Las tres partes
- Gobernanza: quién decide, quién rinde cuentas, y las políticas que convierten las orientaciones de la dirección en reglas.
- Gestión de riesgos: encontrar lo que podría perjudicar a la empresa, valorarlo y decidir qué hacer.
- Cumplimiento: saber qué leyes, normas y contratos se aplican, cumplirlos y poder demostrarlo.
Por qué van juntas
Tratadas por separado, las tres generan trabajo duplicado: el mismo control se documenta tres veces para tres auditorías, y los riesgos los revisan personas que nunca ven las políticas.
Tratadas juntas, un único conjunto de controles responde a varias obligaciones. Un riesgo justifica un control, una política lo exige y la misma evidencia sirve para cada auditoría.
Por dónde empezar
- Definir el alcance: qué actividades, sedes y sistemas están afectados.
- Enumerar sus obligaciones: leyes, normas, contratos con clientes.
- Evaluar sus riesgos y registrarlos en un registro de riesgos.
- Redactar las políticas que exigen sus obligaciones y sus riesgos, y hacerlas aprobar.
- Hacer un análisis de brechas para ver qué falta y planificar el trabajo con responsables y fechas.
- Revisar con regularidad: riesgos, controles y documentos envejecen.
Quién es responsable de GRC
La dirección sigue siendo responsable. El trabajo diario suele recaer en un responsable de seguridad, cumplimiento o calidad, y cada riesgo y cada control tiene un propietario designado en el negocio. Normativas como NIS2 y DORA hacen ahora explícitamente responsables a los órganos de dirección.
Preguntas
- ¿Qué significa GRC?
- Gobernanza, riesgo y cumplimiento: cómo una empresa se dirige, gestiona sus riesgos y cumple sus obligaciones.
- ¿Es GRC solo para grandes empresas?
- No. Las pequeñas empresas reciben los mismos cuestionarios de clientes y están sujetas a muchas de las mismas leyes. Necesitan menos documentos y procesos más sencillos, no ninguno.
- ¿Qué diferencia hay entre GRC y un SGSI?
- GRC es la disciplina completa. Un sistema de gestión de la seguridad de la información (SGSI) la aplica a la seguridad de la información, tal como lo define la ISO/IEC 27001.