Análisis de riesgos

Evaluación de la posibilidad de comisión de los riesgos previamente identificados (probabilidad) y de las consecuencias derivadas de los mismos (impacto), no solo desde un punto de vista legal o económico, sino también teniendo en cuenta la afectación reputacional.

Valoración de riesgos

Categorización de los riesgos previamente identificados y analizados, conforme a su mayor o menor grado de relevancia, incidencia o amenaza para la organización.

Mapa de riesgos inherentes

Representación gráfica, a través de un mapa de calor, de los riesgos identificados, analizados y valorados, determinándose el nivel de riesgo inherente, es decir, el riesgo intrínseco existente con anterioridad a la implantación en la organización de las medidas de control, y sin tener en cuenta la eficacia de las mismas.

Elaboración del Código Ético

Norma de máximo nivel que describe los principios, valores y estándares de conducta de una organización, resultando de obligado cumplimiento para todos los profesionales y constituyéndose como la cúspide de la pirámide normativa de la organización.

El código ético se constituye como marco normativo general, de tal forma que las normas recogidas en el mismo pueden ser desarrolladas por políticas más específicas.

Es necesario que la organización lo comunique debidamente a todas las personas incluidas dentro de su ámbito de aplicación, y que lo ponga también a disposición de terceros, de tal manera que, cualquier persona que tenga alguna relación con la organización, tenga conocimiento de los principios, valores y pautas que rigen su actuación.

Asimismo, resulta muy conveniente la adhesión al mismo, no solo por los profesionales de la propia organización, sino también por aquellos terceros con los que ésta se relaciona, tales como proveedores, colaboradores, partners o socios de negocio.

MÁS INFORMACIÓN

Política de Compliance

Norma de alto nivel que contiene el compromiso y voluntad de los órganos de gobierno con el Programa de Compliance, a través de la cual se lleva a cabo la enumeración de los riesgos susceptibles de comisión en la organización, la determinación de las actividades y objetivos de la función de Compliance, la asignación de roles y responsabilidades y el establecimiento de mecanismos de comunicación de incumplimientos.

Políticas, procedimientos y controles

Elaboración, revisión y redefinición de políticas, procedimientos y controles internos, destinados a la prevención, detección y gestión de los riesgos identificados, analizados y valorados. Destacar, por su importancia, las políticas y procedimientos anticorrupción y antisoborno, así como aquellos destinados a la gestión de los conflictos de interés y a la selección de personal.

Canal de Denuncias

El canal de denuncias, también denominado canal ético o canal interno de comunicación de irregularidades, es el cauce confidencial a través del cual profesionales y empleados de una organización, proveedores, colaboradores y otros terceros podrán comunicar sospechas de conductas ilícitas o contrarias a la legalidad vigente, al código ético y a las políticas, procedimientos y normas internas de la organización.

Asimismo, se podrá utilizar para plantear dudas y realizar consultas en relación con la aplicación o el contenido de políticas, procedimientos y controles internos.

La necesidad de establecimiento de canales de denuncia en el ámbito interno de las organizaciones aparece recogida en numerosos normas legales y estándares de normalización, entre otros:

• Código Penal.
• Ley de Prevención del Blanqueo de Capitales.
• Ley Orgánica de Igualdad.
• Ley Orgánica de Protección de Datos Personales.
• Directiva (UE) 2019/1937, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.
• UNE 19601, sobre sistemas de gestión de Compliance Penal.

MÁS INFORMACIÓN

Investigaciones internas

Cualquier comunicación realizada ante el canal de denuncias (canal ético o canal interno de comunicación de irregularidades), abrirá a un proceso de investigación en el ámbito interno de la organización. Tal investigación tendrá por objeto el esclarecimiento de los hechos comunicados y, en su caso, la determinación de las responsabilidades y la aplicación del régimen disciplinario correspondiente.

Formación

En materia de Compliance, resulta fundamental que las organizaciones fomenten de manera continua la concienciación de todo su personal, a través de campañas de sensibilización y cursos de formación, los cuales permitirán fomentar a nivel corporativo una verdadera cultura de respeto a la ley, a los códigos éticos y a las políticas y procedimientos internos.

Es fundamental que reciban formación todos los profesionales desde la dirección y los órganos de gobierno hasta los empleados, pasando por los mandos intermedios y los cuerpos de gerentes.

La legislación nacional e internacional, los estándares de normalización y todas las posiciones doctrinales e interpretativas son claras al respecto: cualquier Programa de Compliance debe ir necesariamente acompañado de actividades de formación para el personal de la organización, las cuales deberán estar adaptadas a los roles o funciones desempeñadas.

Sin concienciación y verdadera cultura, el Modelo de Compliance será completamente ineficaz y se convertirá en simples y meros documentos, cuya única razón de ser será simular que se dispone de algo que realmente no existe.

La formación es un elemento tan fundamental que su ausencia puede generar consecuencias nefastas para las organizaciones, debido a las repercusiones que pueden derivarse de conductas inapropiadas por parte del personal.

“Solo hay algo peor que formar a tus empleados y que se vayan: no formarlos y que se queden”

Henry Ford

Manual de Prevención de Riesgos Penales

Documento que define el Programa de Compliance, el cual se divide habitualmente en dos partes diferenciadas:

• Parte General.

Recoge aspectos tales como el marco regulatorio, la metodología de evaluación de riesgos, los órganos que configuran la estructura de control, el proceso de supervisión y vigilancia, los canales de denuncias (canales éticos o canales internos de comunicación de irregularidades), el sistema disciplinario, el proceso de impartición de las actividades de formación. Asimismo, incluye los denominados controles, políticas, procedimientos y medidas de control generales: es decir, aquellos cuya finalidad es prevenir, detectar y gestionar genéricamente la materialización del riesgo.

• Parte Especial.

Recoge los riesgos identificados, analizados y valorados, su regulación legal, y las conductas que podrían dar lugar a la materialización de los mismos. Asimismo, incluye los denominados controles, políticas, procedimientos y medidas de control específicos: es decir, aquellos que tienen un carácter más concreto y cuya finalidad es prevenir, detectar y gestionar riesgos específicos.

Mapa de Riesgos residuales

Representación gráfica, a través de un mapa de calor, del nivel de riesgo residual, es decir, el riesgo real existente una vez aplicadas, a los riesgos inherentes, las medidas de control destinadas a la prevención, detección y gestión de dichos riesgos.

Matriz de riesgos y controles

Herramienta en la que se identifican y se visualizan el conjunto de riesgos de la organización. Incluye la descripción de cada riesgo, el nivel de impacto, nivel de probabilidad, nivel de riesgo inherente, controles asociados, descripción de cada control, responsables de la ejecución y supervisión del control, frecuencia y efectividad de los controles, nivel de riesgo residual, etc.

Verificación, ejecución, control, reporting y medición de indicadores

El Modelo de Compliance debe ser objeto de una verificación y monitorización constante. Se debe prestar especial atención a aquellos casos en los que tengan lugar modificaciones legislativas, pronunciamientos jurisprudenciales, cambios en la estructura de control de la organización, en su organigrama o en las actividades desarrolladas, actualizaciones de los mapas de procesos, infracciones o ineficiencias del Modelo, etc.

Asimismo, debe determinarse una frecuencia para reportar a los órganos de gobierno, informándoles de la evolución y del grado de cumplimiento de los objetivos de Compliance, así como de los resultados derivados de la medición de indicadores de cumplimiento (Key Compliance Indicators)