NORMA ISO 19600: CLAVE PARA EL FUTURO DE LAS EMPRESAS

Las empresas tienen que incorporar el término compliance en su ADN y, para ello, la Norma ISO 19600:2015 es una herramienta clave.

La globalización y la apertura de nuevos mercados, la casi desaparición de muchas de las fronteras, el incremento de las transacciones de numerosos y variados bienes, la utilización cada vez mayor de las TIC, la aplicación de la tecnología digital adaptada a las necesidades de las empresas, así como la evolución de las necesidades y expectativas de las distintas partes interesadas han dibujado un nuevo escenario en el que las empresas tienen que moverse.

Para adaptarse a las nuevas situaciones a las que se enfrente en su día a día, se hace cada vez más necesario recurrir al compliance para detectar, gestionar, controlar y prevenir los riesgos relacionados con los incumplimientos de las obligaciones y la legislación. Y es ahí donde la Norma ISO 19600:2015, Sistemas de Gestión de Compliance. Directrices, toma relevancia.

En este artículo voy a hablar del objetivo de la Norma ISO 19600, los pilares sobre los que se asienta y los beneficios que ofrecerá a todas aquellas empresas que decidan adoptarla.

El objetivo de la Norma ISO 19600.

Incorporar el término compliance en el ADN de la empresa es clave para su futuro y para mantener y mejorar su posición en un mercado cada vez más exigente.

 En el escenario actual, las empresas ya no sólo deben cumplir con las obligaciones y legislación aplicables, sino que también se espera que reafirmen con todas sus acciones una cultura de respeto a la ley y que empleen el derecho como una fuente de inspiración para mejorar en su día a día.

Y es que ya no se espera que se cumpla con lo mínimo exigido intentando pasar con ello sin modificar su organización o forma de trabajo y con el objetivo de evitar multas y sanciones, sino que incorporar el término compliance en el ADN de la organización es clave para el futuro de la misma y para mantener y mejorar su posición en un mercado cada vez más exigente.

Desde la publicación del primer estándar de gestión de Compliance en el año 2006 por el organismo de normalización australiano (SA), la Norma AS 3806, se ha ido perfeccionando su aplicación en las empresas de todo tipo de sectores, actividades y dimensiones hasta que, en el año 2014, la Organización Internacional de Normalización (ISO) desarrollo la Norma ISO 19600:2015, Sistema de Gestión de Compliance. Directrices.

De esta forma, se recoge en este documento una serie de buenas prácticas para la implantación y mantenimiento de la metodología compliance en organizaciones de todo tipo.

En el propio documento de la norma nos aporta mayor información sobre su objetivo:

Esta norma internacional proporciona orientación para establecer, desarrollar, implementar, evaluar, mantener y mejorar un sistema de gestión de compliance eficaz y que genera respuesta por parte de la organización.

Las directrices sobre sistemas de gestión de compliance son aplicable a todo tipo de organizaciones. El alcance de la aplicación de estas directrices depende del tamaño, estructura, naturaleza y complejidad de la organización. Esta norma internacional se basa en los principios de buen gobierno, proporcionalidad, transparencia y sostenibilidad.

 Los pilares de la Norma ISO 19600:2015.

La Norma ISO 19600, Sistema de Gestión Compliance. Directrices, toma como base la metodología PDCA en la cual, para aquellos que no la conozcan, se siguen las siguientes fases:

• Plan: fase en la que se planifica o establece en papel la estrategia.
• Do: siguiendo lo anteriormente establecido, se procede a seguir los pasos indicados, es decir, pasamos del papel a la realidad.
• Check: en esta fase se debe verificar que se han llevado a cabo las acciones según lo planificado, así como que se han alcanzado los efectos y objetivos deseados.
• Act: a partir de los resultados anteriores, se recopila lo aprendido y se aplica.

Tomando como base el ciclo de Deming o PDCA, la Norma ISO 19600 se asienta sobre los siguientes pilares que garantizan su relevancia e importancia para el futuro de las empresas, como son:

1. La relevancia del papel de la dirección, su compromiso y una adaptación adecuada del liderazgo. Aparece reflejado en:

• la Política,
• en el establecimiento de unos objetivos que se encuentren en consonancia con las metas estratégicas y operativas de la empresa,
• la participación activa de la dirección en la comunicación, tanto de forma interna como externa, de todas aquellas cuestiones relacionadas con el compliance,
• la provisión de los recursos necesarios para que la empresa alcance los objetivos marcados así como para que el sistema de gestión de compliance funcione adecuadamente.
• por último, no debemos olvidar el papel del liderazgo en la difusión de la relevancia de la adecuada gestión del compliance por parte de todo el personal de la empresa, así como en la mejora continua.

2. Las responsabilidades, su designación y comprensión. Como en otros sistemas de gestión, establecer las distintas responsabilidades en relación con las actividades, puestos y situación en el organigrama, del personal de la empresa es clave, pero se convierte en papel mojado si no se acompaña de una adecuada comprensión de las mismas por los implicados, así como de las consecuencias que suponen su incumplimiento.

3. La identificación de las obligaciones de compliance, como legislación, estándares adoptados, códigos de buenas prácticas, etc., ya que si no se conoce es difícil asegurar su cumplimiento.

4. El análisis y la adecuada gestión de los riesgos relacionados con el compliance. Al igual que con otras normas ISO, la empresa debe incorporar el análisis de los riesgos relacionados con las obligaciones de compliance, teniendo presente: causas; probabilidad; gravedad; y orígenes. A partir de ahí, se puede establecer medidas efectivas que permitan reducir, eliminar o controlar el riesgo identificado para que no afecte en el presente o futuro al cumplimiento del Compliance por parte de la empresa.

5. La formación como base para mantener el sistema en el futuro. Sobre la importancia de contar con una formación adecuada y específica para los sistemas de gestión ya he hablado en el artículo “La formación: clave para la mejora continua en las Normas ISO”, y como la Norma ISO 19600:2015 no es una excepción, no voy a extenderme más en este punto.

6. Evaluación constante. Establecer indicadores adecuados, evaluar el cumplimiento, analizar las incidencias producidas, el grado de cumplimiento de las obligaciones y legislación aplicables son algunas de las actividades claves para que el cumplimiento y la eficacia del Sistema de Gestión de Compliance se mantenga vivo, se adapte a las nuevas situaciones, obligaciones o exigencias y que siga siendo una garantía de seguridad.

Beneficios que aporta la Norma ISO 19600.

La Norma 19600:2015 permite imcorporar el término compliance en las empresas.

Implantar y mantener la Norma ISO 19600:2015, Sistema de Gestión de Compliance. Directrices, se convierte en una garantía de la adopción de la cultura compliance de respeto de la legislación a través de la concienciación, utilización de los recursos necesarios para llevarlo a cabo y establecimiento de las medidas adecuadas para mantenerlo en el tiempo y adaptarse al cambio.

También manifiesta la gestión responsable de la empresa ante todas las partes interesadas, a la vez que minimiza los posibles riesgos de responsabilidades administrativas, civiles y penales a los que puede verse afectada la empresa, así como sus directivos y administradores.

De esta forma, la Norma ISO 19600:2015 es una herramienta esencial para el futuro de las empresas, el aliado clave en el camino del Compliance que todas las organizaciones tienen que incluir en su estructura, decisiones y objetivos como base para el crecimiento y la mejora.

Tomado de: http://www.sbqconsultores.es/

LA IMPORTANCIA DE LA NORMA ISO 39001 – SISTEMA DE GESTIÓN DE SEGURIDAD VIAL

La implantación de la Norma ISO 39001 supone una decisión estratégica de gran escala para todas aquellas empresas que han entendido que garantizar la seguridad vial en el trabajo y para las distintas partes interesadas es clave para su futuro.

Nuestra vida diaria se encuentra marcada cada vez más por el uso de los vehículos o su interacción en algún grado con ellos, ya sea para desplazarnos como para realizar la actividad laboral a la que nos dediquemos. Si tenemos esto en cuenta, es comprensible que la seguridad vial ocupe un puesto cada vez más relevante en el futuro de las empresas.

La Norma ISO 39001se centra en este aspecto clave y se convierte en la herramienta esencial para ayudar a las empresas a reducir y eliminar la incidencia de muertes y lesiones graves derivadas de accidentes de tráfico, tanto durante la actividad como en los viajes in itinere.

En este artículo voy a hablar de la importancia de esta norma de seguridad vial y de los beneficios que aporta a las empresas que deciden optar por ella como estrategia de futuro.

La importancia de la seguridad vial.

La seguridad vial el clave para el futuro de las empresas y la Norma ISO 39001 se convierte en una herramienta esencial para ayudarlas a gestionar de forma eficaz la misma.

Los vehículos se han convertido en una parte indispensable de nuestra vida y, por lo tanto, de nuestra actividad laboral. Si pensamos en la estructura que tienen los centros productivos o lugares de trabajo en relación con las zonas de residencias podemos entender como una gran parte de nuestra vida pasa en los trayectos entre estos dos puntos. De ahí que los riesgos de accidentes sean un factor relevante a considerar por las empresas que pueden ver como su actividad se ve afectada por ellos.

Si nos fijamos en los datos, mucho más objetivos y concretos en este aspecto, aportados por Ministerio de Empleo y Seguridad Social para el caso concreto de España y en relación con el mes de enero de 2016, de los 36.883 accidentes de trabajo que causaron baja, 5.097 de ellos se produjeron in itinere. Y de ellos 10 tuvieron un final mortal.

De esta cifra, 3.119 se tratan de accidentes de tráfico, una cifra ya de por sí llamativa si tenemos en cuenta que solamente hablamos de un mes, es decir, de 31 días en relación con el computo global de todo el año.

Por otro lado, si nos fijamos exclusivamente en los accidentes de tráfico durante la jornada laboral, la cifra alcanzada solamente para este mes de enero de 2016 es de 1.227, que supone un incremento nada despreciable y alarmante del 10,1% de los mismos ocurridos en el mismo mes pero el año anterior.

Ante este escenario, la numerosa normativa de tráfico ha venido a intentar detener su aumento y concienciar de la importancia que tiene la seguridad vial para el futuro, tanto desde un punto de vista humano, como social o económico.

Sin embargo, esta labor no solo debe ser emprendida desde la administración, sino que en el marco de las empresas también se puede ejercer una gran labor que permita la concienciación de los trabajadores en materia de seguridad vial que proteja sus vidas y las del resto de partes interesadas.

El importante lugar que ocupa la Norma ISO 39001

En este sentido, la Norma ISO 39001, Sistemas de Gestión de Seguridad Vial, ha venido a aportar su granito de arena, convirtiéndose en una herramienta con el objetivo de reducir y, si es posible, eliminar la incidencia y el riesgo de sufrir lesiones graves y hasta la muerte en accidentes de tráfico, no distinguiendo aquellos que se producen in itinere como aquellos que surgen durante la jornada laboral.

La propia norma nos indica que “especifica los requisitos para un sistema de gestión de la seguridad vial (SV) que permita a una organización que interactúa con el sistema vial reducir las muertes y heridas graves derivadas de los accidentes de tráfico. Los requisitos de esta norma internacional incluyen el desarrollo y aplicación de una política de SV adecuada, el desarrollo de los objetivos de SV y los planes de acción que tengan en cuenta los requisitos legales y de otro tipo que la organización suscribe, así como información sobre los elementos y criterios relacionados con la SV que la organización identifica como aquellos que puede controlar y modular.
Esta norma internacional es aplicable a todas las organizaciones, sin importar su tipo, tamaño o el servicio prestado, que pretende
a) mejorar el desempeño en SV;
b) establecer, implementar, mantener y mejorar un sistema de gestión de la SV;
c) asegurar su propia conformidad con sus políticas de SV; y
d) demostrar su conformidad con esta norma internacional.”

Es decir, se convierte en una decisión estratégica para el futuro de todas las empresas, no limitándose a aquellas cuya actividad está centrada casi exclusivamente  en el transporte o traslado por carretera, sino a todas aquellas en las que cualquier aspecto de su trabajo, por pequeño que sea, tienen relación y pueden apoyar la seguridad vial de todos los trabajadores, así como de todas aquellas personas que se puedan ver afectadas.

Para ayudar en su implantación y permitir una mayor integración, la Norma ISO 39001está basada en las indicaciones aportadas por el Anexo SL, de la misma manera que ya hemos visto en otras muchas normas como la ISO 9001, Sistema de Gestión de la Calidad, en su versión del 2015, la Norma ISO 14001:2015, Sistema de Gestión Ambiental, o la Norma ISO 27001, “Sistema de Gestión de la Seguridad de la Información”. De esta forma, comparte una estructura común, incluyendo apartados y requisitos específicos.

Beneficios de la Norma ISO 39001

Entre los beneficios que aporta la implantación de la Norma ISO 39001, Sistema de Gestión de la Seguridad Vial, voy a destacar brevemente algunos de los que considero más relevantes aunque no son los únicos:

• Demuestra un fuerte compromiso con la seguridad vial, aspecto principal y esencial.
• Reduce los accidentes de tráfico al permitir una gestión eficaz de la seguridad vial y al promover, por ejemplo: el empleo de mapas de rutas seguras; elección de modo de transporte con mayores garantías de seguridad en función de su uso, trayectos, distancias y duración; uso del transporte colectivo; empleo de lanzaderas; o utilización de modos alternativos de desplazamiento como por ejemplo la bicicleta, etc.
• Mejora la imagen corporativa.
• Genera confianza en todas las partes interesadas ya que demuestra su implicación con la aplicación de métodos para asegurar y promover la seguridad vial en todas las formas que se encuentren en su alcance.
• Mejora el clima laboral ya que potencia la implantación de medidas que reducen el estrés de los traslados del trabajo al hogar y viceversa. Con simples medidas como coches compartidos o rutas más eficaces de cara al tráfico y los riesgos de circulación se elimina una posible causa de un mal clima laboral en la empresa. Pensemos que no hay nada que malogre más un día de trabajo que pasarte horas en interminables atascos. Además, tendencias como el teletrabajo o flexibilidad al entrar al trabajo en los puestos en los que sea posible permiten una gran conciliación familiar, a la vez que eliminan las horas punta de circulación.
• Mejora la gestión del medio ambiente gracias a la búsqueda de elementos que promueven una menor contaminación gracias a la gestión más eficaz de rutas o a la utilización de vehículos menos contaminantes y más seguros, por poner algunos ejemplos.
• Y, por último, reduce el absentismo laboral, aspecto íntimamente relacionado con el anteriormente mencionado del clima laboral, además de que reduce el impacto que se produce en la empresa por accidentes de tráfico al tener que reestructurar al personal o un cambio rápido de logística.

Tomado de: https://www.sbqconsultores.es/

MAPA DE PROCESOS DE LOS SISTEMAS DE GESTIÓN INTEGRADOS

De manera general, la integración significa llevar a cabo una combinación, es decir, poner todas las prácticas de gestión interna dentro de un único sistema, de tal manera que sus componentes estén vinculados.

La integración se realiza para formar una parte integral del sistema de gestión de la empresa, es lo que se denomina “enfoque de gestión basado en procesos.”

Partiendo de este enfoque de gestión como base para la integración, se puede afirmar que un sistema integrado de gestión puede definirse a través de un conjunto de procesos, interrelacionados entre sí, orientados hacia el cumplimiento de una política de gestión y unos objetivos, relativos a las áreas de gestión que se integran.

Uno de los instrumentos más utilizados en el diseño de sistemas de gestión es la elaboración del mapa de procesos. Un mapa de procesos es una representación gráfica que nos ayuda a visualizar todos los procesos que existen en una empresa y su interrelación entre ellos. Antes de realizar el mapa de procesos habrá que identificar todos los procesos.

Así pues, hay que determinar el grado de integración del mismo a partir del grado de integración de cada uno de los procesos que lo forman; esto quiere decir que se evalúa a través de la valoración del comportamiento individual de cada proceso de conjunto, esto sirve para identificar que procesos están integrados y cuáles no lo están.

Se han realizado estudios con diversas organizaciones para comprobar si ejecutaban de forma integrada ocho de los procesos que son comunes a los tres sistemas de gestión (ISO 9001, ISO 14001 e OHSAS 18001).Según los resultados obtenidos, los procesos en los que se alcanza mayor grado de integración son el de “gestión de la documentación” y el de “revisión por parte de la dirección”.

Un instrumento para diseñar sistemas de gestión es la elaboración del mapa de procesos

Por otra parte, los procesos que muestran menor nivel de integración son “seguimientos y medición de resultados”, “establecimiento y planificación de objetivos” y “auditorías y certificación”.

En el análisis de conjunto, los resultados mostraron la existencia de tres tipos de asociaciones a la hora de integrar el mapa de procesos:

• Organizaciones que integran los procesos denominados procesos de apoyo. Los procesos de apoyo son los que sirven de soporte a los procesos claves. Sin ellos no serían posibles los procesos claves ni los estratégicos. Estos procesos son, en muchos casos, determinantes para que puedan conseguirse los objetivos de los procesos dirigidos a cubrir las necesidades y expectativas de los clientes.
• Organizaciones que integran aquellos procesos denominados procesos estratégicos, es decir, aquellos establecidos por la Alta Dirección y que definen cómo opera la organización y cómo se crea valor para el cliente.
• Soportan la toma de decisiones sobre planificación, estrategias y mejoras en la organización. Proporcionan directrices, límites de actuación al resto de los procesos.
• Organizaciones que integran los procesos de auditoría, tanto externa como interna.

Para terminar, el análisis de cada proceso culmina con la elaboración del diagrama de flujo, la ficha del proceso, la identificación de los indicadores de control y resultados y, finalmente, con la organización de la documentación correspondiente.

Tomado de: https://www.isotools.org

HERRAMIENTAS PARA LA GESTIÓN DEL RIESGO EN LAS ORGANIZACIONES

La técnica Brainstorming, Delphi, AMFE o APPCC son de gran ayuda para realizar una eficaz gestión del riesgo en la empresa.

Con la adopción de la estructura de alto nivel, los sistemas de gestión que ya han sido revisados, y los de nueva creación, han dado una mayor importancia a un aspecto ya inherente en los anteriores documentos: la necesidad de realizar una adecuada gestión de los riesgos y oportunidades alineándolos con la dirección estratégica, que permita alcanzar los objetivos marcados.

Para muchas empresas este punto puede atragantárseles en la práctica, por lo que en este artículo voy a hablar de las distintas herramientas que se adaptarán y serán de utilidad en las diferentes etapas de la gestión del riesgo.

Todo ello para facilitar la labor de realizar una correcta y eficaz gestión del mismo, así como de las oportunidades, adaptada a las características y necesidades de las empresas.

Visión general de la gestión del riesgo en la empresa.

Si tomamos como referencia la definición de riesgo adoptada por los sistemas de gestión como el efecto de la incertidumbre tendremos una visión muy limitada de lo que supone para las empresas y su actividad en el día a día. Para ello, tenemos que ampliarla con las definiciones del efecto e incertidumbre para obtener una imagen completa.

De esta forma, entendemos como efecto cualquier desviación de lo esperado, sin olvidar que estas distintas desviaciones pueden ser tanto negativas como positivas.

Por incertidumbre entendemos el estado en el cual por deficiencia de la información disponible, aunque sea parcial, no nos permite tener una comprensión o conocimiento de un evento, sus consecuencias o la probabilidad de que se produzca en el tiempo.

En este punto es importante matizar que, aunque cuando hablamos de riesgos solemos centrarnos en la parte negativa, no debemos perder de vista todos aquellos elementos que nos permiten y proporcionan una oportunidad de mejorar, tanto en posición, eficacia o en el futuro de forma general.

Para ampliar estos conceptos te recomiendo leer el artículo “Los riesgos y las oportunidades en la ISO 9001:2015”.

La Norma ISO 31000 y la gestión del riesgo.

La Norma ISO 31000, Gestión de Riesgos. Principios y directrices, nos aporta una visión general y objetiva de la gestión del riesgo para que se convierta en un poderoso aliado en todas las actividades que realiza la empresa ya que estos riesgos y oportunidades no se encuentra limitados a un simple proceso o actividad.

La Norma ISO 31000 nos establece de forma esquemática los pasos a seguir para gestionar adecuadamente los riesgos y oportunidades.

En este artículo vamos a centrarnos en el apartado intermedio de apreciación del riesgo que puede observarse en el esquema incluido a continuación. En este punto es donde la aplicación de las distintas herramientas es más efectiva y aporta mayores beneficios a las empresas para:

• evaluar, controlar, eliminar o asumir los distintos riesgos a los que puede estar afectada
• y beneficiarse de las distintas oportunidades que se presenten ya que también se va a poder aplicar para los aspectos positivos.

Para ampliar información de la gestión del riesgo y la Norma ISO 31000 te recomiendo leer los artículos “ISO 31000 o Gestión del riesgo: breves apuntes” y “Fases de la gestión del riesgo en la empresa”.

Herramientas en la fase de identificación del riesgo.

Como es lógico, antes de comenzar a gestionar adecuadamente los riesgos a los que puede verse afectada la empresa, debemos empezar por identificarlos. De esta forma, se convierte en los cimientos que marcarán todo el proceso y una equivocación, por ejemplo al considerar erróneamente una debilidad como un riesgo, hará que las acciones tomadas a continuación no aporten ningún beneficio para la empresa.

 Para poder realizar correctamente esta labor de identificación es necesario que todos los que vayan a participar conozcan la definición del riesgo y, más importante, que lo comprendan ya que permitirá que se busquen aspectos comunes que permita realizar adecuadamente esta identificación, tanto de aspectos negativos como positivos, como ya comenté anteriormente.

Para elaborar esta lista con los riesgos identificados podemos emplear distintas herramientas según las características y necesidades de la empresa, como son:

• Técnica Brainstorming de la que te he hablado más detalladamente en el artículo “La técnica Brainstorming”.
• Método Delphi
• APPCC, más comentada en el artículo “Los siete principios del sistema APPCC”.
• HAZOP
• Análisis de datos históricos
• Análisis Modal de Fallos y Efectos del que te hablo más detalladamente en el artículo “La técnica AMFE o Análisis Modal de Fallos y Efectos”.
• Lista de chequeo.
• Análisis de escenarios.

Más adelante explicaremos un poco más detalladamente algunas de estas herramientas.

Herramientas en la fase de análisis del riesgo.

Partiendo de la lista que hemos obtenido en el punto anterior, es importante destacar que, como base en esta etapa de análisis debemos realizar una identificación de los controles ya existentes e implantados en los distintos procesos de la empresa. Es importante tener presente que no podemos quedarnos aquí sino que tenemos que ir un paso más allá para adquirir una imagen real del estado global y no caer en una falsa sensación de seguridad.

Primeramente y con las bases ya establecidas, tenemos que estimar el impacto de todos los riesgos identificados y su probabilidad teniendo presentes los controles y combinar ambas variables para conseguir identificar el nivel del riesgo. Para ello se puede emplear, por ejemplo, la herramienta de causa – efecto.

A partir de aquí, se puede apreciar las consecuencias de los distintos riesgos utilizando, por ejemplo, las siguientes herramientas:

• Red bayesiana
• Juicio de expertos
• Técnica Brainstorming o lluvia de ideas.
• Método Delphi
• Valor en riesgo (VaR)
• Análisis Markov
• Evaluación de vulnerabilidad
• Análisis de impacto de negocio en los casos de interrupción de servicios en los aspectos financieros y de reputación.

Por último en esta etapa, para evaluar la efectividad de los controles que ya tenemos establecidos en la empresa podemos emplear, por ejemplo:

• Técnica Bow Tie
• ACCPP
• Layer of Protection Analysis o LOPA

Más adelante explicaremos un poco más detalladamente algunas de estas herramientas.

Herramientas en la fase de evaluación del riesgo.

Entramos en la última fase del análisis del riesgo en el que tenemos presente todos los datos obtenidos en las dos etapas anteriores, sobre todo en el análisis, para evaluar cada uno de los riesgos identificados. Para ello podemos utilizar, por ejemplo:

• Técnica Brainstorming o lluvia de ideas
• Método Delphi
• Análisis de Pareto, del que ya he hablado en el artículo “El análisis de Pareto como herramienta para la calidad”.
• Level of risk o nivel del riesgo.

Vistazo general a alguna de las herramientas de gestión de riesgo.

A lo largo del artículo, he ido mencionando algunas herramientas de las que es necesario ampliar un poco más su definición para adquirir una visión más clara de su importancia y utilidad para la gestión eficaz del riesgo. Para ello, voy a explicar brevemente cuatro de estas herramientas.

Método Delphi

El método Delphi, utilizada en varias de las etapas de la apreciación del riesgo, se basa en el papel que tiene los expertos y permite obtener información cualitativa acerca del futuro buscando la mayor precisión posible. Para ello, busca lograr el consenso basado en la consulta con expertos en un diálogo interactivo y empleando cuestionarios contestados por cada uno de los expertos que participan.

Es un proceso cíclico que pasa de una primera ronda de cuestionarios y análisis de resultados a otra posterior en la que se vuelve a realizar un cuestionario a los expertos que ya conocen los resultados de la retroalimentación anterior, y se analiza para volver a una tercera ronda de cuestionarios y análisis, etc.

Técnica HAZOP

La técnica HAZOP o Análisis Funcional de Operatividad se basa en la premisa de que todos los accidentes o situaciones no deseadas se producen como consecuencia de una desviación de las distintas o una sola de las variables respecto a los parámetros normales de realización del proceso. Para ello se analiza, empleando unas “palabras guía”, las causas y consecuencias que se producen para lograr unas conclusiones que permitan disminuir estos accidentes.

Análisis de escenarios

El Análisis de escenarios evalúa los posibles eventos futuros considerando un examen de los resultados posibles y sus implicaciones. Es una técnica de predicción que plantea posibles escenarios teniendo en cuenta factores de mayor incidencia que afectarán posiblemente al alcance de los objetivos marcados.

Técnica Bow Tie

Por último, la técnica Bow Tie se basa en describir de una forma esquemática un riesgo y su ruta desde el inicio en su causa a sus futuras consecuencias, realizando en todas las etapas un análisis de todos los aspectos relevantes.

Estas son algunas de las herramientas disponibles aunque existen más de las que iremos hablando en posteriores artículos.

Tomado de: http://www.sbqconsultores.es/

5 MEGATENDENCIAS DEL GOBIERNO CORPORATIVO PARA 2017

Lo que muchos directores que participan en varias juntas directivas de las compañías más grandes de la región recomiendan como elementos críticos y de preocupación que se deben atender en las empresas y en sus juntas directivas.

Por RAÚL SEREBRENIK

1. Incertidumbre económica

Como reza la maldición China “que tengas años interesantes”. El año 2017 va a ser uno de estos “años interesantes”, con mucha incertidumbre y de signos bastantes mixtos.

Por un lado, un acuerdo de paz muy controvertido que de hecho no pasó el escrutinio del pueblo, para luego ser refrendado de manera acelerada y con la percepción de que se aprobó con alevosía, pues bien, nos lleva a un escenario político complejo que no deja de tener repercusiones en la economía del país y donde prácticamente nos adelantan los tiempos y las dinámicas frente a los próximos comicios electorales en el año 2018. 

Por el otro lado en enero de 2017, llega al poder un presidente muy controvertido en los Estados Unidos, dando la imagen de que los latinos no estaremos dentro de sus prioridades y para complementar estamos situados geográficamente en una posición en la que los vecinos se vislumbran bastante enredados en los cuatro puntos cardinales.

Ecuador con una economía de resultados muy pobres, afectada por los precios del petróleo; Venezuela ni que hablar; Brasil con una atmósfera muy enrarecida por los escándalos de corrupción que apenas comienzan a florecer; Panamá aunque mantiene un nivel en los resultados del PIB en comparación a otros países se ve afectada por los escándalos internacionales y sobre todo por la devaluación de las monedas de sus vecinos regionales, perdiendo competitividad; el único que proyecta algún avance es Perú. Por otro lado, veremos en Europa la implementación del Brexit en un entorno económico que todavía no manda señales fuertes y sostenidas de recuperación.

2. Cambio en las reglas del juego.

Comenzando 2017 ya tenemos una nueva reforma tributaria que se debe implementar desde el primero de enero.

Para agregarle algo de picante y acción a la labor de las juntas directivas, se deben ajustar todos los presupuestos incorporando los cambios de lo que implica la nueva reforma, esto en Colombia; en la región veremos mayor presión por el intercambio de información fiscal entre países y posiblemente la incorporación de nuevas reglamentaciones que afectan las dinámicas de algunos sectores como el financiero, entre otros.

3. Los trastornos que están sufriendo los modelos de negocios.

Ya desde algún tiempo se observa con mucha preocupación cómo los entornos tanto económicos como tecnológicos, imprimen una enorme presión en la manera de hacer negocios y cómo esta afecta los diferentes modelos. Este será un tema en el que muchas juntas directivas junto con la administración deben seguir atendiendo de manera prioritaria, puesto que hoy en día la competencia no necesariamente se está desarrollando a la vuelta de la esquina, sino que puede ser que se esté desarrollando a miles de kilómetros afectándonos de manera disruptiva y muchas veces sin darnos cuenta.

5. Amenazas de seguridad tecnológica.

Vemos de manera preocupante y con mayor frecuencia el aumento en número de fraudes y crímenes que se comenten en el ciberespacio, esto es preocupante por las cifras sobre el desfase entre la velocidad del cambio en temas tecnológicos y el número de horas que se dedican a atender estas amenazas las juntas directivas o sus comités de tecnología en las diferentes organizaciones o compañías, por lo que recomiendo que las juntas directivas aborden con dedicación este tema de la ciberseguridad incorporando en sus líneas de trabajo a especialistas con habilidades en estos campos para que apoyen y den luces al respecto.

¿Cómo se prepara su junta directiva?

Las compañías que tradicionalmente hacen sus “retiros estratégicos” para esta época del año, de seguro hacen su análisis y me atrevo a pensar que vislumbran también un 2017 “muy interesante”.

Las principales tendencias que se esperan tengan un impacto en las juntas corporativas en los próximos 12 meses son parte de la incertidumbre económica mundial. El aumento de la carga regulatoria, los cambios significativos en la industria, los trastornos del modelo de negocio y las amenazas a la ciberseguridad; la confluencia de estas tendencias no solo representa una amenaza para las empresas, sino que también presenta a las juntas directivas un importante desafío de supervisión de riesgos.

Tomado de: http://www.dinero.com/

ISO 27002: LA ALIADA PERFECTA DE LA ISO 27001

La Norma ISO 27002 establece los controles a seguir para garantizar la confidencialidad, integridad y autenticidad de la información.

Normalmente cuando hablamos de la seguridad de la información nos viene a la mente la Norma ISO 27001. Sin duda, este norma es muy relevante en este sector ya que, tomando como base los riesgos a los que se enfrenta la empresa en su día a día, tiene como uno de los objetivos principales establecer, implementar, mantener y mejorar continuamente la seguridad de la información de la empresa. Sin embargo, no debemos olvidar el papel que ocupan otras normas.

Este es el caso de la Norma ISO 27002 de la que hablaré en este artículo y que establece un catálogo de buenas prácticas estableciendo, desde la experiencia, una serie de objetivos de control y controles que se integran dentro de los requisitos de la norma ISO 27001 en relación con el tratamiento de los riesgos.

La importancia de seguridad de la información

Aunque menos conocida, la Norma ISO 27002 es la aliada perfecta para la ISO 27001 en la gestión de la seguridad de la información.

 La importancia de disponer de una actualizada, completa y veraz información es clave para la correcta realización de todas las actividades de la empresa, en todas sus áreas, campos y actividades. Sin embargo, es todavía más importante mantener dicha información con seguridad para que no pueda perderse, malograrse o deteriorarse de cualquier forma. Al fin y al cabo, la información y los datos de que dispone la empresa y que recopila en su día a día son uno de los activos más valiosos que pueden marcar el futuro de esta.

De esta forma, es fácil entender la importancia que la Norma ISO 27001 como sistema de gestión de seguridad de la información. Sin embargo, igual de importante es el papel que ocupa dentro de los requisitos de esta norma la ISO 27002 como guía de buenas prácticas para implantar controles y que garantizarán la seguridad de la información gracias a sus recomendaciones.

Los 14 capítulos de la Norma ISO 27002.

La Norma ISO 27002 está estructura en 14 capítulos que describen las áreas que hay que considerar para garantizar la seguridad de la información de que dispone la organización. En total, el documento recomienda un total de 114 controles que, si bien no hace falta cumplirlos todos, si que hay que tenerlos en cuenta y considerar su posible aplicación, así como el grado de la misma.

A continuación vamos a ver brevemente cada uno de estos 14 capítulos.

1.- Políticas de seguridad de la información.

Dentro de este capítulo se hace hincapié en la importancia que ocupa disponer de una adecuada política de seguridad, aprobada por la dirección, comunicada a todo el personal, revisada periódicamente y actualizada con los cambios que se producen tanto en el exterior como en el interior, es decir, tanto en el entorno como en la propia empresa.

2.- Organización de la seguridad de la información.

Los controles indicados en este capítulo buscan estructurar un marco de seguridad eficaz tanto en la organización interna a través de los roles, tareas, seguridad, etc., como en los dispositivos móviles.

Tenemos que tener presente que cada vez es mayor el peso que está ocupando el teletrabajo dentro de las organizaciones y, por ello, se deben de tener en cuenta sus características especiales para que en ningún momento la seguridad de la información de que se dispone y maneja se vea afectada.

3.- Seguridad relativa a los recursos humanos.

Si analizamos los incidentes de seguridad que se producen en una empresa nos daremos cuenta que la gran mayoría de estos tienen su origen en un error humano. Y es que concienciar y formar al personal de los términos de empleo de la información en el desarrollo de sus actividades y de la importancia de promover, mantener y mejorar el nivel de seguridad adecuándolo a las características de los datos e información que manejan es clave y uno de los objetivos a perseguir.

4.- Gestión de activos.

Este capítulo centra su atención en la información como activo y en cómo se deben establecer medidas adecuadas para salvaguardarlos de posibles incidencias, quiebras en la seguridad o alteración no deseada, por poner algunos ejemplos. De esta forma se centra en la responsabilidad sobre los activos, clasificación de la información y manipulación de los soportes.

No debemos olvidar que un sistema de gestión de la seguridad de la información no abarca de forma exclusiva esos datos o información de que contamos, sino también en lugar en el que se encuentra contenida, ya sea en formato papel, usb, ordenadores portátiles, etc.

5.- Control de acceso.

Controlar quien accede a la información también es un aspecto relevante. Al fin y al cabo no todas las personas de una empresa necesitan acceder para realizar su actividad diarias a todos los datos, sino que tendremos roles que necesitarán un mayor acceso y otros con un acceso más limitado. Para poder marcar esta diferencia, establecer controles como registro de usuarios, gestión de los privilegios de acceso, etc., son algunos de los controles que en este capítulo se incluyen.

6.- Criptografía.

Sobre todo en el caso de que estemos tratando con información sensible o crítica puede ser interesante utilizar técnicas criptográficas para protegerla y garantizar, al igual que con el resto de información de que se dispone, su autenticidad, confidencialidad e integridad.

7.- Seguridad física y del entorno.

La seguridad no es solo a nivel tecnológico sino también físico, es decir, una simple labor de no dejar las pantallas e impresoras en zonas accesibles por parte de personal externo o al terminar la jornada de trabajo guardar los documentos e información con la que se esté trabajando no sólo nos permitirán gestionar adecuadamente la seguridad sino que se acabarán convirtiendo en hábitos que nos aportar eficacia en la gestión.

8.- Seguridad de las operaciones.

Este capítulo tiene un marcado componente técnico entrando en aspectos como protección contra software malicioso (malware), copias de seguridad, control de software en explotación, gestión de vulnerabilidad técnica, etc.

9.- Seguridad de las comunicaciones.

Partiendo de la base de que la gran mayoría de los intercambios de información y de datos en distintas escalas se realiza a través de las distintas redes sociales, garantizar la seguridad y proteger adecuadamente los medios de transmisión de estos datos es clave.

Y no solo debemos pensar a nivel interno dentro de la empresa entre los distintos roles y personal, sino que también debemos ampliar nuestra mente y fijar nuestra atención a nivel exterior, en puntos como por ejemplo la nube.

10.- Adquisiciones, desarrollo y mantenimiento de los sistemas de información.

La seguridad no es un aspecto de un área en concreta, ni de un determinado proceso, sino que es global, abarca toda la empresa y tiene que estar presente como elemento transversal clave del ciclo de vida del sistema de gestión.

De esta forma, tenemos que extender la seguridad de la información a las actividades subcontratadas, muchas veces las grandes olvidadas debido a que se consideran actividades mejores pero que no por ello dejan de poder acceder a información o, incluso, alterarla.

11.- Relación con proveedores.

De la misma forma que veíamos con el capítulo anterior, cuando se establecen relaciones con terceras partes, como pueden ser proveedores, en las que se transmita información, establecer una serie de medidas de seguridad puede ser muy recomendable y hasta necesario en determinados que casos.

12.- Gestión de incidentes de seguridad de la información.

No podemos hablar de controles de seguridad sin mencionar un elemento clave: los incidentes en esta seguridad. Y es que, estar preparados para cuando estos incidentes ocurran, dando una respuesta rápida y eficaz es la clave para prevenirlos en el futuro.

13.- Aspectos de seguridad de la información para la gestión de la continuidad del negocio.

No sabemos lo que necesitábamos un dato hasta que lo perdemos. Lo cierto es que sufrir una pérdida de información relevante y no poder recuperarla de alguna forma puede poner en jaque la continuidad de una empresa.

Por eso, establecer las medidas adecuadas para protegerse ante estas situaciones, estando preparados para ello y valorando los posibles efectos adversos que se pueden sufrir para poner soluciones antes de que ocurran, son claves para garantizar el futuro de la empresa.

14.- Cumplimiento.

No podemos hablar de la seguridad de la información, sin hablar de la legislación, normas y políticas aplicables relacionadas con este campo y con las que conviven las empresas en su día a día.  Tenemos que tener presente que ocupan un gran lugar en cualquier sistema de gestión y garantizar que se cumplen y que están actualizadas con los últimos cambios es esencial para no llevarnos sorpresas desagradables.

Por último, recordaros que esta norma es una guía que aporta recomendaciones de seguridad de la información y que no establece obligaciones de cumplimiento ni requisitos. De la misma forma, no es certificable.

Sin embargo, revisar los 114 controles que nos indica en estos 14 capítulos que hemos visto aportará a la empresa un punto de vista general de la seguridad y establecerá aquellos aspectos más relevantes que han de ser tenidos en cuenta, además de que permitirá el cumplimiento de los requisitos establecidos en la Norma ISO 27001, Sistema de Gestión de la Seguridad de la Información.

Tomado de: http://www.sbqconsultores.es/

LOS PROVEEDORES Y CLIENTES INTERNOS DENTRO DE LAS EMPRESAS

Si tenemos en cuenta a los proveedores y clientes internos dentro de la empresa se puede mejorar la eficacia de los distintos procesos.

Es habitual pensar, cuando hablamos de clientes y proveedores, en personas o empresas ajenas o fuera de nuestra organización, sin embargo si intentamos trasladarlo a los procesos internos se complica un poco más la definición.

Si tenemos en cuenta el concepto de triple papel, que se incluye dentro de la herramienta Just in Time, podemos percibir su importancia, relevancia e implicación que tiene en la calidad y eficacia de la empresa, sea cual sea su actividad y dimensiones ya que es aplicable sin excepciones.

En este artículo voy a hablar de este concepto y de cómo puede ayudar a mejorar a todas las empresas, tanto en teoría como a través de un ejemplo práctico y realista.

El concepto teórico de triple papel.

Este concepto considera,  de una forma esquemática, que dentro de cualquier empresa todos los empleados, sea cual sea su actividad y responsabilidad en la misma, van a desempeñar los papeles de clientes, procesador o proveedor en cualquier momento y muchas veces de forma simultánea varios o todos ellos.

De esta forma, el proveedor deja de ser exclusivamente una empresa externa a encontrarse también dentro de la organización, pudiendo ser otro compañero que puede estar en la mesa contigua a la nuestra. Y lo mismo ocurre con los clientes.

En el triple papel, el proveedor puede ser cualquier departamento o persona que suministre un producto y/o servicio y el cliente es cualquier persona o departamento que recibe un producto y/o servicio.

En todos los procesos, en algún momento, una persona recibirá un producto como un plano, material, componente, etc., o un servicio en forma de información y será, por lo tanto, el cliente. Y aquel que se lo ha aportado el proveedor.

Una vez recibido este objeto o servicio pasa a ser el procesador, es decir, a realizar la labor para la que se necesita el producto y/o servicio que pasará, una vez completado, al cliente. Y este último cliente se convertirá en procesador al recibirlo, realizando la labor específica en este punto para el siguiente cliente de la cadena, etc.

En un primer momento puede que no veamos la relevancia del concepto, pero si consideramos que, al igual que ocurre con los clientes y proveedores externos, el producto y/o servicio debe ser adecuado, satisfactorio, cumplir con las especificaciones indicadas y establecidas y cubrir las necesidades y expectativas de las distintas partes interesadas, la cosa cambia.

Los proveedores y clientes internos vistos a través de un ejemplo.

Pensemos en un caso concreto como, por ejemplo, el proceso que se lleva a cabo en una empresa de diseño y fabricación de pequeño electrodoméstico comenzando desde el departamento de marketing, pasando a su diseño y su posterior producción.

Aquí es donde mejor se puede ver cómo actúa el concepto de triple papel y como puede contribuir a la calidad.

El departamento de marketing como procesador realiza para su cliente, el departamento de diseño, una investigación de mercado y de fuentes técnicas, con el objetivo de conseguir un producto que cumpla con las necesidades y expectativas de los futuros usuarios, además de que sea novedoso y útil, entre otros aspectos.

Si el departamento de marketing no tiene presente que su cliente es diseño y que, como tal, debe ofrecer un servicio de información de calidad y adaptado para crear un diseño con todas las características anteriormente indicadas, puede caer en el error de aportar información incompleta, equívoca e indigerible.

De la misma forma, si el departamento de diseño no indica claramente sus necesidades, recursos u objetivos, marketing no podrá ofrecer un servicio adecuado. Todo ello puede llevar a que el personal de diseño cree en el papel un producto perfecto que no se adapte en ningún punto con los requisitos del usuario final y que, por lo tanto, resulte inservible.

Una vez el departamento de diseño recibe la información pasa de cliente a procesador y proveedor del departamento de producción. E igual que veíamos en el paso anterior tiene que tener presente la satisfacción y necesidades de su cliente, departamento de producción, además de establecer una adecuada comunicación que permita comprender sus objetivos, recursos y necesidades.

Si el diseñador no cuenta con información o conocimientos adecuados relativos a las capacidades del proceso de producción, tanto presentes como futuras, podría diseñar un producto que funcionara en papel pero que fuera difícil o hasta imposible de elaborar con los recursos de la empresa.

Además, el diseñador no sólo tiene que enviar planos o especificaciones al departamento de producción sino que tiene que contar con, por ejemplo, las tolerancias de precisión que pueden requerir algunas dimensiones. Algunas pueden ser sencillas de corregir por el departamento de producción sobre la marcha pero otras veces puede sobrepasar la capacidad del personal o del proceso.

Fallos de este tipo supondrán volver a realizar el proceso, realizar una inspección de todas las piezas o productos para comprobar aquellos que se adecuan a las necesidades del usuario final o buscar métodos de fabricación que permitan corregir estas tolerancias con el coste que esto supone en tiempo y dinero.

Si el departamento de diseño conociera y tuviera presente la situación de su cliente actual podría modificar el diseño o evitar la dificultad. Todo ello repercutiendo en la mejora de todo el proceso y en un aumento de la satisfacción del cliente o usuario final, a la vez que se consigue una disminución de los costes y tiempos al disminuir en gran medida el re-trabajo.

Como se puede observar, cualquier fallo por pequeño que sea, tiene el efecto inverso de las ondas en las aguas de un lago, es decir, un fallo inicial en el proceso realizado por marketing se va acrecentando una vez pasa por las distintas etapas siendo cada vez mayores sus repercusiones y los costes de arreglarlos inicialmente de forma interna.

Y, si llegan a ser descubiertos por el usuario final, hay que incluir en la ecuación la repercusión en la retirada del producto, merma de la imagen de marca y en las posibles reclamaciones o pérdida de mercado. Todo ello hace que tener presentes a los distintos clientes y proveedores internos sea esencial para mejorar y asegurar la calidad y eficacia de los distintos procesos.

Tomado de: http://www.sbqconsultores.es/