Gestionar una empresa implica muchas más cosas que vender un producto, prestar un servicio o conseguir nuevos clientes. Desde el momento en el que tenemos trabajadores, recopilamos información de clientes, utilizamos determinados programas o empezamos a desarrollar una actividad profesional, aparecen obligaciones que debemos conocer. Algunas resultan bastante evidentes, mientras que otras pueden pasar desapercibidas hasta que surge una inspección, recibimos una reclamación o alguien nos pregunta por un procedimiento que nunca habíamos pensado que necesitábamos.
El problema es que hablar de cumplimiento normativo puede sonar bastante complicado. Nos encontramos con leyes, reglamentos, protocolos, documentos y procedimientos que no siempre resultan fáciles de interpretar si no estamos acostumbrados a trabajar con ellos. Sin embargo, podemos entenderlo de una manera mucho más sencilla. Cumplir la normativa consiste en conocer qué obligaciones afectan realmente a nuestra actividad, establecer medidas para respetarlas y revisar periódicamente que aquello que hemos organizado continúa funcionando.
Además, las obligaciones no son exactamente iguales para todas las empresas. Influyen cuestiones como el número de trabajadores, la actividad que desarrollamos, los datos personales que tratamos o los servicios que ofrecemos. Por eso resulta poco útil copiar todos los documentos de otra empresa y pensar que con eso ya hemos terminado. El cumplimiento debería partir de nuestra situación real y evolucionar a medida que cambia el negocio.
El primer paso es saber qué obligaciones afectan realmente a nuestra empresa
Uno de los errores más fáciles de cometer consiste en intentar cumplir una normativa sin haber analizado previamente nuestra situación. Una pequeña tienda, una empresa industrial y un negocio digital pueden compartir determinadas obligaciones, pero también enfrentarse a requisitos muy diferentes. El número de empleados, la actividad, los riesgos asociados al trabajo y el tipo de información que manejamos son algunos de los factores que debemos tener en cuenta antes de preparar cualquier procedimiento.
Esto significa que el cumplimiento normativo debería comenzar con una especie de fotografía de nuestra empresa. Necesitamos saber qué hacemos, quién trabaja con nosotros, qué datos recopilamos, qué proveedores utilizamos y qué procesos desarrollamos habitualmente. A partir de ahí resulta mucho más sencillo detectar las áreas que necesitan nuestra atención. De lo contrario, corremos el riesgo de acumular documentos que realmente no sabemos para qué sirven mientras dejamos sin atender cuestiones que sí afectan directamente al negocio.
Esta parte es especialmente importante para las pequeñas empresas. Cuando tenemos pocos trabajadores, podemos pensar que determinadas obligaciones solamente afectan a grandes organizaciones, pero no siempre ocurre así. Algunas normas dependen del tamaño y otras se aplican simplemente por el hecho de realizar una determinada actividad. Antes de dar por hecho que algo no nos afecta, resulta mucho más sensato comprobarlo. Conocer nuestras obligaciones desde el principio también puede ayudarnos a evitar problemas que después sean más difíciles de solucionar.
La protección de datos forma parte del funcionamiento cotidiano
Prácticamente cualquier empresa maneja datos personales. Podemos tener nombres, teléfonos y correos electrónicos de clientes, currículums de candidatos, información de trabajadores, datos de proveedores o formularios enviados a través de nuestra página web. Muchas veces tratamos esta información de manera completamente cotidiana y precisamente por eso podemos olvidar que detrás de cada dato existe una persona y unas obligaciones relacionadas con su utilización.
La Agencia Española de Protección de Datos explica que las organizaciones que tratan datos personales deben adoptar medidas relacionadas con aspectos como la licitud de los tratamientos, el registro de actividades, el análisis de riesgos, la seguridad, la información ofrecida a las personas y los procedimientos para atender sus derechos. Esto nos permite entender que proteger los datos no consiste simplemente en añadir un aviso legal a una página web. Tenemos que pensar en todo el recorrido que realiza la información dentro de nuestra organización.
También debemos preguntarnos quién puede acceder a esos datos y durante cuánto tiempo necesitamos conservarlos. Guardar información indefinidamente porque quizá algún día pueda servirnos no es una buena forma de trabajar. Tampoco lo es permitir que cualquier empleado tenga acceso a información que no necesita para realizar sus funciones. Organizar permisos, establecer procedimientos y revisar la seguridad de las herramientas que utilizamos puede ayudarnos a tratar la información de una manera mucho más responsable.
Los trabajadores también necesitan conocer las normas internas
Podemos tener una documentación perfectamente preparada y, aun así, encontrarnos con problemas si las personas que trabajan en la empresa desconocen cómo deben actuar. Imaginemos que tenemos un procedimiento para proteger información confidencial, pero nadie ha explicado a los trabajadores cómo utilizarlo. En la práctica, ese documento servirá de bastante poco. El cumplimiento no debería quedarse guardado en una carpeta a la que solamente accedemos cuando alguien nos solicita información.
La formación y la comunicación interna tienen un papel importante. Un trabajador que maneja datos personales necesita saber qué puede hacer con ellos. Quien utiliza determinados equipos debe conocer las medidas de seguridad correspondientes. Las personas que reciben documentación confidencial también deberían saber dónde almacenarla y con quién pueden compartirla. No necesitamos convertir a todos los trabajadores en expertos jurídicos, pero sí proporcionar instrucciones comprensibles relacionadas con sus tareas.
También debemos facilitar que puedan plantear dudas. Las situaciones reales no siempre aparecen exactamente como estaban previstas en un manual y pueden surgir casos nuevos a medida que cambia nuestra forma de trabajar. Si existe una persona responsable o un procedimiento claro para consultar determinadas cuestiones, será mucho más sencillo resolverlas antes de que una decisión equivocada termine convirtiéndose en un problema mayor.
El cumplimiento debería adaptarse a la realidad de cada negocio
No todas las empresas necesitan exactamente los mismos procedimientos y por eso resulta importante estudiar cada caso antes de tomar decisiones. Según la información ofrecida por DAPRO Cumplimiento Normativo, dentro de la gestión normativa empresarial podemos encontrarnos con áreas como la protección de datos, la prevención de riesgos laborales, los canales de denuncias o el registro horario. Cada una responde a obligaciones y circunstancias diferentes, por lo que debemos analizar cuáles afectan realmente a nuestra empresa y de qué manera tenemos que aplicarlas.
Este planteamiento evita entender el cumplimiento como una colección de documentos genéricos. Si nuestra actividad cambia, contratamos trabajadores, comenzamos a recopilar nuevos datos o incorporamos herramientas diferentes, algunos procedimientos pueden necesitar una revisión. Lo que resultaba suficiente cuando comenzamos nuestra actividad quizá deje de serlo varios años después porque la propia empresa ha evolucionado.
También debemos evitar el extremo contrario y convertir el cumplimiento en una burocracia imposible de gestionar. Los procedimientos tienen que ser suficientemente claros para que podamos utilizarlos realmente. Si una norma interna es tan complicada que nadie sabe aplicarla, probablemente necesitemos revisarla. El objetivo debería ser integrar las obligaciones dentro del funcionamiento habitual de la empresa, no crear dos mundos separados donde por un lado tenemos el trabajo diario y por otro una enorme carpeta de documentos que nadie consulta.
El canal interno de información es una obligación para determinadas empresas
Durante los últimos años hemos escuchado hablar cada vez más de los canales internos de información, conocidos también de manera habitual como canales de denuncias. Su función es permitir que determinadas personas puedan comunicar posibles infracciones dentro de una organización mediante un sistema que reúna las garantías establecidas legalmente. No se trata simplemente de habilitar una dirección de correo electrónico y olvidarnos de ella.
La Ley 2/2023 establece, entre otros supuestos, la obligación de disponer de un sistema interno de información para las personas físicas o jurídicas del sector privado que tengan contratados cincuenta o más trabajadores. También existen determinados sectores y organizaciones donde esta obligación puede aplicarse con independencia de ese número. La propia ley establece requisitos relacionados con la confidencialidad, la gestión segura de las comunicaciones y la posibilidad de presentar información por escrito o verbalmente.
Cuando revisamos nuestras obligaciones, podemos comprobar algunos aspectos básicos:
- Qué normas afectan concretamente a nuestra actividad.
- Cómo estamos tratando los datos personales.
- Qué personas pueden acceder a información sensible.
- Qué medidas existen en materia de prevención de riesgos laborales.
- Si necesitamos disponer de un sistema interno de información.
- Cómo estamos gestionando el registro de la jornada cuando corresponda.
- Qué procedimientos conocen realmente nuestros trabajadores.
- Cuándo fue la última vez que revisamos la documentación.
- Qué cambios recientes ha experimentado la empresa.
Esta revisión no sustituye un análisis profesional cuando sea necesario, pero puede ayudarnos a detectar cuestiones que llevamos demasiado tiempo dando por hechas.
La documentación tiene que reflejar lo que realmente hacemos
Preparar documentos es una parte importante del cumplimiento, pero debemos evitar pensar que tener un archivo firmado significa automáticamente que estamos haciendo las cosas correctamente. Si un procedimiento indica que determinada información solamente puede ser consultada por dos personas y después descubrimos que diez empleados tienen acceso, existe una diferencia evidente entre aquello que hemos escrito y aquello que sucede realmente.
Por eso conviene revisar periódicamente los procedimientos y comprobar que coinciden con el funcionamiento de la empresa. Podemos preguntarnos si los responsables continúan siendo los mismos, si utilizamos las mismas herramientas, si han aparecido nuevos proveedores o si hemos comenzado a recopilar información que anteriormente no necesitábamos. Incluso cambios aparentemente pequeños pueden afectar a determinados procesos.
Esto es especialmente evidente en protección de datos. Las empresas deben prestar atención a cuestiones como la forma en la que utilizan la información personal, los posibles riesgos, las medidas de seguridad y los procedimientos necesarios para actuar ante una posible brecha de datos. No basta con preparar la documentación una vez y considerar que permanecerá válida para siempre, ya que los procesos, las herramientas y las necesidades de la empresa pueden cambiar con el tiempo.
Cumplir también significa saber reaccionar cuando aparece un problema
Incluso una empresa que trabaja cuidadosamente puede encontrarse con un incidente. Podemos enviar accidentalmente información a una persona equivocada, sufrir un problema de seguridad, detectar un riesgo laboral que no habíamos previsto o recibir una comunicación interna sobre una posible irregularidad. El cumplimiento normativo también consiste en saber qué debemos hacer cuando algo no funciona como esperábamos.
Disponer de procedimientos previos facilita muchísimo estas situaciones. Cuando surge un problema, no es el mejor momento para empezar a preguntarnos quién debe tomar una decisión o dónde está la información necesaria. Tener responsabilidades definidas y saber a quién comunicar cada incidencia puede ayudarnos a responder de manera más ordenada. Además, algunos incidentes pueden estar sujetos a plazos y obligaciones concretas, por lo que actuar rápidamente puede resultar especialmente importante.
También podemos aprender de aquello que ha ocurrido. Si detectamos un error, además de solucionarlo, deberíamos preguntarnos por qué fue posible. Quizá necesitamos modificar un procedimiento, cambiar determinados permisos o explicar mejor una instrucción a los trabajadores. El objetivo no debería ser buscar automáticamente a una persona a la que culpar, sino reducir las posibilidades de que vuelva a ocurrir la misma situación. Analizar cada incidencia puede ayudarnos a descubrir puntos débiles que anteriormente habían pasado desapercibidos. Además, aplicar lo aprendido nos permitirá mejorar poco a poco la forma en la que organizamos y gestionamos determinados procesos dentro de la empresa.
La normativa cambia y nuestra empresa también
Una de las razones por las que el cumplimiento necesita seguimiento es que ninguna empresa permanece exactamente igual durante años. Contratamos personal, cambiamos de oficina, incorporamos programas, modificamos nuestra página web, empezamos a vender nuevos productos o trabajamos con proveedores diferentes. Cada una de estas decisiones puede tener consecuencias que conviene valorar desde el punto de vista normativo.
Las propias normas también evolucionan. Pueden aprobarse nuevas obligaciones, modificarse determinados requisitos o aparecer criterios que afecten a nuestra manera de trabajar. Esto significa que la documentación preparada hace cinco años no debería considerarse automáticamente suficiente en la actualidad. Conviene establecer revisiones periódicas y prestar especial atención cuando se produce algún cambio importante dentro de la organización.
Cumplir la normativa no debería entenderse solamente como una forma de evitar una sanción. También puede ayudarnos a ordenar procesos, definir responsabilidades y saber cómo debemos actuar ante determinadas situaciones. Cuando trabajadores y responsables conocen los procedimientos, resulta más fácil evitar improvisaciones y detectar problemas. Al final, una empresa organizada no es aquella que tiene más documentos, sino aquella que sabe cuáles necesita, por qué los tiene y cómo debe aplicar realmente aquello que aparece escrito en ellos.
