Web semántica · Cumplimiento · Artículo 3 · Borrador

Cumplimiento como grafo, no como hoja de cálculo

Pregunte a un equipo de cumplimiento cómo se satisface un requisito y a menudo recibirá un recorrido por hojas de cálculo. Una hoja enumera los requisitos. Otra enumera los controles. Una tercera contiene la evidencia, una cuarta los riesgos, y los hallazgos de auditoría viven en un informe. La respuesta existe, pero alguien tiene que unir las hojas a mano, y la siguiente persona lo hará de nuevo.

La idea de la web semántica ofrece otra forma de guardar la misma información.

La idea en términos sencillos

La idea de la web semántica es publicar los datos como enunciados enlazados y legibles por máquina: esta cosa se relaciona con aquella de este modo. Cada cosa tiene una identidad propia, y las relaciones forman parte de los datos, no algo que el lector deba inferir. Un conjunto de tales enunciados es un grafo de conocimiento.

Para la gobernanza, el riesgo y el cumplimiento (GRC) esto supone un pequeño cambio de hábito. Un requisito, un control, una evidencia, un riesgo y un hallazgo de auditoría dejan de ser filas en listas distintas. Cada uno se convierte en un registro con identidad, y los vínculos entre ellos también se convierten en registros.

Dos paneles. A la izquierda, listas separadas de requisitos, controles y evidencias que las personas unen a mano una y otra vez. A la derecha, registros enlazados en los que cada elemento tiene una identidad y las relaciones entre ellos también son registros, de modo que los vínculos se conservan en lugar de reconstruirse. Una flecha va de izquierda a derecha. — Figura 1: de las listas a los registros enlazados

Qué aspecto tiene un control en un grafo

Tomemos un control. Satisface un requisito. Mitiga un riesgo. Está respaldado por evidencia. Se probó en una auditoría, y la prueba produjo un hallazgo. En un grafo, cada uno de esos enunciados es un vínculo del control a otro registro, y cada vínculo dice quién lo creó, cuándo y sobre qué base.

Un control se sitúa arriba. De él parten vínculos hacia un requisito que satisface, un riesgo que mitiga, la evidencia que lo respalda y un hallazgo de auditoría procedente de una prueba del control. Una franja debajo dice que cada vínculo es en sí mismo un registro que indica quién lo creó, cuándo y sobre qué base. — Figura 2: un control y aquello con lo que se conecta

No hace falta nada exótico para ver la ventaja. La pregunta «¿cómo se cumple este requisito, y cómo lo sabemos?» se convierte en un recorrido a lo largo de los vínculos, no en un paseo por hojas de cálculo.

Qué hace posible

Trazabilidad. Desde un requisito se pueden seguir los vínculos hasta el control, la evidencia y la última prueba, y volver de un hallazgo al control al que se refiere. El rastro son los propios datos.

Correspondencia entre marcos. Los requisitos de marcos distintos suelen pedir casi lo mismo. En un grafo, el control se escribe una vez y se vincula con cada requisito al que responde, de modo que un registro sirve a varias fuentes y una laguna aparece como un requisito sin ningún control detrás.

Un registro, varias vistas. Como los hechos se guardan una sola vez, a cada persona se le puede mostrar la parte que corresponde a su rol: el responsable de cumplimiento ve el estado y las lagunas, el auditor ve las pruebas y la evidencia, el gestor de riesgos ve los riesgos que mitiga el control. Nadie guarda una copia privada.

Un registro de control arriba. De él parten tres vistas: el responsable de cumplimiento ve el estado y las lagunas, el auditor ve las pruebas y la evidencia, y el gestor de riesgos ve los riesgos que mitiga. El registro se guarda una vez y cada persona ve la parte que corresponde a su rol. — Figura 3: un registro, varias vistas

«Qué aspecto tenía entonces». El tiempo forma parte del modelo de dos maneras. Un registro conserva versiones fechadas, y cada cambio se registra además como un evento: quién cambió qué, de qué valor a cuál. Juntos permiten releer el estado pasado de un registro, de modo que las preguntas que los auditores hacen sobre un momento dado dejan de ser arqueología.

Una línea de tiempo de izquierda a derecha con una versión anterior, un cambio y la versión actual del mismo registro. Una franja debajo dice que cada cambio es un evento que registra quién cambió qué, de qué valor a cuál, de modo que el estado pasado pueda releerse. — Figura 4: qué aspecto tenía entonces

Un lugar donde los agentes pueden leer y escribir, con compuertas. Un grafo es algo que los agentes de software pueden leer directamente, porque la estructura es explícita. Escribir es otra cuestión. En el mismo espíritu que los controles del primer artículo de esta serie, un agente lee con libertad pero propone los cambios a través de una compuerta: revisión, aprobación del responsable y registro de la decisión. El grafo sigue siendo confiable porque lo que entra en él fue aprobado y es trazable.

Un agente a la izquierda, con credenciales limitadas, lee con libertad del grafo del centro. Cuando quiere cambiar algo, propone el cambio a una compuerta a la derecha, donde espera revisión y aprobación; solo el cambio aprobado llega al grafo. Una franja debajo dice que cada propuesta, decisión y cambio queda registrado. — Figura 5: los agentes leen y escriben con compuertas

Dónde un grafo pierde frente a una hoja de cálculo

Un grafo no es gratis, y no siempre es la mejor herramienta. Cuatro costes honestos:

Mantenimiento. Los vínculos hay que crearlos y mantenerlos al día. Una fila de una hoja de cálculo se corrige en un minuto; una relación hay que corregirla en todos los sitios donde se usa.
Un vínculo obsoleto es peor que una fila obsoleta. Una fila obsoleta se ve obsoleta. Un vínculo obsoleto parece un hecho, y toda pregunta que lo recorre hereda el error con aplomo. Los vínculos necesitan una fuente, una fecha y una forma de marcarse como sustituidos.
Mantenimiento del modelo. Un vocabulario compartido de tipos de registro y de vínculo solo sirve mientras alguien sea su responsable. Sin responsable, se desvía, o crece hasta que nadie lo mantiene.
Calidad de los datos. Un grafo hace más visibles los datos deficientes, no mejores. Los registros duplicados, los nombres en texto libre y los identificadores ausentes se convierten en vínculos rotos o duplicados.

Para una pregunta pequeña y estable respondida por un solo equipo, una hoja de cálculo es más rápida y barata. Un grafo compensa su coste cuando los mismos hechos los leen muchas personas y muchas herramientas, cuando las relaciones importan más que las filas y cuando hay que poder responder sobre el historial.

Por qué encaja especialmente en este campo

La gobernanza, el riesgo y el cumplimiento es un campo de relaciones: qué se exige, qué se hace al respecto, qué muestra que se hizo, qué podría salir todavía mal y qué encontró un revisor independiente. Las hojas de cálculo guardan las cosas y dejan las relaciones a las personas. Un grafo guarda ambas, y así el trabajo pasa de conciliar a leer.

También encaja con el argumento de esta serie. Los controles estrictos para agentes y el cumplimiento que puede automatizarse dependen de lo mismo: hechos explícitos, enlazados y registrados que una persona o un agente puede seguir y comprobar.

Conclusión

Conserve el requisito, el control, la evidencia, el riesgo y el hallazgo como registros enlazados, registre cada cambio como un evento y deje que los agentes lean con libertad y escriban solo a través de una compuerta. La trazabilidad, el historial y la correspondencia surgen entonces de la estructura, no del esfuerzo.