Tres cosas que se confunden

Un técnico de seguridad configura, ataca o defiende un sistema. Un analista GRC no toca la consola: revisa si existe una decisión escrita sobre ese sistema, si el control que esa decisión promete está puesto de verdad, y si hay con qué demostrarlo. Donde el técnico ve un puerto abierto, el analista pregunta quién aceptó ese riesgo, contra qué política, y quién firma que se cierra.

En Cumbre Logística tu trabajo no es cerrar el puerto: es dejar por escrito que está abierto, contra qué regla, con qué impacto, y quién tiene que decidir sobre él.

Las tres se confunden porque aparecen mezcladas en la misma reunión. Gobierno responde «¿quién decide y quién responde si sale mal?»: comités, dueños de riesgo, políticas aprobadas. Riesgo responde «¿qué puede pasar, con qué probabilidad y cuánto costaría?»: la matriz, el registro, el tratamiento. Cumplimiento responde «¿cómo le demuestro a un auditor o a un cliente que lo que dije que hago, lo hago?»: la evidencia, la norma, el contrato.

Saber a cuál pertenece cada asunto es lo que evita que una discusión de gobierno se resuelva con un parche técnico, o que un hueco de riesgo se esconda diciendo «pero cumplimos la norma».

El área técnica te reporta: «la API del portal de clientes acepta peticiones sin comprobar bien quién las hace». Eso, dicho así, no entra en un registro de riesgo ni en un informe para dirección. Tu trabajo es traducirlo: qué activo toca (la base de clientes), qué puede pasar (fuga de datos de clientes), y por qué importa al negocio (contrato con clientes gold y reputación). El evento técnico es el síntoma; el riesgo es lo que el negocio entiende y prioriza.

Traducir no es adornar: es convertir un detalle de consola en algo sobre lo que un directivo puede decidir cuánto gastar.