Qué automatiza y qué no una plataforma GRC

Una plataforma GRC, abierta o comercial, es en esencia una base de datos con pantallas y flujos. Guarda riesgos, controles, políticas, terceros y hallazgos, los relaciona entre sí (este riesgo se trata con aquel control, que tiene tal evidencia y tal dueño), y avisa cuando algo vence. Reemplaza la hoja de cálculo dispersa por un solo lugar con historial.

Hay categorías conocidas: unas nacen de una biblioteca de marcos y evaluaciones, otras del registro de riesgos, otras de los controles y la auditoría. Se parecen más de lo que sus catálogos sugieren, porque comparten un modelo de datos: activo, riesgo, control, dueño, evidencia, fecha y estado. Lo que cambia es el énfasis, la licencia y lo que se paga aparte.

La exportación de Ladrillera Piedra Viva empieza por un inventario de módulos con su estado y la cantidad de registros que guarda cada uno. Un módulo contratado o instalado no es un módulo usado: lo que importa es si tiene datos. Un tablero con seis casillas, de las cuales una está vacía, cuenta una historia distinta de la que dice el folleto.

Consulta SELECT * FROM modulos y mira el estado de cada uno.

La plataforma de Piedra Viva muestra en su tablero que hay 118 controles. Es un número cómodo y engañoso. La plataforma cuenta filas, no comprueba nada: que un control esté dado de alta, con dueño y con fecha de revisión, dice que alguien lo registró. Que opere es otra afirmación, y solo se sostiene con una prueba hecha por una persona que mire evidencia.

Por eso un tablero verde en una plataforma no sustituye a la evaluación del control. Lo útil es que la plataforma guarde esa evaluación, con fecha y evidencia, y la deje consultar.

La segunda tabla de la exportación lista seis tareas del trabajo diario y dice si la plataforma las hace y quién decide. Algunas son automáticas por diseño: calcular, recordar, listar vencidos. Otras necesitan una persona porque son decisiones. Y hay tareas que podrían automatizarse si hubiera una conexión con otro sistema, pero en esta instalación no existe, así que alguien carga los datos a mano.

Consulta SELECT * FROM tareas_de_la_plataforma y distingue la decisión de la carga manual.

Un registro de riesgos se lee por estados. Los cerrados ya no piden acción; los aceptados quedan firmados por la dirección; los abiertos y los que están en tratamiento son los que hoy consumen trabajo. Contarlos bien es el primer paso para decirle al comité cuántos riesgos requieren gestión activa.

Consulta SELECT * FROM riesgos_por_estado y suma solo los dos estados que exigen gestión activa.