Depois de ler, poderá montar um ciclo simples que liga cada obrigação a um responsável, a um controlo e à sua evidência.
Definição
Uma obrigação é tudo o que a empresa tem de seguir ou decidiu seguir: uma lei, uma cláusula contratual, uma norma, um compromisso interno. A ISO 37301 define os requisitos de um sistema de gestão da conformidade construído em torno delas.
Como os textos mudam e o negócio muda com eles, o trabalho nunca chega a uma meta. Funciona em ciclo.
Porque é importante
Quando uma empresa falha uma obrigação, a causa raramente é uma recusa em cumprir. Na maioria das vezes, ninguém sabia que era sua. O preço pode ser uma coima, um contrato perdido ou uma venda bloqueada.
Há também um ganho prático. Uma única revisão de acessos pode responder a seis textos diferentes, e só uma visão comum das obrigações o revela.
Como funciona
Liste o que se aplica e diga porquê, com o texto, o artigo e a atividade em causa. Depois atribua um responsável a cada obrigação.
Ligue cada uma aos controlos, políticas e registos que a satisfazem. As lacunas tornam-se visíveis e pode planear a sua correção, começando pelas que poderiam bloquear uma venda ou levar a uma sanção.
Por fim, defina um ritmo: monitorizar, reportar à direção e encarregar alguém de acompanhar novos textos e mudanças no negócio.
Um caso prático
Uma empresa de software de pagamentos com 80 colaboradores lista 46 obrigações: o RGPD, requisitos do DORA que os seus clientes bancários lhe transmitem e cláusulas contratuais. A revisão trimestral de acessos responde a seis delas, e passa a ser um único controlo, com um responsável e um registo.
A primeira análise de lacunas encontra nove. As duas ligadas a um contrato de cliente são fechadas primeiro.
Boas práticas
- Mantenha um único registo de obrigações, com a fonte e o responsável de cada uma.
- Arquive as evidências à medida que são produzidas. Reconstruí-las no mês antes de uma auditoria custa muito mais.
- Dê à direção uma visão curta e regular das lacunas em aberto e das ações em atraso.
- Atribua a uma pessoa o acompanhamento das alterações dos textos, para que a tarefa tenha um dono.
Erros frequentes
- Preparar-se apenas para a auditoria anual, o que deixa onze meses de deriva.
- Entregar toda a conformidade a uma pessoa que não gere nenhum processo. Acaba a correr atrás dos outros sem poder decidir.
- Contar uma política como prova. Um documento assinado mostra uma intenção, e um auditor vai pedir para ver a prática.
- Esquecer os contratos. As cláusulas de clientes vão muitas vezes além da lei, e por vezes só a equipa comercial as leu.
Perguntas
- Qual a diferença entre conformidade e governação?
- A governação é a forma como uma empresa se dirige e toma decisões. A conformidade é a parte que garante que cumpre as suas obrigações.
- Gerir a conformidade é o mesmo que estar certificado?
- Não. Um certificado cobre uma norma e um âmbito. A gestão da conformidade cobre todas as obrigações, e muitas delas não têm certificado nenhum.
- Quem é responsável pela conformidade numa empresa?
- A direção continua a ser responsável. Um responsável de conformidade coordena, e cada dono de processo cumpre as obrigações da sua área.
- A ISO 37301 é certificável?
- Sim. Contém requisitos, e os organismos de certificação auditam com base neles.
- Por onde deve começar uma pequena empresa?
- Pela lista das suas obrigações e dos respetivos responsáveis, começando pelo que pode bloquear uma venda ou levar a uma sanção.