lunes, 18 de marzo de 2019

CÓMO ESTUDIAR NO CONFORMIDADES SEGÚN ISO 9001 Y AYUDAR A QUE TU ORGANIZACIÓN SEA MÁS ROBUSTA [MÉTODO INFALIBLE]

Te propongo un ejercicio de memoria… ¿recuerdas cuándo fue la última vez que alguien te dijo una verdad en relación al rendimiento de tus procesos y te lo tomaste a mal?

Perdone señor, pero el servicio postventa de este producto no ha sido nada bueno…
Disculpe, pero ayer me vendieron un móvil en mal estado…
Me han enviado un artículo equivocado…
En general no nos gusta que nos digan, aunque sea verdad, que hemos llevado a cabo un trabajo con errores, mal ejecutado, no conforme … lo que en el lenguaje de la ISO 9001 llamamos No Conformidad. En ese post quiero abordar este asunto para enseñarte un método infalible sobre cómo estudiar las No Conformidades y evitar que vuelvan a ocurrir.

Antes de continuar déjame decirte que tras la lectura de este post:

  • No tendrás dudas sobre lo que es una no conformidad.
  • Te enseñaré los dos principales motivos por los que aparece una no conformidad en tu organización.
  • Sabrás como registrar y describir una no conformidad y los pasos a seguir para tratarla.
  • Te explicaré la regla de los “por qué” para que los apliques al análisis de tus no conformidades.
  • Aprenderás cómo implantar LA acción correctiva  que elimine la causa de la no conformidad.
  • Entenderás en qué momento y cómo verificar la eficacia de la acción correctiva que has implantado.


Qué es una no conformidad
Quiero comenzar recordándote qué era una No Conformidad. Desde un punto de vista de la norma ISO 9001 una no conformidad es:

Un incumplimiento de un requisito de la norma, incumplimiento de un requisito legal o de cualquier requisito especificado en los procedimientos de nuestro sistema de gestión de la calidad referente a los productos o servicios que suministra nuestra organización.

Toda esta definición que parece un rollo enorme te lo puedo resumir en que:

Una no conformidad es una situación en la que aparece un fallo o un error en una empresa debido a que no se han ejecutado bien los procesos que se han establecido.

Por tanto cualquier error o fallo interno en una organización se puede considerar, a priori, una no conformidad. De aquí la importancia de este concepto porque… ¿en qué empresa no aparecen fallos o errores internos?

Así que ¡prepárate porque vienen curvas!… y te lo digo por experiencia, ya que se perfectamente que el estudio de las No Conformidades en una empresa es algo muy, muy, muy complicado de llevar a cabo de forma efectiva. Tenemos asociado de una manera increíble que cuando aparecen errores es algo muy malo y que nos llevará a que nos llamen la atención… Cuando el enfoque de una no conformidad es todo lo contrario.

Si te fijas, desde un punto de vista lógico, la aparición de una no conformidad es una oportunidad para hacer mejor las cosas, una oportunidad para mejorar.

Lo importante es:

1. Por un lado eliminar ela connotación negativa del concepto de no conformidad.

2. Aprovechar la oportunidad de que ha aparecido para estudiar el por qué y poner una solución de raíz para evitar a que vuelva a ocurrir.

Por lo tanto cambia el chip y aprovecha las no conformidades para mejorar tu organización. Ahora bien, si esas no conformidades aparecen por falta de interés, falta de implicación, por mala praxis premeditada de tus empleados entonces SÍ hay que enfadarse, cabrearse y mucho con esos empleados que la han cometido. Ese es otro asunto que puede estar relacionado con la resolución de conflictos internos y que algún día abordaré en otro post.

“…tenemos asociado que cuando aparecen errores es algo muy malo y que nos llevará a que nos llamen la atención… Cuando el enfoque de una no conformidad es todo lo contrario”.

Estamos entonces partiendo de la base que todos nuestros empleados están comprometidos con la organización e intentan siempre hacer las cosas de la mejor manera posible. Importante punto de partida para seguir escribiendo….

Esta visión de la oportunidad de mejora con las no conformidades aparecidas debes entenderla y estar convencido de ella si eres el gerente de tu organización y luego trasmitirla al resto de los empleados. Si lo consigues, igual te sorprenderás de los resultados que obtienes y comienzan a aparecer errores por parte de tus empleados pero ya vienen con la acción correctiva debajo del brazo ya que han comprendido la importancia que tiene esta situación para mejorar la empresa.

Motivos por los que puede aparecer una no conformidad y fuentes de no conformidades
Los motivos por los que pueden aparecer no conformidades en las empresas que están certificadas con la norma ISO 9001 o la están implantando se pueden englobar en dos fundamentales:

1. Por incumplimiento de algún requisito de la norma ISO 9001

2. Por incumplimiento de algún proceso o procedimiento, protocolo de actuación, política y requisitos definidos dentro del sistema de gestión de la calidad.

Por otra parte las fuentes por las cuales pueden llegar las no conformidades pueden ser por medio de:

a) clientes: las más graves ya que si un cliente detecta un fallo y te lo dice es que en tu organización no se han dado cuenta.

b) internas: las que se detectan internamente, puede que la detección de estas no conformidades haya evitado que el error hubiese llegado al cliente. Por lo tanto, de aparecer no conformidades, son las preferibles.

c) proveedores: los proveedores también se equivocan y estos errores nos pueden llevar a fallar nosotros también con el cliente. Especialmente si se trata de procesos subcontratados en proveedores externos.

Como ves las fuentes por las que se detectan las no conformidades son varias, es por ello que la detección de éstas puede llevarlas acabo cualquier integrante de la organización y con lo cual es muy importante que el personal no solo esté informados, sino también formado. Tienes una herramienta muy poderosa en tu poder. ¡Aprovecha para sacarle el máximo partido!

Todos pueden ayudar a mejorar, todos pueden detectar no conformidades y comunicarlas al responsable de la calidad o la persona designada para ello.

Así que insiste una y otra vez en ello, grábaselo a fuego ¡a todos! créeme merece la pena…

Registrando y describiendo una no conformidad
La persona encargada de registrar la no conformidad podrá ser el Responsable de Calidad, con el apoyo de la alta dirección o cualquier otra persona designada para ello.

Una vez surge la no conformidad y superada la barrera del miedo a comunicarla empieza el estudio y posterior tratamiento de la misma.  Para ello deberás seguir los siguientes pasos:

# 1. Descripción de la no conformidad

Lo primero que debes hacer es una correcta descripción de lo que ha ocurrido, describe qué ha pasado. Si eres demasiado breve describiendo la no conformidad puede que en un par de meses cuando la vuelvas a leer te preguntes “… uff, ¿y qué quise decir con esto?… y ¿qué pasó aquí realmente?”  ¡Documenta todo! Todo lo que tenga que ver con la descripción inicial.

# 2. Corrección inmediata

En segundo lugar lo que debes hacer es tomar una acción inmediata a la situación de no conformidad aparecida. Se trata de una corrección que debes hacer de forma inmediata para corregir o revertir esa situación.

# 3. Análisis de la causa

Lo tercero que debes hacer es analizar el motivo principal que ha causado esa no conformidad. Esta parte es importantísima ya que deberás llegar a la causa raíz que ha originado la no conformidad para poder tratarla y que no vuelva a ocurrir en el futuro. Más adelante te explicaré una regla muy buena para analizar las no conformidades, la “regla de los por qué”. Además deberás tener en cuenta si pueden existir no conformidades similares en otros procesos de tu organización o en otras sedes (en caso de que tu organización tenga otra sede).

# 4. Acción correctiva

En el cuarto paso establece y lleva a cabo una acción que elimine la causa raíz que has detectado anteriormente. Esta parte es la clave de todo este proceso de análisis de las no conformidades. Si eres capaz por una parte de llegar a la causa raíz de una situación que ha originado una no conformidad y estableces luego una acción que elimine y evite que esa no conformidad vuelva a ocurrir le habrás ganado la batalla y la guerra a dicha no conformidad aparecida.

Lo importante luego es llevar a cabo siempre esa acción correctiva que has propuesto.

# 5. Eficacia de la acción correctiva

En el quinto y último paso deberás hacer un seguimiento por tanto a la acción correctiva para verificar que ante una posible situación parecida, gracias a la implantación de esta acción, la no conformidad no aparece.

Si efectivamente, tras realizar esta verificación observas que la no conformidad no aparece puedes dar por cerrada la no conformidad. Pero si por el contrario ves que vuelve a ocurrir una no conformidad igual o parecida a la que tú has tratado eso significa que no has identificado aún la causa raíz de la no conformidad y por lo tanto deberás volver a analizar la posible causa raíz de la misma.

Todo este proceso que parece muy complejo, lo podemos simplificar gráficamente mediante la siguiente secuencia:


Más claro así, ¿verdad?

Analizando una no conformidad [La regla de los ¿por qué…?]
Vale, ya tienes claro los pasos a llevar a cabo, pero ahora lo importante es saber cómo darlos así que te voy a ayudar a realizar un análisis de la no conformidad. Y lo voy a hacer con la regla de “los por qué”. Igual no te suena, pero seguro que aplicarla la has aplicado cuando eras un niño… pongo mi mano en el fuego.

Mamá, ¿por qué tal?… ¿por qué cuál?… ¿por qué?, y ¿por qué?… 😊

La regla de los ¿por qué? Se basa en solucionar problemas mediante la respuesta a la pregunta de “¿Por qué…?” Tantas veces como sea necesario, hasta llegar a la raíz del problema.

Lo importante es preguntarse 3…4… 5 veces seguidas (las que sean necesarias) el ¿por qué? y tratar de buscar respuestas a todas las preguntas, no centrándote solo en la primera respuesta.

Al final te será casi imposible seguir dando respuestas, y entonces habrás dado con la clave, con el origen.

Venga lo sé, quieres un ejemplo y como para mí tus deseos son órdenes, allá va:

Punto de partida o situación de no conformidad: Vamos a partir de la situación de que un pedido de un cliente se ha enviado de dos veces en lugar de enviarse todo junto y como consecuencia de esa división la segunda mitad de la entrega del pedido llegó un día más tarde de lo que había solicitado el cliente.

Pregunta Uno: ¿Por qué se mandó el pedido en dos envíos? Porque la agencia de transporte llegó y el pedido aún no estaba preparado con lo cual el departamento de administración decidió mandar lo que ya estaba empaquetado.

Pregunta Dos: ¿Por qué no estaba preparado todo el pedido antes de que llegaran a recogerlo? Porque el departamento de ventas había dado prioridad a otros pedidos.

Pregunta Tres: ¿Por qué el departamento de ventas había dado prioridad a otros pedidos? Porque un cliente importante hizo algunos cambios en su pedido y lo quería con más urgencia.

Pregunta Cuatro: ¿Por qué el departamento de ventas no comunicó esa situación al departamento de administracion para que avisasen a la agencia de transporte a recoger el pedido más tarde?
Porque no hubo coordinación entre los departamentos implicados: ventas y administración.

Pregunta Cinco: ¿Por qué no hubo comunicación eficaz? Porque no existe un proceso determinado que permita dicha coordinación entre departamentos ante cambios en la producción.

BINGO: Elaborar un plan de comunicación entre los departamentos implicados.

Si te has dado cuenta, hemos atacado al corazón de la No Conformidad, a la causa raíz que ha originado la no conformidad.

Una vez detectada la causa raíz se deberás establecer la acción correctiva e implementarla en la organización. En este ejemplo que te puse sería preparar un plan de comunicación, probarlo con ambas partes y posteriormente implantarlo.

Estableciendo e implantando LA acción correctiva que ataque a la causa raíz de la no conformidad
Sí, pongo LA en mayúsculas porque no es una acción correctiva cualquiera es LA acción correctiva que va a eliminar la causa de raíz por la cual ha aparecido la no conformidad.

Como te comenté anteriormente, esta parte del establecimiento de la acción correctiva junto con el análisis de la causa raíz representan el 100% del éxito o fracaso del análisis de la no conformidad.

Una vez detectes la causa raíz, deberás establecer una acción que te asegure que eliminarás la causa raíz que dio origen a la no conformidad. Es probable que esa acción correctiva implique modificar algún proceso, reasignar autoridades o crear algún registro nuevo.

Esa acción correctiva deberá de ser apropiada a la complejidad de la no conformidad que has detectado. Aunque sea obvio decirlo, no olvides que deberás de encontrar aquella acción correctiva que sea lo más viable y sencilla para eliminar la causa raíz de la no conformidad. Si de lo contrario estableces una acción correctiva poco realista y viable, me temo que no se llevará a cabo dicha acción correctiva y volverá a aparecer esa no conformidad en un futuro.

Así que deberás asignar a una persona encargada de llevar a cabo la tarea de implantar la acción correctiva en los actuales procesos de tu organización. Esa persona designada como responsable del seguimiento deber ser aquella que forme parte del departamento en el cual se implantará la acción correctiva.

“… no olvides que deberás de encontrar aquella acción correctiva que sea lo más viable y sencilla para eliminar la causa raíz de la no conformidad que has detectado”

Cuándo y cómo verificar la eficacia de una acción correctiva
Una vez implantada la acción correctiva te quedará tan solo la parte final. Esa parte final representa el seguimiento a la acción correctiva y verificar que efectivamente funciona. Esto te podrá llevar algunos días, semanas o quizás meses hasta verificarlo.

El tiempo en verificarlo dependerá de si aparece una situación similar a la que originó la no conformidad. De ser así y aparecer esa situación y gracias a la implantación de la acción correctiva la no conformidad NO aparece, entonces puedes cerrar la no conformidad dado que has verificado la eficacia de la acción correctiva. Pero si por el contrario, el problema vuelve a aparecer y con el problema aparece de nuevo esa no conformidad significa que la acción correctiva no es eficaz y si no es eficaz es porque no has detectado bien la causa raíz que originó la no conformidad. Deberás por tanto realizar un nuevo análisis en busca de la causar raíz de la no conformidad.

Bueno pues hasta aquí lo que te quería contar con respecto al estudio de las no conformidades. ¿Has aprendido algo con este post? ¿tienes alguna duda que te ronde por la cabeza? ¿alguna no conformidad que ponerme?… ahora te toca a ti, ármate de valor y empieza a aplicar este método.

Fotografía: Silhouette team business helps to systematically patience hard work and the pressure to reach the finish line Motivate

Fuente Fotografía: Shutterstock

Tomado de: https://iveconsultores.com

PLATAFORMA TECNOLÓGICA PARA LA GESTIÓN DE LOS CENTROS EDUCATIVOS: CALIDAD EDUCATIVA


Toda sociedad comprometida con el bienestar y el desarrollo global de su ciudadanía debe necesariamente apostar por un sistema educativo moderno capaz de controlar y mejorar su gestión al efecto de consolidar un presente y vislumbrar con optimismo el futuro.
La apuesta por la gestión de la calidad y la mejora continua es un factor estratégico para el presente y el futuro del sistema educativo de un país y el desarrollo de su sociedad.



El reto ineludible en la consecución de un nivel razonable de excelencia requiere de un compromiso de todos los agentes del sistema educativo, desde la Administración hasta el alumnado, profesorado y familias que configuran la comunidad educativa.

Son cada vez más los centros educativos que se han sumado a este gran reto y que han tomado la decisión de implementar y certificar un Sistema de Gestión de la Calidad en base a Normas ISO 9001 y/o de autoevaluarse con modelos de referencia como el EFQM de Excelencia. Todo ello con el objeto de asegurar la calidad de la docencia, mejorar la gestión de los recursos del centro educativo, potenciar las alianzas con las familias, administración, etc, utilizando, además, herramientas como el Cuadro de Mando Integral para gestionar su Proyecto Educativo del Centro desde ese punto de vista estratégico.

Este nuevo modelo de gestión de centros requiere, entre otras cosas, ser implementado desde la convicción (enfoque proactivo) más que por una necesidad (enfoque reactivo). Ello implica pasar de una gestión intuitiva a una gestión analítica desde una reflexión seria y profunda.

La normativa actual sobre gestión del sistema educativo concreta que: “Todos los centros educativos evaluarán su propio funcionamiento, cada uno de los programas y actividades que se lleven a cabo así como los resultados alcanzados a la finalización de cada curso escolar.”

De ahí que para un control y seguimiento preciso del Proyecto Educativo de Centro, del Proyecto Curricular y de su correspondiente Programación General Anual, necesitamos utilizar herramientas innovadoras del siglo XXI que faciliten al equipo directivo una gestión eficaz.

Los centros educativos pueden acceder a soluciones eficaces para una gestión integral a través de sus herramientas informáticas las cuales aportan a los distintos grupos de interés los siguientes beneficios:

BENEFICIOS PARA EL CENTRO Y EL EQUIPO DIRECTIVO
  1. Genera una imagen positiva del centro hacia la comunidad educativa y el entorno externo.
  2. Colabora en la mejora de los resultados del centro
  3. Facilita la implantación de una cultura tendente a la excelencia.
  4. Permite ejercer un seguimiento sistemático sobre el proyecto educativo y la programación anual de centro.
  5. Optimiza el uso de los recursos del centro educativo.
  6. Selecciona y alinea todo tipo de actividades e iniciativas a los objetivos estratégicos de centro.
  7. Permite la gestión de los activos tangibles y no tangibles.
  8. Gestiona y mejora los procesos de enseñanza aprendizaje.
  9. Ofrece a nivel organizativo un conocimiento más preciso por parte del equipo directivo.
  10. Favorece la generación de un marco estratégico para la autoevaluación.
  11. Facilita la asignación y gestión del presupuesto al identificar y priorizar acciones basadas en los objetivos estratégicos.
  12. Añade valor a los grupos de interés.
  13. Permite constatar el nivel de calidad por la ordenación y sistematización de la gestión.
  14. Ayuda a comunicar el Proyecto Educativo a toda la organización de forma sencilla y esquemática a través del mapa estratégico.
  15. Simplifica la gestión documental eliminando la mayoría de la documentación en papel.
  16. Mejorar la comunicación interna en todos los niveles

BENEFICIOS PARA LAS FAMILIAS Y OTROS GRUPOS DE INTERÉS

  1. Garantiza niveles de participación familiar en la vida del centro y en la toma de decisiones.
  2. Aporta información sobre cómo se gestionan las situaciones propias del centro.
  3. Garantiza un excelente servicio educativo y con mayor valor añadido.
  4. Incrementa el grado de satisfacción y superación de expectativas de las familias y grupos de interés.
  5. Constituye un compromiso compartido entre toda la comunidad educativa hacia la innovación y mejora continua.
  6. Favorece la generación de una auténtica comunidad de aprendizaje.
  7. La calidad educativa se transmite positivamente a las familias y grupos de interés porque el uso de las nuevas TIC facilita la comunicación y la participación.
BENEFICIOS PARA EL PROFESORADO

Colabora en el entendimiento y relación entre procesos y estrategias tendiendo a mayores niveles de calidad.
  1. Ayuda a gestionar las actividades docentes.
  2. Facilita el recorrido de la información tanto vertical como horizontalmente mejorando los niveles comunicativos.
  3. Permite una mejor interrelación del profesorado y el equipo directivo para la canalización de todos los procesos de centro.
  4. Facilita la coordinación y ejecución de los procesos de enseñanza aprendizaje.
  5. Corresponsabiliza al profesorado en la pertenencia a un equipo profesional y competente.
  6. Mejora los niveles de implicación recíproca en la dirección y orientación estratégica tendentes a concretar la misión y visión de centro.
  7. Refuerza el compromiso del profesorado al pertenecer a un centro socialmente responsable.

Características de la herramientas:
  • Solución 100% Web: desarrollada en entorno Web. Fácil y amigable.
  • Integración: con otras herramientas del centro: intranets, moodles, webs corporativas.
  • Sencillez: ISOTools es fácil e intuitivo. Facilita el trabajo de los docentes y del equipo directivo.
  • Herramienta de trabajo en equipo: facilita la comunicación, colaboración y conocimiento compartido.
  • Personalizable: ISOTools es totalmente adaptable a la estructura, tamaño y necesidades del centro educativo.
  • Versatilidad: Su alto grado de parametrización hace que sea una herramienta abierta a los cambios propuestos.
  • Escalabilidad: ISOTools puede crecer en la misma medida que el centro camina hacia otros modelos de gestión, estrategia o excelencia.
  • Integridad, Seguridad y Confidencialidad de los datos, salvaguardándolos por copias de seguridad.
  • Entorno Multilingüe: Diferentes usuarios pueden acceder a la plataforma en diferentes idiomas y desde distintos países.
Funcionalidades operativas principales del software:
  • Mapa de Procesos
  • Gestor Documental
  • Control de no conformidades y acciones correctivas o preventivas
  • Formatos y Registros
  • Comunicación Interna
  • Gestión y seguimiento de actividades
  • Simplificación y eliminación de papel
  • Intranet
  • Gestión y comunicación de incidencias.
  • Autoevaluaciones EFQM
  • Seguimiento plan de formación profesorado
  • Gestión de objetivos estratégicos y operativos
  • Mapas Estratégicos
  • Indicadores de rendimiento
  • Cuadro de Mando Integral
  • Control y seguimiento del sistema de gestión de calidad ISO 9001:2008
  • Gestión de los procesos estratégicos, clave y operativos.
  • Encuestas de satisfacción
  • Seguimiento de las evaluaciones
  • Intercambio de documentación
  • Gestión de faltas
  • Agendas compartidas
  • Control y seguimiento de la programación general anual
  • Control y seguimiento del proyecto educativo del centro
  • Control y seguimiento del proyecto curricular.


Tomado de: https://www.isotools.org

viernes, 15 de marzo de 2019

GESTIÓN DE PROCESOS: PRINCIPALES INDICADORES DEL DESEMPEÑO

Mediante los principales indicadores del desempeño, también conocidos como KPI, podemos llevar a cabo una medición del nivel de rendimiento que presenta de un proceso concreto con el objetivo de ver si está en la senda adecuada hacia la consecución del objetivo marcado por la organización.

Es decir nos permite llevar a cabo una adecuada gestión de los procesos.

Principales Indicadores del Desempeño(KPI)

Concretamente los principales indicadores del desempeño son unas métricas que permiten cuantificar la consecución de los objetivos. Cada organización elige las que le son más adecuadas, quedando recogidas en su plan estratégicos.

Estos KPIs definidos por cada organización pasarán a integrarse en el Cuadro de Mando Integral, también llamado Balanced Scorecard, el cual irá indicando el nivel de cumplimiento de los objetivos.

A través de tales indicadores del desempeño, la organización está comunicando su misión y visión a sus empleados para lograr que se involucren en conseguir los objetivos marcados a nivel estratégico.

Requisitos de los Principales Indicadores del Desempeño

Para considerar a un determinado indicador como KPI,ha de cumplir con una serie de requisitos:
  • Ha de ser relevante: en el sentido que sea un elemento de influencia en el modelo de negocio.
  • Concisión: es preferible optar por aquellos indicadores en los que se pueda comprimir en mayor medida la información. De está forma será necesario una menor cantidad de KPIs.
  • Mientras más detalle de cómo funciona la empresa muestre el KPI mejor será.
  • Simplicidad: debe ser fácil de comprender por parte de los usuarios.
  • Procesamiento sencillo: el proceso de interpretación de los resultados arrojados por el KPI ha se de ser lo más claro posible.
  • Los principales indicadores del desempeño han de poder ser atribuidos a un responsable.
  • Los usuarios debe conocer el contexto así como el origen que promueven elegir cada KPI.
  • Correlatividad: con esto nos referimos a que mediante la interacción entre los principales indicadores del desempeño se debe llevar a la organización a poder conocer los resultados deseados.
  • Debe haber tanto medidas de factores económicos como no económicos.
  • Estar al mismo nivel, es decir ser equiparables.
Objetivos de los principales indicadores del desempeño

Se debe partir de la base de que el KPI han de ser elegidos tomando como referencia la estrategia de la organización, para que así estén en consonancia y coherencia con la misma.

Además hay que tener en consideración que los datos a los que se refieran los principales indicadores del desempeño deben cumplir:
  • Certeza.
  • Coherencia.
  • Credibilidad.
  • Fácil de extraer.
  • Estar automatizados mediante los programas adecuados de informática.
  • Estar disponibles en el tiempo establecido.
Factores a considerar para diseñar los principales indicadores del desempeño

A la hora de diseñar los propios indicadores del desempeño es importante detenerse en los siguientes factores, pues son los que influirán el modelo de negocio de la organización
  • Analizar los tipos de ingresos que se tiene y la ponderación de los mismos.
  • Hacer el equivalente con los gastos, es decir analizar tipos e importancia de cada uno.
  • Estudiar los productos y/servicios que nos proporcionar mayor nivel de ingresos asi como aquellos otros que nos reportando más gastos.
  • Hacer una investigación del comportamiento de nuestros clientes, analizando aspectos relevantes como el nivel medio de compra, así como poder hacer una clasificación por tipos de clientes.
  • Comprobar el nivel de satisfacción.
  • Determinar la importancia que tiene para la organización su página web o su tiene on-line.
  • Ver la importancia de las redes sociales en la gestión del día a día de la organización.
Así pues, considerando los anteriores aspectos, claves en el modelo de negocio, podemos ir extrayendo diferentes indicadores clave del rendimiento.

Tomado de: https://www.isotools.com.co

jueves, 14 de marzo de 2019

¿CÓMO SE RELACIONA EL COMPLIANCE CON LA PROTECCIÓN DE DATOS?


Durante este articulo queremos hablar sobre diferentes cuestiones legales, pero sin dejar atrás el carácter organizativo que tiene, se exceden en el ámbito de la protección y se introduce en el mundo de la gestión de riesgos de compliance.
La gestión sobre la incertidumbre se materializa según los incumplimientos de determinadas obligaciones normativas o en el compromiso voluntario o contractual adquirido, y que éstos a su vez conllevan un perjuicio para las empresas. No obstante, como veremos a continuación, el camino nos conduce de forma irremediable, al ámbito de la protección de datos.



Es recomendable comenzar por la exposición desde una perspectiva mucho más amplia y general, además se debe progresar descendiendo sobre ámbitos concretos de obligaciones como puede ser el cumplimiento en materia de protección de datos. Compliance es un concepto qconocido desde hace algunos años, también lo son los métodos que se deben seguir en las organizaciones para conocer y cumplir con sus obligaciones, y por lo tanto, se consiguen mitirgar los riesgos de incumplimiento, ya sean las obligaciones de carácter fundamental que se derivan de las imposiciones legales en diferentes materias como pueden ser la protección de datos, la prevención de blanqueo de capitales, la lucha contra el fraude y la prevención de la corrupción, además de muchas normativas sectoriales.

Existen obligaciones que la empresa deben asumir de forma voluntaria, entre las que se encuentran los diferentes estándares de gestión con los que acceder a diferentes mercados o marcar la diferencia con los competidores en la contratación pública y privada, finalmente, existen compromisos voluntarios que se encuentran asociados a la ética, la responsabilidad social y las buenas prácticas empresariales.

En el compliance, las normas ineludibles se las conoce como requerimientos y al resto como compromisos. Lo cierto es que tal distinción es mucho más sencilla en teoría, pero en la realidad muchos de los compromisos se han convertido en auténticos requerimientos para acceder a diferentes mercados, de ahí que parezca mucho más razonable proponer a su vez una división bipartita en la que se encuentran compromisos semivolutarios, es decir, aquellos que la empresa asume con el fin de competir en el mercado, y aquellos compromisos que son voluntarios, esto se asume al pensar que no existe un impacto tan relevante en su actividad ordinaria.

Un buen ejemplo de compromisos son los de naturaleza semivoluntaria dentro del ámbito de la protección de datos, utilizando las referencias para utilizar el Reglamentos Europeo de Protección de Datos vigente, lo que hace que se incremente el valor de las certificaciones en el ámbito de la protección de datos.

En el artículo 42.1 establece que “los Estados miembros, las autoridades de control, el Comité y la Comisión promoverán, en particular a nivel de la Unión, la creación de mecanismos de certificación en materia de protección de datos, de sellos y marcas de protección de datos”. Se desprende perfectamente de la redacción en el texto legal de las certificaciones que no resultan de la normativa obligatoria, aunque no asumirlas puede conllevar que quede fuera de determinados mercados, o ser incapaz, llegado el caso, de probar la existencia de mecanismos de prevención y control frente a los incumplimientos.

Por su parte, y aunque orientado al sector bancario, resulta de perfecta aplicación a otros ámbitos como la protección de datos los riesgos de compliance que se definen según el Acuerdo de Basilea II como el riesgo al que se expone una entidad por el incumplimiento de leyes, reglamentos y normas, además de los acuerdos de autorregulación en políticas de empresa y códigos de conducta aplicables a las actividades y que pueden generar sanciones legales o regulatorias, pérdidas financieras o de reputación.

Se establece que va mucho más allá de cumplir con las normas o con las obligaciones. Es necesario que se establezca una cultura de compliance en las empresas que se relacionan con el compromiso de la empresa.

El compromiso debe provenir del propio órgano de gobierno, con la implementación de diferentes metodologías para minimizar el riesgo de incumplimiento, que se encuentra dotados de diferentes personas que cuentan con autonomía en cuanto a responsabilidad y control para el mantenimiento de la estructura de compliance que sea adecuada para conseguir sus objetivos.

Entre otros referentes en la materia, existe una gran diferencia entre generar una cultura de compliance o limitarse a cumplir con las obligaciones. Las siete señales de un sistema de compliance ineficaz, las cuales son:
  • Falta de disciplina en relación con el control de los flujos financieros.
  • Exceso de enfoque legal en las cuestiones de compliance.
  • Diseñar el sistema basado en mínimos legales.
  • Confundir la eficacia basada en las métricas con el número de píldoras formativas o el grado de asistencia a las formaciones.
  • Centrarse más en las medidas de control concretas que en la gestión al sistema en su conjunto.
  • Basar el sistema en el cumplimiento de una normativa en lugar de que esté basado en generar una cultura.
  • Pensar que todo el cumplimiento se reduce a la hora de contar con una política de regalos.


Tomado de: https://www.isotools.org/

MITOS DEL SISTEMA DE GESTIÓN DE LA CALIDAD

La concepción de que un Sistema de Gestión de la Calidad solo supone un aumento de papeleo en la organización es uno de los mitos que podemos encontrarnos.
Cuando nos enfrentamos a la implantación de un Sistema de Gestión de Calidad podemos descubrir que existen numerosos mitos que se refieren a distintos aspectos de este sistema de gestión, así como de otros, y que nos muestran las concepciones erróneas que tiene la organización y que hay que cambiar para que la implantación de esta norma aporte y mejore la gestión de la empresa.

En este post vamos a hablar muy brevemente de dos de estos mitos o falsas concepciones relacionadas con el Sistema de Gestión de la Calidad según la norma ISO 9001, como son la percepción del excesivo papeleo y el de la utilidad de su implantación.

Mito 1: Aumento del papeleo y la complejidad.
No se puede pensar que un Sistema de Gestión de la Calidad es solo papeleo ya que con ello limitamos la utilidad y eficacia de este y perdemos su verdadera identidad.
Muchos empresarios y gerentes, a la hora de mencionarles la implantación de un Sistema de Gestión de la Calidad según la Norma ISO 9001, solo perciben el aumento de papeleo que va a suponer para su empresa. Este es un error muy común y es uno de los mitos que debemos derribar. 

No se puede pensar que un Sistema de Gestión de la Calidad es solo papeleo porque en realidad, y de forma simple, supone indicar en papel todos los procesos y pasos que en la vida real de la empresa se realizan, así como establecer aquellos procesos necesarios para medir y controlar que no existan desviaciones que disminuyan la calidad del producto y/o servicio que ofrecemos a los clientes.

Si no me creen les aconsejo hacer una prueba: prueben a decir uno a uno todos los pasos que sigue su empresa, desde la recepción de la materia prima a la llegada del producto al cliente. Lo más seguro es que en algún momento de esta prueba hayan necesitado la ayuda de un papel para no perderse o no olvidar un paso.

De la misma manera, cuando deseamos controlar que un proceso o una actividad que realizamos funcione correctamente y evoluciona correctamente tomamos anotaciones o parámetros para ver como mejora o empeora y se aplican medidas según los datos que percibimos.

Pues bien, un Sistema de Gestión de la Calidad va a incluir, simplificando mucho su definición, estos papeles o documentos que se generan por separado y en distinto orden para ayudar a la mejora continua de la organización y a su eficiencia y eficacia en la gestión.

De esta forma, debemos olvidar que la implantación de un Sistema de Gestión de la Calidad según la Norma ISO 9001, así como con cualquier otra norma, solo va a aportar papeleo sin concebir el valor que se encuentra detrás de este, es decir, centrar nuestra atención únicamente en la documentación que se genera sin fijarse en los beneficios que aporta, solo nos permitiría tener una visión parcial que impide que percibamos toda la realidad.

Mito 2: Su implantación solo vale para conseguir el sello de Calidad.
El trabajo que realizamos para implantar un Sistema de Gestión de la  Calidad va a darnos una diferenciación de nuestros competidores no sólo en el sello de calidad.
Otro de los mitos más comunes es la utilidad de un Sistema de Gestión de la Calidad según la Norma ISO 9001. En muchos casos, las empresas solo buscan la implantación del Sistema para conseguir el sello de Calidad que les diferencie de sus competidores.

Todas estas empresas están haciendo la parte dura del sistema que es su implantación, pero no se están beneficiando de lo que le ofrece. Es decir, han luchado por documentar todos los pasos, implantar los cambios, etc., y a la hora de recoger los beneficios y las ventajas que le aporta todo el trabajo realizado no lo quieren. Han implantado el sistema a medias.

Esto se debe, en la mayoría de los casos, a un desconocimiento de las ventajas o a la poca implicación de la empresa en el sistema. Por lo tanto, debemos pensar que todo el trabajo que realizamos para implantar un Sistema de Calidad va a darnos una diferenciación de nuestros competidores tanto en el sello como en el hecho de que ya en los seis primeros meses de vida de la norma se simplificará su burocratización y va a detectar fallos y errores que solo significan para la empresa pérdida de tiempo, esfuerzo y, consecuentemente, dinero.

De la misma manera que hemos podido observar en estos dos aspectos de los que muchas organizaciones tienen una concepción errónea existen muchos más que abarcan todos los campos tanto del Sistema de Gestión de la Calidad según la Norma ISO 9001 como de otras normas como la ISO 14001, la ISO 27001, ISO 45001, ISO 27001, etc.
La concepción de que un Sistema de Gestión de la Calidad solo aportar papeleo es una de los mitos que debemos derribar para que la implantación sea un éxito.
Tomado de: https://www.sbqconsultores.es

miércoles, 13 de marzo de 2019

CÓMO ESTRUCTURAR UN EQUIPO DE AUDITORÍA INTERNA

La auditoría interna es la herramienta más eficaz para verificar la conformidad del SGC con los requisitos solicitados por la norma ISO, y, así, definir acciones de mejora. 

Debido a ello, estructurar un equipo de auditoría interna es una tarea que requiere considerar factores de evaluación muy precisos.

Al conformar un equipo de auditoría interna, es necesario establecer el número ideal de auditores, que, sin importar el tamaño de la organización, debe ser por lo menos de dos personas. Esto resulta imprescindible si pensamos que las normas de auditoría generalmente aceptadas nos indican que “un auditor no puede auditar su propio trabajo”.

Debemos pensar también en que, un equipo de auditoría interna puede estar formado por profesionales pertenecientes a organizaciones dedicadas a prestar el servicio de auditoría. No dejaría de ser una auditoría interna, ya que el contratante es la organización auditada.

Veamos, a continuación, una breve guía sobre cómo conformar un equipo de auditoría interna.

Cómo estructurar un equipo de auditoría interna

Como ya hemos mencionado, una primera consideración deberá ser conformar el equipo de auditoría interna según el recurso humano disponible o tercerizar la tarea en una organización especializada en tal servicio.

Por supuesto, es necesario evaluar la conveniencia de tal decisión. Contar con un equipo de auditoría interna de planta en la organización, facilita y flexibiliza la práctica de auditorías en el momento en que el sistema lo requiera.

Otra ventaja de conformar un equipo de auditoría interna propio es que se asegura el conocimiento para la organización y la transferencia efectiva del mismo a un número considerable de empleados.

Características del equipo de auditoría interna

Los equipos de trabajo se constituirán de acuerdo con las características, objetivos y plazos de cada trabajo, haciendo especial énfasis en:
  • El conocimiento y la experiencia de los candidatos, no solo con respecto a los procesos internos de la empresa, sino en cuanto a los requisitos de la norma evaluada.
  • El número de miembros del equipo, de tal forma que exista rotación que asegure a todos la oportunidad de conocer las diversas áreas o unidades de la organización.
  • El número de miembros que participarán en la auditoría interna debe ser proporcional al volumen de trabajo, el número de áreas o departamentos o ubicaciones de la organización.
Conformar un Equipo de Auditoría Interna requiere considerar el perfil, el número y las capacidades de los miembros. Aprenda cómo hacerlo hoy
El perfil del auditor interno

Ser parte del equipo de auditoría interna de la organización es una distinción que resulta honorífica, pero que también involucra grandes responsabilidades. Por ello, el perfil del auditor interno es exigente y riguroso:
  • Debe ser un ser humano integro.
  • Debe ser competente y contar con la formación profesional adecuada para la tarea.
  • Debe demostrar independencia con respecto al área auditada.
  • Debe demostrar compromiso con el cumplimiento de las estrategias y los objetivos de la organización.
  • Debe ser un profesional dinámico que haga uso de los recursos disponibles para cumplir su tarea.
  • Debe poseer habilidades de comunicación y socialización.
  • Debe ser ágil, proactivo y proyectado hacia el futuro.
  • Debe promover la mejora organizacional.
La formación como factor clave en el éxito de un equipo de auditoría interna

Es normal que una organización no encuentre dentro de sus colaboradores, aunque estos sean muchos, dos o más que cumplan con las características para proceder de manera efectiva con una auditoría interna. 

Es preciso que para ello cuenten con el conocimiento necesario de los procesos de la organización y también de los requisitos y puntos clave de la norma ISO evaluada.

En estos casos, la recomendación es implementar programas de formación y capacitación consistentes con la necesidad de la organización.

Tomado de: https://www.escuelaeuropeaexcelencia.com/

CLÁUSULA 7.5 INFORMACIÓN DOCUMENTADA EN ISO 9001:2015


Información documentada en ISO 9001:2015 es lo que antes conocíamos como documentos y registros. La expresión “información documentada” es un término común que encontramos en todas las normas que se han adherido al Anexo SL, como ISO 9001.
A pesar de la nueva terminología, los requisitos de la cláusula 7.5 – información documentadas en ISO 9001:2015 – no difieren mucho de lo solicitado en la versión 2008, lo que hace que las modificaciones apenas impacten sobre las las actividades de control de documentos.



La mayor modificación que se produce es que ahora necesitaremos ver los documentos de otras formas y en formatos más diversos y flexibles.


Información documentada en ISO 9001:2015 – ¿Qué dice la norma?


El requisito 7.5.1 de ISO 9001:2015 trata sobre las generalidades de la información documentada.

El sistema de gestión de la calidad de la organización debe incluir:

a) Información documentada, requerida por esta norma.

b) Información documentada, determinada por la organización como necesaria, para la eficacia del sistema de gestión de la calidad.

Nota: La extensión de la información documentada a un sistema de gestión de la calidad puede diferir de una organización a otra, debido a:
  • El perfil de la organización y su tipo de actividad, procesos, productos y servicios.
  • La complejidad de los procesos y sus interacciones.
  • La competencia de las personas.
Esta documentación es la información que debe ser controlada y mantenida por la organización en el formato en el que está contenida. Esto significa que si la organización decide guardar información en imágenes, por ejemplo, tendrá que controlar y mantener ese formato, observando las medidas necesarias para ello.

¿La imagen tendrá un código?, ¿se dispone de una ubicación adecuada para almacenar, identificar y gestionar la imagen, de tal forma que resulte accesible para las personas que eventualmente la necesiten?


Información documentada en ISO 9001:2015 – ¿Qué información debemos preservar?

Aparte de los formatos que se decida utilizar, es necesario conservar la información pertinente en los siguientes casos:
  • Sistema de gestión de la calidad, incluidos los casos.
  • Información creada para que la organización pueda operar (documentación).
  • Evidencia de resultados alcanzados (registros).
Uno de los objetivos de la revisión 2015 de ISO 9001 es que las organizaciones cuenten con la información más relevante para el logro de sus resultados. Esto significa tener la información necesaria para apoyar el crecimiento de la organización y evidenciar estos resultados.

De esta forma, entendemos la información documentada en ISO 9001:2015 como parte del apoyo necesario para desarrollar la estrategia de negocios de la organización.

A partir de este cambio de enfoque es necesario hacer una revisión crítica de los documentos existentes, e identificar oportunidades para optimizar el sistema, suprimir, fusionar o crear documentos, si es necesario. La labor puede iniciarse con estas preguntas:
  • ¿Todos los documentos contribuyen al cumplimiento de la planificación estratégica?
  • ¿Todos son entradas, salidas o parte de un proceso que incorpora un indicador? Es decir, ¿contribuyen a algún resultado relevante en la organización?
  • ¿Entrega algún valor relevante para las partes interesadas?
Finalmente, para comprender mejor los cambios presentados en la sección 7.5 es importante identificar la diferencia entre documentos y registros: un documento es información utilizada para respaldar una operación organizacional efectiva y eficiente.

Un registro es evidencia sobre un evento pasado. Los registros consisten en cualquier información que se recopile durante la operación del SGC de la organización. Los registros son hechos y, por ello, no deberían cambiar. Si surgen nuevos hechos que contradigan los hechos antiguos —un error identificado—, entonces se debe abordar el hecho anterior y registrar el hecho nuevo.


Tomado de: https://www.escuelaeuropeaexcelencia.com

ISO 19600 Y LA GESTIÓN DEL COMPLIANCE


Toda organización, por grande o pequeña que sea, requiere de un cumplimiento normativo obligado que a veces es difícil de gestionar. 
De esta necesidad surge la ISO 19600 sobre la Gestión del Compliance, que permite cumplir con requisitos legales, estándares, códigos de industria y demás requerimientos normativos que pueda llegar a tener una empresa.


La ISO 19600 no es una norma certificable, como es el caso de otros estándares, pero sirve de valiosa herramienta para gestionar adecuadamente las exigencias legales, siendo de mayor importancia cuanto mayor sea el marco regulatorio de aplicación en la organización, ya que del cumplimiento de las mismas, dependerá su prestigio y supervivencia.


Contenido de la ISO 19600

Los aspectos fundamentales de la ISO 19600 los podemos resumir en estos 12 puntos:
  • Alcance: como en el resto de sistemas de gestión, en la ISO 19600 también deben determinarse los límites y aplicabilidad del Compliance, para lo que debe tener en cuenta el contexto interno y externo, las expectativas de las partes interesadas y sus obligaciones de Compliance. Estas últimas considerarán:
- Los requisitos de Compliance: marco normativo de obligado cumplimiento.
- Los compromisos de Compliance: aquellas regulaciones no obligatorias, pero sí beneficiosas (por ejemplo, normas ISO)
  • Liderazgo: en la cláusula 5.1 de la norma, se estipulan una serie de acciones que debe realizar la alta dirección, que implican más que mostrar liderazgo o realizar una declaración de intenciones.
  • Roles y responsabilidades: deben establecerse en todas las estructuras y niveles de la organización, incluidos los empleados y la dirección.
  • Gestión del riesgo: en este punto, se debe considerar la ISO 31000 sobre los principios y directrices para la Gestión Riesgo, al considerarse esta fase la más compleja y crítica de Compliance.
  • Competencia: el personal debe estar formado y sensibilizado en materia de Compliance.
  • Cultura: el órgano de gobierno y la alta dirección deben tener un compromiso claro con el Compliance, para poder desarrollar una cultura de Compliance en la organización.
  • Comunicación: debe desarrollarse un plan de comunicación en materia de Compliance, en el que se desarrolle el qué comunicar, cuándo, quién y cómo.
  • Documentación: como en el resto de Sistemas de Gestión, en la ISO 19600 también debe generarse una serie de documentación, como políticas, procedimientos, informes, etc)
  • Operación: en la ISO 19600 debe establecerse un control y seguimiento de los riesgos que ayude a gestionarlos y mitigarlos, es decir, a tratar el riesgo.
  • Evaluación del desempeño: una vez se haya implementado el Sistema de Gestión basado en la ISO 19600, se debe seguir, medir, analizar y evaluar su funcionamiento, destacando la importancia a este respeto, de métricas e indicadores.
  • Auditoría interna y revisión del sistema por la dirección: al igual que en el resto de normas ISO, deben realizarse auditorías internas y de revisión del sistema por la dirección.
  • Mejora continua: mejorar siempre el Sistema de Gestión de Compliance de la ISO 19600 con ayuda del feedback obtenido de las mediciones realizadas en la fase anterior.
Qué ocurre si no aplico la Gestión de Compliance de la ISO 19600

Con la última reforma del Código Penal, se ha impuesto como requisito legal indispensable la gestión del Compliance, ya que los tribunales han comenzado a sancionar, con responsabilidad penal, a empresas que por no haber tomado las pertinentes medidas de control, han caído en delitos o incumplimientos que podrían haberse evitado o dificultado en cuanto a la comisión del delito. 

La ISO 19600 permite realizar una gestión del Compliance con la que evitar sanciones que podrían dificultar la rentabilidad y posicionamiento de la empresa, mientras que tenerlo implantado, permitiría una tranquilidad añadida al administrador, que podría dedicarse a otros aspectos del negocio, como ventas, gestión o a la sociedad.

Puede ser necesario, que para la gestión del Compliance se cuente con profesionales que sean verdaderos expertos en esta área, y no sólo porque tenga la cualificación de abogado, sino que tengan formación acreditada como “compliance officer”.

Áreas de una organización más afectadas por la gestión del Compliance

A pesar de que la gestión del Compliance afecta a la totalidad de la empresa, ya que una negligencia puede proceder de cualquiera de las áreas, hay algunas cuya importancia es más relevante. Así tenemos:
  • Programas de concienciación de la plantilla
  • Certificación de implantación de políticas para la prevención de delitos según establece la normativa ISO 19601 – modelo AENOR).
  • Plan de Compliance según la norma ISO 19600.
  • Plan de Buen Gobierno y Responsabilidad Social.
  • Certificación de prácticas anti-soborno conforme a ISO 37001.
  • Evaluación de Riesgos legales y jurídicos en la empresa.


Tomado de: https://www.isotools.org

martes, 12 de marzo de 2019

¿CÓMO MINIMIZAR LOS RIESGOS EN LA NUBE?


Los servicios en la nube han llegado para quedarse, y se encuentran asumiendo muchas más funciones empresariales cada año. 
Antes los servicios en la nube se limitan al simple almacenamiento o la gestión de contactos. Hoy en día todas las funciones básicas se trasladan a la nube. Además, con la amplia gama de servicios esenciales que se desplazan a la nube, los responsables de TI deben estar atentos a los riesgos en la nube y tomar medidas preventivas para mitigarlos.

Queremos que conozcan cómo deberán evaluar y mitigar los riesgos en la nube, manteniéndose dentro del presupuesto con estos 6 consejos de gestión de costes de la nube. Es necesario que sepa los 5 fundamentos de la gestión efectiva de la nube y tenga cuidado con la migración oculta de la nube.
Evalúe sus riesgos en la nube

Desde el punto de vista de la gestión de TI, los riesgos en la nube influirán en la diligencia debida, la supervisión continua y la voluntad de invertir en la reducción del riesgo. Es necesario que se establezca un enfoque escalonado de mitigación de riesgo para hacer el mejor uso de sus recursos limitados. El riesgo de que un servicio en la nube falle puede minimizarse mediante la dotación de personal cualificado, la realización de pruebas periódicas y el pago por el soporte de proveedores de primer nivel.



Revise su cultura de uso de la nube

A los proveedores de cloud les gusta enfatizar la facilidad de uso, así como la flexibilidad. Y una vez que las empresas experimentan facilidad en la nube, pocas tienen el deseo de volver a mantener su propia infraestructura heredada. Pero una actitud casual hacía los riesgos de la nube puede llevar a los trabajadores a tomar riesgos tontos.


Utilizar modelos de confianza para reducir el riesgo

Es una estrategia de seguridad de TI en la que la empresa requiere que cada usuario, sistema o dispositivo dentro o fuera de su perímetro será verificado y validado antes de conectarse a sus sistemas. Para mitigar el riesgo se deberá restringir de forma estricta el acceso. Es necesario que se realice un examen de forma regular de los niveles de acceso de los usuarios y se deberá preguntar si tiene sentido. Cada usuario que tenga acceso añadirá un riesgo adicional.


Aprenda de los fallos de TI

Es necesario que se tome el tiempo suficiente pare estudiar las noticias del sector en busca de fallos relacionados con la nube que ayudará a mitigar los riesgos en la nube. La naturaleza compleja y evolutiva en la utilización de la nube en las que la empresa significa que siempre hay algo que aprender de los incidentes de alto perfil que salen mal.
Replantee sus estrategias de gestión de la nube manuales frente a los automatizados

La automatización, los asistentes virtuales y la compresión de datos pueden ayudar a las organizaciones no sólo a vender mas productos, sino también a gestionar sus servicios en la nube.

Sin embargo, la tendencia a automatizar tiene límites significativos cuando se trata de mitigar los riesgos en la nube. Después de todo, no se puede automatizar la evaluación de riesgos de un proveedor del cloud computing. Pero si utiliza herramientas más automatizadas para detectar problemas y estandarizar la configuración en la nube, puede dedicar más tiempo del personal a cuestiones complejas como puede ser la formación y la gestión de sus relacionalescon los proveedores de cloud computing.



Impulse los derechos de auditoría para sus proveedores más sensibles

Tiene derecho a auditar a sus proveedores de cloud computing, ya que es un tema muy importante. Si los contratos y los acuerdos carecen de esta disposición, la organización puede encontrarse indefensa ante un incidente. Por otro lado, los grandes proveedores de cloud computing rechazan estos requisitos. Una solución puede ser evaluar la metodología de auditoría desarrollada por el proveedor de la nube. Si el proveedor de la nube se resiste a conceder a su organización los derechos de auditoría, todavía existen formas de mitigar dicho riesgo. Puede solicitar informes más sólidos y hacer hincapié en los principales indicadores de riesgos en la nube. Además, se puede solicitar a su departamento de auditoría interna que le proporcione información durante las discusiones del contrato.


Pensar la estrategia de mitigación de riesgos

El hacking y la seguridad no son los únicos riesgos que se deben considerar. También existe el riesgo de quedarse atrás. Pocas empresa tiene el presupuesto o la inclinación para construir centro de datos y desarrollar todo un software. Las organizaciones con una menor capacidad de TI pueden beneficiarse de las capacidades de gestión de riesgos de los grandes proveedores.

Tomado de: https://www.pmg-ssi.com