Entrevista David Lloret, ABS ISO 28000, ISO 27001, ISO 20000

DAVID LLORET, GERENTE DE DESARROLLO DE NEGOCIO DE ABS QUALITY EVALUATIONS EN ESPAÑA

“Nos enfocamos en las pymes porque las acreditaciones no pueden ser algo elitista”


España es un país comprometido con la certificación y adopción de estándares de calidad, una oportunidad que está explotando ABS, empresa centenaria que, a través de su división Quality Evaluations, ofrece un amplio abanico de posibilidades, también a las organizaciones más pequeñas. David Lloret apuesta firmemente por la convergencia de la seguridad física y lógica, también en materia de certificación.

¿En qué consiste la actividad de su empresa? ¿Cuál es su perfil de cliente?
ABS nace como entidad gubernamental de Estados Unidos en el siglo XIX, la primera compañía en servicio de estandarización dentro del sector naviero y de la inspección de buques. La firma siguió evolucionando y se diversificó en áreas de riesgos de todo tipo.

ABS Group se diferenció del negocio tradicional (American Bureau of Shipping) y se dedica a consultoría y auditoría en otros sectores. Dentro de esta división, ABS Quality Evaluations es la que se encarga del negocio de certificación en calidad y seguridad. Respecto a la gestión de riesgos, ABS es la número uno mundial y en España dábamos soporte al resto de Europa, pero ahora yo me encargo del desarrollo de negocio de la compañía y, en especial, de ABS Quality Evaluations.

¿Qué significa España para su compañía?
España es uno de los países donde más se están demandando servicios de certificación. ABS tiene oficina en 70 países y ofrecer un servicio global es muy importante para las grandes compañías.

Entendemos que el mercado español tiene tejido pyme y a ellas nos enfocamos también, ya que nos están pidiendo seguridad para su información y calidad para sus servicios tecnológicos. Por esto definimos nuestro enfoque como global. No puedo olvidar a las pymes y más si entre mis objetivos está crecer en volumen de empresas con una estrategia determinada. La principal tarea es ayudarles con la gestión de subvenciones públicas, aprovechando que España es receptor de fondos europeos hasta 2013.

¿Cuál es el valor añadido de ABS frente a otras firmas del sector?
Competimos con las tres firmas más grandes de certificación en el mundo, que quieren garantizar la Responsabilidad Social Corporativa (RSC), entre otros servicios globales.

Nuestro valor diferencial es ayudar a la pyme, que la certificación no sea un obstáculo económico ni para empresas de cinco trabajadores ni para las que trabajan con un gran centro de datos.

Trabajamos con acreditaciones en todos los países del mundo y hay pocas que acreditan la ISO 27001, por ejemplo, o la ISO 28000, que se refiere a seguridad física. Hay empresas de la competencia que certifican a sus clientes sin estar acreditadas, aunque ya tengan un nombre. Ésta es sin duda una de nuestras armas para crecer.

¿Son las empresas las que buscan las certificaciones por prestigio o les crean la necesidad?
ISO, por ejemplo, crea los estándares, y nosotros certificamos. Cada país o cada sector lo promueve, aunque desde las mismas empresas se promociona y ven que es útil certificarse y solicitárselo a sus proveedores, porque así se estandarizan las condiciones sobre las que se mueve el mercado.

¿Cuánto tiempo suele llevar a ABS Quality Evaluations ofrecer la certificación de una norma ISO?
Todas las empresas de certificación nos sometemos a la ISO 17021, que establece los requisitos para certificar en todos los estándares y te dice cuál es el esquema en que se desarrollan las auditorías de certificación.

Existen dos fases: la Fase 1, que es de auditoría documental; y la Fase 2, que es de auditoría inicial. Una vez que una empresa implanta un sistema de gestión de acuerdo a un estándar, ABS realiza la Fase 1, donde se solventan desviaciones detectadas y después se pasa a la auditoría en profundidad (Fase 2). El tiempo depende de las características de la empresa y de las prisas que tenga por certificarse, por lo que puede ser desde dos meses hasta el tiempo que sea necesario.
A veces, para ofrecer una certificación, las empresas como la nuestra deben cumplir con otro estándar. Por ejemplo, para ofrecer la ISO 27001, tenemos que acreditarnos por la RVA (Consejo Holandés de Acreditación) en ISO 27004. Lo que ocurre es que hay empresas que saltan este paso y ofrecen 27001 estando acreditados sólo en Calidad de Procesos (ISO 9001).

¿Qué requisitos básicos precisa una empresa que quiera certificarse en seguridad global?
Por una parte ofrecemos la ISO 27001 (Seguridad de los activos de la información) e ISO 28000, que afecta a la seguridad física de los bienes materiales de las empresas, por lo que convergen totalmente. Es importante analizar los riesgos de las personas, de las infraestructuras y de la cadena de suministro, así como de la información, por eso vemos clarísimo que es necesaria la convergencia y en determinados sectores está funcionando muy bien.

Ninguna compañía en España estaba ofreciendo la certificación ISO 28000, que es la que complementa perfectamente la seguridad de entornos tan importantes como el de Administraciones Públicas.

Volviendo a tu pregunta, considero que certificarse es una garantía de una tercera parte que asegura que estás cumpliendo un estándar. Lo primero es implantar el sistema de gestión adecuadamente, que asegure el ciclo virtuoso de mejora continua. Todos los sistemas contemplan requisitos mínimos, que son el primer paso que debe dar la empresa. El problema es que adecuarse a estándares es una carga extra de trabajo, por lo que es importante recurrir a profesionales como nosotros, que van a poner en mano de la empresa un cuadro de mandos que permita saber cómo está y cómo va avanzando la organización, y qué riesgos asume.

Comentaba que España está muy comprometida con la certificación, y eso que parece que sólo funcionamos a golpe de multa...
Sí, España es uno de los principales focos de personal preparado en calidad y seguridad frente a otros países europeos. Se apuesta muy fuerte aquí por las normas ISO, aunque sea un país pequeño de 40 millones de habitantes. Es bueno que exista la percepción de que las cosas se pueden hacer mucho mejor, pero nuestras empresas grandes cumplen todas con los estándares de calidad, y esto es muy positivo.

Esto no debe llevarnos a error e interpretar una certificación como algo elitista. En ABS queremos democratizarla y que sea accesible para cualquier empresa porque vemos que es muy beneficioso para ellas. Podríamos hacer un símil con Alemania, que ha democratizado el "Mercedes", algo que sigue siendo un artículo de lujo en muchos países.

Pero, ¿por qué es beneficioso un estándar? Lo hemos visto con la crisis. Algunas empresas no han sobrevivido porque no han analizado los riesgos de sus procesos en una situación de crisis.

En países en desarrollo es urgente crecer con estándares, como ocurre en África. Si no lo tienen, se van a desviar, es como un país con corrupción, que se puede caer porque asume muchos riesgos. Hubo momentos en los que primaba medio ambiente, prevención de riesgos laborales, pero hoy está de moda la seguridad porque antes no se le ha dedicado el tiempo que merecía. La empresa tiene que continuar pese a lo que ocurra.


¿Cómo es su política de Acuerdos de Niveles de Servicio (SLA)? ¿Cómo garantizan su independencia?
Precisamente, nuestra mayor actividad se centra en realizar auditorías internas y externas de Service Level Agreement (SLA), sobre todo a partir de la norma ISO 20000, orientada a alinear las TI con las necesidades del negocio.

La política de ABS nos hace ser los principales cumplidores en niveles de servicios porque auditamos a nuestros clientes en este sentido.

Por eso firman acuerdos de confidencialidad y de conflictos de intereses (código de ética). Nuestra área de Recursos Humanos vigila el cumplimiento de estos aspectos, aparte de los controles habituales como encuestas a nuestros clientes para comprobar su grado de satisfacción. Asimismo, el auditor siempre lee sus derechos, de modo que el cliente siempre está protegido si algo no funciona.

Ustedes que también imparten formación, ¿qué materias son las más demandadas?
Seguridad en la cadena de suministro, SLA en seguridad tecnológica, aspectos de fraude y también sobre ISO 20000 y Capability Maturity Model Integration (CMMI), de desarrollo de software, con las diferentes especificaciones para cada nivel. Respecto a seguridad en procesos, también estamos formando frente a incendios, ataques terroristas o cibernéticos, etc.

Tenemos gente muy experta tanto en seguridad de la información como en seguridad física. Vamos a traer al creador de la ISO 28000, por ejemplo, y es muy importante contar con esto. La seguridad global integra tanto aspectos tecnológicos como los de procesos, por lo que es muy importante que las compañías conozcan los riesgos, como decíamos antes, para la continuidad de su negocio.

¿Cómo se organiza ABS en España? ¿Qué expectativas tienen para 2010?
Sí, aunque estamos en una situación de crisis vamos a contratar a más gente. Somos hasta ahora unos 56 empleados repartidos por todo el país, aunque las oficinas principales se encuentran en Madrid y Bilbao.

Crecemos porque teníamos poco que perder en España, donde teníamos la parte marítima, pero el área de certificación también crece cada vez más. Tenemos clientes desde la NASA hasta una empresa de dos trabajadores que necesita formación o certificación, pasando por Repsol, Telefónica o el BBVA, así como grandes empresas de seguros, como Mapfre. Sabemos estar en todas las situaciones con el perfil profesional adecuado, por eso somos una gran compañía.

La facturación del Grupo ABS a nivel mundial superó la barrera de los 1.000 millones de dólares hace cinco años. En España, ABS Quality Evaluations crecerá entre un 30 y un 40 por ciento, después de cumplir con creces los objetivos en 2009.