lunes, 15 de marzo de 2021

¿CUÁL ES LA DOCUMENTACIÓN SOLICITADA POR LA ISO 22301?

La norma ISO22301 impone a que las organizaciones cuenten con cierta documentación obligatoria y otra de carácter no obligatorio pero que tiene un uso frecuente.

En los Sistemas de Gestión de Continuidad de Negocio la documentación juega un papel muy importante, en ella se incluye y conservan datos, información y otros documentos de interés para el sistema. Este tipo de documentación puede consultarse en cualquier momento.

Los registros y documentos mínimos reclamados por el estándar internacional ISO-22301 son:
  • Alcance del SGCN.
  • Lista de requisitos legales, normativos y de otra índole.
  • Política de la continuidad del negocio.
  • Evidencia de competencias del personal.
  • Registros de comunicación.
  • Objetivos de la continuidad del negocio.
  • Análisis del impacto en el negocio.
  • Estructura de respuesta a incidentes.
  • Planes de continuidad del negocio.
  • Evaluación de riesgos, incluido un perfil del riesgo.
  • Procedimientos de recuperación, medidas temporales para devolver al negocio a la situación inicial.
  • Resultados de acciones preventivas.
  • Resultados de supervisión y medición.
  • Procedimientos para responder a incidentes disruptivos.
  • Resultados de la revisión de la dirección.
  • Resultados de la auditoría interna.
Resultados de acciones correctivas. Aquellos documentos que no son obligatorios pero sí que tienen un uno frecuente son:
  • Procedimiento para el control de la información documentada.
  • Los contratos y acuerdos de nivel de servicio con los proveedores y la externalización de los socios.
  • Formación y plan de sensibilización.
  • Escenarios de incidentes.
  • Planes de ejercicio y de pruebas.
  • La mitigación del riesgo.
  • Informes post-ejercicio.
  • Los métodos de seguimiento, medición, análisis y evaluación.
  • Procedimiento para la auditoría interna.
  • Plan de mantenimiento SGCN.
  • Programa de auditoría interna.
  • Procedimiento para la acción correctiva.
Tomado de: https://www.isotools.org

EL CONTROL EN ISO 37001. DIFERENCIAS ENTRE SOBORNO, COHECHO Y EXTORSIÓN

La creación de la ISO 37001 para los Sistemas de Gestión Antisoborno, fue una solución o, mejor dicho, es una parte de la solución que está aportando la Organización Internacional de la Normalización, la cual desde el año 2013 comenzó a trabajar en este estándar.

No debemos de olvidar la complejidad de los procesos por los que pasa cada norma ISO de manera previa a la aprobación de sus estándares, que deben ser aprobados por conceso de los países y las organizaciones que participan en su creación. En el caso de la ISO 37001, el proceso fue bastante largo. En el mismo participaron cincuenta y nueve países y siete organismos enlaces.

La ISO 37001 fue publicada el 14 de octubre de 2016 centrándose únicamente en el soborno por ser el hecho o la conducta de corrupción más fácil de controlar desde el punto de vista de las organizaciones y porque tiene un conjunto de requisitos legales más sencillos de implementar a la hora de llevar a cabo la evaluación del desempeño que tienen las normas, que son por ejemplo las auditorías, las evaluaciones de incumplimiento legal, los indicadores de gestión. Es decir, ISO 37001 propone toda una serie de argumentos que nos permiten precisar en este tipo de delitos particularmente. Esto no quiere decir que solamente se pueda utilizar para dar respuesta a los delitos de soborno. También se puede extender a otros delitos, pero sería como una extensión del alcance, basándose en las normas de prevención del delito que estén establecidas a nivel nacional

El comité técnico que se encargó de su ejecución fue el Comité Técnico 309. Aunque en la última ISO Survey no aparece el número de certificados emitidos de esta norma, ya existen numerosos casos tanto a nivel público como privado.

El soborno, un acto de corrupción

Aunque en ocasiones se usan como sinónimos, existe una diferencia muy importante entre los conceptos fraude y soborno. Cuando hablamos de corrupción, nos movemos en lo que se podría denominar el universo del fraude.

Dentro del fraude podríamos señalar tres tipos o índices clave:
  • La corrupción.
  • El fraude de los estados de cuenta.
  • La apropiación indebida de activos.
Dentro de la corrupción se encontrarían el soborno y la extorsión. Dentro del soborno hay que destacar otro concepto, el de cohecho, el cual se define como el soborno a funcionarios públicos. La gran mayoría de legislaciones nacionales están enfocadas al cohecho en funcionarios públicos nacionales. Por su parte, instituciones internacionales como la ONU, ya han tomado medidas en el asunto, publicando normativas que afectan a funcionarios públicos internacionales.

La norma ISO 37001 no contempla la extorsión, debido a que en este caso hay riesgos de integridad física en las personas, los cuales no alcanza la norma, al menos de momento; concentrándose únicamente en el soborno y el cohecho. El motivo fundamental por el que la ISO 37001 no entró a valorar a la extorsión, se debe fundamentalmente a que contiene variables que no son controlables por las organizaciones.
El motivo por el que la ISO 37001 no entra a valorar a la extorsión, se debe fundamentalmente a que contiene variables que no son controlables.
Automatizar un sistema de gestión antisoborno según ISO 37001

Un software apropiado permitirá automatizar y llevar a cabo una gestión muy eficaz y exhaustiva de cualquier tipo de riesgo: operacionales, financieros, industriales, operativos y legales, como es el caso que nos ocupa. Así podremos ajustarnos completamente a las necesidades de cada una de las organizaciones, facilitando, en gran medida, la adecuación a la normativa.

En este tipo de herramientas que facilitan la automatización de la gestión de riesgos algunos aspectos a tener en cuenta son:
  • Poner en funcionamiento procesos de identificación automática de los riesgos a los que está expuesta cada organización. En el caso que nos ocupa habrá que identificar a que riesgos de soborno está expuesta nuestra organización.
  • Alinear cada uno de los riesgos detectados con propuestas de posibles controles para conseguir reducir los riesgos de las compañías.
  • Poner en marcha un flujo automático de seguimiento del tratamiento de los posibles riesgos.
  • Realizar proyecciones y simulaciones que permitan visualizar los resultados que se podrían obtener con la implantación de los controles definidos en el plan de tratamiento de riesgos.
SOBORNO Y COHECHO: DIFERENCIAS Y CONTEXTO DE ACTUACIÓN

Soborno

Como ya se ha visto, dentro de la corrupción se encontrarían el soborno y la extorsión. Dentro del soborno hay que destacar otro concepto, el de cohecho, el cual se define como el soborno a funcionarios públicos. La gran mayoría de legislaciones nacionales están enfocadas al cohecho en funcionarios públicos nacionales. Por su parte, instituciones internacionales como la ONU, ya han tomado medidas en el asunto, publicando normativas que afectan a funcionarios públicos internacionales.

La norma ISO 37001 no contempla la extorsión, debido a que en este caso hay riesgos de integridad física en las personas, los cuales no alcanza la norma, al menos de momento. Concentrándose únicamente en el soborno y el cohecho. El motivo fundamental por el que la ISO 37001 no entró a valorar a la extorsión, se debe fundamentalmente a que contiene variables que no son controlables por las organizaciones.
Existe una diferencia muy importante entre los conceptos fraude y soborno. Dentro de la #corrupción se encontrarían el soborno y la extorsión.

¿Qué es el cohecho?

Como se mencionaba anteriormente, el cohecho se define como el soborno entre cargos de la administración pública. Con esto se hace referencia a que para que se produzca cohecho, al menos uno de los implicados debe de ser un trabajador de la administración pública. Este tipo de acciones corruptas se enmarca dentro de lo que serían las relaciones económicas existentes entre el sector público y el privado.

Los delitos de cohecho han sido estudiados desde diferentes posturas, llegando incluso a destacar categorías. A continuación ofrecemos una que se recoge en el

Código Penal español, a modo de ejemplo.

a) cohecho activo y pasivo, el activo es el cometido por el particular que corrompe o intenta corromper al funcionario público o autoridad con sus dádivas, presentes, ofrecimientos o promesas. El pasivo es el realizado por el funcionario que solicita, recibe o acepta el soborno.

b) cohecho propio e impropio, el propio se relaciona porque su finalidad es la consecución de un acto propio del cargo contrario al ordenamiento jurídico. En el impropio el acto es también propio del cargo, pero adecuado al ordenamiento jurídico.

c) cohecho antecedente y subsiguiente, en el antecedente el soborno se realiza antes de adoptarse el acto administrativo correspondiente. En el subsiguiente, el soborno o intento de soborno se concreta un vez que se ha producido el acto propio. 

¿Qué es el soborno?

Según el punto 3.1 de la propia ISO 37001 el soborno se define como: “Una oferta, promesa, entrega, aceptación o solicitud de una ventaja indebida de cualquier valor (que puede ser de naturaleza financiera o no financiera), directamente o indirectamente, e independiente de su ubicación, en violación de la ley aplicable, como incentivo o recompensa para que una persona actúe o deje de actuar en relación con el desempeño de las obligaciones de esa persona.”

Es decir, emplear bienes, servicios o favores para obtener una ventaja indebida para que una persona nos permita hacer o dejar de hacer un determinado aspecto. A modo de ejemplo: soborno sería conseguir un determinado contrato por parte de una empresa a cambio de un soborno con dinero, un favor o alguna ventaja a alguno de los responsables.

Muchas legislaciones no contemplan aun el soborno entre entes privados, siendo únicamente asociado a las empresas del sector público, como si estas fueran las únicas corruptas. Para que se produzca soborno solo hacen falta dos actores: un corruptor y un corrompido y estos se pueden encontrar en cualquier ámbito u organización. La ISO 37001 es una norma para cualquier tipo de empresa y cualquier sector (pública, privada, pequeña, grande, nacional, multinacional, etc.).

Analizando la definición que proporciona la ISO 37001, hay que señalar varias cuestiones sobre los elementos clave de esta definición:

Primeramente, señalar que cuando se hace referencia a la “Oferta, promesa, entrega, aceptación o solicitud”, estamos hablando de conductas. Ante un posible delito sería lo que se conoce como el sustantivo. Esto estaría enmarcado en la ley de prevención del delito de cada país.

Sabemos que hay países como por ejemplo Chile que ya han comenzado a legislar este tipo de asunto de manera oficial a través de leyes como la 20393 o la 21121. Lo mismo ha ocurrido en Perú a través de su Ley 30424.

Cuando se habla de “ventaja indebida” se refiere a que el corruptor se está valiendo de una ventaja que posee como persona, para poder acceder a un beneficio. En este caso esa ventaja indebida puede darse en forma de favores, dinero, influencia, olvido (de una determinada acción del pasado), beneficios (viajes, bienes, pagos…), etc. A fin de cuentas, se está llevando a cabo una acción de soborno. Hay diferentes maneras de mencionar el soborno: flagelo, mordida, mascada, coima, etc. Esto se debe a que se trata de una conducta que va en contra de los valores que tenemos como sociedad.

Otra clave en la definición hace referencia a la que reza: “una persona actúe o deje de actuar”. En este caso nos vamos a encontrar con lo que sería la conducta activa o pasiva de una persona para cometer un delito:
  • Activa quiere decir que ejecuta, es decir que lleva a cabo una determinada acción para obtener una determinada ventaja.
  • Por su parte, una acción pasiva significa que deja de ejecutar una acción para propiciar esa ventaja indebida. Un ejemplo de esto, sería el de un determinado trabajador que no hace nada cuando una persona viola una norma o límite de la compañía, es decir, permanece pasivo ante la situación, dejando de ejecutar su responsabilidad.
Tomado de: https://www.isotools.org

miércoles, 10 de marzo de 2021

ELABORACIÓN Y EJECUCIÓN DE UN PLAN DE AUDITORÍA Y MONITOREO BASADO EN EL RIESGO

El riesgo se define como un evento que puede evitar que una organización pueda lograr sus objetivos. Consideramos cuatro tipos de riesgos principales: operacionales, financieros, normativos, y reputacionales.

El plan de auditoría y monitoreo basado en el riesgo es la forma más eficaz de realizar una evaluación de riesgos en esos cuatro ámbitos.

La elaboración y ejecución de un plan de auditoría y monitoreo basado en el riesgo requiere definir grupos específicos para la identificación de los riesgos, realizar entrevistas y encuestas, así como involucrar a la alta dirección y tener en cuenta los informes sobre hallazgos derivados de las auditorías anteriores.

El plan de auditoría y monitoreo basado en el riesgo, también implica, después de identificar los riesgos, priorizarlos estableciendo la probabilidad de ocurrencia y la capacidad de impacto negativo de cada uno de ellos. Este ha de ser un proceso continuo y periódico, si es que se desea garantizar la efectividad de la tarea.

El desarrollo del plan de auditoría y monitoreo basado en el riesgo

Las normas internacionales sobre la práctica de auditorías internas dicen que la auditoría interna debe evaluar la efectividad y contribuir a la mejora de los procesos de gestión de riesgos. Esto se logra a través del desarrollo y la ejecución del plan de auditoría y monitoreo basado en el riesgo.

Las evaluaciones de riesgo y la priorización son elementos importantes en el desarrollo del plan. Las consideraciones relacionadas con el plan deben incluir:
  • La revisión de todas las áreas de negocios de la organización que van a ser auditadas.
  • Los recursos disponibles para implementar el plan.
  • Las horas necesarias para ejecutar el plan.
  • Actividades definidas de auditoría o monitoreo y la determinación sobre si son un resultado o un proceso orientado.
  • Flexibilidad para abordar los cambios en las prioridades dentro del plan.
El proceso de evaluación de riesgos continúa a través de la ejecución del plan, donde se reflejarán los objetivos propuestos. 

La ejecución del plan de auditoría y monitoreo basado en el riesgo

La auditoría y el monitoreo son actividades dinámicas y continuas dentro de la implementación de un sistema de gestión de riesgos, y debe hacerse de acuerdo con las necesidades y el contexto de la organización. Cada actividad debe tener un marco definido que proporciona a la alta dirección la comprensión de las expectativas generales y el enfoque a medida que se ejecuta el plan.

El marco, para la ejecución del plan de auditoría y monitoreo basado en el riesgo, debe:
  • Establecer el propósito y el objetivo de la auditoría o el seguimiento.
  • Identificar el alcance de los objetivos, asegurando que sean medibles y precisos.
  • Considerar si se puede necesitar asesoría legal para establecer el enfoque de la actividad.
  • Llevar a cabo una discusión inicial con el área de negocios auditada, para obtener información relacionada con las características de la auditoría, el tiempo necesario y el proceso por el que se auditará.
  • Desarrollar un formato para la presentación de informes apropiado .
  • Realizar la auditoría o el monitoreo, según corresponda.
  • Identificar hallazgos preliminares y presentar observaciones.
  • Ofrecer la oportunidad para que los hallazgos y las observaciones sean validados por la organización o por el área auditada.
  • Finalizar los informes.
  • Identificar los procesos para el seguimiento después de que la alta dirección tome medidas correctivas relacionadas con los hallazgos y las observaciones.
  • Determinar los puntos clave de la auditoría o el monitoreo que deben ser reportados a la alta dirección.
El proceso general de desarrollo y ejecución del plan de auditoría y monitoreo según ISO 31000 debe ser documentado. Esto incluye una descripción de la forma en que se realiza la evaluación de los riesgos y la metodología que se utilizó para priorizarlos.

Se deben adjuntar los documentos de trabajo que respaldan los hallazgos, los informes y las correcciones. Los planes de acción deben ser documentados y archivados apropiadamente.

Tomado de: https://www.escuelaeuropeaexcelencia.com/

martes, 9 de marzo de 2021

4 CONSEJOS PARA CREAR UNA MATRIZ DE RIESGOS

La matriz de riesgos, herramienta para la evaluación de riesgos muy eficaz, es un modelo de estimación que, con base en dos ejes principales – Probabilidad e Impacto -, permite categorizar una serie de eventos que pueden afectar en forma negativa la operación de una organización.

La matriz de riesgos se puede elaborar con base en 5 ejes de probabilidad por 5 ejes de impacto. La matriz de 3 x 3 también es de uso frecuente. Cuantos más ejes consideremos, más precisos y delimitados serán los resultados.

Compartimos 4 consejos prácticos sobre cómo crear una matriz de riesgos eficaz, pero antes trataremos el tema de los ejes, Probabilidad e Impacto.
Matriz de Riesgos – Los ejes principales

La Probabilidad está relacionada con la frecuencia con que se presenta un evento. El Impacto tiene que ver con la severidad. Así, la probabilidad de que un satélite obsoleto caiga sobre las instalaciones de la organización, por ejemplo, es un riesgo de probabilidad menos que mínima, basados en el hecho de que ha ocurrido “cero” veces.

Sin embargo, es un evento que, en caso de ocurrir, tendría un impacto devastador y catastrófico. De acuerdo con esto, podríamos establecer una matriz de riesgos de 5 x 5 del siguiente modo:

Ejes de probabilidad

Casi seguro: riesgo inevitable imposible de evitar, por lo que vale la pena pensar en su impacto y las acciones necesarias para mitigarlo después de que ocurra.

Alto: la posibilidad de que se produzca el riesgo es grande y con frecuencia realmente sucede.

Media: probabilidad de ocurrencia ocasional. Aún es necesario planear acciones de mitigación, pero no con tanta urgencia como en los casos anteriores.

Baja: pocas posibilidades de que ocurra, aunque ha sucedido una que otra vez en otras organizaciones.

Rara: es extremadamente baja la probabilidad de que el evento ocurra. Solo que, como en nuestro ejemplo del satélite, alguna condición extraordinaria, lo haga subir de categoría, lo que cambiaría la categoría del riesgo.

Ejes de Impacto

Muy grave: puede paralizar la operación de la organización o tener consecuencias irreversibles.

Grave: compromete los resultados de la organización ocasionando serios retrasos o insatisfacción de los clientes.

Medio: pérdida momentánea de operabilidad que puede ser corregida, pero que puede tener impacto en el medio o largo plazo.

Leve: impacto casi imperceptible en los objetivos de negocio de la organización, que pueden ser corregidos con facilidad.

Sin impacto: no genera ningún problema para la organización y sus objetivos de negocio por lo que puede ser ignorado, a no ser que la frecuencia sea tan recurrente y cierta que amerite tomar alguna acción.

La Norma internacional ISO 31000:2018 enseña a crear, desarrollar y evaluar una Matriz De Riesgos compatible con los requisitos de los nuevos estándares ISO.
Consejos para crear una matriz de riesgos

Con la información suministrada podemos crear el formato de la matriz de riesgos. Ahora vamos a desarrollarla. Veamos cuatro consejos básicos tomando como ejemplo un proyecto de implementación de un nuevo software en una organización:

Enumerar los principales riesgos identificados

Elaborar una lista de los riesgos identificados que pueden ocurrir durante la ejecución del proyecto. La lista puede provenir de informes históricos sobre gestión de riesgos, que pueden ser complementados con una lluvia de ideas de los encargados con base en su conocimiento y experiencia:
  • Pérdida de información esencial por errores de los programadores.
  • Falta de compatibilidad entre datos antiguos y los del nuevo sistema.
  • Falta de calidad del servicio prestado por la organización contratada (retrasos, mala programación…).
  • Avisos tardíos a los usuarios del sistema sobre los cambios, que generan confusión y fallas.
  • Sistema fuera de línea por un espacio de tiempo considerable paralizando la operación.
  • Ajustes no realizados dentro de los plazos previstos, ocasionando quejas y malas experiencias de los clientes.
  • Uso indebido de la información a la que han accedido empleados del contratista encargado del proyecto.
Elaborar una matriz de riesgo para cada evento

Al elaborar una matriz para cada uno de los eventos identificados, se genera un riesgo único para cada uno de ellos, lo que facilita la comprensión y la visibilidad de la probabilidad y el impacto.

En nuestro ejemplo, podemos tomar el riesgo perdida de información esencial por errores de los programadores, como un riesgo de probabilidad media (3 puntos), con un impacto grave (4 puntos), lo que le otorga 12 puntos en la matriz de riesgos.

Analizar los riesgos más relevantes

Uno de los beneficios de utilizar una matriz de riesgos es que nos permite categorizar los riesgos para no pasar tiempo en la evaluación de eventos poco relevantes.

Por supuesto, puede suceder que todos los eventos identificados generan riesgos de impacto muy grave y alta probabilidad de ocurrencia. De ser así, lo recomendable es revisar toda la gestión de riesgos en la organización porque seguro algo va muy mal.

Diseñar medidas para tratar los riesgos: controles

Ahora que tenemos una evaluación categorizada de los riesgos identificados, podemos formular estrategias de tratamiento que puedan minimizar la probabilidad o reducir el impacto.

Siguiendo nuestro ejemplo, para el riesgo de falta de compatibilidad entre datos antiguos y el sistema nuevo, una acción de tratamiento puede ser realizar reuniones de alineación entre los usuarios de la organización y el equipo técnico del contratista para revisar los puntos críticos de la migración antes de que esta se produzca.

Al finalizar, pueden quedar riesgos que no admiten ningún tipo de gestión. Estos riesgos se pueden compartir o tolerar siempre que su materialización no amenace el cumplimiento de metas y objetivos corporativos.

Con unos buenos controles, en adelante, solo es necesario el seguimiento constante. Dependiendo del tamaño y la duración del proyecto, se puede realizar en la medida en que se completen etapas. 

Cuando se trata de un Sistema de Gestión de Riesgos, la actividad es dinámica y debe ser revisada desde el primer paso – identificación de riesgos – varias veces en cada ciclo.

Tomado de: https://www.escuelaeuropeaexcelencia.com/

viernes, 5 de marzo de 2021

6 PREGUNTAS BÁSICAS PARA CREAR UN MODELO DE ENFOQUE BASADO EN EL RIESGO PARA ISO 9001:2015

El modelo de enfoque basado en el riesgo que incorpora la nueva ISO 9001:2015, ayuda a las organizaciones, durante la fase de planificación, a identificar todos los riesgos y oportunidades asociados con el contexto y los objetivos de la organización, analizándolos, tratándolos y monitoreándolos según el Sistema de Gestión de la Calidad.

Uno de los beneficios del modelo de enfoque basado en el riesgo, es desbloquear los riesgos ocultos que no pudieron ser identificados por la propia organización y el monitoreo de los tratamientos de riesgo actuales. No obstante, el auditor puede no identificar un riesgo significativo, o puede identificar un riesgo que no es importante, porque la evaluación del auditor depende principalmente de muestras, por lo tanto, eso implicaría un riesgo de muestreo.

El auditor interno o externo no es el único responsable de esto, el liderazgo de la organización y todos los propietarios del proceso también. Así es, como la auditoría basada en el riesgo y el modelo de enfoque basado en el riesgo van de la mano.

6 preguntas básicas para crear un modelo de enfoque basado en el riesgo para ISO 9001:2015

Las organizaciones pueden reconocer que tanto las amenazas como las oportunidades son igualmente importantes para el éxito de su negocio, pero existen dos errores que deben evitarse:
  • La amenaza ocurrió y podría haberse mitigado o evitado.
  • Una oportunidad perdida y que podría haber sido aprovechada o explotada.

Un líder de calidad debe conocer la importancia de las preguntas y el modelo de enfoque basado en el riesgo, dirigiendo el enfoque para que presente sus propias respuestas.

Una organización puede utilizar el modelo de enfoque basado en el riesgo para gestionar los riesgos de forma fluida y eficaz. Existen 6 preguntas que cualquier gerente de riesgo o especialista en calidad puede preguntarse a sí mismo o entre los equipos de trabajo.

Estas preguntas son universales porque siguen el proceso típico de administración de riesgos y la referencia en ISO 9001:2015:
  • ¿Qué pretendemos lograr?: hace referencia a las cláusulas 4.1 4.2, 6.1.1, 6.2, 0.1.
  • ¿Qué podría ocurrir que pudiera afectar nuestros objetivos / metas / resultados esperados? ¿Y cómo sería afectado?: hace referencia a las cláusulas 5.1.2, 6.1.1.
  • ¿Cuáles son los efectos más importantes?: hace referencia a la cláusula 6.1.2.
  • ¿Qué vamos a hacer con ellos? ¿Y cómo asegurarse de que esto será eficaz?: hace referencia a las cláusulas 6.1.1, 4.4.1, 5.1.2.
  • ¿Qué funcionó con nuestras acciones tomadas y cuál no funcionó? ¿Y por qué?: hace referencia a la cláusula 9.1.3.
  • ¿Qué será cambiado y qué hemos aprendido?: hace referencia a las cláusulas 10.2.1, 6.3, 7.1.6.
El uso de estas preguntas sencillas como modelo de enfoque basado en el riesgo, pueden utilizarse en cualquier tipo de organización, independientemente de su tamaño o industria. Así mimo, hay tres elementos principales que se deben considerar si se desea ir más allá de estas preguntas. Los tres elementos son:
  • El tamaño de su organización y su contexto.
  • La complejidad de sus procesos.
  • Las competencias de las personas que están haciendo el trabajo.
Las grandes organizaciones tendrán que entrar en un proceso detallado de gestión de riesgos para cubrir todos sus riesgos internos y externos, por lo que, pueden contratar a gerentes de riesgos, utilizar software de gestión de riesgos y crear informes de riesgo detallado.

Por otro lado, las pequeñas organizaciones pueden resolver las 6 preguntas haciendo intervalos específicos, para revisar las acciones tomadas. Estos intervalos podrían abarcar, pero no limitarse, a controles diarios de rutina, autoevaluaciones (auditorías internas), revisiones de gestión y evaluación de proveedores. Todas estas también se denominan auditorías de rendimiento o auditorías basadas en el riesgo.

Si desea ampliar información sobre el modelo de enfoque basado en el riesgo, le recomendamos nuestro Taller ISO 9001: Enfoque basado en Riesgos, a través del cual puede conocer las diversas metodologías con las que gestionar los riesgos del Sistema de Gestión de Calidad de la organización.

Tomado de: https://www.escuelaeuropeaexcelencia.com/

CÓMO MANTENER LA RENTABILIDAD DE LA CERTIFICACIÓN ISO 9001

El sostenimiento del sistema de gestión de calidad y de la certificación ISO 9001 a largo plazo es una de las condiciones más importantes para aumentar el retorno de la inversión (ROI).


La gerencia debe tener claro que el objetivo además de mantener la certificación de calidad, es sacarle el mayor provecho posible al sistema ISO 9001, para que realmente le aporte beneficios a la empresa y sea considerado siempre una inversión y no un gasto.

El objetivo principal del mantenimiento es continuar el desarrollo y la consolidación del sistema de gestión de calidad, pero igualmente que sea fácilmente administrable para que los requisitos de la norma se cumplan permanentemente en la organización.

Para mantener el sistema en operación siga las siguientes recomendaciones:

  • Realice un plan de calidad anual donde resuma las actividades principales del SGC y designe responsables. Esta herramienta le permite a Usted asegurar la sistematicidad en la ejecución de las actividades.
  • Asigne un presupuesto anual para la realización de actividades de calidad.
  • Realice capacitaciones permanentemente al personal en temas de metodologías y herramientas para la calidad.
  • Establezca un comité de calidad o de mejoramiento continuo a nivel directivo donde se presenten resultados, avances de proyectos, análisis de situaciones especiales entre otros. Presente los resultados de los indicadores de gestión, los productos no conformes, las acciones correctivas, preventivas y de mejora generadas para la solución de los problemas.
  • Mida el impacto económico de la gestión sobre los productos no conformes, quejas de los clientes, fallas de los procesos entre otros.
  • Establezca una publicación tal como un boletín de calidad o implemente una intranet de calidad para la empresa.
  • Sea visual. Implemente de manera gráfica en diferentes tipos de elementos, definiciones, conceptos e ideas de calidad.
  • Asista a congresos de calidad de su sector industrial, muestre sus resultados y de a conocer su empresa.
  • Introduzca en la publicidad las certificaciones de calidad, reconocimientos de entidades, premios de calidad y los relacionados con otros sistemas de gestión, para que los consumidores reconozcan y lo diferencien positivamente de la competencia. 
Esta estrategia ayuda a educar al consumidor a seleccionar sus productos y servicios por su calidad, seguridad, oportunidad o servicio al cliente y no por el precio.

 Tomado de: https://iso9001-calidad-total.com/

martes, 2 de marzo de 2021

LOS PRINCIPIOS BÁSICOS DE LA CALIDAD SEGÚN ISHIKAWA

La obra de Ishikawa como uno de los principales valedores y contribuyentes a la Calidad puede resumirse en una serie de principios atemporales que tenidos en cuenta en los procesos de implementación y mantenimiento y mejora sirven de guía para garantizar la mejora y competitividad de las empresas a lo largo del tiempo.

Sus principales principios delimitados a través de sus obras son los siguientes:

La calidad empieza y termina con la educación.

La defensa del conocimiento y propósito de los sistemas de calidad como parte integrante de la filosofía de trabajo de una organización así como la consideración de que las empresas las forman sus trabajadores implica la necesidad de que la formación se encuentra muy vinculada a cualquier proceso de implementación de un Sistema de Gestión en cualquier empresa. 

Los procesos los mantienen y mejoran las personas, los objetivos y actuaciones las “empujan” las personas y la calidad es “defendida” por las personas. La necesidad de que el personal de una entidad esté formado (y sea partícipe activo) de la calidad de su organización es principio básico.

Aquellos datos que no tengan información dispersa (variabilidad) son falsos

Aquí entramos en el análisis de valores y datos para garantizar la evolución de cualquier empresa y su sistema de gestión. Recordando la máxima de que “lo que no se puede medir no se puede mejorar” necesitamos tener datos en relación a los diferentes procesos que conforman una entidad y dichos valores precisan de una valoración posterior de modo que se pueda comprobar su evolución. La metodología de control y medición es básica para el posterior análisis correcto y la delimitación de acciones de mejora o corrección en este punto es donde se precisa que exista una cierta disparidad en los datos recogidos para comprobar puntos fuertes y débiles (por ejemplo en las valoraciones efectuadas por los clientes en relación a diversas cuestiones), si no existe dicha variabilidad, inherente en cualquier sistema, deben cuestionarse y replantearse la metodología de recogida de datos.

El primer paso hacia la calidad es conocer las necesidades de los clientes

Se trata del principio general básico de cualquier Sistema de Gestión de Calidad. La determinación de las necesidades y expectativas de los clientes es un aspecto fundamental para el planteamiento del trabajo de cualquier entidad. El diseño de sus procesos e incluso de su estructura viene condicionado de los artículos o servicios generados para su entrega al cliente incluyendo el método de “entrega” y por supuesto la atención de venta y post-venta asociada. 

Se debe recordar que un Sistema de Gestión puede ser “perfecto” desde el punto de vista de su diseño y procesos pero si “pierde de vista” las demandas de sus clientes así como sus puntos de contacto (la llamada "Experiencia del Cliente") la empresa no sobrevivirá a medio plazo.

El estado ideal del control de calidad ocurre cuando ya no es necesaria la inspección

La evolución en los últimos años de los Sistemas de Calidad desde el control de calidad basado en la inspección a los Sistema de Gestión actuales que consideran la interacción entre actividades y procesos ya era un axioma defendido por Ishikawa. La delimitación de los procesos con sus entradas y salidas y la consideración de un todo relacionado en la organización junto con la formación del personal en relación al control de desviaciones y metodologías de trabajo ha conllevado a generar una visión más global del trabajo de las organizaciones enfocando las tareas hacia una mejora de carácter más preventivo que correctivo.

 La figura del Responsable de Calidad como una figura de inspección ha pasado hacia su consideración como un colaborador con actitud de mejora y apoyo al resto de la organización.

Eliminar la causa raíz y no los síntomas

Considerando que Ishikawa trabajo en su famoso Diagrama se trata de uno de sus principios vertebradores de su filosofía. La necesidad de estudiar las desviaciones de los sistemas analizando su causa (o causas) inicial es un aspecto vital para garantizar la resolución de un modo correcto de los errores o fallos detectados y progresar en la mejora continua de la organización.  En no pocas ocasiones los sistemas de calidad corrigen el “síntoma” del problema (dan una pincelada) provocando la “reproducción” del problema en un futuro o su aparición en otro área de la organización. Su consideración como una de las Siete Herramientas de la Calidad y su asunción en la filosofía de Crosby dan buena fe de ello.

La calidad es responsabilidad de todos los trabajadores

Se trata de otra de las directrices básicas que con los años “ha calado” en cualquier Sistema de Gestión de Calidad. Unido directamente con el primero de los principios enunciado la mejora de las organizaciones está fuertemente vinculada con su personal y al empleo de sus herramientas por lo que la calidad debe ir vinculada de un modo estrecho en el trabajo diario efectuado. El reemplazo de la responsabilidad de los Sistemas existente hasta hace poco en el Representante de Calidad por la “distribución” de la responsabilidad global entre toda la organización es una necesidad concede a las empresas una ventaja competitiva innegable.

No se deben confundir los medios con los objetivos

Los objetivos marcados por una organización focalizan sus actividades y determinar los umbrales o límites a alcanzar. La recomendación según la ISO 9001 (versión de 2015) es que deben ser medibles y su planteamiento debe considerar un previo análisis de riesgos. Mi recomendación es que deben seguir la metodología SMART de modo que se encuentren acotados a un espacio temporal y se deba plantear las acciones adecuadas (medios) para lograr (o intentar conseguir) su consecución. 

Bajo estos parámetros los objetivos se convierten en la meta a alcanzar por la organización y los medios el camino y las actuaciones a efectuar para intentar garantizar la consecución del objetivo. En cualquier caso debemos considerar los recursos de la organización como punto necesario para la configuración de los medios correspondientes.

Colocar la calidad en primer término y dirigirse hacia las utilidades a largo plazo

Enlazado directamente con el principio rector de cualquier organización es decir su mantenimiento a lo largo del tiempo la “colocación” de la calidad como filosofía de trabajo en una empresa garantiza su enfoque hacia una metodología de trabajo donde se prima la excelencia y un compromiso con la mejora continua de la entidad. El trabajo por procesos, la situación de las necesidades de clientes como foco a cubrir y la proyección del futuro de la organización mediante el planteamiento de objetivos a medio y largo plazo plantean la “arquitectura vital” sobre las que se sostienen los Sistemas de Gestión de Calidad exitosos.

El marketing es la entrada y la salida de la calidad

Teniendo en cuenta que el marketing (o mercadotecnia) se ha convertido en la identificación de las necesidades de los clientes y la formulación de estrategias orientadas a captar su interés así como mantenerlo en el tiempo los Sistemas de Gestión de Calidad de las organizaciones deben considerar como su centro al cliente y deben trabajar en relación a su marca así como en todos las relaciones que la organización tiene con el cliente. La orientación de todos los procesos: comercial, prestación del servicio, atención de incidencias, observaciones, felicitaciones, etc., así como del personal que los conforman debe convertirse en la directriz rectora de la calidad. La evolución de las 4Ps del Marketing hacia las actuales 4Cs es una muestra de ello.

La Dirección no debe mostrar enfado cuando sus subordinados les presente hechos

Esta premisa vendría a ser como “no se debe matar al mensajero”. El planteamiento de un Sistema de Gestión de Calidad se basa en el principio de la mejora continua y dicho principio no puede aplicarse sin conocer que aspectos de la organización no funcionan correctamente o cual es la verdadera opinión de nuestros clientes (actuales y potenciales) de nuestros productos  y servicios. 

La necesidad de controlar las actividades de la organización así como sus parámetros de medición son intrínsecas a cualquier Sistema de Gestión y el análisis de desviaciones que puedan producirse así como la aplicación de las actuaciones correctas son un punto imprescindible para conseguir la mejora progresiva. 

La implicación de la Dirección con la calidad es un pilar fundamental para el correcto desarrollo de estos Sistemas de Gestión y la necesidad de conocer los datos correctos en los que se mueve la entidad se convierte en un baluarte imprescindible para marcar la estrategia futura a seguir por la empresa.

El 95 % de los problemas se pueden resolver con simples herramientas de análisis

La calidad no depende de analíticas excesivamente complicadas (este punto es bien conocido por los consultores que llevamos algún tiempo en esto). La correcta determinación de los procesos de cualquier empresa ya marca aquellos valores que deben ser controlados y por regla general cualquier cargo intermedio sabe “la profundidad de los números de su área”.  La elección de aquellos valores más representativos para comprobar la evolución del Sistema en el tiempo y la integración en una visión holística de todos los datos es el verdadero desafío para controlar la evolución de una empresa en relación a su calidad.

Teniendo en cuenta los problemas de la empresa actual, su situación de cambio constante y la vigencia de los planteamientos de Ishiwawa más de 60 años después de su planteamiento debemos considerar como simplemente genial la aportación de este “gurú de la calidad” tanto a su desarrollo como a su consideración como filosofía empresarial. 

Aspectos tan actuales como la integración del personal en el trabajo de las organizaciones, la implicación de la Dirección en los Sistemas de Gestión, la necesidad de analizar los datos, el planteamiento de la calidad como actuación de marketing y la determinación del cliente como principio y final de cualquier estrategia nos parecen ahora muy novedosos pero como se puede apreciar ya fueron explorados por uno de los grandes.

“Ninguna empresa puede ser mejor o peor que las personas que la integran.”

Kaoru Ishikawa, químico y experto en calidad japonés del siglo XX

Tomado de: https://dbcalidad.blogspot.com/

LOS PRINCIPIOS DE AUDITORÍA EN UN SISTEMA DE GESTIÓN

La realización de auditorías forma parte del proceso de mejora en los Sistemas de Gestión actuales y su resultado constituye uno de los puntos relevantes que es analizado por la organización. 

En nuestro trabajo como consultores, muchos de los que nos dedicamos a la asesoría de empresas, hemos estado a ambos lados de la línea una veces (la mayor parte) apoyando la gestión de nuestros clientes frente al equipo auditor y otras veces llevando a cabo auditorías a entidades de compañeros, colaboradores o clientes.

Es bastante conocida la secuencia de planificación, ejecución y redacción del informe correspondiente, así como su exposición al cliente relativas a las auditorías sin embargo con el paso del tiempo muchos olvidamos los principios que “rigen” su correcta realización y que quedan recogidos en la norma ISO 19011 y cuyo objetivo último es de mantener que la revisión llevada a cabo se mantenga como una herramienta útil, fiable y eficaz dentro del proceso de mejora continua de las empresas.

Los principios que debe mantener cualquier auditoría son los siguientes:

INTEGRIDAD

La revisión debe llevarse a cabo por auditores con competencia suficiente para su ejecución y que sean imparciales. Estos dos puntos son muy relevantes pues el auditor debe conocer las normas o legislación de referencia sobre la cual “descansa” el desarrollo de la auditoría y por otro lado debe ser objetivo en relación al proceso que revisa.

Unido a este punto también se consideran los parámetros de ética, honestidad y responsabilidad. El trabajo desarrollado debe evitar “posibles sesgos” en las actuaciones.

IMPARCIALIDAD (Presentación)

Aspecto muy vinculado al principio anterior y que determina la necesidad de la objetividad en las conclusiones y análisis que va desarrollando el equipo auditor. La información debe ser suministrada como veracidad y exactitud y debe ser oportuna, clara  lo más completa posible.

Dentro de este punto debe gestionarse y aclararse cualquier información que tenga carácter significativo en la auditoría.

CUIDADO PROFESIONAL

El desarrollo de las auditorías debe efectuarse manteniendo el cuidado en su realización y siendo conscientes de la relevancia del trabajo que se desarrolla. Los juicios y las opiniones suministradas por el equipo auditor deben ser razonados y deben “reforzar”, en todo momento, la confianza del cliente*.

Observación*. Este punto ha generado en más de una ocasión problemas entre consultores y auditores como consecuencia de la “invasión” de competencias como consecuencia de “cierto” desconocimiento de la filosofía y cultura empresarial por parte del equipo auditor, por otro lado lógica como consecuencia de que en un espacio de tiempo corto no nos podemos “empapar” de la filosofía de trabajo de la organización.

CONFIDENCIALIDAD

Aspecto que siempre ha sido muy importante pero que en los últimos años ha cobrado si cabe una mayor importancia como consecuencia de la evolución de las políticas de protección de datos.

Las auditorías se corresponden con un manejo de información del cliente y en muchas ocasiones la información va más allá de la propia información relativa a los Sistemas de Gestión: datos de facturación, información confidencial, etc., por lo cual la discreción y la protección de dichos datos debe ser una constante por parte de los auditores.

El interés del auditado está por encima de cualquier consideración y en especial del beneficio privado del auditor.

INDEPENDENCIA

Se debe evitar la influencia de actores externos (cliente) en el desarrollo y en la presentación de las conclusiones de la auditoría. 

El equipo auditor debe tener base suficiente para garantizar su imparcialidad en el proceso de auditoría.

Se debe garantizar que el trabajo se desarrolla sin influencias y de un modo independiente evitando cualquier tipo de sesgo. 

La recomendación básica es que un auditor no debe revisar su propio trabajo, admitiéndose en organizaciones “pequeñas” que al menos no desarrolle tareas en el área auditada*.

Nota*. Una mayor salvaguarda es la realización de las auditorías por parte de una entidad externa, ahí es donde entramos los consultores/auditores/formadores garantizando la imparcialidad. En este caso el consultor lógicamente no puede ser auditor.

ENFOQUE BASADO EN LA EVIDENCIA

Basado en la filosofía de trabajo que mantener un método racional para llegar a conclusiones, durante la realización de la auditoría, que sean fiables y reproducibles. De este modo el proceso de auditoría se convierte en sistemático.

Es requisito que las evidencias de la auditoría serán revisables y verificables y fundamentadas en información disponible durante la realización de la revisión. Debe recordarse que la auditoría se centra en un espacio de tiempo concreto y limitado y empleando unos recursos limitados.

Muy importante en este punto es el manejo del muestreo de datos de modo que se “refuerce” la confianza en el conjunto de datos analizados así como en las conclusiones expuestas en el informe final.

ENFOQUE BASADO EN RIESGOS

Gran novedad en los sistemas en los últimos años con la aprobación de la versión de 2015 de varias normas internaciones (9001 y 14001) así como la revisión progresiva del resto.

En la teoría este principio nos obliga que focalicemos el análisis llevado a cabo en la auditoría en los temas de mayor relevancia e importancia en la organización auditada considerando las oportunidades y los riesgos que puedan observarse, sin embargo y a nivel práctico las auditorías basadas en normas de referencia deben abarcar la revisión de todos los puntos de la norma auditada. Su aplicación suele ser más “fácil” de aplicar durante el desarrollo de auditorías internas.

Centrados en los Sistemas de Calidad y como parte relevante del ciclo de PDCA de Mejora Continua las Auditorías constituyen una de las principales herramientas para “tomar el pulso” a un sistema de Gestión, su definición e integración de los procesos en la realidad de la organización así como el grado de alineamiento de la calidad con la estrategia real de la empresa. Desde mi punto de vista “el último fichaje” permite programar y enfocar la “herramienta de auditoría”, especialmente las revisiones internas en los puntos más relevantes y con mayor poder influencia en el cliente.

"¡Estudia!, no para saber una cosa más, sino para saberla mejor."

Séneca (Lucio Anneo), filósofo, político y orador romano de 

origen hispano (siglo I).

Tomado de: https://dbcalidad.blogspot.com/

POR QUÉ HACER AUDITORÍAS INTERNAS DE CALIDAD EN DIGITAL?

La reputación de una empresa depende de la calidad de los productos y servicios que ofrece. En el artículo de hoy, vamos a ver la importancia no sólo de realizar evaluaciones de los sistemas de calidad sino del valor que aporta a la organización realizar auditorías internas de calidad en digital.

Con la norma ISO 9001, el concepto de calidad estandarizada permite a organizaciones de todo el mundo y cualquier sector ofrecer productos y servicios con una calidad consistente. Hace apenas dos años, en septiembre de 2015, esta norma fue revisada, siendo ahora ISO 9001:2015 el nuevo estándar de gestión de calidad.

El panorama mundial de los negocios ha cambiado rápidamente debido a múltiples factores como la globalización, la reducción de los aranceles y de las barreras comerciales, las cada vez más complejas cadenas de suministro y el avance hacia economías digitales basadas en servicios. 

Para mantener el ritmo de estos cambios, la norma ISO 9001:2015 se centra en lograr la conformidad de los productos y servicios con el objetivo de satisfacer las expectativas de los clientes y partes interesadas.

Las organizaciones que implementan la norma ISO 9001:2015 (o están realizando la transición desde la anterior ISO 9001:2008), son capaces de hacer mejoras medibles a sus sistemas de gestión y procesos para finalmente entregar buenos productos y servicios. Justamente, el enfoque basado en procesos es una parte clave de ISO 9001. La gestión de procesos con el denominado Ciclo de Deming o PHVA «Planificar – Hacer – Verificar – Actuar (PDCA en sus siglas en inglés) así como aplicar el enfoque o pensamiento en riesgos aumenta la confianza de los clientes en los productos/servicios que reciben de los proveedores, lo que, a su vez, implica muchos beneficios comerciales. 

ISO 9001:2015 reúne siete principios básicos de gestión de la calidad:
  • Enfoque basado en el cliente y las partes interesadas.
  • Liderazgo y mayor implicación por parte de la Alta Dirección.
  • Participación de las personas.
  • Enfoque basado en procesos.
  • Mejora continua.
  • Toma de decisiones basada en evidencias.
  • Gestión de relaciones. 
Implementar auditorías internas de calidad en digital

Las auditorías internas son la mejor herramienta para evaluar su Sistemas de Gestión de la Calidad. Convertir su proceso existente en un proceso de auditorías internas de calidad en digital le permitirá automatizar tareas tediosas como redactar informes en papel así como un control más estricto de sus procesos. Por ejemplo, la plataforma tecnológica ISOTools Excellence cuenta con la App Check List Mobile para ayudarle a avanzar al mundo digital con sus auditorías internas.

Si los auditores internos necesitan acceso a manuales u otra información durante una inspección, cualquier documento requerido se puede adjuntar a las plantillas de auditoría para facilitar la consulta. Una vez que las auditorías se completan usando App Check List Mobile, todos los registros se sincronizan y almacenan digitalmente en la plataforma ISOTools Excellence para tener acceso cuando lo necesite, compartir la información con otros usuarios, crear alertas cuando se produzcan hallazgos o no conformidades.

Además, este aplicativo puede almacenar la información offline cuando las inspecciones en terreno se realicen en áreas con baja conectividad y sincronizarse posteriormente, la toma in situ y tiempo real de evidencias que se adjuntan al informe de auditoría y crear informes de forma automatizada.

En el siguiente vídeo puede ver como la App Check List Mobile le ayudará a realizar sus auditorías internas de calidad en digital de forma eficaz:


Comience a optimizar sus auditorías internas de calidad e inspecciones en terreno con la ayuda del software de su preferencia, conociendo diversas opciones que ofrece el mercado.

Tomado de: https://www.isotools.org/