Dan Ostergaard · Cofundador, Trusty · Exresponsable Global de Compliance en Novartis · Fundador de PolicyStore
Las expectativas en torno al cumplimiento de la gestión de políticas están cambiando. Los reguladores ya no se conforman con la documentación estática. Ahora esperan que las organizaciones demuestren que las políticas se siguen activamente, se aplican de forma coherente y se controlan adecuadamente.
Durante años, las organizaciones se basaron en una defensa sencilla: tenemos políticas establecidas. En el entorno regulatorio actual, eso ya no es suficiente.
Este cambio expone un problema más profundo. La mayoría de las organizaciones no tienen un problema de políticas. Tienen un problema de visibilidad.
El cambio de la documentación al cumplimiento de la gestión de políticas
En el Reino Unido, el cumplimiento normativo moderno ya no depende de si existen políticas, sino de si funcionan en la práctica.
Eso significa demostrar que los empleados pueden acceder a las políticas correctas en el momento adecuado, que esas políticas están actualizadas y son precisas, y que se aplican de forma coherente en toda la organización.
Aquí es donde el cumplimiento de la gestión de políticas se vuelve crítico. La brecha entre tener una política y demostrar su eficacia es ahora una fuente directa de riesgo.
La brecha de visibilidad en la gestión de políticas
La mayoría de las organizaciones operan sin un verdadero sistema de gestión de políticas de cumplimiento. Las políticas se redactan, aprueban y almacenan. Pero lo que sucede después rara vez es visible.
Apenas se sabe si los empleados acceden realmente a las políticas que les corresponden. Incluso cuando se registra el acceso, a menudo no hay claridad sobre si se está utilizando la versión correcta.
Sin un control de versiones de políticas adecuado, pueden coexistir varias versiones de la misma política. Con el tiempo, esto genera incoherencias entre equipos y funciones.
Esto no es solo un problema operativo. Es un riesgo de cumplimiento.
Dónde surge realmente el riesgo de las políticas
El riesgo en la gobernanza de políticas no proviene solo de la falta de documentos. Proviene de la falta de alineación.
Un empleado que sigue una política desactualizada puede crear el mismo nivel de exposición que no tener ninguna política. Los equipos que trabajan con directrices incoherentes introducen riesgos regulatorios y operativos sin darse cuenta.
Estas brechas permanecen ocultas hasta que salen a la luz en auditorías, investigaciones o incidentes. En ese momento, el enfoque cambia de la documentación al control.
Las tres áreas que las organizaciones no pueden ver
La primera es el acceso a las políticas. Muchas organizaciones carecen de visibilidad sobre si los empleados consultan realmente las políticas que deben seguir. Un documento almacenado en un sistema no garantiza que se esté utilizando.
La segunda es el control de versiones de políticas. Sin un control estructurado, no hay garantía de que los empleados estén trabajando con la última versión aprobada.
La tercera es la coherencia. Diferentes equipos pueden interpretar o aplicar las políticas de manera diferente. Sin visibilidad, estas incoherencias se acumulan y aumentan la exposición al riesgo.
Lo que los reguladores esperan del cumplimiento de la gestión de políticas
Los reguladores no piden más políticas. Piden pruebas de control.
Esperan que las organizaciones demuestren cómo se distribuyen, acceden y aplican las políticas. Quieren ver que las políticas se actualizan de forma controlada y que los empleados están alineados con la versión actual.
En términos prácticos, esto significa implementar un marco de cumplimiento de la gestión de políticas que proporcione visibilidad, trazabilidad y control.
Fortalecer la gobernanza de políticas sin añadir complejidad
Un cumplimiento de la gestión de políticas eficaz no requiere construir un sistema complejo. Requiere centrarse en unas pocas capacidades críticas.
Las organizaciones necesitan identificar dónde las brechas en las políticas están creando exposición al riesgo. Necesitan mejorar la visibilidad del acceso y uso de las políticas. Necesitan un control más estricto sobre las actualizaciones y la gobernanza para que los cambios se apliquen de forma coherente.
Cuando estos elementos están implantados, las políticas se convierten en controles activos en lugar de documentos pasivos.
De la gestión de políticas al cumplimiento demostrado
Las organizaciones que tienen éxito en este nuevo entorno no son las que tienen más documentación. Son las que tienen la gobernanza de políticas más sólida.
Pueden demostrar que los empleados acceden a las políticas correctas, que esas políticas están actualizadas y que se aplican de forma coherente en toda la organización.
Esto es lo que reduce el riesgo. Esto es lo que refuerza la resiliencia. Y esto es lo que define el cumplimiento de la gestión de políticas moderno.
La pregunta ya no es si tiene políticas, sino si puede demostrar que funcionan.
Preguntas frecuentes
Las políticas se redactan, aprueban y almacenan, pero las organizaciones rara vez ven si los empleados acceden a ellas, si se utiliza la versión correcta o si los equipos las aplican de forma coherente.
Un empleado que sigue una política desactualizada puede generar la misma exposición que no tener ninguna política, y unas directrices incoherentes entre equipos introducen un riesgo que permanece oculto hasta una auditoría, investigación o incidente.
Pruebas de control: cómo se distribuyen, acceden y aplican las políticas, que las actualizaciones se realizan de forma controlada y que los empleados trabajan con la versión aprobada actual.
Visibilidad del acceso y uso de las políticas, control de versiones sobre las actualizaciones y confirmación de lectura, para que las políticas se conviertan en controles activos en lugar de documentos pasivos.
POLÍTICAS, FORMACIÓN Y CANAL DE DENUNCIAS
Trusty Compliance App: políticas de empresa, formación en cumplimiento y un canal de denuncias en una sola aplicación para sus empleados. 10 políticas listas para usar, 6 formaciones, prueba gratuita, sin configuración de TI.