GRC - Curso Oficina de Cumplimiento

09/08/2015
1
Rol de la Oficina de Cumplimento
• ¿Qué se entiende por Compliance? ¿Cómo ayuda al gobierno
disminuyendo riesgos?
• Áreas de aplicación y funciones
• Cumplimiento por niveles: regulatorio; políticas internas;
mejores prácticas de la industria
• Cumplimiento de los órganos de las empresas: Directorio y
Alta Gerencia; gerencias; unidades de negocio; unidades
operativas; unidades de apoyo
• Cumplimiento por procesos: gobierno; gestión de negocios;
monitoreo de actividades del negocio
Fabian Descalzo © 2015 2

09/08/2015
2
Rol de la Oficina de CumplimentoFabian Descalzo © 2015
Gestión del Cumplimiento:
Proceso que registra y monitoriza los controles, ya sean físicos,
lógicos u organizacionales, necesarios para permitir el
cumplimiento de los mandatos legislativos o industriales y las
políticas internas
Gobierno:
Proceso operativo que asegura la
adhesión de los procesos de
negocio y su alineación
estratégica y acciones a los
requisitos de las políticas
corporativas, regulaciones
externas
Gestión del Riesgo:
Proceso de análisis que permite
establecer el nivel de tolerancia
del Negocio a sus riesgos
asociados, y ayuda a identificar
los controles internos adecuados
que aseguran el Gobierno y
eficacia de Cumplimiento de
cada proceso de negocio.
3
Fabian Descalzo © 2015 Rol de la Oficina de Cumplimento
Leyes
(Habeas Data, SOX, Propiedad
intelectual, Historia Clínica
Electrónica)
Regulaciones
(PCI, BCRA, SBIF)
Políticas Internas
Proceso común de Gobierno, Riesgo y
Cumplimiento
Gestión de Riesgos, matriz de control, marco normativo
Gestión de procesos, segregación de funciones
Líneas de
Negocio
Áreas
Corporativas
Áreas
Tecnológicas
Líder
Funcional
Gerente
de Área
Auditoría
Interna
Legales
Seg de la
Inform.
Líderes
de
Seg/Arq
IT y
Oper.
4

09/08/2015
3
Nuevas Regulaciones, Requerimientos por Certificación,
Planes de Trabajo por Auditorías, Actualización Tecnológica
Impactan en
Lo regula Lo eligeNEGOCIO
Deben acompañar
Procesos de Negocio
5
Fabian Descalzo © 2015 Rol de la Oficina de Cumplimento 6
Royal Dutch
Shell Group
Royal Dutch
Shell Group
DESARROLLO: Centro de Informática Nacional del Reino Unido (NCC), Shell, BOC
Group, British Telecom, Marks and Spencer, Midland Bank, Nationwide
APOYO: BP, British Aeroespacial, British Steel, Bull, Cadbury Schweppes,
Cameron Markby Hewitt, Chelsea Building Society, Ciba Geigy, digital Equipment
Corporation, Reuters y TSB Bank. BSI-DISC
La norma BS 7799 de BSI
aparece por primera vez en
1995, con objeto de
proporcionar a cualquier
empresa un conjunto de buenas
prácticas para la gestión de la
seguridad de su información.
Organismo encargado de promover el
desarrollo de normas internacionales de
fabricación (productos y servicios), comercio
y comunicación. Busca la estandarización de
normas de productos y seguridad para las
empresas u organizaciones (públicas o
privadas) a nivel internacional

09/08/2015
4
Políticas internas
Marco Normativo
Seguridad de la
Información
Normas y
procedimientos
Estándares de
configuración
Comportamiento
del personal
Control sobre TI
Control de
Terceras Partes
Política de Ética y
Cumplimiento
Normativo
Política de Gobierno
Corporativo
Política de riesgos
Políticas de
Terceras Partes
Política social y
ambiental
Antifraude
Anticorrupción
Leyes y
Regulaciones
Leyes y decretos
Habeas Data
Derechos del
Paciente
Firma Digital
SOx
HIPAA
Regulaciones y
certificaciones del
negocio
BCRA, SBIF, SBS
PCI-DSS
ISO 27001
ISO 9001
ISO 20000
7
Que debe
cumplirse
Bajo que
parámetros
Como debe
cumplirse
Base de
Cumplimiento
MARCO
NORMATIVO
MARCO LEGAL
MARCO DE
NEGOCIO
ESTÁNDARES
RESPUESTA AL
CUMPLIMIENTO

09/08/2015
5
Normativa Sectorial
28%
Sociedad de la
Información
14%
Otros
4%
Mercado de Valores
2%
Mercantil
1,5%
Nombres de Dominio
0,5%
Protección de Datos
15%
Procesal
6%
Propiedad Intelectual
8%
Protección al
Consumidor
4%
Sancionador y Penal
8%
Seguros
2%
Tributario y Fiscal
1%
Auditoría
y Control
Interno
1%
Leyes relevadas > 2.700
9
El 23 de julio de 2002 el Congreso de los Estados Unidos aprobó la
Ley Sarbanes-Oxley, siendo de aplicación a todas las sociedades
registradas en los mercados de valores norteamericanos y a partir
del primer ejercicio cerrado después del 15 de julio de 2006, para
sociedades extranjeras.
Aumentar la
transparencia y fiabilidad
de la información
financiera
Se promueve la revisión y
sistematización de los controles
internos establecidos para mitigarlos
riesgos asociados al reporte financiero
Se establecen importantes
responsabilidades penales por
falsedades e incumplimientos
(hasta 20 años / 5 MM USD).
• Mitiga la probabilidad de ocurrencia de
errores, fraudes o incumplimientos
normativos
• Garantiza la fiabilidad de la información
financiera y de gestión
• Garantiza que la información ofrecida al
mercado es oportuna y veraz

09/08/2015
6
WORLDCOM
El ex director ejecutivo Bernard Ebbers fue
sentenciado a 25 años de prisión por nueve cargos
de conspiración, fraude de valores y presentación
de documentos no verídicos ante los organismos
reguladores y controladores de los Estados Unidos.
DYNEGY
Multada con US$ 3 millones y Jamie Olis fue
sentenciado a 24 años sin derecho a libertad
condicional por malversar documentación contable
ENRON
Lay, expresidente fue condenado con hasta
64 años de prisión; Skilling, ex director
general fue condenado con hasta 185 años
de prisión
A raíz de este escándalo, y por obstrucción,
directivos de Arthur Andersen se enfrentan
a penas de hasta cinco años y a una multa
de 500.000 dólares
TYCO
Según la sentencia, Dennis Kozlowski, ex consejero delegado
de Tyco y Mark Swartz, ex director financiero de la
compañía, están sentenciados de 8 a 25 años de carcel y
tendrán que devolver más de 134 millones de dólares ,
sumados a una multa de 70 millones de dólares contra
Kozlowski y una de 35 millones contra Swartz
MCi Adelphia
El fundador de, John Rigas, condenado a 15
años de prisión
COMUNICACIÓN “A“ 4609
Requisitos mínimos de gestión,
implementación y control de los riesgos
relacionados con tecnología informática y
sistemas de información
Sección 1. Aspectos generales (Eficacia,
Eficiencia, Confidencialidad, Integridad,
Disponibilidad, Cumplimiento, Confiabilidad)
Sección 2. Organización funcional y gestión de
tecnología informática y sistemas.
Sección 3. Protección de activos de información.
Sección 4. Continuidad del procesamiento
electrónico de datos.
Sección 5. Operaciones y procesamiento de
datos.
Sección 6. Banca electrónica por diversos
medios.
Sección 7. Delegación de actividades propias de
la entidad en terceros.
Sección 8. Sistemas aplicativos de información.
COMUNICACIÓN “A” 5374
Requisitos mínimos de gestión,
implementación y control de los riesgos
relacionados con tecnología informática,
sistemas de información y recursos
asociados para las entidades financieras.
El Banco Central de la República Argentina
(BCRA) publicó la Comunicación “A” 5374 que
es una modificación de la Comunicación “A”
4609/4690, como actualización de su Sección 6
referida a los “Canales Electrónicos”.

09/08/2015
7
Los Acuerdos de Basilea se refieren a un conjunto de propuestas que
forman el marco regulador internacional para bancos, siendo Basilea
III la primera revisión de Basilea II, luego de la crisis financiera de
2008 debido al crecimiento excesivo de los valores presentados en
los balances de los bancos.
Fortalecer la regulación, supervisión y gestión
de riesgos del sector bancario. Estas medidas
persiguen:
• Mejorar la capacidad del sector bancario
para afrontar perturbaciones ocasionadas
por tensiones financieras o económicas de
cualquier tipo
• Mejorar la gestión de riesgos y el buen
gobierno en los bancos
• Reforzar la transparencia y la divulgación de
información de los bancos.
Las decisiones de negocios deben
hacerse con base en la gestión de
riesgos:
• Riesgos de Mercado
• Riesgos de Crédito
• Riesgo de Contraparte
• Riesgos de liquidez
• Riesgos Operacionales
• Riesgos Legales
• Riesgos Tecnológicos
Gestión del riesgo empresarial, el control
interno y la disuasión del fraude.
Control Interno es un proceso diseñado para
proporcionar una garantía razonable sobre el
logro de objetivos relacionados con
operaciones, reporte y cumplimiento
Objetivos de cumplimiento
• Objetivos relacionados con el cumplimiento
de leyes y regulaciones.
• El cumplimiento de políticas y
procedimientos de la entidad, a los efectos
del marco, corresponde a objetivos de
operaciones.
COBIT reúne a los cinco principios que
permiten a la empresa construir una
gobernabilidad efectiva y un marco de
gestión basado en un conjunto de siete
facilitadores que optimiza la información y
la inversión en tecnología y el uso para el
beneficio de las partes interesadas.

09/08/2015
8
Normas ISO 27000: Conjunto de normas que
especifican los requisitos para establecer,
implantar, poner en funcionamiento, controlar,
revisar, mantener y mejorar un SGSI
documentado dentro del contexto global de los
riesgos de negocio de la organización
ISO/IEC 38500: Fija los estándares de una buena
gestión de los procesos y decisiones
empresariales relacionados con los servicios de
información y comunicación gestionados tanto
por especialistas en TI internos o como por
proveedores de servicios externos
Fundado en 1901, el NIST es una agencia
federal no reguladora dentro del
Departamento de Comercio de Estados
Unidos, cuya misión es promover la innovación
y la competitividad industrial mediante el
avance de la ciencia y la tecnología de forma
que mejoren la seguridad económica y la
calidad de vida mediante normas que sirvan
como guía a profesionales en gobierno,
industria, científicos y técnicos.
Riesgo
financieros y operacionales
• Tecnología
• Seguridad de la Información
• Seguridad Informática
• Seguridad Física
• Áreas funcionales
• Sectores
administrativos
• Recursos humanos
• Propios y de terceros
ImagenImagenImagenImagen
GobiernoGobiernoGobiernoGobierno
negocionegocionegocionegocio
16

09/08/2015
9
RIESGOS
NEGOCIO• Definir tipos de riesgos
• Identificar riesgos asociados
• Establecer parámetros de
medición
• Elegir una metodología de
tratamiento
• Analizar y evaluar riesgos
• Crear un Plan de Mitigación
• Identificar procesos
• Analizar entorno regulatorio
• Analizar cultura interna
• Analizar madurez operativa
• Analizar entorno
documental
MATRIZ DE RIESGO
DIRECTORIO
17
Comunicación
(General, interna,
externa)
Evaluación de
desempeño y
mejora
continua
Establecer el contexto
Evaluación de
riesgo de
cumplimiento
Identificación de obligaciones
de cumplimiento y su
evaluación de riesgos
Análisis de probabilidad e
impacto de riesgos por falta de
cumplimiento
Evaluación de riesgos
Ranking y orden de prioridades
Tratamiento de riesgos
Establecer y aplicar controles

09/08/2015
10
Fuentes
probables
de
incidentes
Impacto
de los
incidentes
Fuente: PwC
El promedio de pérdidas
financieras asociadas con
los incidentes mencionados
aumentaron un 18%
respecto al año pasado.
Desde el 2011 las pérdidas
financieras han
incrementado un 51%.
19
POSIBILITAR EL GOBIERNO DE
Tecnología Procesos Personas
EVITARINCUMPLIMIENTOEN
Assessment
(GAP, Plan Preliminar)
• Herramientas
• Interfaces
• Brecha de
cumplimiento
• Documentación
• Nivel de Madurez
• Brecha de
cumplimiento
• Estructura
• Instituciones
• Nivel de destrezas
• Capacitación
Remediaciones y control
• Herramientas
• Migraciones
• Interfaces
• Diseño lógico
• Diseño Físico
• Vinculaciones
• Documentación
• Validación de
Funcionamiento
• Roles y
responsabilidades
• Entrenamiento
• Cambio Cultural
• Herramientas de
capacitación
Mejoramiento continuo
• Herramientas
• Interfaces
• Seguimiento
• Ajustes
• Refinamientos
• Nuevos Procesos
• Entrenamiento
• Capacitación
La gestión de riesgos requiere la integración con las líneas de
negocio, procesos, productos, información, tecnología y recursos
involucrados
20

09/08/2015
11
NEGOCIO INFORMACIÓN APLICATIVOS TECNOLOGÍA
Misión y visión
Estrategia
Organización
Recursos
Procesos
Modelos
Información
Datos
Tratamiento
Funcionalidad
Aplicaciones
Hardware
Software
Redes
Gestión IT
SEGURIDAD DE LA INFORMACIÓN (FÍSICA Y LÓGICA)
21
Nivel 1
• Regulatorio local
Nivel 2
• Buenas prácticas (estándares y
certificaciones)
Nivel 3
• Regulatorio internacional
22

09/08/2015
12
NEGOCIO
SEGURIDAD DE LA
INFORMACIÓN
TECNOLOGÍA
Legales
Gestión de
Riesgos
Auditoría
Interna
Compliance
Compliance y
Auditoría IT
(Conformidad de
Seguridad y
Auditoría de
Procesos IT)
Compliance IT
(Conformidad
de
Administración
y operación)
UNIDADES DE
NEGOCIO
Áreas de control
de
cumplimiento y
calidad en
procesos y
productos
23

09/08/2015
13

09/08/2015
14
COMPLIANCECOMPLIANCECOMPLIANCECOMPLIANCE
Alineación y
coordinación
Planificación
de actividades
y coordinación
28

09/08/2015
15
COMPLIANCECOMPLIANCECOMPLIANCECOMPLIANCE
Compliance se basa
en políticas
comprensibles,
entrenamiento
efectivo, equipo en
el área de
cumplimiento, guías
disciplinarias claras,
programa de mejora
continua, gestión de
riesgos (mitigación y
continuidad de
negocio), y
monitorización y
auditoría
Controles
Mecanismos para
comprobar la
aplicación efectiva de las
normas y regulaciones en:
• Procesos de negocio
• Implementaciones
tecnológicas
• Los recursos humanos
Normas
Establecer un modelo
jerárquico de normas
corporativas
Establecer un
procedimiento para la
emisión de normas
Registrar y ordenar las
leyes y regulaciones
aplicables al negocio
Emitir reportes de
cumplimiento
Ciclo formativo
Diseño y desarrollo de
material “Welcome pack”
e Inducción
Establecer un
cronograma de
capacitación a los
diferentes niveles de la
organización
Revisión del contenido
de material de
capacitación e inducción
29
COMPLIANCE =COMPLIANCE =COMPLIANCE =COMPLIANCE = CONTROLCONTROLCONTROLCONTROL
Asegurar los objetivos de control interno relacionados con el
cumplimiento de las leyes y de las reglamentaciones aplicables.
Compliance implementa los procedimientos que aseguren el cumplimiento
normativo interno y externo en sentido amplio.
NO AUDITANO AUDITANO AUDITANO AUDITA ---- NO INVESTIGANO INVESTIGANO INVESTIGANO INVESTIGA ---- NO SANSIONANO SANSIONANO SANSIONANO SANSIONA
Identifica, asesora,
alerta, monitorea y
reporta los riesgos
de cumplimiento
Evitar
Sanciones por incumplimientos legales o
regulatorios, sufrir pérdidas financieras, o
pérdidas de reputación por fallas de
cumplimiento a leyes, regulaciones, códigos de
conducta y estándares de la industria o de
buenas prácticas
30

09/08/2015
16
Normas Estándares
Aplicaciones Plataformas
Matriz de
Revisión
• Remediación posible y
cumpliendo los plazos
• Remediación posible pero
fuera de plazo con Plan de
Trabajo
• No se puede remediar y debe
exceptuarse
Definición de Registros
y Documentos para
Control y Seguimiento
La efectividad del control interno se determina por su capacidad
para reducir o mitigar los riesgos
31
Negociación
cumplimiento y auditoría
Limitaciones
Funcionales
Obsolescencia
Tecnológica
Análisis de
mitigantes Respaldar Registrar
Riesgos
La gestión integral del cumplimiento requiere establecer niveles de
conformidad de cumplimiento sobre normas obligatorias internas y externas,
y alineación con el riesgo legal
32

09/08/2015
17
ISO 19600, la primera norma internacional sobre compliance
La Norma ISO 19600 recoge directrices para implantar, mantener y mejorar un
sistema de gestión de compliance eficaz y receptivo.
Incluye recomendaciones sobre los elementos con los que una organización debería
contar para asegurar que cumple su política de compliance y que tiene capacidad
para asumir sus obligaciones en este ámbito.
33
Análisis de nuevas necesidades de
formación en materia de compliance
para aquellos profesionales
involucrados en este campo cuando se
produzcan cambios organizativos,
legislativos o en los compromisos con
los grupos de interés.
Identificación de
cuestiones internas y
externas
Identificación de
requerimientos de las
partes interesadas
Principios de
buen gobierno
Determinar el alcance y
establecer el CMS
Establecer la Política de
Cumplimiento
Identificación de obligaciones
de cumplimiento y su
evaluación de riesgos
Liderazgo independiente,
responsabilidades a todos los
niveles, funciones de apoyo
Gestión de incumplimiento y la
mejora continua
Planificación para hacer frente
a los riesgos de cumplimiento y
el logro de objetivos
Evaluación del desempeño e
informes de cumplimiento
Planificación y control de riesgo
de cumplimiento operacional
MEJORAR
34

09/08/2015
18
Fabian Descalzo
Especialista en GRC
fabiandescalzo@yahoo.com.ar
Cumplimiento es la conjunción de actividades que permitenCumplimiento es la conjunción de actividades que permitenCumplimiento es la conjunción de actividades que permitenCumplimiento es la conjunción de actividades que permiten
a las organizaciones asegurar que sus negocios:a las organizaciones asegurar que sus negocios:a las organizaciones asegurar que sus negocios:a las organizaciones asegurar que sus negocios:
• Son legal y debidamente llevados a cabo de acuerdo a
la legislación y regulaciones de su mercado;
• Son correctamente gestionados de acuerdo a las
certificaciones y estándares adoptados;
• Son correctamente gestionados de acuerdo a sus
políticas internas;
• Son debidamente normados y controlados asegurando
cualquier desvío al cumplimiento, detectando mejoras en
sus procesos.
35

GRC - Curso Oficina de Cumplimiento

Recomendados

Recomendados

Más contenido relacionado

Similar a GRC - Curso Oficina de Cumplimiento

Similar a GRC - Curso Oficina de Cumplimiento (20)

Más de Fabián Descalzo

Más de Fabián Descalzo (20)

Último

Último (7)

GRC - Curso Oficina de Cumplimiento