Si tu organización ha implantado un Sistema de Gestión de Compliance tendrá un Plan de Formación, pero ¿Te has parado a analizar si realmente es eficaz?

Las normas de referencia —ISO 37301 y, en el ámbito penal, UNE 19601— exigen evaluar la eficacia del Sistema de Gestión de Compliance, y la formación no es una excepción. Eficacia, en el lenguaje de estas normas, es el grado en que se realizan las actividades planificadas y se alcanzan los resultados planificados. Traducido a la formación: no basta con impartirla; hay que ser capaz de demostrar que consigue lo que se propone.

La tentación es tratar la eficacia como una casilla que se marca al final, cuando el curso ya se ha impartido. Es un error. La eficacia no se comprueba al final: se diseña desde el principio, y depende de cinco decisiones que hay que acertar antes de formar a nadie:

• a quién formas,
• en qué los formas,
• con qué periodicidad,
• cómo mides el aprovechamiento, y
• qué acciones programas para que lo aprendido se traslade al trabajo diario.

Vamos una por una

He conocido Organizaciones que diseñan el Plan de Formación en Compliance con un contenido común para toda la plantilla. Y, si bien es conveniente formar a todo el personal en los principios y valores del Código de Conducta, no es preciso formar en Compliance a todo el mundo.

Ese “café para todos” tan nuestro puede servir en Organizaciones con pocos recursos, pero no es la solución para Organizaciones complejas, obligadas a aplicar el principio de proporcionalidad. En ellas, la formación debe centrarse en las personas cuyos roles están afectados por los riesgos de Compliance identificados en cada proceso, con ciclos formativos adaptados a cada rol y a los riesgos que le afectan.

Formar a quien no lo necesita no es solo un gasto: diluye el mensaje para quien sí lo necesita.

Las normas exigen formar al personal pertinente de forma regular, pero no concretan una periodicidad. Por tanto, además de una formación anual planificada, conviene definir qué factores activan la formación de una persona o de un grupo. Por ejemplo:

• Nuevas incorporaciones de personal
• Un incidente de compliance ocurrido en el sector en el que opera la Organización
• Un incidente de compliance detectado dentro de la organización
• La detección de un elevado número de consultas sobre una misma materia
• La implantación de nuevas políticas o procesos
• Cambios legislativos que afecten a los riesgos de Compliance de la Organización

Y no basta con preverlo sobre el papel. En algunos casos —las nuevas incorporaciones son el ejemplo más claro— hay que implantar un mecanismo, automatizado a ser posible, para que Recursos Humanos avise a la función de Compliance de que debe activar la formación de determinadas personas.

Cuando defino los indicadores de un Sistema de Gestión de Compliance —y, más concretamente, los de un ciclo formativo— siempre me viene a la mente una frase que se suele atribuir a Peter Drucker: «lo que no se puede medir, no se puede gestionar». Discutible como cita, pero útil como advertencia.

No sabremos si nuestra formación es eficaz si utilizamos indicadores que no aportan una información completa. Si medimos solo cuántas personas han hecho la formación, pero no el aprovechamiento obtenido, el dato no sirve para valorar la eficacia. Tampoco la mediremos bien si, tras un ciclo organizado a raíz de un incidente, no comprobamos el interés que ha despertado en el canal de consultas o si ha aumentado el uso de los controles implantados en el proceso afectado.

Dedica tiempo a definir tus indicadores. Y, cuando los apliques, hazte una sola pregunta: con lo que este indicador me dice, ¿voy a gestionar mejor el Sistema de Compliance? Si la respuesta es no, es el indicador equivocado.

La proactividad de la función de Compliance no termina con impartir la formación. Debe continuar programando acciones para que lo aprendido se ponga en práctica; de lo contrario, el personal vuelve a sus rutinas de siempre y el efecto se pierde.

No cuesta tanto como parece. Puedes, por ejemplo, enviar un correo a quienes han terminado el curso recordándoles por qué lo hicieron, qué han aprendido y —lo importante— dónde está el apoyo para aplicarlo en el día a día: los flujogramas del proceso y sus controles en la intranet, checklists, infografías. Y ponerte a su disposición para resolver cualquier duda. Ese recordatorio breve es lo que convierte un curso terminado en una conducta que cambia.

• Construye tu matriz de formación a partir de tu matriz de riesgos.
• Asocia cada riesgo de Compliance al personal afectado y agrupa a las personas según su nivel de conocimiento.
• Diseña o contrata ciclos de formación adaptados a cada grupo.
• Evalúa el conocimiento antes y después de la formación.
• Pide al personal su opinión sobre la formación recibida (materiales, recursos, duración…) y úsala para mejorarla de forma continua.
• Programa acciones en las que apliquen lo aprendido y evalúa el resultado.