Cumplimiento regulatorio: por qué cumplir no significa estar bajo control

El problema que la documentación no resuelve

El cumplimiento comienza con una obligación aplicable, pero no termina cuando esa obligación se transcribe en una política. Una norma puede exigir proteger datos, administrar accesos o asegurar continuidad; la organización todavía debe interpretar el riesgo, diseñar una respuesta operable y comprobar que funciona en el contexto real del negocio.

Los programas débiles optimizan lo que es fácil de mostrar: políticas aprobadas, cursos terminados, matrices completas y expedientes ordenados. Esos artefactos tienen valor, pero pueden coexistir con privilegios excesivos, excepciones sin seguimiento, procesos paralelos, datos incompletos y dependencias de terceros que nadie supervisa. Una política no es un control. Un control no es evidencia. Y la existencia de evidencia no demuestra, por sí sola, que el control sea efectivo.

En México no existe un único régimen de control para todas las organizaciones. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares establece obligaciones generales sobre tratamiento y seguridad de datos para particulares. En cambio, las disposiciones de la CNBV y de Banco de México contienen exigencias sectoriales para entidades y sistemas específicos. Un marco como COSO o NIST puede orientar el diseño, pero no se convierte por ello en ley mexicana. El primer acto de control es, por tanto, delimitar correctamente el universo regulatorio aplicable.

La cadena de control: de la obligación al assurance

Fingrow propone leer el sistema mediante seis eslabones: obligación → riesgo → control → ejecución → evidencia → efectividad. Es un marco analítico de gestión, no un estándar externo. La obligación define lo exigible; el riesgo describe qué puede impedir el objetivo; el control establece una respuesta; la ejecución muestra que esa respuesta ocurrió; la evidencia permite observarla; y la efectividad determina si el riesgo se redujo al nivel esperado.

Un control bien diseñado especifica propósito, dueño, población, frecuencia, criterio, fuente de datos, tratamiento de excepciones y escalamiento. También aclara qué pasa si falla. Un control compensatorio solo es compensatorio cuando cubre de manera razonable el riesgo que dejó otro control; una revisión genérica o tardía no adquiere esa cualidad por etiqueta.

La efectividad operativa exige mirar una serie temporal, no una fotografía. ¿Se ejecutó con la frecuencia prevista? ¿Incluyó toda la población? ¿El responsable tenía independencia y capacidad? ¿Las excepciones se resolvieron? ¿La fuente era íntegra? ¿El proceso, la tecnología o el tercero cambiaron desde que se diseñó? El riesgo residual debe evaluarse después de estas preguntas, no inferirse de que el control aparece en una matriz.

Por qué los controles se deterioran

Los controles pierden eficacia aun cuando su descripción permanece intacta. Un nuevo canal comercial altera la población; una migración cambia los registros; una automatización elimina un punto de revisión; una reestructura deja al dueño sin autoridad; un proveedor modifica su servicio; o la presión por velocidad normaliza excepciones. El deterioro suele ser gradual y, por ello, invisible para tableros que solo reportan cumplimiento de calendario.

La supervisión de dirección debe combinar indicadores de ejecución, excepciones, antigüedad de remediación, cambios relevantes y resultados de pruebas independientes. No basta conocer cuántos controles se ejecutaron: importa cuáles protegían riesgos materiales, qué falló, qué quedó expuesto y durante cuánto tiempo.

Cómo saber si la organización está bajo control

La respuesta no es un porcentaje único. Una organización está razonablemente bajo control cuando puede explicar sus riesgos materiales, asignar responsables, operar controles proporcionales, detectar desviaciones, corregirlas con oportunidad y aportar evidencia confiable de todo el ciclo. Assurance significa obtener confianza sustentada; no prometer ausencia de fallas.

La administración debería probar escenarios reales: un alta urgente de proveedor, una baja de usuario privilegiado, una operación fuera de umbral o una interrupción de un tercero. Seguir el evento de extremo a extremo revela si el sistema funciona fuera del expediente ideal. También permite identificar controles duplicados, manuales o tardíos que agregan fricción sin reducir riesgo.

Preguntas que debe hacer la alta dirección

¿Qué obligaciones y riesgos materiales cubre cada control clave? ¿Quién responde por el resultado y quién ejecuta? ¿Qué población queda fuera? ¿Qué cambios recientes invalidan el diseño? ¿Qué excepciones permanecen abiertas? ¿Qué controles dependen de hojas de cálculo o reconstrucción manual? ¿Qué terceros operan controles críticos? ¿Qué evidencia proviene del sistema de ejecución? ¿Qué prueba independiente sustenta la efectividad? ¿Qué riesgo residual ha aceptado formalmente la dirección?

Acciones prácticas

Construir la matriz desde obligaciones y riesgos, no desde documentos existentes; seleccionar controles clave y definir atributos verificables; integrar cambio tecnológico y de procesos al ciclo de control; automatizar evidencia donde la arquitectura lo permita; probar diseño y efectividad por separado; y elevar a dirección excepciones materiales, deterioro y riesgo residual. La meta no es multiplicar controles, sino crear un sistema más claro, observable y responsable.

Conclusión

Cumplir es demostrar que las obligaciones se atienden. Estar bajo control exige algo más difícil: que procesos, personas y tecnología reduzcan el riesgo de forma sostenida y que la organización pueda probarlo. El expediente es una consecuencia del sistema; nunca debe sustituirlo.