ISO 37301 – APARTADO 4.4 DESPOJADO DE TODA DIFICULTAD

Los artículos, seminarios web, cursos y diplomados sobre la norma ISO 37301 que ofrecemos casi a diario en ISOTools te deben haber dado una idea muy clara: el estándar llegó para posicionarse como uno de los más importantes.

Incluso podríamos plantearnos una pregunta que nos llevaría a reflexiones considerables: ¿será posible que la ISO 9001, piedra angular de las normas, ceda su trono a la 37001? Y es que sin compliance no puede haber calidad por garantizar porque, de hecho, sin compliance no hay nada.

Los más puristas podrían contraargumentar que no cederán el sitial que ocupa la madre de todas las normas porque, de haber comprendido el leitmotiv de esta, no se habrían creado más normas. Seamos honestos: ¿tan corrompidos estamos como para necesitar que la Organización Internacional de Estandarización elabore pautas constantemente que nos ayuden a:

• No arrasar con el medio ambiente debido a la actividad organizacional (ISO 14001).
• Intentar que los colaboradores no mueran o se enfermen mientras hacen sus labores (ISO 45001).
• Garantizar que los alimentos sean aptos para el consumo y no nos enfermen (ISO 22000).
• Cumplir con las leyes, requisitos, disposiciones y reglamentos que atañen a la organización (ISO 37301), entre otros estándares sobres los que podríamos discurrir en decenas de párrafos.

Cumplir para seguir

¿Cuál estándar es más importante? Descubrirlo no es la pretensión de estas líneas. Lo que sí nos interesa precisar es que cumplir es un punto de partida para operar de manera adecuada, y que el compliance contribuye en el éxito y sostenibilidad de la organización. Y, ¿qué implica el compliance en concreto? Se trata de cumplir con las obligaciones de forma sistemática y continua. Para esto la cultura de cumplimiento tendría que:

• Estar integrada en la cultura empresarial y
• Ser parte del comportamiento y actitudes de directivos, líderes y colaboradores.

Sobre los puntos antes mencionados hace referencia puntual la norma ISO 37301 – Sistema de gestión de cumplimiento (SGC) en su apartado 4.4:

Sistema de gestión de cumplimiento

La organización debe establecer, implementar, mantener y mejorar continuamente un sistema de gestión del cumplimiento, incluidos los procesos necesarios y sus interacciones, de acuerdo con los requisitos de este documento.

El sistema de gestión del cumplimiento debe reflejar los valores, objetivos, estrategia y riesgos de cumplimiento de la organización, teniendo en cuenta el contexto de la organización (ver 4.1), el compliance de las leyes pertinentes, las normas de la organización, las mejores prácticas generalmente aceptadas, y las expectativas de la comunidad (además de la propia ISO 37301).

¡No desesperes! Hay una traducción muy fácil de entender sobre el estándar: el apartado nos conmina a integrar estructuras, políticas, procesos y procedimientos esenciales para lograr los resultados deseados en cuanto a compliance, y a actuar para prevenir, detectar y dar respuesta a los incumplimientos.

ISO 37301 no es una lista de chequeo

Si el punto 4.4 te da la impresión de que la norma se trata de una lista de chequeo que contiene con qué organismo y ley se debe cumplir y solo necesitas verificar si ya lo hiciste, no estás en lo cierto. Tal vez lo que esperabas era esa tabla que se puede resolver con un sí o un no (o varios de ellos), y es bueno que sepas cuanto antes que no, y que te enteres por nosotros: expertos que te diremos de qué sí se trata el punto 4.4. Empezaremos por aclarar que:

• La norma está basada en la estructura de alto nivel de las normas ISO. Es decir, si implementamos un SGC no solo requerimos cumplir con los requisitos que la ISO 37301 plantea, sino que necesitamos demostrarlo mediante evidencias. ¿Ya está hecho? ¡Excelente! Ahora falta mantener el SGC, revisarlo y mejorarlo continuamente.
• El apartado 4.1 hace necesario el equilibrio entre tomar acciones y medidas que no sean tan simples e ineficaces, pero que tampoco sean tan complejas, burocráticas y caras como para entorpecer su ejecución.
• La practicidad es fundamental. Por eso los objetivos del SGC han de ser proporcionales y razonables con respecto a los riesgos de compliance a los que se enfrenta la empresa.
• ¿Qué debe aportar la alta dirección? Entre otras cosas, un compromiso verdadero en cuanto a prevenir, detectar y enfrentar el incumplimiento en relación con negocios o actividades de la organización.
• Es recomendable que, si existen riesgos de incumplimiento en varias transacciones o actividades, la evaluación del riesgo, procedimientos y controles implementados por una organización involucrada en negocios de alto valor, sean más amplios que los implementados por una empresa que, por ejemplo, venda artículos de poco valor a muchos clientes o haga transacciones pequeñas con un solo grupo.
• Una de las claves de la eficacia y prevención del SGC es la evaluación de riesgos de compliance. ¿Qué debemos tomar en cuenta? Podríamos empezar con las personas y puestos potencialmente expuestos, y en función de eso, establecer controles, formación, documentos y demás medidas alineadas con los niveles de riesgo analizados.

Tomado de: https://www.isotools.org/

NO COMPRENDE EL APARTADO 4.5 DE LA ISO 37301? HOY SE LO EXPLICAMOS

Sus intenciones son las mejores: se acerca al mundo del cumplimiento porque le importa actuar de forma correcta y que sus clientes y proveedores le perciban así.

 

Por eso consigue el texto indicado: la norma ISO 37301 – Sistema de gestión de compliance. Pasea sus ojos por la computadora y trata de entender el estándar. Creía que se trataba de una suerte de pautas muy claras acerca de leyes con las que debe cumplir. Usted iba a anotar esas leyes y a convocar una reunión para saber con cuál la organización está al día y con cuáles no. También pensaba en presionar para que los incumplimientos fueran resueltos rápidamente y así zanjar el asunto. ¡Fácil y rápido! O al menos eso creía, pero la lectura del apartado 4.5 Obligaciones de compliance, expresa lo contrario. Continúa leyendo:

La organización debe identificar sistemáticamente sus obligaciones de cumplimiento resultantes de sus actividades, productos y servicios, y evaluar su impacto en sus operaciones.

La organización debe tener procesos establecidos para:

a) identificar obligaciones de cumplimiento nuevas y modificadas para garantizar el cumplimiento continuo;

b) evaluar el impacto de los cambios identificados e implementar los cambios necesarios en la gestión de las obligaciones de cumplimiento.

La organización debe mantener información documentada de sus obligaciones de cumplimiento.

Aquí toma un sorbo de café, se desajusta un poco la corbata, si es varón, y la chaqueta, si es mujer, y piensa, con razón, que el cumplimiento es un tema más extenso de lo que cree.

Antes de que renuncie y apegue el computador, le contamos que si bien no es tan sencillo como pensaba, tampoco es algo del otro mundo, y se lo demostraremos rápidamente, pues las obligaciones de compliance no son más que los requisitos con que debe cumplir la organización debido a los lugares geográficos en los que opera, la actividad que desarrolla y las regulaciones e imposiciones legales, administrativas y financieras que imponen los entes que regulan la actividad empresarial. Recomendamos que la organización cuente con procesos y rutinas para:

• Identificar las obligaciones de compliance, verificar si existen nuevos requisitos (leyes, reglamentos, disposiciones, permisos, licencias, sentencias, normas, protocolos, tratados, convenios, entre otros) para garantizar el cumplimiento.
• Definir cuáles son las obligaciones de compliance que aplican a cada departamento, función y actividad de la empresa para saber quiénes son los afectados y cuáles serían los riesgos de cumplimiento.
• La Alta Dirección requiere comprender y hacer entender a los colaboradores que los requisitos obligatorios no están por encima de los voluntarios. Ambos pueden encontrarse en una suerte de igualdad y pueden ser cumplidos.
• Establecer sanciones ante el incumplimiento es una forma concreta de crear la necesaria política empresarial de cero tolerancias. Incluso podemos encontrar recomendaciones al respecto en la norma ISO 37301.
• Las obligaciones no permanecen inmutables, las leyes pueden ser derogadas mientras se crean otras. También existe la posibilidad de que surjan nuevos acuerdos. El mundo cambia, y a veces lo hace con extrema rapidez. Por eso necesitamos establecer procesos coordinados que capturen nuevas obligaciones apenas se creen.

Empecemos por poner orden en casa, cumplamos con nuestros propios requisitos. Esta labor, aunque podría ser las más sencilla, merece una especial coordinación entre todas las áreas de responsabilidad donde el alcance definido lo merezca.

Su voluntad también cuenta

El compliance no se trata de meras reglas que debe tolerar y respetar para que no sancionen ni cierren la empresa, sino que ofrece a la organización la posibilidad de ir más allá. Por ejemplo, nos permite asumir compromisos de compliance voluntarios, como los acuerdos a los que puede llegar la empresa con comunidades, entes no gubernamentales y clientes. También nos referimos a compromisos sociales o medioambientales, políticas, procedimientos, entre otros. Una de las posibilidades más convenientes tiene que ver con trazar códigos de conducta para los colaboradores. 

No es imprescindible ceñirse a ellos, pero se desea que los trabajadores asuman la relevancia que tienen, por ejemplo, valores como el respeto, responsabilidad, disciplina, tolerancia, integridad, honestidad, entre otros. Aunque para materializar lo deseado dependemos de la voluntad de quienes quieran adherirse, los compromisos no obligatorios son tan importantes como los que sí son ineludibles.

¿Se siente mejor o aún le preocupa la norma ISO 37301? Le invitamos a seguir al tanto de nuestros textos, que pretenden revisar todos los puntos de este estándar y explicárselos de forma minuciosa y detallada. ¡Estamos con usted en cada etapa de su camino hacia el cumplimiento!

Tomado de: https://www.isotools.org/

ISO 37301 – NO EXISTE COMPLIANCE SIN LIDERAZGO Y COMPROMISO APARTADO 5.1

¿Qué habría sido de los hunos sin la dirección del hábil Atila? Probablemente habrían pasado a la historia – si es que pasaban – sin pena ni gloria.

El líder conocido como “el azote de Dios” llevó a sus tropas hasta conquistar Hungría, parte de Francia y Rusia y casi invadió Roma. En el caso de Alejandro Magno, con solo 32 años ya había conquistado el Imperio Persa. Sabes cuál es nuestro punto, ¿verdad? ¡Exacto!

El liderazgo y el compromiso son vitales cuando se trata de acometer grandes proyectos. Pensarás que no hay relación entre personajes históricos de gran relevancia y nosotros, los simples mortales que deseamos tener vidas tranquilas y hacer bien nuestro trabajo. Pero no es una tarea tan simple, el entorno VUCA (volátil, incierto, complejo y ambiguo), necesidad de adaptarnos a la tecnología y otros factores, hacen que se promulguen leyes, acuerdos y reglamentos constantemente. Por lo tanto, cumplir con todo esto es una conquista no menor, en la que las armas no son flechas ni hachas afiladas, sino las normas ISO, que nos indican cómo abrirnos paso en el mundo organizacional de forma adecuada, productiva, armónica con el medio ambiente, eficaz y sostenible.

Para conquistar el mundo organizacional sin que las fuerzas legales impidan que logremos cada objetivo, disponemos de un escudo excelente: la norma ISO 37301, que es su punto 5.1 se refiere a: Liderazgo y compromiso, Órgano de gobierno y alta dirección, Cultura de compliance y Gobernanza del compliance.

Jerarquías que funcionan

Un sistema de gestión de compliance no es diferente a cualquier otro sistema de gestión en cuanto al liderazgo: la alta dirección y mandos medios siempre fungen roles fundamentales en los que pueden y deben hacer que el o los sistemas implementados tengan cabida en todos los procesos y niveles de la organización. En el estándar que hoy nos ocupa, además, aparece un escalón aún más alto de la pirámide jerárquica: el órgano de gobierno, que será protagonista de este texto porque de él se esperan directrices como estas:

• Creación de políticas y objetivos de compliance compatibles con la estrategia empresarial.
• Apoyo en la integración de los procesos de compliance a los procesos del negocio.
• Entrega adecuada de recursos para un correcto funcionamiento y desempeño del SGC.
• Comunicación activa y frecuente de los aspectos más significativos del SGC.
• Seguimiento para verificar que los resultados previstos se cumplen.
• Dirección y apoyo al personal en todos los niveles.
• Promover la mejora del SGC.

Si queremos saber concretamente cuán involucrados están el órgano de gobierno y la alta dirección en cuanto el SGC podemos encontrar maneras de medirlo, como la redacción de una política de SGC, firmada tanto por órgano de gobierno y alta dirección; también es posible diseñar otras políticas y procedimientos de compliance de alto nivel, en el que sea palpable y evidente que tanto el órgano de gobierno como la la alta dirección aprueban los acuerdos y/o procedimientos. Al momento de reunirse, es muy útil que haya registro y minutas de lo tratado y pactado y que se converse periódicamente lo relativo al aporte de recursos y se evalúe el desempeño del SGC. 

La información documentada (como comunicaciones formales emitidas por los dos entes citados) en materia de compliance también serán particularmente útiles. Con esto nos referimos a folletos, |correos, eventos, charlas, nombramientos de encargados de tareas de compliance, entre otros. Si hay denuncias, reclamos, sugerencias de mejora, felicitaciones y afines, están deben ser registradas y notificadas a los superiores. También es deseable que desde las autoridades organizacionales se nombren a quienes ejercerán las funciones de compliance.

Hasta ahora hemos discurrido ampliamente sobre el liderazgo, pero ¿qué hay del compromiso? Recomendamos ampliamente que surja y se promueva desde las instancias más altas. La OCDE precisa que conviene expresar un apoyo y un compromiso fuertes, explícitos y evidentes por parte de la alta gerencia en relación con los controles internos, ética y programas o medidas de cumplimiento de la empresa. Parte de fomentar el compromiso implica que todo el equipo esté al tanto de las metas y expectativas de compliance, exista información clara y oportuna, se concientice constantemente sobre la importancia del cumplimiento y su relación con la ética, se cree sentido de pertenencia, haya apoyo, refuerzo positivo y negativo, entre otros.

El cumplimiento cabal es un desafío para líderes y equipos consolidados y capaces de trabajar por objetivos comunes. Hacer las cosas bien dentro de la organización es lo más parecido a una batalla que enfrentaremos. De nuestras acciones depende la forma en que seremos recordados: como grandes líderes que guían a legiones poderosas o como simples soldados más.

La Cultura de compliance en la ISO 37301 se entiende como “valores, ética, creencias y conductas que existen en una organización y que interactúan con las estructuras y sistemas de control de la organización para producir normas de comportamiento que conducen al compliance” y la misma estará definida y promovida por el órgano de gobierno, la alta dirección, los mandos medios y materializada por los colaboradores, es decir el mismo equipo de trabajo.

Los factores que pueden apoyar al desarrollo de una cultura de compliance, entre otros, son:

— un conjunto claro de valores organizacionales claramente definidos y frecuentemente referidos para la toma de decisiones;

— una dirección que implementa y respeta activa y visiblemente los valores en la mismo desarrollo de las actividades del negocio;

— la cero tolerancia al no cumplimiento de compliance, con independencia de la posición y los resultados obtenidos al momento de la toma de decisiones;

— guiar, entrenar y predicar con el ejemplo, en el día a día se forja el liderazgo y el líder es la imagen de la cultura;

— aplicar la debida diligencia que representa una evaluación adecuada y oportuna de los colaboradores con funciones donde se concentran los riesgos de compliance;

— contar con un programa de inducción y reforzamiento frecuente que enfatice la importancia del compliance y los valores de la organización

— definir un plan de formación continua en compliance, que incluye actualizaciones de la formación a todo el personal y a las partes interesadas pertinentes, basados en experiencias por parte de la organización u otras entidades del mercado;

— la comunicación continua de las cuestiones de compliance como logros, incidentes, desviaciones y cambios;

— los sistemas de evaluación del desempeño que consideren la evaluación del comportamiento de compliance y que incluyan reforzamiento positivo a aquellos colaboradores que tengan un desempeño deseable respecto al logro de objetivos y parámetros clave de compliance;

— un reconocimiento visible, oportuno, público y abundante respecto a los logros en la gestión del compliance y en sus resultados;

— las medidas disciplinarias rápidas y proporcionadas en caso de infracciones de las obligaciones de compliance intencionadas o negligentes, para ello se pueden contar con un código de ética y un proceso disciplinario adecuado a la dinámica de la organización;

— una relación clara entre la estrategia de la organización y los roles individuales, que enfatizan el compliance como esencial para alcanzar los resultados de la organización, los colaboradores deben tener clara la alineación entre estrategia y compliance;

— la comunicación abierta y adecuada sobre el compliance, interna y externamente, para ello se pueden usar las RRSS, intranet, páginas web.

Una de las preocupaciones de los líderes es cómo se generan las evidencias de una cultura de compliance, pues esta subyace en las conductas de las personas, recomendamos que se consideren las siguientes acciones y compromisos:

implementar los factores mencionados anteriormente;

• con las partes interesadas (especialmente los colaboradores) creen que se han implementado los factores identificados;
• los colaboradores entienden la relevancia de las obligaciones de compliance relativas a sus propias actividades y a las de sus unidades de negocio;
• las acciones correctivas para abordar los no cumplimientos de compliance se asumen como propios y se gestionan en todos los niveles adecuados de la organización cuando sea necesario;
• se valora y se reconoce el papel de la función de compliance y sus objetivos;
• a los colaboradores se le permite y anima a plantear inquietudes relativas al compliance al nivel adecuado de la dirección y con los recursos facilitados como canales de planteamiento de inquietudes, incluyendo a la alta dirección y al órgano de gobierno.

Las principales recomendaciones relacionada con la cultura de compliance para la organización debería:

• hacer seguimiento, medición, análisis y mejora de su cultura de compliance;
• recabar aportaciones objetivas de los colaboradores para determinar si perciben el compromiso de compliance del órgano de gobierno, la alta dirección y la dirección media;
• establecer planes de acción eficaces basados en los resultados de los indicadores de la cultura de compliance de la organización.

Finalmente, el apartado de la 5.1 aborda lo que es la gobernanza del compliance entendida como el conjunto de política, lineamientos y acciones para asegurar el que el sistema de gestión de compliance cumpla su propósito. Los líderes ejercen la gobernanza del compliance si se apoya en los siguientes principios fundamentales:

• La función de compliance tiene acceso directo al órgano de gobierno y a la alta dirección.
• Contacto directo de la función de compliance con otra persona o personas con la máxima autoridad para actuar.
• Asegurar los recursos financieros, tecnológicos y materiales para la función de compliance

Esto beneficia directamente al órgano de gobierno y a la alta dirección de forma que pueden ejercer sus tareas. Este acceso debería planificarse y ser sistemático. Por ejemplo, la función de compliance podría tener una línea de información directa con el primer ejecutivo (CEO) y una línea de información discontinua con el comité de auditoría, el presidente o con toda la junta.

La función de compliance debería ser independiente y no estar en conflicto con la estructura de la organización u otros elementos. Son libres para actuar sin ninguna interferencia con la línea de mando.

Este compendio de acciones, darán la potencia necesaria para que lo líderes de la organización hagan del sistema de gestión de compliance una campaña digna de ser recordada como cualquier logro de los grandes líderes de la historia sobre todo por el contexto de los tiempos que vivimos.

La función de compliance tiene autoridad. La función de compliance no es una posición menor que se pueda desautorizar o a la que puedan modificar sus informes o información los que tienen más autoridad. La función de compliance puede dirigir a otros empleados en caso necesario. La función de compliance debería tener voz (“voice at the table”) para defender y plantear cualquier inquietud relativa al compliance.

La función de compliance dispone de los recursos adecuados para apoyar a la organización a llevar a cabo el trabajo necesario y las responsabilidades del sistema de gestión del compliance sin restricciones, incluido el acceso a la tecnología para permitir que el sistema de gestión del compliance sea exhaustivo y apoye de forma eficaz a la organización en el logro de sus objetivos de compliance.

Tomado de: https://www.isotools.org/

¿CÓMO CONSTRUIR UNA CULTURA DE COMPLIANCE SEGÚN LA ISO 37301?

La cultura organizacional es un concepto que aún no asimilan en todas las organizaciones, pese a que toda empresa tiene una cultura, aunque sea inconsciente de ello, porque ella engloba las normas, las expectativas y los estándares de desempeño de la compañía, y no hay ninguna que funcione sin estos elementos.

Si miramos más profundo dentro de la empresa y hacemos una radiografía a la cultura de compliance nos daremos cuenta de que también existe.

Para que la cultura de compliance no se encuentre a la deriva y se forme sin que haya una noción de su existencia, es menester dar pasos firmes hacia la concientización y comunicación de un aspecto crucial: todos los miembros de la empresa necesitan saber y entender que el incumplimiento atenta contra la supervivencia y continuidad del negocio. Y, por tanto, del sustento de todos. 

Más aún, es muy deseable que exista la idea concreta de que lo que se hace en la organización es fundamental para la sociedad y para la economía del país donde se desarrollan las operaciones. Pero ese país y esa economía cambian, y la cultura de compliance bien afianzada hará que la adaptación a esas transformaciones sea adecuada y definirá con qué valor de la cultura se gestionará cada cambio.

• ¿Pero disponemos del tipo de cultura de compliance que verdaderamente necesitamos?
• ¿Cumplimos con las leyes?
• ¿Qué percepción tenemos sobre el cumplimiento?
• ¿Qué haríamos en caso de incumplir? ¿Qué visión ofrecen los gerentes y directivos al respecto?

Los valores de la organización son relevantes porque confieren atributos claros con los cuales identificarse, por los cuales trabajar y otorgan sentido de pertenencia al equipo laboral. Con valores descritos y comunicados es ideal detectar la puesta en práctica de estos para premiar (de manera simbólica o con algún reconocimiento público) a quienes incluyan los valores de compliance en su día a día. Estos valores pueden ser:

• Honestidad.
• Integridad.
• Transparencia.
• Debido cuidado profesional.

Podemos hablar de que una cultura de compliance deseable existe cuando la totalidad de trabajadores tiene conocimientos sobre cumplir e incumplir y cuentan con creencias en común al respecto. Y cuando, entre todos, descubren o desarrollan formas de afrontar las nuevas leyes, regulaciones y dilemas éticos. Pero ¿cómo abordar aspectos tan amplios? Recomendamos:

• Identificar el objetivo principal del compliance en la organización y elegir las estrategias para alcanzarlo.
• Establecer las metas específicas de compliance que se deben conseguir.
• Determinar el camino para perseguir las metas, entre ellos elegir una estructura de organización y un sistema de recompensas.
• Precisar los criterios para determinar qué tan bien están logrando sus metas de compliance las personas, los equipos y los departamentos.
• Identificar los métodos para la comunicación y desarrollar un significado compartido en cuanto a los valores centrales.
• Establecer criterios para la pertenencia a grupos y equipos.
• Fijar las reglas para adquirir, mantener y perder poder y estatus.
• Desarrollar sistemas que propicien las conductas de compliance deseables y desalienten las indeseables.

La norma ISO 37301- Sistema de gestión de compliance cuenta con el apartado 6.1.1, referido a la cultura de cumplimiento. El estándar enfatiza que la organización debe desarrollar, mantener y promover una cultura de cumplimiento en todos los niveles dentro de la organización y apunta dos requisitos más:

• El órgano de gobierno, la alta dirección y la dirección deben demostrar un compromiso activo, visible, coherente y sostenido con un estándar común de comportamiento y conducta que se requiere en toda la organización.
• La alta dirección debe fomentar un comportamiento que cree y respalde el cumplimiento. Deberá prevenir y no tolerar comportamientos que comprometan el cumplimiento.

Estas recomendaciones que aportamos y los deberes que incluye la norma no bastan por sí solos. Ameritan el impulso que los líderes logran con ejemplo y comportamiento ético para con sus colaboradores, clientes y partes interesadas. Una cultura de compliance sólida motivan a que las autoridades de las organizaciones sean incapaces de aceptar sobornos, contaminar el ambiente, practicar el tráfico de influencias, incumplir contratos laborales, pagar los sueldos con retraso, ignorar imposiciones legales, acumular multas sin pagar o pedir prestados artículos que no devuelven.

 Tomado de: https://www.isotools.org/

COMO AYUDAN LOS SISTEMAS INTEGRADOS DE GESTIÓN A LAS POLÍTICAS DE COMPLIANCE

La integración de los Sistemas de Gestión (SG) de una organización, es una de las decisiones estratégicas más retadoras y asertivas, particularmente desde el 2012, cuando la Organización Internacional de Normalización (ISO) agregó el Anexo SL a las Directivas ISO / IEC, Parte 1, con el objeto de mejorar la consistencia y facilitar la alineación de los estándares de sistemas de gestión ISO, existentes y futuros, al proporcionar una estructura de alto nivel unificada.

De modo que las organizaciones que aceptaron este reto y se embarcaron en el proyecto de unificar sus sistemas, se encontraron con una serie de obstáculos culturales, técnicos y estructurales al fusionar los elementos de gestión comunes de las normas de referencia implicadas, ya sea por la carecía de un enfoque común, la diferenciación de competencias en equipos multidisciplinarios, o la simple falta de experiencia. Hoy por hoy estos obstáculos de transformaron en oportunidades de mejora que agregan valor organizacional y brindan múltiples beneficios propios de la integración.

En un entorno tan cambiante, donde la dinámica de los negocios cada vez es más exigente, y suma día a día nuevos requisitos, las organizaciones que desean mantenerse en el mercado y asegurar su sostenibilidad necesitan sistemas para garantizar que se mantengan a la vanguardia, muchos de estos nuevos requisitos se traducen es sistemas de gestión especializados, que poco a poco se van integrando para contribuir con el cumplimiento de los objetivos de desarrollo sostenible de carácter global.

El nuevo estándar para la gestión del cumplimiento con la norma ISO 37301: 2021 Sistemas de gestión de cumplimiento: requisitos con orientación para su uso, hace explicito un requisito que ha estado enmarcado de manera implícita en todos los sistemas de gestión, de modo que, al establecer y mantener una cultura de cumplimiento, se logra que todas las partes interesadas sean ganadoras.

Cumplir con los requisitos legales y reglamentarios, es mucho más que evaluar y denotar una declaración de cumplimiento, en la práctica, es el resultado de una cultura profundamente arraigada de integridad, valores fundamentales y buena ética. Un sistema de gestión de cumplimiento es la herramienta para que toda la organización demuestre su compromiso de cumplir con las leyes pertinentes, los requisitos reglamentarios, los códigos de la industria y los estándares organizativos, así como los estándares de buen gobierno, las mejores prácticas generalmente aceptadas, la ética y las expectativas de la comunidad.

La ISO 37301 provee todo lo que una organización necesita saber para planificar, desarrollar, implementar, mantener y mejorar un sistema de gestión de cumplimiento eficaz, rompiendo el paradigma de que el cumplimiento legal y reglamentario tiene por objeto evitar multas y se debe limita a una función o un departamento, transcendiendo a un asunto de todos, donde todos somos coparticipes de los resultados y aportamos nuestro granito de arena el posicionamiento de una imagen corporativa de confianza y seguridad.

Una organización que tiene ya implementado un sistema de gestión integrado, tiene experiencia en la construcción de una cultura organizacional orientada a una disciplina, como “calidad”, “seguridad”, “ambiente”, entre otras, de modo que se le facilita la incorporación de nuevas estrategias que permitan adicionar disciplinas que refuercen los comportamientos esperados en la organización.

En cada sistema de gestión la alta dirección tiene una participación y responsabilidad directa con el liderazgo, de modo que el incorporar la norma ISO 37301 a un sistema integrado, es un proceso sencillo, pues la dirección ya tiene un liderazgo marcado, solo que para este caso su papel es un poco más activo y protagónico, pues el éxito en la implementación de una cultura organizacional de cumplimiento legal y reglamentario es directamente proporcional a la efectividad del proceso de implementación de un gobierno corporativo.

Integrar la gestión del cumplimiento en toda la organización bajo un principio de buen gobierno, implica incorporar el cumplimiento de leyes, disposiciones, reglamentos y acuerdos como garantes de las libertad, legitimidad, eficiencia y sostenibilidad a largo plazo en cada proceso de gestión financiero, de riesgo, de calidad, ambiental, de salud y seguridad, etc., así como en sus requisitos, procedimientos, y actividades operativas.

Principales beneficios al implementar en un sistema integrado la Norma ISO 37301

La política de un sistema de gestión de cumplimiento en el marco de la ISO 37301 alinea los valores, objetivos y estrategia con el cumplimiento de las obligaciones de la organización, se ampara en unos principios de gobernanza que dan claridad no solo solo en la evaluación de riesgos de multas debido al incumplimiento, sino en los principios de operación exigidos bajo una cultura de ética, transparencia, veracidad.

Incorporar la política, objetivos y estrategia de cumplimiento en un sistema de gestión integrado (SIG), brinda una mayor confianza a los clientes y otras partes interesadas. A continuación, se describen las 5 principales ventajas que se obtienen al incorporar la norma ISO 37001 a un SIG:

• Mejora la reputación y credibilidad organizacional: Al tener una gestión integrada de todos los procesos organizativos, teniendo en cuenta a la vez las distintas disciplinas integradas (calidad, ambiental, seguridad, responsabilidad corporativa, etc.) e incluir el cumplimiento como directriz estratégica, la percepción que tienen los clientes y grupos de interés del funcionamiento de la organización se mejora, posicionando una imagen de confianza y seguridad.
• Reducción de duplicidades: Conocer las sinergias existentes de los sistemas de gestión integrados, permite distribuir de forma más eficiente los recursos, evitar retrabajos, y facilita la participación del personal, al tener claridad del alcance de las funciones y responsabilidades, lo que implica un nivel más alto de satisfacción de los colaboradores, sintiéndose más implicados en los resultados organizacionales.
• Contribuye al cumplimiento de obligaciones: Tener un enfoque de procesos, donde se identifican las partes interesadas, la interacción de las mismas, sus requisitos y riesgos transferidos, hace que la participación de los clientes, proveedores y otras partes interesadas, se traduzcan en mejoras de las rutinas y procesos técnicos de la organización para lograr el mayor cumplimiento de las obligaciones, además fomenta la participación de forma solidaria de todos los colaboradores en todos los sistemas traduciéndose en una optimización del funcionamiento y un aliciente para la innovación.
• Simplifica el control de la información documentada: Al tener un sistema integrado el control de la información documentada se optimiza radicalmente, pues se debe utilizar una estructura común que integre los requisitos de todas las disciplinas a controlar, reduciendo el número de documentos y propiciando un sistema de gestión más accesible y comprensible.
• Previene los riesgos legales y penales: Es más eficaz gestionar los riesgos cuando éstos son analizados desde distintas perspectivas, en un sistema de gestión integrado ya se tienen identificados algunos riegos de cumplimiento, por lo cual adicionar un sistema de gestión Compliance asegura que se minimicen los riesgos inherentes al contexto de la legalidad en cada uno de estos procesos y se logra un mayor control.
• Maximiza el alcance e integración: Unificar criterios en la aplicación de las diferentes normas y alinear estrategias y políticas que faciliten la toma de decisiones de la dirección, al disponer de una visión integrada y global, facilita el análisis de los factores de riesgo (aspectos sociales, culturales, medioambientales y económicos presentes en el entorno donde opera la organización) que pueden afectar el cumplimiento, además contribuye con una correcta integración de la calidad, seguridad y gestión.
• Mejorar la productividad de la organización: Tener un SIG permite aprovechar documentación, estructuras, recursos comunes, controles, conocimiento, etc., y, si el SIG dispone de un grado de madurez suficiente, es posible reducir tiempo y recursos empleados en la integración del cumplimiento como requisito de todos los procesos y como base de la cultura organizacional, aumentando la eficacia y eficiencia de los resultados y su seguimiento.

Integrar la ISO 37301 con otros sistemas de gestión de una organización, coadyuva con la lucha contra el soborno, la mejora continua de la calidad, el aumento de la ética y transparencia, el logro del trabajo decente y crecimiento económico, la paz, justicia e instauración de instituciones sólidas, eficiencia, la eficacia y la productividad organizacional y el desarrollo de ciudades y comunidades sostenibles.

Tomado de: https://www.isotools.org/

ISO 37301 – APARTADO 4.2: COMPRENSIÓN DE LAS NECESIDADES Y EXPECTATIVAS DE LAS PARTES INTERESADAS

Si te quieres zambullir de lleno en la norma ISO 37301 pero sientes que hay muchos detalles que no comprendes del todo, estamos listos para socorrerte y explicarte punto por punto de qué va este tema del compliance, un asunto del que todos hablan y que va cobrando relevancia conforme pasa el tiempo.

Se hacen debates, simposios, webinars y hasta hay una norma ISO para implementar todo un sistema de gestión de compliance (CMS por sus siglas en inglés). Vale la pena profundizar y hoy lo haremos al adentrarnos en el apartado 4.2 del estándar, que se centra en la comprensión de las necesidades y expectativas de las partes interesadas.

Para avanzar es preciso tomar en cuenta que se define en el término 3.2 una parte interesada como: “las personas u organizaciones que pueden afectar, ser afectadas o percibir que son afectadas por una decisión o actividad”, tenemos algunos ejemplos como:

¿Cómo abordar este apartado? Tenemos que identificar cuáles son las partes interesadas de nuestra organización y cuáles son los requisitos de estas en relación con el sistema de gestión de compliance. Estas personas y entes empresariales no se mantienen inmutables, sino que pueden cambiar según el contexto. De allí la necesidad de revisar periódicamente, como un proceso quiénes dejaron ser pertinentes y quiénes se incorporaron, para que el CMS sea eficaz y pueda mejorar continuamente su eficacia.

De acuerdo con la norma ISO 37301 es necesario que la organización determine los requisitos y necesidades de las partes interesadas. Es decir, es necesario conocer los requisitos de las partes interesadas que ya identificamos. ¿Qué debemos tomar en cuenta primero? Las necesidades y obligaciones inherentes al sistema de gestión de Compliance, por ejemplo:

• Cumplir con los deberes fiscales (como declaración y pago de impuestos, entre otros).
• Estar al tanto de la promulgación de nuevas leyes y reglamentos.
• Evitar estar en deuda con los pagos de imposiciones legales y beneficios de trabajadores.
• Contar con información documentada al día, como contratos con clientes y proveedores.
• Creación de códigos de ética y conducta, manuales de buenas prácticas y procedimientos destinados a evitar conflictos de interés, malentendidos e incumplimiento.
• Honrar los compromisos con los socios de negocio.

Las necesidades de las partes interesadas van desde requisitos obligatorios hasta expectativas no obligatorias y compromisos voluntarios asumidos por las partes. En el anexo de la norma ISO 37301 se expone que los obligatorios son requisitos formales, como leyes, reglamentos, permisos y licencias, y acciones gubernamentales o judiciales. En cuanto a los voluntarios, no existen explicaciones en el estándar, pero se trata de acuerdos verbales o contractuales que resultan convenientes para quienes suscriben los pactos o normas de cumplimiento voluntario como la ISO 9001, ISO 45001, ISO 14001, entre otras.

¿Cómo identificar a las partes interesadas y sus requisitos?

Podríamos considerar lo siguiente para conseguirlo:

• Formar grupos de trabajo multidisciplinarios.
• Dar lugar a las tormentas de ideas, debates y demás técnicas de discusión.
• Estudios y entrevistas con las partes interesadas.
• Encuestas de satisfacción.
• Estudios de mercado.

Todos los hallazgos sobre partes interesadas y sus requisitos requieren ser registrados mediante informes, con el fin de garantizar la eficiencia del CMS. No dejar constancia de los datos recabados daría lugar a equívocos, imprecisiones y confusiones innecesarias. Este apartado puede abordarse de forma idónea si logramos precisar de qué manera interactuamos con cada parte interesada.

Interés e influencia

La norma ISO 37301 aclara que es imperativo determinar cuáles requisitos de las partes interesadas se abordarán a través del sistema de gestión del compliance, puesto que el CMS tiene capacidades, límites y fronteras en base a los recursos disponibles por parte la organización que lo implementa. Y cuanto antes las conozcamos, mejor será.

Cumplir con el apartado 4.2 de la norma podría resultar más sencillo si determinamos cuál es el grado de interés y el nivel de influencia de cada parte interesada, lo cual definiría su pertinencia. Al contar con el inventario resultante y analizadas ambas variables tendrán que tomarse medidas pertinentes para relacionarse con las mencionadas partes. Existen elementos del CMS que podrían nutrirse significativamente gracias a estas revisiones. Un ejemplo palpable podría ser el análisis de riesgos de compliance.

¿Para qué determinar las necesidades y expectativas de las partes interesadas?

Este requisito es vital para el éxito del CMS porque nos permite hacer conexión entre las necesidades y expectativas de las partes interesadas pertinentes con los riesgos y oportunidades, que es el requisito 6.1. como indica el siguiente esquema:

Es decir que la determinación requisitos de las partes interesadas son una las entradas principales para los riesgos y oportunidades del CMS que tiene un carácter estratégico para el logro los objetivos de compliance, cumplir con las obligaciones de compliance identificadas y crear y proteger valor de los resultados de la evaluación de los riesgos de compliance.

Te invito a que sigas acompañándonos en estas lecturas guiadas de la norma ISO 37301, un estándar potente y que con cada día que pase será más relevante.

Tomado de: https://www.isotools.org/

¿CÓMO AYUDARÁ A MITIGAR LOS RIESGOS DE COMPLIANCE LA FUTURA ISO 37301?

Como asesores, auditores y consultores, nos consta que en las organizaciones incurren en incumplimientos variados por ignorancia y no por mala fe. 

Y el desconocimiento les juega malas pasadas a los trabajadores, puesto que no conocer las leyes, reglamentos o cláusulas de los contratos, códigos y estándares internacionales, no justifica que estos no se incumplan. 

Allí es cuando surgen los riesgos a los que nos debemos enfrentar cuando nos subyuga la ausencia de saber. Después de todo, ¿cómo podemos tratar riesgos cuya existencia no nos es familiar? Es como tratarse un padecimiento que uno no puede percibir. ¿Tiene sentido tomar un analgésico cuando sentimos que todo en nuestro cuerpo marcha bien? Absolutamente no.

Las organizaciones, en cuanto a cumplimiento, requieren estar particularmente informadas. Las regulaciones internacionales surgen a borbotones, como si todo en el mundo se pudiera normar. ¿Acaso es posible? Bien, hasta hace unos años los canales de denuncias se limitaban a algunos teléfonos o correos en los que se podía emitir algún reclamo que podría – o no – llegar a resolverse. 

Actualmente se espera la publicación de la norma ISO 37002 para los Sistemas de gestión de denuncias. ¿Alguna vez te imaginaste que la estandarización llegará a afinarse hasta ese punto? Nosotros creemos que era previsible, y que una organización como la ISO estaría al tanto del contexto para estandarizar, en la medida de lo posible, este entorno VUCA tan difícil de domar.

¿Qué es un riesgo de cumplimiento?

El entorno organizacional, como señalamos anteriormente, es cambiante. Los marcos regulatorios y los compromisos inherentes de cada organización están en constante evolución, suceden derogaciones de leyes, publicaciones, actualizaciones… podríamos afirmar que hoy más que nunca, las empresas corren el riesgo de no cumplir con sus obligaciones. Y el riesgo consiste en una serie de amenazas que pueden afectar las operaciones, finanzas o reputación de la compañía. 

Lo primordial para evitarlo consiste en hacer un análisis de riesgos de incumplimiento para entender de qué forma nos exponemos, en qué áreas somos más vulnerables, ¿cuál sería el impacto si no se cumple? y ¿qué hacer ante ello?, ¿qué elementos son potencialmente riesgosos?, ¿a cuántos tipos de riesgos nos enfrentamos y de qué clase es cada uno?, entre otros. Es recomendable que esta evaluación se haga con una frecuencia marcada por la dinámica de cada organización.

Hay muchos tipos de evaluaciones de riesgos, pero la que tiene que ver con el incumplimiento cuenta con elementos diferenciadores. Por ejemplo, está hecha para identificar puntualmente lo riesgos de cumplimiento normativo, esto no tiene que ver con estrategias ni metas. En ese sentido, la norma ISO 37301 será un apoyo esencial, puesto que uno de sus objetivos será ayudar a identificar, jerarquizar y asignar responsabilidades para gestionar los riesgos reputacionales, financieros y operativos relacionados con las obligaciones de cumplimiento.

Al llevar a cabo el sistema de gestión de compliance es necesario confirmar su eficacia con una auditoría interna. La norma ISO 37301 proporcionará requisitos y orientación valiosa que ayudará a dilucidar cuáles son los riesgos y de qué manera se abordarán. Los encargados del cumplimiento asignarán tareas a cada equipo y/o individuo correspondiente, con el propósito de evitar que se irrespeten las políticas de la organización y del país, que se incurran en malas prácticas y en comportamientos antiéticos, o se violen leyes. 

Esas acciones podrían evitar el pago de multas elevadas, encarcelaciones, sanciones, pérdida de confianza por parte de inversores, caída de los precios de las acciones, daños reputacionales y hasta las operaciones podrían verse seriamente limitadas. ¿Qué riesgos serán tratados con mayor prontitud? La norma exhorta a atender los que minen la capacidad de la organización para alcanzar sus objetivos y seguir un enfoque estratégico, que aporte a las ventajas competitivas de la organización.

Los aspectos financieros son cruciales. Por eso la ISO 37301 nos conmina a controlar los riesgos de cumplimiento con las obligaciones adquiridas por la organización, pues las amenazas materializadas pueden derivar en no cumplimientos mayores que comprometerían la continuidad del negocio. Además, la norma constituye una suerte de lista de chequeo en la que son muy relevantes:

• Leyes, reglamentos y acuerdos con los que la organización debe cumplir en cada lugar en el que lleva a cabo sus negocios.
• Políticas organizacionales, acuerdos y convenios contractuales.
• Políticas empresariales basadas en la cultura organizacional, valores o influenciadas por el marco legal.

Si el marco regulatorio se globaliza de forma cada vez más rápida, las organizaciones corren el riesgo de no adaptarse prontamente y de caer en el no cumplimiento, en especial si las empresas tienen presencia internacional, aunque las pymes también pueden formar parte de los potencialmente afectados. Por eso el entramado que compone al compliance puede resultar intrincado, complejo, y hasta impracticable. 

No obstante, la norma ISO 37301 viene en nuestro auxilio para ayudarnos a hacer evaluaciones de riesgo bien minuciosas, puesto que la consciencia acerca de la exposición puede ser clave para anticiparse a los riesgos y evitar que se materialicen. Así será más sencillo mantener una reputación favorable, evitar los desastres que acarrea el incumplimiento y hacer del compliance una ventaja competitiva.

Tomado de: https://www.isotools.org/

LA IMPORTANCIA DE LOS VALORES EN LA NORMA ISO 37301

Los valores nunca pasan de moda. Ellos encarnan las virtudes más deseables de las personas y forman parte de todo un entramado de creencias capaces de determinar la manera en que la gente piensa y actúa.

 

Los valores son inherentes a las personas, pero también a las organizaciones, puesto que estas son ciudadanos corporativos, que, al igual que los individuos, cuentan con deberes y derechos. Generar riqueza conlleva responsabilidades y compromisos con la sociedad y el medioambiente, y los valores son una forma de expresar y materializar esa responsabilidad empresarial que nos lleve al necesario cumplimiento que promulga la norma ISO 37301.

Podemos afirmar que los valores son capaces de encauzar a las organizaciones hacia la fabricación de productos de calidad, inversiones sociales, fomento de empleos, impulso de la economía, creación de productos y servicios que atiendan las necesidades de la gente. Cumplir con esto las llevaría a ser entes generatrices de bienestar y progreso que logran la coherencia entre la misión, visión, valores y las acciones del día a día: teoría y práctica en armonía.

Un buen ciudadano corporativo

Está claro que el objetivo primordial de una compañía es la obtención de beneficios económicos, pero ignorar sus responsabilidades puede convertir a la empresa en un mal ciudadano que incumpla con sus deberes y sea castigada con multas, cárcel o cierre definitivo. ¿Cómo puede llegar a ser todo lo contrario y convertirse en una figura ejemplar? Un buen comienzo sería:

• Llevar a cabo políticas y gestiones que impacten positivamente en el entorno.
• Ejecutar prácticas sustentables desde el punto de vista medioambiental.
• Cumplir con todas sus obligaciones legales y contractuales.
• Contribuir al bien de la sociedad.
• Fomentar la ética corporativa, integridad y honestidad.

Todos estos elementos mencionados tienen gran relevancia en la norma ISO 37301 y cuentan con una raíz común: los valores. Pero no nos referimos a los valores lejanos de los sermones domingueros ni a esos de los que hacen gala los protagonistas de telenovelas, aquellos con profunda vocación de mártir. Los que nos atañen son esos valores que forman parte de nuestras mejores características individuales y que podemos extrapolar a la vida empresarial, a los valores que dan cuenta de cómo somos, lo que podemos lograr con disciplina y constancia y puede materializarse en productos excelentes. 

Valer es una palabra que proviene del griego «axios» (lo que vale, lo que tiene un precio, lo que todo el mundo considera digno de estimación). Y lo ideal es que ese algo forme parte activa de la vida y no que se quede en el terreno de los sueños.

Para el autor Jorge Yarce, la cultura de la empresa se perfila con base al conjunto de valores que a nivel individual y corporativo constituyen el estilo y forma de trabajo, determinan la motivación y llevan al ejercicio del liderazgo, en cuanto desarrollo del potencial de cada persona para influir positivamente en los demás.

Lo que nos parece más relevante es que desde la dirección de precisen qué valores deberían regir en la empresa, cómo integrarlos a la vida de cada colaborador e idear las formas en que esos valores se hagan presente en la cotidianidad. Que la solidaridad, honestidad, responsabilidad, justicia, respeto, tolerancia y lealtad nos lleven a ser excelentes.

Los valores y la norma ISO 37301

La norma ISO 37301 se basa en el cumplimiento, y cumplir entraña convicciones que descansen en una base firme. Los valores son esa base, pues nos mueven a actuar de forma honesta, ordenada y justa. Es difícil imponer por decreto la actuación basada en valores. Es necesario ejemplificarlos, desearlos, vivirlos, percibirlos como parte de un compromiso consigo y con el resto. 

En este sentido, recomendamos la concientización, charlas, material didáctico y dinámicas grupales destinadas a sembrar valores que se incorporen a la vida y afloren en el trabajo de forma natural y podamos lograr cambios de actitud que nos lleven a construir juntos algo realmente grande y poderoso, que surja de la voluntad individual y corporativa. 

Al final, podemos resumir el tema en la necesidad de crear hábitos que nos conduzcan al cumplimiento. Desde esta óptica los valores son una ventaja competitiva porque nos impulsan a dar lo mejor, a ser optimistas, proactivos, comprometidos, y, sobre todo, cumplidos.

¿Dónde hace referencia la norma a los valores?

Podemos encontrar referencia a los valores como parte de la definición 3.28 “cultura de compliance: valores, ética, creencias y conductas que existen en una organización y que interactúan con las estructuras y sistemas de control de la organización para producir normas de comportamiento que conducen al compliance”, es decir representa un componente ineludible de la cultura de la organización

También en el apartado 4.4 donde encontramos el requisito “El sistema de gestión del compliance debe reflejar los valores, objetivos, estrategia y riesgos de compliance de la organización, teniendo en cuenta el contexto de la organización (véase 4.1).” Es decir que la organización debería definir, promover y reforzar los valores como parte del CMS.

Luego aparece en 5.1.1 específicamente como una responsabilidad del órgano de gobierno y la alta dirección quienes deben: “establecer y defender los valores de la organización” Una de las principales funciones que se incorporan a las características de un buen gobierno corporativo.

Se recomienda que al tener unos valores publicados forma parte de la cultura de compliance, además que la dirección implemente y respete activa y visiblemente esto valores.

Con esto podemos concluir que los valores no son sólo beneficios subjetivos que tiene cualquier organización, sino que para quienes implementen la ISO 37301 deben contar con evidencia objetiva de cada una de estas recomendaciones para poder certificar su sistema de gestión de compliance.

Tomado de: https://www.isotools.org/

¿CÓMO GESTIONAR LA DEBIDA DILIGENCIA?

A lo largo del artículo vamos a hablar sobre los Sistemas de Gestión Antisoborno y cómo gestionar una Debida Diligencia.

La Debida Diligencia es una de las herramientas del Sistema de Gestión Antisoborno que ha causado mayor expectativa, debido a que ha sido un instrumento usado hasta el momento por el sector legal, como abogados o jueces. Por ello, para las personas que no han tratado con la Debida Diligencia, es un tema bastante lejano.

Para comenzar, trataremos el universo que llamamos fraude. Este fraude abarca diferentes componentes, como por ejemplo la apropiación indebida de activos, el robo, el fraude de estados de cuentas o la corrupción.

Corrupción vs soborno

En el caso de la corrupción, existe dos grandes manifestaciones: extorsión y soborno. Cuando nos referimos a extorsión específicamente en la versión de ISO 37001 se nos indica que no se va a profundizar en los controles propios a la extorsión puesto que ahí están involucrados aspectos de preservación de la vida y de la integridad del ser humano. Esto ocurre ya que las normas ISO son instrumentos que no alcanzan a mitigar esa clase de efectos, por ello se centran en una manifestación más específica de la corrupción que es el soborno.

Dentro del soborno también encontramos una subdivisión que hace referencia al cohecho, esto se refiere al soborno realizado sobre funcionarios públicos nacionales o extranjeros. El soborno puede ser entre particulares, mientras que en el cohecho siempre debe estar involucrado una persona que tenga una autoridad designada con carácter político.

La Debida Diligencia es el proceso para evaluar con mayor detalle la naturaleza y alcance del riesgo de soborno y para ayudar a las organizaciones a tomar decisiones.

¿Qué es el soborno?

El soborno es una oferta, promesa, entrega, aceptación o solicitud de una ventaja indebida de cualquier valor (que puede ser de naturaleza financiera o no financiera), directamente o indirectamente, e independiente de su ubicación, en violación de la ley aplicable, como incentivo o recompensa para que una persona actúe o deje de actuar en relación en el desempeño de las obligaciones de esa persona.

Esta definición se encuentra en la norma ISO 37001 para los Sistemas de Gestión Antisoborno en su apartado 3.1. Para poder comprender esta definición es importante desglosar algunos aspectos de gran relevancia.

Cuando menciona los términos oferta, promesa, entrega, aceptación o solicitud, se está haciendo referencia a una conducta desarrollada o recibida por un individuo/s.

Cuando en la definición encontramos el concepto ventaja indebida, se relaciona directamente con algo que no corresponde, por ejemplo:

• Algo por lo que no se le ha contratado.
• Algo que no está estipulado dentro de su contexto como trabajador, proveedor, cliente o socio de negocio.

Esta ventaja indebida son beneficios adicionales como favores, dinero, influencia u olvidos, en definitiva son beneficios que no corresponden por el trabajo desarrollado.

Actúe o deje de actuar, es la última clave que mencionaremos de la definición de soborno. Es uno de los elementos más importantes para poder determinar los controles. El soborno activo, es el más conocido, se produce cuando una persona ejecuta una acción. También tiene lugar el soborno pasivo, esto se lleva a cabo cuando una persona deja de actuar,

Para el soborno pasivo pondremos a continuación un ejemplo con el objetivo de esclarecer este término: En el caso de un colaborador que se encargue de verificar los productos que se adquieren para incorporarlo en nuestro inventario, Este funcionario puede dejar de realizar esa evaluación para tener un beneficio que le haya ofrecido el proveedor.

La Debida Diligencia

Según la ISO 37001, la Debida Diligencia es el proceso para evaluar con mayor detalle la naturaleza y alcance del riesgo de soborno y para ayudar a las organizaciones a tomar decisiones en relación con transacciones, proyectos, actividades, socios de negocios y personal específico.

Vamos a ver qué tipo de Debida Diligencia habría que llevar a cabo según qué situaciones:

Transacción	Posible investigación	Tipo de Debida Diligencia
Contratar a un abogado	Recomendaciones de otras personas/Colegio de Abogados.	Debida Diligencia de servicios
Comprar una televisión	Reviwws de usuarios en línea, comparación de beneficios y precios.	Debida Diligencia de productos
Descargar una app para el smartphone	Reviews de usuarios.	Debida Diligencia de tecnología
Comprar una vivienda	Revisar contrato de seguro	Debida Diligencia de legal

La Debida Diligencia se debe realizar de forma estructurada como proceso. Para que esto sea eficaz debe tener un conjunto de elementos. Los procesos en las organizaciones son más complejos que en las personas individuales o consumidores.

Vamos a mostrar las semejanzas entre la Debida Diligencia de un consumidor y el de un negocio.

La Debida Diligencia de un consumidor es aquella que realizamos nosotros mismos en nuestra vida diaria cuando se realiza:

• Investigación de la empresa proveedora del producto o servicio que requiere.
• Investigación sobre el producto o servicio que se desea adquirir.
• Comparación de precios.
• Verificación de antecedentes e investigaciones antes de contratar a alguien.

La Debida Diligencia de un negocio se encarga de realizar:

• Investigación de la compañía de interés y su funcionamiento.
• Búsqueda sobre los productos o servicios de la empresa de interés.
• Investigación de la valoración de la compañía y/o de la transacción para determinar el valor razonable.
• Verificación de antecedentes e investigación sobre los fundadores, socios mayoritarios y empleados clave.

Tomado de: https://www.isotools.org

EL CONTROL EN ISO 37001. DIFERENCIAS ENTRE SOBORNO, COHECHO Y EXTORSIÓN

La creación de la ISO 37001 para los Sistemas de Gestión Antisoborno, fue una solución o, mejor dicho, es una parte de la solución que está aportando la Organización Internacional de la Normalización, la cual desde el año 2013 comenzó a trabajar en este estándar.

No debemos de olvidar la complejidad de los procesos por los que pasa cada norma ISO de manera previa a la aprobación de sus estándares, que deben ser aprobados por conceso de los países y las organizaciones que participan en su creación. En el caso de la ISO 37001, el proceso fue bastante largo. En el mismo participaron cincuenta y nueve países y siete organismos enlaces.

La ISO 37001 fue publicada el 14 de octubre de 2016 centrándose únicamente en el soborno por ser el hecho o la conducta de corrupción más fácil de controlar desde el punto de vista de las organizaciones y porque tiene un conjunto de requisitos legales más sencillos de implementar a la hora de llevar a cabo la evaluación del desempeño que tienen las normas, que son por ejemplo las auditorías, las evaluaciones de incumplimiento legal, los indicadores de gestión. Es decir, ISO 37001 propone toda una serie de argumentos que nos permiten precisar en este tipo de delitos particularmente. Esto no quiere decir que solamente se pueda utilizar para dar respuesta a los delitos de soborno. También se puede extender a otros delitos, pero sería como una extensión del alcance, basándose en las normas de prevención del delito que estén establecidas a nivel nacional

El comité técnico que se encargó de su ejecución fue el Comité Técnico 309. Aunque en la última ISO Survey no aparece el número de certificados emitidos de esta norma, ya existen numerosos casos tanto a nivel público como privado.

El soborno, un acto de corrupción

Aunque en ocasiones se usan como sinónimos, existe una diferencia muy importante entre los conceptos fraude y soborno. Cuando hablamos de corrupción, nos movemos en lo que se podría denominar el universo del fraude.

Dentro del fraude podríamos señalar tres tipos o índices clave:

• La corrupción.
• El fraude de los estados de cuenta.
• La apropiación indebida de activos.

Dentro de la corrupción se encontrarían el soborno y la extorsión. Dentro del soborno hay que destacar otro concepto, el de cohecho, el cual se define como el soborno a funcionarios públicos. La gran mayoría de legislaciones nacionales están enfocadas al cohecho en funcionarios públicos nacionales. Por su parte, instituciones internacionales como la ONU, ya han tomado medidas en el asunto, publicando normativas que afectan a funcionarios públicos internacionales.

La norma ISO 37001 no contempla la extorsión, debido a que en este caso hay riesgos de integridad física en las personas, los cuales no alcanza la norma, al menos de momento; concentrándose únicamente en el soborno y el cohecho. El motivo fundamental por el que la ISO 37001 no entró a valorar a la extorsión, se debe fundamentalmente a que contiene variables que no son controlables por las organizaciones.

El motivo por el que la ISO 37001 no entra a valorar a la extorsión, se debe fundamentalmente a que contiene variables que no son controlables.

Automatizar un sistema de gestión antisoborno según ISO 37001

Un software apropiado permitirá automatizar y llevar a cabo una gestión muy eficaz y exhaustiva de cualquier tipo de riesgo: operacionales, financieros, industriales, operativos y legales, como es el caso que nos ocupa. Así podremos ajustarnos completamente a las necesidades de cada una de las organizaciones, facilitando, en gran medida, la adecuación a la normativa.

En este tipo de herramientas que facilitan la automatización de la gestión de riesgos algunos aspectos a tener en cuenta son:

• Poner en funcionamiento procesos de identificación automática de los riesgos a los que está expuesta cada organización. En el caso que nos ocupa habrá que identificar a que riesgos de soborno está expuesta nuestra organización.
• Alinear cada uno de los riesgos detectados con propuestas de posibles controles para conseguir reducir los riesgos de las compañías.
• Poner en marcha un flujo automático de seguimiento del tratamiento de los posibles riesgos.
• Realizar proyecciones y simulaciones que permitan visualizar los resultados que se podrían obtener con la implantación de los controles definidos en el plan de tratamiento de riesgos.

SOBORNO Y COHECHO: DIFERENCIAS Y CONTEXTO DE ACTUACIÓN

Soborno

Como ya se ha visto, dentro de la corrupción se encontrarían el soborno y la extorsión. Dentro del soborno hay que destacar otro concepto, el de cohecho, el cual se define como el soborno a funcionarios públicos. La gran mayoría de legislaciones nacionales están enfocadas al cohecho en funcionarios públicos nacionales. Por su parte, instituciones internacionales como la ONU, ya han tomado medidas en el asunto, publicando normativas que afectan a funcionarios públicos internacionales.

La norma ISO 37001 no contempla la extorsión, debido a que en este caso hay riesgos de integridad física en las personas, los cuales no alcanza la norma, al menos de momento. Concentrándose únicamente en el soborno y el cohecho. El motivo fundamental por el que la ISO 37001 no entró a valorar a la extorsión, se debe fundamentalmente a que contiene variables que no son controlables por las organizaciones.

Existe una diferencia muy importante entre los conceptos fraude y soborno. Dentro de la #corrupción se encontrarían el soborno y la extorsión.

¿Qué es el cohecho?

Como se mencionaba anteriormente, el cohecho se define como el soborno entre cargos de la administración pública. Con esto se hace referencia a que para que se produzca cohecho, al menos uno de los implicados debe de ser un trabajador de la administración pública. Este tipo de acciones corruptas se enmarca dentro de lo que serían las relaciones económicas existentes entre el sector público y el privado.

Los delitos de cohecho han sido estudiados desde diferentes posturas, llegando incluso a destacar categorías. A continuación ofrecemos una que se recoge en el

Código Penal español, a modo de ejemplo.

a) cohecho activo y pasivo, el activo es el cometido por el particular que corrompe o intenta corromper al funcionario público o autoridad con sus dádivas, presentes, ofrecimientos o promesas. El pasivo es el realizado por el funcionario que solicita, recibe o acepta el soborno.

b) cohecho propio e impropio, el propio se relaciona porque su finalidad es la consecución de un acto propio del cargo contrario al ordenamiento jurídico. En el impropio el acto es también propio del cargo, pero adecuado al ordenamiento jurídico.

c) cohecho antecedente y subsiguiente, en el antecedente el soborno se realiza antes de adoptarse el acto administrativo correspondiente. En el subsiguiente, el soborno o intento de soborno se concreta un vez que se ha producido el acto propio. 

¿Qué es el soborno?

Según el punto 3.1 de la propia ISO 37001 el soborno se define como: “Una oferta, promesa, entrega, aceptación o solicitud de una ventaja indebida de cualquier valor (que puede ser de naturaleza financiera o no financiera), directamente o indirectamente, e independiente de su ubicación, en violación de la ley aplicable, como incentivo o recompensa para que una persona actúe o deje de actuar en relación con el desempeño de las obligaciones de esa persona.”

Es decir, emplear bienes, servicios o favores para obtener una ventaja indebida para que una persona nos permita hacer o dejar de hacer un determinado aspecto. A modo de ejemplo: soborno sería conseguir un determinado contrato por parte de una empresa a cambio de un soborno con dinero, un favor o alguna ventaja a alguno de los responsables.

Muchas legislaciones no contemplan aun el soborno entre entes privados, siendo únicamente asociado a las empresas del sector público, como si estas fueran las únicas corruptas. Para que se produzca soborno solo hacen falta dos actores: un corruptor y un corrompido y estos se pueden encontrar en cualquier ámbito u organización. La ISO 37001 es una norma para cualquier tipo de empresa y cualquier sector (pública, privada, pequeña, grande, nacional, multinacional, etc.).

Analizando la definición que proporciona la ISO 37001, hay que señalar varias cuestiones sobre los elementos clave de esta definición:

Primeramente, señalar que cuando se hace referencia a la “Oferta, promesa, entrega, aceptación o solicitud”, estamos hablando de conductas. Ante un posible delito sería lo que se conoce como el sustantivo. Esto estaría enmarcado en la ley de prevención del delito de cada país.

Sabemos que hay países como por ejemplo Chile que ya han comenzado a legislar este tipo de asunto de manera oficial a través de leyes como la 20393 o la 21121. Lo mismo ha ocurrido en Perú a través de su Ley 30424.

Cuando se habla de “ventaja indebida” se refiere a que el corruptor se está valiendo de una ventaja que posee como persona, para poder acceder a un beneficio. En este caso esa ventaja indebida puede darse en forma de favores, dinero, influencia, olvido (de una determinada acción del pasado), beneficios (viajes, bienes, pagos…), etc. A fin de cuentas, se está llevando a cabo una acción de soborno. Hay diferentes maneras de mencionar el soborno: flagelo, mordida, mascada, coima, etc. Esto se debe a que se trata de una conducta que va en contra de los valores que tenemos como sociedad.

Otra clave en la definición hace referencia a la que reza: “una persona actúe o deje de actuar”. En este caso nos vamos a encontrar con lo que sería la conducta activa o pasiva de una persona para cometer un delito:

• Activa quiere decir que ejecuta, es decir que lleva a cabo una determinada acción para obtener una determinada ventaja.
• Por su parte, una acción pasiva significa que deja de ejecutar una acción para propiciar esa ventaja indebida. Un ejemplo de esto, sería el de un determinado trabajador que no hace nada cuando una persona viola una norma o límite de la compañía, es decir, permanece pasivo ante la situación, dejando de ejecutar su responsabilidad.

Tomado de: https://www.isotools.org