegurar que incumplir puede ser tan terrorífico como un engendro agazapado en medio de la noche.

La ISO 37301 – Sistema de gestión de compliance, en su punto 4.6, referido a la evaluación de riesgos de compliance, nos da luces en 5 pasos:

1. La organización debe establecer el proceso de gestión de riesgos: identificar, analizar y evaluar sus riesgos de compliance basándose en la mejor práctica del enfoque basado en procesos. Lo básico es contar con una forma de gestionar sistemáticamente los riesgos.
2. La organización debe identificar los riesgos de cumplimiento relacionando sus obligaciones de cumplimiento con sus actividades, productos, servicios y aspectos relevantes de sus operaciones. Para esto es muy importante que conozcamos cuáles son los compromisos de compliance: buenas prácticas, normas, contratos, reglamentos y leyes que rigen al negocio. Estar al tanto es fundamental porque si alguien ejecuta una acción indebida o toma una decisión sin ser consciente de la ley, es posible que incumpla.
3. La organización debe analizar los riesgos de compliance. El análisis consiste en combinar las probabilidades y consecuencias en una escala que permita determinar qué nivel de riesgo corresponde a cada uno de los riesgos identificados.
4. Los riesgos de cumplimiento se evaluarán periódicamente y siempre que se produzcan cambios materiales en las circunstancias o el contexto organizativo. Siempre insistimos en que lo único constante es el cambio; las leyes y acuerdos varían y no hacer seguimiento de estas es un craso error que nos lleva a incumplir. Es fundamental, además de conocer qué acciones nos harían fallar, familiarizarnos con las consecuencias de incumplir. Como ya mencionamos, nuestras conductas pueden llevar a la organización a no cumplir sus objetivos de compliance. Esa es una probabilidad y es vital saber el impacto que tendrá, para luego evaluar la situación según la escala de riesgos (altos, medios y bajos). Podemos hacerlo de forma cualitativa o cuantitativa. Posteriormente, esas evaluaciones deben compararse con el apetito por el riesgo de la empresa. En función de eso, se decide cuál será el plan de tratamiento de riesgos, que se divide en 3 grandes tipos: aceptar, transferir y mitigar.
5. La organización debe conservar información documentada sobre la evaluación de riesgos de cumplimiento y sobre las acciones para abordar sus riesgos de cumplimiento. Cuando nos enamoramos, guardamos cada recuerdo preciado: fotos, cartas, envoltorios de bombones, entradas de conciertos, pétalos de flores… Al implementar normas, ameritamos hacer lo propio: registrar cada evidencia de gestión que tenemos, amenazas potenciales, reportes, comunicaciones y la gestión de riesgos, en general. Esto no es comparable a una acción romántica, pero sin duda nos va a reportar beneficios.

¡No luches a ciegas!

El apartado 4.6 de la norma ISO 37301 se basa en la ISO 31000 – Sistemas de gestión de riesgos. ¿Te parece que somos muy quisquillosos en este punto? Te contamos que el análisis de riesgos es tan importante porque, si pasamos por alto alguna amenaza capaz de materializarse, se incrementa la posibilidad de incumplir sin antes haber hecho nada para mitigarlo. Al saber con qué estamos lidiando, podemos asignar recursos, responsables y procesos que faciliten la gestión de riesgos. Estos últimos se dividen en:

1. Riesgos inherentes: se refieren a todos los riesgos de cumplimiento que enfrenta una organización en un estado no controlado, sin las correspondientes medidas de tratamiento del riesgo de cumplimiento.
2. Riesgos residuales: son los riesgos de cumplimiento no controlados de manera efectiva por las medidas de tratamiento de riesgo de cumplimiento existentes de una organización.

El Anexo A (4.6) se extiende en el análisis de riesgo cuando expresa que algunas de las consecuencias de incumplir están ligadas a daños personales y ambientales, pérdidas económicas, daños a la reputación, cambios administrativos y responsabilidades civiles y penales. ¿Quieres saber más? Continúa leyendo nuestros artículos relacionados con la norma ISO 37301 y entérate de los pormenores del estándar más poderoso que se ha publicado recientemente.

Pasos para realizar la evaluación de riesgos de compliance

Siguiendo el marco de la ISO 31000, la ISO 37301 estructura la evaluación de riesgos de compliance en cinco pasos secuenciales, que la organización debe recorrer de manera sistemática y no como una serie de tareas aisladas:

• Establecer un proceso sistemático de gestión de riesgos: el punto de partida consiste en definir un procedimiento formal, basado en el enfoque por procesos, que sirva de guía estable para identificar y tratar los riesgos de compliance de forma recurrente, y no únicamente cuando surge un problema puntual.
• Identificar los riesgos: en esta fase se relacionan las obligaciones de cumplimiento —legales, regulatorias, contractuales o voluntarias— con las actividades, productos y servicios concretos de la organización, de forma que cada riesgo quede vinculado a un proceso real y no a una amenaza genérica.
• Analizar los riesgos: una vez identificados, se valoran combinando dos variables, la probabilidad de que ocurran y la consecuencia que tendrían si se materializan, situando cada riesgo en una escala que permite compararlos entre sí y priorizar la atención sobre los más críticos.
• Evaluar los riesgos: esta valoración debe repetirse de forma periódica y siempre que cambien las circunstancias internas o externas de la organización, contrastando los resultados obtenidos con el apetito de riesgo definido por la dirección para decidir si un riesgo se acepta, se transfiere o se mitiga.
• Conservar información documentada: todo el proceso, desde la identificación hasta las decisiones de tratamiento adoptadas, debe quedar recogido en registros que sirvan de evidencia ante auditorías internas, externas o ante cualquier requerimiento de una autoridad reguladora.

Recorrer estos cinco pasos de forma disciplinada es lo que permite a la organización pasar de una percepción intuitiva del riesgo —»creemos que aquí puede haber un problema»— a una gestión objetiva y documentada, capaz de sostener cualquier decisión ante terceros.

Consecuencias del incumplimiento y tratamiento de riesgos

No evaluar correctamente los riesgos de compliance —o hacerlo y no actuar en consecuencia— puede derivar en consecuencias muy diversas para la organización, que la norma agrupa en varios frentes:

• Daños personales: situaciones que afectan directamente a la seguridad, salud o integridad de trabajadores, clientes o terceros relacionados con la actividad de la organización.
• Daños ambientales: impactos negativos sobre el entorno derivados de un incumplimiento normativo en materia medioambiental.
• Pérdidas económicas: multas, sanciones administrativas, indemnizaciones o costes derivados de la paralización de actividades a causa de un incumplimiento.
• Daño reputacional: pérdida de confianza de clientes, proveedores, inversores y sociedad en general, cuyo impacto a largo plazo puede ser incluso más grave que la sanción económica inicial.
• Responsabilidad civil y penal: consecuencias legales que pueden alcanzar tanto a la organización como, en determinados supuestos, a sus administradores y directivos a título individual.

Ante un riesgo ya identificado y analizado, la norma contempla tres posibles vías de tratamiento, que no son excluyentes entre sí y que pueden combinarse en función de la naturaleza del riesgo:

• Aceptar el riesgo: cuando su probabilidad e impacto son suficientemente bajos como para asumirlo sin necesidad de destinar recursos adicionales a mitigarlo.
• Transferir el riesgo: trasladando parte de sus consecuencias a un tercero, por ejemplo mediante contratos de seguro o cláusulas contractuales específicas con proveedores o socios.
• Mitigar el riesgo: implementando controles, procedimientos o medidas correctivas que reduzcan su probabilidad de ocurrencia, su impacto potencial, o ambos a la vez.

Es en este punto donde cobra sentido la distinción entre riesgo inherente y riesgo residual: el primero refleja el nivel de exposición de la organización sin ninguna medida de tratamiento aplicada, mientras que el segundo es el que persiste una vez implementados los controles. Comparar ambos niveles permite a la organización comprobar si sus medidas de mitigación son realmente eficaces o si, por el contrario, es necesario reforzar el tratamiento aplicado a un riesgo determinado.

Software ISO 37001 de ISOTools

Implementar un sistema anticorrupción y aplicar una lista de verificación para un sistema antisoborno como esta resulta mucho más fácil si se cuenta con una herramienta tecnológica avanzada que estructura el sistema y facilita cada tarea.

Así lo hace el Software ISO 37001 de ISOTools, específicamente diseñado para abordar cada componente de un sistema antisoborno con éxito. Esta solución ofrece funcionalidades apropiadas, por ejemplo, para una gestión óptima de los ciclos de tareas y flujos de documentación, para la aplicación ágil de la debida diligencia o para alentar la denuncia a través de canales que protegen el anonimato y facilitan las investigaciones.

Conoce más sobre esta solución preguntando a uno de nuestros asesores.