La gestión continuada de proyectos tan exigentes como los relativos al RGPD, el compliance penal o el compliance general implica un trabajo de verificación periódica del modelo de prevención y de la eficacia de los controles. Esta gestión está rodeada de amenazas que pueden provocar cambios en las prioridades, retrasos en la planificación y otros efectos que ponen en peligro la consecución de los objetivos establecidos por el órgano de control.
En este artículo se relacionan las principales circunstancias que pueden provocar la pérdida de la iniciativa, y, en consecuencia el cambio de las prioridades del responsable del proyecto, interno o externo, así como las medidas aplicables para evitar que ello ocurra.
Objetivos del proyecto continuado
El responsable interno o externo del proyecto, y preferiblemente ambos de mutuo acuerdo, establecen, al inicio del ejercicio, los objetivos del proyecto continuado de RGPD o de compliance. Entre estos objetivos cabe citar los siguientes:
- Mantener actualizado el mapa de riesgos.
- Mantener actualizada la estructura de control.
- Mantener actualizada la estructura normativa.
- Verificar el cumplimiento de las obligaciones legales.
- Verificar la eficacia de los controles.
- Obtener evidencias de la eficacia de los controles.
- Crear pruebas del esfuerzo realizado, la diligencia y la cultura de cumplimiento.
- Prevenir incumplimientos.
- Prevenir sanciones en caso de infracción.
- Mantener actualizado el repositorio de evidencias.
Estos objetivos generan una larga lista de tareas recurrentes que deben ser realizadas con la frecuencia establecida para cada una de ellas y que corresponden al concepto de la verificación periódica, común a todos los proyectos orientados al cumplimiento normativo.
El problema reside en la constancia y la regularidad de la realización de estas tareas, que puede quedar afectada por cualquiera de las circunstancias comentadas en el punto siguiente.
Circunstancias que pueden hacer perder la iniciativa
Entre las circunstancias o cambios que pueden provocar interferencias en la rutina establecida para la verificación periódica del cumplimiento, o agotar todas las horas y recursos disponibles para esta labor, cabe citar las siguientes:
- Cambios legislativos o jurisprudenciales.
- Nuevas guías o instrucciones del regulador de la autoridad de control.
- Cambios en los criterios del regulador o de la autoridad de control.
- Alta frecuencia de consultas.
- Alta frecuencia de incidentes y conflictos internos o externos.
- Conflictos de competencias. Por ejemplo, entre Asesoría Jurídica y Auditoría Interna.
- Redefinición permanente de los órganos de control y de la estructura de control.
- Apuesta de la empresa por una cultura abierta que huye de las normas y el control previo.
- Falta de acuerdo sobre las prioridades.
- Cambio constante en las prioridades.
- Empresa familiar no profesionalizada.
- Crecimiento acelerado del negocio que dificulta la aplicación del modelo de prevención.
- Problemas de comunicación con el negocio.
- Falta de recursos.
- Falta de apoyo de la alta dirección.
- Falta de autoridad o de reconocimiento frente al negocio.
- Exceso de confianza con el negocio.
- Falta de claridad en la asignación de las distintas responsabilidades y tareas a realizar.
- Alto nivel de ocupación de los interlocutores.
Consecuencias de la pérdida de la iniciativa y escenarios en los que ésta puede evidenciarse
La pérdida de la iniciativa en estos proyectos que exigen dedicación constante se traduce irremediablemente en el retraso de las tareas planificadas. En algunas ocasiones, el retraso puede ser muy grande y puede poner en peligro los objetivos de cumplimiento.
El responsable del proyecto intentará de forma repetida recuperar la iniciativa y volver a la planificación, pero antes de que lo consiga, pueden darse una serie de escenarios que evidenciarán el retraso, generando la apariencia de que éste es imputable al responsable del proyecto, cuando en realidad no es así.
Entre estos escenarios cabe destacar aquéllos en los que se va a requerir un informe de la situación del proyecto y del modelo de prevención:
- Auditoría solicitada por un accionista o un consejero.
- Due diligence de un posible inversor.
- Proceso de profesionalización de la empresa familiar, en el que la familia se aparta y se renueva el equipo directivo.
- Relevo generacional en la empresa familiar.
- Compra de la empresa y cambio del equipo directivo
- Cambios en la dirección de la empresa.
- Cambio de interlocutores internos o externos en el proyecto.
Medidas para prevenir la pérdida de la iniciativa
Es evidente que la mejor forma de mantener la iniciativa es aprender a nadar y a guardar la ropa, es decir, atender todas las exigencias del proyecto y hacer frente a las amenazas que pueden poner en peligro los objetivos marcados sin desatender las tareas recurrentes y la verificación periódica.
Ello puede parecer muy fácil al planificar el ejercicio, pero entraña una gran dificultad en la práctica.
Entre las medidas que pueden contribuir a mantener la iniciativa, cabe citar las siguientes:
- Negociar con el Consejo de Administración la delegación de autoridad necesaria para el proyecto.
- Conseguir el reconocimiento del negocio a la utilidad del proyecto a través de la prevención de la responsabilidad individual de los directivos.
- Negociar y aprobar los objetivos y las prioridades al inicio de cada ejercicio.
- Bloquear un porcentaje de tiempo y recursos para las tareas recurrentes y la verificación periódica.
- Identificar los puntos de verificación más críticos y marcar los que son irrenunciables. En el RGPD hemos identificado más de 325 puntos de verificación. En Compliance, la lista tiende al infinito.
- Simplificar las tareas de verificación.
- Acordar con el negocio la creación de indicadores que faciliten la verificación.
- Asignar a una persona el control del cumplimiento de las tareas recurrentes y la verificación periódica.
- Establecer alertas automáticas para el momento en que se superen los plazos acordados para la aplicación de un control y para la entrega de las evidencias.
- Incrementar las acciones de formación y concienciación.
- Utilizar el canal de denuncias y el sistema disciplinario interno para corregir las malas prácticas y prevenir incumplimientos, siendo las sanciones una prueba de la eficacia del modelo de prevención.
Paco Umbral consiguió que la frase “He venido a hablar de mi libro”, se convirtiese en un ejemplo de vehemencia e insistencia en la consecución de un objetivo. Aunque en este artículo sólo hemos realizado una aproximación a las medidas que podemos aplicar para intentar evitar que las interferencias externas pongan en peligro el proyecto, la solución pasa por colaborar con todos los niveles de la empresa y asegurar el tiempo y los recursos que necesitamos para hablar de nuestro libro, y para que lo compren.
