Durant anys, el compliance s’ha construït al voltant de normes, polítiques, procediments i auditories. Les organitzacions identificaven les obligacions que els resultaven aplicables, elaboraven la documentació necessària i en revisaven periòdicament el compliment.
Aquest model continua sent necessari. Però ja no n’hi ha prou.
Les empreses s’enfronten a un nombre creixent d’exigències en ciberseguretat, privadesa, ètica, intel·ligència artificial, sostenibilitat o gestió de tercers. Alhora, clients, auditors i altres parts interessades ja no només pregunten si una organització compleix: demanen evidències que ho demostrin.
El repte ja no consisteix únicament a definir com hauria dactuar una organització. Consisteix a aconseguir que el compliment formi part del funcionament diari.
Aquest pas del document a l’execució és el que entenem per Operational Compliance .
Què és Operational Compliance?
Podem definir l’ Operational Compliance com a gestió contínua del compliment d’una organització, convertint normes i polítiques en processos, responsables, controls i evidències que permeten complir i demostrar que es compleix.
En termes senzills, consisteix a poder respondre en qualsevol moment quatre preguntes:
Què hem de fer? Qui ho ha de fer? Quan cal fer-ho? Podem demostrar què s’ha fet?
Això no vol dir substituir el coneixement jurídic ni els models tradicionals de compliance. Significa afegir la capa operativa que els trasllada al funcionament real de lorganització.
Una política pot establir que els proveïdors crítics s’han d’avaluar periòdicament. L’Operational Compliance és el que garanteix que sapiguem quins proveïdors són crítics, qui els ha d’avaluar, quan correspon fer-ho, quins controls s’han de revisar, quines evidències s’han de sol·licitar i què passa si el resultat no és satisfactori.
En definitiva:
Passar de tenir el compliance documentat a tenir el compliance funcionant.
El compliance està canviant
Dues transformacions expliquen perquè aquest canvi d’enfocament s’ha tornat necessari.
D’obligació legal a obligació comercial
Tradicionalment, el principal motor del compliance ha estat la regulació: una nova obligació legal portava les organitzacions a implantar determinats procediments o controls.
Aquest factor continua sent fonamental, però n’ha aparegut un altre igual de rellevant: els clients .
Les grans organitzacions traslladen cada cop més les seves exigències de ciberseguretat, privadesa, ètica, sostenibilitat, continuïtat de negoci o governança de la intel·ligència artificial a la seva cadena de subministrament. Com a resultat, moltes petites i mitjanes empreses han d’implantar determinades mesures no perquè una norma els resulti directament aplicable, sinó perquè els seus clients necessiten comprovar que ofereixen garanties suficients.
Qüestionaris de seguretat, avaluacions de proveïdors, codis ètics, polítiques de privadesa, certificacions, controls d’accés, gestió d’incidents o informació sobre l’ús d’intel·ligència artificial ja formen part habitual de moltes relacions B2B.
El compliance està deixant de ser únicament una obligació legal per convertir-se també en una condició per fer negocis.
Per a moltes empreses, poder demostrar el seu compliment es comença a convertir en un avantatge competitiu i, en alguns casos, en una condició per accedir a determinats clients.
Del document a l’evidència
La segona transformació és igualment important.
Disposar d’una política de seguretat no demostra que els accessos estiguin revisats. Tenir un procediment d’homologació de proveïdors no demostra que els proveïdors crítics hagin estat avaluats. Comptar amb un pla de formació no demostra que les persones l’hagin completada. I disposar d’un procediment de gestió d’incidents no demostra com es va actuar davant del darrer incident.
El compliment real deixa rastre: aprovacions, avaluacions, registres, controls executats, documents, signatures, revisions, comunicacions i actuacions.
Per això, cada cop és més important que les organitzacions puguin passar de dir “tenim un procediment per fer-ho” a poder demostrar “ho fem, i aquestes són les evidències” .
El compliance està passant del document a l’evidència: ja no n’hi ha prou de definir el que cal fer, cal demostrar que realment s’està fent.
El problema de gestionar el compliance en sitges
A mesura que augmenten les obligacions apareix un altre problema: la fragmentació.
ISO 27001 per una banda. NIS2 per un altre. ENS, RGPD, AI Act, compliance penal, requisits ESG, exigències de clients…
Si cada nova normativa genera un nou Excel, un nou repositori documental, un nou qüestionari, nous controls i, de vegades, una nova eina, la complexitat creix sense fre.
Però la realitat de lorganització no està dividida per normatives.
Un proveïdor és el mateix proveïdor, se li analitzi des de protecció de dades, ciberseguretat o intel·ligència artificial. Un incident pot afectar simultàniament diverses obligacions. Una política pot respondre a diversos requisits alhora. I un mateix control pot mitigar diferents riscos i servir d’evidència davant de diferents marcs.
El problema, per tant, no és només gestionar cada cop més normatives: és gestionar correctament les relacions que hi ha entre elles.
Del compliance documentat al compliance operacional
Operational Compliance no pretén substituir el model tradicional de compliance. El complementa traslladant les obligacions, les polítiques i els controls a l’operativa diària de l’organització.
| Enfocament documental | Enfocament operacional |
|---|---|
| Normatives | Processos |
| Documents | Evidències |
| Polítiques | Aplicació de polítiques |
| Controls definits | Controls executats |
| Revisions periòdiques | Seguiment continu |
| Informació dispersa | Informació connectada |
| Tasques manuals | Automatització |
| “Complim” | “Podem demostrar-ho” |
Tots dos enfocaments es necessiten mútuament.
La normativa estableix les obligacions i els objectius de compliment; el coneixement especialitzat permet interpretar-los i traslladar-los a la realitat de cada organització.
L’Operational Compliance organitza com aconseguir que tot això passi en el dia a dia.
Les peces de l’Operational Compliance
Per fer-ho possible cal deixar de pensar només en normatives i començar a pensar en els elements reals que formen una organització:
Persones · Proveïdors · Actius · Aplicacions · Riscos · Polítiques · Controls · Incidents · Avaluacions · Evidències
Tots ells estan relacionats entre si.
Pensem en un proveïdor tecnològic crític que emmagatzema informació de l’empresa, tracta dades personals i utilitza intel·ligència artificial en la prestació del servei.
Aquesta realitat no s’hauria de registrar diverses vegades només perquè afecti diferents obligacions. La informació sobre aquest proveïdor hauria de ser suficient per determinar quins riscos hi ha, quins controls són necessaris, quina documentació cal sol·licitar, quins qüestionaris ha de respondre, amb quina periodicitat s’ha de reavaluar i quins marcs de compliment es poden veure afectats.
La informació hauria d’existir una sola vegada i reutilitzar-se allà on calgui.
L’Operational Compliance necessita connectar:
Riscos → Controls → Polítiques → Persones → Tercers → Actius → Incidents → Avaluacions → Evidències
El valor no és només gestionar cadascun d’aquests elements per separat. És gestionar les relacions entre ells.
Un model de compliment viu
Quan aquests elements estan connectats, el compliance deixa de ser una fotografia feta en el moment d’una auditoria i es pot convertir en un sistema viu .
Si canvia un proveïdor, apareix un nou risc, caduca una evidència, s’hi incorpora una persona, falla un control o es produeix un incident, el sistema hauria de ser capaç de determinar quines parts del compliment es poden veure afectades i quines actuacions són necessàries.
Això permet evolucionar des d’un model basat principalment en revisions periòdiques cap a un altre on determinats canvis en l’organització poden desencadenar automàticament revisions, tasques o controls.
El compliment deixa així de ser una cosa que es revisa ocasionalment per integrar-se progressivament a la pròpia operativa de l’empresa.
Una única font d’informació per a múltiples marcs
Aquesta manera de treballar permet resoldre un altre dels grans problemes del compliance actual: la duplicació. Pensem en un control dʻautenticació multifactor. L’organització no hauria de necessitar un control de MFA per a ISO 27001, un altre per a NIS2 i un altre per a ENS.
Té un control d’autenticació multifactor .
Aquest control es pot relacionar després amb diferents riscos, actius i requisits normatius. El mateix passa amb una política, una avaluació de proveïdors, una formació o una evidència.
Per això, una de les idees centrals de l’Operational Compliance és:
Els controls pertanyen a lorganització; els diferents marcs de compliment els reutilitzen.
Així s’avança cap a un model molt més eficient:
Una acció → una evidència → múltiples necessitats de compliment.
Una única font dinformació capaç de respondre a diferents marcs, clients, auditories o processos davaluació.
Automatitzar sense crear més burocràcia
Fer operatiu el compliance no hauria de significar omplir lorganització de tasques administratives. Hauria de passar justament el contrari.
Quan els processos i la informació estan estructurats, bona part del treball es pot automatitzar.
Si caduceu el certificat d’un proveïdor, el sistema pot sol·licitar automàticament la renovació. Si s’hi incorpora una nova persona, es poden assignar les polítiques, formacions i acceptacions corresponents. Si un proveïdor comença a utilitzar intel·ligència artificial, es poden activar noves preguntes, controls o avaluacions.
Si es produeix un incident, es pot iniciar automàticament el procediment corresponent, amb les tasques, els responsables i els terminis. I si un control deixa d’executar-se, es pot generar una actuació i escalar-se quan calgui.
L’objectiu no és automatitzar per automatitzar, sinó aconseguir que les persones dediquin el temps a les decisions en què realment aporten valor.
Els sistemes han de treballar per a les persones, no les persones per mantenir els sistemes.
Quin paper hi té la intel·ligència artificial?
La intel·ligència artificial obre enormes possibilitats en compliance, però hi ha un pas previ que sovint es passa per alt:
Primer cal estructurar la informació; després es pot aplicar intel·ligència sobre ella.
Si la informació està dispersa entre documents, correus, fulls de càlcul i aplicacions independents, les possibilitats dautomatització i anàlisi són limitades.
En canvi, quan es coneixen les relacions entre proveïdors, riscos, controls, polítiques, incidents i evidències, la IA es pot convertir en un veritable assistent del professional de compliance: ajudar a revisar documentació, detectar informació pendent, localitzar evidències, preparar avaluacions, identificar possibles riscos o proposar actuacions.
L’objectiu no és que la IA decideixi, sinó que el professional arribi a la decisió amb la feina prèvia ja feta, garantint sempre la confidencialitat de la informació, la protecció de dades, la seguretat i una supervisió humana adequada.
Operational Compliance per a petites i mitjanes empreses
Les grans corporacions fa anys que gestionen aquestes necessitats amb plataformes GRC, departaments especialitzats i projectes complexos.
Però el compliment s?està estenent molt més enllà de les grans organitzacions.
Una empresa de 100 o 200 empleats pot haver de respondre avui a qüestionaris de seguretat dels seus clients, avaluar proveïdors crítics, gestionar polítiques, formar els seus empleats, documentar incidents, analitzar riscos i aportar evidències dels seus controls.
La resposta no pot ser traslladar-li la mateixa estructura i complexitat que utilitza una multinacional.
Les petites i mitjanes empreses necessiten el mateix rigor, no pas la mateixa complexitat.
I aquí la tecnologia hi juga un paper decisiu: simplificar processos, reutilitzar informació, automatitzar tasques i fer accessible una manera de gestionar el compliment que fins ara estava reservada, sobretot, a organitzacions amb molts més recursos.
La visió d’ithikios: fer operatiu el compliance
A ithikios estem evolucionant des d’una solució nascuda al voltant del canal de denúncies cap a una plataforma d’ Operational Compliance .
Canal de denúncies, gestió de polítiques, tercers, riscos, controls, incidents, avaluacions, Trust Center o automatització formen part del recorregut.
Però el nostre objectiu no és reunir moltes eines de compliance dins una mateixa plataforma.
És aconseguir que totes comparteixin informació i treballin juntes.
Que un risc es relacioni amb els controls que el mitiguen. Que aquests controls generin evidències. Que un canvi en un proveïdor pugui desencadenar una avaluació. Que un incident afecti riscos i controls. Que una mateixa evidència serveixi per a diferents marcs.
I que tota aquesta informació permeti saber, a cada moment, no només què hauria de fer l’organització, sinó què està fent realment .
Perquè el futur del compliance no consisteix a acumular més documents, més eines i més burocràcia.
Consisteix a integrar el compliment a la pròpia operativa de l’empresa.
Del compliment a la confiança
El resultat final de l’Operational Compliance no és només complir. És generar confiança.
Confiança per a la direcció que coneix l’estat real del compliment. Confiança per al compliance officer, que disposa de traçabilitat i evidències. Confiança per a clients i partners, que poden verificar determinades garanties. I confiança per a la pròpia organització, que sap que les seves polítiques i els seus controls no existeixen únicament sobre el paper.
Operational Compliance vol dir fer que el compliance funcioni en el dia a dia: convertir obligacions en accions, accions en evidències i evidències en confiança.
ithikios · Operational Compliance
Fem operatiu el compliance: fàcil de gestionar, integrat al dia a dia i demostrable amb evidències.
