Qué es GRC y por qué aparece cuando la empresa crece

Qué significa GRC: gobierno, riesgo y cumplimiento

Gobierno

Responde a quién decide. Define roles y responsabilidades, políticas, quién aprueba qué, con qué frecuencia se revisa y a quién se le reporta. Sin gobierno, la seguridad depende de que alguien se acuerde: normalmente el encargado de TI, que además tiene otras diez prioridades.

Riesgo

Responde a qué es importante. Identifica qué puede afectar a la organización, estima cuánto la afectaría y prioriza. La pregunta correcta nunca es si se pueden eliminar todos los riesgos —no se puede—, sino cuáles tratar primero con los recursos que hay.

Cumplimiento

Responde a qué es obligatorio. Reúne lo que exige la ley, lo que exige un contrato y lo que exige un cliente. En Chile eso hoy incluye la Ley 21.719 de datos personales y la Ley 21.663, pero también los cuestionarios de seguridad que un cliente grande le manda a sus proveedores.

Por qué aparece justo cuando la empresa crece

GRC rara vez aparece porque alguien lo fue a buscar. Aparece porque cambió algo alrededor de la empresa: un cliente corporativo empezó a pedir evidencia de controles, entró en vigencia una obligación legal, hubo una auditoría, o la operación creció hasta un punto en que la gestión informal ya no da el ancho.

Ese es el patrón: mientras la empresa es chica, la seguridad se maneja por confianza y cercanía. Cuando crece, aparecen terceros —clientes, bancos, reguladores, aseguradoras— que ya no se conforman con la confianza y piden demostración. GRC es el sistema que permite demostrar.

El error más común: empezar por la herramienta

La reacción instintiva ante una exigencia de seguridad es comprar algo. Un EDR, un firewall nuevo, una licencia más. El problema no es que esas herramientas sean malas: es que sin un marco que diga qué riesgo están tratando y cómo se verifica que funcionan, la empresa termina con gasto acumulado y sin capacidad de responder cuando le preguntan.

El orden que propone GRC es el inverso. Primero se determina qué riesgos son relevantes para el negocio y qué obligaciones aplican; después se decide qué control corresponde; recién entonces se elige la tecnología. Es más lento al principio y bastante más barato al final.

Software GRC: cuándo tiene sentido

Existen plataformas GRC que centralizan políticas, riesgos, controles y evidencia. Son útiles cuando el volumen crece: varias normas que cumplir, decenas de proveedores que evaluar, auditorías frecuentes. Para una empresa mediana que recién empieza, una planilla bien llevada cumple la misma función durante el primer año, y comprar la plataforma antes de tener el proceso repite el error de empezar por la herramienta. El momento de evaluarla es cuando mantener la planilla al día empieza a costar más que la licencia.

Por dónde se empieza

No se empieza redactando políticas. Se empieza por un diagnóstico que responda tres cosas: qué activos e información son críticos para operar, qué exigencias concretas está recibiendo la empresa —de clientes, de contratos, de la Ley 21.719 o de la Ley 21.663— y qué controles existen hoy de verdad, no en el papel.

Con eso sobre la mesa aparece el orden natural: primero se nombra a un responsable y se define ante quién reporta, porque sin eso nada más se sostiene; después se levanta la matriz de riesgos y se acuerda el umbral de lo aceptable; recién entonces se escriben las políticas, que dejan de ser genéricas porque ya se sabe qué riesgo trata cada una.

El primer ciclo completo suele tomar entre uno y tres meses en una empresa mediana. Lo que no conviene es intentar cubrir todo de una vez: un gobierno acotado que funciona y se revisa cada mes vale más que un manual extenso que nadie abre.

GRC en Chile: lo que piden la Ley 21.719 y la Ley 21.663

Las dos leyes que hoy mueven la ciberseguridad en Chile no usan la palabra GRC, pero en la práctica piden sus tres piezas:

Gobierno

La Ley 21.663 exige a los Operadores de Importancia Vital designar un delegado de ciberseguridad que informe a los directores o gerentes (art. 8°, letra i). La Ley 21.719 permite designar un delegado de protección de datos, nombrado por el directorio o la máxima autoridad de la empresa (art. 50).

Riesgo

La Ley 21.663 obliga a los OIV a tener un sistema de gestión de seguridad que determine sus riesgos y evalúe su probabilidad e impacto (art. 8°, letra a). La Ley 21.719 pide medidas de seguridad que consideren la probabilidad de los riesgos y la gravedad de sus efectos (art. 14 quinquies).

Cumplimiento

La Ley 21.719 propone un modelo de prevención de infracciones, que la propia ley llama "programa de cumplimiento" (art. 49). Es voluntario, y si la Agencia lo certifica, cuenta como atenuante ante una sanción (art. 36). La Ley 21.663 pide a los OIV llevar un registro de las acciones de su sistema de gestión (art. 8°, letra b).

Una empresa que no es OIV ni trata grandes volúmenes de datos no queda fuera. La exigencia le llega por la cadena: sus clientes grandes responden por lo que hacen sus proveedores y le trasladan los requisitos por contrato, que es de lo que se ocupa el riesgo de terceros.

Preguntas frecuentes