¿Qué es el GRC?
La Gobernanza, el Riesgo y el Cumplimiento (GRC) forman un campo de enfoque en evolución para las empresas de hoy (OCEG, 2021). En los últimos años, GRC ha crecido tanto en importancia como en valor para las empresas que buscan lidiar con entornos empresariales cambiantes. La definición de GRC ha madurado en respuesta a las cambiantes necesidades regulatorias y de gobierno corporativo. Las iniciativas de GRC pueden afectar a toda la empresa y han sido un conducto para reunir las funciones dentro de un negocio que rara vez colaboraron en el pasado.
GRC es un término general que cubre el enfoque de una empresa a las tres disciplinas distintas de gobernanza, riesgo y cumplimiento.
Estos están muy estrechamente relacionados: las actividades involucradas en cada una deben llevarse a cabo una junto a la otra para evitar conflictos, superposiciones y omisiones. En la gran mayoría de las empresas de servicios financieros, GRC comprenderá el gobierno corporativo, la gestión de riesgos y el cumplimiento de las leyes, reglamentos y normas que se aplican a la industria. El Grupo de Ética y Cumplimiento Abierto (OCEG) ha publicado una de las definiciones de GRC más completas. En su Modelo de Capacidad GRC, Libro Rojo, 2.15, el OCEG define GRC como un «sistema de personas, procesos y tecnología que permite a una organización:
- Comprender y priorizar las expectativas de los interesados.
- Establecer objetivos comerciales que sean congruentes con valores y riesgos.
- Lograr objetivos mientras optimiza el perfil de riesgo y protege el valor.
- Operar dentro de límites legales, contractuales, internos, sociales y éticos.
- Proporcionar información relevante, confiable y oportuna a las partes interesadas apropiadas.
- Permitir la medición del desempeño y la efectividad del sistema.
Hagamos un vistazo previo al GRC, en cada uno de sus componentes.
Gobernanza: el término «gobernanza» (o también llamado Gobierno Corporativo) deriva de un verbo griego que significa «dirigir«. En teoría, es un concepto general, que conduce a una definición práctica más estrecha cuando se aplica a una actividad o industria específica. Entonces, en relación con las compañías de servicios financieros, nos referimos al gobierno corporativo. Esto consiste en los procesos, políticas, leyes y formas aceptadas de hacer negocios, y cómo afectan la forma en que se controla una empresa. También debe incluir la relación entre las partes interesadas y los objetivos comerciales que la empresa busca alcanzar.
Las partes interesadas clave en una empresa incluyen clientes, accionistas, gerentes y otros empleados, y los reguladores que supervisan la industria. Cada vez más, se enfoca en otras partes interesadas, incluida la comunidad, el medio ambiente e incluso otras empresas en el mismo mercado.
Riesgo: como lo enfatizó el Instituto de Gestión de Riesgos (IRM, s.f.), es necesario que las empresas comprendan los riesgos que corren en el curso de su trabajo para alcanzar sus objetivos. En el caso de las empresas de servicios financieros, la alta dirección y el consejo de administración deben comprender los niveles de riesgo inherentes a sus actividades y a los procesos que se siguen dentro de estas actividades. Por lo tanto, es extremadamente importante para las empresas reconocer los riesgos más significativos y priorizar sus acciones para reflejarlos. Esto se logra a través de una actividad de gestión de riesgos robusta y coherente.
El riesgo puede afectar a una empresa a corto, mediano y largo plazo, y estos plazos pueden vincular los riesgos con las actividades operativas (riesgos a corto plazo), las tácticas comerciales (riesgos a mediano plazo) y la toma de decisiones estratégicas generales de la empresa (riesgos a largo plazo). Por lo tanto, la alta gerencia y la junta deben tener una comprensión completa de los diferentes niveles de gravedad del riesgo y los plazos en los que pueden afectar al negocio, para poder administrar la empresa de manera efectiva.
Cumplimiento: en su descripción más simple, el cumplimiento significa cumplir con las reglas, leyes, políticas y estándares, y el cumplimiento normativo puede describirse como el objetivo que las empresas deben alcanzar para poder hacer negocios dentro de las leyes, reglamentos y normas aplicables.
Varios elementos constituyen los componentes fundamentales del cumplimiento. Incluyen:
- Crear políticas y procedimientos para seguir las reglas.
- Desarrollar controles internos.
- Tener un marco de gestión que establezca responsabilidades de manera clara.
- Pruebas y auditorías.
- Capacitación y desarrollo.
- Estándares robustos de mantenimiento de registros.
¿Por qué evolucionar al GRC?
Considerados individualmente, la gobernanza, el riesgo y el cumplimiento son herramientas esenciales para que una empresa funcione correctamente, pero no podemos ver a cada uno de manera aislada. GRC tiene que ver con la integridad corporativa y el establecimiento y mantenimiento de una gestión sólida y de alta calidad del negocio. Esto significa que la empresa está más capacitada para administrarse a sí misma, sus actividades, sus empleados y agentes, y sus recursos.
Los beneficios son más que solo el cumplimiento normativo y evitar el riesgo de sanciones. El gobierno corporativo de calidad proporciona las estructuras de negocios y los marcos necesarios para que la junta administre la empresa. El análisis y la gestión de riesgos permiten tomar decisiones de manera informada. La gestión del cumplimiento significa que las empresas están comprometidas con los requisitos u obligaciones legales, regulatorias y normativas que se aplican en la industria.
Por lo tanto, GRC regula las funciones y actividades de la empresa, pero los responsables de garantizar que el GRC funcione no deben de llevar a cabo esas funciones por sí mismos. Y el resultado de todo esto es que GRC se ha convertido en un componente vital dentro del complejo sistema general de la empresa.
El OCEG, un grupo de expertos sin fines de lucro define a GRC como un sistema de personas, procesos y tecnología que permite a una empresa:
- Comprender y priorizar las expectativas de las partes interesadas.
- Establecer objetivos comerciales que estén de acuerdo con los valores y riesgos.
- Lograr objetivos mientras optimiza su perfil de riesgo y protege el valor.
- Operar dentro de límites legales, contractuales, internos, sociales y éticos.
- Proporcionar información confiable, relevante y oportuna a las partes interesadas apropiadas.
- Permitir la medición del rendimiento y la eficacia del sistema.
Necesitamos considerar por qué necesitamos regulación, y qué objetivos y motivaciones comúnmente aceptados sustentan la regulación y entender por qué necesitamos considerar errores anteriores, los mercados cambiantes en los que operan las empresas de servicios financieros y, lo que es más importante, los beneficios de una cultura de cumplimiento dentro de los servicios financieros.
Referencias
OCEG. (2021, 18 enero). What is GRC / Governance, Risk and Compliance? https://www.oceg.org/about/what-is-grc/
Ultimate source for GRC certification and resources. OCEG. (2019, 25 septiembre). GRC Capability Model (Red Book) FULL VERSION. OCEG. https://go.oceg.org/grc-capability-model-red-book
Institute of Risk Management. (s. f.). A Risk Management Standard. Recuperado 25 de marzo de 2021, de https://www.theirm.org/media/4709/arms_2002_irm.pdf
