“Qué tanto debe exponer o qué tanto debe abarcar el modelo de gestión de riesgos?.”

“Qué tanto debe exponer o qué tanto debe abarcar el modelo de gestión de riesgos?.”

Carlos Alberto Barrios L
Moore Stephens Madrid.

Esta es la pregunta y duda recurrente cuando participo como conferenciante en charlas sobre el modelo de cumplimiento.

 La respuesta esta expresada en la reforma 1/2015 en el apartado 5^to, la cual indica los requisitos que deben concurrir para que el modelo de organización y gestión pueda ser considerado como adecuado en la prevención del delito, y tomando como premisa lo expresado por este, lo podríamos asociar a las siguientes actividades:

“5. Los modelos de organización y gestión a que se refieren la condición 1.ª del apartado 2 y el apartado anterior deberán cumplir los siguientes requisitos:

1.º Identificarán las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos.

·         Esta actividad está referida a la identificación de todos aquellos eventos de riesgos o debilidades probables, internas o externas, penales u operacionales, que pudiesen impactar en el logro del objetivo. En esta sentido el proyecto a desarrollar será la identificación de los procesos y actividades de control, que nos permitirá la identificación de los riesgos factibles por proceso, los cuales conforman la denominada Matriz de Riesgos.

2.º Establecerán los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas con relación a aquéllos.

Esta actividad se refiere a todas aquellas actividades de control interno que permitirán prever o detectar que una situación de riesgo puede suceder o está sucediendo, a fin de minimizar su impacto al máximo.

·         En este sentido tendremos que documentar las actividades de controles internos que la corporación ha implementado (automáticas, como manuales,) y que han sido previamente identificadas en la Matriz de Riesgo, y la respectiva evaluación de la efectividad del control; todas ellas incluso soportadas y formalizadas a través de las políticas y normas de Gobierno Corporativo como las políticas y normas Operacionales.

·         Las políticas y normas deben estar soportadas en unas guías o modelos de conducta corporativo, que sería como un manual de principios fundamentales.

3.º Dispondrán de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos.

·         Esta actividad estará referida a los controles que permitan garantizar la razonabilidad de la información financiera, soportada en las auditorias financieras internas y externas con sus respectivos informes de revelaciones, presentados y discutidos con el Consejo de Administración.

·         Igualmente se sustentan en las actividades de control operativas cuyo impacto sería de delitos contra el patrimonio (fraude, hurto, corrupción y soborno).

4.º Impondrán la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención.

La organización deberá asignar a un funcionario preferiblemente externo, ajeno a la organización, con la finalidad que este sea un garante imparcial que todos los controles y actividades de riesgo son conocidas, al igual que las debilidades existentes y los controles implementados; este funcionario de cumplimiento responde ante los accionistas y socios principales, informando de los niveles de exposición a riesgos, su probable impacto y consecuencias.

Adicionalmente se deberá implementar un Canal de Comunicaciones y Denuncias que garantice el anonimato del denunciante a fin de permitir un canal directo para que incluso terceras persones informen de eventos que están acaeciendo en la organización o a través de un funcionario de esta y que pudiese ser considerado como delito.

5.º Establecerán un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas que establezca el modelo.

Las políticas y normas son elemento fundamental que fija las directrices de la organización, básicamente instrumentaliza y formaliza la actividad de control. Las violaciones y transgresiones a las políticas y normas de acuerdo a su impacto deberán ser objeto de sanciones disciplinarias de acuerdo a la gravedad del caso, impacto del mismo, conducta recurrente, entre otras, y deberá ser igualmente documentado y comunicado como parte de las políticas y normas.

6.º Realizarán una verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los hagan necesarios.”.

En este caso se refiere a las auditorias de seguimiento que deberán hacer a los procesos corporativos a fin de identificar que los controles identificados continúan vigentes y operativos, así como nuevos eventos de riesgo sean identificados, documentados y evaluados y otros eventos sean eliminados o adecuados. La periodicidad no está explícitamente indicada en esta cláusula, pero de acuerdo a las mejores prácticas, las revisiones deben ser anuales.

Para resumir, como mínimo una organización deberá tener implementado para garantizar un Modelo de Gestión suficiente y adecuado:

·         Procesos de negocio documentados;

·         Principios fundamentales corporativos.

·         Políticas y normas Corporativas y Operacionales;

·         Matriz de riesgos identificados por proceso;

·         Documentación adecuada de los controles evaluados y su conclusión sobre su efectividad y eficiencia;

·         Responsable de Cumplimiento o Compliance Officer;

·         Canal de comunicaciones y denuncias;

·         Revelaciones de las Auditorias Financieras externas;

·         Planes de capacitación sobre riesgos al personal;

·         Planes anuales de auditorias financieras y de control interno.

El modelo de gestión y control no es un manual, no es una guía genérica y utópica de cómo quisiésemos que nuestra empresa sea percibida.

Si se implementa un Modelo de Gestión y Control este debe estar sustentado en una seria de tareas y actividades que deben ser documentadas, evidenciadas y potencialmente corroboradas.

Si desea agregar o comentar algún tema adicional, esta en la total libertad de hacerlo, respetando las posiciones de los demás y sin exponer a personas o empresas.