Auditoría Interna. de las Redes Sociales

Transcripción

1 Auditoría Interna de las Redes Sociales

2 INTRODUCCIÓN Mientras lees esto, es muy probable que alguien, en algún lugar del mundo, esté escribiendo sobre tu organización, y este mensaje puede llegar a miles de personas. Tenemos la certeza como auditores internos de que nuestras organizaciones toman las medidas adecuadas para gestionar los riesgos asociados a esta realidad? En el XXIV Foro de Expertos del Instituto de Auditores Internos de España, celebrado el 26 de noviembre de 2012, 70 Directores de Auditoría Interna de todos los sectores del panorama empresarial actual se reunieron para reflexionar sobre esta nueva realidad. Este documento trata de recoger las principales conclusiones de la reunión y dar ciertas pautas de actuación a los Directores de Auditoría Interna para incluir este área crítica en sus planes de auditoría interna. Mientras lees esto, es muy probable que alguien, en algún lugar del mundo, esté escribiendo sobre tu organización, y este mensaje puede llegar a miles de personas. CONTEXTO Las redes sociales ha crecido exponencialmente y de forma vertiginosa en pocos años. Las organizaciones han tenido que cambiar en muchas ocasiones su mentalidad y adaptarse a esta nueva forma de tratar con los clientes. Facebook Twitter millones de usuarios Fuentes: Facebook: Twitter: 2

3 En un estudio publicado recientemente por el Instituto de Auditores Internos Global en el Audit Executive Center, se pone de manifiesto que solo el 14% de las organizaciones no tienen presencia corporativa en alguna red social Ninguna 14,0% Otra 3,5% Wikipedia 10,5% Flickr 1,8% Google+ 8,8% You Tube 24,6% Myspace 5,3% Twitter 49,1% Facebook 63,2% Linked in 42,1% Plataforma propia 28,1% Fuente: Audit Executive Center El estudio antes mencionado pone de manifiesto que el 47% de las organizaciones no tiene una política de uso de redes sociales. En lo que respecta a Auditoría Interna, en el 59% de los casos las redes sociales o blogs no están en los mapas de riesgos y, por tanto, tampoco en los planes de auditoría interna. La falta de políticas y procedimientos y de una supervisión adecuada de las mismas puede resultar en eventos de alto impacto reputacional para la compañía. En 2011 Chrysler contrató una agencia externa de comunicación pa ra gestionar sus cuentas corporativas. Debido a un error en la gestión entre su cuenta personal y profesional, un empleado subió un tweet, en nombre de Chrysler en el que decía En cuentro irónico que Det roit sea conocida como la ciudad del motor y aquí nadie tiene ni puñetera idea de conducir 3

4 EN ESPAÑA En general, las organizaciones no tienen incorporado el riesgo de uso de las redes sociales dentro de sus planes de auditoría interna. Si bien es cierto que en algunas organizaciones, el uso de las redes sociales se incorpora dentro de la gestión del riesgo reputacional. En estos casos se revisan de alguna forma las políticas que existen a este respecto. Las áreas de comunicación son las encargadas de realizar un seguimiento continuado de las noticias e información publicada en la red. Auditoría Interna no participa en este proceso. En algunas ocasiones, se requiere de la intervención de los auditores internos para gestionar incidencias puntuales. En pocos casos, esta gestión se encuentra externalizada a agencias de comunicación. En general, Auditoría Interna no ha analizado las implicaciones legales que puedan derivarse del uso inapropiado de las redes sociales, aunque en general considera que dicho análisis es una función propia de las áreas jurídicas o de cumplimiento. En cual - quier caso, las posibles implicaciones podrían estar relacionadas con la regulación en materia de LOPD, seguridad de la información e, incluso, responsabilidad penal de los administradores (Código Penal). EL RIESGO DE USO DE REDES SOCIALES Los riesgos derivados del uso de las redes sociales son múltiples y cambiantes día a día. De hecho, en el Foro se puso de manifiesto que muchas organizaciones de momento desconocen muchas de las implicaciones legales de su uso o hasta qué punto pueden llevarse a cabo determinadas actuaciones para investigar o controlar el uso de las redes sociales, tanto a través de cuentas corporativas como personales, dentro o fuera del horario laboral. Los miembros del Foro de Expertos identificaron los siguientes riesgos, aunque son conscientes de que las empresas todavía no han evaluado la magnitud de todos estos riesgos. Reputacional Es sin duda el que más preocupa a los Directores de Auditoría Interna cuando hablamos de redes sociales. Las organizaciones escuchan a través de las direcciones de comunicación lo que se dice en la red pero asumen que la capacidad de acción es limitada. Algunas organizaciones cuentan con agencias externas para realizar este seguimiento o para gestionar, en la medida de lo posible, las corrientes de opinión que se generan en internet. El músico canadiense Dave Carrol se vengó de United Airlines con un vídeo musical en You Tube después de que esta compañía no le respondiera por romper su guitarra durante uno de sus viajes. El vídeo tuvo millones de visitas en todo el mundo. 4

5 Seguridad /Conectividad Algunas organizaciones limitan el acceso a redes sociales por temas de seguridad o para evitar la ocupación excesiva de ancho de banda. Otras han monitorizado el tiempo de conexión a estas redes y solo intervienen si es excesivo. Productividad Algunas organizaciones restringen el acceso a las redes sociales en horario laboral por considerar que el uso excesivo de estas redes puede ir en detrimento de la productividad de sus empleados. Otras, en cambio, consideran que es la forma de comunicarse del siglo XXI y por tanto, lo fomentan. Restringe su organización el acceso a redes sociales? 50,9% NO 49,1%% SÍ Fuente: Audit Executive Center Uso inapropiado Se han dado casos en los que empleados de la organización han filtrado información o enviado mensajes públicos inapropiados a través de redes sociales. Este riesgo es difícil de controlar, y además existen dudas con respecto a la legalidad de vigilar qué dicen los empleados de la organización a través de cuentas privadas. Algunas organizaciones han incorporado en sus códigos de conducta la prohibición de hablar de la organización en redes sociales. La supresión del uso de las redes sociales como medida para eliminar el riesgo no es una opción, ya que también se identificó como crítico el riesgo de no usar las redes sociales porque dejaría a una organización fuera del mercado. CÓMO MITIGAR LOS RIESGOS ASOCIADOS A LAS REDES SOCIALES? Aunque se trata de un entorno novedoso y cambiante, Auditoría Interna debería supervisar y/o tomar un papel proactivo en la identificación de riesgos y la supervisión de medidas de control interno. Algunas de las medidas identificadas en la reunión fueron las siguientes Formalización de políticas y procedimientos específicos de uso de redes sociales por parte de los empleados de la organización, que definan, entre otros, limitaciones de uso o acceso, información permitida y prohibida, usuarios, responsabilidades, efectos de incumplimientos, etc. En el caso de que se cuente con una agencia externa de comunicación, verificar que también realiza una gestión adecuada de riesgos. 5

6 Referencia en el código de conducta corporativo a los comportamientos esperados o prohibidos en el ámbito de las redes sociales. Inventario de departamentos organizacionales que utilizan las redes sociales, tales como atención al cliente, comunicación, marketing, desarrollo de producto, etc. Identificación y formalización de la propiedad de las cuentas corporativas de la sociedad. Algunas organizaciones ya han incorporado los riesgos asociados a las redes sociales en su Plan de Auditoría Interna 2013 Identificación y designación de portavoces oficiales para redes sociales. Verificar que estos portavoces tienen la formación adecuada en relación al uso de cuentas profesionales y personales. Programas de formación y concienciación sobre el uso de redes sociales. Auditoría Interna podría animar a la dirección de comunicación a jugar un papel activo en esta materia. Existencia de un plan de contingencia que defina la respuesta ante eventos adversos. RETOS PARA AUDITORÍA INTERNA En la mayoría de las organizaciones españolas los departamentos de comunicación asumen la gestión de todo lo relacionado con las redes sociales, sin que Auditoría Interna supervise si existen controles para mitigar los riesgos asociados y, si existen, si son los adecuados. De hecho todavía existe cierta incertidumbre sobre los riesgos que se pueden derivar de su uso. Los auditores internos deben asegurarse de que la organización ha reflexionado sobre esta materia y deben tomar un papel proactivo a la hora de fomentar la creación de políticas o guías de actuación. 6

7 CONCLUSIONES Las redes sociales son ya el presente de las comunicaciones para todas las empresas. La imagen de una empresa ya no viene determinada por los anuncios de televisión sino por su presencia en internet, blogs, etc. Desde el punto de vista de Auditoría Interna, las organizaciones pertenecientes al Foro de Expertos coinciden unánimemente en que, entre todos los riesgos, el reputacional por el uso de las redes sociales es muy elevado y no se le está prestando suficiente atención desde Auditoría Interna, por lo que habrá que incorporarlo en el corto plazo al mapa de riesgos de la organización y, por tanto, incluirlo en el universo auditable.