Gestión del Cumplimiento

Toda organización opera dentro de una red de requisitos externos e internos: leyes de protección de datos, regulación sectorial, estándares del sector, compromisos contractuales y políticas propias. Cada requisito, por separado, puede parecer manejable. En conjunto, se solapan, cambian y a veces entran en conflicto. La gestión del cumplimiento pone orden en este panorama. Responde de forma continua a tres preguntas prácticas: qué obligaciones nos afectan, qué estamos haciendo con cada una y si podemos demostrarlo.

La palabra clave es continua. La gestión del cumplimiento no es un proyecto que termina al publicar una política. Las obligaciones cambian cuando se modifican las leyes, los reguladores emiten nuevas directrices o la empresa entra en nuevos mercados o lanza nuevos productos. Por eso, un programa maduro funciona como un ciclo: identifica obligaciones, evalúa riesgos, implementa controles, verifica su efecto y traslada los resultados a la siguiente revisión.

Un programa de cumplimiento se compone de seis elementos principales:

En la práctica, el trabajo sigue un ciclo que se repite. Empieza por el alcance: inventariar las obligaciones aplicables y vincularlas a los procesos, sistemas y datos que afectan. Después, la evaluación de riesgos identifica dónde es más probable y más dañino el incumplimiento. Los controles se diseñan o ajustan en respuesta. La implementación incluye no solo desplegar los controles, sino también documentarlos y formar a las personas que trabajan con ellos.

El ciclo se cierra con la verificación y la mejora. El monitoreo y las auditorías internas comprueban si los controles que existen en el papel funcionan también en la práctica. Las brechas detectadas vuelven como políticas actualizadas, nuevos controles o formación adicional. Los hallazgos, las métricas y los datos de incidentes suben a la dirección, y el registro de obligaciones se revisa cada vez que cambian el negocio o el entorno regulatorio.

1. 1

   Alcance

   Enumere las obligaciones aplicables y relaciónelas con los procesos, sistemas y datos que afectan.

2. 2

   Evaluación

   Determine dónde es más probable y más dañino el incumplimiento.

3. 3

   Implementación

   Diseñe o ajuste los controles, documéntelos y capacite a quienes trabajan con ellos.

4. 4

   Verificación

   Compruebe que los controles funcionan en la práctica y lleve las brechas a la siguiente revisión.

Los reguladores y los auditores rara vez aceptan garantías de palabra. Esperan registros. La evidencia adopta tres formas principales, resumidas a continuación.

Una pista de auditoría completa y atribuible vincula cada evento registrado con un usuario, una acción y una marca de tiempo. Así, la organización puede reconstruir lo ocurrido durante una investigación o una auditoría externa.

La conservación forma parte de la misma disciplina. Los registros deben mantenerse el tiempo suficiente para cumplir el requisito aplicable más largo, protegerse frente a alteraciones y recuperarse a demanda. La mala conservación documental es, por sí sola, un hallazgo frecuente en las inspecciones regulatorias, incluso cuando los controles eran sólidos.

La conservación es una configuración, no un hábito. En Anexet Reports Server, el administrador decide dónde se almacenan los datos recopilados, cuánto tiempo se conservan y qué colecciones de datos se guardan. Los informes construidos a partir de esos datos se describen en informes de cumplimiento de seguridad.

La gestión del cumplimiento es uno de los tres pilares del GRC: gobernanza, gestión de riesgos y cumplimiento. GRC es el término general para la forma en que las organizaciones se dirigen y se controlan. Los pilares se solapan a propósito. El riesgo de cumplimiento es una categoría dentro de la gestión de riesgos empresariales. La gobernanza aporta las estructuras de responsabilidad, el tono de la dirección y los derechos de decisión en los que se apoya cualquier esfuerzo de cumplimiento.

Tratar los pilares en conjunto evita el trabajo duplicado. Un único ejercicio de clasificación de datos puede, por ejemplo, servir a la vez a una regulación de privacidad, a un estándar de seguridad y a una política interna de archivo. Muchas organizaciones gestionan estas actividades en plataformas GRC compartidas, que mantienen vinculados obligaciones, riesgos, controles y evidencias. Así, un control puede demostrar cumplimiento con varios requisitos, y los reportes se nutren de una sola fuente de verdad.

Los programas débiles suelen fallar en los mismos puntos, y cada fallo se ve en los registros.

• Tratar el cumplimiento como un proyecto único, de modo que las obligaciones cambian sin que nadie lo note
• Publicar políticas sin saber dónde están los datos regulados, algo que responde la clasificación de datos
• No llevar un registro atribuible de quién hizo qué, lo que deja nada que mostrar al auditor
• Tratar la notificación de una filtración de datos como una tarea improvisada y no como un procedimiento planificado

Empiece por las obligaciones con mayor riesgo de cumplimiento y luego relaciónelas con los sistemas y datos que tocan. Un registro breve con responsables asignados vale más que un documento largo que nadie mantiene.

Las obligaciones de privacidad previstas en las normas de protección de datos son un punto de partida práctico, porque identifican los datos y las personas involucradas.

Lectura recomendada: Cómo usar Anexet Ultimate DLP para el cumplimiento del RGPD.