Cumplimiento · Controles · Borrador
Un registro de cumplimiento es una máquina de estados
Un riesgo, un proveedor, un control o una excepción no son un documento. Son algo pequeño que siempre está en exactamente un estado y solo puede moverse por caminos permitidos. Si lo construye así en una herramienta que la gente ya usa, la pista de auditoría deja de ser una reconstrucción.
Pregunte a un equipo dónde vive su registro de riesgos y a menudo oirá «en una hoja de cálculo, y alguien la actualiza antes de la auditoría». La hoja de cálculo no es el problema. El problema es que nada impide que una fila diga «aceptado» sin que nadie haya aceptado nada.
Hay una idea más antigua que lo resuelve: la máquina de estados. Una cosa tiene un conjunto fijo de estados y un conjunto fijo de movimientos entre ellos. Está en un estado a la vez. Un movimiento puede tener condiciones.
Las obligaciones de cumplimiento ya se comportan así. Un riesgo se identifica, se evalúa, se trata, se acepta o se cierra. Un proveedor se solicita, se revisa, se aprueba, se supervisa y se da de baja. Un control se planifica, se implementa, funciona y se revisa. Una excepción se solicita, se aprueba hasta una fecha y caduca. Simplemente rara vez escribimos las reglas como reglas.
Lo que se gana al hacerlo
- Informar se convierte en contar. Cada registro está en un estado, así que «cuántos riesgos están sin tratar» es una consulta, no una reunión.
- Un movimiento puede llevar una condición: solo el responsable puede aceptar un riesgo. Puede llevar un requisito: debe existir una justificación antes de marcar un control como no aplicable.
- Cada movimiento se guarda con quién y cuándo. Esa es la pista de auditoría, producida como subproducto en lugar de reconstruida bajo presión.
Dónde puede vivir
La mayoría de los equipos ya trabaja en un gestor de incidencias cuyos flujos de trabajo son exactamente esto: estados, transiciones, condiciones. Los registros van en un proyecto; la explicación y las vistas en vivo, en un wiki. El tratamiento de un riesgo se convierte en una tarea del backlog del propio equipo, enlazada con el riesgo, de modo que el trabajo de cumplimiento está en la misma cola que el resto. Un documento como la Declaración de Aplicabilidad pasa entonces a ser una vista de los registros, y por eso sigue siendo cierto.
Tres hábitos que lo mantienen honesto
- El flujo de trabajo es un control, así que cambiarlo es un acto controlado: pocas personas pueden editarlo y todos pueden ver el historial.
- Las decisiones temporales caducan. Una excepción con fecha de fin que se reabre sola no puede volverse permanente en silencio.
- Empiece poco a poco. Unos pocos flujos de trabajo que la gente usa valen más que muchos que nadie abre, y cada uno debe sustituir una hoja de cálculo, no ponerse a su lado.
Lo que no hace
Un gestor de incidencias no recoge evidencias automáticas de sus sistemas; una plataforma para eso puede funcionar a su lado. Y una máquina de estados hace que eludirla sea visible y más difícil, no imposible: los permisos a su alrededor siguen siendo parte del control.
Es la misma idea que «primero los controles duros»: no pida a las personas que recuerden la regla, construya el lugar donde la regla se aplica.