Las políticas y los procedimientos constituyen la columna vertebral de las operaciones de cualquier organización, y estas se relacionan de manera directa con el cumplimiento o compliance.
Sin esta estructura y estándares para guiar el comportamiento esperado y las mejores prácticas, los procedimientos de una empresa pronto pueden volverse irregulares, caóticos e, incluso, contrarios a las estipulaciones legales vigentes.
Justo por esta razón, el compliance corporativo es un factor que todos los negocios, ya sean grandes o pequeños, deben tener muy en cuenta para evitar sanciones financieras, problemas en el ecosistema de trabajo y hasta una paralización de sus operaciones por mandato judicial.
Debido a su relevancia tanto para la figura del compliance officer (director de cumplimiento normativo) como para los líderes operativos en general, hemos elaborado este contenido valioso donde explicaremos en detalle este concepto, incluyendo:
- Compliance: ¿Qué es?
- A ciencia cierta, ¿por qué es importante la función de compliance?
- 8 ejemplos de cumplimiento normativo;
- 10 buenas prácticas para asegurar un sólido programa de compliance;
- 5 soluciones para garantizar el cumplimiento.
¡Disfrute la lectura!
Compliance: ¿Qué es?
En pocas palabras, podríamos definir el concepto de compliance como el cumplimiento normativo que deben llevar a cabo todas las empresas para evitar ser sancionadas y, por lo tanto, operar sin inconvenientes legales ni de seguridad.
Para ampliar este concepto de corporate compliance, es importante analizarlo, junto a su conjunto de procedimientos asociados, dentro de dos aristas principales:
Cumplimiento como acción
En general, el cumplimiento de la normativa - interna y del entorno - en los negocios o en una empresa significa adherirse a las leyes gubernamentales, los estándares de salud y seguridad o los requisitos de seguridad y datos.
Se puede catalogar como una “acción”, si hay un reconocimiento consciente de dichas reglas y políticas. Y a la vez resulta esencial para la existencia de un negocio o empresa, por lo tanto, el cumplimiento se convierte en un elemento de supervivencia.
Ahora bien, ¿qué significa esto?
El cumplimiento normativo acompaña a ciertos requisitos exigidos por órganos de gobierno reconocidos. En este contexto, estar dentro del marco normativo significa cumplir con requisitos para que la organización pueda funcionar de manera legal y segura.
En paralelo, esto también habla de las diferentes responsabilidades empresariales. Las compañías que cumplen son conscientes de que son responsables tanto con sus empleados como con sus clientes, al igual que con el entorno legal y comercial en líneas generales.
De esta manera, cuando cumplimos claramente con los requisitos reglamentarios, creamos una reputación empresarial positiva.
Al identificar y tomar las medidas pertinentes para asegurar el compliance de políticas, leyes, reglamentos e, incluso, estándares internacionales, construimos un marco operativo claro e ideal para la empresa, lo cual nos lleva al siguiente punto.
Cumplimiento como norma
El compliance se convierte en un estándar si poseemos un conjunto de reglas y políticas bien establecidas para ayudar a mantener la seguridad y la estabilidad de la organización. Estas solo serán relevantes si se aplican correctamente y se observan y monitorean minuciosamente dentro del funcionamiento general de la empresa.
Para considerarlo como un estándar, no es suficiente que simplemente cumpla con las normas, reglamentos y políticas internas, también debe comprender si seguir estas reglas abordará las verdaderas necesidades de su negocio.
En otras palabras, se requiere conocer los diferentes tipos de cumplimiento que se adaptan a la organización y construir un marco a partir de ello.
Como conclusión, podemos decir que el cumplimiento es una acción imprescindible en toda empresa, que luego podemos convertir en un proceso estandarizado al definir un conjunto de estipulaciones claras y personalizadas.
A ciencia cierta, ¿por qué es importante la función de compliance?
El objetivo principal del cumplimiento es simple: identificar y evitar posibles señales de alerta en su negocio. Una vez más, el incumplimiento grave podría dar lugar a multas o sanciones costosas en el futuro.
Y nadie quiere esto, ¿cierto?
Además, una buena cultura organizacional, basada en el cumplimiento, ayuda a sus empleados a actuar de manera responsable.
Un programa efectivo les enseña a los trabajadores a desenvolverse de forma correcta en el trabajo, promover un alto nivel de profesionalismo y defender los valores corporativos dentro y fuera de su ambiente laboral; así como a mejorar las prácticas operativas en la ejecución de sus funciones.
Por lo tanto, es importante nunca dar por sentado el compliance, ya que tiene un gran impacto en la manera como operan los negocios tanto interna como externamente.
A continuación, vamos a explicar en detalle los puntos clave por lo que este concepto es muy importante:
Evita responsabilidades legales
Ninguna empresa querría involucrarse en disputas legales importantes y enfrentar cargos criminales debido al incumplimiento de la ley.
Entre otras consecuencias, las responsabilidades económicas y de operatividad pueden ser un gran golpe para la reputación de la empresa, lo que puede significar también una pérdida financiera instantánea. Las audiencias judiciales y las comparecencias pueden ser un problema colosal para sus operaciones comerciales.
Ser legalmente compatible implica no solo aprender la legislación especial aplicable a su negocio, sino también aplicarla en toda su extensión.
Como regla general, construir una imagen pública respetable es una forma de promocionar con éxito un negocio. Si la empresa se involucra en problemas debido al incumplimiento, el público en general podría dudar de su credibilidad.
Recuerde, la confianza y la lealtad de los clientes y de los accionistas lo son todo para el negocio.
Aumenta la productividad empresarial
Anteriormente, mencionamos cómo el compliance puede crear estándares operativos sólidos; a esto se le conoce como "cumplimiento interno".
Esta es la forma en que una empresa crea un ambiente de trabajo positivo y una cultura saludable. Los empleados quieren un ecosistema laboral donde se sientan seguros y bien atendidos; y únicamente se puede lograr si la organización cuenta con un modelo claro.
Este esquema puede ser un conjunto de pautas o políticas que garanticen la equidad y la seguridad de los empleados y clientes.
Tomando esto como referencia, en una encuesta realizada por Globalscape y Ponemon Institute, se detectó que:
- Las auditorías periódicas de cumplimiento ahorraron a las empresas USD $2,86 millones en promedio;
- Contratar y utilizar la experiencia legal interna ahorró aproximadamente USD $2,27 millones;
- Habilitar tecnologías de gobernanza, detección de posibles riesgos y cumplimiento les ahorró USD $1,43 millones - en promedio - a las empresas;
- Implementar el monitoreo regulatorio para garantizar que se mantuvieran al día con los cambios regulatorios ahorró a las empresas USD $1,03 millones aproximadamente.
8 ejemplos de cumplimiento normativo
Las siguientes son algunas reglamentaciones, normas y leyes destacadas que debe conocer el equipo directivo y consejo de administración de su empresa, para considerarlas al desarrollar un buen gobierno corporativo y prácticas de compliance:
Reglamento General de Protección de Datos (RGPD)
El Reglamento General de Protección de Datos es una legislación que entró en vigor en la Unión Europea en 2018, que actualizó y unificó las leyes de privacidad de datos.
El propósito de RGPD es proteger a las personas y los datos que las describen y garantizar que las organizaciones que recopilan esta información lo hagan de manera responsable.
En Latinoamérica, encontramos los ejemplos similares, como el de México, con la Ley Federal de Protección de Datos Personales en Posesión de Particulares, y de Colombia, con la Ley de Protección de Datos Personales o Ley 1581 de 2012.
Ley Sarbanes-Oxley de 2002
La Ley Sarbanes-Oxley fue promulgada en respuesta a los escándalos financieros de alto perfil de Enron y WorldCom para proteger a los accionistas y al público en general de errores contables y prácticas fraudulentas.
Entre otras disposiciones, la ley establece normas sobre el almacenamiento y conservación de registros comerciales en los sistemas de TI.
Ley Can Spam de 2003
La Ley Can Spam requiere que las empresas etiqueten los correos electrónicos comerciales como publicidad, usen direcciones de correo electrónico de retorno legítimas, brinden a los destinatarios opciones de exclusión voluntaria y procesen las solicitudes de exclusión voluntaria dentro de los 10 días hábiles.
Ley de Portabilidad y Responsabilidad de Seguros Médicos (HIPAA) de 1996
En el título II de la Ley de Portabilidad y Responsabilidad de Seguros Médicos (HIPAA) se señala imperativamente que se estandaricen los sistemas de registros médicos electrónicos e incluye mecanismos de seguridad diseñados para proteger la privacidad de los datos y la confidencialidad del paciente.
Este es un ejemplo de marcos específicos, aplicables a una industria en especial.
Ley Dodd-Frank
Promulgada en 2010, esta ley estadounidense tiene como objetivo reducir la dependencia federal de los bancos al someterlos a regulaciones que imponen transparencia y responsabilidad para proteger a los clientes.
Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS)
PCI DSS es un conjunto de políticas y procedimientos creado en 2004 por Visa, MasterCard, Discover y American Express para garantizar la seguridad de las transacciones con tarjetas de crédito, débito y efectivo.
Ley Federal de Gestión de la Seguridad de la Información (FISMA)
Promulgada como ley en 2002, FISMA requiere que las agencias federales realicen revisiones anuales de los programas de seguridad de la información. Esto se hace para mantener los riesgos para los datos en o por debajo de los niveles aceptables especificados.
Administración de Seguridad y Salud Ocupacional (OSHA)
Los requisitos de OSHA fueron introducidos por el Congreso de los Estados Unidos en 1971 para proteger la salud y la seguridad de los trabajadores en el país, por lo que todas las empresas deben someterse a este estándar de seguridad.
10 buenas prácticas para un sólido programa de compliance
El gran volumen de leyes de cumplimiento que las empresas deben seguir hace que el compliance sea desafiante y complejo. Sumado a esto, los requisitos, estándares y leyes a menudo cambian.
Para mejorar el compliance en su negocio, le recomendamos conocer (y seguir) las 10 prácticas que mencionamos a continuación.
1. Determine sus objetivos finales
Comience con el lugar donde desea terminar e identifique las áreas específicas que necesita mejorar. Eso significa mirar metas y objetivos e identificar resultados clave.
También deberá establecer métricas claras que utilizará para analizar su éxito en el cumplimiento de esos objetivos.
2. Conozca el entorno regulatorio de su industria
No todas las organizaciones tienen el personal o la experiencia para mantenerse al día con cada parte de la legislación y sus requisitos.
Encuentre personas dentro de la empresa que puedan agregar estas responsabilidades a su trabajo o contratar a alguien nuevo para trabajar en este rol.
3. Cree políticas y procedimientos efectivos
Sus políticas ayudarán a reducir el riesgo regulatorio. La clave del cumplimiento radica en su capacidad para administrar, distribuir y rastrear todas esas normativas y procedimientos internos para garantizar que los empleados los conozcan y comprendan.
Incluir un código ético dentro de las políticas y normas generales es recomendable.
4. Otorgue responsabilidad a los empleados
Sus empleados suelen ser su primera línea de defensa contra el incumplimiento, por lo cual debe asegurarse de que hayan recibido y reconocido sus políticas.
No confíe en las firmas en papel; necesita un sistema en línea que rastree rápida y fácilmente quién ha reconocido haber recibido, revisado y comprendido las políticas.
Para ello, un servicio en la nube como Azure o Microsoft 365 le servirá debido a que tienen una función de interoperabilidad y supervisión generalizada en todas las áreas de la compañía, gracias a que están basadas en el cloud computing o "computación en la nube".
También, eduque a sus empleados sobre la responsabilidad penal de las empresas/personas jurídicas asociada a la falta de cumplimiento, por ejemplo, al no respetar leyes de protección de datos como la Ley Federal de Protección de Datos Personales en Posesión de Particulares (México), la Ley 1581 (Colombia) o el Reglamento General de Protección de Datos (RGPD) de la Unión Europea.
5. Lleve a cabo una auditoría de cumplimiento
Debe revisar todas las áreas de cumplimiento normativo que afectarán a su empresa. Esto lo ayudará a establecer un diagnóstico sobre dónde se encuentran actualmente sus esfuerzos de compliance.
Por ejemplo, puede ver cuántas infracciones ha tenido la organización, cuánto le han costado y si tiene áreas de riesgo que podrían ser multadas. Con ello sabrá cuánto ahorrará cumpliendo con todas las normativas necesarias.
6. Cree un repositorio de documentos completo
Almacenar sus documentos críticos en una ubicación central significa que todos deben saber exactamente dónde encontrar cualquier información de cumplimiento para hacer su trabajo.
También puede asegurarse de que todos tengan acceso a la información más reciente y actualizada disponible. Para ello, un servicio en la nube de Microsoft 365 es una apuesta segura.
Esto se debe a que tendrá accesos a un conjunto de servicios completos de la plataforma Microsoft, lo que beneficiará a la empresa y el manejo de documentación con un elevado nivel colaboración entre equipos.
A la vez, entrega la mejor guía de servicio y mejora el ROI de su inversión en la nube computacional, garantizando disponibilidad de la información en todo momento, ya que es un sistema centralizado.
7. Haga seguimiento de infracciones y costos
La supervisión y el seguimiento continuo de las infracciones sirven como otra buena práctica de cumplimiento.
También querrá monitorear los costos asociados con estas violaciones para saber cuánto le cuesta el incumplimiento a los resultados de su empresa.
8. Capacite en materia de cumplimiento
Si sus políticas son la primera línea de defensa del cumplimiento, la capacitación es la segunda. Con esto podrá aumentar la comprensión y el conocimiento de las normas y reglamentos de su empresa por parte de sus empleados.
Utilice servicios donde pueda conectar su contenido de capacitación con sus políticas específicas, para así entregarlo todo en línea a través de cualquier dispositivo en cualquier momento.
9. Comunique clara y regularmente
Si sus empleados no saben que existen sus políticas, ¿por qué tenerlas?
Es fundamental que sus colaboradores de liderazgo y cumplimiento comuniquen la importancia de sus políticas de manera clara, frecuente y consistente.
10. Revise periódicamente su programa de compliance
Todo buen plan necesita revisiones regulares para que pueda encontrar debilidades, información desactualizada e inconsistencias. Como mínimo, esto debe hacerse anualmente.
7 soluciones para garantizar el cumplimiento
Para ayudar a su empresa a mantener un compliance total y adecuado, existen varios requisitos que son cruciales para sus operaciones.
Exploremos ahora 7 soluciones de cumplimiento empresarial que pueden ayudar a su organización a abordar cada una de ellas.
I. Microsoft Purview
Microsoft 365 posee un portafolio de compliance gracias a su software "Microsoft Purview". Se trata de un grupo de soluciones digitales orientadas a mejorar los controles internos, la protección y la administración del patrimonio de datos.
En paralelo, esta familia de marcas ha logrado juntar las mejores capacidades del Azure Purview y la cartera de compliance de Microsoft 365 en la que los usuarios ya venían confiando. De este modo, brindan gobierno de datos y gestión centralizada de riesgos.
Para comprender su impacto, vamos a detallar el alcance de esta novedosa herramienta:
- Mayor visibilidad de todos los datos que maneja la organización;
- Consolidación de la ciberseguridad, protección y administración de datos sensibles en tecnologías en la nube, aplicaciones y terminales;
- Facilita el acceso a toda la información de la empresa, seguridad y soluciones de riesgo;
- Gestiona de manera eficiente, novedosa e integral la protección de datos.
Microsoft Purview junta los aportes en términos de control de datos que brinda Microsoft Data y AI, combinado con el compliance y la gestión de riesgos de Microsoft Security.
En paralelo, también se complementa con capacidades de administración de identidad y acceso, protección contra amenazas, seguridad en la nube, administración de terminales y administración de privacidad, lo que crea un enfoque verdaderamente integral de la seguridad.
II. Microsoft Purview compliance portal
Este "portal de cumplimiento", que está integrado al Microsoft Purview, otorga un acceso sencillo a la información y herramientas que requerimos para mejorar la administración de necesidades de compliance de la compañía.
Algunas de las funcionalidades que podrás aprovechar de esta tecnología, incluyen:
- Puntaje de cumplimiento;
- Importación y archivo de datos en la suscripción de Microsoft 365 mediante la configuración de conectores;
- Sistema de notificaciones;
- Registro de auditoría, donde podrá indagar sobre potenciales inconvenientes de soporte y cumplimiento;
- Búsqueda de contenido en ubicaciones de OneDrive, correos electrónicos, Microsoft Teams, Skype, entre otros recursos.
III. Sistema de Gestión de Riesgos
¿Cuenta con las medidas preventivas necesarias para combatir la corrupción, el lavado de dinero, el fraude cibernético y otros riesgos que podrían afectar las operaciones y la existencia de su negocio? Con servicios gestionados ajustados al compliance de Ciberseguridad, así como la debida diligencia de TI, esto no será un problema.
Y es que todas estas son áreas de gran relevancia para las empresas en la actualidad, debido a la transformación digital de los negocios y el impacto que ha tenido en las industrias; lo que ha llevado a la estandarización y reglamentación sobre el manejo de los datos dentro de las empresas.
Una solución de cumplimiento en el lugar de trabajo analizará sus prácticas comerciales para determinar qué tipo de riesgos pueden ocurrir y cuál es la probabilidad de que ocurran, para crear una estrategia para la minimización de potenciales problemas.
Un sistema de gestión de riesgos de cumplimiento, junto con un servicio gestionado de Ciberseguridad, puede proporcionar una estrategia eficaz que cumpla con las normas y leyes aplicables.
También describirá exactamente qué pasos deben tomarse cuando ocurre un riesgo y se produce una pérdida.
IV. Informes de cumplimiento y monitoreo de controles continuos
El Monitoreo Continuo de Controles (MCC) también se engloba dentro del ámbito de la gestión de riesgos.
Esto se refiere a un conjunto de tecnologías y herramientas que están diseñadas para reducir las pérdidas comerciales mediante la incorporación de técnicas de monitoreo continuo y en tiempo real. Algunos de los controles supervisados incluyen configuraciones del sistema, acceso, autorizaciones y otros procesos comerciales.
Lo último en MCC son las soluciones de supervisión en vuelo que permiten a una organización revisar las actividades a medida que ocurren. Esto crea un entorno proactivo en lugar de reactivo, lo cual la convierte en una solución de cumplimiento comercial que puede ayudar a reducir los costos de auditoría y el tiempo que su equipo dedica a la elaboración de informes manuales.
Como parte de la gestión de riesgos y este tipo de informes, puedes incluir estipulaciones de código de conducta e incluso compliance penal, indicando las consecuencias legales del incumplimiento tanto para trabajadores como para la empresa en sí.
V. Servicios gestionados de Azure
En esta oportunidad, los servicios gestionados de Azure funcionan a la perfección, debido a la complejidad que han ganado las infraestructuras empresariales.
Con los servicios externos de este tipo, los expertos se encargarán de optimizar los procesos internos basados en los más altos estándares de compliance, lo que hará su trabajo más fácil y seguro.
De esta forma, únicamente deberá centrarse en brindar un mayor valor a la empresa, lo que significa que podrá aumentar la ejecución comercial y enfocarse en la visión estratégica de la tecnología de la información al mismo tiempo que se suprimen eficientemente las interrupciones de servicio, inactividad no planificada, exposición de riesgos de seguridad y pérdida de datos.
Todos estos factores le brindarán a la empresa ventajas operativas sostenibles, basadas en las leyes y normativas aplicables, mejorar los costos y optimizar los servicios tecnológicos.
VI. Software de cumplimiento de RGPD
El Reglamento General de Privacidad de Datos exige que las empresas protejan los datos personales de las personas. El software de cumplimiento de RGPD es una solución de cumplimiento en el lugar de trabajo que puede ayudar a una empresa a capturar y almacenar datos de forma segura.
Esto incluye recopilar el consentimiento de la persona antes de enviar mensajes, usar métodos de seguridad para proteger las informaciones una vez que se hayan obtenido e implementar avisos de privacidad y otras formas de comunicación necesarias para informar a las personas sobre lo que se pretende hacer con sus datos.
La forma más sencilla de cumplir es instalar una plataforma de administración de consentimiento que almacene y coordine los consentimientos de los usuarios en un lugar centralizado.
Agregar aplicaciones que le permitirán crear una "única fuente de verdad" entre cada uno también puede facilitar mucho la recopilación de información y los procesos de consentimiento.
VII. Debida diligencia de TI para transacciones de banca de inversión
Las funciones críticas de la Tecnología de la Información (TI) deben ser medidas cuidadosamente para tener un panorama general y comprender riesgos, costos, oportunidades de creación de valor y el Costo Total de Propiedad (TCO) Todo esto debe ser realizado con las mejores prácticas acopladas al compliance financiero.
Gracias a la escalabilidad brindada por expertos en la debida diligencia de TI, podrá conocer si la infraestructura de su empresa objetivo está preparada para escalar; también tiene la posibilidad de analizar las métricas anticipadas de rendimiento. Con un proceso de este tipo estaremos asegurando lo siguiente:
- Identificación de actividades preventivas y correctivas que simplificarán futuros sistemas de TI;
- Adopción e incorporación de arquitecturas organizacionales más innovadoras del mercado;
- Distinción e identificación de puntos de quiebre que pueden significar caídas económicas de gran cuantía.
Y, por último, gracias a que es una solución ajustada al compliance, reduciremos los riesgos de posibles demandas que lleven a procesos judiciales costosos como resultado de una probable exposición indebida de los datos.
¡Es todo por este momento!
Como pudo apreciar, independientemente del tamaño de la empresa y el sector de negocios, tener un sistema de gestión de compliance es fundamental para el éxito y la estabilidad organización.
Un servicio como Microsoft 365 resulta un recurso indispensable para aplicar un programa de cumplimiento efectivo y de gran alcance, fomentando una operatividad segura, rápida y confiable, ya que incluye funciones de interoperabilidad y supervisión generalizada en todas las áreas de la compañía.
Al mismo tiempo, servicios de evaluación y gestión de Ciberseguridad tienen un gran impacto, ya que le permiten saber qué tan adherido está a su programa de compliance, entre otros factores de interés.
Si quiere conocer las soluciones de ne Digital asociadas a estos procesos y recibir una evaluación de las principales necesidades de su negocio, ¡llene este formulario y lo contactaremos con prontitud!
