La gestión del cumplimiento normativo es el proceso sistemático destinado a mantener la integridad y la seguridad de una organización, garantizando el cumplimiento de las leyes, los reglamentos, las normas y las directrices éticas. Implica desarrollar y aplicar políticas y controles, utilizar tecnología y herramientas para supervisar el estado de cumplimiento, y llevar a cabo auditorías periódicas para detectar y subsanar los incumplimientos.
La gestión del cumplimiento normativo solía considerarse simplemente una tarea más. Hoy en día, los responsables empresariales y de tecnologías de la información lo consideran cada vez más un imperativo estratégico, y existen buenas razones que justifican este cambio.
Una organización típica debe cumplir con docenas, si no cientos, de normativas globales, locales y federales, así como con las normas del sector. Constantemente se aprueban nuevas normativas relativas a la protección de datos, las violaciones de seguridad de los datos, la información financiera y otras obligaciones.
El cumplimiento de la normativa —ya sea normativa general, como la del Instituto Nacional de Estándares y Tecnología (NIST), o normativa específica del sector, como la Ley de Tecnología de la Información Sanitaria para la Salud Económica y Clínica (HIPAA)— ayuda a los responsables y equipos de cumplimiento a realizar las inversiones adecuadas en herramientas y formación
.La normativa refuerza las defensas cibernéticas al garantizar políticas y procesos adecuados en materia de privacidad de datos, seguridad y ciberseguridad, lo que contribuye a reducir las posibilidades de que se produzca una filtración de datos u otros incidentes de ciberseguridad perjudiciales.
El cumplimiento normativo también es fundamental para ayudar a las organizaciones a evitar infracciones, que pueden acarrear multas elevadas y dañar su reputación.
En esta entrada, definiremos la gestión del cumplimiento normativo y explicaremos por qué es esencial para las organizaciones, incluyendo en qué se diferencia de marcos como el de Gobernanza, Gestión de Riesgos y Cumplimiento Normativo (GRC), los tipos más comunes de riesgos de cumplimiento y enumeraremos algunas de las normas de cumplimiento más habituales por sector.
Analicemos qué se necesita para desarrollar un programa eficaz de gestión del cumplimiento normativo y ofrezcamos recomendaciones útiles para mejorar los ya existentes. Asimismo, explicaremos por qué el enfoque convencional de la gestión del cumplimiento normativo suele resultar insuficiente a la hora de abordar los retos actuales en materia de ciberseguridad, así como las ventajas de integrar el cumplimiento normativo en las iniciativas de gestión de riesgos (se abre en una nueva pestaña) para lograr un enfoque holístico y mejorado.
Definición de la gestión del cumplimiento normativo
La gestión del cumplimiento normativo consiste en seguir los procedimientos y las políticas para cumplir con la legislación, la normativa y las normas del sector. Para lograrlo, las organizaciones deben realizar un seguimiento continuo de las normativas nuevas y en constante evolución con el fin de mantenerse al día de las últimas leyes y normas, elaborar y aplicar políticas, y formar a los empleados para que cumplan dichas políticas. Además, la realización periódica de evaluaciones de riesgos constituye también un aspecto fundamental de la gestión del cumplimiento normativo, ya que ayuda a las organizaciones a identificar y mitigar las vulnerabilidades que podrían dar lugar a incumplimientos.
No obstante, no debe limitar este seguimiento del cumplimiento únicamente a su organización. Es fundamental supervisar el cumplimiento normativo de los prestadores de servicios, proveedores o socios con los que colabora, ya que su incumplimiento puede afectar a su organización.
Al cumplir con la normativa pertinente, los terceros protegen los datos sensibles, garantizan el buen funcionamiento de las operaciones y preservan la reputación de su organización.
El incumplimiento por parte de terceros conlleva riesgos adicionales, entre los que se incluyen las filtraciones de datos y las repercusiones legales. Para proteger la información confidencial, debe evaluar periódicamente las medidas de seguridad de sus socios, establecer protecciones contractuales y supervisar de forma continua las actividades de cumplimiento.
Ahora, analizaremos cómo funciona realmente la gestión del cumplimiento normativo en la práctica. Al analizar los mecanismos y procesos implicados, podemos comprender mejor las estrategias que emplean las organizaciones para garantizar el cumplimiento de las normas reglamentarias y mitigar los riesgos de cumplimiento.
¿Cómo funciona la gestión del cumplimiento normativo?
A lo largo de la historia, las organizaciones han utilizado diversos programas informáticos de gestión del cumplimiento normativo para detectar posibles problemas o resolver de manera eficaz las incidencias relacionadas con el cumplimiento normativo. Sin embargo, estas herramientas suelen limitarse a normativas específicas o requieren información adicional procedente de otras herramientas, paneles de control personalizados y procesos manuales para recopilar datos de auditorías internas y evaluaciones de riesgos, así como para obtener información útil.
Estos esfuerzos por recopilar información de diferentes herramientas con el fin de lograr una supervisión y un control suficientes de las actividades de cumplimiento normativo suelen generar importantes lagunas de visibilidad, lo que hace que una organización sea más vulnerable a las brechas de seguridad, a la pérdida de datos (se abre en una nueva pestaña) y a las sanciones por incumplimiento.
Los programas de gestión del cumplimiento normativo no deberían depender de procesos complicados. Por el contrario, deben integrarse a la perfección en las operaciones diarias y en la planificación estratégica para impulsar mejoras operativas.
Con la solución adecuada de gestión del cumplimiento normativo, las organizaciones pueden adaptarse más fácilmente a las nuevas normativas y a los riesgos emergentes, abordando de forma proactiva las complejidades que plantean las actuales exigencias en materia de cumplimiento.
Quizá se esté preguntando: «¿Por qué necesito una solución específica?». ¿No se aborda ya el cumplimiento normativo en el marco de la gobernanza, el riesgo y el cumplimiento (GRC)?
A menudo se confunde el GRC con la gestión del cumplimiento normativo, ya que estos conceptos están estrechamente relacionados y, en la práctica, suelen solaparse. Analicemos las diferencias entre el GRC y la gestión del cumplimiento normativo para comprender sus funciones específicas y cómo se complementan entre sí.
¿Es lo mismo el GRC que la gestión del cumplimiento normativo?
La gobernanza, el riesgo y el cumplimiento normativo (GRC, por sus siglas en inglés) es similar a la gestión del cumplimiento normativo, pero presenta algunas diferencias. Si bien la gestión del cumplimiento normativo es esencial para el GRC, se trata de un sistema más amplio que incluye la gobernanza y la gestión de riesgos.
El GRC es un concepto creado por el Open Compliance and Ethics Group (OCEG) (se abre en una nueva pestaña) para describir el conjunto integrado de capacidades en materia de gobernanza, gestión de riesgos y cumplimiento normativo que permiten a una organización «alcanzar sus objetivos de forma fiable, hacer frente a la incertidumbre y actuar con integridad».
El GRC destaca la importancia de las evaluaciones de riesgos para garantizar el cumplimiento normativo. El marco también destaca la importancia de la gobernanza (se abre en una nueva pestaña), lo que incluye la elaboración de políticas y la aplicación de procesos de cumplimiento en toda la organización. Al garantizar el cumplimiento de la normativa, las organizaciones pueden contribuir a mitigar los riesgos de incumplimiento.
Por otra parte, la gestión del cumplimiento normativo se centra en garantizar que una organización respete los requisitos normativos y las políticas internas.
Implica realizar un seguimiento de la normativa, anticiparse a los cambios e integrar controles en las operaciones para evitar multas y problemas legales.
Comprender los riesgos es fundamental para desarrollar estrategias de mitigación eficaces y garantizar el cumplimiento normativo de la organización. A continuación, resumiremos los riesgos habituales en materia de cumplimiento normativo, incluyendo su origen y sus consecuencias, entre las que se cuentan su impacto en las operaciones, la reputación y la situación jurídica.
Tipos habituales de riesgos de cumplimiento normativo
Los riesgos de incumplimiento normativo abarcan una amplia gama de actividades, desde prácticas laxas en materia de seguridad y privacidad de los datos hasta una contabilidad descuidada, un manejo inadecuado de la información confidencial y casos evidentes de soborno y fraude.
Entre las infracciones más habituales en materia de cumplimiento normativo se incluyen:
- Manejo inadecuado de datos: El manejo inadecuado de datos consiste en el almacenamiento, el tratamiento o la transmisión incorrectos de información sensible, así como en la divulgación de información financiera a terceros no autorizados. Asimismo, puede acarrear importantes responsabilidades para las organizaciones, tales como sanciones gubernamentales, pérdida de la confianza de los clientes y daños a la reputación.
El incumplimiento de las normas de privacidad y seguridad de los datos o el descuido de vulnerabilidades conocidas puede dar lugar a un acceso no autorizado y a la exposición de información sensible en una filtración de datos, lo que conlleva importantes sanciones económicas, interrupciones en la actividad empresarial y acciones legales. - Fallos en los procesos: El incumplimiento de los procedimientos obligatorios en materia de presentación de informes y otros procesos empresariales puede dar lugar al incumplimiento de las normas reguladoras, lo que a menudo se traduce en informes inexactos, interrupciones operativas, problemas de control de calidad, un mayor riesgo de infracciones y multas.
Los organismos reguladores esperan que las organizaciones conozcan y cumplan todas las leyes pertinentes. El desconocimiento no exime a una organización de su responsabilidad ni de las sanciones derivadas de fallos en los procesos; por lo tanto, las organizaciones deben mantenerse informadas sobre los cambios normativos y aplicar medidas que garanticen el cumplimiento de la normativa. El incumplimiento de esta obligación puede acarrear multas considerables, acciones judiciales y la pérdida de credibilidad. - Actividades ilegales: La corrupción, el soborno y el fraude constituyen importantes riesgos en materia de cumplimiento normativo, ya que pueden acarrear graves consecuencias legales y financieras, entre las que se incluyen multas cuantiosas y acusaciones penales.
Estas actividades también dañan la reputación de una organización y merman la confianza de los clientes y las partes interesadas. Prevenir y hacer frente a las actividades ilegales es fundamental para garantizar el cumplimiento normativo y proteger la integridad de una organización. - Infracciones en materia de medio ambiente, salud y seguridad (EHS): El incumplimiento de la normativa sobre salud y seguridad en el trabajo, incluidas las leyes laborales, puede acarrear graves consecuencias para una organización. El incumplimiento no solo puede provocar accidentes o lesiones, sino que también puede dar lugar a litigios, indemnizaciones por daños y perjuicios y un mayor escrutinio por parte de los organismos reguladores.
Las prácticas empresariales que perjudican al medio ambiente o a las comunidades, así como las deficiencias en las políticas de responsabilidad social corporativa (RSC), también pueden acarrear sanciones económicas, demandas judiciales, daños a la reputación, interrupciones en la cadena de suministro y amenazas a las licencias de explotación.
Existen numerosas normas laborales que se aplican a las organizaciones de todos los sectores, como las establecidas por la Administración de Seguridad y Salud Ocupacional (OSHA) y la Comisión para la Igualdad de Oportunidades en el Empleo (EEOC).
Más allá de estas categorías generales de riesgos de cumplimiento, también existen riesgos específicos de diversos sectores, como el sanitario y el de los servicios financieros, relacionados con los requisitos legales de dichos sectores.
En la siguiente sección, ofreceremos ejemplos de las principales normas de cumplimiento en diversos sectores para destacar algunas de las regulaciones más importantes y habituales a las que se enfrentan las organizaciones de dichos sectores. Comprender las normas de cumplimiento específicas de cada sector es fundamental para que las organizaciones puedan desenvolverse con eficacia en el complejo entorno normativo.
Tipos de cumplimiento por sector
Cada sector se enfrenta a retos y requisitos específicos, desde la protección de datos en el comercio electrónico y el comercio minorista hasta la privacidad de los pacientes en el ámbito sanitario.
A continuación se enumeran algunas de las principales normas de cumplimiento y regulaciones que se aplican a sectores específicos. Aunque no se trata de una lista exhaustiva, es probable que incluya algunas normas del sector que ya conoce, otras que desconoce y algunas regulaciones de las que quizá no se haya dado cuenta de que se consideran requisitos de cumplimiento.
Comercio electrónico y comercio minorista
E-commerce and retail businesses (opens in a new tab) must protect customer data and comply with trade regulations, customer credit card data standards, Federal Trade Commission (FTC) regulations, and more.
Las normativas en materia de protección de datos también siguen aumentando. Además del RGPD para los residentes de la UE y de la Ley de Protección de Datos Personales y Documentos Electrónicos (PIPEDA) para los residentes canadienses, actualmente existen normativas sobre protección de datos para los residentes de EE. UU. en estados como California y Nueva York.
Entre las normativas relacionadas con el comercio electrónico y el comercio minorista se incluyen:
- La Ley de Privacidad del Consumidor de California (CCPA) (se abre en una nueva pestaña) es una ley del estado de California que otorga a los consumidores el derecho a saber qué datos personales recopilan las empresas, a solicitar su supresión y a oponerse a su venta.
- La Ley de Derechos de Privacidad de California (CPRA) (se abre en una nueva pestaña) actualiza y amplía la Ley de Privacidad del Consumidor de California, lo que refuerza la protección de la privacidad digital de los residentes de California.
- El RGPD (se abre en una nueva pestaña) es una ley integral sobre protección de datos que regula la forma en que las organizaciones recogen, almacenan y tratan los datos personales de los residentes de la UE, lo que otorga a las personas un mayor control sobre su información personal. El RGPD impone requisitos estrictos en materia de consentimiento, transparencia, seguridad de los datos y notificación de violaciones de seguridad, con sanciones importantes en caso de incumplimiento.
El RGPD se aplica no solo al sector minorista, sino a cualquier sector que recopile datos de residentes en la UE, incluidos muchos de los sectores enumerados en esta descripción general sobre el cumplimiento normativo.
- La Norma de Seguridad de Datos del Sector de Tarjetas de Pago (PCI DSS) (se abre en una nueva pestaña) es un conjunto de normas de seguridad diseñadas para proteger los datos de los titulares de tarjetas durante las transacciones. Garantiza que las empresas minoristas y de comercio electrónico creen un entorno seguro para el tratamiento de la información de pago. Las entidades financieras también están sujetas a estas normas para prevenir las filtraciones de datos y el fraude, garantizando la seguridad de las transacciones con tarjeta de crédito.
- La Ley SHIELD de Nueva York (se abre en una nueva pestaña) refuerza la legislación de Nueva York en materia de seguridad de datos al ampliar los tipos de información privada sobre los que las empresas deben informar a los consumidores en caso de que se produzca una filtración, y exige que las empresas desarrollen, apliquen y mantengan medidas de protección razonables para salvaguardar la seguridad, la confidencialidad y la integridad de la información privada de los consumidores.
- La PIPEDA (se abre en una nueva pestaña) es una ley canadiense que regula la forma en que las organizaciones del sector privado recogen, utilizan y divulgan la información personal en el marco de sus actividades comerciales, con el fin de garantizar que las empresas gestionen los datos personales de forma responsable.
Educación
Las instituciones educativas (se abre en una nueva pestaña) deben cumplir la normativa relativa a las transacciones financieras, la asistencia sanitaria y la protección de datos, como el RGPD. Asimismo, deben cumplir la normativa específica relativa a la protección de datos y la accesibilidad de los menores, entre la que se incluye:
- La Ley de Estadounidenses con Discapacidad (ADA) (se abre en una nueva pestaña) ofrece una amplia protección contra la discriminación a las personas con discapacidad en el ámbito laboral, en los servicios públicos y en los establecimientos públicos.
- La Norma de Protección de la Privacidad Infantil en Internet (COPPA) (se abre en una nueva pestaña), cuya aplicación corre a cargo de la FTC, se aplica a los servicios en línea, los sitios web comerciales y las aplicaciones móviles que, de forma consciente o inconsciente, recopilan información de menores de 13 años, y prohíbe las prácticas desleales y engañosas relacionadas con la recopilación, el uso y la divulgación de su información personal en Internet.
[Lea también: ¿En qué consiste la supervisión de datos sensibles?] (se abre en una nueva pestaña)
- La Ley de Derechos Educativos y Privacidad de la Familia (FERPA) (se abre en una nueva pestaña) es una ley federal que otorga a los padres el derecho a acceder al expediente académico de sus hijos, el derecho a que se modifique dicho expediente y el derecho a ejercer cierto control sobre la divulgación de la información de carácter personal (PII) de sus hijos que figure en dicho expediente. La ley FERPA se aplica a todas las instituciones educativas que reciben fondos federales.
Energía, petróleo y gas
Además de la normativa en materia de protección de datos, ciberseguridad y seguridad en el trabajo, que también se aplica a otros sectores, el sector de la energía, el petróleo y el gas (se abre en una nueva pestaña) está sujeto a leyes, reglamentos y normas promulgadas por:
- Las normas del Instituto Americano del Petróleo (API) (se abre en una nueva pestaña) son reglas y protocolos que permiten que diferentes aplicaciones de software se comuniquen e intercambien datos de forma eficiente y segura entre diversos sistemas y plataformas.
- Las normas de la Agencia de Protección Medioambiental de EE. UU. (EPA) (se abre en una nueva pestaña) relativas a las emisiones y a la protección del medio ambiente, entre las que se incluyen la Ley de Aire Limpio (se abre en una nueva pestaña), la Ley de Agua Limpia (se abre en una nueva pestaña) y la Ley de Agua Potable Segura (se abre en una nueva pestaña).
- La Comisión Federal Reguladora de la Energía (FERC) (se abre en una nueva pestaña) regula el transporte interestatal y la venta al por mayor de electricidad, gas natural y petróleo. Garantiza que estas transacciones sean justas y razonables y supervisa la fiabilidad del sistema eléctrico mayorista.
- Las normas ISO (se abre en una nueva pestaña) constituyen un marco común para muchos tipos de organizaciones con el fin de garantizar la calidad, la seguridad y la eficiencia. Las empresas del sector de la energía, el petróleo y el gas utilizan normas ISO como la ISO 31000 (se abre en una nueva pestaña) para la gestión de riesgos y la ISO 14001 (se abre en una nueva pestaña) para la gestión medioambiental.
Federal/Gubernamental
Las agencias federales (se abre en una nueva pestaña) (incluidos los gobiernos estatales y locales (se abre en una nueva pestaña)) deben cumplir con toda la normativa federal. Las empresas que colaboran con organismos federales también deben cumplir con una normativa específica. Entre ellas se incluyen normativas que exigen controles estrictos de ciberseguridad para proteger la confidencialidad, la integridad y la disponibilidad de los datos sensibles. Otras normas regulan la conducta empresarial y la presentación de informes.
Entre las normativas relativas a los organismos federales se incluyen:
- La Certificación del Modelo de Madurez en Ciberseguridad 2.0 (CMMC) (se abre en una nueva pestaña) es un marco establecido por el Departamento de Defensa de los Estados Unidos (DoD) para garantizar que los contratistas del sector de la defensa cumplan con rigurosas prácticas de ciberseguridad. Evalúa a las organizaciones en distintos niveles de madurez, desde el básico hasta el avanzado, con el fin de proteger la información no clasificada controlada (CUI), que, aunque no está clasificada, requiere medidas de protección.
Cualquier empresa que tenga un contrato con el Departamento de Defensa (DoD) o que subcontrate a una empresa que venda al DoD debe contar con la certificación CMMC, incluidos los fabricantes, las empresas tecnológicas y otros sectores.
[Lea también: ¿Qué implica el CMMC para mi empresa?] (se abre en una nueva pestaña)
- El Suplemento del Reglamento Federal de Adquisiciones de Defensa (DFARS) (se abre en una nueva pestaña) exige a quienes tengan contratos directos con el Departamento de Defensa que cumplan unas normas específicas de ciberseguridad. Esto abarca una amplia gama de partes interesadas, tales como subcontratistas, fabricantes de equipamiento militar, proveedores de servicios informáticos y otras entidades que participan en proyectos relacionados con la defensa.
- La Ley de Reclamaciones Falsas (FCA) (se abre en una nueva pestaña) prohíbe a todas las organizaciones, incluidos los contratistas del sector de la defensa y los proveedores de asistencia sanitaria, presentar reclamaciones falsas o fraudulentas para obtener pagos, so pena de incurrir en sanciones, que pueden incluir multas económicas y la posible exclusión de los programas federales.
- La Ley Federal de Modernización de la Seguridad de la Información (FISMA) (se abre en una nueva pestaña) exige a cada organismo federal que elabore, documente y ponga en práctica un programa para todo el organismo con el fin de garantizar la seguridad de la información y los sistemas que respaldan las operaciones y los activos del mismo.
- FedRAMP (se abre en una nueva pestaña) es un programa de ámbito gubernamental que fomenta la adopción de servicios en la nube seguros en todo el Gobierno federal, proporcionando un enfoque estandarizado en materia de seguridad y evaluación de riesgos para las tecnologías en la nube y los organismos federales. Si un servicio en la nube cuenta con la autorización de FedRAMP (se abre en una nueva pestaña), significa que se ha certificado que cumple los requisitos de ciberseguridad para su uso por parte de los organismos públicos.
- El Reglamento sobre el Tráfico Internacional de Armas (ITAR) (se abre en una nueva pestaña) regula la exportación e importación de artículos y servicios relacionados con la defensa, incluidos los de los contratistas de defensa, las empresas aeroespaciales, los laboratorios de investigación y las universidades.
- Las normas del Marco de Ciberseguridad del NIST (CSF) (se abre en una nueva pestaña), entre las que se incluyen la NIST 800-171 (se abre en una nueva pestaña), la norma NIST 800-53 (se abre en una nueva pestaña) y la Publicación Especial 800-12 , Revisión 1, del NIST (se abre en una nueva pestaña), deben ser respetadas por los organismos públicos para garantizar la integridad, la confidencialidad y la disponibilidad de sus sistemas de información y datos. En función de sus actividades, es posible que algunas agencias federales, como aquellas que manejan información no clasificada, también deban cumplir con las Normas Federales de Procesamiento de la Información (FIPS) (se abre en una nueva pestaña), elaboradas por el NIST para su uso en los sistemas informáticos federales.
Servicios financieros
La normativa sobre servicios financieros (se abre en una nueva pestaña) tiene por objeto prevenir actividades ilegales, como el blanqueo de capitales, la divulgación ilícita de información financiera y otros delitos. Además, las entidades de servicios financieros deben mantenerse al corriente de diversas leyes de protección al consumidor, entre las que se incluyen la Ley de Divulgación de Hipotecas Residenciales (HMDA), la Ley de Veracidad en los Préstamos (TILA), la Ley de Facturación Justa en el Crédito (FCDA), la Ley de Informes Crediticios Justos (FCRA) y la Ley de Transacciones Crediticias Justas y Precisas (FACTA).
Entre otras normativas aplicables a las entidades financieras se incluyen:
- Normativa contra el blanqueo de capitales (AML) (se abre en una nueva pestaña) están diseñadas para impedir que los delincuentes utilicen las entidades financieras para blanquear dinero o financiar el terrorismo. Entre las normas específicas se incluyen:
- La Ley de Secreto Bancario (BSA) (se abre en una nueva pestaña) exige a las entidades financieras que mantengan registros de las transacciones financieras, presenten informes sobre transacciones en efectivo de cuantía elevada y denuncien cualquier actividad sospechosa.
- La Red de Control de Delitos Financieros (FinCEN) (se abre en una nueva pestaña) exige a las entidades financieras que establezcan programas contra el blanqueo de capitales, mantengan registros y notifiquen las actividades sospechosas.
- Las normas «Conozca a su cliente» (KYC) (se abre en una nueva pestaña) exigen a las entidades que verifiquen la identidad de las personas que abren cuentas
- La Norma Común de Comunicación de Información (CRS) (se abre en una nueva pestaña) es una norma mundial para el intercambio automático de información sobre cuentas financieras entre las autoridades fiscales. Elaborado por la OCDE en 2014, tiene por objeto combatir la evasión fiscal exigiendo a las entidades financieras que comuniquen a las autoridades fiscales la información relativa a los titulares de cuentas.
- La Ley sobre Prácticas Corruptas en el Extranjero (FCPA) (se abre en una nueva pestaña) prohíbe el pago de cualquier cosa de valor a funcionarios de gobiernos extranjeros o a otras personas con el fin de obtener una ventaja comercial. La FCPA incluye normas y sanciones relacionadas con el soborno y las prácticas contables que podrían utilizarse para ocultar el soborno.
- La Ley Gramm-Leach-Bliley (GLBA) (se abre en una nueva pestaña) exige a las entidades financieras que apliquen medidas de seguridad para proteger los datos de los clientes, incluida la obligación de informar a estos sobre las políticas y prácticas de privacidad. La GLBA también impone restricciones al intercambio de información personal no pública (NPI) con terceros y exige medidas de seguridad contra el acceso no autorizado a dicha información.
- La Ley Sarbanes-Oxley de 2002 (SOX) (se abre en una nueva pestaña) se promulgó como respuesta a varios escándalos contables de gran envergadura en el ámbito empresarial, con el fin de reforzar el gobierno corporativo, mejorar la transparencia financiera y prevenir el fraude contable. La ley SOX exige una presentación de información financiera más rigurosa, controles internos y una mayor rendición de cuentas por parte de las empresas que cotizan en bolsa, y establece sanciones severas en caso de incumplimiento.
Asistencia sanitaria
Muchas normativas sanitarias (se abre en una nueva pestaña) se refieren a la privacidad y la seguridad de los datos de los pacientes, mientras que otras se refieren a la interoperabilidad de los datos y a las prácticas comerciales ilícitas. La Administración para el Control de Drogas de EE. UU. (DEA) (se abre en una nueva pestaña) y la Administración de Alimentos y Medicamentos de EE. UU. (FDA) (se abre en una nueva pestaña) se encuentran entre los principales organismos reguladores del sector.
Entre los demás órganos de gobierno y normativas aplicables a las organizaciones sanitarias se incluyen:
- La Ley «21st Century Cures» de 2016 (se abre en una nueva pestaña) exige a los profesionales sanitarios que faciliten a los pacientes el acceso a sus historiales médicos electrónicos. Esta ley fomenta la interoperabilidad entre las organizaciones sanitarias mediante el uso de interfaces de programación de aplicaciones (API) y otras tecnologías.
- La Ley contra el soborno (AKS) (se abre en una nueva pestaña) prohíbe el pago consciente y deliberado de «remuneración» con el fin de inducir o recompensar la derivación de pacientes o la generación de negocio relacionado con cualquier artículo o servicio sufragado por los programas sanitarios federales (por ejemplo, medicamentos, material sanitario o servicios sanitarios para pacientes de Medicare o Medicaid).
- El Departamento de Salud y Servicios Humanos de los Estados Unidos (HHS) (se abre en una nueva pestaña) y la Oficina del Inspector General (OIG) (se abre en una nueva pestaña) regulan las organizaciones sanitarias para garantizar el cumplimiento de la legislación federal. El HHS supervisa programas como Medicare y Medicaid, mientras que la OIG lucha contra el fraude y los abusos y ofrece orientación en materia de cumplimiento normativo.
- La Ley de Tecnología de la Información Sanitaria para la Salud Económica y Clínica (HITECH) (se abre en una nueva pestaña) refuerza las medidas de protección de la privacidad y la seguridad de la HIPAA, especialmente en lo que respecta a la información sanitaria electrónica. Asimismo, fomenta el uso de historias clínicas electrónicas (HCE) mediante criterios de uso significativo e incentivos económicos.
- La HIPAA (se abre en una nueva pestaña) incluye la Norma de Privacidad (que establece las normas para el uso y la divulgación de la información sanitaria protegida, o PHI) y la Norma de Seguridad (que establece las normas para la protección de la información sanitaria protegida en formato electrónico, o ePHI). La Norma sobre notificación de violaciones exige a las entidades afectadas, como los proveedores de asistencia sanitaria y las aseguradoras, que notifiquen a las personas afectadas cualquier divulgación no autorizada de información médica protegida (PHI).
- La Ley de Protección al Paciente y de Asistencia Sanitaria Asequible (ACA) (se abre en una nueva pestaña) regula los mercados de seguros médicos, la ampliación de Medicaid y la creación de nuevos modelos de pago y prestación de servicios. Asimismo, incluye disposiciones relativas a la protección de la privacidad en el ámbito sanitario y a la prevención del fraude.
- La Ley de la Seguridad Social (se abre en una nueva pestaña) regula la financiación y los requisitos de Medicare, Medicaid, CHIP y otros programas.
Fabricación
La normativa aplicable al sector manufacturero (se abre en una nueva pestaña) incluye las normas de la EPA, la OSHA y la FTC, así como otras normas generales que se aplican al comercio, junto con normativas específicas destinadas a proteger los equipos de fabricación y a cumplir los requisitos de seguridad de los datos.
Por ejemplo:
- La Ley de Embalaje y Etiquetado Justo (FPLA) (se abre en una nueva pestaña) exige que todos los productos de consumo, salvo los alimentos, los medicamentos, los dispositivos terapéuticos y los cosméticos, vayan etiquetados de forma que se indique el contenido neto, la identidad del producto, así como el nombre y el domicilio social del fabricante, envasador o distribuidor del producto.
- Las normas de buenas prácticas de fabricación (BPF) (se abre en una nueva pestaña) garantizan que los productos se fabriquen y controlen de forma sistemática de acuerdo con los estándares de calidad.
- La norma ISA/IEC 62443 (se abre en una nueva pestaña) es una serie de normas internacionales centradas en la ciberseguridad de los sistemas de automatización y control industrial (IACS), que ofrece un enfoque estructurado para la gestión de riesgos, las políticas de seguridad y la gestión del ciclo de vida con el fin de proteger las infraestructuras críticas frente a las ciberamenazas.
- Las empresas manufactureras pueden aprovechar normas ISO como la ISO 9001 (se abre en una nueva pestaña) para la gestión de la calidad, la ISO 14001 (se abre en una nueva pestaña) para la gestión medioambiental y la ISO 45001 (se abre en una nueva pestaña) para la salud y la seguridad en el trabajo.
Tecnología
En el sector tecnológico (se abre en una nueva pestaña), la normativa aplicable abarca la protección y la seguridad de los datos, la información sobre pagos y las normas de seguridad, entre las que se incluyen la HIPAA, el NIST, la PCI DSS y el RGPD. Las empresas tecnológicas que mantienen relaciones comerciales con la Administración también pueden estar sujetas a normativas gubernamentales como el DFARS y el ITAR.
Es posible que las empresas tecnológicas también tengan que cumplir con normativas relacionadas con las tecnologías de la información, tales como:
- La Ley de Inteligencia Artificial (IA) de la Unión Europea (se abre en una nueva pestaña) entró en vigor en August 2024. Este marco tiene por objeto regular el uso y el desarrollo de la inteligencia artificial en la Unión Europea, garantizando que los sistemas de inteligencia artificial sean fiables, respeten los derechos fundamentales y se ajusten a los principios éticos. La ley comenzará a aplicar sanciones el año que viene.
- La norma ISO 27001 (se abre en una nueva pestaña) es una norma esencial que proporciona un marco para gestionar la seguridad de la información de una organización y proteger los activos de información, cumplir con los requisitos legales y reglamentarios, y reducir el riesgo de filtraciones de datos.
- El «Sistema y controles operativos Tipo 2 (SOC 2) » (se abre en una nueva pestaña) es un marco de información establecido por el Instituto Americano de Contables Públicos Certificados (AICPA) (se abre en una nueva pestaña) para evaluar los controles relacionados con la seguridad, la disponibilidad, la integridad, la confidencialidad y la privacidad de los datos de los usuarios.
Tras haber esbozado muchas de las normas de cumplimiento específicas de cada sector, queda claro que cada uno de ellos se enfrenta a retos normativos propios. Sin embargo, a pesar de estas diferencias, los elementos fundamentales de un programa eficaz de gestión del cumplimiento normativo siguen siendo los mismos en todos los sectores.
En la siguiente sección se explicarán los componentes esenciales para desarrollar un programa sólido de gestión del cumplimiento normativo. Las organizaciones pueden sentar unas bases sólidas para una gestión eficaz del cumplimiento normativo mediante la comprensión y la aplicación de estos elementos.
¿Qué se necesita para desarrollar un programa eficaz de gestión del cumplimiento normativo?
Cualquier organización que pretenda cumplir con las normas legales y reglamentarias y, al mismo tiempo, minimizar los riesgos, debe crear un programa eficaz de gestión del cumplimiento normativo.
Teniendo en cuenta los retos actuales en materia de seguridad y cumplimiento normativo, existen una serie de elementos clave que son imprescindibles para desarrollar un programa sólido de gestión del cumplimiento normativo. A la hora de desarrollar un programa sólido de gestión del cumplimiento normativo, las organizaciones deben tener en cuenta el papel fundamental que desempeña la automatización en la optimización de los procesos, la necesidad de documentar exhaustivamente las actividades de cumplimiento normativo y la importancia de la formación de los empleados para fomentar una cultura de cumplimiento normativo en la empresa.
Asimismo, analizaremos la importancia de la gobernanza y la supervisión, la necesidad de un seguimiento y una auditoría continuos, así como la elaboración de políticas y procedimientos exhaustivos. También abordaremos los aspectos fundamentales de la corrección de deficiencias y la integración de la gestión y la evaluación de riesgos, haciendo hincapié en cómo el cumplimiento normativo y el riesgo se influyen mutuamente.
Automatización
La automatización es el futuro del cumplimiento normativo y la gestión de riesgos. Los entornos informáticos actuales son variados y complejos; una gran empresa típica gestiona una media de 135,000 terminales (se abre en una nueva pestaña).
Supervisar y gestionar el cumplimiento normativo en este entorno tan complejo puede resultar abrumador, pero la automatización puede simplificar enormemente el proceso. Por ejemplo, la automatización de los análisis de los dispositivos finales en busca de vulnerabilidades de seguridad (se abre en una nueva pestaña) o de actividades sospechosas facilita a los equipos de TI y de cumplimiento normativo la detección temprana de posibles problemas.
Las organizaciones deberían centrarse en la automatización para agilizar los flujos de trabajo y reducir los errores humanos. Esto puede mejorar considerablemente el cumplimiento normativo y la gestión de riesgos. La automatización también reduce los costes al aumentar la eficiencia y reducir la necesidad de tareas manuales. Este cambio permite a los equipos centrarse en los análisis importantes, en lugar de en tareas repetitivas que requieren mucho tiempo.
Documentación
La documentación de las actividades de cumplimiento es esencial para garantizar el cumplimiento de los requisitos legales y reglamentarios. Documentar las políticas y los procedimientos aplicados, mantener registros detallados de los problemas conocidos y llevar a cabo auditorías periódicas permite a las organizaciones demostrar su cumplimiento durante las auditorías e inspecciones. Lo ideal sería que las soluciones de gestión de TI y de cumplimiento normativo generaran la documentación de forma automática.
Formación de los empleados
Impartir formación periódica en materia de cumplimiento normativo es otro componente fundamental para garantizar que tanto los empleados como los directivos respeten las políticas de cumplimiento y de seguridad relacionadas, ya que sus acciones pueden poner en peligro el estado de cumplimiento de la organización.
Ya sea por incumplir la normativa HIPAA al gestionar de forma inadecuada la información de los pacientes o, simplemente, por utilizar software no autorizado que le impida garantizar las prácticas aceptables de tratamiento de datos exigidas por normativas como el Reglamento General de Protección de Datos (RGPD), tanto las personas como los equipos de toda la organización deben cumplir con las normas y reglamentos en su trabajo diario para mantener el cumplimiento normativo.
Los empleados necesitarán formación sobre lo que se espera de ellos, los riesgos que deben tener en cuenta y cómo desempeñar su trabajo de manera que se respeten los requisitos de cumplimiento correspondientes a sus funciones. Además, necesitarán formación sobre cómo utilizar las herramientas informáticas con las que trabajan habitualmente de manera que contribuyan al cumplimiento normativo.
Gobernanza y supervisión
La gestión del cumplimiento normativo es algo más que una mera tarea de los responsables de cumplimiento y los equipos de TI. Los directivos empresariales y los miembros de los consejos de administración deben participar en la fijación de objetivos, la elaboración de estrategias, el análisis de resultados y la definición de la orientación a seguir. Los equipos de TI y los responsables de cumplimiento normativo deberían poder llevar a cabo estos cambios con rapidez, sabiendo que cuentan con el apoyo de la dirección de la organización.
Seguimiento y auditoría
Las organizaciones deben supervisar de forma continua la actividad empresarial y las operaciones de TI para garantizar el cumplimiento normativo. Los equipos de cumplimiento normativo deben realizar auditorías periódicamente. Siempre que sea posible, deberían utilizar herramientas que ofrezcan informes en tiempo real para detectar posibles riesgos o incumplimientos normativos en el momento en que se produzcan, en lugar de esperar a que los problemas se pongan de manifiesto en los informes mensuales, trimestrales o anuales.
La ciberseguridad y el cumplimiento normativo resultan más sencillos cuando las auditorías de cumplimiento se automatizan y se realizan de forma continua.
Políticas y procedimientos
La elaboración de políticas de cumplimiento normativo también resulta esencial para cumplir con las normas legales y reglamentarias. Las políticas establecen directrices y marcos que definen expectativas claras para orientar las acciones y garantizar el cumplimiento de los requisitos. Los responsables de cumplimiento normativo y los expertos en gestión de riesgos de una organización deben colaborar con los responsables de las áreas de negocio y de TI para elaborar políticas y procedimientos internos que fomenten el cumplimiento normativo.
Las políticas y los procedimientos deben documentarse y difundirse ampliamente. Asimismo, deberían servir de base para evaluar las soluciones de gestión del cumplimiento normativo y para poner en marcha programas de formación en materia de cumplimiento normativo.
Además, el uso de paneles de control en tiempo real para garantizar el cumplimiento de las políticas internas y la normativa del sector puede permitir a las organizaciones adoptar medidas correctivas para mejorar la gestión del cumplimiento lo antes posible.
Remediación
Cuando los datos sobre la actividad indican que podrían producirse infracciones, los responsables empresariales y los equipos de TI deben actuar con rapidez.
Las herramientas esenciales de gestión de TI deben incluir soluciones de gestión de terminales (se abre en una nueva pestaña) capaces de automatizar medidas correctivas, como poner en cuarentena los terminales en riesgo e instalar parches para protegerse frente a nuevos ataques, utilizando una plataforma centralizada que permita que la corrección sea rápida y eficaz.
Gestión de riesgos
Dar prioridad a las evaluaciones periódicas de vulnerabilidades y riesgos permite a las organizaciones adelantarse a las amenazas y mantener el cumplimiento normativo, al identificar y subsanar las deficiencias de seguridad antes de que puedan ser aprovechadas.
Si bien la gestión de riesgos por sí sola ofrece información valiosa sobre posibles amenazas y vulnerabilidades, solo refleja una parte de la realidad. Las ventajas se multiplican considerablemente cuando se combinan con la gestión del cumplimiento normativo en una solución unificada que aprovecha los datos en tiempo real para optimizar los procesos en todo el entorno.
Cuando las organizaciones analizan los objetivos de cumplimiento normativo desde la perspectiva de la gestión de riesgos, comprenden mejor ambos aspectos.
Mediante un enfoque de cumplimiento basado en el riesgo, las organizaciones pueden identificar con mayor facilidad los requisitos de cumplimiento y las estrategias de gestión de riesgos que necesitan. En consecuencia, pueden tomar mejores decisiones sobre los recursos y procesos informáticos para respaldar estos objetivos. Cualquier factor que ponga en peligro dichos recursos y procesos constituye un riesgo significativo y debe gestionarse, evaluarse y controlarse.
Ahora que hemos definido los componentes clave de un programa eficaz de gestión del cumplimiento normativo, es importante plantearse cómo mejorar y perfeccionar un programa ya existente. En esta sección se analizarán las formas de mejorar la gestión del cumplimiento normativo. Asimismo, compartiremos consejos sobre cómo utilizar las nuevas tecnologías, optimizar los procesos y garantizar una mejora continua para mantener el cumplimiento normativo.
Cómo mejorar su programa de gestión del cumplimiento normativo
Hoy en día, la mayoría de las organizaciones ya cuentan con algún tipo de programa de cumplimiento. No obstante, la normativa se actualiza con frecuencia y se aprueban nuevas normas. Las amenazas cibernéticas evolucionan y se vuelven cada vez más sofisticadas. Las fusiones y adquisiciones introducen nuevas pilas tecnológicas y flujos de trabajo que pueden generar nuevos riesgos.
Con todos estos cambios, ¿cómo puede saber si un programa de cumplimiento creado hace unos años sigue satisfaciendo sus necesidades?
Analicemos las mejores estrategias para mejorar su programa de gestión del cumplimiento normativo, ayudar a su organización a cumplir los requisitos reglamentarios y reducir los riesgos.
- Mantenerse a la vanguardia de un panorama normativo en constante evolución: Las organizaciones deben cumplir con normativas en constante cambio en múltiples jurisdicciones y regiones. Los responsables de cumplimiento normativo deben comprender dichas normativas y ser capaces de traducirlas en políticas que puedan supervisarse y aplicarse en todos sus equipos y entornos informáticos.
La centralización y la automatización pueden desempeñar un papel fundamental a la hora de ayudar a las organizaciones a garantizar que todas sus operaciones cumplan con la normativa aplicable. - Prevención y mitigación de las amenazas cibernéticas: la seguridad de los datos es fundamental para la gestión del cumplimiento normativo. Las organizaciones pueden recurrir a la centralización y la automatización para supervisar todos los dispositivos finales (se abre en una nueva pestaña) y los recursos de sus entornos informáticos, lo que les permite tener una visión global en tiempo real. Asimismo, pueden configurar actualizaciones continuas para solucionar rápidamente las vulnerabilidades de seguridad conocidas.
Ofrecer a los equipos de seguridad un control en tiempo real incluso sobre los terminales más remotos contribuye a garantizar que las amenazas se puedan detectar y subsanar con rapidez. - Integración perfecta con las soluciones clave: Las medidas de cumplimiento deben complementar, y no interrumpir, las operaciones e iniciativas existentes. Mediante la implantación de un software de gestión del cumplimiento normativo que se integre fácilmente con los sistemas empresariales existentes y las herramientas de gestión de TI, podrá garantizar que los procesos de cumplimiento normativo nunca perturben las operaciones empresariales, al tiempo que proporciona la información y los controles esenciales para protegerlas frente a las ciberamenazas u otros riesgos.
- Mejorar la colaboración: Una solución integral para el cumplimiento normativo y los riesgos asociados fomenta una comunicación y una coordinación más eficaces entre los departamentos y las partes interesadas clave, mediante el establecimiento de protocolos claros de seguridad de los datos que permiten dar prioridad a otras iniciativas. Los equipos pueden trabajar de forma más cohesionada y eficaz utilizando los mismos paneles de datos, marcos de elaboración de informes y herramientas.
Cuando se aborda como una disciplina aislada —por ejemplo, un proyecto trimestral específico destinado a satisfacer a los auditores y a la alta dirección, o como respuesta apresurada a una nueva normativa que parece haber surgido de la nada—, un sistema de gestión del cumplimiento normativo independiente suele resultar insuficiente. Se convierte en un proceso reactivo, incompleto y demasiado centrado en unas pocas normativas de gran repercusión, en lugar de ser un proceso integral, continuo y eficaz para proteger y respaldar a la organización y su actividad empresarial.
Este enfoque reaccionario de la gestión del cumplimiento normativo dificulta ofrecer una visión global de la situación general de riesgo de la organización o contribuir a abordar la naturaleza dinámica de los riesgos que pueden derivarse de un panorama de amenazas en constante evolución, de relaciones empresariales dinámicas y de otros cambios continuos a los que las organizaciones se enfrentan a diario.
La integración de la gestión del cumplimiento normativo con la gestión de riesgos resulta esencial para proteger a la organización y garantizar que las iniciativas de cumplimiento se basen en un conocimiento profundo de los riesgos a los que se enfrenta la organización y viceversa.
Analicemos por qué la gestión del cumplimiento normativo por sí sola resulta insuficiente y cómo la incorporación de la gestión de riesgos puede dar lugar a un enfoque más resiliente y proactivo para proteger a una organización.
Por qué la gestión del cumplimiento normativo por sí sola no es suficiente
Los entornos de TI —que abarcan servicios en la nube, dispositivos móviles, lagos de datos y dispositivos del Internet de las cosas— se han vuelto cada vez más complejos. Los ciberataques son más sigilosos y numerosos que nunca, y las nuevas tecnologías, como la inteligencia artificial (se abre en una nueva pestaña), prometen complicar aún más la defensa frente a estos ataques cada vez más sofisticados.
Para hacer frente a los retos actuales en materia de cumplimiento normativo y, al mismo tiempo, protegerse contra las amenazas cibernéticas, las organizaciones necesitan una solución única e integrada para la gestión del cumplimiento normativo y la reducción de riesgos, y no un conjunto inconexo de herramientas. Al eliminar la confusión y la sobrecarga que suponen el uso de herramientas, paneles de control y terminologías dispares, una única plataforma agiliza los flujos de trabajo y contribuye a garantizar que ningún dato u operación crítica se pase por alto.
Una plataforma unificada de cumplimiento normativo y gestión de riesgos es lo que necesitan las organizaciones para lograr una visibilidad y una gobernanza claras. Imagine disponer de un sistema que analice toda su empresa en busca de vulnerabilidades y nuevos ataques a la cadena de suministro, automatizando tareas esenciales como la instalación de los últimos parches en los terminales de Microsoft, los servidores Linux y todo tipo de terminales intermedios, para garantizar que sus defensas estén siempre actualizadas.
Las ventajas de centralizar las iniciativas de gestión de riesgos y cumplimiento normativo no se detienen ahí; esta solución con panel de control único también permite generar informes de cumplimiento fáciles de entender que pueden utilizar todos, desde los ingenieros de TI hasta los auditores externos y los consejos de administración, de modo que su organización se mantenga un paso por delante de las posibles amenazas y conserve una sólida postura de cumplimiento sin esfuerzo.
Tanium Risk & Compliance (se abre en una nueva pestaña) ofrece a las organizaciones visibilidad en tiempo real mediante la supervisión continua de los terminales y un conjunto completo de herramientas para hacer frente a las vulnerabilidades y restablecer el buen estado de los activos, todo ello desde una única plataforma automatizada: la plataforma Tanium (se abre en una nueva pestaña).
Con Tanium, las organizaciones disponen de una plataforma única y unificada para gestionar el riesgo y el cumplimiento normativo a gran escala. Ofrece una visibilidad completa de todos los riesgos de los terminales y de los incidentes de incumplimiento, proporcionando el contexto que los equipos necesitan para subsanar dichas vulnerabilidades. Además, permite a los equipos de seguridad y operaciones consolidar múltiples soluciones puntuales en un único agente y una única plataforma.
Además, Tanium Autonomous Endpoint Management (AEM) (se abre en una nueva pestaña) amplía la plataforma Tanium con potentes capacidades de inteligencia artificial y aprendizaje automático (se abre en una nueva pestaña), entre las que se incluyen:
Inteligencia en la nube en tiempo real: mida y analice hasta el más mínimo efecto de los cambios en los terminales para predecir con confianza y en tiempo real el impacto de dichos cambios.
Automatización y orquestación: amplíe y potencie el valor de los conocimientos especializados más valiosos mediante la captura y el diseño de procesos de automatización dinámicos y reutilizables que abarquen casos de uso tanto de las operaciones de TI como de las de seguridad.
Plantillas y ciclos de implementación: minimice las interrupciones implementando los cambios en los terminales de acuerdo con el ritmo de la empresa.
Concierte una demostración personalizada (se abre en una nueva pestaña) para descubrir cómo Tanium puede ayudarle en la gestión del cumplimiento normativo y en sus iniciativas de seguridad relacionadas.
