SÍNTOMA 01
Carpetas paralelas
Riesgo, cumplimiento y seguridad reportan cosas distintas a gente distinta, con escalas que no se hablan. Nadie puede responder la pregunta simple: ¿cuál es nuestro riesgo real hoy?
EXPEDIENTE /03 — ESTRUCTURA
Tres carpetasno son un sistema.
Gobierno, riesgo y cumplimiento como un solo mecanismo: matrices de riesgo que las decisiones consultan de verdad, cumplimiento que no se paga por triplicado y tableros con los que la dirección gobierna en vez de asentir. La balanza no se sostiene sola — se calibra.
- ISO/IEC 27014
- ISO 31000
- ISO/IEC 27005
EL SISTEMA
Cuatro piezas, un solo mecanismo.
Cada pieza alimenta a la siguiente: el gobierno define el apetito, el riesgo se mide contra él, el cumplimiento se mapea una sola vez y el tablero lo devuelve todo a la mesa donde se decide.
MARCO DE GOBIERNO · ISO/IEC 27014
Gobernar
- LA PIEZA
- Quién decide qué
- ENTREGA CLAVE
- Marco de gobierno operando
La seguridad se gobierna o se improvisa. El marco define quién decide qué, con qué información y cada cuánto — un comité que sesiona con agenda, roles sin huecos ni traslapes, y un apetito de riesgo que la dirección firmó de verdad.
QUÉ SE TRABAJA
- Estructura de decisión: comité, roles y matriz de responsabilidades
- Apetito y tolerancia de riesgo definidos por la dirección
- Políticas marco alineadas a la estrategia del negocio
- Calendario de gobierno: qué se revisa, quién, cada cuánto
GESTIÓN DE RIESGO · ISO 31000 · ISO/IEC 27005
Medir el riesgo
- LA PIEZA
- Una sola metodología
- ENTREGA CLAVE
- Matriz viva con dueños y fechas
Una metodología única para toda la organización — no una matriz por departamento con escalas incompatibles. El riesgo se mide igual en todas partes, cada uno tiene dueño y fecha, y la matriz se consulta antes de decidir, no después.
QUÉ SE TRABAJA
- Metodología y escalas únicas para toda la organización
- Matriz de riesgos viva: dueño, tratamiento y fecha por riesgo
- Criterios de aceptación que la dirección puede defender
- Riesgo integrado a decisiones reales: proyectos, proveedores, cambios
MAPEO REGULATORIO · OBLIGACIÓN → CONTROL
Cumplir
- LA PIEZA
- El mapa de obligaciones
- ENTREGA CLAVE
- Mapa regulatorio con brechas priorizadas
El inventario completo de lo que la organización debe cumplir — ley, contratos, normas, sector — mapeado a los controles que ya existen. La mayoría de las obligaciones nuevas se cubren con controles que ya operan: el mapa evita cumplir lo mismo tres veces.
QUÉ SE TRABAJA
- Inventario de obligaciones: legales, contractuales, normativas
- Mapeo obligación → control → evidencia
- Brechas de cumplimiento priorizadas por exposición
- Un control, N obligaciones: la deduplicación del cumplimiento
INDICADORES · REPORTEO · CLÁUSULA 9.1
Tablero para dirección
- LA PIEZA
- Riesgo en lenguaje de negocio
- ENTREGA CLAVE
- Tablero con umbrales y decisiones
El puente entre el riesgo técnico y la sala de juntas: indicadores que la dirección entiende sin traductor, umbrales que disparan decisiones — no solo colores — y un registro de qué se decidió con qué información.
QUÉ SE TRABAJA
- Indicadores de riesgo y desempeño en lenguaje de negocio
- Umbrales con acción definida: qué pasa cuando se cruzan
- Reporteo periódico al comité con tendencias, no fotos
- Registro de decisiones: qué se aceptó, qué se trató, quién firmó
EL DIAGNÓSTICO
Si esto te suena, tienes carpetas — no sistema.
SÍNTOMA 02
Riesgo decorativo
La matriz existe — se actualiza la semana antes de la auditoría. Ninguna decisión real la consulta: los proyectos arrancan, los proveedores se contratan y los cambios se aprueban sin pasar por ella.
SÍNTOMA 03
Cumplimiento por duplicado
Cada obligación nueva arranca desde cero, como si fuera la primera — cuando la mayoría de sus controles ya existen para otra norma. El mismo control se documenta tres veces con tres nombres.
Los tres síntomas tienen la misma causa: nadie diseñó el mecanismo completo. Se arma pieza por pieza, empezando por la que más te duele.
CÓMO SE CALIBRA
GRC que se usa para decidir, no para reportar.
PRINCIPIO 01
El riesgo manda la agenda
Lo que se atiende primero es lo que más riesgo reduce — no lo que más ruido hace ni lo que pide el último incidente de las noticias.
PRINCIPIO 02
Una obligación, un control, una evidencia
El mapeo conecta cada obligación con el control que la satisface y la evidencia que lo demuestra. Cumplir dos veces lo mismo es pagar dos veces.
PRINCIPIO 03
La dirección decide con números
El tablero traduce el riesgo técnico a impacto de negocio. Una dirección que entiende lo que firma gobierna; una que firma sin entender, delega a ciegas.
QUÉ TE LLEVAS
Un sistema que responde quién decide qué.
- Marco de gobierno: comité, roles, matriz de responsabilidades y calendario
- Metodología de riesgo única y matriz viva con dueños y fechas
- Criterios de apetito y aceptación firmados por la dirección
- Mapa regulatorio obligación → control → evidencia, con brechas priorizadas
- Tablero de indicadores con umbrales y acciones definidas
- Registro de decisiones y actas del ciclo de gobierno
REGLAS DE LA CASA
El tablero no se maquilla.
- No inventamos números: si no hay datos para un indicador, primero se construye la medición — un tablero con cifras decorativas es peor que ninguno.
- El apetito de riesgo lo firma la dirección. Nosotros facilitamos la conversación y damos el método; la decisión no se delega a un consultor.
- El tablero no se maquilla: muestra lo que está mal con la misma claridad que lo verde. Un comité que solo ve buenas noticias no gobierna nada.
- Lo que veamos de tu operación y tus riesgos queda bajo confidencialidad, siempre.
¿Tu matriz de riesgosdecide algo?
Si la última vez que se abrió fue la semana antes de la auditoría, tienes una carpeta. Hablemos de convertirla en mecanismo.