¿Qué habría sido de los hunos sin la dirección del hábil Atila? Probablemente habrían pasado a la historia – si es que pasaban – sin pena ni gloria. El líder conocido como “el azote de Dios” llevó a sus tropas hasta conquistar Hungría, parte de Francia y Rusia y casi invadió Roma. En el caso de Alejandro Magno, con solo 32 años ya había conquistado el Imperio Persa. Sabes cuál es nuestro punto, ¿verdad? ¡Exacto!
El apartado 4.6 de la ISO 37301, dedicado a la evaluación de riesgos de compliance, se apoya en la ISO 31000 para trazar un proceso en cinco pasos: establecer un proceso sistemático de gestión de riesgos basado en el enfoque por procesos; identificar los riesgos relacionando las obligaciones de cumplimiento con las actividades, productos y servicios de la organización; analizarlos combinando probabilidad y consecuencia en una escala de riesgo; evaluarlos de forma periódica y siempre que cambien las circunstancias, comparando los resultados con el apetito de riesgo de la empresa para decidir si se aceptan, transfieren o mitigan; y, por último, conservar información documentada sobre toda la evaluación y las acciones adoptadas. La norma distingue además entre riesgos inherentes (los que existen sin ninguna medida de tratamiento aplicada) y riesgos residuales (los que persisten pese a los controles ya implementados), y advierte que las consecuencias de incumplir pueden traducirse en daños personales, ambientales, económicos, reputacionales e incluso en responsabilidades civiles y penales. En definitiva: sin una evaluación de riesgos previa, cualquier intento de implementar el sistema de gestión de compliance equivale a luchar contra un enemigo que no se puede ver.
Luchar contra un fantasma que no se ve y que es capaz de derribar los sartenes de la cocina y de levantar las sábanas de la habitación mientras intentamos atraparlo sin éxito una y otra vez se parece mucho a implementar la norma ISO 37301 sin antes evaluar los riesgos de compliance a los que nos enfrentamos. La batalla está perdida mucho antes de empezar, puesto que un enemigo invisible tiene todas las de ganar. ¿Cómo podemos hacernos una idea general de ese monstruo de siete cabezas al que debemos dar pelea? Y antes de que digas que somos exagerados, te contamos que los efectos del incumplimiento son potencialmente devastadores y que no es dramático asegurar que incumplir puede ser tan terrorífico como un engendro agazapado en medio de la noche.
Sus intenciones son las mejores: se acerca al mundo del cumplimiento porque le importa actuar de forma correcta y que sus clientes y proveedores le perciban así. Por eso consigue el texto indicado: la norma ISO 37301 – Sistema de gestión de compliance. Pasea sus ojos por la computadora y trata de entender el estándar. Creía que se trataba de una suerte de pautas muy claras acerca de leyes con las que debe cumplir. Usted iba a anotar esas leyes y a convocar una reunión para saber con cuál la organización está al día y con cuáles no. También pensaba en presionar para que los incumplimientos fueran resueltos rápidamente y así zanjar el asunto. ¡Fácil y rápido! O al menos eso creía, pero la lectura del apartado 4.5 Obligaciones de compliance, expresa lo contrario. Continúa leyendo:
Los artículos, seminarios web, cursos y diplomados sobre la norma ISO 37301 que ofrecemos casi a diario en ISOTools te deben haber dado una idea muy clara: el estándar llegó para posicionarse como uno de los más importantes. Incluso podríamos plantearnos una pregunta que nos llevaría a reflexiones considerables: ¿será posible que la ISO 9001, piedra angular de las normas, ceda su trono a la 37001? Y es que sin compliance no puede haber calidad por garantizar porque, de hecho, sin compliance no hay nada.
Todo tiene su límite, y en el caso de las normas ISO esta aseveración es absolutamente conveniente porque es muy necesario demarcar los aspectos en que se enfocarán nuestros esfuerzos. De esto, precisamente, versa el apartado 4.3 de la norma ISO 37301 – Sistema de gestión de compliance, y que tiene por título “determinación del alcance del sistema de gestión de compliance”.
El apartado 4.2 de la norma ISO 37301 exige que toda organización identifique a sus partes interesadas —personas o entidades que pueden afectar o verse afectadas por sus decisiones— y determine qué necesidades y obligaciones de compliance les son aplicables: desde el cumplimiento de deberes fiscales y requisitos legales hasta compromisos voluntarios como códigos de conducta o normas de adhesión voluntaria. Esta identificación no es un ejercicio puntual, sino un proceso continuo que debe revisarse periódicamente, ya que las partes interesadas y sus requisitos evolucionan con el contexto. Para gestionarlo correctamente, la norma recomienda apoyarse en grupos de trabajo multidisciplinarios, encuestas, entrevistas y estudios de mercado, y dejar constancia documentada de todos los hallazgos. El verdadero valor de este apartado reside en que sus resultados alimentan directamente el análisis de riesgos y oportunidades del sistema (requisito 6.1): conocer qué esperan y necesitan las partes interesadas es la base estratégica sobre la que se construye un Sistema de Gestión de Compliance eficaz, capaz de proteger y crear valor para la organización.
Si te quieres zambullir de lleno en la norma ISO 37301, pero sientes que hay muchos detalles que no comprendes del todo, una vez más en ISOTools estamos listos para socorrerte y explicarte punto por punto de qué va este tema del compliance, un asunto del que todos hablan y que va cobrando relevancia conforme pasa el tiempo. Se hacen debates, simposios, webinars y hasta hay una norma ISO para implementar todo un sistema de gestión de compliance (CMS, por sus siglas en inglés). Vale la pena profundizar y hoy lo haremos al adentrarnos en el apartado 4.2 del estándar, que se centra en la comprensión de las necesidades y expectativas de las partes interesadas.
Si la norma ISO 37301 se te hace compleja porque su publicación es muy reciente o porque el tema de compliance abarca aspectos legales, financieros y administrativos difíciles de aprender de inmediato, tenemos una solución para ti: nuestros expertos de ISOTools se han dedicado arduamente a interpretar el estándar para aportarte conocimiento sobre los aspectos más relevantes de la ISO 37301.
¿Qué te ofrecemos hoy? Primero, te evitamos leer la norma completa, pues sabemos que si no estás familiarizado con los sistemas de gestión, la tarea puede ser molesta. Segundo, nos enfocamos en un aspecto primordial de la norma, se trata del requisito 4.1, que aborda la comprensión de la organización y su contexto.
Informar sobre irregularidades o los riesgos de incurrir en ellas es tan importante como la investigación y gestión de los casos. Sin denuncias no hay resolución de conflictos ni mejoras. Por supuesto, no pretendemos que se fomenten los chismes ni cotilleos de pasillo, sino que se emitan declaraciones que, tras indagar, lleven al esclarecimiento de las circunstancias. Como no es un tema menor, este año 2021 la Organización Internacional de Normalización (ISO) publicó la norma ISO 37002 – Sistema de gestión de denuncias, para que el proceso se ejecute de forma adecuada, se aliente la formulación de denuncias, se proteja al declarante, las denuncias sean tratadas de forma oportuna y en el momento correcto y se reduzcan las irregularidades acaecidas en la organización.
En el momento en el que vivimos actualmente las ciudades asumen un nuevo protagonismo y liderazgo, ya que se convierten en nodos que organizan y articulan la economía en el mundo. Su buena gestión en lo relativo a prestación de servicios, sostenibilidad a largo plazo y mejora de la calidad de vida de sus ciudadanos es uno de los principales retos urbanos de este siglo. Es necesario utilizar el modelo de ciudad innovador basado en la eficiencia y en la inteligencia.
Los valores nunca pasan de moda. Ellos encarnan las virtudes más deseables de las personas y forman parte de todo un entramado de creencias capaces de determinar la manera en que la gente piensa y actúa. Los valores son inherentes a las personas, pero también a las organizaciones, puesto que estas son ciudadanos corporativos, que, al igual que los individuos, cuentan con deberes y derechos. Generar riqueza conlleva responsabilidades y compromisos con la sociedad y el medioambiente, y los valores son una forma de expresar y materializar esa responsabilidad empresarial que nos lleve al necesario cumplimiento que promulga la norma ISO 37301.