ISO 19600. 8.- Operación
8.1 Planificación y control operacional
La empresa tiene que planificar, implantar y controlar los procesos necesarios para cumplir con los requisitos y para poder implantar las acciones que se determinan en el apartado 6.1 mediante:
- La definición de los objetivos de los procesos.
- El establecimiento de criterios para los procesos.
- La implementación de control de los procesos según los criterios.
- El mantenimiento de información documentada en la medida necesaria para confiar con los procesos que se ha realizado según lo planificado.
La empresa tiene que realizar un control de los cambios que se han planificado y revisar las consecuencias de los cambios no previstos, tomando acciones con las que mitigar los efectos adversos, según resulte necesario.
8.2 Establecimiento de controles y procedimientos
Se tienen que implementar controles para gestionar las obligaciones de compliance identificadas y los riesgos de compliance asociados y alcanzar el comportamiento deseado.
Es necesario realizar controles eficaces para asegurar que se cumplen con las obligaciones de compliance y que se previenen, o se detectan y corrigen, los incumplimientos. Los tipos y niveles de controles se deben diseñar con el rigor suficiente para facilitar la consecución de las obligaciones de compliance específicas de las actividades de la empresa y del entrono en el que opera. Cuando sea posible, dichos controles deben estar embebidos en los procesos organizativos normales.
Los controles se deben mantener, se deben evaluar y se tiene que probar de forma periódica para asegurarse que continúan siendo eficaces.
Se tiene que establecer, documentar, implantar y mantener los procedimientos para apoyar la política de compliance y traducir las obligaciones de compliance a la práctica.
A la hora de desarrollar los procedimientos, se tiene que considerar los siguiente:
- Integrar las obligaciones de compliance en procedimientos, incluyendo sistemas informáticos, formularios, sistemas de información, contratos y otra documentación legal.
- Consistencia con otras funciones de revisión y control de la empresa.
- Seguimiento y medición de forma continua.
- Evaluar e informar para asegurar que los empleados cumplen con los procedimientos.
- Disposiciones específicas para identificar, informar y escalar casos de incumplimientos y riesgos.
8.3Procesos externalizados
La empresa tiene que ratificar, que todos los procesos externalizados son controlados y se lleva a cabo un seguimiento de los mismos.
Como regla general, la externalización de las operaciones de una empresa no lo libera de sus responsabilidades legales. Si existe alguna externalización de las actividades de la empresa, la empresa necesita llevar a cabo una debida diligencia eficaz para manifestar que sus estándares y compromisos con el compliance no son rebajados. También deben existir controles sobre los contratistas para asegura que se cumple con el contrato de forma eficiente.
La empresa tiene que tener en consideración los riesgos de compliance que se encuentran relacionados con los procesos de terceras partes, tales como el suministro de bienes y servicios, y la distribución de productos, además de establecer controles según sea necesario.