Gestión integral de riesgos: una guía práctica para 2026
TL, DR:
| La Gestión Integrada de Riesgos (GIR) es un enfoque conectado para gestionar el riesgo en toda la organización, abarcando los riesgos cibernéticos, de cumplimiento, operativos y financieros en un solo lugar, en lugar de tenerlos en silos y hojas de cálculo separadas. |
| Está diseñado para equipos que ya realizan gestión de riesgos, pero que la encuentran fragmentada, manual y desconectada de sus auditorías. |
| A medida que los riesgos se multiplican en todos los departamentos y aumentan las exigencias normativas, una visión unificada y basada en la tecnología se ha convertido en el estándar práctico para los equipos de empresas medianas y grandes. |
| Breve distinción: GRC se centra en el cumplimiento normativo, ERM es la visión a nivel de junta directiva de todos los riesgos empresariales, e IRM es la disciplina multifuncional que vincula el riesgo operativo y el riesgo de TI en ambos. |
La mayoría de las organizaciones no se proponen gestionar el riesgo de forma fragmentada. Sucede gradualmente. El equipo de seguridad realiza un seguimiento del riesgo cibernético en una herramienta, el departamento de cumplimiento mantiene su propia lista para la próxima auditoría, el departamento de operaciones registra los problemas en otro lugar, y el riesgo de los proveedores se encuentra en una hoja de cálculo aparte que una persona actualiza cuando se acuerda. Cada lista es razonable por sí sola. En conjunto, no ofrecen una visión completa, y los riesgos que afectan a varios departamentos son precisamente los que quedan fuera del alcance de los sistemas.
La gestión integrada de riesgos (IRM) aborda la gestión de riesgos fragmentada unificando su enfoque. Esta guía explica qué es la IRM, sus seis elementos clave, sus principales beneficios, en qué se diferencia de la gestión de riesgos empresariales (ERM) y la gestión de riesgos gubernamentales (GRC), y cómo elegir la solución adecuada. Tanto si está iniciando un nuevo programa como si está actualizando desde hojas de cálculo, este artículo le ayudará a descubrir una vía práctica para obtener una visión integral y conectada de los riesgos.
¿Qué es la Gestión Integrada de Riesgos (GIR)?
Para la mayoría de los equipos, la gestión de riesgos comienza con un cliente. Un cliente potencial solicita un informe SOC 2 antes de firmar, o un contrato incluye la norma ISO 27001 como condición, y de repente, el riesgo y el cumplimiento pasan de ser tareas secundarias a un obstáculo insalvable. La confusión que sigue suele revelar lo mismo: el riesgo está disperso. Reside en una hoja de cálculo que actualiza una persona, la evidencia se encuentra en otra herramienta y las revisiones de proveedores se realizan en un calendario que nadie controla. Los riesgos están anotados en algún lugar, pero no están conectados con nada.
La gestión integral de riesgos (GIR) consiste en identificar, evaluar y gestionar los riesgos en toda la organización desde una perspectiva única e integrada, en lugar de tratar los riesgos cibernéticos, de cumplimiento, operativos y financieros como áreas de trabajo separadas. Proporciona a los equipos una visión integral del riesgo y de dónde actuar.
En la práctica, la Gestión Integrada de Riesgos (GIR) sitúa la gestión de riesgos en el centro de las operaciones, lo que permite a la empresa prepararse y responder de forma consistente ante los riesgos a medida que surgen. Un Programa Integrado de Gestión de Riesgos (PIGR) abarca todo tipo de riesgos a los que se enfrenta una organización, incluidos los riesgos estratégicos, operativos, financieros y de cumplimiento, y los vincula a los objetivos generales de la empresa. El objetivo es identificar y abordar los riesgos antes de que se conviertan en problemas.
El concepto fue introducido por primera vez por Gartner en 2017. Según Gartner, un enfoque eficaz de IRM debería incluir:
- Una estrategia de respuesta ante riesgos clara y concisa.
- Evaluación detallada de riesgos.
- Comunicación e informes.
- Seguimiento de riesgos.
- Adopción de una solución IRM basada en software.
¿Cuál es el alcance de un Programa Integrado de Gestión de Riesgos?
El alcance de un programa de Gestión Integrada de Riesgos (GIR) abarca seis elementos: estrategia, identificación y evaluación de riesgos, respuesta, comunicación e informes, monitoreo y tecnología. La forma más clara de comprender cómo se interrelacionan es analizar una situación a través de los seis elementos.
Analicemos un patrón recurrente en nuestras conversaciones con empresas en crecimiento: el seguimiento de riesgos comienza solo cuando un cliente solicita una certificación. El primer registro suele mantenerse en una hoja de cálculo, es responsabilidad casi exclusiva del departamento de seguridad y se actualiza principalmente con fines de auditoría. Con el tiempo, los equipos comienzan a encontrar riesgos marcados como "cerrados" aunque no haya un responsable claro, un control vinculado ni evidencia concreta de que el problema se haya resuelto realmente.
Así es como cada elemento de IRM aborda una parte de ese problema.
1. Estrategia
La solución comienza antes de que se registre cualquier riesgo. La estrategia implica decidir qué riesgos aceptará, mitigará o evitará la organización, y establecer un nivel de tolerancia al riesgo que cuente con la aprobación de la dirección. En nuestro ejemplo, el equipo no tenía un nivel de tolerancia acordado, por lo que cada riesgo se gestionó de forma improvisada. Una estrategia definida proporciona un estándar para evaluar cada riesgo.
2. Identificación y evaluación de riesgos
A continuación, las entradas dispersas en la hoja de cálculo se reemplazan por un proceso estructurado: identificar los riesgos existentes y potenciales y puntuar cada uno según su probabilidad e impacto. Es aquí donde el equipo deja de adivinar qué riesgos son importantes y comienza a clasificarlos de manera consistente en todos los segmentos de negocio.
3. Respuesta
Una vez evaluados los riesgos, cada uno requiere una respuesta, una medida de mitigación y un responsable. Precisamente aquí es donde nuestro ejemplo falló: los riesgos se cerraron porque nadie se responsabilizó de su seguimiento. Asignar responsables de las respuestas (generalmente el jefe del departamento correspondiente, no un CISO central) es lo que da sentido al cierre.
4. Comunicación y presentación de informes
El equipo necesita entonces una forma de mantener informados a los líderes y a las partes interesadas, con un protocolo de escalamiento cuando un riesgo supere un umbral determinado. Sin esto, la junta directiva solo se entera de un riesgo una vez que se convierte en un incidente.
5. Supervisión
Los controles y las calificaciones de riesgo deben revisarse continuamente, no solo una vez al año durante la auditoría. El monitoreo continuo es lo que habría detectado los riesgos mal gestionados en nuestro ejemplo antes que el auditor.
6. Tecnología
La clave del fracaso radicó en vincular manualmente los cinco primeros elementos mediante hojas de cálculo. La tecnología, una plataforma que conecta los riesgos con los controles, los responsables y la evidencia en un solo lugar, es lo que garantiza la sostenibilidad de los otros cinco a medida que la organización crece.
Estos seis elementos no son una lista de verificación. Son cinco respuestas interconectadas a un mismo problema, unidas por el sexto.
Beneficios de la Gestión Integrada de Riesgos
El valor de la gestión de riesgos integrados (IRM) se aprecia mejor la semana anterior a una auditoría. Un equipo reconstruye su registro de riesgos desde cero y busca pruebas en los responsables; otro abre un panel de control donde cada riesgo ya está vinculado a sus controles, responsable y evidencia.
Esto es lo que obtienes al tener un IRM:
- Una única fuente de información fidedigna sobre riesgos: En lugar de listas separadas propiedad de los departamentos de TI, cumplimiento normativo y operaciones, se obtiene un registro de riesgos conectado con el que todos trabajan, de modo que la dirección finalmente puede ver cómo se relacionan los riesgos entre sí.
- Menos trabajo manual y menos simulacros de incendio durante las auditorías: Cuando el registro de riesgos se vincula directamente con los controles y la evidencia, la preparación de la auditoría deja de ser un caos. Un registro que alimenta la auditoría evita tener que reconstruir una hoja de cálculo para cada evaluación.
- Un proceso defendible de evaluación y tratamiento de riesgos: Los equipos suelen descubrir esto cuando el riesgo inherente, el riesgo residual, la efectividad del tratamiento y la puntuación a nivel departamental no coinciden del todo. Antes de que la dirección utilice el panel de control, es fundamental acordar cómo se calcula cada puntuación, quién puede aprobar los cambios y cómo se registran las excepciones. De lo contrario, el registro puede parecer completo, pero las cifras subyacentes aún requieren supervisión.
- Ahorro de costes derivado de la eliminación de controles duplicados: Asignar un control a múltiples riesgos y marcos de trabajo revela superposiciones por las que se paga dos veces. Consolidarlos reduce tanto los costos de herramientas como los de esfuerzo.
Cuando Apty añadió la norma ISO 27001 a un programa SOC 2 ya existente , el mapeo de controles comunes les permitió reutilizar su trabajo de SOC 2 y lograr el cumplimiento de la norma ISO 27001 en 15 días con un aumento del esfuerzo inferior al 20 %.
- Decisiones más rápidas y mejor informadas: Una visión holística permite a los líderes sopesar los riesgos frente a los objetivos empresariales y priorizar lo que realmente importa, en lugar de reaccionar ante el problema más acuciante.
- Señales de mayor confianza para compradores y reguladores: Los compradores no solo preguntan si una empresa cuenta con las certificaciones SOC 2, ISO 27001 o ISO 42001. Hacen preguntas específicas sobre políticas, controles, proveedores, uso de datos, implementación de IA y acceso a evidencias. Si las respuestas provienen de documentos dispersos, cada cuestionario se convierte en un ejercicio de validación manual. Si provienen de una base de datos integrada de riesgos, controles y evidencias, el mismo sistema que respalda las auditorías también puede respaldar las revisiones de ventas y las solicitudes del Centro de Confianza.
¿Por qué las organizaciones necesitan una gestión integral de riesgos?
En la encuesta de Sprinto sobre el retorno de la inversión en cumplimiento normativo, realizada a altos directivos en este ámbito, el 40 % de las organizaciones afirmó seguir gestionando el cumplimiento de forma improvisada, sin un responsable específico ni un sistema de registro establecido. Este hallazgo explica en gran medida la necesidad de la gestión integral del riesgo (IRM): cuando nadie se responsabiliza del riesgo y no existe un sistema de registro, las deficiencias no se deben a la falta de esfuerzo, sino que están inherentes a la forma en que se organiza el trabajo.
Cinco cambios han hecho que la brecha sea más difícil de ignorar:
- Los riesgos ya no se mantienen dentro de su carril: Un solo ciberataque no solo causa un problema técnico, sino que también ocasiona pérdidas financieras, incumplimientos normativos y daños a la imagen de marca. Cuando las funciones de gestión de riesgos están aisladas, nadie tiene una visión completa de la situación y el efecto acumulativo queda sin control.
- Las hojas de cálculo fallan a gran escala: El seguimiento manual de riesgos mediante hojas de cálculo funciona hasta que deja de hacerlo. A medida que aumenta el número de riesgos, proveedores y marcos de trabajo, resulta imposible mantener actualizada la hoja de cálculo, y un registro de riesgos en el que nadie confía es peor que no tener ningún registro.
- La complejidad regulatoria sigue en aumento: La superposición de obligaciones como SOC 2, ISO 27001, HIPAA, GDPR y regímenes más recientes como DORA y NIS2 hace que un enfoque fragmentado, marco por marco, sea ineficiente y propenso a errores.
Según la Encuesta Global de Cumplimiento Normativo de PwC de 2025, el 85% de los ejecutivos afirma que la complejidad del cumplimiento normativo ha aumentado significativamente en los últimos años.
- El riesgo derivado de terceros se ha convertido en una preocupación a nivel de la junta directiva: Los proveedores y su acceso a sus datos se encuentran ahora entre los principales riesgos que los ejecutivos monitorean, lo cual es difícil de gestionar desde un proceso separado y desconectado.
- La confianza se ha convertido en una condición para hacer negocios: Los clientes realizan revisiones de seguridad antes de firmar, los reguladores esperan pruebas en lugar de intenciones, y un solo incidente con un proveedor puede convertirse en noticia. Demostrar un programa de gestión de riesgos bien gestionado y conectado es ahora fundamental para cerrar acuerdos y mantenerlos, no una tarea administrativa. Resulta difícil afrontar esta presión cuando la estrategia de gestión de riesgos se elabora desde cero cada vez que se solicita.
IRM aborda los cinco aspectos a la vez. Conecta las funciones, reemplaza la hoja de cálculo, asigna obligaciones superpuestas a controles compartidos e integra el riesgo de terceros en la misma vista que el resto de los elementos.
¿Cómo implementar una estrategia de gestión de relaciones con los inversores (IRM)?
La implementación de la gestión de riesgos integrados (IRM) sigue este orden aproximado: primero, alineación; luego, asignación de responsabilidades; después, incorporación del riesgo en las decisiones; y finalmente, la elaboración de informes. No es necesario que los cuatro pasos maduren el primer día, pero omitir los primeros puede provocar el fracaso de los siguientes.
Paso 1: Alinear la ciberseguridad con los objetivos empresariales.
Empiece con una declaración de tolerancia al riesgo de una página, firmada por el equipo directivo, que indique qué riesgos aceptará, mitigará o evitará, y por qué. Sin ella, cada reunión posterior para priorizar se convertirá en una discusión. Una declaración de tolerancia al riesgo firmada le proporciona una política a la que atenerse en lugar de tener que volver a debatir cada decisión.
Paso 2: Asigne a cada riesgo un responsable externo al equipo de seguridad.
La señal más clara de que el riesgo se comparte en lugar de estar aislado es un registro donde finanzas, producto y operaciones poseen entradas, no solo el departamento de TI. Si seguridad lo controla todo, se trata de una lista de seguridad, no de un programa integrado.
Paso 3: Incorporar el riesgo en la forma en que se toman las decisiones.
Vincula la evaluación de riesgos a los momentos clave que ya existen: un nuevo proveedor, un nuevo mercado, un cambio importante en un producto. Cada uno de estos eventos debería desencadenar una revisión de su impacto en tu perfil de riesgo antes de su aprobación, de modo que los riesgos se detecten en el momento de la decisión y no después de que ocurra un incidente. No se requieren nuevas reuniones; incorpórala a las revisiones que ya realizas.
Paso 4: Informe sobre la situación actual, no sobre una instantánea trimestral.
Seleccione de tres a cinco indicadores clave que la dirección realmente tenga en cuenta (riesgos graves abiertos, tratamientos pendientes, cobertura de control) e incorpórelos a un panel de control que se actualice continuamente. Un informe obsoleto al día siguiente de la reunión de la junta directiva no puede influir en la toma de decisiones.
Gestión integrada de riesgos en la práctica
Clara , plataforma líder en gestión de gastos corporativos en Latinoamérica, ofrece un ejemplo claro de gestión de riesgos integrada en acción . Al operar en un sector altamente regulado y vender a grandes empresas, Clara necesitaba centralizar la información sobre riesgos, controles, proveedores y evidencia, en lugar de tenerla dispersa en documentos y hojas de cálculo.
Cuando Raquel Hernandez, vicepresidenta de ingeniería, se unió a la empresa, esta estaba en proceso de obtener su primera certificación PCI-DSS, y el proceso era casi completamente manual.
Como lo describe Raquel: “Gestionábamos las auditorías prácticamente de forma manual, por lo que había muchísima comunicación constante para recopilar toda la documentación necesaria. No contábamos con un sistema centralizado de supervisión, lo que hacía que el cumplimiento normativo fuera reactivo en lugar de proactivo”.
Clara migró su programa a Sprinto y lo consolidó todo en una vista unificada. El equipo creó un registro de riesgos predefinido, vinculó las políticas con los controles e integró la plataforma con su infraestructura en la nube (AWS, GitHub, BambooHR y otras) para que los controles se supervisaran y la evidencia se recopilara automáticamente. Fundamentalmente, cada riesgo se vinculó con los controles destinados a abordarlo, lo que permitió al equipo actuar sobre los riesgos a medida que surgían, en lugar de descubrirlos durante la auditoría. El riesgo de los proveedores se gestionaba en el mismo sistema junto con la documentación de los proveedores, la supervisión de las brechas de seguridad y el seguimiento de riesgos, de forma consolidada en lugar de como un proceso independiente.
Esa conexión entre riesgo y control fue lo que integró el programa en lugar de hacerlo aislado, y cambió la rapidez con la que el equipo podía responder. Al vincular los riesgos con los controles en Sprinto, Clara aumentó su capacidad de respuesta ante riesgos hasta en un 60 %.
“En Sprinto, obtenemos información en tiempo real sobre los riesgos, lo que nos permite anticiparnos a ellos. Abordamos los riesgos en cuanto surgen”, afirma Raquel.
Esa misma consolidación dio sus frutos en otros ámbitos: Clara superó sus auditorías PCI-DSS e ISO 27001 sin ninguna observación y ahora responde a los cuestionarios de seguridad un 70 % más rápido.
“Sprinto es fundamental para nuestro cumplimiento normativo. Además de ayudarnos a mantenernos preparados para auditorías continuas, utilizamos la plataforma para gestionar riesgos de terceros, adaptarnos a las expectativas regulatorias en constante evolución y como motor de eficiencia en la gestión del cumplimiento.” ~ Raquel Hernandez, vicepresidenta de Ingeniería de Clara.
Ejemplos de gestión integrada de riesgos
En función de los objetivos y perfiles de riesgo de la organización, el enfoque de la gestión de riesgos de TI (IRM) puede variar de una organización a otra. Algunos casos de uso/ejemplos de implementación de la IRM incluyen:
Ejemplo 1: Una organización que planea establecer una estrategia de gestión de riesgos a nivel empresarial implementará un programa de gestión integral de riesgos (GIR) que incluya ciberseguridad, seguridad física y concienciación de los empleados para gestionar y mitigar los riesgos.
Ejemplo 2: Una organización que busca establecer una estrategia de gestión de crisis/desastres implementará un programa sólido de gestión de riesgos de incidentes (IRM, por sus siglas en inglés) que enumere los pasos a seguir en caso de un desastre o una emergencia de ciberseguridad.
Ejemplo 3: Una organización centrada en la continuidad del negocio implementará las estrategias de gestión de riesgos de infraestructura (IRM, por sus siglas en inglés) que describen cómo la organización puede mantener las operaciones comerciales cruciales durante una crisis o un desastre.
La organización puede implementar múltiples estrategias para un enfoque integral de gestión de riesgos empresariales (IRM). Sin embargo, como sugieren las definiciones, independientemente de las estrategias que se implementen, se aplicarán en toda la organización para gestionar los riesgos de manera eficaz en toda la empresa.
IRM vs ERM: ¿Cuál es la diferencia?
La diferencia entre IRM y ERM radica en el alcance y la ejecución.
La gestión de riesgos empresariales (ERM, por sus siglas en inglés) ofrece una visión integral, desde la alta dirección, de todos los riesgos que podrían afectar a la organización, incluyendo los riesgos financieros, estratégicos y operativos. La gestión integral de riesgos (IRM, por sus siglas en inglés) es la disciplina multifuncional que conecta las áreas de TI, ciberseguridad, cumplimiento normativo y riesgos operativos, e integra la gestión de riesgos en los flujos de trabajo diarios. La ERM define los riesgos a los que se enfrenta su empresa. La IRM define cómo gestionarlos de forma conjunta, sin compartimentos estancos.
| ERM | IRM | |
| Pregunta principal | ¿Cuáles son todos nuestros riesgos empresariales? | ¿Cómo gestionamos el riesgo de forma conjunta, sin compartimentos estancos? |
| SENTIDO DE SALIDA: | De arriba hacia abajo (placa / LED CRO) | Interfuncional y operativo |
| Propietario típico | Director de Riesgos, junta directiva, ejecutivos | Equipos de riesgo, seguridad y cumplimiento trabajando juntos |
| Centro de gravedad | Registros de riesgos, controles, revisiones periódicas | Datos conectados, tecnología, flujos de trabajo diarios |
| Énfasis en el alcance | Todos los riesgos empresariales (financieros, estratégicos, operativos) | Conectando TI/ciberseguridad, cumplimiento normativo y riesgo operativo |
“No tengo riesgos por departamento ni 100 riesgos que analizar. Hablo de entre 15 y 20 escenarios de riesgo que podrían tener un impacto catastrófico en varios departamentos, y estos se corresponden con entre 20 y 30 controles. Son los mismos riesgos y controles que presento a un ingeniero, a un jefe de departamento y a mi junta directiva.” ~ Senthil Kumar Iyyappan, CISO y director de TI de Ocrolus, durante un seminario web de Sprinto.
IRM vs GRC: Diferencias clave
La diferencia entre IRM y GRC radica en sus orientaciones.
GRC (Gobernanza, Riesgo y Cumplimiento) se centra en el cumplimiento normativo y es principalmente reactivo, diseñado para alinear la empresa con las regulaciones y demostrarlo. IRM se centra en el riesgo y es proactivo, diseñado para detectar y gestionar el riesgo en toda la organización antes de que se convierta en un problema. GRC pregunta si se están cumpliendo las obligaciones. IRM pregunta qué podría salir mal y cómo se interrelacionan los elementos.
| GRC | IRM | |
| Orientación | Orientado al cumplimiento normativo y reactivo. | Orientado al riesgo y proactivo. |
| Objetivo principal | Cumplir con las obligaciones regulatorias y de cumplimiento | Identificar y gestionar todos los riesgos en toda la organización. |
| Nuevo enfoque | Tradicional y basado en estándares | Orientados a los negocios y con visión de futuro. |
| Pregunta central | ¿Estamos cumpliendo con nuestras obligaciones? | ¿Qué podría salir mal y cómo encajan las piezas? |
Un ámbito donde esta diferencia cobra relevancia práctica es el riesgo de terceros. Para la mayoría de las organizaciones reguladas, el riesgo de proveedores constituye ahora uno de los componentes más importantes de la gestión integral, y no un proceso secundario. En la práctica, los equipos evalúan a cada proveedor en función de los datos a los que tiene acceso, los tipos de datos que comparte y el impacto operativo que se produciría si dicho proveedor fallara.
Los proveedores de alto riesgo activan entonces un proceso de debida diligencia, como la recopilación de su informe SOC 2 o certificado ISO 27001 , y se les reevalúa periódicamente en lugar de una sola vez durante la incorporación. Para una empresa que gestiona a varios cientos de proveedores, esta puntuación es lo que marca la diferencia entre una simple lista y un programa, y debe integrarse en el mismo sistema que la gestión de riesgos internos.
Como explica Girish Redekar, cofundador de Sprinto: “El problema es que, una vez firmado el contrato, la visibilidad prácticamente desaparece. Tras la incorporación, el comprador no suele tener acceso en tiempo real a los cambios que se producen en el entorno del proveedor. Una analogía más clara sería que la mayoría de los equipos revisan el historial de conducción de alguien una sola vez y luego le dan las llaves para siempre”. [ Declaraciones en el podcast Risk Management Show ]
Ese es el cambio de GRC a IRM: el riesgo de los proveedores no es una tarea de incorporación que se haya completado; es una dependencia activa que necesita visibilidad continua.
¿Cómo elijo la solución IRM adecuada para mi negocio?
El mercado de IRM y GRC está saturado, y la mayoría de las plataformas utilizan un lenguaje casi idéntico para describirse. Es difícil distinguirlas simplemente revisando la lista de funciones en la página principal. Es necesario comprender cómo gestionan las particularidades de su programa.
Los criterios que se detallan a continuación distinguen una herramienta que realmente se utilizará de una que quedará archivada. Se resumen en dos preguntas: ¿se adapta a tu programa? y ¿tu equipo la utilizará realmente?
¿Encaja con tu programa?
- Cobertura multiframework: ¿Puede una sola plataforma gestionar todos los marcos normativos que le interesan, incluidos SOC 2, ISO 27001, HIPAA, GDPR, PCI DSS y NIST, y reutilizar la evidencia en todos ellos para que no tenga que duplicar el trabajo en cada marco?
- Un registro de riesgos que se relaciona con controles, puntuación y evidencia: Esta es la característica clave. Busque un registro donde cada riesgo tenga una puntuación, enlaces a controles, responsables y planes de tratamiento, y que se conecte con la evidencia de auditoría que lo demuestra, en lugar de una lista estática que usted mantiene aparte.
- Riesgos de terceros y proveedores en un mismo lugar: Si el riesgo de los proveedores es importante para usted, y para la mayoría de los compradores regulados lo es, asegúrese de que la gestión de riesgos de terceros se encuentre en la misma plataforma en lugar de en una herramienta aparte. Busque específicamente una calificación de proveedores basada en el acceso a los datos y la capacidad de activar y realizar un seguimiento de las reevaluaciones periódicas, ya que es ahí donde suele fallar el seguimiento manual de proveedores.
Fyxer, el asistente de correo electrónico con inteligencia artificial, consolidó el cumplimiento normativo en un único sistema siempre activo en Sprinto, reduciendo la preparación de auditorías de cinco días a dos horas y ahorrando el equivalente a la contratación de tres o cuatro personas para el área de cumplimiento.
“Sprinto nos proporciona todo lo que necesitamos, pero de una manera que me permite no tener que contratar a tres o cuatro personas para el área de cumplimiento normativo para actualizar documentos o gestionar auditorías.” — Andy Wallace, CIO, Fyxer.
¿Tu equipo realmente lo usará?
- Recopilación automatizada de pruebas y monitorización continua: La clave está en dejar de usar hojas de cálculo manuales. Es preferible utilizar plataformas que extraigan la información automáticamente y supervisen los controles de forma continua, en lugar de hacerlo solo durante las auditorías.
- Integraciones con su pila tecnológica actual: Verifique las conexiones nativas con su nube (AWS, Azure, GCP), código (GitHub, GitLab), identidad y herramientas de gestión de incidencias. Una plataforma que nadie puede mantener sincronizada no es más que una hoja de cálculo más cara.
- Precios transparentes y un cronograma de implementación realista: Pregunte cómo se ajustan los precios según el número de empleados y los marcos de trabajo, y cuánto tiempo lleva la implementación real. La diferencia entre semanas y meses cambia el caso de negocio.
El panorama de los proveedores
El mercado de IRM y GRC abarca desde grandes suites empresariales configurables hasta plataformas más recientes centradas en la automatización. Entre las opciones empresariales y orientadas a ERM se incluyen ServiceNow, Archer, Diligent y LogicGate, y LogicManager suele mencionarse como una opción adecuada para empresas medianas. Las plataformas de cumplimiento y gestión de riesgos centradas en la automatización que suelen evaluar los equipos de empresas medianas incluyen Vanta, Drata y Sprinto.
La opción adecuada depende de su tamaño, el cumplimiento de la normativa y la cantidad de mantenimiento manual que pueda tolerar.
Dónde encaja la gobernanza de la IA en la gestión de riesgos de inteligencia (IRM).
El riesgo de la IA ya ha superado la fase de preocupación incipiente. En la encuesta AI Pulse Check de Sprinto , realizada a 103 CISO estadounidenses, el 52.81 % de las organizaciones afirmó que realiza un seguimiento de los riesgos relacionados con la IA como una categoría específica, mientras que el 44.94 % aún los agrupa dentro de riesgos más amplios, como la seguridad de datos o la de terceros. Esta división refleja con precisión por qué la gobernanza de la IA debe formar parte de la gestión integrada de riesgos: la IA se está convirtiendo en un dominio de riesgo propio, pero su exposición sigue afectando a los mismos equipos que la gestión integrada de riesgos está diseñada para conectar.
La brecha operativa ya es evidente. Más del 30 % de las organizaciones han sufrido un incidente de seguridad importante relacionado con la IA en los últimos 12 meses, pero dos de cada tres tardan entre una semana y seis meses en implementar controles o cambios en las políticas en respuesta a los riesgos asociados a la IA. En otras palabras, las herramientas de IA se adoptan y modifican más rápido de lo que los procesos de gobernanza pueden responder.
Ahí es donde la gestión de riesgos integrados (IRM) se vuelve práctica. Una sola herramienta de IA introduce varios riesgos a la vez:
- Una decisión del proveedor (¿quién lo construyó?, ¿cuáles son sus controles?)
- Una cuestión de seguridad de datos (¿qué afecta, adónde van esos datos?)
- Una obligación de cumplimiento (ISO 42001,, la Ley de IA de la UE, normas sectoriales)
- Un riesgo operativo (¿qué sucede cuando algo sale mal?)
Gestionada por separado, la IA se convierte en una lista aislada más. Al incluirse en el mismo registro que los demás riesgos, se le asigna una puntuación, un responsable y se vincula a los controles como cualquier otro elemento, con el paso adicional de rastrear qué sistemas utilizan IA, qué datos procesan y qué modelos se utilizan.
El ámbito regulatorio avanza a un ritmo vertiginoso. La norma ISO 42001, el Marco de Gestión de Riesgos de IA del NIST y la Ley de IA de la UE ofrecen enfoques estructurados para la gestión de riesgos de la IA, y están madurando rápidamente. Si la IA se está convirtiendo en un elemento clave para su negocio, intégrela en su programa de gestión de riesgos actual en lugar de crear uno paralelo, y elija herramientas que puedan ampliarse para abarcarla a medida que estas normas se consoliden.
Para las empresas que utilizan mucha IA, la gobernanza de la IA suele comenzar con una pregunta sencilla: ¿dónde se está utilizando realmente la IA? En conversaciones recientes sobre la implementación, los equipos no solo hacían un seguimiento de las políticas de IA, sino que también mapeaban los casos de uso, los responsables de los modelos, las fuentes de datos, los modelos de terceros, las pruebas de sesgo, los registros de capacitación, las exenciones de responsabilidad y la postura del Centro de Confianza de cara al cliente. Precisamente por eso, la IA debe integrarse en la gestión de relaciones con los clientes (IRM) y no en una hoja de cálculo aparte.
Cada caso de uso de IA debe tratarse como un objeto de riesgo:
- ¿Qué sistema o función de IA se está utilizando?
- ¿Quién lo posee?
- ¿Qué datos afecta?
- ¿Está fabricado internamente o utiliza un modelo de terceros?
- ¿Qué controles, pruebas, exenciones de responsabilidad y evidencias de revisión lo respaldan?
- ¿Qué deberían poder ver los clientes en el Centro de Confianza?
Una vez que la IA se registra de esta manera, se puede calificar, revisar, asignar, monitorear y documentar como cualquier otro riesgo empresarial importante.
Primeros pasos con IRM
No es necesario implementar todo esto de golpe. Empiece por consolidar sus riesgos en un único registro, vinculando cada uno a sus controles y a un responsable, y automatizando la recopilación de pruebas para que su situación se mantenga actualizada en lugar de quedar obsoleta entre auditorías. Este simple paso, de hojas de cálculo a una vista integrada, es lo que transforma una lista de riesgos estática en un programa funcional.
Esta es la función para la que está diseñada Sprinto: la plataforma conecta su registro de riesgos con los controles, evalúa los riesgos de forma coherente y mantiene la evidencia lista para auditorías, la misma configuración que se utiliza en el ejemplo del cliente mencionado anteriormente.
Compruébelo en su propio entorno con una demostración rápida.
Preguntas Frecuentes
Autor
Taleth
Sucheth es especialista en marketing de contenidos en Sprinto. Se centra en simplificar temas relacionados con el cumplimiento normativo, el riesgo y la gobernanza para ayudar a las empresas a crear programas de seguridad más sólidos y resilientes.Vaya más allá de la superficie y descubra los aspectos clave sobre gobernanza, riesgo y cumplimiento que realmente importan.
Gana premios digitales por tu éxito en la sala de juntas.
Explora más
Investigaciones y análisis seleccionados para ayudarte a ganarte un lugar en la mesa.
