Puesto
Cumplimiento normativo
¿Quién responde de que un procedimiento se aplique: su autor o el jefe de departamento que no lo escribió? El cumplimiento empieza donde esa respuesta deja de ser obvia.
Conversación inicial
Cuatro preguntas por las que empezaríamos
¿Quién responde de aplicar un procedimiento?
Si no podéis nombrar a una persona para cada uno, algunas obligaciones no tienen dueño, y eso suele salir a la luz durante una inspección.
¿Cómo sabéis que un procedimiento está al día frente a la normativa?
Si es porque nadie ha puesto una objeción, que esté al día es una suposición.
¿Qué es lo que no hacéis aunque sabéis que hay que hacerlo?
Normalmente: revisar los procedimientos, los controles internos y refrescar la formación. Siempre por la misma razón: no hay tiempo.
¿Adónde va el aviso de un empleado sobre una posible irregularidad?
Si no hay una vía única y protegida para él, o el aviso no se produce o se va fuera.
Nos quedamos con el seguimiento, vosotros con el criterio y la conversación
Mantener el mapa de obligaciones, vigilar si los procedimientos están al día, llevar la formación y preparar las inspecciones se pueden quitar del escritorio. Juzgar si algo es una irregularidad se queda con una persona.
- Una obligación tiene dueño y fecha. - Cada requisito está asignado a un proceso, una persona y el procedimiento que lo cumple, y las lagunas se ven como lagunas.
- Un procedimiento tiene fecha de revisión. - Un documento sin cambios durante años se anuncia solo en lugar de esperar a una inspección.
- Un aviso tiene una vía protegida. - Con acuse de recibo, un plazo y acceso restringido, para que la confidencialidad no dependa de quién esté mirando el buzón.
Alcance
Qué se puede quitar del cumplimiento normativo
Veinte tareas de ejemplo. Cada una tiene un punto de aprobación humana. Abajo una selección, y el alcance lo ajustamos a vuestras obligaciones regulatorias.
El mapa de obligaciones
- Un registro de obligaciones por área y base legal
- Enlazar una obligación con un proceso y un procedimiento
- Señalar las obligaciones sin dueño asignado
- Una señal cuando cambia una norma que afecta a una obligación
Procedimientos y vigencia
- Un registro de procedimientos con la fecha de la última revisión
- Una señal cuando un procedimiento hay que revisarlo
- Señalar los procedimientos afectados por un cambio legal
- El circuito de aprobación de una versión nueva (aprobación: el responsable del proceso)
Formación y declaraciones
- La lista de personas sujetas a una obligación de formación
- El estado de la formación y las declaraciones por persona y fecha
- Un recordatorio antes de que pase la fecha
- Los pendientes resumidos por departamento
Avisos y denunciantes
- Una vía de aviso protegida con acuse de recibo
- Asignar el expediente con acceso restringido
- Vigilar los plazos de respuesta fijados por la normativa
- Un registro de avisos sin datos identificativos en los resúmenes
Controles internos
- Un plan de controles basado en el riesgo del área (decisión: el especialista)
- La lista de preguntas y de evidencia que reunir
- Un registro de hallazgos y acciones correctivas
- Material para una inspección externa
Un día de trabajo
Hoy
- Vuestro mapa de obligaciones es una hoja de cálculo, actualizada de forma irregular
- Os enteráis de un cambio legal por un boletín o por un abogado
- Comprobáis a mano qué procedimientos hay que revisar
- Recogéis la formación pendiente pidiendo listas a los departamentos
- Los avisos llegan a un buzón al que tienen acceso varias personas
- Antes de una inspección reunís la evidencia durante dos semanas
Con asistencia de IA
- Las obligaciones están asignadas a procesos y dueños, y las lagunas se ven
- Un cambio legal señala los procedimientos y obligaciones a los que afecta
- Un procedimiento que toca revisar se anuncia solo
- Veis la formación pendiente por departamento sin preguntar
- Un aviso tiene vía protegida y un plazo que se vigila
- La evidencia para una inspección se reúne sobre la marcha
- Obligaciones cubiertas
menos requisitos sin dueño asignado
las obligaciones están enlazadas con un proceso y una persona
- Procedimientos al día
menos documentos que describen el estado anterior a un cambio legal
una revisión tiene fecha y señal
- Formación obligatoria a tiempo
menos personas sin la formación exigida
los estados y los recordatorios ocurren sin trabajo manual
- Preparados para una inspección externa
la evidencia está reunida de antemano y no la semana anterior
el material se construye sobre la marcha
Empezamos por el mapa de obligaciones, porque sin él no se sabe qué vigilar.
- Paso 1
Obligaciones, procesos, dueños
Un registro con la base legal y la asignación. Las lagunas suelen aparecer ya en esta fase.
- Paso 2
Procedimientos y fechas de revisión
Señales sobre los documentos que hay que actualizar.
- Paso 3
Formación y avisos
Estados, recordatorios y una vía de aviso protegida.
- Paso 4
Controles internos
Un plan basado en el riesgo y un registro de hallazgos. Al final, porque descansa sobre el mapa del paso 1.
Preguntas frecuentes
Preguntas que surgen en la primera reunión
¿En qué se diferencia esto de un abogado y de un delegado de protección de datos?
Un abogado valora un caso y un contrato concretos. Un delegado de protección de datos vigila un área, los datos personales, y tiene sus propios deberes legales. El cumplimiento responde de si los procesos de la empresa encajan con las obligaciones que la vinculan, sea cual sea la materia.
¿Puede llevar el cumplimiento un equipo más pequeño?
El cumplimiento en la mayoría de las empresas son una o dos personas para un área que cubre toda la organización; el problema no es un exceso de manos, es que no se puede vigilar todo. Asumir el seguimiento de fechas y estados no sustituye a nadie: permite que la atención llegue a las obligaciones que hoy existen en el registro y en ningún otro sitio.
¿Esto entra en el ámbito del Reglamento de IA?
Apoyar el cumplimiento no es un uso de alto riesgo según el Reglamento de IA. El límite que recordar para los avisos relativos a personas concretas viene de otro orden, del artículo 22 del RGPD: si hubo una irregularidad no puede decidirse únicamente por medios automatizados. Conviene mantener separados los dos regímenes, porque confundirlos es el error más habitual en las conversaciones sobre cumplimiento.
¿Os queda alguna pregunta que no esté aquí? Reservad una llamada
Siguiente paso
¿Cuántos de vuestros procedimientos llevan más de dos años sin revisarse?
Os enseñaremos cómo es el cumplimiento cuando una obligación tiene dueño y un procedimiento vencido se anuncia solo.