El cumplimiento normativo es la adhesión de una organización a las leyes, reglamentos, directrices y especificaciones relevantes para sus procesos empresariales. Las violaciones del cumplimiento normativo a menudo resultan en un castigo legal, incluyendo multas federales.
Ejemplos de leyes y reglamentos de cumplimiento normativo incluyen la Ley Dodd-Frank, el Estándar de Seguridad de Datos de la Industria de las Tarjetas de Pago (PCI DSS), la Ley de Portabilidad y Responsabilidad de los Seguros Médicos (HIPAA), la Ley Federal de Gestión de la Seguridad de la Información (FISMA), la Ley Sarbanes-Oxley (SOX), el Reglamento General de Protección de Datos de la UE (GDPR) y la Ley de Privacidad del Consumidor de California (CCPA).
¿Por qué es importante el cumplimiento normativo?
A medida que el número de normas ha aumentado desde el cambio de siglo, la gestión del cumplimiento normativo ha cobrado mayor importancia en diversas organizaciones. Esta evolución ha dado lugar a la creación de puestos de responsable de cumplimiento normativo, jefe y director de cumplimiento. Una de las principales funciones de estos puestos es la contratación de empleados cuyo único objetivo es garantizar que la organización se ajuste a los estrictos y complejos mandatos legales y a las leyes aplicables.
Los procesos y estrategias de cumplimiento normativo proporcionan orientación a las organizaciones en su esfuerzo por alcanzar sus objetivos empresariales. Los informes de auditoría que demuestran el cumplimiento de la normativa ayudan a las empresas a promocionarse ante los clientes. Por ejemplo, los informes Service Organization Control 1, SOC 2 y SOC 3 permiten a los proveedores demostrar el cumplimiento de normativas como la SOX. Ser transparente sobre los procesos de cumplimiento ayuda a los clientes a crear confianza en los procesos empresariales, así como a mejorar potencialmente la rentabilidad de la empresa en el proceso.
Guía de seguridad de datos: Todo lo que necesita saber
- Que también incluye:
- Protegerse contra las cambiantes amenazas a la seguridad de los datos
- Mejores prácticas para ayudar a los CISO a prepararse para la CCPA
- Combatir el aspecto humano del riesgo con la gestión de las amenazas internas
Algunas normas de cumplimiento normativo están diseñadas específicamente para garantizar la protección de los datos. Los procesos deficientes de cumplimiento de las violaciones de datos pueden perjudicar la retención de clientes e impactar negativamente en los resultados de una empresa. Dado que la frecuencia de las violaciones de datos sigue aumentando, los consumidores confían más en las empresas que siguen de cerca los mandatos de cumplimiento normativo diseñados para proteger los datos personales.
Los mandatos de cumplimiento normativo específicos de la privacidad de los datos, como el GDPR y la CCPA, se han vuelto más comunes a medida que el manejo de los datos personales de los consumidores por parte de las empresas ha sido objeto de escrutinio.
¿Cuáles son los retos que conlleva el cumplimiento normativo?
Las empresas que no siguen las prácticas obligatorias de cumplimiento normativo se enfrentan a numerosas repercusiones posibles, como verse obligadas a participar en programas de remediación que incluyen auditorías de cumplimiento e inspecciones in situ por parte del organismo regulador correspondiente. Las organizaciones que no cumplen la normativa suelen enfrentarse a multas y sanciones económicas. La reputación de la marca también puede verse dañada por las empresas que experimentan repetidos -o particularmente flagrantes- incumplimientos.
El cumplimiento de las normas puede ser costoso desde el punto de vista de la infraestructura y el personal. Dado que las empresas están obligadas a gastar capital para cumplir con las leyes y reglamentos de cumplimiento, también deben tratar de apaciguar a las partes interesadas y mantener los procesos de negocio obteniendo beneficios. Estos retos financieros que rodean el cumplimiento de la normativa son especialmente graves en sectores muy regulados, como el financiero y el sanitario. Otros retos asociados a la estrategia empresarial que conlleva el mantenimiento del cumplimiento normativo son los siguientes:
- determinar cómo las regulaciones emergentes influirán en la dirección del negocio y en los modelos de negocio existentes;
- incorporar y desarrollar una cultura de cumplimiento y promover esta cultura en toda la organización;
- decidir y contratar roles y responsabilidades de cumplimiento, así como las funciones de cumplimiento requeridas por los departamentos legales, de cumplimiento, de auditoría y de negocio; y
- anticipar las tendencias de cumplimiento e integrar los procesos regulatorios que aumentan la eficiencia.
Las tecnologías de consumo en constante evolución también plantean complicaciones de cumplimiento para las empresas. El uso de dispositivos móviles personales por parte de los empleados en el lugar de trabajo, por ejemplo, crea problemas de cumplimiento porque estos dispositivos almacenan datos sensibles de la empresa, relevantes para el cumplimiento. La proliferación del Internet de las cosas ha provocado un enorme crecimiento del número de puntos finales y dispositivos interconectados, y la falta de seguridad de los dispositivos móviles y del Internet de las cosas crea vulnerabilidades de cumplimiento en las redes de las organizaciones. Para que las empresas digitalizadas sigan cumpliendo la normativa, deben estar al tanto de las actualizaciones requeridas y parchear inmediatamente el software existente cuando se detecten vulnerabilidades.
¿Cómo difiere el cumplimiento de la normativa entre sectores y países?
Algunos sectores están más regulados que otros. Por ejemplo, el sector de los servicios financieros está sujeto a mandatos de cumplimiento normativo diseñados para proteger al público y a los inversores de prácticas empresariales nefastas. Los proveedores de energía están sujetos a normas de seguridad y protección del medio ambiente. Las agencias gubernamentales están obligadas a seguir normas de cumplimiento que obligan a la igualdad y al comportamiento ético del personal.
Las empresas sanitarias también están sujetas a estrictas leyes de cumplimiento porque almacenan grandes cantidades de datos sensibles y personales de los pacientes. Los hospitales y otros proveedores de atención sanitaria deben demostrar que han tomado medidas para cumplir con las normas de privacidad de los pacientes, como proporcionar la seguridad y el cifrado adecuados de los servidores. La HIPAA establece mandatos de privacidad y seguridad de datos diseñados para proteger la información médica de los pacientes. La regla de notificación de infracciones de la HIPAA, por ejemplo, exige a las organizaciones que cumplen con ella y a sus asociados comerciales que notifiquen a los pacientes tras una infracción de datos. Además de los proveedores de servicios sanitarios, los proveedores de servicios en la nube (CSP) y otros asociados comerciales de las organizaciones sanitarias también deben cumplir las normas de privacidad, seguridad y notificación de infracciones de la HIPAA.
Los mandatos de cumplimiento normativo varían según el país. La SOX es una legislación estadounidense, pero entre las normativas similares se encuentran la Deutscher Corporate Governance Kodex (DCGK) de Alemania y la Corporate Law Economic Reform Program Act 2004 (CLERP 9) de Australia.
Las organizaciones multinacionales deben conocer las normas de cumplimiento normativo de cada país en el que operan. Por ejemplo, el GDPR entró en vigor en 2018 y se aplica a todos los datos producidos por los ciudadanos de la UE, independientemente de que la empresa que recopila los datos esté ubicada en la UE. El GDPR también se aplica a todas las personas cuyos datos se almacenan dentro de la UE, independientemente de si son ciudadanos de la UE.
El GDPR amplió los derechos de privacidad de datos de los consumidores al incluir mandatos de transparencia que obligan a las empresas a informar a los clientes sobre cómo se utilizan sus datos personales. Por ejemplo, las empresas que operan bajo las normas de cumplimiento del GDPR están obligadas a notificar a todas las partes afectadas y a las autoridades supervisoras de una violación de datos en un plazo de 72 horas.
En virtud de la CCPA, los residentes de California tienen derecho a saber qué datos se recopilan sobre ellos, si esa información se vende y la capacidad de rechazar que esos datos se vendan. La ley también establece que los consumidores pueden acceder a cualquiera de sus datos personales recopilados por las empresas que cumplen con la CCPA.
Una ley de 2018 de Vermont exige a los corredores de datos que revelen a las personas exactamente qué datos se están recopilando y permite a esas personas optar por no recopilar datos. Varios otros estados de Estados Unidos están considerando sus propias regulaciones de privacidad de datos en diversos grados, mientras que países como Australia, Argentina y Canadá han establecido leyes integrales de privacidad de datos a nivel federal.
¿Cómo aseguran las empresas el cumplimiento normativo?
El cumplimiento normativo requiere que las empresas analicen sus requisitos únicos y cualquier mandato específico de su industria y luego desarrollen procesos para cumplir con estos requisitos. Los pasos típicos para lograr el cumplimiento normativo incluyen los siguientes:
- Identificar la normativa aplicable. Determinar qué leyes y reglamentos de cumplimiento se aplican a la industria y las operaciones de la empresa. Estas incluyen normas federales, estatales y municipales.
- Determinar los requisitos. Identifique los requisitos de cada normativa que son relevantes para la organización y considere los planes sobre cómo implementar estos mandatos.
- Documente los procesos de cumplimiento. Documente claramente los procesos de cumplimiento, con instrucciones específicas para cada función implicada en el mantenimiento del cumplimiento. Esta información será útil durante las auditorías reglamentarias.
- Supervise los cambios, y determine si se aplican. Los requisitos de cumplimiento se actualizan constantemente. Los cambios deben ser monitoreados para determinar si son relevantes para la empresa. Si lo son, implemente los procedimientos actualizados y forme al personal adecuado sobre estas actualizaciones.
Las auditorías de cumplimiento internas deben llevarse a cabo con regularidad para revisar la adhesión de la organización a las directrices normativas. Estos informes de auditoría interna deben evaluar de cerca los procesos de cumplimiento y sus políticas asociadas, como los controles de acceso de los usuarios.
Las auditorías internas también ayudan a preparar las auditorías de cumplimiento formales realizadas externamente por terceros independientes. Estas auditorías son necesarias en virtud de algunos mandatos de cumplimiento normativo y están diseñadas para medir si una organización cumple con regulaciones estatales, federales o corporativas específicas.
0 comentarios