¿Cómo hacer un diagnóstico GRC?

Diagnóstico GRC

Hace algunas semanas hemos estado publicados artículos relacionados con el GRC, que no es, como muchos creen, una tecnología. Hay tecnologías al servicio de GRC, que es diferente. GRC tampoco es un programa de auditoría. La auditoría les sirve a los proyectos de GRC. Tampoco es simplemente lo que señala su acrónimo: gobierno corporativo, gestión de riesgos y cumplimiento. Es verdad que esos tres elementos juegan un rol esencial, pero no es lo único. GRC en los últimos años ha venido teniendo una infraestructura técnica de adecuación y alineamiento con distintos estándares internacionales.

Antes de adentrarnos en el tema que nos ocupa: el diagnóstico de GRC, conceptualizaremos someramente la fusión de Gobierno, Riesgo y Cumplimiento (GRC), que es un modelo de capacidad que permite a una organización lograr los objetivos abordando la incertidumbre y actuando con integridad. Esta capacidad implica optimizar el gobierno, la gestión y el aseguramiento del desempeño, riesgo, cumplimiento y control mediante el mejoramiento de los recursos y capacidades internas: procesos, tecnología, información y organización.

Razones para hacer un diagnóstico GRC

Primero que todo, sería imposible dotarse de los recursos necesarios si no supiéramos cuáles son esos recursos de los que carecemos, ¿no es cierto? Por otra parte, es muy importante establecer una estructura que determine el logro de los objetivos de la organización, a todos los niveles, en todos los ámbitos, más allá del círculo interno de la empresa (administradores, propietarios, accionistas, etc.).

Un diagnóstico GRC es ideal para precisar la manera en que podemos optimizar la interacción de la organización con la sociedad: reguladores, supervisores, trabajadores, entidades financieras, grupos de interés, etc. para lograr la satisfacción de todas las partes interesadas.

¡Empecemos con el diagnóstico GRC!

Si la organización tiene como objetivo identificar el estado actual de Gobierno, Riesgo y Cumplimiento frente a los marcos de referencia, conviene ejecutar algunas tareas bien específicas, por ejemplo:

• Solicitar y revisar documentación requerida de acuerdo con los marcos de referencia, por ejemplo: documentación asociada al programa de ética y cumplimiento, cadena de valor, metodologías de gestión de riesgos y cualquier otro documento que el profesional encargado del diagnóstico GRC juzgue pertinente. Un corpus significativo puede brindar un panorama global sobre la situación real de la empresa.
• Realizar mesas de trabajo para aclarar inquietudes y confirmar las brechas existentes frente a los marcos de referencia. Sin la colaboración de todos los involucrados será imposible seguir adelante.
• Presentar y aprobar los resultados del diagnóstico GRC. Cuando todos estén de acuerdo con los hallazgos resultantes, el trabajo estará hecho y será posible elaborar un plan en el que se indique cómo se procederá en lo sucesivo para solventar las fallas, atender las debilidades y potenciar las fortalezas.

¿Qué viene después del diagnóstico GRC?

Si te pareció que el diagnóstico GRC implicó mucho trabajo, te comentamos que eso es solo el principio. ¡Ahora viene lo bueno! Esto se debe a que el diagnóstico GRC pone de manifiesto muchos fallos que hay que tratar, de ahí la importancia de la gestión de riesgos y controles operacionales, financieros, estratégicos, legales, entre otros.

Otros aspectos que evidencia el análisis es la necesidad de atender el marco regulatorio propio del entorno organizacional: leyes relacionadas con lo penal, protección de datos, prevención de riesgos laborales, y las que resulten pertinentes. De ese diagnóstico GRC, además, pueden derivarse planes de acción, acciones preventivas y correctivas que tendrían que difundirse en toda la organización. La comunicación, como siempre, es clave.

Del resultado del diagnóstico, la organización debe reconocer sus niveles de madurez, que se explica brevemente en la siguiente figura:

Fig1: Propuesta de la EEE basado en el estudio de Archer eGRC Technical Consultant Latin America & Caribbean

Beneficios tras el diagnóstico

La puesta en marcha de un diagnóstico GRC, que implica la compilación y análisis de diversos documentos de relevancia, trae consigo una serie de beneficios que citaremos a continuación: prevención de riesgos penales, prevención de blanqueo de capitales, adaptación a sistemas de prevención de riesgos globales, creación de una cultura de control en todos los ámbitos de la organización, que facilite el cumplimiento de la legalidad vigente (desde los entornos de gestión a los entornos de producción, etc.

Conocer, entender, aplicar y revisar GRC

En el actual contexto organizacional resulta una oportunidad inmejorable la metodología de Gobierno, Riesgo y Cumplimiento (GRC), una herramienta valiosa, audaz y flexible de mejoramiento continuo, con una filosofía sencilla, plena de bondades y métodos, o, en otras palabras, que se adapta y armoniza con las metodologías, marcos de referencia y normas existentes.

GRC garantiza el logro de los objetivos de las organizaciones de forma confiable, abordando la incertidumbre y actuando con integridad, para cerrar las brechas que existen entre el liderazgo actual y el futuro del Gobierno Corporativo y para que los procesos de toma de decisiones no sean aislados, parciales o motivados por la presión de la normatividad estatal, si no, por el contrario, que obedezcan a los lineamientos de la visión, misión y objetivos estratégicos de las organizaciones, con una perspectiva holística de los cuatro elementos de la metodología: Comprender, Alinear, Ejecutar y Examinar.

Software GRCTools: Diagnóstico GRC

Las organizaciones para su mejora, hacen uso de herramientas tecnológicas como GRCTools para la gestión de Gobierno, Riesgo y Cumplimiento (GRC). 

Con el software GRC Tools, ningún proceso está sin controlar, ya que permite identificar y administrar los riesgos que cruzan la organización, integrándose en todos los procesos y permitiendo la gestión de riesgos en proyectos, aspectos operativos, financieros, legales, gubernamentales, entre otros. Además, alinea la estrategia con el apetito por el riesgo.

Además, con GRC-Tools las organizaciones pueden realizar la gestión del ciclo de vida de los riesgos. Desde el establecimiento de su contexto, su identificación, análisis y tratamiento hasta la implementación de los procesos necesarios para el seguimiento y medición. Y lo mejor: todo centralizado en un único espacio y con posibilidad de reutilizar de forma intuitiva elementos de su propio inventario de riesgos.