¿En qué consiste el GRC?
Concepto de Gobierno, Riesgo y Cumplimiento.
Este concepto es extremadamente importante para influenciar la formulación de la estrategia empresarial y la articulación de todo tipo de decisiones de negocios. El concepto de GRC fue difundido originalmente por consultoras hace varios años para soluciones de sistemas, software y servicios. Con el tiempo, se fue extendiendo a servicios de consultoría y en la investigación científica sobre temas empresariales. El objetivo de la alineación de los tres elementos de GRC es mejorar el desempeño corporativo facilitando la toma de decisiones.
De forma resumida:
- El término Governance se relaciona con el contexto de la alta dirección por la delegación de la autoridad y control y supervisión entre el comité ejecutivo, los directores y los accionistas sobre el tratamiento de los riesgos de negocios.
- El término Risk se relaciona a la capacidad de identificar y tratar los riesgos empresariales.
- El término Compliance se relaciona a la adherencia de las acciones de negocios a las reglas que permiten cumplir con las leyes y regulaciones externas, los compromisos voluntarios, las políticas internas y, en general, la observancia de la ética empresarial.
Cada uno de sus componentes se solapa con el resto a través de la articulación de la estrategia de negocios en acciones y procesos concretados por todos los niveles de una organización desde el directivo hasta el operativo. Las palancas de G, R y C favorecen la colaboración.
El Compliance Officer deberá entender las tres palancas del GRC, alineando los procesos de gobierno corporativo, la gestión de riesgos y el cumplimiento a través de políticas y controles que permitan mejorar la colaboración entre departamentos. Este nuevo concepto integrador nos permite, por ejemplo, explotar proactivamente la información del big data para combinarla con el conocimiento de nuestras políticas para investigar alarmas por riesgos. Una función de Compliance fragmentada imposibilita operar en negocios globales.
En este ambiente global, parece una opción tentadora orientar la función de Compliance a generar políticas más restrictivas en algunos países muy regulados, y políticas más permisivas en otros países con menos imposiciones. Sin embargo, este enfoque nos lleva a problemas de comunicación y nos imposibilita para desplegar programas de cumplimiento globales.
Enfoque GRC: automatización + centralización + coordinación.
Cultura de GRC.
Nuestras políticas y procedimientos detallan solamente cómo queremos que se actúe, mientas que la cultura determina qué ocurre realmente en la realidad.
La adopción de acciones integradas sobre GRC está dada por el tono de los superiores, dejando un papel predominante al presidente o director general de la empresa. La salud de la empresa depende del mensaje dado desde lo más alto de pirámide jerárquica, que impide racionalizar decisiones contrarias a la ley, la ética o la capacidad técnica y financiera, priorizando pequeñas ganancias en el corto plazo sobre pérdidas mayores a largo plazo.
Una sólida cultura empresarial consiste en difundir el mensaje que todas las decisiones que toman los ejecutivos y empleados de una empresa deben ser ejemplares a todos los niveles. Si una falta llega a la alta dirección, probablemente ya sea demasiado tarde o costosa.
La cultura, moldeada a través de las acciones del Compliance Officer y de miles de decisiones de negocios, permite prevenir errores y fraudes antes de que sean costosos. La centralización a través de GRC permite la consistencia de criterios y políticas para construir una cultura uniforme. Ningún control, por efectivo que sea, compensa una mala cultura.
En momentos de crisis profundas, aumentan las presiones por el fraude operacional y de reporte contable. Los objetivos por conseguir metas económicas redundaron en manipulaciones contables, soborno y corrupción. Lo conveniente preponderó sobre lo correcto. La necesidad de los ejecutivos a mantener su estilo de vida o crecer en sus carreras es un peligroso factor de riesgo de fraude durante las crisis. Compliance no es un código, ni un programa, ni políticas, es una cultura a respetar.
La avidez por resultados, motor de la innovación empresarial, debe tener una aceptación ética para ser beneficiosa en la sociedad.
El GRC de las tres culturas.
El concepto de GRC tiene como objetivo poder interrelacionar tres aspectos de la cultura empresarial que hemos tratado previamente. La cultura influencia a todos los que toman decisiones en una empresa, desde ejecutivos hasta empleados, y resguarda los intereses de los grupos de interés. Los empleados deben entender que las reglas de organización afectan a todos, así como se alienan para alcanzar los mismos objetivos, ejecutando estrategias coordinadas.
Los gestores de riesgos llaman tolerancia al riesgo a esta frontera:
- Cultura de riesgo. La definimos como el sistema de valores y conductas que afectan la forma en que se evalúan los riesgos al tomar decisiones. En términos prácticos, los empleados necesitan entender la exposición de riesgos de la empresa para determinar qué deben hacer o qué deben evitar hacer.
- Cultura de cumplimiento. La definimos como el ambiente general que afecta a cómo la empresa responde a sus requerimientos internos, externos y principios éticos. Una sólida cultura de cumplimiento requiere a sus empleados que efectúen los controles necesarios sobre sus procedimientos a cargo, aunque no necesiten ser vigilados.
- Cultura de buen gobierno corporativo. La definimos como las medidas organizativas y sus acciones que sostienen la creación de valor de empresa para sus grupos de interés. Una sólida cultura de buen gobierno corporativo permite brindar una ventaja competitiva, resguardando los activos intangibles por la reputación. Este aspecto de la cultura involucra al sistema de creencias que permiten conducir negocios de una forma ética por parte de la dirección y los empleados.
La cultura de Compliance es hacer lo correcto, aunque nadie esté vigilando.
Para entender la extensión de la cultura, debemos pensar que los empleados siguen cierta conducta, en primer lugar, por el ejemplo que, de su jefe directo, luego porque las siguen sus pares y, en último lugar, por las políticas.
Las fronteras de estos tres aspectos de la cultura de GRC son difíciles de establecer, así como toda cultura es difícil de delinear. La construcción de una cultura consistente es un proceso largo que requiere comunicación efectiva sobre la ética y las prácticas de negocios aceptadas, así como el sistema de disciplina e incentivos.
Conceptos básicos sobre gobierno corporativo.
La función de gobierno corporativo, también llamada de gobernanza, describe la organización jerárquica entre el consejo de administración, sus ejecutivos y las estructuras de control. Esta función requiere de un sistema de comunicación que eleve la información hacia aquellos que tomen decisiones para que puedan hacerlo sobre reportes completos y oportunos, así como que descienda la información de las estrategias y direcciones a las áreas ejecutantes. La función de gobierno surge de establecer la misión y visión que requiere un modelo de negocio, la definición de valores compartidos y la supervisión de la delegación de autoridad a través de la empresa.
La función de gestión de riesgos describe el proceso de identificar, analizar y responder, de ser necesario, a los eventos que afectan la certidumbre sobre el cumplimiento de los objetivos establecidos. Las respuestas a los riesgos generan planes de acción para reducir la exposición a los mismos, reduciendo su impacto cuando se materializan a través de planes de contingencia o reduciendo la frecuencia esperada a que ocurran a través de planes de prevención. Estas respuestas se priorizan en base a la criticidad del riesgo, medida como el impacto por la probabilidad de que ocurran.
Un sistema de riesgos empresariales, generalmente nombrado como ERM Enterprise Risk Management, gestiona en forma holística todos los riesgos de una empresa, incluyendo los financieros, operativos, de fraude, por incumplimientos, de sistemas, políticos, de la naturaleza y estratégicos. Un mapa de riesgos es efectivo cuando nos da una visión en 360 grados de las amenazas a los planes futuros. Las soluciones parciales no permiten relacionar eventos ni factores de riesgos.
La función de Compliance describe el proceso de identificar los requerimientos aplicables a nivel de empresa originados por regulaciones, estándares de calidad y ética, normas voluntarias, contratos, estrategias y políticas.
La integración de los elementos del GRC permite mejorar el desempeño:
- La consistencia en la toma de decisiones sobre una tolerancia común.
- La identificación de riesgos y oportunidades en decisiones estratégicas.
- El desempeño de la organización a través de procesos organizados.
- El control de que no se duplican tareas redundantes.
- Los costes de cumplimiento, auditoría e inspecciones regulatorias y de calidad.
- La innovación, al hacer trabajar en conjunto a departamentos con diferentes visiones.
- El consenso sobre cómo gestionar los factores de riesgos.
Software de GRC.
Un software de GRC integra soluciones para mejorar la asignación de responsabilidad, también soporta explícitamente el cumplimiento de obligaciones de privacidad de datos. Bajo un mismo software de GRC, principalmente se mejora la asignación de responsabilidades de identificar riesgos, de asignar recursos a planes de acción y de reportar avances e indicadores.
La integración en un software de GRC común permite:
- Fortalecer la toma de decisiones.
- Mejorar la colaboración y la comunicación entre los equipos.
- Simplificar el proceso de gestión integral.
- Establecer controles consistentes y armonizados, evitando redundancias.
- Consolidar datos y procesos en una plataforma visible.
- Importar y exportar datos de varios sistemas.
- Acelerar el flujo de documentación.
- Simplificar la experiencia del usuario con un solo acceso y mejorar su productividad.
- Ahorro de costes al tener una licencia única.
Funcionalidades del software de GRC:
- Compliance y creación de normas:
- Centralización del sistema normativo.
- Centralización de la delegación de tareas.
- Administración y seguimiento de poderes internos y externos.
- Seguimiento de los conflictos de interés.
- Integración de normas a cumplir.
- Seguimiento de tareas preparatorias para cumplir nuevas regulaciones.
- Servicio de actualización de normas externas.
- Gestión del business process management para el mapeo flujos.
- Repositorio de normas accesibles por entidades locales, regionales y corporativas.
- Seguimiento de versiones de normas y aprobación de cambios.
- Protocolo de gestión de crisis.
- Gestión de riesgos y seguros:
- Repositorio de todos los riesgos empresariales. Descripción del riesgo, de sus causas y consecuencias, valuación del impacto y frecuencia, clasificación y planes de acción.
- Identificación de riesgos.
- Universo de riesgos común (taxonomía).
- Seguimiento de key risk indicators.
- Detalle y seguimiento de planes de acción.
- Solución para riesgos en proyectos, riesgos en ofertas comerciales, riesgos emergentes y riesgos de país.
- Aprobación de riesgos y planes de acción.
- Análisis de seguros y coberturas.
- Base de pérdidas e incidentes.
- De auditoría interna, control interno y calidad:
- Gestión de proyectos de auditoría con cronogramas, presupuestos y personas.
- Repositorio de programas de trabajo y papeles de auditoría.
- Aprobación de revisiones y reportes.
- Gestión de Control Self Assessments, cuestionarios de autoevaluación de controles y guías de controles.
- Seguimiento de planes de acción. Alarmas automáticas cuando un plan de acción no es actualizado o cerrado.
- Reporte de fraudes detectados.
- De reporte contable y financiero:
- Calendario de cierre y controles.
- Soporte de la carpeta de cierre con los análisis de cuentas y conciliaciones.
- Ingreso y seguimiento de checklists sobre procesos contables.
- Análisis de cumplimiento de obligaciones fiscales y estatutarias.
- Aprobación de papeles de trabajo y saldos.
- Funciones de visualización y reporte de movimientos contables.
- Seguimiento de revisiones de controles financieros.
- Gobierno de tecnología de información:
- Cumplimiento con el marco de control de tecnologías de información.
- Gestión de riesgos informáticos.
- Escaneo de vulnerabilidades.
- Gestión de auditorías informáticas.
- Automatización de tareas de aseguramiento de privacidad de datos.
- Controles de validez y de segregación de permisos de usuarios.
- Gestión de incidentes.
- Control de proveedores informáticos.
- Plan de continuidad de negocio y recuperación de datos.
- Seguimiento de respaldos.
- Seguimiento de licencias e inventario de software.
- Seguimiento de hardware e inventario.
- De proveedores y terceras partes:
- Agrupación de perfiles de proveedores por criticidad y por clases.
- Seguimiento de cumplimientos (proveedores listados o restringidos, certificados de seguros y licencias, declaraciones éticas, contratos, acuerdos marcos).
- Due-diligence de proveedores.
- Gestión de auditorías de proveedores.
- Proveedores y materiales alternativos.
- Riesgos de proveedores y de la cadena de suministro.
- Integración con business intelligence:
- Visualización dinámica y flexible de todos los datos del GRC.
- Reportes interactivos, tablero de mandos y Analytics.
- Self-Service de reportes ad hoc.