El certificado dura tres años. La evidencia solo hasta mañana.

El problema de las instantáneas

El cumplimiento suele plantearse como un proyecto: arranque, diagnóstico, medidas, auditoría, certificado, alivio. Después el equipo vuelve a su trabajo real y el sistema de gestión se detiene.

La primera auditoría de seguimiento lo saca a la luz. No porque el auditor sea severo, sino porque las evidencias lo delatan: la revisión de accesos es del año pasado, la evaluación de proveedores también, el programa de auditoría interna nunca se continuó. Tres no conformidades que nadie quería, cada una evitable en dos horas.

Continuous GRC no significa hacer más. Significa hacer las pocas cosas a tiempo y evidenciarlas mientras se hacen.

Qué tiene que seguir funcionando entre auditorías

Ninguna de estas tareas es grande. Son peligrosas porque fallan sin que se note.

1. 1
   Revisar los derechos de accesoQuién tiene acceso a qué hoy, y si sigue justificado. La no conformidad clásica, porque las bajas y los cambios de rol caen entre dos revisiones.
2. 2
   Reevaluar a los proveedoresLos proveedores críticos al menos una vez al año, mirando certificados, incidentes y cambios contractuales. NIS2 lo convierte en una obligación explícita.
3. 3
   Formación y concienciaciónEl personal nuevo dentro de un plazo definido, el resto según el ciclo fijado. Lo que hay que evidenciar es la competencia, no la asistencia.
4. 4
   Probar las restauracionesUna copia de seguridad nunca restaurada es una suposición. La prueba pertenece a un registro, con fecha, alcance y resultado.
5. 5
   Auditoría interna y revisión por la direcciónLos dos capítulos en los que las organizaciones fallan de verdad. Ambos necesitan una fecha en el calendario, no una intención.
6. 6
   Actualizar los riesgosTras cada cambio significativo y al menos una vez al año. Un registro de riesgos que no cambia en doce meses describe su esfuerzo, no su organización.

Cómo lo sostiene Sightadel

1. 1
   Cada punto de control tiene un responsableNo un departamento, una persona. Lo que no es de nadie no se hace — no es cinismo, es la causa más frecuente de evidencias caducadas.
2. 2
   Cada evidencia tiene fecha de caducidadEl ciclo que usted fija se convierte en el recordatorio. Cuando una evidencia caduca, se ve — antes de que la encuentre el auditor.
3. 3
   Un cambio alcanza todos los marcosUna evidencia va unida a cada requisito al que sirve. Se mantiene una vez y no tres, y no puede acabar en tres versiones distintas.
4. 4
   El panel muestra dirección, no porcentajesLo importante no es la cifra global, sino qué ha caducado desde el mes pasado y quién lo tiene.