La gobernanza, el riesgo y el cumplimiento, conocidos habitualmente como GRC, deberían ayudar a una empresa a tomar mejores decisiones de seguridad. Sin embargo, cuando se implantan de forma superficial, pueden producir una sensación de control que no se corresponde con la realidad.
Una organización puede tener políticas aprobadas, una herramienta de GRC, numerosos controles documentados y auditorías superadas, pero seguir sin saber si sus sistemas críticos están protegidos, si sus proveedores suponen una exposición relevante o si podría recuperar la actividad tras un incidente.
El problema no está en el GRC ni en las auditorías. Está en utilizarlos como una colección de documentos y tareas administrativas, en lugar de como un sistema de gestión conectado con el negocio.
Cuando el cumplimiento sustituye a la seguridad
Una auditoría tiene un objetivo concreto: comprobar si determinados requisitos, controles o compromisos se cumplen conforme a un criterio definido. No puede, por sí sola, demostrar que una empresa sea resistente frente a cualquier amenaza ni que todos sus controles funcionen de manera eficaz en cualquier circunstancia.
El riesgo aparece cuando el resultado de la auditoría se interpreta como una garantía general. Aprobar una revisión puede significar que se ha demostrado el cumplimiento de un alcance, durante un periodo concreto y con unas evidencias determinadas. No significa necesariamente que todos los activos estén protegidos, que las personas apliquen los procedimientos o que la organización esté preparada para responder.
Una auditoría puede confirmar que existe un control; la gestión debe comprobar si ese control reduce el riesgo en la práctica.
Esta diferencia es esencial para evitar el llamado cumplimiento aparente. En él, la organización optimiza su actividad para superar la revisión, pero no para mejorar de forma sostenida su capacidad de prevención, detección, respuesta y recuperación.
Señales de un GRC mal implementado
Hay varios síntomas que indican que el programa se ha convertido en un ejercicio burocrático:
- La prioridad de los riesgos se decide por la fecha de la auditoría y no por el impacto para el negocio.
- El inventario de activos está incompleto, desactualizado o separado de la evaluación de riesgos.
- Se recopilan capturas de pantalla y documentos sin verificar que los controles se aplican de forma continua.
- Las excepciones se mantienen abiertas durante meses sin propietario, fecha de revisión ni justificación suficiente.
- Los planes de acción se cierran cuando se adjunta un archivo, aunque el problema operativo siga existiendo.
- Las políticas se aprueban, pero nadie comprueba si son conocidas, aplicables y coherentes con la forma real de trabajar.
- La herramienta de GRC contiene muchos registros, pero la dirección no puede identificar los riesgos que requieren una decisión.
- Los controles se duplican para distintos marcos, generando trabajo repetido y resultados difíciles de interpretar.
Ninguna de estas señales demuestra por sí sola que el sistema sea ineficaz. Sí debería impulsar una revisión de la calidad del programa y de su conexión con la operación diaria.
El problema de auditar evidencias sin contexto
Una evidencia no es automáticamente una prueba de eficacia. Un procedimiento firmado demuestra que el documento existe y ha sido aprobado. No demuestra necesariamente que se aplique, que esté actualizado o que permita actuar correctamente ante una situación real.
Por ejemplo, una empresa puede aportar una política de revisión de accesos y un registro de aprobaciones. Aun así, podría mantener cuentas de personas que ya no trabajan en la organización, privilegios excesivos o accesos de proveedores sin fecha de expiración.
La revisión debe considerar el contexto: qué sistema se protege, quién utiliza el control, con qué frecuencia se ejecuta, qué ocurre cuando falla y cómo se verifica el resultado. También debe tener en cuenta si el control es manual, automático, preventivo o detectivo, así como las dependencias con otros procesos.
Las evidencias más útiles no son necesariamente las más voluminosas. Una muestra bien seleccionada, una prueba reproducible y una conversación con quienes ejecutan el proceso pueden aportar más información que un repositorio lleno de documentos.
Alcance limitado, conclusiones demasiado amplias
Otro fallo habitual consiste en definir un alcance reducido y presentar después el resultado como si representara a toda la empresa. Un sistema concreto, una filial o un conjunto de procesos puede quedar correctamente evaluado mientras otros entornos relevantes permanecen fuera.
El alcance debe ser comprensible para la dirección y para las personas que tomarán decisiones. Conviene identificar los servicios, procesos, ubicaciones, proveedores, datos y equipos incluidos, además de las exclusiones y sus motivos.
También es importante revisar si el perímetro sigue siendo válido cuando cambian las condiciones del negocio. Una adquisición, una migración a la nube, la externalización de un servicio o la incorporación de un nuevo canal digital pueden alterar de forma significativa el riesgo y dejar obsoleta una evaluación anterior.
La transparencia sobre las limitaciones no debilita el informe. Al contrario, evita que se utilice como una garantía que nunca pretendió ofrecer.
Riesgos sin propietario ni decisión
Un registro de riesgos solo tiene valor si impulsa decisiones. Para ello, cada riesgo relevante debe contar con una persona o función responsable de coordinar su tratamiento, aunque la solución dependa de varios equipos.
No es suficiente con clasificar un riesgo como alto, medio o bajo. Hay que explicar qué activo o proceso está afectado, cuál sería la consecuencia, qué circunstancias podrían materializarlo, qué controles existen y qué incertidumbres permanecen.
Después debe definirse una respuesta: reducir, transferir, evitar o aceptar el riesgo. La aceptación no debería ser una forma de archivar un problema. Debe corresponder a una decisión informada, con autoridad suficiente, justificación, fecha de revisión y condiciones que puedan hacer necesario reconsiderarla.
Cuando nadie tiene capacidad para decidir, los registros se llenan de riesgos abiertos y las auditorías se limitan a constatar que siguen pendientes.
Cómo recuperar el valor del GRC
La mejora no exige empezar desde cero. Puede comenzar con una revisión crítica de lo que ya existe y con una conexión más clara entre gobierno, riesgo y operación.
Algunas medidas prácticas son:
- Definir qué decisiones debe facilitar el GRC y qué información necesita cada nivel de la organización.
- Relacionar los riesgos con procesos, activos, servicios y objetivos de negocio, no solo con requisitos normativos.
- Designar propietarios de riesgos y controles con responsabilidades comprensibles y capacidad real de actuación.
- Revisar los controles mediante pruebas de funcionamiento, no únicamente mediante la existencia de políticas o registros.
- Separar claramente el estado de diseño del control, su implantación y su eficacia operativa.
- Establecer criterios para cerrar acciones que exijan demostrar que el problema se ha corregido o reducido.
- Registrar excepciones con justificación, compensaciones, responsables y fecha de reevaluación.
- Reducir duplicidades entre marcos y utilizar un catálogo común de controles cuando sea apropiado.
- Informar a la dirección sobre los riesgos residuales, las dependencias y las decisiones que requieren patrocinio.
La tecnología puede facilitar el seguimiento, los flujos de aprobación y la generación de informes. No puede sustituir la calidad de los datos, el criterio profesional ni la responsabilidad de los propietarios.
Qué debe preguntar la dirección
La alta dirección no necesita revisar cada evidencia, pero sí debe poder plantear preguntas que revelen si el programa funciona de verdad:
- ¿Qué riesgos relevantes siguen abiertos y por qué?
- ¿Qué controles son críticos para los servicios esenciales?
- ¿Cómo sabemos que esos controles funcionan fuera del periodo de auditoría?
- ¿Qué excepciones se han aceptado y quién las ha aprobado?
- ¿Qué parte del entorno queda fuera del alcance de la evaluación?
- ¿Qué acciones requieren inversión, cambios de proceso o decisiones de negocio?
- ¿Qué resultado de una prueba reciente modificó una prioridad o una medida de protección?
Las respuestas deberían ser concretas, trazables y comprensibles. Si solo se ofrecen porcentajes de cumplimiento, número de controles o cantidad de evidencias, probablemente falta una visión suficiente del riesgo.
Auditorías más útiles y honestas
Una auditoría aporta más valor cuando se diseña para aprender, no únicamente para obtener una conclusión favorable. Esto implica acordar un alcance realista, evitar conflictos de interés, documentar limitaciones y comunicar los hallazgos con la relevancia adecuada.
Los equipos auditados también deben evitar preparar una versión artificial de la organización. Si durante la revisión se ocultan procesos manuales, incidencias recurrentes o desviaciones conocidas, el resultado será menos útil y la empresa perderá una oportunidad de mejora.
La función de auditoría, interna o externa, debe mantener la independencia necesaria para evaluar sin convertirse en la responsable de diseñar y operar los mismos controles que después revisará. La colaboración es necesaria; la confusión de responsabilidades, no.
Convertir el informe en acción
Un informe no mejora la seguridad por el hecho de existir. Su valor aparece cuando genera decisiones, presupuesto, cambios de comportamiento y verificaciones posteriores.
Como punto de partida, la empresa puede seleccionar los riesgos más relevantes y revisar si tienen propietario, tratamiento aprobado, controles eficaces y fecha de reevaluación. Después conviene elegir algunos controles críticos y probarlos en condiciones normales, con excepciones y ante posibles interrupciones.
También es recomendable comparar lo que dicen las políticas con lo que ocurre realmente. Las diferencias no deben ocultarse: son información para simplificar procesos, corregir diseños poco realistas y concentrar los recursos donde aporten mayor reducción del riesgo.
La madurez no consiste en acumular marcos, certificaciones o registros. Consiste en saber qué puede fallar, qué consecuencias tendría, qué se está haciendo al respecto y qué decisiones siguen pendientes. Un GRC bien implantado no promete ausencia de incidentes; ayuda a que la organización conozca mejor su exposición y responda con mayor disciplina cuando las condiciones cambian.
