HSE

La dinámica empresarial actual, ha llevado a las organizaciones a contratar de manera externa actividades propias y no propias de acuerdo a su naturaleza, las cuales normalmente se realizaban con personal directo.

Debido a esta dinámica, la Gestión HSE del contratista toma cada día más valor dentro de las organizaciones, a tal punto, que los contratistas son parte integral de nuestros Sistemas de Gestión.

Es necesario dejar atrás la percepción de la figura del contratista como un elemento externo que llega a nuestras organizaciones a realizar un trabajo específico y, además, que son ellos los exclusivos responsables de la seguridad y salud de sus trabajadores.

Y es que no es opcional involucrar al contratista en las actividades HSE internas de la organización; si revisamos la legislación actual, independiente del país en donde nos encontremos, podremos verificar que no solo obliga a las organizaciones a involucrar a los contratistas dentro de las actividades del Sistema de Gestión de Seguridad y Salud en el Trabajo, sino que también hace corresponsables a las empresas contratantes de lo que directamente le pueda suceder al trabajador en materia de su seguridad y salud.

¿Cómo establecer los criterios para la selección del contratista?

Para ello es necesario investigar y conocer aspectos claves de nuestra organización antes de poder determinar estos criterios.

• Determinar el tamaño de la organización
• Cantidad de contratistas a gestionar
• Duración de cada contrato
• Las diferentes actividades que realizan los contratistas
• Nivel de riesgo de las actividades que realizan los contratistas.

Como hemos indicado previamente, es necesario involucrar al contratista como un elemento más de nuestro Sistema de Gestión. Y es por ello que, al momento de realizar la identificación de peligros, valoración de riesgos y determinación de controles, debemos identificar esas actividades, que pueden ser rutinarias o no, y se realizan a través de terceros.

Esta es la entrada principal para determinar el nivel de riesgo de estas actividades y empezar a planificar los controles y requisitos que se solicitarán y así determinar los criterios a tener en cuenta para la selección del contratista. Y no solo los peligros identificados sino también los requisitos legales aplicables a estas actividades, los cuales proporcionarán elementos claves para determinar estos criterios.

Una vez tengamos estos lineamientos básicos, que podrían ser más, podemos empezar a determinar los criterios a tener en cuenta para la selección del contratista.

En este artículo nos enfocaremos en la etapa antes del inicio del contrato, ya que es en esta etapa en donde definiremos los criterios a tener en cuenta para la selección del contratista y que, a mi concepto, es la más importante dentro de la gestión del contratista.

Clasificación del contratista:

Es necesario determinar los tipos de contratista que requiere la organización a través de la clasificación del contratista. La forma de clasificarlos, dependerá de lo que hayamos identificado en el análisis previo, pero podemos tener en cuenta varios elementos para esta clasificación

Podemos clasificar al contratista, por ejemplo, dependiendo de la actividad que vaya a realizar y el nivel de riesgo derivado de esta actividad.

Por ejemplo, podríamos tener contratistas en Categorías TIPO 1 si las actividades que realizará el contratista implican actividades de alto riesgo como trabajo en alturas, trabajos eléctricos, etc.

Categoría TIPO 2 para aquellos contratistas cuyas actividades no implican actividades de alto riesgo, como por ejemplo actividades de oficina.

Esta clasificación dará pie para determinar los requisitos a solicitar al contratista para su contratación y determinar los criterios de selección del contratista, ya que no serán los mismos criterios a evaluar de un contratista TIPO 1 a un contratista TIPO 2 por la naturaleza de sus actividades.

Otro criterio que se puede tener en cuenta para la definición de criterios, podría ser la duración del contrato. Por ejemplo, podríamos tener contratistas TIPO 1 que tengan una duración del contrato de un mes y otros de mayor a un mes.

En este caso tendríamos entonces contratistas TIPO 1 ocasionales, y contratistas TIPO 1 permanentes, entendiendo que los criterios del contratista TIPO 1 permanente, serán más estrictos que los del contratista TIPO 1 ocasional ya que el contratista estará más tiempo en nuestra organización

Definición de los criterios de selección

Una vez hayamos clasificado al contratista y determinemos los requisitos a solicitar, podemos determinar la criticidad de los criterios a evaluar para la selección del contratista.

Es necesario entonces determinar qué criterios de selección serán los que para nuestra organización serán los más críticos o relevantes a la hora de la selección.

Así como para la selección de un contratista que va a construir para nosotros una bodega de materiales son importantes los materiales que utilizará versus el costo asociado, pues deberán ser igual de importantes los requisitos HSE del contratista.

Basándonos en los requisitos previamente identificados para cada tipo de contratista, podremos determinar cuáles son los requisitos más relevantes y que llevarán a la selección final del contratista.

Por ejemplo, podría ser un requisito esencial que el contratista realice los pagos de seguridad social en los tiempos establecidos y en el nivel de riesgo correspondientes. Dependiendo de la verificación de este requisito podemos evaluar mejor o peor a un posible contratista.

El histórico de accidentalidad del contratista podría ser otro elemento clave, el nivel de formación de los trabajadores, el cumplimiento de la normatividad vigente en Seguridad y Salud en el trabajo por parte del contratista, la calidad de los elementos de protección personal que entrega el contratista y así un sin número de criterios, pero dependiendo siempre de los requisitos establecidos para el contratista y el nivel de riesgo de las actividades a desarrollar identificados y establecidos previamente.

Finalmente es necesario en las organizaciones, que se establezcan canales de comunicación entre las personas responsables de HSE y las encargadas de la contratación, ya que no sería útil definir perfectamente los criterios HSE a evaluar al contratista, si no van a ser tenidos en cuenta para la contratación.

Es ahí en donde está el reto de los responsables de HSE en generar conciencia de la seguridad y salud por parte de la Alta Dirección de las organizaciones.

Elementos como sanciones legales de tipo económico o penales por el incumplimiento de la gestión de contratistas y el buen nombre de la organización, podrían ser elementos que ayuden a generar esta conciencia.

Software ISOTools

El Software ISOTools para la Gestión de Riesgos Corporativos, es el mejor aliado para realizar el seguimiento y monitoreo de cualquier riesgo que se haya identificado en la organización, no importa cuál sea su procedencia.

Establecer medidas y tomar decisiones mediante las matrices de gestión de riesgos de nuestro software es muy sencillo, ¿quiere saber cómo?

Sistema de gestión compliance

Toda organización tiene una proyección externa que la relaciona con terceras partes. Esto provoca que su responsabilidad penal no solo dependa de si misma, sino también de terceros que estén integrados en el entorno de su dominio social:  autónomos, trabajadores subcontratados, clientes, proveedores o partners y socios de negocio. Esto quiere decir, que las actividades de todos estos agentes con los que una empresa o institución se relaciona en el ejercicio de su actividad pueden provocar una serie de riesgos tan significativos como los que puedan provocarse desde la propia organización.

Este tipo de riesgos, conocidos como riesgos por contaminación o contagio legal deben de ser debidamente controlados, ya que se pueden producir en cualquier momento. Para tener un perfecto control de ellos habrá que conocerlos, documentarlos y controlarlos a la perfección. La implantación de un sistema de gestión compliance contribuirá a que las organizaciones puedan controlarlos debidamente, más aun si se cuenta con un software como ISOTools que contribuya a automatizar su gestión sin esfuerzos.

Como gestionar las debidas diligencia a través de un sistema de gestión compliance

La debida diligencia es el proceso que procura una correcta y acertada selección de aquellas personas, proveedores u otros agentes que se relacionan o son susceptibles de relacionarse con la una determinada organización. El objetivo final es que su comportamiento y actuaciones estén alineadas legal y éticamente con las suyas. La implantación de un sistema de gestión compliance permitirá categorizar este procesos en etapas, pudiendo distinguir tres fundamentales:

1. En primer lugar, una correcta selección de terceros con el que la empresa se va a relacionar, valorando aspectos como: la situación financiera, sus antecedentes administrativos y judiciales, su posible relación con escándalos públicos, etc. Esto ayudará a establecer un primer filtro que evitará con una simple investigación cualquier «riesgo por contaminación».
2. Una vez que se tiene claro con quien sí y con quien no se debe trabajar, conviene llevar a cabo una formalización documental que aclare como van a ser las relaciones con terceros a través de un contrato.  En este se deberán de recoger aspectos relativos al cumplimeinto legal: veracidad de la información facilitada, la legalidad en el uso de los productos o servicios contratados, sometimiento a los valores de la organización, valores éticos, etc.
3. Finalmente se deberá llevar a cabo un seguimiento periódico de estos agentes terceros para poder ir chequeando que se siguen cumpliendo los requisitos que se plantearon en la primera fase de selección.

Automatización de la debida diligencia a través de un software de gestión compliance

Implantar un sistema de gestión compliance no está reñido con contar con un software que contribuya a su automatización, contribuyendo a una importante ahorro de dinero y tiempo en este tipo de tareas.

Entre las ventajas de usar un software para gestionar la debida diligencia en un sistema de gestión compliance, podemos destacar las siguientes:

• Mediante un mapa de navegación visual y tomando como base la mejora continua, podrá acceder a las funcionalidades disponibles para dar cumplimiento a los requisitos de ISO 19600, en el ámbito de establecimiento y de mejora.
• Identifique los peligros, cuantifíquelos, analice las consecuencias y evalúe el riesgo en los procesos del Sistema de Gestión de Compliance. Podrá gestionar todo el ciclo de vida de los riesgos y gestionarlos visualmente mediante matrices de diseño visual e intuitivo.
• El canal interno de denuncias o quejas por incumplimientos legales o faltas de conformidad de la normativa interna, es uno de los puntos clave en un sistema de Gestión de compliance. Mediante esta aplicación podrá gestionar de forma integral el tratamiento de las denuncias, desde su recepción y clasificación según prioridad, hasta su resolución y cierre.
• Facilite la conformidad mediante una aplicación que permite recopilar y actualizar fácilmente el inventario de la normativa y aspectos legales requeridos y evalúe el cumplimiento que se hace de los mismos.

La plataforma ISOTools facilita la gestión de la Debida Diligencia

La Plataforma Tecnológica ISOTools  permite el registro estructurado de debidas diligencias.

Permite realizar desde un único formato, investigaciones extensivas o preventivas de cualquier sospecha en relación al soborno o malas prácticas en asuntos financieros o comerciales de la organización. Para el compliance officer y otras partes interesadas, el análisis de la información se simplifica y se pueden adoptar decisiones a tiempo.

ISO 27001

ISO 27001, al igual que el resto de normas de la familia ISO 27000, se ocupa de numerosos aspectos relativos a la Seguridad de la Información. Entre esos aspectos se encuentran los que se detallan en este post: la gestión de la entrega de servicios realizada por terceros y la planificación y admisión del sistema.

Ambos son temas que mantienen en vilo a multitud de PYMEs, y que de no ejecutarlas correctamente podrían poner en peligro una buena parte de la información que estas manejan.

Gestión de la entrega de servicios realizada por terceros

Todas las organizaciones deberían tener un control sobre los servicios entregados, y verificar que la entrega se ha realizado según los requisitos acordados previamente.

Si la entrega de servicios se realiza mediante terceros, existirá un contrato en el que se expongan los compromisos respecto a la ejecución de los controles de seguridad apropiados y siempre en consonancia con el SGSI de ISO-27001. Antes de establecer ningún control es necesario realizar una evaluación de riesgos para garantizar que el servicio de entrega cumple con los niveles acordados.

Si estos terceros que hemos contratado necesitasen para el desempeño de su actividad que la organización le ceda información sensible, ésta deberá haber definido con anterioridad unos requisitos que ofrezcan la garantía de que no se va a afectar ni su confidencialidad, ni su integridad ni su disponibilidad.

Como medida de seguridad, si la empresa lo quiere así, se llevarán a cabo auditorías internas a los terceros contratados. Es un método para asegurar que están gestionando correctamente los incidentes de seguridad, que tienen un plan de continuidad de negocio apropiado y respetan los requisitos que establece el Sistema de Gestión de Seguridad de la Información ISO27001.

Finalmente, cuando dentro de una organización se produzca algún cambio, como puede ser en la evaluación de riesgos o en las políticas y procedimientos de la misma, que afecte a los servicios que prestan terceros, se debe supervisar su implantación.

Sea cual sea el servicio que una organización externalice, ésta tiene la obligación de planificar la transferencia de información que necesiten las terceras partes para asegurar que van a mantener los niveles de seguridad apropiados.

Planificación y admisión del sistema

Para garantizar la disponibilidad y capacidad del sistema se necesita una planificación previa para que funcione correctamente.

En esta planificación hay que tener en cuenta tanto los requisitos de capacidad futuros de los sistemas como los requisitos operacionales de los nuevos sistemas.

Cada actividad necesita de unos recursos que den respuesta a unas necesidades identificadas.

Por ello, resulta esencial prever los requisitos que el sistema necesita o va a necesitar para garantizar el comportamiento que se espera de él, y además considerar las nuevas actividades que puedan aparecer o actualizaciones de los sistemas ya existentes.

Cualquier actualización o un nuevo sistema no deben ponerse en marcha sin que antes sea aceptado formalmente. Para que esto ocurra se deben cumplir:

• Requisitos de funcionamiento.
• Procedimientos de recuperación y contingencia.
• Éxito de pruebas acordada.
• Requisitos de seguridad.

Además, se debe considerar el efecto que tendrá instalar un nuevo sistema en el resto de sistemas y en el conjunto global de la seguridad.

Sistema de Gestión de Riesgos y Seguridad

Si le gustaría saber más sobre la norma ISO 27001 u otras relacionadas con la familia de riesgos y seguridad visite: https://test.isotools.org/normas/riesgos-y-seguridad/