¿Qué hay de nuevo con SAP Business Objects Governance, Risk & Compliance (GRC) versión 10.0?

A continuación van algunos tips en relación a este tema: 

- Lo primero que debemos saber es que este cambio de versión aplica para todos productos de la suite Business Objects GRC (Access Control-AC, Process Control-PC, Risk Management-RM y Global Trade Services, Environment, Health, and Safety Management y Sustainability Performance Management.

- Se juntan o integran los componentes SAP GRC AC, PC y RM de la suite BO GRC en la versión 10.0. Es por este motivo que no hay un release por ejemplo de SAP GRC PC 3.0 a la 4.0. Esto implica además que compartirán datos maestros, reportes y configuraciones generales

- Se centralizan todos los riesgos, controles y planes de remediación en un repositorio único (ya no estarán los riesgos de SoD en una componente como pasaba con SAP GRC AC 5.3 por ejemplo) a esto se le denomina "Content Life Cycle Management". La otra mejora es que no solamente podrá interactuar el personal interno de la empresa que gestiona el modelo de control interno, sino que también lo podrán hacer proveedores que son parte de la cadena de control interno de la compañía. (ejemplo: proveedores de servicios de TI SAS70 compliance, proveedores de servicios de Payroll, etc.)

- Se podrá gestionar estándares de control interno de industrias especificas. (Real Estate, Retail, Automotive, Utility & Public Sector, etc.)

- La interfaz gráfica de usuarios de AC, PC y RM será igual para todas las funcionalidades, a diferencia de las versiones actuales que cada componente de la suite GRC posee sus propias pantallas, esto se traduce en un centro de trabajo común para las tres componentes claves de la suite.

- Se viene un gran cambio a nivel de informes. Ahora ya no será necesario aplicar sentencias de código de programación para generar informes, puesto que la versión 10.0 vendrá con herramientas utilitarias de construcción de informes a la medida del usuario y de forma muy intuitiva, apoyado por "Crystal Reports". Esto aparte de los reportes que traerá por defecto, pero la gran mejora está en la facilidad de poder construir nuevos reportes a la medida (gerenciales, operativos, etc) y con interfaces gráficas muy atractivas, es decir, dependiendo de las necesidades de reporte que existan en la organización.

- Otra de las nuevas funcionalidades, es que permitirá gestionar políticas y procedimientos, la aprobación de las mismas y controles de cambio, toda vez que son parte integra del modelo de control interno y estarán vinculadas a las actividades de control que mitigan ciertos riesgos mapeados en la organización tanto a nivel estratégico como operativo o de procesos.

En conclusión, ahora una herramienta integrada nos permitirá hacer management de riesgos, controles y cumplimiento, sin necesidad de tener que autenticarse en 3 herramientas distintas, ahora se podría hablar de una verdadera herramienta que permite gestionar de forma automatizada e integrada el Governance, Risk & Compliance (GRC) de la organización.

Governance, Risk & Compliance (GRC) y su aplicabilidad con la Nueva Ley 20.393 de Responsabilidad Penal de las Personas Jurídicas (aplica en CHILE)

Hace ya casi un año se promulgó la Ley 20.393  publicada en el Diario Oficial de 2 de diciembre de 2009 y que regula un sistema de responsabilidad penal de las personas jurídicas aplicable sólo a los delitos de lavado de activos, financiamiento del terrorismo y cohecho a funcionario público nacional e internacional, precisando que sólo pueden cometer estos ilícitos las personas jurídicas de derecho privado y las empresas del Estado.

Esto implica que las personas jurídicas serán responsables de los delitos que se señalan anteriormente y que fueren cometidos directa e indirectamente en su interés o para su provecho. (por sus dueños, controladores, responsables, ejecutivos principales, representantes o quienes realicen actividades de administración y supervisión, siempre que la comisión del delito fuere consecuencia del incumplimiento, por parte de ésta, de los deberes de dirección y supervisión.

Este marco legal indica que serán también responsables las personas jurídicas por los delitos cometidos por personas naturales que estén bajo la dirección o supervisión directa de alguno de los sujetos mencionados en el párrafo anterior (no serán responsables en la medida que las personas naturales hubieren cometido el delito exclusivamente en ventaja propia o a favor de un tercero) y se considerarán que los deberes de dirección y supervisión se han cumplido cuando, con anterioridad a la comisión del delito, la persona jurídica hubiere adoptado e implementado modelos de organización, administración y supervisión para prevenir delitos.  

El articulo 4° de la ley, menciona que las personas jurídicas podrán implementar un modelo de prevención de los delitos contemplando:

1.- Designación de un encargado de prevención (que puede ser Contraloría, Auditoría Interna)

2.- Definición de medios y facultades del encargado de prevención (deben tener la debida Independencia y Objetividad)

3.- Establecimiento de un sistema de prevención de los delitos (puede ser gestionado por medio del uso de  soluciones tecnológicas para la gestión de Governance, Risk & Compliance para darle sustentabilidad en el tiempo al modelo)

4.- Supervisión y certificación del sistema de prevención de los delitos. (También puede ser gestionado con una solución tecnológica GRC para darle sustentabilidad en el tiempo al modelo)

Estas medidas toman mayor relevancia, considerando que además constituyen factores atenuantes para las personas jurídicas, el hecho que tengan implementado modelos de prevención de delitos y que los mismos tiendan al monitoreo continuo en línea de las transacciones que se realizan y así identificar oportunamente cualquier delito de esta índole.

Claramente, las empresas que han diseñado modelos de control interno destinados al cumplimiento de la Ley Sarbanes Oxley (Ley SOX), se ven en ventaja en relación a las que no han implementado modelos de certificación del control interno, pero si nos referimos a la ley 20.393, estas medidas de prevención deben estar destinadas a cubrir  los delitos de lavado de activos, financiamiento del terrorismo y cohecho a funcionario público nacional e internacional  y no solamente el control interno del reporte financiero como lo exige la Ley SOX.

Por último, es importante tener presente que los modelos de control interno alineados con GRC (Governance, Risk & Compliance), al tener enfoques top-down, cubren los ámbitos financieros, operacionales y de cumplimiento, abarcando todas las unidades funcionales de la empresa (persona jurídica), partiendo de los ámbitos estratégicos hasta bajar a los niveles más operativos y/o tácticos de procesos de negocio,  por lo que resultan mucho más óptimos al momento de pensar en el cumplimiento de este tipo de marcos legales, pero no hay que olvidar el uso de las tecnologías para la gestión de estos modelos que son dinámicos en el tiempo y en donde se maneja gran cantidad de información histórica (evidencias, aprobaciones, certificaciones, etc.)