Después de leerlo, podrá montar un ciclo sencillo que una cada obligación a un responsable, un control y su evidencia.
Definición
Una obligación es todo lo que la empresa debe seguir o ha decidido seguir: una ley, una cláusula de contrato, una norma, un compromiso interno. La ISO 37301 establece los requisitos de un sistema de gestión del cumplimiento construido en torno a ellas.
Como los textos cambian y el negocio cambia con ellos, el trabajo nunca llega a una meta. Funciona como un ciclo.
Por qué importa
Cuando una empresa incumple una obligación, la causa rara vez es una negativa a cumplir. Lo más habitual es que nadie supiera que le correspondía. El precio puede ser una multa, un contrato perdido o una venta bloqueada.
También hay una ventaja práctica. Una sola revisión de accesos puede responder a seis textos distintos, y solo una visión común de las obligaciones lo pone de manifiesto.
Cómo funciona
Enumere lo que se aplica y explique por qué, con el texto, el artículo y la actividad afectada. Después asigne un responsable a cada obligación.
Vincule cada una a los controles, políticas y registros que la satisfacen. Así se ven las brechas y puede planificar su corrección, empezando por las que podrían bloquear una venta o acarrear una sanción.
Por último, fije un ritmo: supervisar, informar a la dirección y encargar a alguien el seguimiento de los nuevos textos y de los cambios del negocio.
Un caso práctico
Una empresa de software de pagos con 80 empleados enumera 46 obligaciones: el RGPD, requisitos de DORA que le trasladan sus clientes bancarios y cláusulas contractuales. Su revisión trimestral de accesos resulta responder a seis de ellas, así que se convierte en un único control, con un responsable y un registro.
El primer análisis de brechas encuentra nueve. Las dos ligadas a un contrato de cliente se cierran primero.
Buenas prácticas
- Mantenga un único registro de obligaciones que indique la fuente y el responsable de cada una.
- Archive las evidencias a medida que se producen. Reconstruirlas el mes anterior a una auditoría cuesta mucho más.
- Dé a la dirección una visión breve y periódica de las brechas abiertas y las acciones vencidas.
- Encargue a una persona seguir los cambios de los textos, para que la tarea tenga un titular.
Errores frecuentes
- Prepararse solo para la auditoría anual, lo que deja once meses de deriva.
- Entregar todo el cumplimiento a una persona que no dirige ningún proceso. Acaba persiguiendo a los demás sin poder decidir.
- Contar una política como prueba. Un documento firmado muestra una intención, y un auditor pedirá ver la práctica.
- Pasar por alto los contratos. Las cláusulas de clientes suelen ir más allá de la ley, y a veces el equipo comercial es el único que las ha leído.
Preguntas
- ¿Qué diferencia hay entre cumplimiento y gobierno corporativo?
- El gobierno es la forma en que una empresa se dirige y toma decisiones. El cumplimiento es la parte que asegura que respeta sus obligaciones.
- ¿Gestionar el cumplimiento es lo mismo que estar certificado?
- No. Un certificado cubre una norma y un alcance. La gestión del cumplimiento cubre todas las obligaciones, y muchas de ellas no tienen ningún certificado.
- ¿Quién es responsable del cumplimiento en una empresa?
- La dirección sigue siendo responsable. Un responsable de cumplimiento coordina, y cada propietario de proceso cumple las obligaciones de su área.
- ¿Es certificable la ISO 37301?
- Sí. Contiene requisitos, y los organismos de certificación auditan conforme a ellos.
- ¿Por dónde debe empezar una empresa pequeña?
- Por la lista de sus obligaciones y sus responsables, empezando por lo que puede bloquear una venta o acarrear una sanción.