Certifica

En este podcast contamos con la intervención de Jorge González Julián, Coordinador de Calidad, Vida Adulta y Envejecimiento en Down Madrid.

En este podcast contamos con la intervención de Gonzalo García Bailón, Responsable de Compliance en EQA España y Alicia Allende, Responsable del área de Regulación y Cumplimiento en Acciona Inmobiliaria.

#certifica #podcast

#compliance #pbc #pbcft

#prevenciónblanqueocapitales

-----------------------------------------------------------------

00:19 Bienvenida

00:45 Presentación

01:14 ¿Cómo encontrasteis a EQA España?

04:20 Aportar valor a los clientes como entidad acreditada por ENAC. ¿Por qué tomasteis la decisión de seleccionar a EQA?

08:54 Mejor servicio al mejor precio ¿Qué aspectos os gustaron más del proceso con EQA?

13:31 Proceso de auditoría, muestreos.

20:34 Aspectos que mejorar

-----------------------------------------------------------------

Transcripción

Buenos días y bienvenidos a “Certifica”, el canal podcast de EQA. Hoy Gonzalo García Bailón, responsable de Compliance en EQA España, y Alicia Allende, responsable del área de Regulación y Cumplimiento en Acciona Inmobiliaria, nos van a contar la experiencia de Acciona Inmobiliaria en la revisión de su sistema de Prevención de Blanqueo de Capitales.

Os presento ahora sí que sí. Alicia, Buenos días.

Como ha dicho Gonzalo, he sido responsable del área de regulación y cumplimiento de Acciona Inmobiliaria durante 11 años.

Y como responsable tenía que asegurarme que todos los procesos y procedimientos en materia de prevención de blanqueo estaban actualizados correctamente aplicados. Y allí, en ese momento fue cuando me encontré con EQA y comenzó una extra experiencia conjunta.

Alicia, una de las cosas que claro, tú como responsable de cumplimiento normativo tenías que atender no solo la parte de blanqueo de capitales, sino un montón de regulación. Al final llevabais además un montón de años con diversos expertos externos. Al final es una buena práctica, ¿no? Que no todo el tiempo siempre tengas un mismo experto externo, porque claro, los mismos ojos no van a ver cosas diferentes cada año. Entonces es bueno cambiar. Vosotros tuvisteis un proceso de selección, no hiciste una licitación, nos invitasteis a nosotros. ¿Cuéntanos un poco cómo nos encontrasteis, en qué momento estabas? Porque claro, habías hecho un montón de auditoría cuando llegaste.

Ya habíamos pasado bastantes, bastantes ciclos completos de informe completo y luego seguimientos con distintos expertos externos. El año pasado justo tocaba el año 2022, 2023 un nuevo ciclo, entonces, ante un nuevo ciclo, siempre quieres buscar al mejor experto que pueda haber en el mercado, no sólo que demostrase sus condiciones académicas y experiencia profesional, sino también un poco más. Es decir, que Acciona Inmobiliaria, como sujeto obligado, demostrase que teníamos la diligencia de vida máxima a la hora de seleccionar a un experto externo lo suficientemente cualificado y demostrar que realmente va a revisar nuestros controles internos y nuestros procedimientos a fondo, porque nosotros sabemos que cumplimos con la normativa, tenemos procedimientos que son eficaces y funcionan, pero siempre necesitas que realmente te lo revisen para confirmar que bueno, el riesgo cero no existe, pero realmente para confirmar que estás evitando lo máximo posible el poder tener un percance o un daño reputacional. Entonces, Acciona Inmobiliaria como filial de una cotizada siempre tiene mucho cuidado en realmente seleccionar a gente muy experta en la materia

En el 2023 que teníamos que revisar 2022-2023 inicia una búsqueda de expertos externos sí es verdad que busque por Internet 55 expertos de distintos ámbitos.

Y me encontré con que, efectivamente, ahora había entidades acreditadas.

Desde el 2021, entonces, seleccione a EQA y a otra entidades acreditadas por ENAC, a dos consultoras y a un despacho de abogados con expertos externos registrados en este PAC y tuve 5 propuestas.

Mantuve 5 reuniones con estas 5 empresas y luego la las elevamos al comité.

Al final, claro, es que el artículo 28 de la Ley 10/2010 lo único que te dice es que tendrás que seleccionar a un experto externo que reúna las condiciones académicas y de experiencia profesional idóneas para desempeñar ese papel. Pero tampoco te da mucho, mucho más detalle. Entonces, claro, muchas cotizadas se van siempre. Pues oye, vamos a descargar en una entidad que tenga prestigio y que realmente pues lleven una trayectoria amplia.

Nosotros al final con la acreditación como sabéis, pues siempre apostamos. Cuando hay un servicio acreditado, apostamos por él, sobre todo en materia de compliance. Estamos hablando en las certificaciones de que son voluntarias, pero en este esquema justo en prevención de blanqueo de capitales, existe una obligación legal de todos los años. Tiene que revisarse. Cuando estás sujeto obligado por tu actividad, tienes que revisar tu sistema de prevención de blanqueo de capitales, entonces a la hora de seleccionar ese experto, tampoco había criterios en la ley ni en ningún sitio. Entonces nosotros dijimos, vamos a ir a lo máximo que es no solo cumplimos con todo lo que es toda la regulación, que además es bastante. Tenemos la Ley 2102 1010, el Real Decreto 304 2014.

Tenemos también la orden ministerial hay, bueno, tú te habrás encontrado incluso algún informe que no sigue el mismo patrón que nosotros. O sea, al final nosotros hemos desarrollado un modelo informe que es muy específico y que cumple todos los 14 puntos de la normativa y algunos más que de hecho tú me preguntabas, oye, pero ¿y esto? Esto no lo había visto nunca.

Al final lo que se trata es de bueno o nosotros desde cuál lo que pretendemos es aportar valor a nuestros clientes. Es verdad que es un servicio exigido por la ley que se tiene que hacer todos los años y que nosotros verificamos que se cumplan todos los requisitos regulatorios de en materia de prevención de blanqueo de capitales. Pero lo que pretendemos nosotros es también trasladárselo a los que nos acompañan hoy.

El propósito es ver cómo os podemos ayudar. Es decir, hacemos una revisión muy completa con todos los puntos legales y además todo lo que implica una acreditación. No quiero enrollarme con esto, pero el hecho de estar acreditado siempre saca lo que se llaman el CEA es un documento del CEA. En este caso es el CEA 25, que son criterios específicos de acreditación que además de todos los requisitos legales.

Además, más requisitos para cumplir con la certificación.

Es importante que sepan por qué selecciona este EQA, porque me habías dicho que había otra entidad acreditada, había un despacho de abogados Y dos consultoras. Al final, cómo llegaste a la conclusión de seleccionar a EQA.

En cuanto me informé que las entidades acreditadas tienen esta seguridad que te ofrecen, que realmente está todo mucho más específico y controlado por ENAC No tuve duda, ya que iba a elegir entre las dos acreditadas.

Y sinceramente, fue EQA porque la propuesta económica era mejor.

Porque no os conocía a ninguna de las dos y no sabía el contenido exacto de los informes de ninguna de las dos.

Estoy muy contenta con la elección, pero fue básicamente las garantías que ofrecía de estar acreditado y la propuesta económica.

Al final, bueno, nosotros intentamos hacer el mejor, el mejor servicio al mejor precio. Es verdad que a veces siempre lo decimos. No somos ni los más caros, pero tampoco somos los más baratos. Siempre en el mercado hay gente que no tiene los requisitos.

De tiempo, al final todas las auditorías que nosotros hacemos las dimensionamos por el tiempo que vamos a estar en nuestros clientes y en función de ese de esas jornadas, pues emitimos nuestro nuestras tarifas y nuestros honorarios.

En cuanto a al informe, nosotros hemos tenido que diseñar un informe. Yo llevo, pues casi me acerco peligrosamente a los 20 años de experiencia en todo esto.

Y yo he hecho pues distintos tipos de informe. Y es verdad que con la acreditación hemos sacado un modelo de informe que al final hace, porque claro, siempre nos encontramos con, en tu caso sí que me consta que leíste todo el informe de desde el principio hasta el final, pero generalmente el informe se dirige al órgano de Administración y ellos lo que quieren es, oye, ¿cuáles son las desviaciones? ¿Qué ha pasado? Y dame tu opinión de experto externo.

Entonces, nosotros en el informe sí que contemplamos esa esas partes. No hemos hecho lo que es la evaluación del experto externo, el resultado final, tal y como exige el documento de recomendaciones del del SEPLAC. Y luego tenemos un resumen de todas las recomendaciones. Al final, tú sí que te leíste el informe, pero a la hora de trasladarlo al Consejo de Administración, ¿consideras que ese formato ayuda?

También nos gustaría saber, claro, igual que no existe el riesgo cero, tampoco hay un servicio perfecto que nosotros intentemos dar el mejor servicio. No hay un servicio perfecto. Entonces sí que nos gustaría que nos cuentes cuáles han sido las cosas que más te gustaron y las que bueno, crees que puntos que podríamos mejorar. No sé si quieres hablarnos un poco.

Sí, a ver, yo creo que son dos cosas. Por un lado, el trato con el auditor y la unidad técnica, que es la que ayuda a lo largo de la auditoría a la que se pueda formar el informe. Y luego, por otro lado, es lo que percibe el órgano de administración entonces respecto al contacto auditor, unidad técnica que aporta todos los documentos.

Sí es cierto que el documento de petición de información es extenso entonces se tarda un poco en poder cumplimentar todo, aportar toda la información. Y ahí sí que le dedicas tiempo, pero es verdad que luego, una vez has contestado a todo y has entregado, he notado que esos esos días que el auditor realiza el informe.

No molesta constantemente, o sea molesta entre comillas, pero sí es cierto que no necesita opinión constante del cliente. O sea, tú ya has aportado todo lo tuyo y él dedica su tiempo a analizarlo y dar su opinión y ver si cumple o no cumple.

Eso sí que sí que me gustó porque realmente no estás haciendo tú el informe con el auditor externo, porque es que hay veces que tienes que estar tú como aportando más datos. O viendo qué tal va o si va a tiempo, no aquí. La verdad que ese ese detalle me gustó y luego de cara al órgano de administración, sí es cierto que ve la hoja de conclusiones es lo que realmente miran y también las tablas que ponéis. El informe entero no se lo no se lo suele leer.

Entonces sí que tenéis las tablas de idoneidad después de cada de cada apartado con los colores y que ahí se detalla los hallazgos brevemente, los hallazgos, las deficiencias que se han encontrado en ese punto en concreto y creo que eso es una manera de mirar en diagonal el informe y resalta muy bien las cosas importantes que ha detectado el auditor.

Yo creo que esas tablas de colores con los hallazgos detallados ayudan mucho.

Al final bueno, porque entendéis un poco nuestro proceso de auditoría. Una vez que aceptáis la oferta como como clientes, nosotros emitimos un documento que es el que decía Alicia, en el que solicitamos toda la información relativa al sistema desde para para cumplir todos los procedimientos.

Al final es una auditoría muy documental, que lo que necesitamos es bueno que saber efectivamente, que cumplís con todos los requisitos legales, Sí que es importante también que nos cuentes un poco cómo viste el tema de los muestreos. Al final nosotros tenemos que hacer unas pruebas de todos los expedientes que tenéis.

Nos tenéis que pasar o por así decir el detalle. Generalmente preferimos, de hecho, que esos listados sean anonimizados, es decir, a nosotros con el número de cliente nos basta. Lo que necesitamos es seleccionar un número de cliente y que ese número pues conlleve la documentación de un expediente para poder revisarla.

No sé, sí que me gustaría que nos explicases un poco también el tema de Del muestreo.

He de decir que Alicia fue muy diligente y ha sido de las personas que mejor no se ha cumplido implementado ese formulario, ese esa petición inicial de documentación porque es muy extensa y es verdad que claro, cuando tenemos toda la información, como dice ella, molestamos menos, ¿no? Al final lo que necesitamos es trasladar lo que habéis hecho durante todo el año, vuestro sistema a un informe, entonces, cuanto más detallado sea la explicación que nos deis menos os vamos a molestar, ¿no? Entonces sí que me gustaría un poco que también des tu experiencia con respecto a los muestreos, porque creo recordar que en vuestro caso no identificamos, hicimos una muestra amplia y no identificamos ninguna desviación, es decir, teníais toda la documentación perfecta.

Sí, justo os aportamos un Excel con todas las operaciones del último año. Anonimizadas eran los números de las de las viviendas, los clientes no salían los datos personales.

Luego otro auditor fue el que hizo el muestreo

Un par de veces hizo unas preguntas que no encontraba un documento, pero sí estaba la carpeta y ahí no, no, no salió efectivamente ninguna deficiencia que faltase nada. Sí es cierto que a mí me sorprendió que claro, a mí el Excel con los clientes me los mandaba al departamento de gestión y de Contabilidad.

Donde salen todos los clientes y yo os lo mandé tal cual el Excel e hicisteis la selección de muestra.

Me dio la sensación que creíais demasiado lo que yo os decía como cliente. Sí, confiasteis mucho. Yo, por supuesto, os di lo que me dio el departamento de gestión y Tesorería, pero ahí me sorprendió, pero sí es verdad que la muestra salió muy bien y no tuvimos ninguna falta, ninguna deficiencia.

Que como experto externo, cuando yo estaba trabajando en otras en otras compañías sí, hablamos con el equipo informático y nos asegurábamos que todas las operaciones que nos habíais dado que nos daba el cliente eran todas las que teníamos que en ese Excel que nos facilitabais.

Con la acreditación no hace falta. De hecho, nosotros tanto en el contrato como en el informe, incluso con la carta de manifestaciones, siempre os trasladamos que confiamos que toda la información que nos dais es completa y veraz. Eso lo pone en nuestra propuesta, lo pone en el bueno al inicio del informe, cuando detallamos el periodo de referencia que vamos a analizar.

Bueno, reflejamos también la fecha de referencia, el cuándo se emite el informe, el periodo. Además, eso yo creo que somos los únicos que lo hacemos, el periodo de inspección, es decir, desde qué día, a qué día hemos estado trabajando con vosotros siempre dentro del plazo de 2 meses.

Os adelantamos que no vamos a verificar la documentación por eso.

Al final de los trabajos siempre os enviamos lo que denominamos la carta de manifestaciones en la que confirmáis quién es el representante del SEPLAC, quien nos firma toda la revisión los procesos que hemos visto, porque, claro, no todos los clientes cumplen con los 14 puntos de la orden ministerial en el informe, generalmente, de hecho, nosotros estamos muy especializados en lo que es el sector inmobiliario, despachos de abogados, porque al final damos esa confianza y no somos en el caso de los despachos de abogados.

Somos un experto externo que no presta el mismo servicio que ellos. Es decir, no es fácil meter el anímico en casa. En este caso, entonces nosotros somos un aliado perfecto porque salvo que ellos hagan el informe de experto externo, no somos competencia. Nosotros nunca hacemos consultoría y sí que nos ven como como un aliado en ese sentido. Entonces nunca porque que me estoy desviando un poco, nunca hacemos la verificación de los datos.

Es decir, os lo informamos en la propuesta, en el informe y en la carta de manifestaciones. Nos firmáis que nos habéis dado acceso a toda la documentación, que no ha habido nada que nos hayáis ocultado. Entonces confiamos en que el dato es así. O sea, toda la confiamos en que todo lo que nos decís es completo y veraz al final, por qué bueno es un requisito de acreditación que traslademos esa obligación al cliente, que es el que va a ser auditado y el que tiene que facilitar.

Como os decía, al final nuestra intención es ayudar al cliente adelantarle, que no tenga, que no cometa ninguna infracción, que sea sancionable. De ahí un poco la categorización de nuestros de nuestros hallazgos. No, yo creo que tú estarías acostumbrada más a lo que son recomendaciones y observaciones. Y en este caso, pues nosotros cambiamos un poco, no tenemos las deficiencias mayores, que son incumplimientos que pueden llevar una sanción, tenemos las deficiencias menores y luego tenemos las observaciones.

No quiero que claro, nos estabas hablando un poco de los de los puntos fuertes, pero no te has pronunciado sobre sobre las cosas que crees que podemos mejorar o cosas malas que yo creo que, bueno, siempre hay que compartir. O sea, al final nadie es perfecto. Entonces sí que nos gustaría que dijeras, oye, pues hay cosas que creo que se pueden mejorar.

Una de una de ellas, por lo que me suena, es lo que acabas de decir, no que no eran los que no, que no verificamos y que nos visteis como muy confiados.

Sí, o sea que claro, en mi caso en concreto yo buscaba que me encontraseis cosas porque realmente yo lo que quiero es prevenir el poder, tener un disgusto a futuro o que haya tenido un procedimiento que no estaba perfecto porque bueno, el, el miedo a 1 a 1 riesgo reputacional es algo que no, no que no estamos dispuestos a tener un despiste. Entonces sí, efectivamente, yo busco el buscaba, el que me encontraseis cosas. Entonces por supuesto que es que aportaba todo, aun sabiendo que a lo mejor había algo que no estaba del todo perfecto. Pero es verdad que te puedes encontrar con casos con clientes que solo quieren un informe perfecto para no tener problemas y que no quede por escrito si ha tenido alguna deficiencia, entonces, sí es verdad que claro, la carta de manifestaciones se vio después al terminar el informe, pero durante el informe la duda era, yo lo estoy dando todo, pero me parece raro porque puede haber gente que solo busque el informe perfecto para quedar bien ante su órgano de administración, aún a riesgo de que entonces nos saquen defectos y evitar posibles sanciones

Creo recordar que de hecho, claro vuestro sistema cuando hicimos las los muestreos, eso no lo hemos comentado también. Yo creo que es importante que lo sepáis nosotros para para hacer una selección de muestreos nos basamos en una norma une. O sea, cogemos la 66020/2 y utilizamos esos criterios de selección. Es decir, vemos cuál es la población total, cuál es el universo. ¿Y a partir de ahí? La norma te dice cuántos casos tenemos que analizar para concluir que ese procedimiento se está llevando a cabo de una manera eficaz y que realmente podemos confiar que en vista de los resultados, si no hay ninguna deficiencia que se está ejecutando y que es eficiente.

También es verdad que, en vuestro caso sí que a nivel por así decir nosotros cuando hacemos un informe de experto externo revisamos lo que es el diseño, el diseño teórico y la operatividad práctica en la operatividad práctica. A nivel de muestreo no identificamos ningún por así decir ningún caso que estuviese incumpliendo, pero sí que a nivel de diseño teórico pusimos incluso creo recordar no conformidades mayores. Habíais tenido muchos informes de experto externo, pero en ninguno os habían identificado, por ejemplo, el tema del representante.

Es una cosa que no sé si se puede contar, pero bueno, yo creo que sí, no, no pasa nada por el tema.

En este podcast contamos con la intervención de Enoc Mojica, Director de Misión y Planificación Estratégica en Villas A.B.P.

En este podcast contamos con la intervención de Ana Isabel Tórtola, Coordinadora de la Fundación Nova Feina.

#verificacionimpacto

Más información:

https://eqa.es/finanzas-sostenibles/verificacion-impacto

https://eqa.es/certifica-podcast

Transcripción

Nova Feina es una entidad social con más de 30 años de trayectoria tanto la gestión como en la ejecución de programas y servicios de integración sociolaboral por medio de las áreas de información, orientación sociolaboral, formación capacitación, intermediación laboral y seguimiento en el puesto de trabajo. Estos servicios van dirigidos a las personas más vulnerables como personas paradas de larga duración, jóvenes con un fracaso escolar y especialmente mujeres víctimas de la violencia de género. La intervención que proponen está dirigida a conseguir la mejora de la empleabilidad a través de la activación para el empleo y la inclusión sociolaboral de las personas participantes. La fundación Nova Feina ha elaborado su informe de impacto 2020 con el resultado de los indicadores de impacto de su actividad en el período comprendido entre el 1 de enero y el 31 de diciembre de 2020. Para hablar sobre esta verificación contamos hoy con la participación de Ana Tórtola, coordinadora de la fundación Nova Feina.

Haciendo así es un resumen muy clarificante y bueno indicar que tenemos dos centros de intervención una en la ciudad de alicante y otro en la provincia de valencia sobre todo en la comarca de Horta Nord y donde trabajamos estamos ubicados en el Quart de Poblet y trabajamos en el área metropolitana y bueno, trabajamos en colaboración con los servicios sociales municipales y bueno y una red de entidades sociales.

Genial pues antes de avanzar una conversación con nana me gustaría también presentar a Alejandra Isabel Martínez del departamento de finanzas sostenibles de EQA España. Alejandra cuenta con experiencia en temas estratégicos de responsabilidad social y sostenibilidad corporativa desde organizaciones públicas, privadas y de la sociedad civil y cuenta con un largo recorrido en el desarrollo de estrategias de sostenibilidad alineadas a los objetivos de desarrollo sostenible y también de diseño gestión y evaluación de proyectos de impacto, especialmente los que crean igualdad de oportunidades para grupos en rezago social como personas con discapacidad y mujeres.

Buenos días de Alejandra qué tal estás

hola buenos días muchísimas gracias un gusto estar para acá

lo primero de todo agradeceros a las dos este rato que vamos a dedicar a charlar juntas si os parece vamos a comenzar charlando sobre la verificación de Nova Feina con EQA España. Ana yo creo que lo primero es explicar cuál es la estrategia de impacto y los objetivos de impacto de fundación nova Feina, cómo medir y gestionar este impacto.

Bueno pues como anteriormente has comentado nova Feina surge hace más de 30 años para ayudar a las personas en situación de vulnerabilidad a encontrar un empleo y nosotros trabajamos por medio de los itinerarios socio-laborales, identificamos lo que son las diferentes carencias que pueda tener la persona y trabajamos la empleabilidad de estas personas con acciones formativas que incluyan experiencias laborales en entornos de empresas normalizadas, trabajando lo que son las competencias clave tanto las lo que son habilidades sociales como las competencias digitales, preparamos los procesos de selección y lo más importante también es que hacemos un seguimiento en el mantenimiento del empleo, hay que tener en cuenta que estas personas bueno pues por diferentes circunstancias a lo mejor hace mucho tiempo que no tienen una actividad laboral o llevan mucho tiempo sin tener determinados hábitos que conllevan lo que es la vida laboral como pueda ser el cumplir con un horario y tener establecidos una gestión una organización del tiempo y bueno y entendernos, pero sobre todo le dedicamos mucho tiempo y es muy importante en lo que es el mantenimiento del empleo de las personas porque ya te digo hay veces que bueno que una mala interpretación o el no disponer de una buena organización en el tiempo pues bueno conlleva la no renovación o algún tipo de incidencia negativa en lo que es la empresa. Entonces luego nuestro marco de actuación normalmente nosotros establecemos lo que es y elaboramos lo que son el plan estratégico, en este momento tenemos el plan estratégico que abarca el periodo del 2019 hasta el 2023 y entonces es ahí donde realmente tenemos establecido en lo que son nuestros objetivos estratégicos. Todos los años hacer una fundación también establecemos lo que es nuestro plan de actuación anual, donde se fijan los objetivos más como más a corto plazo y más inmediatos y los indicadores y tal y luego claro todo esto se hace se evalúa o se realiza lo que es el seguimiento correspondiente dentro de nuestro propio sistema de calidad donde bueno allí sí que están establecidos lo que son los diferentes seguimientos, indicadores, evidencias etcétera.

Entonces eso es lo que es como nosotros tenemos establecido lo que son nuestros objetivos indicadores las diferentes herramientas y luego a la hora de medir y gestionar lo que es el impacto bueno pues nosotros lo que hemos hecho es bueno tenemos establecidos la atención más o menos anual alrededor de unas 600 personas tanto en el centro de alicante como en Quart de Poblet y bueno a partir de esas de esas atenciones iniciales, nosotros lo que hacemos es que derivamos a los diferentes servicios. La cifra más o menos de reinserción laboral anual es alrededor de entre unos 200 250 personas insertadas aparte también bueno pues tenemos un área de autoempleo donde intentamos ayudar, colaborar, asesorar para su empleación y está alrededor de unas 25 empresas donde colaboramos y les ayudamos para la puesta en marcha y entonces con todos esos datos nosotros lo que lo que hacemos es que tenemos una metodología propia que está incorporada en nuestro sistema de calidad donde como hemos dicho anteriormente tienen establecidos lo que son los objetivos estratégicos de intervención y tal y entonces ahí es donde nos es más fácil poder identificar lo que son las evidencias y analizar lo que son los resultados establecidos, que por otra parte EQA nos ayuda también a identificar bueno pues mejoras en todas esas evidencias identificación de objetivos etc.

que nos puedes contar sobre la verificación que habéis realizado vosotros con EQA y que ha significado para vosotros este proceso de verificación de impacto.

bueno la verdad es que para nosotros ha sido un lujazo porque bueno pues a través de un servicio pro-bono EQA ha verificado los indicadores de impacto en el servicio de inserción laboral comprendidos en lo que es la anualidad de 2020. Hay que tener en cuenta que los datos que hemos verificado en el 2020 corresponden al peor periodo de la pandemia del COVID-19 que aparte de las cifras catastróficas de mortalidad sufridas hay que tener en cuenta que existen otros impactos sociales y económicos que sufren directamente las personas con las que nosotros trabajamos entonces bueno aun así, los datos que hemos estado verificando han sido tantos resultados como indicadores ha sido pues 581 personas atendidas en el servicio de inserción, 497 itinerarios de inserción laboral completados hay que tener en cuenta que el itinerario de inserción es la herramienta en la que nosotros procedemos a la hora de trabajar con las personas participantes en nuestros servicios estos son los resultados son los resultados y el indicador con el que nos ha ayudado a identificarlos 152 personas que han finalizado acciones formativas hay que tener en cuenta que las informaciones que nosotros realizamos en este momento estas en concreto se refiere a formaciones con especialidades de ocupaciones como puede ser en limpieza hospitalaria, almacén y logística, call center, etcétera no estamos hablando en ningún momento de otro tipo de formaciones como son por ejemplo talleres relacionados con temas de alfabetización digital o todo lo que son competencias transversales que trabajamos con las personas participantes de nuestros servicios no están identificadas aquí, hay muchas más vale y luego el otro los resultados son 247 personas insertadas en el mercado laboral. Entonces hemos trabajado con cuatro indicadores: personas atendidas e itinerarios de inserción finalizados, personas que finalizan acciones formativas y personas insertadas en el mercado laboral. Entonces bueno pues nosotros sí que teníamos identificados todos lo que eran nuestros procedimientos nuestras vías de reclutar la información y EQA la verdad es que nos ha ayudado a identificar aspectos de mejora, la verdad muy gratificante.

Gracias Ana. también para tener una visión de parte de la verificadora me gustaría que Alejandra nos contase qué importancia tiene que una empresa verifique su impacto y que aporta adecuada a las empresas que verifican.

claro mira te platico un poquito de donde parte este producto bueno nosotros entendiendo la situación en la que nos encontramos actualmente donde la sociedad ha llegado a entender a partir de los diferentes foros en los que se ha presentado a nivel global ahorita recientemente estuve el COP 26, tenemos una hoja de ruta a partir de los objetivos de desarrollo sostenible entonces se entienden cuáles son los principales problemas sociales y ambientales que hoy en día la sociedad está afrontando entonces nos hemos visto en la necesidad de decir hoy necesitamos datos confiables, necesitamos información confiable que sepamos que lo que estamos haciendo por todo esto este es realmente relevante y tiene validez no entonces bueno entendemos como esto como dos necesidades principales en el mercado, por un lado pues tenemos organizaciones que están realizando este tipo de proyectos que tienen impacto social y ambiental y por otro lado tenemos financiadores o inversores que están queriendo apostar por este tipo de proyectos y pues este tipo de inversores están en necesidad de datos confiables no y de poder tomar decisiones de poder identificar datos que sean útiles para que ellos puedan apostar por la mejor forma de contribuir.

Entonces bueno EQA que somos una entidad de certificación y de verificación pues lanzamos este producto de verificación de impacto en el que pues buscamos justamente esto no vamos a asegurarnos que los datos que se presenten estas de estas organizaciones sean confiables no nos a nuestros jóvenes el try for your data entonces bueno con esto pues vamos a evitar los riesgos de una divulgación inexacta, esto nos va a permitir la comparabilidad y monetización del impacto, evitamos el impact washing que hoy en día es un es un concepto que ha abarcado este gran atención por la necesidad justamente decir oye queremos saber y queremos estar seguros que donde estamos poniendo nuestras inversiones están realmente las organizaciones que están operando estos proyectos realmente están llegando a lo que quieren llegar no y pues bueno además pues como lo decía anteriormente pues se pueden tomar decisiones informadas. EQA aporta principalmente la independencia y pues las competencias técnicas si hablamos de nuestras de nuestras competencias como organización, como institución bueno pues tenemos gran conocimiento sectorial, contamos con una red de expertos en distintos temas que nos pueden aportar esta competencia y además que bueno también sabemos que existen una gran variabilidad de metodologías y de marcos de medición, entonces conocer estos estas estas metodologías pues nos han ayudado también a entender la forma en que las organizaciones están gestionando sus proyectos y los están operando y midiendo. Por otro lado pues tenemos una evaluación de la fuente de datos, justamente podemos verificar es realmente que la información que se presenta pues la corroboramos, la evaluación del sistema tal cual los cálculos y pues bueno siempre con un respaldo científico y por otro lado contamos pues con una independencia no al final somos una parte externa una tercera parte que no tenemos intereses en el resultado de la verificación es que podemos incorporar ahora sí nuestras metodologías y procedimientos de verificación y que éste pues esto asegura la imparcialidad de la verificación.

Alejandra no sé si nos pueden resumir un poco el proceso de verificación

claro que sí bueno primero que nada hacemos un análisis previo con la organización para identificar justamente esto que decía oye cuál es cuál es su actividad, cuál es la forma en que operan la forma en que miden las evaluaciones que realizan, si utilizan alguna metodología y a través de este análisis previo lo que nosotros hacemos es encajar esto que recopilamos en uno de nuestros tres tipos de verificación, entendemos que el tema de impacto es un poco controversial es amplio entonces nosotros diseñamos tres tipos de verificación para poder darle el enfoque correcto, entonces nuestra primera tipo de verificación es la exante donde nosotros estamos haciendo una validación del impacto esperado la segunda es cuando ya la organización mide de alguna manera indicadores más de resultados entonces estamos verificando los indicadores del reporte de impacto que son resultados más que nada inmediatos y por último tenemos la verificación del impacto final que ya vemos aquí que son pues información más más relacionada con los outcomes o con el impacto que lleva un mediano y largo plazo entonces en nuestro primer tipo de verificación que es la ex ante pues vamos a ir a profundizar en desde el tema de oye como la organización identifica el problema si los referencias tiene referencias este científicas de cómo como datos cuantitativos cualitativos de cómo analizó su problema, como identifica su público objetivo sus grupos de interés y qué soluciones pudieran estar identificando para este problema. Posteriormente también aquí podemos ver ya cuando plantean su programa o su proyecto y decir oye bueno la organización a partir del análisis que hizo de su problema plantea que ellos quieren solucionar el problema de esta forma, entonces aquí ellos ya definen objetivos claros tienen una planificación cuentan con los recursos tanto económicos y recursos humanos también y tienen en sus metodologías de medida de medición identificadas sus controles y sus indicadores.

Entonces esta es una prueba de la parte ex ante estas estos como dos niveles no de decir oye si la organización cuenta con estas planteamientos y con estos análisis podemos asegurar que es más probable que el impacto se pueda llegar a cumplir, entonces este es nuestra primera tipología, la segunda tipología y es ver como la organización está ejecutando estas metodologías que nos plantearon el poder identificar cuáles son los resultados que obtuvieron, poder hacer comparativas de sus bases de datos y sus indicadores finales todos sus sistemas de gestión etcétera y aquí hablamos pues que son resultados de carácter más inmediato no de resultado número de personas número de capacitaciones, número de beneficiarios es tal cual y por último pues cuando ya hablamos de algo de más largo plazo pues ya estamos hablando de como la organización está contribuyendo a los objetivos planteados, no como la implementación del programa que realizaron contribuye al cambio, algunas veces es en muchos casos y esta es una de las grandes críticas de estas mediciones es que a veces es complicado porque requiere un nivel de profundidad requiere mayores recursos pero es muy relevante sabemos que hay organizaciones que ya lo tienen entonces bueno estos son nuestras tipologías de proyecto de medición y es como lo estamos realizando

cómo pueden contactar las organizaciones con nuestro departamento con el departamento de finanzas sostenibles

Voy a compartir mi correo electrónico que es alejandra.Martínezarrobaeqa.es pedirnos el análisis preliminar o podemos identificar si la organización podemos verificarla entonces a través de un correo electrónico podemos brindar más información perfecta pues no quisiera despedirme sin agradeceros de nuevo a las dos la participación en el podcast de EQA, no sé si queréis añadir algo más quizá.

a mí sí que me gustaría añadir porque no lo he mencionado anteriormente pero sí que es verdad y me lo ha recordado a Alejandra es que bueno la metodología que nosotros hemos estado utilizando con respecto a lo que es la medición de impacto ha sido la de la asociación europea de filantropía entonces sí que es verdad que hemos podido establecer nuestra cadena de valores y bueno la verdad es que sí que es complicado para una organización donde en el día a día tienes que cumplir determinados objetivos en lo que es la inmediatez, las personas te demandan y tal es complicado poder hacer lo que es estable lo que es el establecimiento de objetivos e involucrar el análisis de las personas que están involucrados en lo que es todo el proceso etcétera pero sí que es verdad que vale la pena hacerlo con respecto a lo que es la severidad en lo que son los datos porque nosotros por ejemplo también lo que lo que nos ha ayudado es porque como hemos estado analizando los datos desde el 2018 hasta en 2020 sí que hemos visto una evolución en lo que son los servicios y en el análisis e incluso estando en una situación de pandemia pero sí que hemos visto una evolución de determinados datos y lo que sí que es verdad que es lo que es súper difícil y muy muy difícil es conseguir el impacto social que es a más largo plazo entonces sí que es verdad que hay que identificar muy bien lo que se quiere como como hay que medirlo y cómo identificarlo para poder tener ese resultado a más largo plazo no es fácil como es algo que no es tangible a nosotros nos ha resultado difícil pero bueno de la verdad que con ayuda de profesionales pues claro siempre es todo mucho más más fácil pero bueno quería comentar un poco eso que realmente por medio de una metodología que ya tienen que ya hay resultados ya está implantada ya está planteada pues claro para nosotros siempre también es muchísimo más fácil poder implantar todo tipo de análisis de resultados etc.

lo dicho pues muchísimas gracias a las dos y para todos los que nos estáis escuchando ahora ya sabéis que podéis consultar toda la información de los servicios de EQA a España a través de apuntes y recordamos que realizamos periódicamente webinars sobre las distintas divisiones de Quart también tenéis la programación de todas estas sesiones en la página web gracias nos despedimos un saludo.

En este podcast contamos con la intervención de Mª Cristina Romero, Product Manager de Finanzas Sostenibles en EQA.

#Verificacionimpacto

Más información:

https://eqa.es/finanzas-sostenibles

https://eqa.es/certifica-podcast

Transcripción

Para empezar con la temática de hoy, creo que es importante que nos expliques que es el impacto y qué es la medición y gestión del impacto.

Sobre temas de impacto siempre existen muchísimos conceptos, pero yo creo que un concepto muy interesante es el que gestiona y el que ha recopilado el Impact Management Project, que define el impacto como el cambio en un resultado causado por las actividades de una organización. Creo que ese concepto nos lleva un poco a pensar que en realidad el impacto es la consecuencia de todas las actividades que se puedan generar a nivel organizacional.

La medición en realidad es un proceso continuo e iterativo que realiza una organización para captar información sobre los cambios que se han generado en las personas y en el medio ambiente y que están basadas justamente por la actividad de la compañía o de la organización. Y ya cuando hablamos de qué implica el proceso de gestión de impacto es tomar toda esa información que nosotros hemos recopilado en el proceso de medición e incorporarlo dentro del proceso de toma de decisión de una organización. Es decir, pues yo he generado estos cambios en las personas y el medio ambiente, y esta información me sirve a mí para poder tomar una decisión que a su vez va a conllevar maximizar el impacto positivo y minimizar todos aquellos impactos negativos que se hayan podido identificar en este proceso.

Creo que es el concepto más más acorde y el que está utilizando el mercado y desde cual lo tomamos de la misma manera.

Y, ¿por qué una organización debe medir su impacto social y o ambiental?

El tema de medición y gestión de impacto es una temática que desde hace varios años existe en el mundo de la sostenibilidad. Pero a raíz de los recientes avances regulatorios en temas de sostenibilidad por parte de la Comisión Europea, este tema ha crecido muchísimo más y en paralelo tenemos el crecimiento de la inversión de impacto en específico en España, lo cual también conlleva a que le a que tengamos mucho en la retina el tema de la medicina y gestión impacto porque es importante, porque finalmente toda esta tendencia de sostenibilidad implica que las compañías, las organizaciones, las empresas del sector financiero y no financiero estén atentos a cuál es el impacto que genera su propia actividad.

Entonces, para eso, poder identificar correctamente el impacto positivo y negativo de sus actividades es esencial y el proceso de medición y gestión de impacto, pues te lleva a ello. Es muy importante también que las organizaciones antes de poder realizar este proceso de medición y gestión de impacto se detengan y hagan un análisis interno para poder definir una estrategia de impacto. Es decir, ¿qué es lo que yo estoy causando actualmente en la sociedad y en el medio ambiente y qué quiero causar?

Porque son dos cosas muy distintas, ¿no? Entonces poder hacer ese ejercicio realmente nos va a llevar a poder generar el impacto que realmente queremos generar.

María Cristina, ¿Qué impacto tienen los recientes avances regulatorios de la Unión Europea en temas de sostenibilidad, que has mencionado, en un proceso de medición y gestión de impacto?

Pues yo creo, Marta, que lo más importante y el impacto más importante que tienen los recientes avances regulatorios por parte de la Comisión Europea es en realidad que hoy por hoy todas las auto declaraciones en temas de impacto se van a ver con muchísimo mayor rigor. ¿Qué quiero decir con esto? Que las declaraciones que pueda hacer una organización sobre su impacto social y o ambiental van a ser vistas con muchísima mayor rigurosidad en el sentido de oye, realmente estás generando el impacto que dices que estás generando.

Y para eso yo creo que la verificación de impacto es una práctica y un ejercicio bastante sano para las organizaciones y que les va a aportar muchísimo en este. En todo este proceso de poder ir, pues reorganizando todas las declaraciones que puedan hacer en temas de sostenibilidad, el impacto es básicamente que las compañías se sienten muchísimo más. Ya estaban anteriormente encaminadas en temas de sostenibilidad, pero ahora están muchísimo más. No, no quiero decir la palabra presionadas, pero sí con la lupa ahí en lo que dice hacer.

Entonces yo creo que es algo que finalmente nos va a permitir de alguna u otra manera, llegar de una manera más fácil a los objetivos que realmente se han planteado desde el Acuerdo de París, desde los Objetivos de Desarrollo Sostenible y todos la taxonomía. La estrategia de finanzas sostenibles de la Comisión Europea. Yo creo que todo esto está ligado y la rigurosidad con la que se miran las declaraciones de impacto, de sostenibilidad, etcétera, pues es una herramienta muy importante para cumplir estos objetivos.

España es una entidad de certificación, de validación, de verificación. Cuéntanos por qué es importante verificar el impacto y qué aporta esta verificación en un proceso de medición y gestión del impacto.

Pues a ver, te cuento EQA es una entidad de verificación, certificación e inspección. Venimos trabajando desde hace muchísimos años y en todo el aspecto, y es ahí, desde temas de cambio climático, con playas, RCC, estados de información financiera y ahora temas de finanzas sostenibles. Nuestro papel dentro de todo este mundo del impacto es la auditoría de auditoría, la verificación, es decir, poder dar una opinión en base a nuestra independencia, nuestra competencia técnica y a nuestros procesos de calidad.

De poder decir oye, pues efectivamente el impacto que está declarando determinada organización es fiable, es robusto, existen los datos adecuados para hacerlo, los datos son fiables, los sistemas que procesan los datos también son adecuados o idóneos. Entonces nuestro papel en realidad es dar garantía al mercado de impacto. Nosotros lo que vamos a hacer es poder dar una garantía respecto a lo que se dice hacer y respecto al impacto que se dice generar. Y en base a esto, lo que nosotros buscamos es que el mercado logre la escalabilidad deseada.

Ese es básicamente nuestro papel, porque es importante, porque definitivamente una opinión independiente y competente a nivel técnico es necesario en un mercado en el cual existen diversidad de marcos, metodologías, estándares y donde cada uno mide de la manera en la que, en la que crea adecuado medir nosotros para poder hacer este trabajo, lo que hemos hecho es. Primero, hacer un trabajo bastante interno, detenernos y decir oye, pues mira, existen diversidad de marcos, metodologías, estándares y lo que queremos es desarrollar un modelo robusto que pueda abarcar todo el espectro de impacto, dependiendo del nivel de madurez de cada organización.

Vale, y para eso hemos desarrollado un modelo de verificación de impacto que tiene tres fases una primera fase en la cual nosotros validamos en una etapa exante, es decir, antes de que la organización mida, validamos el planteamiento de un proyecto, es decir, validamos cuáles son, cuál es la problemática que está abordando. ¿Cuál es el público beneficiario del proyecto y cuál es el nivel de vulnerabilidad del público beneficiario? ¿Cuáles son los objetivos de impacto que se plantea de la organización?

Si los indicadores de impacto son idóneos al sector de la organización y al modelo de negocio de la compañía, ¿cuáles son los procesos internos que tiene la compañía que te puedan asegurar a futuro? ¿Qué vas a obtener? Datos de impacto. Esto es lo que nosotros llamamos una validación de impacto esperado en una primera fase. En una segunda fase, ya cuando la organización está midiendo, lo que nosotros proponemos es verificar periódicamente estos reportes de impacto que normalmente anualmente van realizando las organizaciones.

Y ahí nuestro trabajo se centra específicamente en el dato. Nosotros vamos al origen del dato, a las fuentes y al pro y a los sistemas que procesan toda esta información para poder nosotros hacer un recalcula y efectivamente decir oye, el impacto que está diciendo esta organización es fiable, robusto, porque el dato es, es adecuado y los y las fuentes de donde provienen son idóneas. Y obviamente los sistemas pues tienen todos los aspectos de calidad necesarios para poder procesar el dato.

Ese es en una segunda fase y en una tercera fase lo que nosotros abordamos es el impacto final. ¿En qué sentido? Pues nosotros lo que hacemos es verificar que efectivamente los objetivos de impacto que se plantea una organización se han cumplido, es decir, que se ha generado el cambio esperado para esto. Obviamente el análisis es mucho más profundo porque en muchos casos, sobre todo en temas sociales, donde todavía no tenemos, pues sabes, variables tan específicas como en el tema ambiental, pues nosotros lo que tenemos que hacer es llevar a cabo una evaluación contra factual, es decir, tomar un público objetivo que no ha sido materia del proyecto y compararlo versus un público beneficiario que si sobre el cual si se ha generado un cambio para poder identificar cuál es el cambio que se ha generado, cuál es el impacto y cuál es la escalabilidad de ese impacto.

Y si finalmente este impacto es sostenible en el tiempo, porque eso es lo que realmente se busca y para eso realizamos un trabajo muchísimo más, más, más profundo, que probablemente nos va a llevar una mayor cantidad de tiempo, pero creo que es la manera adecuada, como abordar todo el mercado de impacto en todas las fases y sobre todo teniendo en cuenta el nivel de madurez de una organización en temas de medición y gestión de impacto. Y yo creo que es algo importante que las entidades de verificación debemos tener en cuenta.

No, no todas las organizaciones tienen un nivel de madurez amplio en este en este aspecto. Y bueno, si realmente lo que buscamos es que todos nos podamos subir al a al tema de la sostenibilidad, pues es importante tener en cuenta esos factores.

Pues muchas gracias María Cristina, yo creo que ha quedado todo muy claro. Gracias de verdad. Contaremos contigo para próximos podcasts. No obstante, si alguien tuviera alguna duda o quisiera profundizar un poco más, pueden contactarte a través de nuestra web. Muchas gracias.

No, muchas gracias a ti, Marta y nosotros encantados de poder ayudar a todas las organizaciones que están en este camino para medir y gestionar impacto.

En este podcast contamos con la intervención de Lola Sebastián, Product Manager de Cambio Climático y Economía Circular en EQA.

#economiacircular

#cambioclimatico

Más información:

https://eqa.es/responsabilidad-social-corporativa

https://eqa.es/certifica-podcast

Transcripción

Buenos días y bienvenidos a un nuevo capítulo de Certifica el podcast de EQA. Comenzamos hoy hablando sobre las novedades en el régimen de comercio de derechos de emisión de gases de efecto invernadero. Para hablar de ello nos acompaña Lola Sebastián, Product Manager de Cambio Climático en EQA España.

Lo primero de todo sería explicar un poco en qué consiste el comercio de derechos de emisión.

El comercio de derechos de emisión es un instrumento de mercado a través del cual se crea un incentivo económico que lo que persigue es un beneficio medioambiental. En este caso, que un conjunto de plantas industriales o u operadores de aeronaves reduzcan colectivamente las emisiones de gases de efecto invernadero a la atmósfera. Es un mercado de emisiones que se basa en repercutir el coste de la polución sobre quienes contaminan. ¿Con qué objeto? Para que a medida que este coste crezca, se vean tentados a dejar de hacerlo.

Pues lo que está ocurriendo con el precio del crédito de carbono. Una empresa, por ejemplo, puede buscar una tecnología diferente para producir, minimizando estas emisiones porque le puede interesar a nivel de costes. En este caso, en lugar de apelar a la conciencia para proteger el bien común, que al final es el aire limpio lo que se apelas al bolsillo. Es decir, es un incentivo a las empresas para que inviertan en tecnologías. Queremos que reduzcan esas emisiones de gases de efecto invernadero.

A partir de aquí todo es cuestión de oferta y demanda. Las empresas o países que necesiten emitir más por encima de lo que tienen autorizado pueden comprar derechos de emisión a quienes contaminan por debajo de lo asignado y estos a su vez, pueden financiarse vendiendo lo que les sobra para para reducir sus emisiones. Este sistema ofrece cierta flexibilidad porque lo que fomenta el desarrollo de nuevas tecnologías, como ya he comentado, las empresas al final se motivan por los beneficios que obtienen de la venta de sus derechos de emisión y lo que hacen es desarrollar y utilizar tecnologías más limpias y sostenibles.

El Reglamento de Comercio de Derechos de Emisión de la Unión Europea es una de las piedras angulares de la política de lucha contra el cambio climático en la Unión Europea y es un instrumento fundamental para reducir de forma eficaz estas emisiones. Como ejemplo, te puedo comentar que entre 2005 y 2019, estas instalaciones que están incluidas en este régimen redujeron sus emisiones alrededor de un 35 por ciento.

Y ¿cómo funciona el comercio de derechos de emisión?

Pues el régimen de comercio de derechos de emisión de la Unión Europea funciona según el principio de limitación y comercio. Al final lo que hacen es poner un límite máximo a la cantidad total de de algunos gases de efecto invernadero que se pueden emitir desde las instalaciones que están contempladas dentro de este de este régimen. Lo que se hace es bajar este límite a lo largo del tiempo. ¿Para qué? Para conseguir esta reducción de emisiones al final de cada año, las instalaciones deben entregar suficientes derechos para cubrir todas sus emisiones y en caso contrario tienen importantes sanciones si reciben.

Si reducen estas emisiones, las instalaciones pueden conservar esos derechos de emisión sobrantes para cubrir sus futuras necesidades o venderlos a otras instalaciones que no tengan suficiente, con lo cual se financian, como ya he dicho antes, estas inversiones en tecnología. En definitiva, el Reglamento de Comercio de Derechos de Emisión es un mecanismo para implementar el principio de quien contamina, paga cada año. Las entidades reguladas tienen que monitorear sus emisiones y rendir cuentas de las mismas mediante la entrega de ese número de derechos.

De esta manera, lo que hacemos es incentivar económicamente esa reducción de emisiones.

Y ¿en qué momento nos encontramos actualmente?

Actualmente nos encontramos en la fase 4 del del régimen. Este régimen aquí en España empezó con la directiva de 2003, que regulaba el comercio de derechos de emisión que se traspuso al ordenamiento jurídico español en 2005, que es cuando empezaron. Empezó este comercio de derechos de emisión. Fase 1. Fase 2 Fase 3 acabó el 31 de diciembre de 2020 y actualmente nos encontramos en la fase 4 que empieza. Empezó el 1 de enero de 2021 y terminará el 31 de diciembre de 2030.

Esta fase 4 comprende dos subperiodos de cinco años y ahora mismo estamos en el primer periodo que es 2021 - 2025. Las instalaciones ya existentes en la fase 3 solicitaron asignación gratuita para esta nuevo periodo de mayo de 2010. En mayo de 2019. Concretamente fue cuando solicitaron esa asignación gratuita y es la asignación que tienen para el primer su periodo para el 2021 y 2025. Esta asignación gratuita que fue aprobada en Consejo de ministros el pasado 13 de julio de 2021, aquí en el territorio español, establece que emisiones o toneladas de CO2 pueden emitir gratuitamente cada una de las instalaciones que están incluidas dentro de este comercio de derechos de emisión.

Lo que instalaciones están obligadas a hacer seguimiento, el seguimiento de sus emisiones de gases de efecto invernadero y todas van a tener asignación gratuita.

De todas las actividades fabriles están sujetas a como el seguimiento de sus emisiones están obligadas no todas las instalaciones que están sujetas a comercio de derechos de emisión. El comercio de derechos de emisión de la Unión Europea son aquellas que aparecen en el Anexo 1 de la Ley 1 de 2005, que, como he dicho antes, es la ley que uso ordenamiento jurídico español. La Directiva 2003 del 87, que es la que establece el régimen de comercio de derechos de emisión en la UE en la Unión Europea.

Este anexo se recoge en unas 29 actividades, creo recordar, entre las que podemos encontrar por ejemplo combustión en instalaciones con potencia técnica, nominas, 20 megavatios, refinerías, producción de materiales férreos, fabricación de cemento, cal, vidrio las cerámicas con una capacidad superior a 75 toneladas métricas de papel, industria química En cuanto a la asignación gratuita, podrán emitir gratuitamente emisiones de gases de efecto invernadero. Aquellas instalaciones que estén incluidas en este anexo que acabamos de comentar que no sean generadoras eléctricas y que hayan solicitado esta asignación gratuita.

El tema de las generadoras eléctricas en las reglas de asignación se estableció que las instalaciones que son generadoras eléctricas que generan producción de energía eléctrica, no son instalaciones elegibles para asignación gratuita, con lo cual se quedarían fuera. Por eso las grandes generadoras eléctricas no tienen, no tienen asignación gratuita y por eso también se repercute ese precio de las emisiones en el precio de la energía. En este caso, el proceso de solicitud de asignación gratuita es un proceso voluntario.

Lo que no es voluntario es el reporte de emisiones al que están sujetas este tipo de instalaciones, pero las solicitudes de asignación gratuito gratuitas y que es un proceso voluntario, aunque realmente no conozco a ninguna instalación que no lo haya solicitado, sobre todo viendo como evoluciona el precio del derecho de emisión y qué diferencias van a encontrarse las instalaciones en este nuevo periodo en la fase 4.

Pues en la fase 4 sí que existen algunas diferencias respecto a lo que hemos llevado desarrollando en la fase 3. La más relevante, a mi criterio, es el cambio de reglas para el ajuste de asignación a través del informe de nivel de actividad. Tengamos en cuenta que en esta fase 4 también este nivel de asignación cada vez va a tener más relevancia, puesto que se está limitando cada vez esta asignación gratuita a cada una de las instalaciones. Y, por otro lado, el precio de la tonelada va in crescendo.

Que sí, que es cierto que se espera que tampoco crezca exponencialmente, pero está un precio mucho más alto de lo que estaba hace 20 años en la fase 3. Este ajuste de asignación se daba cuando se producía un cambio significativo de capacidad, cuando había un descenso del 50 por ciento de la actividad. Entonces, los titulares, los titulares de estas instalaciones elaboraban un informe metodológico y un formulario de nuevos entrantes para solicitar ese ajuste de asignaciones. En esta fase 4, todas las instalaciones que tienen asignación gratuita están obligadas a presentar anualmente un informe sobre el nivel de actividad de todas las subinstalaciones que tienen identificadas en su plan metodológico de seguimiento.

Y en este caso, en el caso de haber una variación superior a un 15 por ciento, se producirá un ajuste en esa asignación, siempre que este ajuste sea superior a 100 toneladas de CO2. En relación con el seguimiento y notificación de las instalaciones incluidas, deben de haber elaborado plan de seguimiento para Fase 4, que es un formato actualizado muy similar al de la fase 3 y deben realizar el seguimiento de misiones en función de un reglamento de ejecución el 20 66, que se modificó por diciembre de 2020 por el 20 85.

Sí que es cierto que este reglamento difiere poco del reglamento en vigor durante la fase 3, por lo que los titulares de las instalaciones apenas van a notar cambio de fase en lo que supone el seguimiento de notificación anual de sus emisiones, que es lo que ha cambiado básicamente de un reglamento a otro, pues se establecen disposiciones más detalladas relacionadas sobre todo con la con la biomasa y los biocombustibles. Establecen unos criterios de sostenibilidad que debe cumplir esa biomasa y no hay una limitación en cuanto a la exigencia de documentación adicional.

En referencia al material guía, que sabéis que es un material que establece y que proporciona la Comisión Europea para para mejorar el entendimiento de estas estas reglas de asignación, estas reglas del juego a través de estos reglamentos, es un material de material guía. Está siendo revisado actualmente por la Unión Europea, sobre todo en lo referente a la guía 3 relativa a la biomasa, que como hemos visto, es uno de los cambios más importantes en esta fase 4.

La Comisión Europea está a la espera de la actualización de los reglamentos de ejecución de la directiva de energías renovables. Para actualizar esta esta guía, cosas también que van a cambiar en esta, en esta fase, en lo que son los formularios tanto del informe de notificación de misiones como del informe de verificación. Actualmente, como estos formularios cuelgan directamente de material guía, se actualizarán una vez actualice ese material. De momento están pendientes de aprobación. Lo la que más nos puedes contar sobre las nuevas reglas de ajuste de asignación gratuita.

La campaña pasada fue la primera en la que los titulares tuvieron que elaborar estos informes sobre el nivel de actividad. Concretamente se reportaron datos de los periodos 2019 y 2020. Estos son los informes que, como he dicho antes, son los que complementan los titulares para poder ver o que el organismo competente en este caso, que sea la Oficina Española del Cambio Climático, establezca si se requiere ajuste o no en la campaña anterior. Los formularios se publicaron muy tarde.

Fue una campaña un poco complicada. Esta nueva campaña en la que nos enfrentamos no, no conlleva cambios en relación a lo que sería estos informes de nivel de actividad. El se ha publicado material de apoyo por parte del Ministerio de Transición Ecológica y Reto Demográfico para para aclarar esos aspectos relacionados, por ejemplo, con el sistema de jerarquías del Plan Metodológico de seguimiento, que fue un tema, un tema un poco espinoso porque no se llegaron los titulares, no llegaron a entender bien como había que enfocar ese aspecto, sobre todo en la relación de fuentes de datos.

Entonces está todo este material que se ha publicado a raíz de una vez finalizada la anterior campaña, sí que mejora enormemente su comprensión por parte de los de los titulares. Otro hándicap que en esta campaña no vamos a tener en cuanto a temas de ajuste de asignación, es que los planes metodológicos de seguimiento van a estar todos aprobados por la Oficina Española de Cambio Climático, lo que va a suponer una mayor seguridad por parte de los verificadores a la hora de comprobar y de verificar el informe sobre el nivel de actividad de cada de cada instalación.

En la campaña anterior. Estos planes de metodológicos no estaban aprobados y hubo en ocasiones cierta confusión para identificar que ese documento era el último presentado por el titular a la Oficina Española de Cambio Climático.

¿Se puede concretar un poco más cuáles son las obligaciones que tienen las instalaciones en referencia al comercio de derechos de emisión?

Claro, las obligaciones son diferentes en función del tipo de instalación. Tenemos instalaciones excluidas que no he comentado nada, pero van a comentar un poquito para que veamos en qué consisten instalaciones incluidas en régimen, pero que son generadores eléctricos y luego tendríamos instalaciones incluidas que no son generadores eléctricos.

Lo que he comentado respecto a las excluidas instalaciones excluidas son aquellas que tienen una actividad reflejada en el Anexo 1 de la Ley 1 de 2005, es decir, que por aquí por ese anexo estarían incluidas, pero que cumplen una serie de requisitos para poder solicitar esa exclusión en el comercio. La exclusión en el comercio significa que no van a poder comercializar, que no van con un no van a poder comercializar con esos derechos de emisión. ¿Por qué? Porque no van a tener asignación gratuita.

Este tipo de instalaciones lo que van a tener es un techo, un umbral de emisiones establecido por cada comunidad autónoma. Que hay que controlar anualmente, por eso sí que son instalaciones que, aunque no estén incluidas en el régimen de comercio, de derechos de emisión, son instalaciones que van a tener que presentar anualmente la notificación de sus emisiones y de notificación de emisiones deberá estar verificada las instalaciones que sean rápidamente. Las que pueden solicitar exclusión son aquellas que emiten menos de 25000 toneladas anuales y que tienen una potencia térmica nominal inferior a 35 megavatios.

Y los hospitales. Un cambio respecto a la fase 3 es que las instalaciones con menos de 2500 toneladas quedan excluidas sin necesidad de solicitar la exclusión. Sí que pueden. Que pueden presentar este formulario de exclusión de cara a informar si es. Si fuera necesario reintroducir en comercio de derecho, de comercio, de derechos, de emisión. Por lo tanto, las obligaciones de los titulares sería el seguimiento y verificación de sus emisiones anualmente. Instalaciones incluidas y excluidas. Y luego estarían la presentación del informe sobre el nivel de actividad Elina y el llamado DINA, sólo para instalaciones que tengan asignación gratuita en relación con el seguimiento y notificación de las emisiones.

Los titulares deberán disponer de la autorización de emisiones para el periodo 2021 2030 o una autorización de exclusión. En caso de estar desde instalaciones excluidas que esté aprobada por la Comunidad Autónoma, deberán de haber presentado el Plan de seguimiento actualizado para esta nueva fase, utilizando el formulario que se publicó en la Comisión Europea de febrero de 2020, en febrero de 2021. Y deberán presentar el informe de notificación verificado ante la Comunidad Autónoma antes del 28 de febrero del año siguiente al año, notificado en este caso la próxima campaña.

El plazo límite será el 28 de febrero de 2022. En el caso de instalaciones excluidas, el plazo se deja a criterio de cada de cada comunidad. Por ejemplo, en la Comunidad de Andalucía el plazo es el 31 de marzo para las instalaciones excluidas. Pero eso ya depende de cada comunidad autónoma que regula un poco los plazos. Tal y como he comentado anteriormente, estos formularios de informe de notificación e informe de verificación están pendientes de aprobación a fecha de 7 de octubre de 2021. Todas las instalaciones que dispongan o vayan a disponer la asignación gratuita deberán presentar el informe este informe de nivel, la actividad de manera anual antes del 28 de febrero. En este caso, la presentación se hace al órgano a la Oficina Española de Cambio Climático, que es un poco el responsable de este esquema. En esta campaña, como he comentado antes, los PMS ya estarán aprobados, lo que van a facilitar estas verificaciones de informe de nivel, la actividad por parte de las entidades de verificación.

Estos formularios no varían respecto a la campaña anterior ni el informe de verificación de momento se mantiene en versión inglesa. En la campaña anterior tampoco se tradujo al castellano. Estamos esperando la traducción oficial, pero si no sale, utilizaremos la versión inglesa. En relación a los nuevos entrantes, que en la fase 4 no hubo entrante, serían las instalaciones nuevas que solicitan por primera vez una autorización de emisiones. Una vez que hayan obtenido la autorización de emisiones que se tiene que solicitar a la Comunidad Autónoma y debe ser concedida por esta, solicitarán la asignación gratuita al Ministerio de Transición Ecológica y Reto Demográfico.

El plazo que tienen será a más tardar el 28 de febrero posterior al primer año completo de funcionamiento. Es decir, si mi instalación entra en funcionamiento en abril de 2021, el primer año de funcionamiento se acabará en abril en 2022 y tendré hasta el 28 de febrero de 2023 para solicitar una asignación gratuita. Anterior a esta solicitud deben de haber presentado a la Oficina Española de Cambio Climático mi plan de metodológico de seguimiento para agilizar los trámites de aprobación. Y básicamente los formularios de referencia serían el plan metodológico de seguimiento, como ya he comentado, el informe de nuevo entrante, que coincide exactamente con el INAH, es el mismo informe y el informe de verificación, que también es el mismo que utilizamos en para la verificación de nivel de actividad.

Capítulo 7 de "Certifica, el Podcast de EQA". Intervención de Jorge A. González, Responsable Técnico de Compliance en EQA España.

#compliance

Más información:

https://eqa.es/certificacion-compliance

https://eqa.es/certifica-podcast

Transcripción

Bienvenidos a certifica el podcast de Cuba sobre el mundo de la certificación de empresas. Bienvenidos a un nuevo episodio de Certifica el podcast de EQA, nuestro podcast de hoy es sobre la división de Compliance. Vamos a hablar sobre la directiva de protección del denunciante y el nuevo estándar ISO 37002. Para ello contamos con Jorge Alexandre González, responsable del Área de Certificación de Sistemas de Gestión de Playas y Anticorrupción de EQA desde 2016. Hola Jorge, qué tal?

En 2019 se publicó la directiva de protección del denunciante y ahora se acaba de publicar la ISO 37002 sobre sistemas de gestión para denuncia de irregularidades. Qué relación encontramos entre ambos documentos? Bueno, pues realmente la directiva que se publicó en 2019 es un documento de carácter obligatorio para los Estados, especialmente para los Estados de la Unión Europea, en nuestro caso en España. Es un documento que debe ser traspuesto a la legislación nacional, con lo cual estamos hablando de ley en sentido estricto de obligaciones.

En este caso para las empresas y requisitos sobre cómo deben organizarse para cumplir en este caso, todo lo que es una serie de requisitos para tramitar denuncias de posibles irregularidades, de posibles incumplimientos de la legislación de la Unión Europea. Esto básicamente se ha venido a llamar, que es la directiva del canal de denuncias o de protección del denunciante. Tiene un nombre más largo que básicamente lo que va a imponer son obligaciones para empresas a partir de 50 empleados, es decir, para muchísimas empresas.

No estamos hablando de obligaciones para empresas cotizadas o grandes monstruos, sino realmente para muchísimas, muchísimas empresas de más de 50 empleados o a partir de 50 empleados sobre cómo deben establecer sus canales de alerta o desde la acción de denuncia. Normalmente se ha venido a llamar y como digo, al final es una directiva europea que debe ser transpuesta en una ley española y es de obligado cumplimiento. Y todas las empresas que entremos en ese grupo tendremos que aplicar todos estos requisitos sobre como habilitar canales de alerta, como investigar, como proteger a los denunciantes, a los alentadores, garantizar su confidencialidad.

Bueno, normativa pura y dura directa aplicación y la ISO 37002 que se acaba de publicar ha de ser publicado este verano. Lo que es realmente es un estándar internacional, un estándar de buenas prácticas elaborado en el entorno de ISO, que como sabéis es la organización internacional de Estandarización, que lo que viene de alguna manera es a traer el mundo de las buenas prácticas, tanto en el ámbito de la gestión empresarial como en el ámbito concreto de compañías, para establecer mecanismos de denuncia, irregularidades, investigación de irregularidades.

Con lo cual de alguna manera los dos documentos, aunque la hacen, digamos, de fuentes totalmente distintas, uno es directiva y será ley y por lo tanto de obligado cumplimiento y lo otro es voluntario, está basado en buenas prácticas, en el consenso. Pero digamos que ocupan el mismo entorno, que es fundamentalmente el cómo estructuro mi empresa, mi organización, porque esto va más allá de las empresas como estructura en mi organización para habilitar canales de denuncia vamos a llamarlos así que es como comúnmente se conocen, como investigo esas denuncias, cómo protejo a los denunciantes y de alguna manera, como digo, pues acaba siendo documentos muy complementarios, aunque hay que tener en cuenta pues esa muy distinta naturaleza de los mismos.

Entonces la ISO 37002 es una herramienta de fin, una metodología de buenas prácticas que puede servir para implementar los requisitos legales que impone la directiva. Efectivamente, ese sería quizá la visión, yo creo, la mejor visión, la ISO 37002, lo que es realmente como cualquier estándar de sistemas de gestión ISO en España, los estándares de compliance son un compendio de buenas prácticas, una metodología a seguir, unos pasos para asegurarte, en este caso, que estableces un canal de denuncias, una protección, una investigación de esas denuncias, una protección de los denunciantes.

Pues conforme en este caso a la directiva de alguna manera, como decía antes, son dos documentos complementarios. La directiva europea te dice lo que tienes que hacer, tienes que seguir, proteger al denunciante de esta manera, habilitar estos canales, cumplir estos plazos para comunicarte y para resolver las denuncias que haya. Y el estándar hizo lo que te da son los pasos uno a uno, por decirlo así, a través de su estructura de autoridad, que yo creo que todos los que trabajamos con estándares ISO, todos los que trabajamos en Compliance, ya los conocemos. Cuáles son los pasos para poder asegurar que estableces ese canal de denuncias, esa investigación de las alertas que te llegan por él conforme a la directiva, son totalmente complementarios. La directiva te dice que tienes que hacer y el estándar ISO 37002 te va dando los pasos para tratar de hacerlo de la forma más correcta, sino basada en las buenas prácticas internacionales del compliance.

Esa sería un poco la relación. Van de la mano. Uno es el que tienes que hacer y el otro es cómo lo vamos a hacer por lo que nos estás contando.

Entonces Directiva ISO son complementarias en este sentido. Qué crees que es lo que mejor puede aportar un estándar de sistema de gestión ISO a una norma de obligado cumplimiento?

Bueno, pues esto. Yo creo que se repite un poco la dinámica que hemos vivido en otros ámbitos. Especialmente se me ocurre toda la parte del compliance penal y eso que hoy no era obligatorio ahora. Ahora me explico. Yo creo que esto va a incidir un poco más en esa correlación, en esa, en esa, esa buena sintonía que va viendo en España especialmente. Pero yo creo que en todo el entorno de nuestro entorno de utilizar estándares ISO o estándares con estructura, eso como son las normas UNE de compañías españolas para cumplir con las leyes, con las normas de obligado cumplimiento de la mejor forma.

Digo que me recuerda un poco al 31000 y a todo lo que es el compliance penal, porque bueno, en el Código Penal todos sabemos que existen unos requisitos para poder considerar que tienes un modelo de organización y gestión para prevenir delitos y que si cumples esos requisitos y así es valorado por un tribunal, una persona jurídica o una organización, podrá exonerar su responsabilidad por un delito que se produjo en sus actividades en su seno. Y al albur de ello nació la una 19601, que es un estándar con estructura de alto nivel ISO de buenas prácticas en el ámbito del compliance, que lo que viene es precisamente a desarrollar esos requisitos del Código Penal y a en un poco aportar esa visión más internacional de buenas prácticas de bien.

No te quedes en estas seis cosas que dice el 31 bis elabora a partir de aquí un montón de documentos, registros y sobre todo sistemáticas para poder llevar a cabo un buen modelo, organización y gestión para prevenir delitos. Que no se quede en el exclusivo cumplimiento de la ley. Pues un poco. Y ya digo que tener un sistema de prevención de delitos no es obligatorio en España es una que hay un fuerte incentivo, pero no es obligatorio según el Código Penal.

Pues con la directiva de protección del denunciante, la eventual ley que la ponga y la ISO 37002 se replica esa misma situación y se replica con mucha más fuerza, porque aquí sí que es obligatorio cumplir los requisitos que van a imponer en Caen en cuestiones de canal de denuncias, plazos, protección del denunciante, confidencialidad en el tratamiento de las denuncias de los datos de las personas, con lo cual se vuelve a repetir esa buena relación que ya ha existido y cada vez es más común que en España.

Quién establece un sistema de cumpláis penal lo haga conforme a la UNE, no porque sea obligatorio, sino porque es la forma de ir a máximos, establecer tus buenas prácticas como la de esperar. Pues esta misma situación, casi una réplica exacta, yo creo que se va a producir en el tema de los canales de denuncias. La directiva me dice las cosas que tengo que hacer y la ISO 37002 con su estructura de alto nivel, pues va a permitir, pues de alguna manera cumplirlo o evidenciar que tratas de cumplir esa norma obligatoria la directiva y luego la ley de la mejor forma.

Yo creo que los estándares de alto nivel ISO en el ámbito del Compliance, pues son norma, ya con un cierto recorrido desde la ISO 19601 de 2014 y que se han demostrado útiles y sobre todo cada vez en un mercado en auge. Cada vez todo el ámbito de la auditoría, la certificación, el hecho de ir a ir a más de lo que dice el Código Penal con el tema de compra es penal también con el compliance tributario que empezará en 2019.

Se están trabajando en estándares de compañías, en materia de competencia, en materia socio laboral. Bueno, pues este es un estándar más de buenas prácticas de cumples para los canales de denuncia, para la investigación posterior, lógicamente de la información que fluye a través de ellos, pero con una conexión muy directa con el cumplimiento de una directiva, una ley de obligado cumplimiento. Así que yo creo que desde luego es una muy buena idea y es muy debe ser muy provechoso para todas las organizaciones el hecho de que hayan aparecido a la par la obligación legal y el estándar ISO 37002.

Y ya para terminar, qué recomendarías a las empresas que ya tienen sistemas de gestión de compliance implementados conforme a estándares UNE o ISO en relación con esta directiva y la nueva ISO 37002?

Bueno, pues yo creo que es un poco lo que lo que ya decía en la anterior pregunta, pues lógicamente es que no implementen los requisitos que impone la directiva y que impondrá la ley nacional lejos de sus sistemas de gestión que ya tienen implementados y que ya están ejecutándose en su organización. Una organización que esté certificada en una diecinueve mil seiscientos uno o que esté certificada en ISO 37001 o incluso más allá, una organización que esté certificada en una norma 14001 de gestión ambiental o 45001 de esos que dicen no tener trabajo, ya tienen toda la estructura que te propone.

También la ISO 37002 es el éxito de la estructura de alto nivel de estos estándares, que al final los requisitos son globalmente los mismos que los pasos que te propone dar, en este caso la directiva, pues son los mismos. Analiza tu contexto, analiza como de grande eres, con quien te relacionas, qué relaciones tienes con la administración, cuáles son tus terceras partes, tus partes interesadas. A partir de ahí, pues establece unos roles, un liderazgo, analiza tus riesgos.

Bueno, todo lo que es ese proceso un poco metodológico de los estándares, eso que se replica no sólo en los estándares de compliance, sino en los de gestión ambiental, los de seguridad en el trabajo, en seguridad de la información en casi cualquier ámbito del mundo ISO sobre el mundo de las estructuras. Eso, pues lógicamente eso treinta y siete mil dos se integre, no viva como algo aparte y lógicamente al integrarse traiga los requisitos legales de la directiva.

Qué quiere decir con esto? Que cuando una empresa que está certificada tenga intención de integrar requisitos de la directiva europea. Qué me dice la ISO 37002 en la parte del contexto? A mí me dice prácticamente lo mismo que lo que me dice la UNE es que ya tienes mucho trabajo hecho en las partes interesadas, que me dice bueno, es que me dice cosas muy parecidas en el punto 8 del estándar. Una qué me dice que tenga un canal de comunicaciones y que investigue ISO 37002 en el punto 8 solo desarrolla muchísimo más, pero son cosas digamos complementarias.

Entonces, lógicamente esta norma ISO es. Es fundamental que se integre sobre los sistemas que ya que ya existen y fundamentalmente porque eso redundará en la eficacia en que al final no tengas muchos sistemas compactos independientes, sino que tengas un verdadero sistema de gestión de compañías y que de uno de sus partes sea todo lo que tiene que ver con denuncia de regularidad, regularidades, investigación, protección del denunciante que además de cumplir la directiva, también se basa en un estándar no estándar de buenas prácticas.

Básicamente la recomendación sería es igual ir integrando y ampliando nuestro sistema de compliance. Ahora con esta estándar de ISO 37002 para la denuncia de irregularidades un poquito. Esto quizá la conclusión tenemos que sacar es que lo que empezó con una norma genérica como la de 1600 de compliance, pues ha ido evolucionando ya con normas específicas para adelante y soborno en España para norma específica de compliance penal norma específica de es tributario en breve norma específica de compliance en materia de competencia ahora con planes en materia de denuncia e investigación de irregularidades.

O sea, todo esto va conformando algo que es una súper estructura de compañías, digamos por partes o por piezas. Como digo, al final es un estándar más, pero yo creo que es un estándar que va a ser muy relevante, porque también en esto, fíjate, yo creo que está bien que terminemos con esta idea. Es también una forma muy buena para empresas que todavía no han dado el paso de implementar sus modelos de prevención de delitos conforme al estándar una edición de 1600.

O quizás sea muy buena idea que den el primer paso de implementar solo la parte del canal. Investigación de Denuncias conforma este estándar ISO 37000. Por qué digo esto? Porque la sistemática del mundo ISO la podrán adquirir implementando solo el canal de denuncias y luego el salto podría implementar todo lo que es un sistema de compliance penal que es un poco más amplio, pues no será tan difícil. Y por supuesto, sistemas de compliance mayores, pues es seguir recorriendo ese camino.

Como digo, este estándar va a tener un impacto, una repercusión muy importante en las empresas, tanto las que ya tienen sistemas de gestión como en aquellas que la van a utilizar como el primer paso para meterse traducirse en este mundo ISO de los sistemas de gestión de planes de las buenas prácticas en el ámbito internacional de Compliance.

En este podcast contamos con la intervención de Hono Diez, Auditora Jefe y Responsable Técnica de Certificación de Sistemas en EQA.

#ENS

Más información:

https://eqa.es/seguridad-informacion

https://eqa.es/certifica-podcast

Transcripción

Bienvenidos a certifica el podcast de EQA sobre el mundo de la certificación de empresas. Bienvenidos a todos a un nuevo episodio de certifica el podcast de EQA. Hoy vamos a hablar de la reciente acreditación para la certificación del Esquema Nacional de Seguridad. La estructura de este esquema, el esquema nacional de Seguridad está inspirada en la de un sistema de gestión, concretamente el de seguridad de la información basado en la norma ISO 27001. Para hablar de ello y contamos con Hono Diez.

Hono es auditora jefe y responsable de área técnica para la certificación de sistemas en EQA. Hono es además Ingeniero Superior de Telecomunicación en la especialidad de Transmisión Comunicación por la Universidad Politécnica de Madrid. Tiene más de 20 años de experiencia en gestión de proyectos desde banca digital y comercio electrónico hasta consultoría de sistemas de gestión, pasando por arquitectura de sistemas y gestión de red. Y además se ha encargado de auditorías, implantaciones y conferencias sobre el Esquema Nacional de Seguridad desde el año 2010.

Hola, buenos días. Muy bien, vamos a empezar a charlar un poco sobre esta nueva acreditación. Pero antes de ello, para centrar un poco el tema, que es el Esquema Nacional de Seguridad.

El esquema nacional de seguridad, lo que se conoce como ENS habitualmente es una ley con comillas, porque en realidad es viene de un real decreto el 3 del 2010, que lo que intenta es generar las condiciones necesarias para la confianza de los ciudadanos en el uso de los medios electrónicos. Para ello establece una serie de medidas que garantizar seguridad de sistemas de los datos, de las comunicaciones, de los servicios electrónicos, a la vez que permita el ejercicio de derechos y cumplimiento de deberes a través de estos medios.

Es decir, lo que se pretende es generar la confianza necesaria para que el ciudadano utilice todos los medios electrónicos que pone a su disposición la administración pública para agilizar todas las transacciones y permitir de una forma amplia a todo el abanico de ciudadanos del Estado. Pues todos aquellos derechos y deberes que tienen que cumplir. No viene solo del del 2010, es decir, en el 2010 salió el Real Decreto o Sedes, se publicó en el BOE el Real Decreto, pero esto está basado ya en la ley del 2007, que hablaba ya del acceso electrónico de los ciudadanos a los servicios públicos, en concreto del artículo 42.

Pero nos tenemos que remontar todavía antes a directivas europeas, en la que ya se instaba a que se establecieran medidas para asegurar esta confianza de los ciudadanos en las administraciones públicas a nivel europeo. Con lo cual el MS, aunque con la Ley 39 y 40 de 2015 se le da un impulso y es cuando quizá a nivel más amplio, se empieza a tener conocimiento de esta obligación de la implantación del NS. Esto viene ya de los años 90, con lo cual no es una cosa, una novedad, ni algo nuevo que viene a raíz de estos últimos avances tecnológicos.

Hay una inquietud ya a nivel de autoridades europeas desde los años 90, en que todos estos medios electrónicos sean seguros y se haga una publicidad de estos medios a los ciudadanos de una forma que el ciudadano tenga percepción de seguridad. Qué pasa? Que últimamente, con todas las brechas de seguridad, todas las noticias, toda la avalancha de información que tiene el ciudadano acerca de brechas, de seguridad, de hackers, de robos, de identidad, toma más relevancia.

Precisamente porque la sensación de inseguridad, cosa paradójica, crece a la vez que los avances tecnológicos. Hace turnos? Sí, perdona, perdona si lo importante de este esquema y de este real decreto, aparte de que es una obligación legal, es tener la conciencia de que no es algo fiscalizador para atar más a los ciudadanos o para atar más a las empresas, sino que es algo que intenta promover una cultura de confianza y de buen hacer a nivel de todas las administraciones y empresas privadas que dan servicios a las administraciones para que el ciudadano pueda.

Hacer todos aquellos trámites que necesite de una forma segura y confiable. Te iba a preguntar a raíz de esto que has comentado, a quien aplica entonces ENS. Pues en principio, cuando salió en el 2010 con el primer real decreto, digo el primero, porque luego en el 2015 hubo otro Real Decreto que lo modificó, pero fue una modificación. Digamos que lo que está vigente es el Real Decreto 3 2010, consolidado con las modificaciones del 2015. Bueno, pues en principio parecía que quien estaba bajo ese paraguas del Esquema Nacional de Seguridad era sólo administración pública, porque habla de administración pública, pero luego con el resto de leyes ya se fue aclarando, porque no tenemos que olvidar que la administración pública por sí sola no tiene capacidad para dar servicio a todos los ciudadanos con sus vamos a decir, con sus propias infraestructuras, con todos estos avances tecnológicos, con todo esto que estaba comentando antes, depende de empresa privada a través de concursos públicos.

No olvidemos, nunca es responsabilidad, siempre es de la administración pública, pero depende de esas empresas privadas para poder facilitar todos estos servicios al ciudadano. Es decir, dentro de lo que vemos, su portal de una sede electrónica detrás no está solo un ministerio. Hay una serie de entidades tanto privadas como públicas, que se juntan para dar ese servicio al ciudadano, con lo cual el ENS aplica administraciones públicas de carácter nacional, de carácter autonómico, de carácter local, que aplica desde ministerios hasta ayuntamientos y entidades de derecho público.

Y empresas privadas. Que prestar servicios a estas administraciones públicas para el ejercicio electrónico de más de los derechos del ciudadano, con lo cual cualquier empresa que esté prestando servicios a una administración pública va a acabar siendo sujeto, obligado de cumplir con el Esquema Nacional de seguridad y cómo se adecúa una entidad al Esquema Nacional de Seguridad.

Bueno, en el Real Decreto 3 del 2010 vienen una serie de artículos y unos anexos con los que se pretende dar, no se pretende o no se da unas pautas para cumplimiento del ENS establece sobre todo bueno, están todo el articulado, luego está el anexo 1 y el anexo 2 en el articulado, que se establece en hitos como el desarrollo de una política de seguridad que tiene que tener una serie de puntos que están totalmente definidos. Y no olvidemos que esto es una norma, es una norma de carácter legal, vamos a decir, y por ser carácter legal está totalmente definido y todo lo que viene en ese real decretos de obligado cumplimiento.

Con lo cual, si en la política el artículo relativo a política dice que tiene que tener los puntos A, B y C, pues es tan fácil o difícil en su caso como coger esos puntos y redactar una política adecuada a tu empresa, a tu ámbito, a tu entidad, que cumpla esos puntos. Y hay modelos por Internet que pueden servir de base, pero nunca debemos olvidar que todo lo que es la documentación que exige el ENS y todas las medidas tienen que estar aplicadas dentro del ámbito de la entidad sujeto de ENS. Lo cual no nos vale con coger una política genérica ya tengo mi política, no tu política tiene que cumplir toda esa serie de puntos y totalmente adecuada al negocio en el que tú estás dedicado negocio o ámbito o servicios al ciudadano, como se quiera llamar.

Aparte de esa política, hay una categorización de sistemas. El ENS habla no sabe. El ENS nos habla de básico medio alto, en función de qué información, de qué servicios estemos prestando, pues el alcance estará metido dentro de unos de esos 3 básico medio alto. Lo podemos complicar mucho. Aquí estamos intentando dar una serie de pinceladas porque dentro de una misma entidad puede haber sistemas de nivel básico, de nivel alto, pero bueno, esto ya sería entrar ya en el detalle de lo que sería la implantación por dar unas pinceladas.

Pues eso, quedarnos con una política de seguridad, una categorización de sistemas, un análisis de riesgos. Esto es también fundamental, porque a partir de este análisis de riesgo va a venir luego todas las medidas y todo lo que vamos a implantar y todo lo que vamos a tener que hacer para ir mejorando ese sistema. Y para ir, vamos a decir, cerrando esas posibles brechas que pudiéramos haber encontrado al hacer el análisis de riesgos, hay que hacer una declaración de aplicar.

Esto consiste, pues, en decir que en función de la categoría de mi sistema, qué medidas tengo que aplicar? Y aquí sí que digo tengo que aplicar y no tengo que escoger, porque el esquema es bastante claro y dependiendo de que estés en básico medio alto, te aplican unas medidas u otras y no las puedes escoger. Eh, digamos que el único motivo de no aplicabilidad es que no lo tengas. Por ejemplo, si tú no usas USB es porque tu empresa está prohibido usar USB, ves discos externos, soportes informáticos, que hoy en día es un poco raro que no haya ninguna empresa o entidad que los use, pero vamos a suponer que no se usan.

Entonces las medidas que aplican a soporte externo, soporte de información no te aplican, pero si los usas los tienes que aplicar. No puedes escoger si quiero o no quiero. Una vez hecho todo esto, pues en un plan de mejora con un desarrollo de normativa y procedimientos. Operativos que esto también el ENS tiene unos puntos en que deja claro que es lo que tienes que documentar y lo que no. Todo aquel sitio donde se hable de información documentada o procedimiento formal quiere decir que tenemos que tener un soporte escrito.

Tengo soporte porque es papel electrónico en una un gestor de flujo, un gestor documental que lo publica, pues tipo diapositivas. Ahí nadie dice como lo tienes que hacer, pero sí que lo tienes que tener. Una vez que tenemos todo esto, tenemos que entrar un poco en el ciclo de mejora continua, es decir, esto no consiste en lo implanto y ya me echo a dormir. La tecnología evoluciona, las empresas y los organismos evolucionan. Hay cambios estructurales?

Bueno, pues esto es un sistema que va a ir evolucionando con los años y vamos a intentar mejorar. Esto es como cualquier sistema de gestión, que siempre se tiende a la excelencia. Sabes que nunca vas a llegar y en seguridad de la información nunca vas a estar seguro por todo lo que hablamos. La evolución de la técnica, la evolución de los malos que evolucionan mucho más rápido que los buenos, por desgracia. Entonces siempre vas a estar sometidos a cambios y tienes que estar preparado para afrontarlos y seguir con esa mejora continua.

Y finalmente llegamos a lo que sería la auditoría de certificación. Una vez que tienes implantado que estás adecuado al esquema, pues hay que pasar por una auditoría de certificación. Luego hay que pasar porque todos estos sujetos obligados a la implantación del ENS están obligados a certificarse ENS. De hecho, en la mayor parte de los concursos públicos y empiezan a aparecer exigencias. De presentar los certificados básico medio alto en función de los servicios que se pretende acceder. No, en ese concurso hay que tener en cuenta que esta obligación no viene de ahora.

No es que ahora con estos nuevos avances de los hackers, alguien lo descubrió. Esto, esta obligación ya viene impuesta desde el 2010. Con la evolución de la técnica, la evolución incluso del propio Real Decreto, pues se fue especificando, se fue aclarando. Detrás de este esquema nacional de seguridad tenemos al Centro Cristológico Nacional, que depende del CNI, del Centro Nacional de Inteligencia. Es una entidad que está promocionando y sustentando todo el desarrollo y toda la implantación y certificación del esquema nacional.

Y una de las cosas muy importantes es que genera y publica una serie de guías, la serie 800, que ahora mismo está en el orden de unas 80 90 guías que son básicas para la implantación de un sistema y para la certificación, porque en ellas se va hablando de todos los pasos que hay que hacer, da medidas y amplía mucho lo que es la información que o los requisitos que vienen en el Real Decreto. O no, y yo creo que un punto importante para todos aquellos que nos están escuchando es si la empresa está certificada en ISO 27001, uno lo está también en ENS.

La respuesta es no y tajante no. Esta es una cosa que se pregunta muchas veces y que erróneamente la gente o las empresas dicen no lo es, que estoy en 27 y ya tengo el ENS hecho. Sí que es cierto que el esquema nacional de seguridad está basado, no es, insisto, no es un sistema de gestión al uso.

No es una 27001, pero sí que está basado en gran medida en la 27001, con diferencias muy importantes, ya no solo que por un lado el NS tiene, pues habla de unas 75 medidas que aplicamos o no. Como ya comenté, en función de la categoría del sistema, la ISO 27001 tiene 114 controles en el anexo A. Hay una correlación y de hecho hay una guía del CCN en el que nos habla de esa correlación entre las medidas de control del ENS y los controles del anexo.

Es cierto que si tú tienes que implantar un certificado una 27001, tienes mucho camino hecho, pero no hay que olvidar que la ISO 27001 es una norma voluntaria. Nadie obliga a implantar la 27001, las empresas o los organismos la pueden implantar. Pues porque quieran acceder a determinados concursos públicos, porque ciertos clientes se la pidan para trabajar con ellos, pero no tiene carácter obligatorio, mientras que el esquema nacional de seguridad tiene carácter obligatorio.

Los requisitos del Esquema Nacional de Seguridad los hay que implantar sí o sí, y tal como nos dice el esquema, con ayuda de las guías en la 27001. La implantación, pues, la hace cada empresa en función de sus necesidades, de sus posibilidades y de cómo ven ellos la parte de su negocio. Aparte el alcance de la 27001, uno lo decide quien se certifica. El alcance del ENS viene definido por el NS. El principal, por resumir las principales diferencias el esquema nacional de seguridad es obligatorio, la 27001, una voluntaria, la 27001 tienes margen para implantar y para vamos a decir adecuarla a tu empresa y el Esquema Nacional de seguridad?

No, él te dice lo que tienes que hacer, como lo tienes que hacer. Y es obligatorio. Y estamos mencionando varias veces la certificación como entidad de certificación que somos. Vamos a explicarle al público que nos está escuchando cómo se pueden certificar las empresas ENS.

En primer lugar, aclarar que EQA ya está acreditada por ENAC y en la que es el organismo de acreditación nacional en España. Hay otros en Inglaterra, pues está abocadas a y otros en Alemania, en todo el mundo, pues hay un montón de ellos en España no se aplica en AT y ya estamos acreditados por ENAC para poder emitir certificaciones ENS. En este caso, como comentaba antes, tenemos por un lado Anak y por otro el CSN, que es quien también nos pone directrices y tenemos que estar aceptados para poder hacer este tipo de certificaciones.

Además, como cualquier entidad que certifique ENS, los auditores ENS estamos sujetos a restricciones más exhaustivas que las que son para cualquier otra norma. Normalmente, pues detrás de cualquier norma tú tienes solo vamos a decir solo con comillas en ATC y en el caso del Esquema Nacional de Seguridad tenemos AENA y tenemos alg CN. El CCN tiene una serie de herramientas tanto para las entidades que se certifican para cumplir y para intentar Secure y se lo máximo posible y herramientas para las entidades certificador as como somos nosotros para cumplir con esos requisitos que también nos impone.

Hay una instrucción técnica porque bueno, antes hablé de los reales, del Real Decreto del 2010, de la modificación del 2015, pero también hay una serie de instrucciones técnicas que son de obligado cumplimiento. Las instrucciones técnicas digamos que son para aquel que no tenga mucho conocimiento, viene a ser como normativa legal que emana de un ministerio. El ministerio, que se ocupa del Esquema Nacional de Seguridad, en su momento era el Ministerio de Presidencia, que ahora creo que se llama Ministerio de Administraciones Públicas.

Con cada gobierno va evolucionando, pero para que se tenga un poco una idea, entonces el Ministerio que en su caso le toque, emite e instrucciones técnicas, insisto, de obligado cumplimiento y entre ellas tenemos la de auditoría y la de conformidad con el esquema. Con lo cual, para el caso que estamos ahora hablando de la certificación, aplicarían los procedimiento de certificación. Pues una vez que la empresa tiene ya el en el ENS implantado y con un cierto margen de vida.

Una vez que la empresa tiene ya el en el ENS implantado y con un cierto margen de vida, esto e igual que en otras normas en las ISO es necesario que haya un poco de margen de vida desde que se implanta hasta que se certifica, para poder ver que efectivamente está funcionando, para que el auditor pueda comprobar que esos engranajes empiezan a funcionar y que hay unas bases sólidas que permiten que ese sistema, ese esquema en este caso pues tenga éxito y durante muchos años siga mejorando.

Entonces, una vez que ya tenemos la implantación, tenemos un margen de vida mínimo, pero un poco de unos registros. Y sería contactar con la empresa certificadora. En este caso contratarían con nosotros, veríamos que categoría de sistema tiene una serie de preguntas para ver el alcance de que estamos hablando, si tiene sentido ese alcance en esa empresa. Aquí insisto, no es como en una ISO al uso que te dicen el alcance, mirar si es correcto se cumple y ya criadita en el esquema nacional de seguridad, pues tienes una serie de requisitos previos.

Para asegurar el éxito de esa certificación, además, esta certificación el tiempo suele ser un poco más extensa. Que lo que es una ISO sin una ISO 27001, pues a lo mejor entre. Hay una fase 1 y una fase 2 que puede suceder un mínimo de 3 días. En un esquema nacional es distinto porque no hay esa fase 1. Aquí directamente lo que hacemos es, digamos, un estudio documental previo, sin informe, porque hasta ahora se emitía, pero ahora ya no se emite informes o son directrices que vienen de antes, donde nosotros lo que vamos a ver es si es cierto que existe ese esquema, que hay unas bases y luego lo que es el periodo de certificación suele abarcar unos 4 entre 3 y medio a partir de 3 y medio jornadas, con lo cual es bastante extenso es así.

Además tiene ciclos bienales, no es como las isos que te certificadas. Luego hay dos años que haces como un seguimiento más corto, te vuelves a certificar al que identificas los seguimientos. El tercer año te certificará más que sería el cuarto año. Vamos a decir otros dos seguimientos o te hago la certificación anual. No, aquí es bienal y cada vez que se renueva el certificado es una auditoría completa. Esto es importante porque es una diferencia sustancial con lo que es, digamos, la certificación de un sistema de gestión cada dos años.

Hay que pasar una auditoría completa. Si el primer año fueron cuatro jornadas y te vas a certificar, si no hubo ningún cambio en tu sistema, lo normal es que vuelvan a ser otras cuatro jornadas. Es una certificación un poco más dura. Siempre cuando afrontas una certificación no vamos. Esto no es vamos a decir como la auditoría de Hacienda, que está todo el mundo y temblando no. Aquí los auditores vamos a ayudar a la empresa a mejorar, ayudar a la empresa a que no tenga brechas de seguridad en lo posible.

No hay que olvidar que siempre hacemos auditorías por muestreo porque es imposible verlo todo. El auditor tiene 20 días para hacer las auditorías. Ni el cliente soporta un auditor 20 días en sus instalaciones, que acaban todos locos. Pues es aquí lo que intentases. Tienes los que intentes. Es que tienes que volver a verlo todo porque es lo que especifica el Real Decreto y las instrucciones técnicas. Las auditorías de certificación vuelven a ser como otra auditoría inicial.

No se ve la parte documental porque ya se vio. Ya sabes que hay una parte documental, ya sabéis que hay un sistema y lo que vas a hacer es revisar que sigue todo igual o mejor, porque no olvidemos que el objetivo es la mejora continua y que vayamos a mejor una vez que se hace la auditoría. Bueno, pues ahí tenemos una serie de gestión del expediente, que también es distinta que en las isos. Aquí entra también el CCN, incluso a veces a revisar informes de auditoría y a ver que se hizo todo de forma correcta.

Y una vez que está el visto bueno, pues ya se emite el informe de certificación. En el caso de que en el transcurso de la auditoría aparecieran no conformidades, eso no quiere decir que no vayas a tener el certificado cada caso habría que estudiar si son no conformidades menores, pues hay un mes para enviar el típico pack, pero aquí con resolución de no conformidades si son mayores, pues habría que ver qué tipo de mayores hay, si hay tiempo en un mes para solucionarlas o no, y quizá habría que ir a lo mejor a una auditoría extraordinaria.

Al cabo de un periodo máximo de unos seis meses. Pero bueno, esto ya son casos particulares que habría que ver en su punto. Pero lo que quiero manifestar es que no hay que tener preocupación de es que no lo tengo perfecto y me van a salir no conformidades de las no conformidades no son malas. Las no conformidades quieren decir que tú y plantaste las mejores prácticas como mejor supiste y que viene alguien que no tuvo que ver nada con ese sistema y que va a haber cómo está para ayudarte a mejorar y ayudarte a tapar brechas.

No olvidemos que aquí todo consiste. El objetivo es facilitar o asegurar la confianza del ciudadano, al menos en medios electrónicos. Entonces, toda esa cadena que está por debajo de toda esa transacción electrónica, de todo ese servicio que se le presta al ciudadano, tenemos que intentar asegurarla lo máximo posible. Y el auditor lo que va a hacer es ayudar a que tu empresa mejore todo lo posible, dentro de lo que insisto, el poco tiempo que tienes y que hay que ir por muestreo, pero simplemente es esto es tan fácil con comillas, pero tan fácil como esto.

Capítulo 5 del "Certifica, el Podcast de EQA":

EQA, Entidad Acreditada por ENAC para la certificación de sistemas de compliance UNE 19601 e ISO 37001.

Intervención de Jorge A. González, Product Manager de Certificación Compliance en EQA España.

Más información:

https://eqa.es/certificacion-compliance

https://eqa.es/certifica-podcast

Transcripción

Buenos días y bienvenidos a un nuevo capítulo del podcast donde hoy vamos a hablar de confianza, esa es la palabra que seguramente mejor defina los servicios que presta EQA en materia de evaluación de la conformidad confianza en que los servicios se prestan por equipos técnicamente competentes con altos estándares de imparcialidad de integridad y bajo procedimientos debidamente formalizados y supervisados desde la misma propuesta comercial hasta la emisión final del certificado, pasando entre medias por las distintas fases del proceso de auditoría pero como todo prácticamente en este mundo, la confianza hay que ganarla y EQA es una entidad que presta la mayor parte de sus servicios de evaluación de la conformidad certificación, verificación e inspección bajo el control y supervisión de la entidad nacional de acreditación ENAC.

Por ello junto a la acreditación en materia de experto externo en prevención de blanqueo de capitales obtenida a principios de este año de forma pionera, EQA se acaba de convertir también en la segunda entidad acreditada por ENAC para la certificación de sistemas de gestión de compliance final 119 1601 y la primera para los sistemas de gestión antisoborno y ISO 37.001 en España.

Con estas dos nuevas acreditaciones en materia de compliance penal y compliance antisoborno, damos un paso más en nuestra apuesta por la excelencia en la prestación de servicios de naturaleza ASG y para hablar de todo esto un poco, nos acompaña Jorge Alexandre González, responsable del área de certificación de sistemas de gestión de compliance y anticorrupción de EQA desde 2016, es doctor en derecho por la Universidad Complutense de Madrid y ha sido colaborador honorífico en esta universidad siendo actualmente profesor y tutor de la UNED, también es colaborador habitual de otras instituciones de enseñanza como la Universidad de Barcelona, la Universidad Pompeu Fabra o el ilustre colegio de abogados de Madrid.

- buenos días, Jorge! ¿qué tal estás?

- buenos días marta ¿qué tal?

Lo primero de todo, darte la enhorabuena por el trabajo que hay detrás de estas nuevas activaciones y para comenzar a charlar contigo, cuéntanos un poco ¿qué significa ser una entidad por ENAC y cómo se obtiene la acreditación ENAC?

Yo creo que es importante transmitir comunicar a las empresas, a las personas que nos ven que nos escuchan que nos siguen día a día con las que hablamos de que en el ámbito de la auditoría y la certificación de sistemas de gestión de compliance hay dos formas de actuar las entidades que hacemos auditoría que hacemos certificación.

La primera de ellas es una forma no supervisada no reglada, en la que digamos que nadie marca las reglas y por decirlo de alguna manera tampoco nadie controla que las entidades de certificación pues hacen las cosas como deberían hacerlas con unos criterios sólidos de independencia de imparcialidad de competencia y una segunda forma de prestar estos servicios que es bajo el paraguas de la acreditación en España, la única entidad que acredita a las entidades a su vez de certificación pues es una que es la Entidad Nacional de Acreditación y actuar bajo sus parámetros, bajo sus reglas lo que implica es que los procesos que seguimos para auditar y en su caso para emitir los certificados de compliance en este caso aunque como seguramente todo el mundo sepa no está detrás de todo muchos otros ámbitos desde la calidad, la gestión ambiental hasta las ITVs. Actuar bajo el para el paraguas de la acreditación implica que te sometes unas reglas muy concretas que se deben hacer las cosas de una forma muy clara y que además estás permanentemente auditado a su vez por la entidad nacional de acreditación, todo lo que nosotros hacemos a la vez está y revisado por esta entidad.

Eso implica fundamentalmente que mientras que la vía no acreditada no está sometida a control puede ser muy buena o mala, el problema es que no lo sabemos. En cambio, la vía acreditada lo que sí que sabemos es que está debidamente regulada debidamente supervisada, seguro que se pueden mejorar muchas cosas pero hay un control sobre las entidades que emitimos certificados y lógicamente para obtener la acreditación en el ámbito del complemento penal el compliance antisoborno, como lo hicimos al principio del año en materia de experto externo en PVC o en muchos otros ámbitos donde actuamos acreditados, como la calidad de la gestión ambiental, la seguridad de la información, la seguridad solución el trabajo, al final esto implica un esfuerzo económico para las entidades de certificación pero, sobre todo yo diría humano y de trabajo de procedimental, de ser muy estrictos en los temas de imparcialidad debe tener muy claro cuándo vamos a una empresa a auditar qué vamos a ver qué le vamos a pedir cómo tienen que estar las cosas y entonces ¿cómo obtiene una entidad de la acreditación para actuar en determinados esquemas en este caso compliance qué es lo que nos ocupa? bueno pues al final por supuesto haciendo esa solicitud a la entidad nacional de acreditación y luego pues pasando un estricto proceso de control de trabajos qué es lo que hacen a que sobre nosotros y además que va a hacer periódicamente una vez obtengamos la acreditación, que va a vigilar que todo lo que decimos que hacemos pues lo hacemos de la forma más ajustada a los criterios de acreditación, ese sería un poco un poco el camino y es un proceso largo y complicado tampoco hay qué no decirlo porque es una realidad que una entidad ahora mismo en compliance penal o en compliance antisoborno actúa acreditado por la entidad nacional de acreditación significa que ha pasado un largo camino de preparación para poder hacerlo y que más o menos como he dicho antes, todo es susceptible de mejorar por supuesto y de mejorar mucho en ámbitos que todavía están comenzando, pero desde luego que paso en un camino muy riguroso para obtener la acreditación y que eso se traslada inevitablemente pues a la empresa que decide optar por una entidad de certificación acreditada.

Te iba a preguntar ¿qué aporta la acreditación a los procesos de auditoría y de certificación?

Yo creo que ya lo he comentado lo comentado un poco antes, dentro de este ámbito que todavía está totalmente circunscrito a la autorregulación empresarial, a la voluntariedad tanto de las entidades de certificación como de las propias empresas que quieren certificar sus modelos de prevención de delitos o modelos de prevención anticorrupción, pues claro hay que diferenciar claramente en cuando hablamos de diligencia de vida, cuando hablamos de buenas prácticas de ética de transparencia pues que lógicamente lo más adecuado o coherente es actuar bajo criterios de acreditación porque eso significa que hay unas reglas del juego marcadas y que se conocen que no ocurre en la acreditación.

Entonces, el primer beneficio que aporta a las empresas que acuden a entidades de certificación acreditadas es el hecho de saber que cuando las auditan y cuando eventualmente se emiten los certificados que esto es como el final, del certificado el sello es el final del proceso realmente lo importante lo que hay atrás es un proceso de auditoría robusto sobre sus sistemas de compliance pues lo que lo que implica que se sometan a esos procesos mediante una entidad acreditada como ahora es EQA, pues es que ese sistema esa auditoría es robusta es imparcial y cuenta con el aval no solamente en anti certificación sino del tercero de la entidad de acreditación que dice que efectivamente se le ha auditado de una forma robusta con fórmulas reglas claramente determinadas, con lo cual al final en lo que radica y más en el mundo del compliance en lo que radica todo esto es en que dan una mayor seguridad a sus partes interesadas y además asumen unos criterios, unos estándares de diligencia debida mucho más altos que si optas en por entidades pues que no están acreditadas, como digo no es que sea mejor o peor el hecho de acudir a una entidad no acreditada, simplemente es que no puedes medir la calidad de los trabajos que ofrece esa entidad no acreditada.

En cuanto al proceso, implica fíjate para poner un ejemplo aunque lo has dicho muy bien en la entrada, desde que se emite una propuesta comercial al mercado a una empresa, esa parte ya está regulada por los criterios de acreditación, no se puede ofrecer una propuesta de certificación de cualquier manera que es una cosa que a veces sorprende a muchas empresas cuando hablamos con ellos pero que nos brindan porque la propuesta dice esto porque me pides estos datos parece que algo demasiado para hacerte una oferta demasiado me pides demasiada información bueno pues es que incluso toda la parte comercial del proceso de certificación ya está regulada por los criterios de acreditación, por las normas y los esquemas que rigen que esto también daría para hablar largo y tendido ISO 17021 el estándar unos 135.019, ahí hay todo un marco autorregulatorio detrás de lo que es la acreditación, pero que empieza desde el mismo momento en que una empresa solicita una propuesta para ser certificada por supuesto eso ya da lugar sí en la fase comercial y hay una regulación por decirlo así una autorregulación pues lógicamente desde el momento en que se acepta esa oferta, se selecciona el equipo auditor obviamente tiene que tener unas competencias previamente definidas en función del sector en el que trabaja la empresa, de sus características los riesgos a los que puede estar sometido en este caso de los penales o de soborno por supuesto todo lo que es la preparación de auditoría en la planificación lleva ya a reglas regladas valga la redundancia obviamente que parecía que es lo único pero no obviamente todo el proceso de auditoría en sus distintas fases con sus distintas exigencias también forma parte de lo que las reglas que tenemos que seguir nosotros como entiende certificación y que lógicamente indirectamente tienen que seguir las entidades que se someten a un proceso de certificación acreditada y por supuesto todas las cuestiones de toma de decisión, emisión del certificado pasando pues por la necesidad de que un comité distinto de las personas que forman parte del equipo auditor sean los que realmente revisen el expediente y consideren que se puede certificar una empresa, acciones correctivas si la empresa no está del todo ajustada bueno es un proceso como digo pues muy reglado, muy autorregulado sería la palabra pero que al final no deja de haber un proceso muy bien definido y que lógicamente no solamente es un papel que dice que lo tienes que hacer así es que en EQA nosotros como entidad de certificación, al menos una vez al año pues nos conviene oficina mira los expedientes que hemos auditor ese año y además nos acompañan clientes para ver cómo hacemos los trabajos de auditoría sobre sus clientes, con lo cual pues al final lo que aporta una empresa es la calidad de los trabajos que contrata, una empresa cuando contrato la entidad para que audite es un sistema de compra es quiere tener la seguridad de que auditan las cosas bien de que si hay algo que falla, ese equipo director de esa entidad de certificación se da cuenta y lo pone de manifiesto para que se corrija y de alguna manera se puede garantizar o garantizar de la mejor forma que esos servicios que contrata pues son de la más alta calidad en cuanto a la auditoría de certificación de sistemas que cumpláis.

Es importante también aquí quizá con mencionar que hasta ahora pues prácticamente no hay entidades acreditadas en compliance en España por lo nuevo de los sistemas tampoco es por general por otro motivo es verdad que la entidad nacional de acreditación está siendo muy exigente para conceder las acreditaciones, nosotros llevamos largo tiempo demostrando nuestra competencia en nuestros procesos, pero también es verdad que es normal que haya pocas entidades en estos inicios, aunque no sé si habrá muchas más en el futuro desde luego existiendo entidades acreditadas y no acreditadas parece que lo más coherente y más en un ámbito de la transparencia de la ética como el conveniente es que se acuda siempre cantidades acreditadas por ese valor que decía que aportan es a ese aseguramiento de la calidad de los trabajos que además es medibles y homologado, sobre todo yo creo que eso es lo que más lo que más aporta a las empresas una mejor diligencia debida a la hora de elegir quién audita sus sistemas de compliance.

Jorge yo creo que es importante saber y seguro que tú no puedes ayudar a dar respuesta o por lo menos a intentarlo ¿qué valor en el mercado van a tener los certificados acreditados?

En el mercado oral ahora mismo en la mayor parte prácticamente todos los certificados incluidos los que ha emitido de EQA hasta ahora son certificados no acreditados es decir que son certificados en los que se han emitido como hemos creído que se realizaban un proceso de auditoría y certificación pero que no estaban sometidos a esta autorregulación, esta supervisión este nivel tan estricto y estos estándares de calidad tan altos, entonces es importante conocer que hasta ahora la mayor parte de los certificados no eran acreditados pero es verdad que ya empezamos las entidades algunas o las que apostamos fuertemente por la calidad y la excelencia en este tipo de servicios porque creemos en ello yo personalmente creo en ello y creo que conmigo todo lo que es EQA desde la dirección corporativa hasta los que trabajamos en el día a día del esquema y de las auditorías pues apostar por la acreditación lógicamente el valor que va a tener el mercado es el que ya tienen en otros ámbitos todo lo que son los certificados y acreditados, vamos a poner algunos ejemplos: cuando en una licitación pública piden una está certificada en ISO 9000 de calidad ISO 14000 de gestión ambiental esas licitaciones públicas lo podéis comprobar en la web de contrato del sector público siempre piden certificados acreditados no piden certificados emitidos por cualquiera por decirlo así sino certificados emitidos por entidades que están debidamente a su vez acreditadas.

Esto lógicamente en compliance no ha ocurrido porque no había nadie acreditado o no había prácticamente nadie acreditado por ENAC en los esquemas de compliance pero ya empezamos a estar las entidades acreditadas, con lo cual es presumible porque así lleva pasando desde hace estos nuevos desde hace décadas que cuando en el tráfico mercantil, tanto público como privado, las entidades las empresas empiecen a solicitar un sistema de compliance certificado que es lo que estamos empezando a ver ahora ya muchas empresas no te dicen si tienes complete sino si te dan certificado bueno por la siguiente pregunta será bueno y el certificado que han emitido en tu sistema de compra es acreditado.

Ya se ha empezado sobre todo este último año y medio dos años a notar que esto se simplifica con yo estoy certificado en compliance penal con bajo el estándar un es decir 1601 tú estás certificado también compliance penal bueno pues más o menos tenemos una cierta idea de que trabajamos a un nivel de ética corporativa pues similar y el siguiente paso y el natural que es el que ya digo existen otros esquemas mucho más que lleva mucha más tradición ,como la calidad ambiental o la gestión ambiental, la seguridad de información pues hoy en mi certificado está acreditado el tuyo está acreditado también porque eso ya no solamente mente que tienes un sistema sino quien te ha auditado ese sistema pues además se somete a unas reglas y no lo ha hecho de cualquier forma y claro esto lógicamente pues lo que dio en el mercado el valor que va a tener en la contratación pública yo creo que cada vez queda menos para que se puedan solicitar certificados y que éstos como ya pasa en calidad o en gestión ambiental sean acreditados pero en la contratación privada pues también las grandes empresas van a querer que sus certificados estén acreditados como ya lo están en calidad o en cualquier otro esquema es prácticamente inconcebible que una gran empresa Ibex no esté certificada en ISO 9.001 con una entidad acreditada o en ISO 14.001 me atrevería a decir que todas las que estén certificadas que serán todas o casi todas en estos esquemas más tradicionales están certificadas con empresas acreditadas en compliance y aquellas que están certificadas que son bastantes no están certificadas la mayoría o casi ninguna con entidades acreditadas y ese paso lo van a dar o van a tener que dar van a tener que buscar en el mercado qué entidad está acreditada para que sea la que certifiquen mi sistema de compra y es penal y como todo pues una vez estás en estas grandes empresas lo esté en las medianas lo pasarán a estar y así un poco seguiremos avanzando en este proceso que yo creo que es verdad con este con este hito por decirlo así que consigue EQA con la acreditación no tanto porque lo consejo a que está muy bien yo creo todos estamos orgullosos yo especialmente porque es un proyecto de medio a largo plazo, pero el mercado del compliance el mercado de la transparencia lo que decías antes la parte de gobernanza todos los valores de sostenibilidad pues todo esto es un avance muy importante es hoy ya no solamente tenemos compliance, lo tenemos conforme a estándares además nos lo auditan y además ya están supervisadas es todo un camino yo creo muy claro que se está recorriendo y que yo creo que esto sí que es un hito porque podrán aparecer nuevos estándares de compliance sabemos que hay uno se está empezando a tejer sobre compliance en materia de competencia se acaba de publicar la iso 37.301 lógicamente para estos esquemas para que no todavía no está ni publicado pero para la iso 37.301 todavía no es tema de acreditación no hay entidades que puedan someterse a un sistema reglado porque ni siquiera todavía han llegado las reglas para ese estándar tan novedoso pero como ya lo va a haber para otros estándares como la munición 1601 la iso 37001 el salto va a ser más pequeño graficar esas reglas y por supuesto las entidades que apostamos por esto y por la intentamos hacer las cosas de la mejor forma pues apostaremos también por la acreditación es en estos otros esquemas cuando llegue el momento que no será tampoco dentro de entre mucho entonces yo creo que el mercado como le ha ido evolucionando y entendiendo un poco las reglas del juego pues esto lo va a aceptar con total naturalidad y hay claro lógicamente pues también se va a abrir la situación en la que qué va a pasar con las entidades que no están acreditadas cuál va a ser su papel en compliance pues eso serán preguntas que se tendrán que hacer las entidades que no van a apostar por esto nosotros como decía en EQA pues es una apuesta a medio y largo plazo estamos contentos de ser de los primerísimos en todo lo que es la acreditación en compliance y seguiremos apostando por esto porque sé apostar ya digo no solamente por nosotros como empresa sino por una un tejido empresarial capaz de hacer negocio pero no hacer negocio a cualquier precio y tener claro cuáles son sus principios de gobernanza por eso un poquito yo creo que esto va a ser algo muy importante.

muchas gracias, Jorge por acompañarnos hoy estoy segura de que contaremos contigo para futuros podcast desde aquí vamos a recordar que pueden ampliar información a través de nuestra página web y que tenemos disponible la programación de todos nuestros webinars en EQA punto es barra webinars un saludo.

Capítulo 4 de "Certifica, el Podcast de EQA". Intervención de Jorge A. González, Responsable Técnico de Compliance en EQA España.

Inicio 00:00

01:24 ¿Qué opinas del camino recorrido en el ámbito del compliance en España y, a su vez, tú crees que el mercado o las empresas han alcanzado ya la madurez?

10:09 ¿Bueno, por lo que comentas hemos avanzado muchísimo, ¿no? Pero yo creo que las personas que nos están escuchando también les va a interesar y aunque haga una pequeña temporada, las novedades en compañías que tenemos para este año para 2021.

16:49 ¿Qué le recomendarías tú qué, qué recomendación le darías a todas estas personas que nos están escuchando hoy?

21:56 Final

Transcripción

Pregunta: Hoy vamos a charlar con Jorge González, Responsable del Área de Certificación de Sistemas de Gestión de Compliance en EQA desde el año 2016. También es Doctor en Derecho por la Universidad Complutense de Madrid y ha sido colaborador honorífico en esta Universidad, siendo actualmente profesor tutor en la UNED. Jorge también es colaborador habitual de otras instituciones de enseñanza y además de ejercer la abogacía, ha tenido la oportunidad de trabajar con organizaciones IBEX y otras grandes corporaciones. Entrando un poco en materia, Jorge y aprovechando tu trayectoria. ¿Qué opinas del camino recorrido en el ámbito de Compliance en España? Y a su vez. ¿Tú crees que el mercado o las empresas han alcanzado ya la madurez?

Respuesta: Bueno, yo creo que esa es una buena pregunta para la que todavía no tenemos respuestas o las respuestas son muy variadas. Desde luego, hemos avanzado mucho, hemos avanzado, yo diría que muchísimo, porque bueno, el mundo del Compliance, como seguramente muchos de los que nos escuchan sepan, en España aterriza de golpe y en el ámbito del conocimiento público en 2010, con una muy famosa reforma del Código Penal, debido a la cual, cuando se produjese un delito en una organización, cumpliendo una serie de características por la propia organización, podía ser responsable penal. Eso implicaba que puedes asumir cuantiosas multas y luego otras cuestiones que no son menos graves, como la prohibición de realizar determinadas actividades o incluso el cierre de la empresa en caso de que ese delito se hubiese producido, fuese muy grave y tuviese un impacto importante. Bueno, realmente viene de mucho más atrás y todo el mundo lo sabe. Sobre todo el sector financiero asegurador. Pero en España la realidad es que es que entró de golpe con esa reforma al Código Penal y entró de golpe lo que se llama el Compliance penal, es decir, establecer modelos organizativos para tratar de prevenir que se produzcan delitos en el día a día ordinario de una organización.​

Estamos hablando del año 2010. Y es verdad que tardó en arrancar porque prácticamente hasta la reforma posterior al Código Penal de 2015. Pues no, no empezaron o no empezamos. Quizá por desconocimiento o por miedo a tomarnos en serio este este tema. Pero en 2015, con la reforma del Código Penal, que además establecía nuevos incentivos para las empresas a la hora de establecer estos planes de prevención de delitos, pues las cosas cambiaron y además coincidió en el tiempo hablando un poco ese recorrido histórico con la publicación justo en diciembre de 2014, un poco antes, un año antes del primer estándar internacional en materia de complejos como era la ISO diecinueve mil seiscientos, que prácticamente pues no necesita presentación, era un estándar que recogía las buenas prácticas internacionales dentro de la estructura a alto nivel ISO, que es muy conocida y que se llevaba ya usándose algunos años, pues para establecer un marco de cómo una metodología sobre cómo establecer estructuras de cumplimiento en las organizaciones, que podía ser perfectamente aplicable para establecer estructuras de cumplimiento penal o modelos financieros para prevenir delitos en las organizaciones. Y ahí yo creo que realmente cuando arrancó, cuando arrancó el mercado o arrancaron el grueso de las empresas, no sé si tanto a implementar estos modelos organizativos, estas sus estructuras de control, pero desde luego sí a conocer que es persistía conocer que no tener esta estos modelos era un riesgo y a empezar a acudir a foros.​

P: Coincide más o menos también con la creación de las principales asociaciones y las primeras en materia de complejidad en España.

R: Bueno, digamos que en 2015 realmente es cuando se empieza a hablar de compañías en España y el recorrido ha sido, yo diría que muy satisfactorio. No sé si hasta alcanzar una madurez, una gran madurez o una madurez total en la actualidad, pero ha sido muy positivo desde distintos ámbitos. Por un lado, desde el conocimiento de la masa empresarial, de la necesidad de contar con estructuras de control, incluso aunque hablemos de pequeñas y medianas empresas. La necesidad de que, obviamente, una empresa tiene que tener ánimo de lucro, pero no puede ser a cualquier precio. Se puede ganar dinero haciendo las cosas bien, que es un poco lo que trasciende de estas estas normativas. Además, en el caso concreto, tanto internacional como el español, muy concretamente se ha seguido trabajando en el ámbito de la estandarización y de la reunión de buenas prácticas, porque el Código Penal en 2015 pasa a desarrollar de una forma elemental que requisitos tienen que tener estas estructuras organizativas para prevenir delitos.​

Pero en el año 2016 a finales se publica la ISO 37001, que establece con esa sistemática de la ISO 19600, pues ya establecía un marco para prevenir las prácticas de soborno, muy vinculado a la corrupción, que ya arriesgaba un poquito más esas estructuras determinadas en la 9600 a finales de 2014. Y en España digo siempre que somos unos alumnos avanzados en el marco de la estandarización y de la normalización, porque prácticamente de forma sucesiva se publica el estándar UNE 19601, que a pesar del número no está vinculado formalmente a la ISO 19600. Es un estándar independiente autónomo que hicimos en España, se hizo en los comités de normalización en España y que lo que pretende es adaptar, eso sí, la sistemática de los estándares internacionales de Compliance a la realidad del Código Penal Español, donde el Código Penal en apenas cinco párrafos te dice como tiene que ser ese modelo organizativo para prevenir delitos.

El estándar UNE lo dice en 40 páginas 45 páginas, con lo cual te detalla de mucho mejor manera cómo hacer las cosas y a través de una herramienta de autorregulación empresarial. Es decir, no es obligatorio hacer las cosas como te dice la UNE. Pero claro, entre hacer las cosas como tú creas que están bien hechas y hacerlas cosas como el consenso general dicen que se hacen, pues siempre parece más recomendable hacer las cosas conforme a lo que dictan los estándares, porque los estándares no son más que un montón de personas de partes interesadas, gobiernos incluidos que deciden dotarse de mecanismos de autorregulación para hacer determinadas cosas.​

Es algo que lleva funcionando en el mundo de la calidad, la gestión ambiental décadas desde los años 80 y recientemente en otros ámbitos como la seguridad de la información o la protección de datos, la ciberseguridad, que no es algo que llega con el Compliance, que es algo que lleva funcionando mucho tiempo en el mundo. El objetivo aquí es evitar o tratar de tener sistemas para evitar en la medida de lo posible, las infracciones tributarias que como todos sabemos, pues uno puede cometer un delito fiscal, pero sin necesidad de cometer un delito fiscal, puede cometer una infinidad de infracciones tributarias por las que también puede ser sancionada una organización.

También quiero evitar cualquier tipo de infracción, aunque no sea un delito. De hecho, en la actualidad, pues está ya hablando de crear un estándar sobre Compliance en el ámbito de la competencia, también español. Lo que quiero decir. Yo creo que luego lo comentaremos un poquito más de detalle, que hacia dónde vamos es apasionante, pero no es menos apasionante de dónde venimos y cómo.

Yo creo que en esto uno nunca alcanza la madurez, pero desde luego se han dado pasos muy, muy importantes en España, en el ámbito internacional, se han dado, se ha puesto, digamos, la semilla. Pero desde luego España ha cogido un protagonismo importante en la estandarización y el establecimiento de marcos organizativos basados en buenas prácticas y en permitir además a las empresas que al final de lo que se trata de dotarse de sistemas que además puedan ser sometidos a auditorías, a ser sometidos a certificación, que es relevante en cuanto que la certificación no es más que la comprobación por un tercero de que realmente has implantado ese sistema organizativo. Y eso sin duda, pues al final genera confianza a tus partes interesadas, genera confianza a las administraciones e incluso y esto es verdad, que desde el mundo judicial se mira con cierto recelo. Es un apoyo importante también para FIP, para jueces y fiscales, porque es un argumento más, una prueba más. Un indicio, pues, de que una organización realmente ha querido hacer las cosas bien y lo que haya podido pasar, pues ha sido un accidente.

Yo creo que estamos en un nivel de madurez razonablemente bueno, con mucho por delante también es verdad.

Novedades para 2021 y 2022 y los próximos años. La verdad es que hay muchísimo. Aprovecho también, ya que estamos hablando de esto, de que realmente, este mundo de la mejora continua, que es eso que se suele decir de las estructuras de alto nivel ISO en casi cualquier estándar no acaba nunca, incluso los de calidad. Obviamente el estándar de calidad actual no es el mismo que el de hace 30 años.​

Todo evoluciona y el Compliance no solamente evoluciona, sino que además se van generando nuevas metodologías. El punto más importante va a ser la ISO 37301 este año, que como seguramente muchas de las personas que nos escuchan ya saben, es la evolución de los trabajos de actualización de la ISO 19600, que como comentaba antes, se aprobó se publicó a finales de 2014. Es una actualización del estándar. Contiene algunas novedades, ciertamente en cuanto a su contenido, no es un no es un cambio radical, pero sí que tiene algunas novedades importantes y una de ellas seguramente sea la posibilidad de pasar de ser un estándar de guía, lo estándar de orientación a ser un estándar de requisitos.​

Y no es menor ese cambio, en la medida que implica que precisamente las entidades de certificación como EQA o como cualquier otra. Vamos a pasar a jugar un papel relevante, porque el hecho de que el estándar cambie de orientación permite introducirlo en el ámbito de la en un ámbito parcialmente reglado como es el de la auditoría y la certificación. Es decir, las entidades como EQA. Podrán acudir a una empresa que ha establecido su sistema de cumplimiento estructural siguiendo el estándar ISO treinta y siete mil trescientos uno y someterlo a una auditoría por una tercera parte independiente.

Tratar de dar seguridad al mercado. Pero es verdad que estructuralmente. Pues el estándar sigue siendo o claramente de su lectura por su novedad por lo menos de las versiones que hemos podido ver en fase de elaboración. Está también en marcha los trabajos de elaboración de una ISO 37002, que va a tratar sobre canales de alerta, canales de relación más comúnmente conocidos como canales de denuncia. Pero yo creo que cada vez estamos más profesionales de acuerdo en que utilizar la palabra denuncia, quizá al menos en su traducción al castellano, no sea la palabra más indicada. Pero bueno, es una estándar en el que se va a asentar un poquito la estructura, la metodología para tener un canal de alerta, un canal de comunicación, un canal de acción, por decirlo así, dentro de las organizaciones, siguiendo toda la sistemática de buenas prácticas internacionales y la estructura de alto nivel ISO.​

Y esto en realidad va a ser relevante porque se aprobó hace no mucho tiempo la directiva de protección de los denunciantes y de los denunciantes de infracciones de la Unión. Que es así, es una norma legal legislativa, de obligado cumplimiento, que está pendiente de transposición en España y que va a ir muy de la mano inevitablemente de este estándar y su 37002, porque estaremos un poco lo que ocurría con la prevención de delitos del Código Penal. Los estándares internacionales y nacionales te dicen cómo desarrollar eso. Pues en el mundo de la de los canales de alerta o de denuncias, pues quizá veamos una réplica. La directiva europea te sienta las bases y las obligaciones básicas. La transposición a la legislación española seguirá esa misma línea de mínimos, pero tendremos a su vez esa ISO 37002 que te dirá cómo hacer eso conforme a las mejores prácticas e internacionales.​

Muy interesante, muy interesante también va a ser la publicación. Y hay más. También se va a publicar una ISO 37000 sin número al final, que a diferencia de todas las demás que estamos hablando, no va a ser un estándar de sistemas de gestión, no va a generar una metodología para para establecer un sistema de cumplimiento, por decirlo así, sino que se van a centrar en dar orientación y en dar en fijar propuestas de marcos para estructurar la gobernanza en las organizaciones.

Se va a salir, digamos, un poco de lo que llevamos trabajando en Compliance en los últimos siete, ocho años. E iba a ser, desde luego, yo creo, un soplo de aire fresco y hay mucho, mucho interés por ver realmente esta norma que propone, porque, como digo, no va a ser una estructura de sistema de gestión, no es una metodología para ayudar a las empresas a estructurar su sistema de gobernanza, sino que va a ir más por la vía, la propuesta, el ejemplo, creo que va a ser un un estándar interesantísimo y bueno, ya hay muchas más cosas, hay muchas más cosas, desde luego de estas contando.​

Casi podríamos tirarnos hablando muchísimo tiempo. Pero, por ejemplo, no sé si al final de este año quizás que viene van a empezar los trabajos de actualización de la ISO 37001 Antisoborno, la que se aprobó en 2016. Pues le toca someterse también a un proceso de revisión. Dentro de tanto veremos los procesos de revisión de las normas españolas al menos de la norma UNE 19601. Y todo ello además aderezado con que la estructura de alto nivel ISO está también ahora mismo en un proceso de actualización, con lo cual, cuando esa estructura de alto nivel se actualice, cambie, no va a ser un cambio radical. No parece que vaya a ser, pero va a haber un cambio. Pues lógicamente, todos los estándares que se han publicado de manera previa actualización tendrán que ir pasando, pues al final por sus procesos de actualización, la 37001 empezará este año seguramente.

Al final es una recomendación, eh? Yo creo que la quizá lo que más curiosidad ha generado, especialmente en los departamentos de asesoría jurídica, las empresas. Y luego lo hablo en primera persona por mi experiencia y porque de formación, pues al final su jurista ha ejercido la abogacía muchos años, normalmente como abogados. Ahora no voy a hablar como responsable técnico ni como auditor. Como abogados estábamos acostumbrados a que en las empresas las cosas se hiciesen de tal manera, porque lo recogía una ley. Una ley te decía que tenías que hacer esto o que no podía pasar aquello. Y no, no estábamos tan acostumbrados como hablo, ya digo en primera persona, como abogado, como como jurista. No estamos acostumbrados a que realmente no viniese en la ley la forma de hacer las cosas. No estábamos acostumbrados al mundo de la autorregulación empresarial, al mundo de la estandarización, de la normalización. Es un mundo que, como juristas, como abogados, a muchos pues nos pilló un poco de sorpresa.

Es realmente un ámbito en el que no había, no estábamos acostumbrados a trabajar, pero parece, y ya estamos hablando de que son muchos años, porque a finales de 2014 parece que fue ayer, pero ya son unos cuantos años, más de un lustro, eh? Todas estas metodologías sistemáticas para cumplir obligaciones y parece que así va a seguir, que no van a estar en las leyes, no van a estar en las directivas europeas, sino que van a estar en estándares de autorregulación empresarial, porque obviamente si la ISO 19600 en 2014 hubiese sido un fracaso, no se hubiese publicado una ISO 37001 en 2016, ni las normas UNE en 2017 y en 2019.​

No estaríamos ahora hablando de la nueva ISO 37301 y de la 37002 ni de la 37000. O sea, lo que parece claro es que en el ámbito concreto del Compliance, entendido en su más amplio sentido estructural, no sólo penal o no sólo tributario, parece que va a ser la vía de dotar de seguridad a esas, a esas empresas. Ya sabemos que hay un debate muy profundo sobre esa asesoría jurídica. Es un debate que nos daría casi para otros tres podcast, en el que no vamos entrar. Pero desde luego Asesoría jurídica sí que tiene un papel relevante en asegurar el cumplimiento de las obligaciones legales y tiene y tenemos que asumir que la vía de la autorregulación empresarial parece la más. Por un lado, la que ha venido a imponerse en el ámbito del Compliance y también la más flexible, porque permite al legislador dar una legislación de mínimos y que luego sea a través de la del acuerdo, del consenso entre gobiernos, instituciones, grandes empresas, donde se desarrolle la mejor forma de hacerlo a través de la estandarización.​

Entonces, creo que la recomendación que yo daría si todavía hoy hay juristas u otros responsables financieros incluso, claro, por ejemplo, el ámbito financiero está todo regulado. Si no es en la legislación, es en las normas técnicas contables. Aquí no, no hay ese nivel de detalle en la regulación. Mi recomendación básica sería que hay que acercarse al mundo de la estandarización, incluso participar en él, yo a través de EQA, pues soy miembro del Comité de Normalización en España de los estándares de Compliance y es penalmente corrupción.​

Como decía, se han publicado muchos estándares y más que se van a publicar, con lo cual es necesario conocerlo y es necesario que yo hablando de la madurez de la primera pregunta que me hacías es quizá el punto dónde estamos en esa transición a pasar a hacer las cosas.​

Como dice las buenas prácticas internacionales a través de los estándares que están bien. Se publicó un artículo hace un par de años que creo que se titulaba de la improvisación a la estandarización y venía a decir algo. Resumiendo, muy mucho que hacer las cosas como tú crees que están bien, seguramente te lleve si eres un buen profesional, hacer cosas que están muy bien. El problema es que no solamente hace falta que las cosas estén bien, sino que sean reconocibles y reconocidas en el marco del tráfico mercantil y de la autorregulación, de tal manera que la única forma de poder hacer cosas que estén muy bien y que además sean reconocibles, pues es a través de la estandarización.​

Mi recomendación sería claramente que se acerquen al mundo de la estandarización y de hecho, los que ya hayan implementado estructuras de cumplimiento de sus organizaciones empiecen a buscar o empiecen a planificar cómo ir transformando esas estructuras de cumplimiento hacia la metodología, hacia la estructura que te proponen los estándares en la materia. Esa sería mi recomendación.