Los artículos, seminarios web, cursos y diplomados sobre la norma ISO 37301 que ofrecemos casi a diario en ISOTools te deben haber dado una idea muy clara: el estándar llegó para posicionarse como uno de los más importantes.
Incluso podríamos plantearnos una pregunta que nos llevaría a reflexiones considerables: ¿será posible que la ISO 9001, piedra angular de las normas, ceda su trono a la 37001? Y es que sin compliance no puede haber calidad por garantizar porque, de hecho, sin compliance no hay nada.
Los más puristas podrían contraargumentar que no cederán el sitial que ocupa la madre de todas las normas porque, de haber comprendido el leitmotiv de esta, no se habrían creado más normas. Seamos honestos: ¿tan corrompidos estamos como para necesitar que la Organización Internacional de Estandarización elabore pautas constantemente que nos ayuden a:
- No arrasar con el medio ambiente debido a la actividad organizacional (ISO 14001).
- Intentar que los colaboradores no mueran o se enfermen mientras hacen sus labores (ISO 45001).
- Garantizar que los alimentos sean aptos para el consumo y no nos enfermen (ISO 22000).
- Cumplir con las leyes, requisitos, disposiciones y reglamentos que atañen a la organización (ISO 37301), entre otros estándares sobres los que podríamos discurrir en decenas de párrafos.
Cumplir para seguir
¿Cuál estándar es más importante? Descubrirlo no es la pretensión de estas líneas. Lo que sí nos interesa precisar es que cumplir es un punto de partida para operar de manera adecuada, y que el compliance contribuye en el éxito y sostenibilidad de la organización. Y, ¿qué implica el compliance en concreto? Se trata de cumplir con las obligaciones de forma sistemática y continua. Para esto la cultura de cumplimiento tendría que:
- Estar integrada en la cultura empresarial y
- Ser parte del comportamiento y actitudes de directivos, líderes y colaboradores.
Sobre los puntos antes mencionados hace referencia puntual la norma ISO 37301 – Sistema de gestión de cumplimiento (SGC) en su apartado 4.4:
Sistema de gestión de cumplimiento
La organización debe establecer, implementar, mantener y mejorar continuamente un sistema de gestión del cumplimiento, incluidos los procesos necesarios y sus interacciones, de acuerdo con los requisitos de este documento.
El sistema de gestión del cumplimiento debe reflejar los valores, objetivos, estrategia y riesgos de cumplimiento de la organización, teniendo en cuenta el contexto de la organización (ver 4.1), el compliance de las leyes pertinentes, las normas de la organización, las mejores prácticas generalmente aceptadas, y las expectativas de la comunidad (además de la propia ISO 37301).
¡No desesperes! Hay una traducción muy fácil de entender sobre el estándar: el apartado nos conmina a integrar estructuras, políticas, procesos y procedimientos esenciales para lograr los resultados deseados en cuanto a compliance, y a actuar para prevenir, detectar y dar respuesta a los incumplimientos.
ISO 37301 no es una lista de chequeo
Si el punto 4.4 te da la impresión de que la norma se trata de una lista de chequeo que contiene con qué organismo y ley se debe cumplir y solo necesitas verificar si ya lo hiciste, no estás en lo cierto. Tal vez lo que esperabas era esa tabla que se puede resolver con un sí o un no (o varios de ellos), y es bueno que sepas cuanto antes que no, y que te enteres por nosotros: expertos que te diremos de qué sí se trata el punto 4.4. Empezaremos por aclarar que:
- La norma está basada en la estructura de alto nivel de las normas ISO. Es decir, si implementamos un SGC no solo requerimos cumplir con los requisitos que la ISO 37301 plantea, sino que necesitamos demostrarlo mediante evidencias. ¿Ya está hecho? ¡Excelente! Ahora falta mantener el SGC, revisarlo y mejorarlo continuamente.
- El apartado 4.1 hace necesario el equilibrio entre tomar acciones y medidas que no sean tan simples e ineficaces, pero que tampoco sean tan complejas, burocráticas y caras como para entorpecer su ejecución.
- La practicidad es fundamental. Por eso los objetivos del SGC han de ser proporcionales y razonables con respecto a los riesgos de compliance a los que se enfrenta la empresa.
- ¿Qué debe aportar la alta dirección? Entre otras cosas, un compromiso verdadero en cuanto a prevenir, detectar y enfrentar el incumplimiento en relación con negocios o actividades de la organización.
- Es recomendable que, si existen riesgos de incumplimiento en varias transacciones o actividades, la evaluación del riesgo, procedimientos y controles implementados por una organización involucrada en negocios de alto valor, sean más amplios que los implementados por una empresa que, por ejemplo, venda artículos de poco valor a muchos clientes o haga transacciones pequeñas con un solo grupo.
- Una de las claves de la eficacia y prevención del SGC es la evaluación de riesgos de compliance. ¿Qué debemos tomar en cuenta? Podríamos empezar con las personas y puestos potencialmente expuestos, y en función de eso, establecer controles, formación, documentos y demás medidas alineadas con los niveles de riesgo analizados.
Tomado de: https://www.isotools.org/
