Ocuparse de la seguridad de la información (SI) es una necesidad crucial de las organizaciones que desean preservar la integridad, confidencialidad y disponibilidad de la información propia, de clientes, proveedores y demás partes interesadas. Para conseguirlo, es clave el Plan de Reacción de Seguridad de la Información.
El apartado 9 de la ISO 37301 – Sistema de gestión de compliance (CMS) está dedicado, precisamente, a verificar, la tercera fase del ciclo PHVA, sin la cual —advierte el artículo— nos encontraríamos en un ciclo interminable de hacer, sin comprobar en qué aspectos organizacionales debemos enfocar nuestros esfuerzos ni evaluar cuál es el grado de cumplimiento del CMS. El apartado se estructura en varios puntos clave: el 9.1.2 exige nutrirse de fuentes de retroalimentación —trabajadores, clientes, proveedores y registros de actividad— para conocer el nivel real de cumplimiento; el 9.1.3 se centra en los indicadores, descritos como una suerte de brújula, una radiografía que se le toma al sistema de gestión de compliance; el 9.1.4 regula los informes de cumplimiento, que deben garantizar que el desempeño del CMS es informado a las partes interesadas pertinentes; y el 9.1.5 exige un mantenimiento riguroso de los registros por su valor probatorio. A esto se suman la auditoría interna (9.2), clave para detectar fallos que no sabíamos que existían, y la revisión por la dirección (9.3 y 9.4), que debe traducirse en decisiones documentadas sobre cambios en la política, los procesos y las áreas de mejora continua del sistema.
¿Alguna vez pusiste en duda la utilidad del ciclo PHVA? Todas las normas tienen que ver con el ciclo de Deming: planificar, hacer, verificar y actuar. El punto 9 de la norma ISO 37301 – Sistema de gestión de compliance (CMS) está dedicado, precisamente, a verificar. Engloba la evaluación de desempeño (9), seguimiento, medición, análisis y evaluación (9.1), entre otros.
El riesgo, como lo conocemos actualmente, es una palabra que deriva de la palabra peligro. En la actualidad es incierto poder establecer una fecha o conocer a quién se le aduce la creación de la palabra riesgo.
Dentro de los sectores económicos a nivel mundial, el automotriz ha tenido un crecimiento exponencial en la cantidad de unidades producidas y la evolución en cada una de ellas; esto orientado, a mejorar las condiciones de uso para los usuarios y generar confianza de manera que se garantice la permanencia de los clientes al adquirir un vehículo.
Cómo plantear inquietudes, crear controles e investigar; a la norma ISO 37301 no se le escapa nada y estamos seguros de que si implementas este estándar de forma adecuada tendrás resultados sobresalientes.
La sociedad en su constante evolución y adquisición de elementos, que para sí tienen un gran valor, ha inventado variedad de mecanismos que le permiten salvaguardar elementos de gran valor o información que no debe de ser de conocimiento al público. En su necesidad de proteger su patrimonio se ha visto obligado a diseñar todo tipo de reglas, mecanismos y elementos que le ayuden a proteger esta información.
El punto 7 de la norma ISO 37301 – Sistemas de gestión de compliance es uno de los más extensos e importantes del estándar y se titula Soporte (en algunos estándares la traducción al castellano de esta sección se le denomina apoyo en la HLS).
El apartado 5.3.2 de la norma ISO 37301 es, sin exagerar, el más importante del estándar, ya que define la función de cumplimiento: el engranaje encargado de que todo el sistema de gestión de compliance funcione correctamente. Esta función abarca ocho responsabilidades clave —identificar las obligaciones de cumplimiento, documentar la evaluación de riesgos, alinear el sistema con los objetivos, monitorear y medir el desempeño, analizar la necesidad de acciones correctivas, establecer un sistema de documentación e informes, garantizar revisiones periódicas y crear un canal para plantear inquietudes—, además de supervisar que estas obligaciones se integren correctamente en políticas, procesos y procedimientos de toda la organización. La norma recomienda que esta carga recaiga en un equipo y no en una sola persona, dotado de conocimientos sólidos y actualizados sobre leyes y normativas, ya sea con personal propio o mediante servicios externos, y siempre con los recursos necesarios. Como recomendación final, ISO 37301 exige que la función de compliance cuente con tres atributos esenciales: autoridad (poderes suficientes concedidos por la dirección), respaldo (que su opinión sea escuchada y respetada) e independencia (mantenerse alejada de las actividades expuestas a riesgo).
En ocasiones, las normas no son tan específicas como deseamos y, si queremos implementarlas de forma eficaz, necesitamos encontrar el sentido de cada frase para saber de qué forma el estándar se relaciona con nosotros, nuestra organización y la forma en que asumimos los quehaceres, objetivos, operaciones, finanzas, administración, calidad y, por supuesto, compliance.
La gestión del riesgo dentro de la organización, debe tener como buena práctica de gestión, una estructura definida que sirva como guía al equipo de riesgos en la ejecución de tareas de forma lógica y en los tiempos que se requiere, facilitando la ejecución de cada etapa de los riesgos identificados, hasta que se elimine o mitigue el impacto, a través de la aplicación de controles.
Para tener un control total del cumplimiento HSE, es necesario conocer todos los pasos que hay que seguir en dicho proceso. En la gestión HSE (Health, Safety and Environment), el primer paso del proceso comienza con una fase previa en la que el responsable de proceso define las reglas que se seguirán durante la ejecución de un check list o lista de chequeo.