Implantación

Para poder desarrollar competentemente un Sistema de Cumplimiento Normativo será necesario tener un conocimiento preciso del entorno en el que se va a aplicar.

Para ello habrá que recopilar información sobre la estructura de societaria y sobre la estructura organizativa, la actividad que realiza, partes interesadas, proveedores, accionistas, procesos operativos y factores de riesgo concurrentes (impacto medioambiental, pagos y/o cobros en metálico de forma habitual, manejo de datos personales…)

Finalmente, habrá que hacer un estudio del marco normativo aplicable (europeo, nacional, normas sectoriales aplicables); así como un análisis sobre si las políticas, normas de conducta y procedimientos internos están alineados con el Código Ético de la entidad.

Hay que desplegar una actividad de identificación de los posibles acontecimientos que, de concurrir, podrían dar lugar a pérdidas económicas, financieras o reputacionales como consecuencia del incumplimiento normativo, tanto de las normas «hard» como de las normas «soft», entendiendo que las primeras se refieren al marco normativo que surge de la aplicación de la normativa vigente en el Ordenamiento jurídico; y que las segundas, responden al marco normativo interno, autoimpuesto por la organización (Códigos de conducta, procedimientos internos…).

Esta es una actuación dinámica, por lo que hay que actualizar la información cada vez que se identifique un nuevo riesgo  (por ejemplo, por inicio de una nueva actividad o la publicación de nuevas normas), y someterla a verificación periódica (al menos una vez al año) para comprobar o descartar que existan nuevos riesgos que no estén adecuadamente identificados.

Una vez identificados los riesgos de incumplimiento que concurren en la organización (riesgo inherente), habrá que diseñar y ejecutar mecanismos de control de conformidad con el apetito de riesgo de la organización. Esta es la cantidad de riesgo que la organización están dispuestos a aceptar (el riesgo cero absoluto no existe).

La asunción del riesgo no se hace de forma inconsciente o desordenada, sino que debe hacerse de forma consciente y bien documentada, en esto consiste la gestión del riesgo. Ante un escenario de riesgo de incumplimiento, la organización debe decidir si:

• Evita el riesgo (impidiendo la realización de determinadas actividades)
• Lo reduce (eliminando la fuente del riesgo o reduciendo su probabilidad o su impacto)
• Lo comparte o transfiere (modificando contratos con terceras partes o suscribiendo pólizas de seguros)
• Lo acepta (monitorizando su evolución).

La formación es un elemento clave para la implantación del Sistema de Cumplimiento Normativo de forma efectiva. Deben realizarse acciones formativas genéricas sobre qué es un Sistema de Cumplimiento Normativo, así como acciones de formación específicas sobre la normativa aplicable en cada departamento, los riesgos de incumplimiento concurrentes, sus consecuencias y los mecanismos de control diseñados para evitarlos.

Con la labor de sensibilización no se trata de transmitir conocimientos, sino de realizar acciones puntuales, concisas y muy concretas que pretenden recordar y poner el foco de atención de los empleados en determinados aspectos que conllevan un mayor riesgo de incumplimiento.

Es necesario tener informada a toda la organización de los avances que se hagan en la implantación del Sistema de Cumplimiento Normativo.

El diseño y implementación de controles, las actuaciones de chequeo de su funcionamiento, las acciones formativas programadas, las campañas de sensibilización que se ejecuten, requerirán la conformidad previa a su ejecución, así como el ejercicio del poder de dirección empresarial, por lo que la actividad de reporte es necesaria y se realizará de manera recurrente.

El sistema de cumplimiento normativo debe estar supeditado a una verificación periódica. La finalidad de esta verificación será la modificación del sistema si se detectan infracciones de sus disposiciones, o cuando se producen cambios en la organización, en la estructura de control o en la actividad desarrollada por la entidad.

Con la periodicidad establecida en el calendario de chequeo de controles se comprobará la vigencia, cumplimiento y eficacia de los mismos a la hora de impedir conductas de incumplimiento.

El órgano de cumplimiento normativo debe asesorar al negocio para evitar riesgos futuros. En este sentido, el responsable de cumplimiento debe informar a la Alta Dirección de las incidencias o problemas que puedan surgir en el marco de la operativa ordinaria de la organización, realizando las recomendaciones que se consideren oportunas y que permitan tomar las decisiones necesarias para su corrección.

Es, por tanto, muy recomendable que el órgano de cumplimiento participe activamente en los comités y órganos relevantes de la organización.

El canal ético deberá reunir las siguientes características:

• Ser fácilmente accesible:
• Es un sistema público al que se le ha de dar divulgación (tanto de cara a los empleados, como de aquellos que tengan algún tipo de vinculación con la organización)

• Es un sistema documentado: los usuarios podrán conocer cómo se va a proceder con la denuncia, órganos encargados de la instrucción, plazos de resolución…
• Es un sistema que garantiza que no habrá represalias para el denunciante
• Es un sistema confidencial: la identidad del denunciante y los hechos denunciados sólo serán conocidos por el órgano de cumplimiento
• Es un sistema que genera una serie de evidencias y de documentos (denuncia, investigación…) que habrá que conservar.