WIXLIB

GRC como mejor prácticaBoletín Gobierno Corporativo Otoño 2009Contenido1IntroducciónGRC no solo es tecnología de información2El modelo GRC3Implementación del GRC4El Coordinador de GRC6Reflexiones finalesIntroducciónGobierno, Riesgo y Cumplimiento (GRC)ha sido un tema que hasta en los últimosaños no se le había dado la importanciaque requiere. Si bien el término GRC esnuevo, en lo individual las organizacioneshan mostrado poco interés en su adopción,desconociendo quizá los beneficios decontar con esta eficaz práctica.Para descubrir los beneficios que genera elGRC, es necesario entender que dentro desu modelo de gestión, cada concepto seintegra para formar uno solo, que a su vezconllevará a una adecuada toma dedecisiones y por consecuencia, al logro delos objetivos de la compañía.Debe entenderse que el establecer unmodelo de GRC no es un lujo para lasempresas, actualmente es una necesidad.Sin embargo, no se puede decir que alestablecer este modelo se incrementaránlas ventas de una compañía o que sucrecimiento se realizará en un tiempodeterminado, los resultados dependerándel grado de importancia que se le dé almodelo pues como tal, éste no es un bientangible sino una inversión reflejada en elfortalecimiento de la estructura decualquier empresa.Por otro lado, mucho se ha hablado delGobierno Corporativo como cumplimientoregulatorio y como mejor práctica pero nose le ha dado la importancia que realmenteGobierno Corporativotiene en el establecimiento de unaestructura de vigilancia que asegure laadecuada conducción de la empresa.En este artículo se intentará dar aconocer cómo funciona el modelo deGestión de GRC, cuáles son susbeneficios, los responsables de suaplicación y monitoreo, así como lospasos a seguir para desarrollarlo dentrode las organizaciones.GRC no solo es tecnología deinformaciónLa tecnología de información ha idoevolucionando constantemente y losgrandes líderes de las compañías nopueden quedarse estáticos ante estoscambios. Con el flujo de información loscanales se han vuelto más eficientes,tanto en la implementación de sistemasinternos para el área operativa, como enla sofisticación de los sistemas externospara revelar información financiera a losmercados, la cual sirve de apoyo a losórganos de gobierno para la toma dedecisiones. Sin embargo, aún cuando latecnología de información es un factorclave para la optimización de lasoperaciones, el esfuerzo humanocontinúa siendo imprescindible y suconcientización y compromiso, sonfactores decisivos para laimplementación del modelo de GRC.Si bien parte de los datos que soportan elmodelo de GRC residen en aplicaciones

tecnológicas y su incorporación permitetransformar los datos de una informaciónpoderosa a la toma de decisiones y almonitoreo de su comportamiento a travésde indicadores de riesgos, GRC no es solotecnología de información.Es importante que los órganos de gobiernose mantengan en constante comunicacióncon la administración y con losresponsables del modelo, para monitorearlas actividades y determinar los planes deacción en caso de ser necesario.De igual forma, es importante que elenfoque de GRC sea conceptualizadocomo un solo término para evitar lacreación de silos de información que setraduzcan en costos innecesarios y difícilesde mantener.El modelo GRCGRC es un modelo de gestión que integralas actividades y funciones de gobiernocorporativo, la gestión del desempeño, laadministración de riesgos y lasresponsabilidades de cumplimiento,mejorando con esto la capacidad de lasempresas para lograr sus objetivos denegocio.Las empresas pueden enfrentardificultades al no contar con un modelo degestión adecuado a sus características ynecesidades, entre los principalesproblemas se encuentran: Perder el control del negocio al notener una clara definición de los roles yresponsabilidades; Inadecuada toma de decisiones porparte de los órganos de gobierno alcontar con limitados canales decomunicación; Infraestructura de control interno débilo mal documentada; Esfuerzos de cumplimiento regulatorioaislados y sin valor agregado; Costos innecesarios por duplicidad deesfuerzos.Con objeto de implementar un modelo deGRC dentro de las organizaciones, esnecesario reflexionar en primerainstancia sobre el papel que tendrá cadauno de sus elementos en este esfuerzo:El Gobierno Corporativo no sólo serefiere a la estructura en la que se tienendefinidos los órganos de gobierno y laslíneas de reporte; es el sistema por elcual las empresas son dirigidas ycontroladas. A través del GobiernoCorporativo los órganos de gobiernoestablecen y comunican la visión que hade seguirse para la adecuada gestiónefectiva de riesgos y cumplimiento,además de vigilar constantemente que laadministración dé cumplimiento a estavisión.Con las variaciones de mercadoreportadas en los últimos años, laevaluación de riesgos se ha consideradoun tema central para todas las empresas,por ello, es recomendable que pararealizar una evaluación efectiva deriesgos se tome en cuenta su impacto yvulnerabilidad. A través de laAdministración de Riesgos, el modelo degestión de GRC deberá abarcar todos losriesgos a los que la empresa estáexpuesta: estratégicos, operativos,financieros, fiscales, regulatorios, legalesy tecnológicos; para lo cual los órganosde gobierno y principalmente el Comitéde Riesgos vigilarán y establecerán lasestrategias necesarias para enfrentarposibles situaciones que pongan enriesgo la continuidad del negocio.Una vez identificados los principalesriesgos, la empresa deberá evaluar laefectividad de su control interno. Trasdicha revisión y en caso de que siganexistiendo riesgos no cubiertos, esrecomendable que se diseñen eimplementen mecanismos de controlinterno que los mitigue.El Comité de Auditoría será elresponsable de vigilar el adecuadosistema de control interno, para lo cual seapoyará de la función de AuditoríaInterna a efecto de ejecutar pruebas quepermitan medir la eficiencia y eficacia dedichos controles e implementar planes demejora ante las deficiencias identificadas.El cumplimiento consiste en laidentificación de responsabilidades yobligaciones tanto internas como2

externas, así como en la definición yseguimiento a los pasos necesarios parasatisfacerlas. Dentro del modelo de gestiónde GRC, el cumplimiento abarca elconocimiento del marco legal al cual estásujeta la empresa, así como sunormatividad interna, la cual permitepromover una cultura organizacionalsustentada en principios éticos. Promover una cultura orientada allogro de los objetivos de laorganización y al apego a loslineamientos establecidos; Incrementar el conocimiento de losórganos de gobierno en temas deriesgo y cumplimiento, mejorando conesto la toma de decisiones;El programa de cumplimiento se genera apartir del monitoreo y registro de lasdiversas obligaciones y responsabilidadesde la empresa como son la normatividadinterna, el marco regulatorio general yespecífico y los estándares externos; endicho programa es recomendableestablecer el control y seguimiento de lasacciones a ejecutar y los plazos decumplimiento. El Director de Cumplimientoen caso de contar con él (recomendable),en coordinación con el área legal, será elresponsable de vigilar y dirigir la función decumplimiento desde el punto de vista delos ordenamientos y las regulacionesaplicables a la empresa. Hacer más eficiente la comunicacióna lo largo y ancho de la organización,mejorando la calidad y oportunidadde la información para la toma dedecisiones; Considerar los riesgos yoportunidades de forma integral; Contar con una infraestructura decontrol interno eficaz y eficiente conbase en el perfil de la organización y; Simplificar los programas decumplimiento, mejorar la capacidadde respuesta ante las regulaciones yreducir los costos relacionados.Después de haber revisado a detalle cadaconcepto que integra el modelo de gestiónde GRC, es importante conocer cuáles sonlos beneficios de su implementación dadoque, como ya se ha mencionadoanteriormente, los resultados dependerándel grado de importancia que cadaempresa le otorgue a este modelo. Entrelos beneficios que podemos mencionar seencuentran:Implementación del GRCPara el desarrollo de un proyecto deGRC se consideran cinco fases estándarque se adaptan al alcance de cadacompromiso: Diagnóstico, Planeación yDefinición del alcance, Desarrollo eimplementación, Herramientas y,Seguimiento al desempeño.3

1.En la etapa de diagnóstico seconocerá el grado de madurez actualde la organización respecto de losocho componentes definidos por laOCEG. Para ello, se utilizará elmodelo de madurez de GRC y apartir del modelo de madurez actual yde los objetivos específicos de laempresa, se obtendrá el grado demadurez deseado.2.En la planeación y definición delalcance, se determinarán lasactividades necesarias para llevar ala empresa al nivel de madurezdeseado.3.En el desarrollo e implementación, serealizarán talleres y reuniones con elequipo directivo y los distintosórganos de gobierno para diseñar elmodelo de GRC y documentar el planrector (este último incluirá entre otrascosas la asignación de roles yresponsabilidades), así como laaplicación de un enfoque basado enriesgos y la implementación de unprograma de cumplimiento.4.5.En las herramientas, se definirácuáles son los mecanismostecnológicos más adecuados a lasnecesidades de la empresa, parafacilitar y hacer más eficientes losprogramas de GRC, con una visiónde disminución de costos ygeneración de información con altacalidad y confiabilidad.Después de haber implementado elmodelo GRC, entrará en función laúltima etapa que es la deseguimiento al desempeño, en lacual se diseñará un programa quepermita estar actualizandoconstantemente el modelo con baseen los cambios que se vayangenerando en la empresa.El Coordinador de GRCLa responsabilidad de lograr un eficientemodelo de gestión de GRC es de todos losniveles de la empresa, desde sus órganosde gobierno hasta su personal operativo.Cada nivel apoyará dependiendo de sugrado de responsabilidad pero finalmenteencaminados al mismo objetivo.Es importante que la administración estéplenamente convencida que GRC lepermitirá tener estrategias bien definidasy enfocadas a su crecimiento, unaidentificación de los principales riesgosque pueden afectar su continuidad, asícomo una mayor eficiencia en susoperaciones y un eficaz sistema decontrol interno. Es por esto que laadministración debe mantener unaconstante comunicación ascendente ydescendente para hacer partícipe de susobjetivos y planes de trabajo a todos losmiembros de la empresa, con la finalidadde obtener de ellos su participación ycolaboración.Como mejor práctica para la aplicación yvigilancia del modelo de gestión de GRC,la empresa podrá definir a un“Coordinador de GRC”, el cual seráresponsable de lo siguiente: Facilitar la comunicación entre losinvolucrados en el modelo de gestiónde GRC; Coordinar el análisis y preparación dela información para los diversosComités y tomadores de decisiones; Dar seguimiento a los acuerdos ycompromisos de los Comitésrespecto al tema de GRC; Coordinar la interacción entreRiesgos, Control Interno y AuditoríaInterna, los esfuerzos decumplimiento y los temasrelacionados con ética y conducta; Dar seguimiento al mantenimiento yactualización de la informaciónrelativa a GRC.Mientras los órganos de gobiernoestablecen las estrategias generales parala conducción del negocio, elCoordinador de GRC tiene laresponsabilidad de comunicarlas deforma ordenada y consistente, a lasáreas, direcciones, funciones ydepartamentos. Es recomendable que lacomunicación sea documentada y que seestablezcan responsabilidades, tiempos yformas de reporte.4