por HAZA CT | 14/08/15 | Responsabilidad social y gobierno corporativo, Sistemas de Gestión
El nuevo Código Penal permite la exención de la responsabilidad penal de las entidades tanto en los casos en que el delito se cometa por quienes tienen responsabilidades de organización y control o administradores, como si se lleva a cabo por empleados dependientes de aquellos, si por parte de la entidad, y antes de la comisión del delito se hubieran adoptado, modelos de organización y gestión que incluyan las medidas de vigilancia y control idóneas para prevenir delitos.
(más…)
por HAZA CT | 07/08/15 | Responsabilidad social y gobierno corporativo, Sistemas de Gestión
El Cumplimiento Normativo o Compliance es la capacidad que tiene una organización, para mostrar su capacidad de identificar, prevenir y gestionar sus riesgos legales.
La Organización Internacional de Normalización (ISO) ha publicado la Norma ISO 19600 ‘Sistemas de gestión de compliance. Directrices’, que recoge recomendaciones y buenas prácticas para ayudar a las organizaciones a desarrollar un sistema de gestión que les permita identificar, controlar y cumplir con los requisitos legales que le aplican y con otros voluntarios, como códigos de gobierno corporativo. Este es el cuarto post, de una serie de 5 , en los que desgranamos la norma ISO 19600, para que te sea más fácil comprenderla e implantarla en tu organización.
Una vez establecido el “Liderazgo” dentro de la ISO 19600 de “Sistemas de Gestión de Compliance” debemos abordar los apartados de Planificación y Apoyo; así como el de Operación.
Analicemos cada uno de ellos:
6 Planificación
La verdad es que dentro de este apartado no hay nada especialmente difícil de entender aunque su aplicación práctica sí pueda ser comprometida en función del tamaño y características de la Organización.
En primer lugar se especifica que se deben planificar acciones para tratar todos los riesgos y oportunidades que se identificaron y valoraron siguiendo los requisitos del apartado 4. Proceso muy similar al que aplicaríamos desde el punto de vista ambiental siguiendo la ISO 14001 o desde el punto de vista de Seguridad e Higiene siguiendo la OHSAS 18001.
Igualmente se dice que se deben establecer objetivos de compliance en las funciones y niveles pertinentes. Con pura lógica la norma establece que debe determinarse:
- Qué se va a hacer
- Qué recursos se requerirán
- Quién será responsable
- Cuándo se finalizará
- Cómo se evaluarán los resultados
7 Apoyo
Dentro de este apartado tenemos a su vez: recursos, competencia y formación, toma de conciencia, comunicación e información documentada.
7.1 Recursos
Simplemente menciona básicamente que la organización debe determinar y proporcionar los recursos necesarios para el establecimiento, desarrollo, implementación, evaluación, mantenimiento y mejora continua del sistema de gestión de compliance, de acuerdo con su tamaño, complejidad, estructura y operaciones.
7.2 Competencia y formación
No hay nada en este apartado que sea diferente conceptualmente a lo exigido por otras normas. Simplemente deben determinarse los niveles de competencia y formación necesarios para cada empleado y establecer la sistemática para llevarla a cabo y evaluarla.
7.3 Toma de conciencia
Es un apartado especialmente importante para el correcto funcionamiento del sistema y prueba de ello es que la norma le dedica a ello casi 2 páginas.
Viene a decir que si las personas que trabajan en la organización no son conscientes de la política de compliance, de su importancia en el sistema de gestión de compliance y de las implicaciones de no cumplir los requisitos, el sistema jamás podrá funcionar correctamente.
Además especifica que la alta dirección tiene una responsabilidad crucial a la hora de que todos tomen conciencia de la importancia de la cultura de compliance dentro de la organización. Se detallan numerosas acciones específicas que deben ser llevadas a cabo por la alta dirección
Si la dirección no está comprometida a fondo, el sistema de gestión de compliance… ¡jamás funcionará correctamente!
7.4 Comunicación
Como en otros sistemas de gestión, se menciona la necesidad de tener establecidos canales de comunicación internos y externos con diversas partes interesadas como: organismos reguladores, clientes, contratistas, proveedores, inversores, servicios de emergencia, ONGs, vecinos, etc.
Una de las principales dificultades en la aplicación práctica de este requisito es que muchas de las comunicaciones pueden resultar confidenciales o delicadas y el manejo de las mismas tiene consideraciones especiales.
7.5 Información documentada
A lo largo de la norma se van especificando multitud de elementos que deben quedar reflejados como información documentada. Por ejemplo:
- Política de compliance
- Objetivos
- Roles y responsabilidades
- Riesgos
- Registros de formación
- Etc.
Verás que esta norma ya sigue la estructura de alto nivel (ANNEX SL) y ya no se hace mención a Manual, Procemientos, Registros, etc.
Los sistemas de control y actualización de toda esta información deben establecerse, como en cualquier otro sistema de gestión.
Lógicamente, la extensión de la información documentada podrá variar en función del tamaño de la organización, su actividad o procesos, la competencia de las personas o la madurez del sistema de compliance
El apartado 8 del “Sistemas de Gestión de Compliance” según la ISO 19600 es el dedicado a la “operación”. Dentro del mismo se habla de: planificación y control operacional, establecimiento de controles y procedimientos y procesos externalizados. Analicemos cada uno de ellos:
8.1 Planificación y control operacional
Todas las acciones que fueron planificadas según el apartado 6.1 de la norma deben ahora ser ejecutadas mediante procesos concretos. Dicho procesos deben tener definidos:
- Sus objetivos
- Sus criterios
- Su control en función de los criterios
- La información documentada correspondiente
8.2 Establecimiento de controles y procedimientos
Se necesitan controles eficaces para asegurar que se cumplen las obligaciones de compliance y que se previenen, o se detectan y corrigen los incumplimientos. Cuando sea posible los controles deben estar embebidos en los procesos organizativos normales.
Algunos ejemplos de estos controles podrían ser:
- Políticas operativas, procedimientos, procesos o instrucciones de trabajo, claros, prácticos y fáciles de seguir
- Sistemas e informes de excepciones
- Autorizaciones
- Planes de desempeño de empleados
- Evaluaciones de compliance y auditorías
- Etc.
8.3 Procesos externalizados
La norma establece que se debe asegurar que los procesos externalizados son controlados y que se realiza seguimiento de los mismos. En concreto menciona que se deben considerar los riesgos de compliance relacionados con terceras partes tales como el suministro de bienes y servicios o la distribución de productos y se deben establecer controles para ellos.
Este punto es especialmente difícil de cumplir ya que el nivel de autoridad y control que podemos tener sobre otras organizaciones suele ser limitado. La práctica de introducir las obligaciones de compliance en las cláusulas contractuales es conveniente pero en muchas ocasiones no resulta suficiente. Ir más allá mediante códigos de conducta para proveedores e incluso procesos de auditoría a los mismos puede ser efectivo, pero tiene unos costes que no todas las organizaciones están dispuestas a asumir.
La semana próxima terminaremos esta serie, con la que queremos que conozcas más a fondo los Sistemas de Gestión de Compliance, de todas formas, cualquier duda que te surja o cualquier comentario que tengas estaremos encantados de que lo compartas con nosotros.
por HAZA CT | 31/07/15 | Responsabilidad social y gobierno corporativo, Sistemas de Gestión
Como hemos venido hablando en los post publicados las semanas anteriores, con relación a la detección y gestión de riesgos penales, la última reforma del Código Penal, en vigor desde el 1 de julio de 2015, establece en su art 31bis, la obligación del órgano de administración de adoptar un Sistema de Gestión de Riesgos para la Prevención de Delitos, como requisito previo, eficaz e idóneo para poder alegar exoneración o atenuación de su responsabilidad penal.
Acabábamos el post anterior mencionando que el sistema de gestión de compliance no llegará a buen término si no hay un liderazgo claro por parte de la Gerencia de la organización con respecto al tema.
La ausencia de liderazgo, como bien sabes trae consecuencias negativas en las organizaciones:
- Los mandos medios no asumen su responsabilidad como líderes y se ponen del lado de sus subordinados, oponiéndose a la empresa.
- Los mandos superiores no saben conducir personas (no son líderes).
- La gente está desmotivada y no se sabe qué hacer, a pesar de pagarles en tiempo y forma.
- El personal no valora la relación con el cliente.
- Las personas se quejan constantemente.
- Las personas no sienten reconocidos sus esfuerzos.
En particular, la ausencia de liderazgo en el caso de los sistemas de gestión de compliance es especialmente crítico, como vas a poder ver a continuación.
El apartado de liderazgo dentro de la ISO 19600:2015 de Sistemas de Gestión de Compliance contiene a su vez 3 sub-apartados, que siguen la línea de la estructura de alto nivel (ANNEX SL) definida por ISO.
Vamos a ir viendo más a fondo cada uno de ellos:
5.1 Liderazgo y compromiso
Lamentablemente, tenemos muchos casos recientes en nuestro entorno que demuestran que una organización sin un liderazgo claro y decidido en temas de compliance acaba por presentar problemas (en muchos casos legales) que afectarán de manera importante a toda la organización.
El liderazgo y compromiso deben demostrarse en la práctica, ¿cómo?:
- Estableciendo y defendiendo los valores fundamentales.
- Estableciendo políticas y objetivos de compliance, y siendo estas formalmente aprobadas por el órgano de gobierno. Además las pol´ticas y procesos de la organización no cumplirán simplemente lo estrictamente legal, deberán ir más allá y definir códigos voluntarios y valores fundamentales de la organización.
- Asegurando recursos.
- Asegurando la integración de la compliance en el resto del negocio.
- Comunicando la importancia de una gestión de compliance eficaz, con comunicados, sensibilización, etc. Pero también dando ejemplo, ya lo decía mi madre, obras son amores y no buenas razones. Traído a este nivel, significa que para demostrar y ejercer un liderazgo claro, hará falta algo más que un comunicado.
- La función de compliance debe tener un nivel de autoridad que le permita demostrar su importancia en la organización, y por supuesto, con un acceso directo al órgano de gobierno.
Escribirlo es fácil, ponerlo en práctica, no tanto.
5.2 Política de compliance
El órgano de gobierno y la alta dirección, preferiblemente tras consultar con los empleados, debe establecer una política (documentada) de compliance que defina:
- El alcance del sistema
- La medida en la que la compliance va a estar integrada con otras funciones
- La medida en la que la compliance va a estar embebida en las políticas, los procedimientos y los procesos operacionales
- El grado de independencia y autonomía de la función de compliance
- Los principios bajo los cuales se van a gestionar las relaciones con las partes interesadas
- Las consecuencias de los incumplimientos de compliance
- Etc.
Además, la política de compliance no debería ser un documento único sino que debería estar apoyado por otros documentos, incluyendo políticas, procedimientos y procesos operacionales; y que tiene que establecerse en línea con los valores, objetivos y estrategia de la organización, ya que establece los principios generales para lograr el compliance
5.3 Roles, responsabilidades y autoridades en la organización
Una muestra de la importancia que se otorga a este apartado es que la norma emplea más de 3 páginas en detallar los aspectos que deben cumplirse.
Detalla requisitos concretos para los órganos de gobierno y la Dirección, para la función de compliance y para todos los empleados.
En concreto, la función de compliance, trabajando conjuntamente con la Dirección debería ser responsable de:
- Identificar las obligaciones de compliance y traducirlas en políticas, procedimientos y procesos viables
- Promover la inclusión de las responsabilidades de compliance en los procesos de gestión de desempeño de los empleados
- Establecer indicadores de desempeño de compliance
- Poner en marcha un sistema de documentación e información de compliance
- Proporcionar apoyo formativo continuo a la plantilla
- Etc.
La norma no obliga a la definición de una función de compliance, deja la puerta abierta a que se pueda asignar esta función a una posición existente. Pero sí que asigna responsabilidades concretas que debe desarrollar trabajando conjuntamente con la dirección:
- Identificar e integrar las obligaciones de compliance.
- Asegurar formación continua para la plantilla.
- Promover la inclusión de las responsabilidades de compliance en las descripciones de los puestos de trabajo.
- Establecer indicadores de desempeño de compliance y analizar dicho desempeño.
- Identificar los riesgos de compliance y gestionarlos,
- Etc.
Estas algunas de las destacables en una larga lista.
Nada fácil ¿verdad? A nadie se le escapa que en organizaciones grandes se producirán choques con otras Áreas o Departamentos de la empresa y por ello el compromiso, liderazgo y apoyo de la Alta Dirección mencionado en el anterior post es tan crítico para un funcionamiento eficaz del sistema.
En cuanto a los empleados en general, entre otras cosas, la norma establece que deberían informar sobre preocupaciones o fallos de compliance. Cómo establecer un sistema que sea operativo y confidencial dependerá en gran medida de la cultura y tamaño de la organización.
Estate atento a las próximas publicaciones en este post que traerán más información sobre esta norma y su aplicación práctica.
por HAZA CT | 24/07/15 | Responsabilidad social y gobierno corporativo, Sistemas de Gestión
La semana pasada empezamos nuestra serie sobre los «Sistemas de Gestión de Compliance» (conformidad), podéis leer el post de la semana pasada: La reforma del Código Penal prevé delitos derivados de la RSC, evita problemas con la Norma ISO 19600.
Esta norma ISO 19600 de reciente publicación (abril de 2015) denominada “Sistemas de gestión de compliance», le puede servir a tu organización para evitar los posibles problemas derivados de la reforma del código penal, tal y como os explicamos en él, ya que le permitirá detectar y gestionar los riesgos a los que se enfrentan por posibles incumplimientos de sus obligaciones.
¿Qué contiene esta norma?
- Las directrices para implantar, evaluar, mantener y mejorar un sistema de gestión de compliance eficaz y que genera respuesta por parte de la organización.
- Recomendaciones sobre los elementos con los que una organización debería contar para asegurar que cumple su política de compliance y que tiene capacidad para asumir sus obligaciones en este ámbito.
- Una explicación de la necesidad de actualizar la formación en materia de compliance, para aquellos profesionales involucrados en este campo cuando se produzcan cambios organizativos, legislativos o en los compromisos con los grupos de interés.
- Indicaciones sobre la integración del desempeño en compliance en la evaluación del desempeño de los empleados, o supervisión de los acuerdos de contratación externa para asegurarse de que recogen obligaciones en materia de compliance.
Vamos a ir desgranando la norma en este y sucesivos post, que esperamos que te sirvan para conocer un poco más esta herramienta, y hacerte consciente de la importancia de la misma.
El apartado de “Contexto de la Organización” dentro de la ISO 19600 de “Sistemas de Gestión de Compliance” contiene a su vez 6 apartados.
Analicemos cada uno de ellos:
4.1 Comprensión de la organización y de su contexto
La norma establece, con lógica aplastante, que para establecer un sistema eficaz de gestión de Compliance la organización debe conocer y entender el contexto interno y externo, es decir, la organización debe determinar los problemas externos e internos que son relevantes para su propósito y que afectan su capacidad para lograr los resultados deseados.
Con un ejemplo lo verás más claro:
Una empresa inmersa en un ERE (contexto interno) o que desarrolla su actividad en un entorno geográfico inestable política o económicamente (contexto externo) varía enormemente sus riesgos de compliance y ello debe ser tenido en cuenta. Venezuela o Grecia son buenos ejemplos de esto último.
El contexto es por tanto “variable” en el tiempo por lo que su análisis debe ser actualizado de manera continua.
4.2 Comprensión de las necesidades y expectativas de las partes interesadas
La organización debe determinar las partes interesadas que son relevantes para el sistema de gestión de compliance y los requisitos de estas partes interesadas.
Identificar las partes interesadas más relacionadas con la compliance y entender sus necesidades y expectativas no es sencillo pero también es fundamental.
Entre los empleados de la empresa, por ejemplo, habrá seguro diferentes puntos de vista entre el personal comercial, la Dirección de RR.HH., la Gerencia o el personal de Compras. Entre las partes interesadas externas no tendrán nada que ver las expectativas de los accionistas, los proveedores, los clientes, la Administración, etc.
4.3 Determinación del alcance del sistema de gestión de compliance
Es importantísimo entender que, tal como dice la norma en el apartado de definiciones, el alcance de un sistema de gestión puede incluir la totalidad de la organización, funciones específicas, secciones específicas o, una o más funciones dentro de un grupo de organizaciones.
El alcance es por tanto la determinación de los límites geográficos y organizativos a los que se aplicará el sistema.
Para establecerse el alcance debe considerarse lo aprendido en 4.1 y 4.2.
Si no tiene claro el alcance…mejor piénselo de nuevo antes de continuar. Además el alcance debe quedar disponible como “información documentada”.
4.4 Sistema de gestión de compliance y principios de buen gobierno
Para establecer, implementar, mantener y mejorar continuamente el sistema de gestión de compliance se deben considerar los siguientes principios:
- La función de compliance debe tener acceso directo al órgano de gobierno.
- La función de compliance debe ser independiente.
- La función de compliance debe tener autoridad y recursos adecuados.
Que se cumplan estos 3 requisitos no es fácil pero si no se cumplen es más que probable que surjan posteriormente disfunciones en el sistema.
4.5 Obligaciones de compliance
¿Qué es una obligación de compliance? Las obligaciones de compliance no son más que la suma de los requisitos y los compromisos de compliance. Generalizando puede decirse que los requisitos son aspectos obligatorios que la organización debe cumplir, sí o sí, mientras que los compromisos son aspectos que la organización “elige” cumplir.
Ejemplos de requisitos de compliance podrían ser: normas legales, licencias o permisos, sentencias de tribunales, etc.
Ejemplos de compromisos de compliance incluirían: acuerdos con vecinos u ONGs, etiquetado voluntario, procedimientos internos, etc.
La organización debe identificar sistemáticamente sus obligaciones de compliance y actualizarlas ya que serán la base del sistema de gestión de compliance.
Además, las obligaciones de compliance deben documentarse.
4.6 Identificación, análisis y evaluación de los riesgos de compliance
Aunque la definición formal de “riesgo de compliance” es bastante confusa, en la práctica se pueden caracterizar por la probabilidad y las consecuencias de que ocurran incumplimientos de las obligaciones de compliance identificadas en el apartado anterior.
La evaluación correcta de los riesgos de compliance será la base de todo el sistema de gestión (recursos, procedimientos, políticas, etc.) y debe mantenerse actualizada.
Por ejemplo, si una norma interna impide aceptar cualquier tipo de regalo de los proveedores, la evaluación de riesgo de ese compromiso puntual debería analizar las probabilidades de que ello ocurra, así como las causas posibles y las consecuencias.
Realizar este proceso puede resultar laborioso pero si no se hace correctamente, lo más probable, es que la asignación de recursos posterior no sea la adecuada.
Estos 6 requisitos dentro de “contexto” de la organización son básicos para el desarrollo del sistema pero tampoco servirá de nada desarrollarlos correctamente si no existe un liderazgo claro por parte de la Gerencia de la organización con respecto al sistema de gestión de compliance.
Las implicaciones de este liderazgo se encuentran bien detalladas en el apartado 5 de la ISO 19600 y serán analizadas en nuestro próximo post.
Si quieres estar al día y no perderte nada de lo que se publica en este blog, suscríbete.
por HAZA CT | 17/07/15 | Responsabilidad social y gobierno corporativo, Sistemas de Gestión
Que la reforma del Código Penal prevé delitos derivados de la RSC no lo decimos sólo nosotros, lo dice el el fiscal jefe de Lleida:
Lee aquí la Noticia de Europa Press
La entrada en vigor el pasado 1 de julio de 2015 del nuevo Código penal mediante la ley Orgánica 1/2015 ha vuelto a poner el foco en las responsabilidades penales de las empresas y en los mecanismos establecidos por la ley para eximir la responsabilidad de las personas jurídicas.
En concreto, tal como establece el artículo 20 que modifica el artículo 31 bis anterior, la persona jurídica quedará exenta de responsabilidad si se cumplen las siguientes condiciones:
1.ª el órgano de administración ha adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyen las medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión;
2.ª la supervisión del funcionamiento y del cumplimiento del modelo de prevención implantado ha sido confiada a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos de la persona jurídica;
3.ª los autores individuales han cometido el delito eludiendo fraudulentamente los modelos de organización y de prevención y
4.ª no se ha producido una omisión o un ejercicio insuficiente de sus funciones de supervisión, vigilancia y control por parte del órgano al que se refiere la condición 2ª
Por ello cobra especial importancia el conocimiento y la posible aplicación a las empresas de la norma ISO 19600 de reciente publicación (abril de 2015) denominada “Sistemas de gestión de compliance”.
En este y sucesivos posts, vamos a ir desgranando el contenido de dicha norma, haciendo mención especial a aquellos aspectos de la misma que pueden resultar más confusos a la hora de su implantación práctica.
De momento, sólo recordar algunos aspectos básicos de la norma:
1. Esta norma internacional no especifica requisitos, sino que proporciona una guía para los sistemas de gestión de compliance y prácticas recomendadas. En concreto, proporciona información para establecer, desarrollar, implementar, evaluar, mantener y mejorar un sistema de gestión de compliance eficaz.
2. Las directrices son aplicables a todo tipo de organizaciones.
3. La norma sigue la nueva estructura de “alto nivel” que a partir de ahora aplicará a todas las normas ISO relativas a sistemas de gestión. Incluye por tanto:
a. Contexto de la organización
b. Liderazgo
c. Planificación
d. Apoyo
e. Operación
f. Evaluación del desempeño
g. Mejora
4. Esta norma internacional puede combinarse con normas de sistemas de gestión existentes (por ejemplo ISO 9001, ISO 14001, ISO22000) y con guías genéricas (por ejemplo ISO 31000, ISO 26000).
En el próximo post desmenuzaremos en detalle qué quiere decir la norma en el apartado 4 de “contexto de la organización” .
Si quieres estar al día de estas y de otras cuestiones relacionadas con los Sistemas de Gestión suscríbete a nuestro blog.
