Los reguladores (por ahora) no prescriben como se deben realizar, en los EEUU sin embargo piden que tengan en cuenta la naturaleza y seriedad de una posible conducta delictiva, los riesgos asociados con la actividad de la compañía, los riesgos asociados con su historia y su priorización. Además ya preguntan con qué metodología se ha hecho. Cumplir con la exigencia de los reguladores no es el único beneficio de un buen mapeo de riesgos de É&C:

• Sirve para entender la exposición a riesgos, la probabilidad y las razones de ocurrencia y su impacto.

• Permite priorizar esfuerzos de mitigación de riesgos y designar los “dueños” para su gestión.

• Permite aplicar los recursos de É&C dónde más se necesitan en vez de dispersarlos por toda la organización equitativamente

• Permite focalizar los entrenamientos y la comunicación en temas y en áreas de la organización

• Indica qué comportamiento/resultados incentivar

• Es una excelente demostración de la Alta Dirección de que É&C es un tema al cual se le da importancia

• Sensibiliza a toda la organización por el tema de É&C

• Probablemente aparezcan riesgos desconocidos que de otra manera no se hubieran mitigado

Los puntos esenciales a observar al realizar un mapeo de riesgos de É&C y la definición de los mitigantes tendría los siguientes títulos y temas:

• Cada Mapeo es diferente. Pero todos tienen algo en común: la metodología. El dueño del proceso es el Compliance Officer.

• Trabajar con un grupo multidisciplianrio y multijerárquico. Es de importancia que el (o los) grupos de trabajo incluyan no solo las diferentes áreas directa e indirectamente expuestas a riesgos de É&C, sino también a los diferentes niveles, empezando con la Alta Dirección hasta los niveles operativos, que a menudo ven con mayor claridad ciertos riesgos que los niveles gerenciales no. Además, un grupo diverso sufre menos de ceguera motivada.

• Se utilizan los datos y demás información disponible de la línea de denuncias, entrevistas de salida, políticas y procesos, informes de auditorias y reportes de Compliance. Se realizan entrevistas individuales, encuestas y talleres.

• En un primer paso se elabora un inventario de riesgos de É&C y se analizan sus determinantes. Puede servir de base un listado abarcativo de posibles riesgos para despertar la sensibilidad. Ejemplos son Leyes & Regulaciones: FCPA; Anti Trust, regulaciones de la industria; Prevención de Lavado de Activos (PLA) y Financiamiento del Terrorismo (FT); Seguridad de datos; riesgos en la Cadena de Valor, riesgos del Programa de É&C; riesgos de Compliance en RRHH; riesgos de la Organización; riesgos del Modelo de Negocio; riesgos de Conflictos de Interés, etc.

• Típicamente surgen para cada riesgo varios determinantes. Los determinantes más importantes y a la vez más difíciles de encontrar y describir son los relacionados a la cultura: La presión por resultados; el Tone at the Top (y en el Medio); la consistencia de los valores con los incentivos; la justicia interna; el clima de transparencia así como el rol y la posición del Compliance Officer, las políticas y procesos, el entrenamiento y la comunicación.

• Para priorizar los riesgos inventariados hay que medir su probabilidad de ocurrencia y su impacto. Cómo hacerlo resulta a veces difícil. Una cuantificación no siempre es posible. Estimaciones se pueden mostrar en escalas (bajo/ medio/ alto…).

• Se otorgan prioridades a los riesgos de mayor impacto, o a los riesgos crecientes y se asignan acciones de mitigación, responsables y planes de acción.

La definición de quién es el dueño de los riegos de É & C es crucial en la determinación de la estructura y forma de trabajo del área de Compliance y se debe reflejar en la job description del Compliance Officer. Una centralización de la mayoría de los riesgos de É&C en el área de Compliance (como pasa en la mayoría de los casos) lleva a que Compliance adquiera una posición más activa en el día a día de los negocios de la compañía y requiere mayores recursos, tanto de personal calificado como de recursos financieros. Lo que habrá que evitar es la combinación al revés: Centralización de la responsabilidad por los riesgos de É&C sin los recursos necesarios para poder ejercer esta función efectivamente.

Más allá de las dificultades de realizar un mapeo en sí, se suman cuestiones complejas a resolver mirando sus resultados: Un mapa de riesgos de É&C suele abarcar una gran variedad de temas provenientes de muchas áreas de la organización. Para poder adjudicar los recursos para la mitigación a los riesgos más importantes, hay que priorizarlos. ¿Quién lo hace? La respuesta a esta pregunta importa: la relevancia y los recursos que se le da a su mitigación depende de la prioridad otorgada y ésta depende de la evaluación por su responsable. Por más que el Compliance Officer es el responsable del proceso, la responsabilidad por los riesgos es compartida a través de la organización. Además, el mismo programa de Compliance y la organización de Compliance deben evaluarse como áreas de riesgo. Parece aconsejable que la priorización esté a cargo de una comisión integrada por los responsables de Riesgo, Compliance, Legales y Auditoría Interna.

Como es por todos sabido, desde julio de 2015 el Plan de Prevención de Delitos o Compliance Program ha pasado de ser un documento/política presente en las grandes compañías, de mayor o menor valor, a un quebradero de cabeza para PYMES. En efecto, el Código Penal fuerza a todas las empresas a demostrar que han puesto en marcha medidas para prevenir y descubrir delitos en su seno. No obstante, la establece de forma genérica el contenido del Plan de Prevención dirigido a atenuar, en su caso, la responsabilidad de la empresa. Por tanto, hemos decidido elaborar la serie de artículos “Compliance en Práctica” con el objetivo de arrojar luz al respecto y facilitar a las empresas la implantación de las medidas exigidas por la ley.

El Mapa de Riesgos es una herramienta dirigida a prever los riesgos a los que está expuesta la empresa mediante su identificación y segmentación. El Mapa puede centrarse en un tipo de riesgo y área de la compañía, o como es más habitual, ser transversal, cubriendo desde riesgos financieros (un aumento de la competencia que afecte negativamente nuestras ventas) a reputacionales (un uso inadecuado de los medios de comunicación de la empresa), pasando por los penales (insolvencias punibles).

El procedimiento de identificación de Riesgos

Identificación de los riesgos. Dentro de los riesgos legales, el detalle dependerá, entre otras cosas, del tamaño y sector de la compañía. Como es lógico, una empresa de gestión de residuos está expuesta a la comisión de un delito medioambiental en mayor grado que el resto de empresas. No obstante, determinados riesgos son comunes a todas las compañías, a modo de ejemplo: una inadecuada llevanza de la contabilidad y de los libros oficiales, contingencias fiscales y laborales, no contar con las licencias necesarias, etc.

Criterios de evaluación de riesgos. De cara a asignar recursos para prevenir y cuantificar los riesgos (y posibles delitos), estos se suelen clasificar según su:
Impacto económico. Probabilidad de que se materialicen, por ejemplo, podrían clasificarse como “probable”, “posible” y “remoto”.
Área de la empresa. Variará según su naturaleza, pero podríamos pensar en producción, administración, legal e incluso órganos de la empresa tales como el órgano de administración y la junta general.
Una vez identificado los riesgos, estos deberían ir acompañados tanto de medidas de prevención, como de medidas correctoras.

¿Cómo la valoración del riesgo de cumplimiento es diferente de otras valoraciones del riesgo?

Las organizaciones realizan valoraciones del riesgo para identificar los diferentes tipos de riesgo organizacional. Por ejemplo, pueden realizar valoraciones del riesgo de la empresa para identificar los riesgos estratégicos, operacionales, financieros, y de cumplimiento ante los cuales la organización está expuesta. En la mayoría de los casos, el proceso de valoración del riesgo de la empresa está centrado en la identificación de los riesgos de la “apuesta de la compañía” – los que podrían impactar la capacidad de la organización para lograr sus objetivos estratégicos. La mayoría de las organizaciones también realizan valoraciones del riesgo de auditoría interna para ayudar en el desarrollo del plan de auditoría interna. La valoración tradicional del riesgo de auditoría interna es probable que considere los riesgos del estado financiero y otros riesgos operacionales y de cumplimiento. Si bien esos tipos de valoraciones del riesgo típicamente tienen la intención de identificar riesgos importantes relacionados-con-el-cumplimiento, no están diseñados para de manera específica identificar los riesgos del cumplimiento legal o regulatorio. Por consiguiente, si bien las valoraciones del riesgo de cumplimiento ciertamente deben estar vinculadas con los procesos de riesgo de la empresa o de auditoría interna, generalmente requieren un enfoque más centrado. Esto no es para decir que no pueden ser completadas concurrentemente, o que deben ser esfuerzos aislados – la mayoría de las organizaciones pueden ser capaces de combinar las actividades que respaldan varias valoraciones del riesgo, quizás siguiendo un proceso inicial de identificación y valoración del riesgo de cumplimiento.

Entienda sus principales riesgos de Cumplimiento.

La valoración del riesgo de cumplimiento puede ayudar a que la organización entienda el rango completo de su exposición ante el riesgo, incluyendo la probabilidad de que pueda ocurrir un evento de riesgo, las razones por las cuales pueda ocurrir, y la potencial severidad de su impacto. Una valoración del riesgo de cumplimiento efectivamente diseñada también ayuda a que las organizaciones prioricen los riesgos, mapeen los riesgos para con los propietarios aplicables del riesgo, y de manera efectiva asignen recursos para la mitigación del riesgo.

Elabore una estructura y una metodología

Dado que el conjunto de los potenciales riesgos de cumplimiento que enfrenta la organización típicamente es muy complejo, cualquier valoración robusta debe emplear tanto una estructura como una metodología. La estructura establece el panorama del riesgo de cumplimiento de la organización y lo organiza en dominios de riesgo, mientras que la metodología contempla maneras tanto objetivas como subjetivas para valorar esos riesgos. La estructura necesita ser comprensiva, dinámica, y personalizable, permitiéndole a la organización identificar y valorar las categorías del riesgo de cumplimiento ante las cuales puede estar expuesta. Algunos riesgos de cumplimiento son específicos para una industria u organización – por ejemplo, las regulaciones de seguridad del trabajador para los fabricantes o las reglas que gobiernan el comportamiento de los representantes de ventas en la industria farmacéutica. Otros riesgos de cumplimiento trascienden industrias o geografías, tales como los conflictos de intereses, acoso, privacidad, y retención de documentos. Una estructura efectiva también puede esbozar y organizar los elementos de una estrategia efectiva de administración del riesgo que pueda ser aplicada a cada dominio del riesgo de cumplimiento.

Aplique la metodología y realice la valoración del riesgo.

Usar una metodología objetiva para evaluar la probabilidad y el potencial impacto de cada riesgo ayudará a que la organización entienda su exposición ante el riesgo inherente. “Riesgo inherente” es el riesgo que existe en ausencia de cualesquiera controles o estrategias de mitigación. Al principio, ganar un entendimiento preliminar del riesgo inherente le ayuda a la organización a desarrollar una visión temprana de su estrategia para la mitigación del riesgo. Y cuando las organizaciones identifican el riesgo inherente deben considerar los orientadores clave del riesgo que pueden ser organizados en las siguientes cuatro categorías amplias:

• Impacto legal – La acción regulatoria o legal producida contra la organización o sus empleados que podría resultar en multas, sanciones, encarcelamiento, incautación de productos, o exclusión.

• Impacto financiero – Impactos negativos con relación a la línea de resultados de la organización, precio de la acción, ganancias futuras potenciales, o pérdida de confianza del inversionista.

• Impacto de negocios – Eventos adversos, tales como embargos o paradas de plantas, que de manera importante podrían interrumpir la capacidad de la organización para operar.

• Impacto reputacional – Daño a la reputación o marca de la organización – por ejemplo, mala prensa o discusión en los medios sociales de comunicación, pérdida de confianza del cliente, o moral disminuida del empleado.

Es importante proporcionar medidas tanto cuantitativas como cualitativas para cada categoría. Sin embargo, tal y como ocurre con todas las valoraciones del riesgo, la medición precisa puede probar ser esquiva. En el caso de riesgos con impacto financiero directo, el valor monetario actual puede ser medible con relación al riesgo. Otra manera para evaluar el riesgo es usar una escala crítica que señale la extensión del impacto de que ocurra un no cumplimiento. La extensión del impacto puede ser descrita en términos cualitativos. Por ejemplo, para el impacto reputacional, impacto bajo puede ser mínimo para la no cobertura de prensa, mientras que impacto alto puede ser prensa negativa extensiva en los medios de comunicación nacionales.

Determine el riesgo residual

Si bien es imposible determinar toda la exposición que la organización tiene frente al riesgo, la estructura y la metodología del riesgo les ayudan a la organización a priorizar qué riesgos desea administrar de manera más activa. Desarrollar una estructura y una metodología le ayuda a las organizaciones a determinar la extensión en la cual las actividades de mitigación del riesgo existentes en la organización (por ejemplo, prueba y monitoreo o programas de entrenamiento del empleado) son capaces de reducir el riesgo. Las actividades efectivas de mitigación del riesgo pueden reducir la probabilidad de que ocurra el evento de riesgo, así como también la potencial severidad del impacto para la organización. Cuando la organización evalúa el riesgo inherente a la luz de su ambiente de control y sus actividades de control, el grado de riesgo que resulta es conocido como el “riesgo residual.” Si las estrategias existentes de mitigación del riesgo son insuficientes en la reducción del riesgo residual a un nivel aceptable, esto es un indicador de que las medidas adicionales están en orden.

¿Qué hace que la valoración del riesgo de cumplimiento sea de clase mundial?

Si bien cada valoración del riesgo de cumplimiento es diferente, las más efectivas tienen una serie de cosas en común. Para realizar una valoración de clase mundial, considere las siguientes prácticas líderes:

• Obtenga input de un equipo multidisciplinar: La valoración del riesgo de cumplimiento requiere la participación de especialistas en temáticas profundas provenientes del departamento de cumplimiento y de toda la empresa. Son las personas que viven y alimentan el negocio – que están en funciones específicas, unidades de negocio, y geografías – quienes entienden plenamente los riesgos ante los cuales la organización está expuesta, y que ayudarán a asegurar que todos los riesgos clave sean identificados y valorados. Además, si la metodología es diseñada en un vacío sin consultar los propietarios del riesgo, el output del proceso carecerá de credibilidad cuando se llegue a implementar los programas de mitigación.

• Construya a partir de lo que ya se ha hecho: Más que empezar desde cero, busque maneras para aprovechar el material existente – tal como valoraciones del riesgo de la empresa, reportes de auditoría interna, y revisiones de la calidad – e integre el contenido del riesgo de cumplimiento cuando sea apropiado. Asegure comunicar, a los grupos que usted busque comprometer, las diferencias entre las valoraciones del riesgo de cumplimiento y otras valoraciones. De manera clara, el output de cada proceso de valoración del riesgo debe informar y conectarse con cada uno de los otros.

• Establezca propiedad clara para los riesgos específicos y oriente hacia mejor transparencia: Una valoración comprensiva del riesgo de cumplimiento ayudará a identificar a los individuos responsables por administrar cada tipo de riesgo, y hace más fácil que los ejecutivos consigan manejar las actividades de mitigación del riesgo, los esfuerzos de mitigación, y las exposiciones emergentes ante el riesgo.

• Haga que la valoración se pueda llevar a la acción: La valoración prioriza los riesgos y además señala cómo deben ser mitigados o remediados. Los esfuerzos de remediación deben ser universalmente entendidos y viables a través de las fronteras. Asegure que el output de la valoración del riesgo pueda ser usado en la planeación operacional para asignar recursos y que también puede servir como el punto de partida para los programas de prueba y monitoreo.

• Solicite input externo cuando sea apropiado: Por definición, la valoración del riesgo confía en el conocimiento de los riesgos emergentes y el comportamiento regulatorio, los cuales no siempre son bien conocidos al interior de la organización. Conseguir experticia externa puede ayudar a informar la valoración y asegurar que incorpora un entendimiento detallado de los problemas emergentes de cumplimiento.

• Trate la valoración como un documento vivo, que respira: Una vez que usted asigna recursos para mitigar o remediar los riesgos de cumplimiento, la potencial severidad de esos riesgos cambiará. Lo mismo ocurre para los eventos en el entorno de negocios. Todo esto debe orientar los cambios a la valoración misma.

• Use lenguaje plano que hable a una audiencia general de negocios: La valoración necesita ser clara, fácil de entender, y que se pueda llevar a la acción. Evite absolutos y análisis legal complejo.

• Periódicamente repita la valoración del riesgo: Las valoraciones efectivas del riesgo de cumplimiento se esfuerzan por asegurar un enfoque consistente que continúe siendo implementado con el tiempo, e.g., cada uno o dos años. Al mismo tiempo, la inteligencia frente al riesgo requiere análisis continuo y escaneo del entorno para identificar los riesgos emergentes o las señales de alarma temprana.

• Aproveche los datos: Mediante incorporar y analizar los datos clave (e.g., estadísticas de la línea directa, registros de transacciones, hallazgos de auditoría, reportes de excepciones del cumplimiento, etc.), las organizaciones pueden ganar un entendimiento más profundo de dónde los riesgos existentes o emergentes pueden residir dentro del negocio. Muchas organizaciones están considerando inversiones en tecnologías, tales como herramientas analíticas y de monitoreo de la marca, para ayudar a aprovechar y analizar los datos para fortalecer sus capacidades de detección del riesgo. Adicionalmente, las organizaciones están considerando inversiones en datos, incluyendo monitoreo de medios de comunicación tradicionales / mención negativa, datos de medios sociales de comunicación, realización de encuestas, y otras fuentes de datos.

Valore para el éxito.

El constantemente cambiante entorno regulatorio incrementa la vulnerabilidad de la mayoría de las organizaciones ante el riesgo de cumplimiento. Esto es particularmente verdadero para las organizaciones que operan en una escala global. La complejidad del panorama del riesgo y las sanciones por el nocumplimiento hacen que para las organizaciones sea esencial realizar valoraciones completas de su exposición ante el riesgo de cumplimiento. Una buena valoración del riesgo de ética y cumplimiento incluye tanto una estructura comprensiva como una metodología para evaluar y priorizar el riesgo. Con esta información en la mano, las organizaciones podrán desarrollar estrategias efectivas de mitigación y reducir la probabilidad de un evento importante de nocumplimiento o de falla de la ética, separándose de sus competidores en el mercado.

Anexo. Fases de la evaluación de Riesgos.

El programa de evaluación de riesgos debe de centrarse sólo en los posibles delitos que puede cometer la empresa; muchas de ellas no tendrán riesgos en el delito de trata de seres humanos pero otras empresas por ejemplo sí que pueden tener este riesgo. En este sentido más adelante escribiré un artículo especifico sobre qué podemos realizar un análisis de riesgos. En ese artículo tan sólo vamos a analizar los riesgos penales ( y sólo los que la empresa pueda tener un beneficio directo o indirecto) Pero podemos realizar análisis sobres riesgos legales, o incluso sobre delitos que la empresa aunque no vaya a obtener un beneficio directo o indirecto queramos tenerlo en cuenta; por ejemplo, en empresas donde se trabajar con niños, puede ser que exista un riesgo que monitores puedan abusar de niños; en este sentido la empresa no obtendría ningún beneficio directo o indirecto, pero si pasa en nuestra empresa este delito, el daño a la imagen es grandísisimo y por tanto forme parte de nuestro análisis de riesgo. La gestión de riesgos en la empresa tiene 3 Fases.

a) La primera fase es la identificación de los riesgos.

Antes de comenzar a realizar el análisis de riesgos debemos de ser conscientes de que el sistema que sigamos para analizar los riesgos debe de ser simple; he visto como muchos consultores, o compliance officer, se hacen unos líos mentales bastantes importantes y al final eso no vale para nada, porque hay empresas que son más pequeñas, o porque directamente la dirección no entiende nada y se termina por no utilizar; Deberemos de seguir la máxima de la sencillez a la hora de realizar nuestro sistema de análisis de riesgo, y luego más adelante mejorarlo poco a poco. Una vez sabido esto debemos de identificar los riesgos penales que la empresa puede estar expuesta y no hay otra manera que analizar la empresa en profundidad, tenemos que empezar por analizar la empresa de una forma genérica:

PRIMERO: Analizaremos el contexto de la empresa en su conjunto; Cual es el objeto social de la misma (podemos verlo en las escrituras de la empresa), las actividades que hacen, los productos que venden, y cuáles son los canales de distribución de los mismos, incluso las zonas geográficas puede ser un buen indicador ( si la empresa actúa en zonas donde hay grupos criminales puede ser que tenga un riesgo de cometer determinados delitos si los grupos criminales les piden financiación)

SEGUNDO: Debemos de seguir analizando quienes son los socios, los proveedores, clientes, etc… por si podemos detectar algún riesgo. Analizaremos si la empresa tiene contratos con Administraciones públicas ( para comprobar y analizar que no podamos cometer un delito de tráfico de influencias por ejemplo, o en general contra la Administración pública). Concretamente suelo poner mucho énfasis en los procesos operativos; Por ejemplo si alguien está encargado de la compra de un material a un proveedor, como se hace todo ese proceso. Desde que se pide hasta que entra en la empresa; Imaginemos que nuestro empleado de compras necesita dinero para su familia y pide comisiones para comprar con ese proveedor. En este sentido me gusta analizar todos los procesos de la empresa, compra, ventas, marketing, cajas, departamento financiero etc.. Es muy importante a la hora de realizar la identificación de riesgos penales el que tengamos delante un organigrama de la empresa y podamos ir departamento por departamento.

TERCERO: Igualmente conviene hacer un inventario de personal apoderado, y de quien toma las decisiones, y como se hace de forma detallada. Número de empleados de la empresa (cuantos más empleados en la empresa, más probabilidad de poder cometer un delito.

CUARTO: Detectar si la empresa presta servicios de con algún impacto medioambiental, o maneja explosivos, sustancias inflamables o corrosivas; en general analizar si la empresa tiene alguna actividad de riesgo.

Ya hemos hablado de destripar a la empresa en todos sus sentidos; en el análisis de riesgos podemos ver un ejemplo de ello: imaginemos un hospital; un hospital que necesita muchas medicinas, mucho material quirófano, medicamento etc.. hay siempre alguien que está encargado de decir que se ha agotado tal medicamento, quizás haya otro que sea quien lo encargue, y más tarde llega a un proveedor, o varios proveedores que encargan este productos que se agotado. Entre medias estoy seguro que alguien se encarga de pedir varios presupuesto al mejor postor. Todos estos procesos hay que conocerlos y analizarlos, porque de este destripamiento, es donde se ven los posibles riesgos;

QUINTO: Una de las partes fundamentales de la evaluación de riesgos es saber que tenemos que tener en cuenta los factores externos de la empresa. Si la empresa por ejemplo opera en países que tienen un alto grado de corrupción, nos dará una pista de posibles delitos que la empresa puede cometer; también como factor externo podemos tener que la empresa esté en un sector en el que el perfil del sector sea un factor de riesgo bastante alto; por ejemplo empresas de transporte que viajan a otros países. También debemos de analizar la situación económica de la empresa: Otro aspecto a valorar de cara a determinar la probabilidad de comisión de un delito del que la empresa pueda resultar penalmente responsable es la situación económica en la que se encuentre, entendiéndose que cuando una entidad atraviesa dificultades económicas puede existir un mayor grado de probabilidad de comisión de delitos a partir de la realización de acciones de las que la empresa pueda obtener un beneficio económico o ventajas frente a sus competidores. Por ejemplo, en estas circunstancias podría incurrirse en delitos que pudieran afectar a competidores (daños informáticos, propiedad industrial, etc.) o delitos relacionados con el órgano regulador (cohecho o tráfico de influencias) para tratar de posicionarse nuevamente en el mercado.

En un primer momento si sólo realizamos el análisis de riesgos sobre el titulo del delito, no estaría mal, pero está claro que es mejor descender un poco en las diferentes formas de cometer esos delitos para que refleje la realidad de la empresa; y pongo un ejemplo: Puede ser que en nuestra empresa nos aplique el delito contra la salud pública porque tratamos alimentos y puede ser que exista un riesgo en el sentido de dar alimentos caducados o en mal estado, ( la empresa obtendría un beneficio a la hora de ahorrarse una compra de alimentos en buen estado) tenemos claro que el delito contra la salud pública lo tenemos identificado, pero está claro que dentro del delito contra la salud pública tenemos el delito de tráfico de droga, y por tanto aunque nos aplique el delito contra la salud pública, no nos aplica el delito de tráfico de drogas.

Pues bien, una vez realizado este análisis general de la empresa tendremos lo que se llama la IDENTIFICACIÓN DE LOS RIESGOS, y el análisis especial mediante el checklist, tendremos un inventario de posibles delitos que la empresa puede cometer. Tenemos lo que podemos denominar una brocha gorda de posibles delitos. Ahora tenemos que analizar estos riesgos que hemos identificado;

b) La segunda fase es hacer un análisis de los riesgos.

De los posibles delitos que hipotéticamente la empresa puede ser que cometa, debemos de analizar, preguntarnos la probabilidad que esa empresa cometa ese tipo de delito, y en el caso de que esa probabilidad se de, el impacto que tendría en nuestra empresa;

• La probabilidad de que ese delito pueda ocurrir en nuestra empresa puede calcularse en base a: el número de empleados que tiene la entidad y los controles que tienen puestos para que ese delito no se cometa o incluso valorando si ese delito ha sido cometido en la empresa con anterioridad. Por ejemplo, tener a los trabajadores, trabajando en una situación con mucho peligro. El riesgo lo vamos a valorar de 1 a 5. Si en la empresa hay 100 trabajadores yo creo que la probabilidad es muy alta, le doy un valor de 5. Y además me dicen en la empresa que no cumplen con la Prevención de riesgos laborales, pues le doy otro 5. Por tanto, la media de 5 y 5 es 5, la probabilidad de que cometan ese delito es 5, o lo que es lo mismo, muy alta. En cambio, si la empresa me dijera que tiene implantada la Ley de prevención de Riesgos Laborales, le daría en ese aspecto del 1 al 5, un 2, dependiendo de cómo tengan implantado esta prevención.

• En cambio el impacto podemos manejar valores como la Imagen, es decir, el daño reputacional que nos hace a la empresa en caso de que en la empresa ese delito ocurra. Los riesgos operacionales como que nos cierren la empresa, Las posibles sanciones que podemos obtener si se comete el delito; Igualmente podemos valorarlo del 1 al 5; La media de la probabilidad y del impacto nos da el resultado final; Resultado que previamente teníamos que haber definido que todo lo que sea superior a 3 o a 4, vamos a considerarlo como un riesgo, y por tanto vamos a implantar controles para prevenir ese delito.

c) Por ultimo y tercera fase la evaluación del riesgo.

Una vez detectados los riesgos que la empresa puede cometer, tenemos que pasar al siguiente paso que es poner procedimientos para que no sucedan.

Next up

Previous

Unidad 6. Protección y privacidad de datos.

Description