Armonizar políticas

La regla de partida al armonizar es sencilla: si dos empresas tienen el mismo control con distinta exigencia, se converge hacia la más estricta que el negocio pueda sostener. Pero la convergencia es un plan, no un decreto: una exigencia nueva puede romper un sistema heredado o costar más de lo previsto.

Lo que se acuerda por escrito es el destino (el valor de la matriz), el plazo y quién responde. Mientras se llega, la diferencia se registra como una excepción con fecha de vencimiento.

No todas las brechas son de valor: algunas son de ausencia. Un control que la matriz exige y la adquirida ni siquiera tiene definido no se puede «subir»: hay que crearlo, y antes de eso, entender por qué no existía. Abre SELECT * FROM controles_comparados y mira la columna de la adquirida.

Una excepción es un permiso temporal para no cumplir un control. Tiene sentido si lleva un motivo, un aprobador, un control compensatorio y, sobre todo, una fecha en que vence y se revisa. Sin fecha, la excepción se vuelve la regla: nadie vuelve a mirarla.

Poner la brecha en número ayuda a priorizar y a explicarla. En la retención de registros, la diferencia entre lo que exige la matriz y lo que guarda la adquirida es el tiempo en que, ante un incidente, la matriz no tendría pruebas de lo que pasó allá. Se calcula restando los días.

Una excepción no es un permiso en blanco: nace de una brecha que hoy no se puede cerrar y se acompaña de algo que reduce el riesgo mientras tanto. Si el sistema heredado no admite segundo factor, quizá se limite desde qué redes se accede o se vigile cada uso con alertas.