Un sistema de compliance no debería consistir únicamente en disponer de documentos. Tiene que identificar riesgos, establecer controles y demostrar que la organización aplica realmente las medidas previstas.
La empresa tiene un código de conducta.
Tiene protocolos.
Tiene un documento llamado “Programa de Compliance”.
Perfecto.
Ahora viene la pregunta incómoda:
¿Se utiliza?
Porque un sistema de cumplimiento normativo no debería medirse por el número de PDFs almacenados en una carpeta.
Debería poder responder preguntas bastante más concretas.
¿Qué riesgos tiene realmente la organización?
Los riesgos de una empresa industrial no son necesariamente los mismos que los de una consultora, una empresa tecnológica o una compañía que contrata habitualmente con el sector público.
El sistema debe partir de la actividad real.
¿Quién es responsable de qué?
Un protocolo que nadie sabe quién debe aplicar tiene una utilidad limitada.
Las responsabilidades y canales internos deben estar claramente definidos.
¿Los trabajadores conocen los procedimientos?
La existencia formal de una política no garantiza que quienes deben aplicarla sepan que existe.
La formación y la comunicación forman parte del sistema.
¿Podemos demostrar lo que hacemos?
Controles, revisiones, comunicaciones, formación, incidencias y medidas adoptadas deberían dejar trazabilidad.
Y aquí está una de las ideas fundamentales del compliance:
No basta con intentar hacer las cosas bien. En determinadas circunstancias también puede ser importante poder demostrar qué hizo la empresa para conseguirlo.
Un buen sistema de compliance no debería ser una carpeta que se abre cuando aparece un problema.
Debería funcionar precisamente antes de que el problema aparezca.
