Requisitos de Mejora en ISO 37301: buenas prácticas para la mejora continua del sistema de compliance

ISO 37301, el recién publicado estándar sobre gestión de cumplimiento, especifica requisitos y directrices para establecer, desarrollar, implementar, mantener y mejorar un Sistema de Gestión de Compliance eficaz. Los requisitos de mejora en ISO 37301 están contenidos en el capítulo 10 de la norma, algo a lo que ya nos tiene acostumbrado ISO y que acompaña a los estándares que utilizan la estructura de Alto Nivel y el anexo SL.

Una herramienta que resulta esencial para alcanzar la conformidad con los requisitos de mejora en ISO 37301 es el modelo PDCA –Planificar, Hacer, Verificar y Actuar–, que ya ha reportado grandes ventajas a los gestores de Sistemas de Gestión basados en estándares como ISO 9001 o ISO 45001, por mencionar dos de los más relevantes.

Además de profundizar en los requisitos de mejora en ISO 37301, de acuerdo con el texto de la norma, nuestro propósito, a continuación, es indicar una serie de buenas prácticas para alcanzar el objetivo y la conformidad con lo solicitado en el capítulo 10 del estándar.

Requisitos de mejora en ISO 37301 – ¿Qué dice la norma?

Textualmente, ISO 37301 en la cláusula 10.1, titulada “Mejora continua”, solicita a la organización que “mejore de forma continua la idoneidad, adecuación y eficacia del sistema de gestión de cumplimiento”.

Pero la norma también indica qué debe hacer la organización ante un hallazgo de No Conformidad o incumplimiento:

• Tomar las acciones correctivas o medidas necesarias para corregirlo y tratar las consecuencias.
• Tomar las acciones correctivas necesarias para tratar la causa raíz de la No Conformidad y así evitar la repetición.
• Implementar las acciones necesarias para prevenir cualquier incidente, infracción o posibilidad de incumplimiento en cualquier área de la organización.
• Revisar la efectividad de todas las acciones implementadas y diseñar las acciones correctivas necesarias para subsanar la ineficacia identificada.
• Llevar a cabo todos los cambios que requiera el sistema.

Todas las acciones que se tomen, solicita la norma, deben ser apropiadas y adecuadas para tratar la No Conformidad o el incumplimiento reportado y sobre todo ello debe conservarse la documentación respectiva, la misma que debe ser evidencia de la naturaleza de las No Conformidades, del cumplimiento de las obligaciones de la organización y de cualquier acción que se lleve a cabo con posterioridad al reporte del hallazgo y de la revisión de los resultados de efectividad de las acciones correctivas.

Requisitos de mejora en ISO 37301 – Las mejores prácticas para cumplir

Mejorar de forma continua y constante el Sistema de Gestión de Cumplimiento es lo que solicita la norma. La aplicación del modelo PDCA ayudará en este propósito, siempre que este se aplique junto con la adopción de las mejores prácticas:

1. Realizar análisis de riesgos de forma periódica

El entorno regulatorio es cambiante y dinámico en Europa, América, Asía o cualquier lugar del mundo. La volatilidad del marco legal y reglamentario en todos los países del mundo es uno de los factores de riesgo más relevantes a considerar por los oficiales de cumplimiento y los profesionales en el área en general.

Las evaluaciones de riesgo, que habitualmente deben ser realizadas cada año, en el área de cumplimiento tendrían que ser semestrales o trimestrales. Mientras mayor conocimiento tengamos sobre las obligaciones de cumplimiento que nos aplican, mayor será nuestra capacidad para identificar, prevenir y tratar amenazas.

2. Actualizar la política de cumplimiento

De la mano con las evaluaciones de riesgos está la actualización de las políticas de cumplimiento. Por supuesto, no se espera que la Alta Dirección se tome el trabajo de redactar este documento cada tres meses. Pero sí, al menos una vez al año. Esta es, además, una forma de mantener el interés en la Gestión de Cumplimiento y demostrar a los empleados y a las partes interesadas, el compromiso y el liderazgo de la Alta Dirección.

3. Revisar de forma continua el estado del sistema

Lo cual implica, además de revisar los indicadores de gestión, evaluar el rendimiento de los empleados, del software utilizado, de las acciones emprendidas y del desempeño en general del sistema con base en auditorías, revisiones de la Alta Dirección e inspecciones rutinarias.

4. Establecer protocolos de respuesta ante infracciones o amenazas

Saber qué hacer en el momento oportuno es tan importante como prevenir los riesgos. La gestión de riesgos es importante, pero no infalible. Se presentarán incidentes, se reportarán no conformidades, se notificarán hallazgos, pero lo importante es tener un protocolo listo para responder y atender la emergencia.

Esto significa definir pasos de respuesta ante la ocurrencia de incidentes o infracciones, y asegurarse de que estas acciones se alinean con la política de cumplimiento y con los requisitos de ISO 37301.

5. Considerar estrategias de tratamiento

Revisar los controles internos y ajustarlos para asegurar que cumplan con el propósito para el que fueron diseñados, es sin duda una forma de prevenir riesgos o mitigar el impacto negativo en caso de ocurrencia.

6. Documentar todas las acciones que se toman para mejorar el sistema

Más arriba comentamos que en los requisitos de mejora en ISO 37301 está el de documentar y conservar la documentación sobre todas las acciones que se toman para mejorar el sistema. Es, además, una forma de mantener una memoria histórica que resultará de gran utilidad para los auditores del sistema y para el oficial de cumplimiento.

7. Automatizar la gestión de cumplimiento

Documentar de forma oportuna, mantener registros actualizados, realizar procesos eficientes y ágiles de debida diligencia, entre otras funcionalidades, permitirán alcanzar un Sistema de Gestión de Compliance efectivo, eficiente y, sobre todo, con la capacidad para mejorar siempre.

Una forma de hacerlo es automatizando la gestión. Existen diferentes soluciones específicas para automatizar la gestión de cumplimiento.

Software ISO 37301/19600 de ISOTools

Las organizaciones que se toman en serio la gestión de cumplimiento en el mundo son cada vez más. Desde hace algunos años, muchas de estas organizaciones adoptaron el estándar ISO 19600, y de su mano, el Software ISO 37301/19600 de ISOTools.

Esta solución tecnológica ha sido actualizada y revisada para acoger los nuevos requisitos y directrices propuestas por ISO 37301. Tanto las organizaciones que hoy inician la transición al nuevo estándar, o las que llegan a ISO 37301 desde cero, obtendrán un apoyo excepcional para sus iniciativas contratando esta novedosa herramienta.