El inventario de controles con su dueño, y las políticas versionadas con la aceptación del personal registrada. Sin eso, nadie sabe a quién preguntarle.
ControlesPolíticasDueñosHistorial
Guía · Qué es un GRC
Cumplir una vez y poder demostrarlo todo el año.
Un GRC es la categoría de software que mantiene vivos el gobierno, el riesgo y el cumplimiento de una empresa. En vez de armar la evidencia cada vez que llega una auditoría, la mantiene al día sola.
Qué hace esta familia de software
G
Gobierno
¿Quién responde por qué?
R
Riesgo
¿Qué puede salir mal y cuánto importa?
C
Cumplimiento
¿Puedes probarlo hoy?
Tres preguntas que una empresa tiene que poder responder.
Gobierno, riesgo y cumplimiento suelen vivir en tres planillas distintas, con tres dueños distintos. Un GRC existe para que sean una sola cosa.
Un registro con matriz de impacto y probabilidad. Registrar el riesgo no lo baja: lo baja el plan de tratamiento, con un dueño y un plazo.
MatrizPlanesRiesgo residualProveedoresLa evidencia de que los controles funcionan, fechada y con su dueño. No la versión que se arma a mano la semana antes de la auditoría.
EvidenciaMonitoreoAlertasAuditoríaLo que convierte tres planillas en un sistema es que las tres trabajen sobre el mismo inventario de controles. Un control tiene un dueño, responde a varias normas, baja un riesgo y produce su propia evidencia. Si eso vive en lugares separados, hay que sincronizarlo a mano —y nadie lo hace dos veces.
Por qué aparece esta categoría
El mismo trabajo, cuatro veces al año.
Una empresa no rinde una sola auditoría. Rinde varias, más los cuestionarios de sus clientes, y cada una pide pruebas parecidas de los mismos controles.
Sin GRCCada evento arranca de ceroSemanas de trabajo manual
Ene – MarAbr – JunJul – SepOct – Dic
Auditoría ISO 27001Reunir evidencia
Cuestionario de un clienteResponder a mano
Ley 21.719Volver a documentar
Revisión SOC 2Buscar las mismas pruebas
Cada hito vuelve a pedir capturas, políticas firmadas y registros de acceso. Son los mismos controles, documentados otra vez.
Con un GRCLa evidencia nunca deja de estar al díaEl año completo
Ene – MarAbr – JunJul – SepOct – Dic
Auditoría ISO 27001Ya está
Cuestionario de un clienteYa está
Ley 21.719Ya está
Revisión SOC 2Ya está
El inventario se mapea una vez y las pruebas se recolectan solas desde los sistemas conectados. La auditoría deja de ser un proyecto y pasa a ser una consulta.
Qué problemas resuelve
Evidencia
Las pruebas viven en capturas de pantalla y correos
Duplicación
El mismo control se documenta tres veces
Ventas
El cuestionario de seguridad frena el cierre
Riesgo
El riesgo quedó registrado, pero nadie lo bajó
Terceros
Un proveedor crítico con el certificado vencido
Accesos
Se fue una persona y su acceso siguió vivo
Seis escenas que se repiten en toda empresa.
Cuando llega la auditoría hay que salir a buscarlas: pedirle a cada persona su captura, su planilla, su confirmación.
Un repositorio único donde cada prueba queda fechada, con su dueño y su trazabilidad.Cada norma se trabaja por separado, con su propia planilla y su propia carpeta, aunque pidan prácticamente lo mismo.
El inventario se mapea una vez y un control responde a todas las normas que tengas que cumplir.Un cliente grande manda doscientas preguntas. El equipo comercial espera; alguien de TI las responde entre otras cosas.
Las respuestas salen de una biblioteca aprobada, con revisión antes de enviar.La matriz existe y se actualiza una vez al año. Entre medio, el riesgo sigue exactamente igual de alto que cuando se anotó.
Planes de tratamiento con dueño y plazo, y riesgo residual que se mueve cuando el plan avanza.Nadie revisa los vencimientos de los terceros hasta que un auditor pregunta por ese proveedor en particular.
Catastro evaluado por criticidad, con alertas de documentos por vencer y expediente por proveedor.La baja se avisó por correo. Alguien tenía que revocar el acceso en cuatro sistemas y lo hizo en tres.
El control se monitorea de forma continua y la alerta llega al responsable, no al buzón general.
A quién le sirve
Seguridad y TI
Legal y datos personales
Dirección
Ventas
Compras y proveedores
Recursos humanos
El cumplimiento no es problema de una sola área.
Cada área aporta una prueba distinta del mismo sistema. Por eso funciona cuando todas trabajan sobre el mismo inventario.
Es quien sostiene la mayoría de los controles técnicos: accesos, respaldos, MFA, revisiones periódicas.
Traduce la obligación legal en controles concretos y responde cuando la autoridad pregunta.
Necesita saber, sin pedir un informe, qué tan expuesta está la empresa y qué se está haciendo al respecto.
Deja de esperar: los cuestionarios de seguridad de los clientes se responden desde una biblioteca aprobada.
Evaluación por criticidad, vencimientos controlados y un expediente por cada tercero que toca tus datos.
Aceptación de políticas por persona, capacitaciones vigentes y documentación laboral que la autoridad puede pedir.
Qué tienes que cumplir
Marca las normas que te aplican.
Un operador en Chile no cumple solo ISO. Cumple ISO, SOC 2, la ley de datos personales, el marco de ciberseguridad y lo que le pida su cliente más exigente.
Internacionales · lo que te piden afuera
Chile · lo que ya es obligación local
0normas
Marca las que te aplican. La pregunta no es cuántas son: es cuántas veces vas a documentar el mismo control.
Por qué Legale GRC
Gobierno
Controles y políticas
Cumplimiento
Monitoreo y evidencia continua
Riesgo
Gestión de riesgos
Terceros
Riesgo de proveedores
Confianza
Centro de confianza
Ventas
Asistente de cuestionarios
Seis módulos sobre un solo inventario de controles.
No hay una planilla por norma ni una carpeta por auditoría: hay un control, con su dueño, su evidencia y su historial.
El inventario con su dueño, y las políticas versionadas con la aceptación del personal registrada.
Mapeo multinorma de cada controlHistorial de cambios con fecha y autorAceptación de políticas por personaLas pruebas se recolectan desde los sistemas conectados, no se arman a mano antes de cada revisión.
Pruebas automáticas y fechadasAlertas al responsable, no al buzón generalPreparación permanente para auditoríaRegistro con matriz de impacto y probabilidad, planes de tratamiento y riesgo residual calculado.
Matriz inherente y residualPlan con dueño y plazoSeguimiento del avanceCatastro de proveedores evaluados por criticidad, con vencimientos controlados y expediente por cada uno.
Evaluación según criticidadAlertas de documentos por vencerExpediente completo por proveedorUna página pública donde el cliente encuentra lo que necesita sin pedirlo por correo, y lo reservado queda bajo NDA.
Certificaciones y políticas públicasInformes y pentest bajo NDARegistro de quién accedió y cuándoLos cuestionarios de seguridad dejan de frenar los cierres: las respuestas salen de una biblioteca aprobada.
Biblioteca de respuestas validadasRevisión antes de enviarTrazabilidad de lo respondido
Lo usamos nosotros primero
Despapeliza opera con su propio centro de confianza público.
Ver Legale GRC →
Lo que te proponemos no es una idea: es la herramienta con la que respondemos nosotros las auditorías de nuestros clientes, con ISO 27001, ISO 27701, ISO 42001, SOC 2 y el marco chileno sobre el mismo inventario.
Siguiente paso
Trae la norma que tienes que cumplir este año.
Una ISO, SOC 2, la ley de datos o el cuestionario de tu cliente más exigente. Armamos el mapeo en la misma reunión y ves cómo queda el inventario.
¿Cuántas normas tienes que cumplir este año?
Agendar Demo →