Modelo de Capacidades GRC 3.5: Todo lo que necesitas saber

Las empresas de servicios en la nube se esfuerzan por reforzar sus defensas en una era donde las filtraciones de datos son noticia y las regulaciones se vuelven más estrictas. Aquí entra en juego el Modelo de Capacidades GRC 3.5, que revoluciona la forma en que las organizaciones abordan la gobernanza, el riesgo y el cumplimiento normativo.

Con el auge de la adopción de la nube, este marco se presenta como una guía para las empresas que navegan por las complejas aguas de la seguridad y el cumplimiento normativo. Ofrece un enfoque estructurado pero flexible y puede ser un arma secreta para las empresas que buscan generar confianza, mitigar riesgos y mantenerse a la vanguardia en un entorno altamente competitivo.

Analicemos esto con más detalle.

¿Qué es el modelo de capacidades GRC?

El Modelo de Capacidades GRC o Libro Rojo de OCEG es un enfoque unificado para la gobernanza, el riesgo y el cumplimiento, con cuatro componentes principales: Aprender, Alinear, Ejecutar y Revisar. Es una publicación del Open Compliance and Ethics Group (OCEG). 

El libro rojo de GRC tiene como objetivo impulsar un desempeño basado en principios para las empresas que adoptan una estrategia de GRC. Ha formalizado el enfoque de GRC en un "modelo" fácilmente adaptable y ayuda a las empresas proporcionándoles una guía sobre cómo comenzar con los fundamentos de GRC y escalar a partir de ahí. 

También puede utilizar el Modelo de Capacidades para integrarlo en los marcos específicos que requiera su organización, como ISO, SOC 2, COSO, NIST, GDPR, etc. Esto proporciona un enfoque estructurado y probado para gestionar los diversos aspectos de GRC.

Esto es lo que representan los cuatro componentes clave del Modelo de Capacidades GRC de OCEG:

1. Aprender

El componente " Aprender " del modelo de capacidades te permite comprender el contexto interno y externo de tu organización, las partes interesadas involucradas y la cultura en la que crees.

El aprendizaje implica formular preguntas sobre las expectativas del sector en el que trabajas, tu superficie de amenazas potencial y los ataques y riesgos comunes presentes en el sector. Esto está relacionado con los recursos internos a los que tienes acceso.

El modelo también le proporciona las preguntas que debe formularse sobre sus procesos internos, medidas de rendición de cuentas, políticas vigentes, riesgos, eventos, etc. Además, profundiza en el público objetivo de su negocio y, en última instancia, en los valores que defiende. 

Las herramientas o técnicas que se utilizan en esta fase son el análisis FODA, la planificación de escenarios, el análisis PESTLE, la visión basada en los recursos, el mapa cultural, el análisis de las partes interesadas, etc. 

2. Alineación

¿Cómo se alinean los objetivos de la organización con la dirección a largo plazo y con una forma adecuada de medir el progreso?

Alinear tu estrategia de GRC implica crear controles y medidas eficaces que te ayuden a alcanzar tus objetivos empresariales y a abordar cualquier incertidumbre. Esto debe hacerse en varias etapas, con una toma de decisiones responsable en cada paso y una misión, visión y valores claramente definidos. 

“El resultado final de la alineación es un plan de acción integrado” – Libro Rojo de OCEG.

Esta fase incluye el análisis de sus requisitos de cumplimiento (obligatorios o reglamentarios), la definición de su tolerancia al riesgo , el establecimiento de objetivos e indicadores clave, la evaluación de costes, la definición de controles, etc.

3. Realizar

La fase de "ejecución" es donde se desarrolla toda la acción. Según el concepto de "Desempeño basado en principios" del Libro Rojo de GRC, una organización debe adoptar un enfoque proactivo para abordar cualquier oportunidad o desafío que pueda surgir durante la implementación de una estrategia de GRC.

Además de ser proactiva, la estrategia debe ser también de tipo "detectivo", con una rápida capacidad de respuesta ante incidentes. Esto se logra mediante una combinación de controles, medidas, acciones y herramientas de seguridad. Asimismo, todos estos elementos deben clasificarse según los activos, como personas, procesos, políticas, tecnología, datos, etc.

La fase de "ejecución" es donde se implementan las políticas, se asignan los controles a los marcos/políticas, se lleva a cabo la capacitación y se ejecutan los planes de respuesta y los planes de notificación de violaciones de seguridad. 

El proceso incluye técnicas y marcos como los controles internos COSO, encuestas de retroalimentación, herramientas SA&T, monitoreo continuo de controles , alertas automatizadas, registros de auditoría, planificación de continuidad del negocio, etc.

4. Revisar

La fase de revisión es aquella en la que las organizaciones deben supervisar todo lo que han implementado, incluyendo acciones, medidas y controles, a la vez que buscan la mejora continua. Esto ayuda a la dirección a evaluar los resultados de los indicadores clave y a determinar si contribuyen al éxito del negocio.

La fase de revisión también garantiza el cumplimiento de las normas o marcos de referencia pertinentes para su negocio y comprueba si el sistema es resistente, eficiente y ágil.

Las herramientas y técnicas comunes utilizadas en este proceso son los OKR (Objetivos y resultados clave), los KPI, los KRI, las revisiones periódicas, las pruebas de controles , las auditorías externas e internas, las evaluaciones, la evaluación comparativa y los cuadros de mando integral.

¿Qué novedades incluye la última actualización del Modelo de Capacidades GRC 3.5?

El Modelo de Capacidades GRC 3.5 de OCEG, la última actualización de OCEG, es el resultado de una amplia colaboración entre cientos de miembros y expertos en GRC. La actualización se centra en tres objetivos principales: simplificar, clarificar y ampliar el modelo.

La última actualización introduce mejoras como:

1. Contenido simplificadoEl modelo ha sido editado para que sea más accesible y fácil de navegar, y las nuevas tecnologías facilitan su captura y publicación digital.
2. Marco mejoradoEl modelo ahora incluye conceptos de GRC (Gobierno, Riesgo y Cumplimiento) refinados que brindan una comprensión integral de las ideas fundamentales y las prácticas efectivas en GRC.
3. Vocabulario unificadoProporciona un lenguaje estandarizado en todas las disciplinas para una mejor comunicación y alineación.
4. Componentes definidos y requisitos de informaciónLa actualización 3.5 incluye descripciones claras de los elementos comunes y la información necesaria para estandarizar prácticas como las políticas y la formación.
5. Estrategias de comunicación mejoradas: Identifica métodos de comunicación eficaces para todas las partes interesadas involucradas en las actividades de GRC (Gobierno, Riesgo y Cumplimiento).

Función de los profesionales de GRC 

Según el Libro Rojo PDF del Modelo de Capacidades GRC 3.5, el rol de los profesionales de GRC, denominados “ Protectores ”, consiste en crear y proteger valor asegurando un desempeño basado en principios . En consecuencia, sus principales tareas incluyen:

• Lograr los objetivos de manera confiable: Ayudar a una organización a alcanzar sus objetivos.
• Afrontar la incertidumbre, gestionar los riesgos y los desafíos.Cómo hacerlo de forma eficaz.
• Actuar con integridadGarantizar una conducta ética y el cumplimiento de las leyes.

Los profesionales de GRC informan y colaboran con todos los departamentos: junta directiva, gestión de riesgos, cumplimiento normativo, ética, recursos humanos, legal, seguridad y auditoría. Se caracterizan por su mentalidad y habilidades de protección . Son responsables de brindar experiencia interdisciplinaria en los campos de la gobernanza, la gestión de riesgos y el cumplimiento normativo.

Utilización del Libro Rojo de OCEG para desarrollar una estrategia GRC.

Aprovechar el Libro Rojo de OCEG GRC comienza con la determinación de su postura de seguridad inicial y continúa con la evaluación de los resultados de los objetivos clave. Además, puede maximizar sus beneficios de las siguientes maneras:

Comprender el "Desempeño basado en principios"

El desempeño basado en principios es la base del Libro Rojo de GRC. Aborda el cumplimiento de los objetivos de negocio al tiempo que se establece un estándar ético, se gestionan los riesgos y se cumplen los requisitos. Cualquier estrategia de GRC eficaz traduce este principio en derechos de decisión específicos, vías de escalamiento y frecuencias de revisión, ya que el principio en sí no prescribe cómo debe desarrollarse en la práctica el equilibrio entre objetivos, ética, riesgos y cumplimiento.

El desempeño basado en principios le permitirá comprender fácilmente cómo se alinean los objetivos de su organización con las prácticas responsables. Le prepara para el éxito a largo plazo al gestionar la incertidumbre con integridad.

Aprender los conceptos básicos de GRC

El Libro Rojo describe los conceptos clave de GRC (Gobierno, Riesgo y Cumplimiento) en torno a la gobernanza, la gestión de riesgos, el cumplimiento normativo y la ética. Al dominarlos, obtendrá una comprensión integral de cómo integrar estas áreas en una estrategia coherente. Un marco de GRC eficaz operacionaliza estas cuatro áreas con responsables designados, ciclos de revisión definidos y repositorios de evidencia compartidos, de modo que la integración que recomienda el Libro Rojo se refleje en los flujos de trabajo cotidianos, y no solo en los documentos estratégicos.

Este conocimiento constituye la base de un programa GRC eficaz y le ayuda a construir un sistema que fortalece la toma de decisiones y la rendición de cuentas en toda su organización.

Explorando el verdadero potencial de una estrategia GRC

Una gestión de riesgos y cumplimiento normativo (GRC) bien implementada tiende a ir más allá del cumplimiento de la normativa; en cambio, amplía las capacidades de una organización para la gestión proactiva de riesgos, la optimización de recursos y la mejora del rendimiento. 

Tendrás la oportunidad de aprovechar al máximo una estrategia GRC mediante la creación de un sistema que proteja a tu organización y genere valor a través de una eficiencia operativa optimizada.

Aprovechar soluciones prácticas

El Libro Rojo ofrece herramientas y técnicas prácticas que ayudan a traducir la teoría GRC en pasos concretos. Puedes acceder a las técnicas exclusivas mencionadas en el Libro Rojo con la Edición de Herramientas de Evaluación GRC (también conocida como el Libro Borgoña de OCEG) mediante una suscripción.

Excelencia en GRC combinada con automatización

El Libro Rojo de OCEG es una excelente opción para contar con un modelo GRC estructurado y de alto rendimiento, pero también reconoce que la supervisión manual no es suficiente. Por ejemplo, menciona alertas y notificaciones automatizadas, monitoreo continuo de controles, monitoreo proactivo de riesgos, etc. Estas técnicas se han mencionado para lograr un GRC escalable.

Las herramientas GRC modernas ofrecen precisamente estas capacidades bajo un mismo techo, reemplazando el conjunto disperso de hojas de cálculo y recordatorios por correo electrónico que los equipos medianos suelen dejar de usar al cabo de un año tras iniciar un programa GRC estructurado.

Las funciones avanzadas de automatización GRC de Sprinto se ajustan perfectamente al Modelo de Capacidades GRC establecido por la OCEG. Gracias a la monitorización en tiempo real, la recopilación automatizada de pruebas y un diseño escalable, esta herramienta simplifica todo tipo de procesos GRC complejos.

La plataforma de Sprinto incluye potentes funciones de generación de informes, como el Informe de Cumplimiento Normativo, el Informe de Brechas de Cumplimiento, el Informe de Riesgos y el Informe de Información sobre Proveedores. Estos informes proporcionan una supervisión continua, lo que ayuda a las organizaciones a mantener el control de la gobernanza y a cumplir sin esfuerzo con los requisitos de seguridad en la nube.

Preguntas frecuentes