QUE SIGNIFICA LA “G” DE GRC
QUE SIGNIFICA LA “G” DE GRC
Condiciones mínimas de una verdadera Solución de Gobierno, Riesgo y Cumplimiento – GRC.
Condiciones mínimas de una verdadera Solución de Gobierno, Riesgo y Cumplimiento – GRC
Por
Ricardo Vásquez Bernal
Director de Servicios de GRC LATAM
INVENTARIO DE SOLUCIONES DE GRC
El año pasado hicimos un inventario de las soluciones o herramientas tecnológicas que se vienen comercializando a nivel global, bajo el concepto de Gobierno, Riesgo y Cumplimiento, y fueron varias las conclusiones que comento a continuación:
-
El enfoque de integración de la solución, depende del entendimiento del concepto que sobre el tema de GRC, tenga la Casa de Software.
-
Tienden a integrar objetos de diferentes sistemas, para generar informes cruzados, independientemente de su naturaleza o grado de dependencia entre los sistemas.
-
Se orientan más a satisfacer las necesidades de cumplimiento obligatorio o reglamentario de prácticas.
-
No son determinantes en el apoyo para la agregación de valor del negocio, por vía de eliminación de redundancias, sobrecontroles o exposiciones, que es el fin de GRC.
La lista es extensa, pero sólo para información, presento algunos de los enfoques de las soluciones del mercado, que se presentan como Suites de GRC.
-
Soluciones de GRC para el alineamiento de la arquitectura empresarial: procesos y tecnología.
-
Soluciones de GRC para el cumplimiento de las regulaciones externa y la gestión documental.
-
Soluciones de GRC para el alineamiento de los procesos con los sistemas de riesgo y control.
-
Soluciones de GRC para la gestión de riesgos y controles específicos.
-
Soluciones de GRC para alinear la auditoría interna con los procesos.
CONDICIONES DE UNA SOLUCIÓN EFECTIVA DE GRC
En principio, podría pensarse que una solución íntegra e integral de GRC, debería incorporar todos los enfoques de las soluciones provistas. Sin embargo, es preciso acudir al Concepto de GRC para poder determinar cuáles deben ser sus condiciones.
De acuerdo con OCEG -www.oceg.org-, GRC se entiende como la Capacidad de una Organización para gobernar, gestionar y asegurar el Logro de objetivos, de una manera confiable, abordando la incertidumbre y actuando con integridad – Principled Perfomance.
Bajo nuestro entendimiento, GRC requiere, en consecuencia, la integración de tres perspectivas, como se desarrolla en nuestra metodología de GRC denominada GRCMAX:
-
La perspectiva de Arquitectura Empresarial que incorpora los ejes de estrategia, procesos, organización, información, recursos y tecnología.
-
La perspectiva de Gobernanza que incorpora los ejes de gobierno, dirección, operación, supervisión y auditoría.
-
La perspectiva de Desempeño basado en principios que incorpora los ejes de desempeño, riesgo, control y cumplimiento.
Así las cosas, una verdadera solución integral de GRC debe cumplir estas condiciones mínimas:
a. Primero, permitir el alineamiento de la estrategia con la arquitectura de operación: los procesos, la información y la estructura organizacional.
b. Segundo, asegurar que en la arquitectura alineada, se definen los objetivos de desempeño, su alineamiento e identificación con los riesgos del negocio y operacionales, así como la con definición de los controles y niveles de conformidad requeridos.
c. Tercero, establecer en los dos alineamientos anteriores, las condiciones de gobierno, gestión y aseguramiento requeridos para el objeto de arquitectura en cuestión.
Lo expuesto no quiere decir, que este debe ser el orden de implementación de una solución de GRC, pero sí es una manera de garantizar que estamos frente a una solución plena para el desarrollo y la capacidad de una solución de GRC corporativo. Por ejemplo, en el caso de procesos, tendríamos no sólo la necesidad de garantizar su alineamiento con la estrategia (a), sino también con los objetivos, riesgos, controles y reglas de cumplimiento (b), y los niveles de gobernanza requeridos (c).
Sólo así, podemos hablar de que una solución acredita las necesidades de GRC, potenciar las tres capacidades: gobernanza, desempeño y arquitectura.
Julio de 2018.
GRC: Medio para el Fin
GRC: Medio para el Fin
Por
Ricardo Vásquez Bernal
Reconocido Experto Global de GRC
No sobra advertir, como introducción que entendemos GRC, como un medio, con la capacidad de armonizar el desempeño, enfocado al logro de los objetivos estratégicos, con los riesgos del negocio y operacionales que se asumen, dando cumplimiento a los requerimientos obligatorios y voluntarios. Esta perspectiva potencia el concepto del desempeño integral que bien puede alinearse con el concepto basado en principios y en nuestra metodología GRCMaX® [1] requiere armonizar cuatro ejes: desempeño, riesgo, control y cumplimiento.
Estos ejes materializan el fondo y la forma de lograr los objetivos estratégicos, asumiendo y monitoreando los riesgos del negocio y operacionales pertinentes, enfrentando los niveles de efectividad de control requeridos y la conformidad esperada de cumplimiento, tanto de los requerimientos obligatorios como voluntarios. Es por ende, una perspectiva fundamental en el desarrollo de GRC, que se desarrolla en los dominios de la arquitectura empresarial: las decisiones, información, procesos, recursos y tecnología, salvaguardando los principios de gobernanza que requieren separar el gobierno, la gestión y el aseguramiento.
La madurez de la perspectiva de desempeño integral, a partir de los ejes comentados del desempeño basado en principios, debe demostrar cuatro condiciones:
a. La aplicación de los estándares y buenas prácticas inherentes al desempeño, el riesgo, control y cumplimiento.
b. La coherencia de tales prácticas con el modelo de capacidad de orquestación de GRC.
c. La integración de los ejes con las prácticas reconocidas de estrategia, procesos, organización, información, recursos y tecnología.
d. La aplicación de los principios y requerimientos de la perspectiva de gobernanza.
Desempeño.
El objetivo del eje del desempeño es, sin duda, el logro de los objetivos del negocio. Cumplir con esta misión hace preciso tomar en cuenta las dimensiones propias de la gestión de calidad, del desempeño estratégico y de la efectividad del modelo de operación. Las dimensiones propias de la gestión de calidad incorporan un modelo de negocio enfocado al cliente, de origen sistémico, basado en procesos, el mejoramiento continuo e información relevante para la toma de decisiones. Por otra parte, considera el liderazgo, la participación del personal y el adecuado relacionamiento con las partes interesadas.[2]
Ahora bien, las dimensiones requeridas del desempeño estratégico imponen precisiones a la definición, gestión y monitoreo de los objetivos basados en indicadores generados de la operación. Así mismo, las dimensiones del modelo de operación se refieren a los requerimientos de los procesos, la información, la tecnología, la organización y los recursos para soportar la gestión de los recursos y la toma de decisiones para el logro de los objetivos propuestos.[3]
Riesgo.
El objetivo del eje de riesgo es hacer de la organización un modelo de negocio sostenible en el largo plazo, monitoreando, asumiendo y gestionando las desviaciones propias de la incertidumbre. Las dimensiones propias del eje en comentario que hacen posible este objetivo, deben basarse en los requerimientos que impone un estándar de gestión de riesgos, así como las prácticas propias de un modelo de madurez de riesgo, por lo menos.
En efecto, elementos como la identificación, evaluación y medición de los riesgos, propios de un estándar regular[4] que tiende a estructurar un proceso de gestión de riesgos, juegan un papel clave, a la par de otros elementos propios de prácticas de madurez como una la existencia de una disciplina analítica de datos, causas y consecuencias, la alineación de los riesgos con objetivos estratégicos y operacionales, el establecimiento de niveles de apetito y capacidad de riesgo y la capacidad de resiliencia organizacional, teniendo en cuenta planes de contingencia y continuidad.[5]
Control.
El objetivo del eje de control implica la preservación y protección de los recursos tangibles e intangibles que conforman el negocio en marcha. Las dimensiones propias del eje de control, deben basarse en los componentes que impone un estándar de gestión de control, teniendo en consideración las prácticas para el aseguramiento de tecnología y gestión de la información.
Componentes reconocidos como ambiente de control, la evaluación de riesgos, las actividades de control, las actividades de supervisión y monitoreo, y la información y comunicación configuran las dimensiones del eje de control[6], en coherencia con los estándares que orientan le requerida efectividad del sistema de control para enfrentar, primero, los riesgos y segundo, para continuar al logro de los objetivos[7].
Cumplimiento.
El objetivo del eje de cumplimiento, implica no solo la garantía del cumplimiento sobre los requerimientos normativos de origen obligatorio, sino también de la conformidad organizacional sobre los compromisos voluntarios, incluyendo niveles óptimos de integridad y trasparencia en el desarrollo de las operaciones de la organización. En suma, es más que cumplir normas.
Las dimensiones propias del eje de cumplimiento, deben basarse en el conjunto de normas, requerimientos y compromisos que la organización asume. Las regulaciones imponen obligaciones que deben estructurarse en prácticas y estás, a su vez, conforman el carácter de una dimensión. Si se toma, por ejemplo, una norma de reporte debe garantizarse el proceso de generación, la consistencia e integridad [8]. Así mismo, normas como de personal requieren condiciones de contratación, formación y aseguramiento.
[1] GRCMaX es un método de optimización de GRC.
[2] Estándar ISO 9000 de gestión de calidad es una base reconocida.
[3] Prácticas de Arquitectura TOGAF y modelos de estrategia como Balanced Scorecard.
[4] Estándar ISO 31000 y Basilea.
[5] Prácticas de madurez de riesgo RISM.
[6] Estándares COSO.
[7] Estándares COBIT.
[8] Norma SOX, IFRS.
El Concepto, el Método y el Modelo de GRC
El Concepto, el Método y el Modelo de GRC
Por
Ricardo Vásquez Bernal
Reconocido Experto Global de GRC
Dicen que identificar un problema, implica reconocer el 50% de la solución. Esta es una afirmación clave para GRC: Gobierno, Riesgo y Cumplimiento, porque es de hecho, una de las causas por las cuales las organizaciones no encuentran efectividad en muchos de sus proyectos corporativos relacionados con el logro de objetivos, la optimización de procesos, la gestión del riesgo operativo, la efectividad de los controles, la suficiencia del cumplimiento, las implementaciones de soluciones de tecnología, por citar algunos. El asunto es natural porque los problemas de las organizaciones son de origen complejo y con multitud de causas y consecuencias correlacionadas e interrelacionadas.
Así, adelantar un proyecto de GRC debe considerar tres elementos claves: El concepto, El método y el modelo. El concepto implica entender integralmente los elementos, alcances y beneficios de GRC, y cuáles son sus potencialidades. El método se refiere a la forma como debe encararse un proyecto de GRC, y el modelo es la definición de prácticas de referencia que apoyan el logro de un objetivo.
El concepto de GRC debe partir de reconocer que GRC no se limita a la aplicación de buenas prácticas de gobierno, riesgo y aseguramiento, soportados en las distintas regulaciones, como muchos lo entienden. Va mucho más allá. Es la capacidad de armonizar esas y otras prácticas para gestionar y asegurar, además de gobernar, no sólo el riesgo y el cumplimiento, sino también el desempeño para el logro de objetivos. Así, el valor agregado de la capacidad de GRC es la “armonización” por medio de una alineación, integración u orquestación de los conceptos, dependiendo del grado de madurez e involucramiento de los conceptos en acción.
De acuerdo con OCEG[1], la estructura general de GRC se puede ilustrar en un marco de referencia como el que se muestra a continuación, que debe conducir al desempeño basado en principios: el logro confiable de objetivos, abordando la incertidumbre y actuando con integridad.
El método de GRC aporta la forma cómo debe encararse un problema para identificar soluciones y alternativas viables. Se planteó que la organización es de naturaleza sistémica y por ende incorpora múltiples y complejas interrelaciones y correlaciones del gobierno, la gestión y el aseguramiento del desempeño, el riesgo y el cumplimiento que se evidencian en forma distinta en las estrategias, los procesos, las personas, la tecnología y la información. La premisa es que identificar alternativas requiere decantar un problema en su causa original.
La aplicación de un método de GRC exige separar una problemática en sus partes para identificar el origen. Baker Tilly desarrolló una metodología denominada GRCMaX[2] que apoya este proceso mediante un análisis sistémico basado en cuatro perspectivas: El desempeño basado en principios, la gobernanza, la arquitectura empresarial y el alcance.
Como se advierte, todas las perspectivas están interrelacionadas de manera que será preciso identificar los elementos que pueden estar comprometidos[3]. Esta visión permitirá identificar un problema y encontrar una solución a partir de varios puntos de vista convergentes. La perspectiva de desempeño basado en principios se refiere al carácter de un objetivo basado en el desempeño, riesgo y cumplimiento. Un elemento clave a considerar es que incorpora el eje de control. Por su parte, la perspectiva de gobernanza se refiere al carácter de aseguramiento para el logro y por ende, desarrolla los ejes de alta dirección, operación y supervisión, como elementos de la gestión, en coherencia, con las buenas prácticas y estándares de gobierno y aseguramiento. La perspectiva de arquitectura empresarial considera el carácter de los objetos intervenidos o dominios que pueden estar comprometidos, bien desde la intención: la estrategia o directrices, hasta su operación: la organización y recursos, los procesos, la información o la tecnología. Finalmente, la perspectiva del alcance se refiere al carácter de una jurisdicción específica de un problema, que puede ser la organización entera, un área, un proyecto, un proceso o una función.[4]
El método deberá identificar el origen de un problema y las alternativas de solución. Para tal efecto, plantea una serie de pasos que parten de la construcción de un diagnóstico de situación o estado de madurez – as is- y la definición de rutas críticas y resultados esperados. La dinámica posterior implica estructurar las etapas consecuentes como un proyecto.
Finalmente, el modelo de GRC es un conjunto de prácticas que debe apoyar la alternativa y solución identificada para el logro de un objetivo específico. OCEG ha emitido un modelo de capacidad conformado por componentes y elementos que definen las prácticas que permiten el desarrollo eficiente de un proyecto. La versión reciente – 3.0, en proceso de emisión, incorpora cuatro componentes y sus prácticas para entender, alinear, ejecutar y examinar los avances y resultados propuestos en un proyecto específico de GRC.
Las prácticas se organizan de manera que permitirá identificar las acciones más convenientes para entender los contextos y definir los objetivos, alinear los requerimientos y desafíos, ejecutar acciones y controles requeridos y examinar y monitorear los resultados esperados. Por supuesto, estás prácticas son una referencia y deben complementar, todas las otras que la organización considere de naturaleza específica ante un problema identificado, a partir de su causa original.
[1] Open Compliance and Ethics Group. www.oceg.org
[2] GRMaX es una metodología para optimizar la madurez de GRC.
[3] Las perspectivas se desarrollan en ejes. Los ejes se dividen en dimensiones, atributos, prácticas y subprácticas que se determinan por los estándares y buenas prácticas de aplicación y madurez de cada eje.
[4] Ver fundamentos de GRC. www.grcenespanol.com.
Tres Decisiones Imperfectas Que Presionan La Gobernanza, El Riesgo Y El Cumplimiento Organizacional.
Tres Decisiones Imperfectas Que Presionan La Gobernanza, El Riesgo Y El Cumplimiento Organizacional.
Por
Ricardo Vásquez Bernal
Reconocido Experto Global de GRC
El Comité Sueco otorgo el Premio Nobel de Economía este año 2017, a Richard Thaler, por sus trabajos de economía del comportamiento humano frente a la toma de decisiones. De manera precisa, por el enfoque que propone al considerar tres rasgos que sistemáticamente influyen en las decisiones económicas de una persona: “la racionalidad limitada, la percepción de justicia, y la falta de autocontrol”, como subrayó el jurado del premio en Ciencias Económicas.
Estas mismas variables resultan relevantes en la organización, por cuanto se toman en contextos de complejidad superior, que pueden impulsar, por supuesto, efecto o impactos materiales y costosos, mayores confusiones y poca efectividad en el logro de los resultados estratégicos que son, por naturaleza, del largo plazo. Eso colige que, si se miran desprevenidamente, resumen un conjunto de problemas claves que las prácticas de Gobierno, Riesgo y Cumplimiento pretenden enfrentar.
Debe precisarse, primero para los neófitos de GRC que, este acrónimo más que Gobierno, Riesgo y Cumplimiento, es un conjunto de capacidades para gobernar, gestionar y asegurar el logro de objetivos razonables, en condición de incertidumbre e integridad, a partir de una serie de recursos y elementos organizacionales disponibles.
Racionalización Limitada.
Entre los méritos del trabajo del economista, subraya el Comité de Suecia, se encuentra el desarrollo de la teoría de información simplificada que implica la tendencia a tomar decisiones según sus efectos sobre algunos aspectos de interés específico que, subjetivamente, la persona considera relevante, más que de interés general o por lo menos objetivo para otros. Esta es la primera imperfección y se denomina, según Thaler: Racionalidad Limitada. Por ejemplo, por alguna razón se decide financiar una operación mediante un crédito de consumo a una tasa de interés alta antes que disponer de los ahorros de un fondo.
La poca racionalidad puede resultar de falta de información relevante sobre el seguimiento y rumbo estratégico por el uso de intenciones tácticas u operacionales que se consolidan en la información financiera, que es tradicional en la toma de decisiones. La poca visibilidad limita la evidencia de los riesgos generados por ineficiencias operativas, problemas de exposición legal, situaciones de corrupción, costos de la incertidumbre y asuntos de la cultura y la reputación que la información financiera no puede advertir. Sólo se hacen evidentes en información disponible, cuando se materializan en pérdidas ciertas o altamente probables. La Capacidad de GRC que se deriva del alineamiento estratégico, esto es, la forma como los sistemas de información, la tecnología, la estructura organizacional y los recursos aportan a los objetivos estratégicos es una interesante aporte de las técnicas y métodos de Gobierno, Riesgo y Cumplimiento para enfrentar esta primera imperfección.1
Percepción de lo Justo.
Así mismo, la investigación de Thaler aborda las preferencias sociales y cómo incide en las decisiones económicas el concepto de lo que es justo; esto implica reconocer que una decisión se aborda incorporando beneficios para otras partes interesadas, sí implican una distribución más justa, en condiciones normales. La percepción de justicia, según Thaler, supone mayores beneficios sostenibles para todos en el largo plazo. Es decir, que “la percepción de la justicia” representa mayores beneficios comunes.
Es muy valiosa esta consideración. El problema que se enfrenta en la organización es que si es una simple “percepción” no asegura la sostenibilidad de una clara “intención” que, se declara y sigue, como un pilar estratégico para los beneficios de la organización. En el marco de GRC, el fin que es el desempeño basado en principios – principled performance™2– determina otra capacidad de GRC basada en la actuación con integridad. Esto es, dar respuesta no sólo a las condiciones y requerimientos obligatorios, sino también a los acuerdos y compromisos voluntarios que la organización asume con todas sus partes interesadas, y mucho más allá con partes que no tienen ninguna posibilidad de expresión de sus expectativas. Las prácticas de GRC inducen la aplicación de códigos de conducta, guías éticas, incentivos que promueven conductas deseadas, modelos de comunicación y relacionamiento con todas las partes interesadas, que son todos instrumentos que apoyan la toma de decisiones que promueve la ética y las acciones justas.3
Falencias de Autocontrol.
Finalmente, Thaler describe las tensiones entre lo que se planea y lo que se hace, y cómo el bienestar a largo plazo se ve influido por decisiones de corto plazo y la falta de autocontrol. Esto es que a pesar de que ciertas acciones de corto plazo pueden terminar en situaciones críticas, el decisor tiende a asumirlas a pesar de los efectos colaterales del largo plazo. –
La presencia de una falta de autocontrol, es otra variable clave que se ataca en las organizaciones por la Capacidad de Gobernanza y Líneas de Defensa que es la capacidad de interacción entre el gobierno, la gestión y el aseguramiento a partir del gobierno, la dirección y las tres líneas de defensa: operación, supervisión y auditoría. La relación coherente entre estos roles es un mecanismo relevantes que potencia el aseguramiento, para enfrentar condiciones que afectan el autocontrol – responsabilidad de la primera línea de defensa- con la fortaleza de una segunda y tercera línea de defensa de las desviaciones en la toma decisiones. 4
1La Capacidad de Alineamiento de la Arquitectura Empresarial implica la articulación de la estrategia con el modelo de operación: procesos, información, aplicativos, tecnología y estructura organizacional, de acuerdo con la metodología GRCMAX™.
2La Capacidad de Gobernanza de la dirección y las tres líneas de defensa implica la articulación del gobierno, la alta dirección, la operación – primera línea de defensa-, la supervisión – segunda línea de defensa- y la auditoría – tercera línea de defensa, de acuerdo con la metodología GRCMAX™.
3 El concepto de Desempeño Basado en Principios es acuñado por OCEG, como el fin del GRC.
4La Capacidad de la Integralidad del Desempeño Basad en Principios implica la articulación del logro de objetivos- desempeño-, abordando la incertidumbre – riesgo y control-, actuando con integridad – cumplimiento, de con la metodología GRCMAX™.