Los cinco principios de diseño de la confianza autónoma

La mayoría de las plataformas GRC actuales se enfrentan a un problema estructural, ya que el mundo avanza más rápido que las herramientas diseñadas para gobernarlo.

Los marcos de trabajo están definidos y la recopilación de evidencia está automatizada, pero demostrar la eficacia de los controles aún requiere días de conciliación entre equipos. Todavía hay que verificar si las evaluaciones del trimestre anterior se mantienen vigentes tras los cambios, descubrir herramientas y proveedores adoptados antes de su implementación y conciliar la documentación con la práctica en producción. La automatización ha reducido el esfuerzo superficial, pero no ha solucionado por completo el trabajo manual y recurrente que se acumula debido a la excesiva rapidez del cambio.

Autonomous Trust es una respuesta arquitectónica a esa brecha. Es un sistema que mantiene en continua alineación los compromisos de una organización con sus acciones reales, mediante un modelo operativo fundamentalmente diferente. Un modelo que funciona de forma independiente y continua, recurriendo al juicio humano solo cuando una decisión lo justifica realmente.

Así es como debería funcionar la confianza a gran escala. Un sistema que mantiene la alineación como una función continua de las operaciones, en lugar de añadir más procesos a un equipo ya sobrecargado. En Sprinto, este es el modelo que estamos construyendo.

De dónde provienen estos principios

Cuando IBM introdujo la computación autónoma en 2001, la empresa se enfrentaba a una crisis práctica, ya que la infraestructura de TI se había vuelto demasiado compleja para que los administradores humanos pudieran gestionarla, con sistemas que se extendían y cambiaban más rápido de lo que nadie podía seguirles el ritmo.

La respuesta de IBM fue definir cuatro propiedades que debe tener un sistema autogestionado: autoconfiguración, autorreparación, autooptimización y autoprotección. La idea central era simple: un sistema comprende su estado deseado, supervisa si realmente lo está alcanzando y toma medidas cuando la diferencia se vuelve demasiado grande.

Esa lógica se corresponde extraordinariamente bien con GRC porque el problema es estructuralmente idéntico: un entorno creciente e interconectado que evoluciona más rápido de lo que los procesos manuales pueden gestionarlo.

Pero GRC tiene sus propias exigencias. Un sistema autónomo en la infraestructura de TI se preocupa por el tiempo de actividad, mientras que un sistema autónomo en GRC se preocupa por la confianza, un concepto más amplio que abarca marcos, regulaciones, contratos, políticas y, cada vez más, la gobernanza de la IA.

Así pues, si bien el modelo de IBM sienta las bases, los principios de diseño de Autonomous Trust lo adaptan a las realidades específicas de las operaciones modernas de cumplimiento normativo y gestión de riesgos.

Principio 1: Autoidentificación

El sistema descubre automáticamente nuevos activos, proveedores y riesgos a medida que ingresan al entorno.

Piensa en cómo funciona el proceso de descubrimiento en la mayoría de las funciones de GRC hoy en día. Se incorpora un nuevo proveedor. Se integra una herramienta SaaS. Un contratista obtiene acceso. Todo esto sucede a la velocidad del negocio porque se cierra un trato, finaliza un sprint o un equipo necesita una herramienta y se registra.

En la mayoría de los casos, uno se entera más tarde, a veces mucho más tarde. Quizás alguien lo registra. Quizás sale a la luz durante un ciclo de revisión. Quizás un auditor pregunta al respecto. Y cuando el descubrimiento depende de que alguien te diga que algo cambió, es difícil no terminar trabajando con información desactualizada.

La autoidentificación soluciona este problema a nivel de arquitectura. El sistema analiza continuamente el entorno operativo y detecta los cambios a medida que se producen, ya sea la integración de un nuevo proveedor, una modificación en los permisos de acceso o la introducción de una nueva herramienta de procesamiento de datos. Estos cambios se muestran en tiempo real, no cuando alguien se acuerda de mencionarlos.

Este principio aborda directamente lo que se conoce como deuda de coordinación, que es el costo operativo oculto que se genera cuando demasiados procesos dependen de seguimientos manuales y conocimiento tácito. Cuando el sistema identifica los cambios por sí solo, el equipo de GRC ya no necesita contactar a ingeniería u operaciones para obtener actualizaciones, ya que la información llega sin la sobrecarga de coordinación.

Por lo tanto, el impacto práctico es inmediato. Su registro de riesgos refleja el entorno real, no el entorno tal como existía en la última revisión. Los nuevos riesgos no se acumulan silenciosamente entre los controles trimestrales. Y su equipo recupera el tiempo que antes dedicaba a la investigación y lo redirige a evaluar el verdadero significado de esos descubrimientos.

Principio 2: Autogobierno

El sistema asigna nuevas entidades a los compromisos existentes sin intervención manual.

El descubrimiento es solo el comienzo, porque una vez que se identifica un nuevo activo, proveedor o proceso, se necesita contexto. ¿Qué marcos de referencia se aplican? ¿Qué controles son relevantes? ¿Qué contratos con clientes se ven afectados? ¿Qué regulaciones entran en juego?

Hoy en día, este conocimiento se basa en la experiencia de las personas. Sus profesionales de GRC con amplia experiencia poseen un profundo conocimiento del entorno de control. Saben que un nuevo proveedor de servicios en la nube activa requisitos específicos de SOC 2, que el procesamiento de datos de clientes de la UE implica el cumplimiento del RGPD y que un contrato con un cliente en particular tiene plazos de notificación y derechos de auditoría únicos.

Esto funciona hasta que el volumen de cambios supera la capacidad del equipo para contextualizarlos, lo cual, a gran escala, casi siempre sucede. Y cuando el mapeo depende de personas que conocen las relaciones entre sistemas y compromisos, se introduce un riesgo de continuidad, porque si ese conocimiento reside en la mente de las personas en lugar de en el sistema, una sola partida, una licencia o incluso un trimestre particularmente ajetreado crea puntos ciegos.

La autogestión implica que el sistema mantiene un modelo estructurado de todo el panorama de compromisos de la organización, incluyendo cada marco, regulación, cláusula contractual y política interna, y asigna automáticamente las nuevas entidades a dicho modelo. Por lo tanto, cuando se identifica un nuevo proveedor, el sistema no solo lo registra, sino que también determina qué controles se aplican, qué evidencia se necesita y qué partes interesadas deben participar.

Esto difiere fundamentalmente de la automatización basada en reglas, que sigue asignaciones estáticas definidas durante la configuración. Un sistema autogobernado comprende las relaciones entre los compromisos y puede aplicarlas a situaciones nuevas. Por lo tanto, si se adopta un nuevo estándar de gobernanza de IA, puede evaluar qué controles existentes ya cumplen con los requisitos y dónde existen deficiencias, sin necesidad de que alguien consulte manualmente hojas de cálculo.

El resultado es que el conocimiento institucional se vuelve estructural.

Principio 3: Autodecisión

El sistema determina el curso de acción correcto en función de los niveles de riesgo predefinidos.

Aquí es donde la mayoría de las funciones GRC se topan con su mayor cuello de botella.

Has identificado un cambio y lo has vinculado a los compromisos pertinentes. Ahora alguien debe decidir qué hacer al respecto. Pero no todos los cambios requieren la misma respuesta. Una confirmación de revisión de acceso rutinaria es fundamentalmente diferente de la incorporación de un proveedor que implica el procesamiento de datos confidenciales, y una pequeña desviación de configuración en un sistema no crítico es diferente de un control de autenticación fallido en producción. Sin embargo, en tu organización, es probable que todos estos casos sigan las mismas rutas de escalamiento.

La toma de decisiones autónoma introduce un sistema de priorización inteligente. El sistema evalúa cada cambio detectado en función de los umbrales de tolerancia y apetito de riesgo definidos por la organización, y luego determina la categoría de respuesta adecuada. Algunos cambios son rutinarios y pueden gestionarse automáticamente dentro de los límites establecidos. Otros requieren una revisión superficial. Y un subconjunto menor exige un análisis humano completo.

Esta es la distinción más importante entre automatización y autonomía. La automatización pregunta si es el momento de ejecutar una tarea. La autonomía pregunta qué es lo correcto que se debe hacer, considerando el cambio que acaba de ocurrir.

De este modo, los profesionales de GRC dejan de dedicar su tiempo a decisiones de bajo riesgo y gran volumen que el sistema puede gestionar y, en su lugar, se les presentan las decisiones que realmente requieren su experiencia: riesgos importantes con los proveedores, interpretaciones normativas y compensaciones estratégicas que conllevan una responsabilidad real.

Para que quede claro, el sistema no toma decisiones trascendentales por sí solo; siempre hay un factor humano involucrado. La toma de decisiones autónoma simplemente garantiza que el nivel de respuesta adecuado genere el tipo de cambio correcto, de modo que la atención humana se centre donde realmente importa.

Principio 4: Autocontrol

El sistema comprueba constantemente el estado del entorno de control comparándolo con datos en tiempo real.

De los cinco principios, este es el que aborda de forma más directa la limitación fundamental del modelo GRC actual: la dependencia de la garantía en un momento específico.

Analicemos cómo funciona la verificación de cumplimiento en su organización. Se realiza una revisión de acceso trimestral. Se lleva a cabo una auditoría anual. Se completan las evaluaciones de proveedores según un cronograma establecido. Cada una genera una instantánea que era precisa en el momento en que se tomó, pero el entorno no se detiene entre instantáneas. Se implementa código. Las configuraciones cambian. Se otorga acceso y nunca se revoca. Los proveedores actualizan sus sistemas. Se integran nuevos modelos de IA en los flujos de trabajo. Por lo tanto, entre instantáneas, se acumula la desviación, y es precisamente ahí donde reside el riesgo.

Un control que superó la validación en enero pudo haberse visto comprometido por un cambio de configuración en febrero que pasó desapercibido hasta la siguiente revisión programada. Ese lapso entre la validación y la realidad constituye la brecha de seguridad, y es de donde provienen los incidentes de seguridad y los hallazgos de auditoría.

El autocontrol elimina esa brecha al hacer que la observación sea continua en lugar de periódica. El sistema mantiene una visión permanente del entorno de control, alimentada por señales operativas en tiempo real. Sabe cuándo la evidencia se vuelve obsoleta, cuándo un cambio en el sistema afecta un control previamente validado y cuándo una excepción ha expirado sin ser renovada o resuelta.

Esto transforma por completo el modelo de aseguramiento. En lugar de reconstruir su postura de cumplimiento para un auditor o una reunión de la junta directiva, usted tiene una visión actualizada de su situación actual. Así, cuando alguien pregunta cuál es el estado actual de las cosas, la respuesta es precisa y no se basa en la última revisión o la evaluación más reciente.

Para los equipos de GRC, la transformación es tangible porque se recuperan las horas que antes se dedicaban a recopilar información, conciliar registros en distintos sistemas y recopilar actualizaciones. Lo que queda es el trabajo que realmente fortalece la seguridad y el cumplimiento normativo de la organización.

Principio 5: Autocorrección

El sistema cierra el ciclo activando correcciones o actualizando la evidencia cuando se detecta una desviación.

La detección sin respuesta es simplemente una forma más sofisticada de saber que existe un problema, por lo que la autorremediación es fundamental. Cuando el sistema detecta una desviación del estado esperado, inicia la acción correctiva apropiada dentro de su autoridad definida. Si la evidencia ha quedado obsoleta, la actualiza. Si la asignación de propiedad ha caducado, activa la reasignación. Si la certificación de un proveedor ha expirado, inicia un nuevo ciclo de debida diligencia. Y si un control está fallando, dirige el problema al responsable correspondiente con todo el contexto necesario para resolverlo.

Aquí es donde los agentes controlados se vuelven cruciales, ya que quienes ejecutan estas acciones no operan de forma aislada. Trabajan dentro de los límites definidos por la organización, con líneas claras que separan lo que el sistema resuelve de forma autónoma de lo que se remite a un humano. Así, la actualización rutinaria de la evidencia se realiza automáticamente, mientras que un fallo en el control de materiales se comunica con todo el contexto a la persona responsable de su resolución.

La autorremediación garantiza que la gran mayoría de las tareas de seguimiento rutinarias, como las solicitudes de pruebas, las confirmaciones de propiedad y el inicio de flujos de trabajo que actualmente requieren la intervención humana, se realicen sin necesidad de esa intervención manual.

Este principio también aborda un problema con el que muchos programas de GRC (Gobierno, Riesgo y Cumplimiento) tienen dificultades: la distancia entre la identificación y la resolución de problemas. Estos se registran y luego quedan en el olvido, no porque se les haya restado prioridad, sino porque su seguimiento requiere la coordinación de varios equipos. Cuando la remediación se integra en el sistema, el tiempo entre la detección y la respuesta se reduce drásticamente.

El lazo

Estos cinco principios forman un ciclo continuo.

La autoidentificación descubre el cambio. La autogobernanza lo contextualiza. La autodecisión determina qué hacer al respecto. El autocontrol valida el resultado. Y la autorremediación corrige cualquier desviación restante.

Este ciclo se ejecuta de forma continua, no trimestral ni antes de una auditoría. Funciona en segundo plano, en paralelo a las operaciones diarias, manteniendo la coherencia entre lo que la organización promete y lo que realmente hace.

Principio	Que hace	El modo de fallo que aborda
Autoidentificación	Descubre automáticamente nuevos activos, proveedores y riesgos.	Los cambios ingresan al entorno sin ser detectados entre revisiones.
Autogobierno	Asigna nuevas entidades a compromisos sin esfuerzo manual.	El mapeo contextual depende del conocimiento individual.
Autodecisión	Determina la respuesta adecuada en función de la tolerancia al riesgo.	Todos los cambios siguen la misma ruta de escalamiento, independientemente de su gravedad.
Autocontrol	Valida los controles comparándolos con datos operativos en tiempo real.	La postura de cumplimiento solo es precisa en el momento de la revisión.
Autocorrección	Activa acciones correctivas cuando se detecta una desviación.	Se identifican los problemas, pero la solución se estanca por falta de coordinación.

En conjunto, estos principios crean un sistema de confianza permanente, que sustituye el modelo reactivo y que requiere mucha coordinación por un compromiso arquitectónico con la garantía continua.

Lo que esto significa para ti

Los cinco principios de diseño se corresponden directamente con los problemas operativos que la mayoría de los equipos de GRC reconocerán: los retrasos en el descubrimiento, los cuellos de botella en el conocimiento institucional, la sobrecarga de decisiones, la evidencia obsoleta y el retraso en la remediación.

No se trata de falta de esfuerzo, sino de limitaciones estructurales de un modelo operativo diseñado para un ritmo de negocios diferente. El enfoque basado en la coordinación, que ha permitido a muchas organizaciones llegar hasta aquí, se concibió para otra época y, sencillamente, no estaba diseñado para la creciente complejidad, la velocidad y el escrutinio que caracterizan el panorama actual.

Así pues, los cinco principios de diseño ofrecen un marco concreto para evaluar las deficiencias de su modelo actual y lo que debe ofrecer una alternativa autónoma. Porque la cuestión ya no es si su organización puede demostrar confianza, sino si su modelo operativo puede demostrarla de forma continua, a medida que la organización evoluciona, crece y cambia en tiempo real.

Para eso está diseñado Autonomous Trust. Y estos cinco principios son la base de su funcionamiento.