Durant anys, el compliment normatiu va tenir un objectiu molt clar: evitar sancions . Les empreses identificaven quines lleis els aplicaven, implantaven les mesures necessàries i preparaven documentació per si arribava una inspecció. Era un model reactiu, pensat per respondre davant de l’Administració.
Aquest escenari ha canviat completament — i no només perquè hi hagi més normes.
La regulació europea creix a un ritme sense precedents: NIS2, DORA, AI Act, Directiva de Diligència Deguda (CSDDD), RGPD, ENS . Cadascuna redefineix com les organitzacions gestionen els riscos, els proveïdors, la ciberseguretat o l’ús de la intel·ligència artificial.
Però el veritable canvi de fons és un altre: cada cop més empreses han de demostrar contínuament que compleixen —i cada cop amb més freqüència, qui ho exigeix no és un regulador, sinó un client.
Del compliment legal al compliment comercial
Una empresa pot no estar obligada directament per NIS2 ni per la Directiva de Diligència Deguda.
Però si treballeu per a una companyia més gran, és molt probable que comenci a rebre sol·licituds com aquestes:
- Completeu el nostre qüestionari de ciberseguretat.
- Faciliteu les vostres polítiques corporatives.
- Acrediteu com avalua els vostres proveïdors.
- Demostreu que teniu un canal intern d’informació.
- Envieu evidències dels seus controls de seguretat.
- Indiqueu quines mesures aplica per a l’ús responsable de la intel·ligència artificial.
L’Administració no ho demana. Ho demana el client.
I per això cada vegada més organitzacions descobreixen una mica incòmode: el compliance ja no és només una obligació legal —ha esdevingut una condició per mantenir clients, accedir a licitacions i obrir noves oportunitats de negoci.
Ja no n’hi ha prou de complir. Cal poder demostrar-ho.
La pregunta que importa ha canviat.
Ja no és:
Compleixes amb aquesta normativa?
És:
Ho pots demostrar? I en quant de temps?
Demostrar vol dir tenir evidències a mà: qui va aprovar una política, quan es va revisar un procediment, quins controls existeixen, quins riscos es van avaluar, quins proveïdors van ser homologats, quina formació va rebre cada empleat.
El compliance deixa de ser una carpeta de documents estàtics. Es converteix en un sistema viu, que cal consultar en qualsevol moment — no reconstruir cada cop que algú ho demana.
L’error que continuen cometent moltes organitzacions
La majoria segueix tractant cada nova normativa com un projecte aïllat: una política per a ISO 27001, una altra per a NIS2, un qüestionari per a DORA, un control per a l’ENS, una avaluació per a l’AI Act.
El resultat és previsible: informació duplicada, processos paral·lels i un esforç administratiu que creix amb cada nova norma en comptes d’aprofitar allò que ja s’ha construït.
I és un esforç evitable, perquè la premissa de partida és errònia. Aquestes normatives no són compartiments estancs: comparteixen bona part de les exigències. La gestió d’accessos, l’avaluació de proveïdors, l’anàlisi de riscos, la formació o la resposta davant d’incidents apareixen amb matisos diferents en pràcticament tots els marcs reguladors.
Els controls pertanyen a l’organització, no a la normativa
Aquest és, probablement, el canvi d’enfocament més important que han de fer les empreses els propers anys: deixar de dissenyar controls per complir una norma concreta i començar a dissenyar-los per protegir l’organització.
Un control d’autenticació multifactor no existeix per complir el NIS2. Hi ha per reduir el risc d’accés no autoritzat. Aquest mateix control, gestionat una única vegada, serveix després per acreditar compliment davant de ISO 27001, NIS2, ENS, DORA, l’AI Act — i qualsevol normativa futura que exigeixi mesures equivalents.
El mateix aplica a una política, una avaluació de proveïdors o una anàlisi de riscos: es gestionen una sola vegada, i es relacionen amb tants marcs reguladors com calgui.
El paper de la tecnologia
Mantenir aquest nivell de traçabilitat amb fulls de càlcul, correus electrònics i carpetes compartides ja no és sostenible. Aquesta complexitat l’ha d’absorbir la tecnologia, no les persones.
Una plataforma pensada per això hauria de poder:
- mantenir un catàleg únic de controls;
- relacionar-los automàticament amb diferents marcs reguladors;
- identificar quines evidències serveixen per a diverses normatives alhora;
- detectar duplicitats;
- automatitzar revisions i recordatoris;
- conservar la traçabilitat completa de cada actuació.
Lobjectiu no és tenir més eines. És que les persones dediquin el seu temps a gestionar riscos i prendre decisions, no a copiar la mateixa informació en cinc sistemes diferents.
El futur del compliance
Durant anys, l?objectiu va ser complir. Avui dia, l’objectiu és demostrar. Demà, serà automatitzar.
Les organitzacions que entenguin abans aquest canvi no només reduiran la càrrega administrativa: arribaran més ben preparades a auditories, processos d’homologació i exigències de clients, inversors i administracions.
Perquè, en el fons, el compliance del futur no consistirà a gestionar normatives. Consistirà a gestionar confiança — construïda sobre evidències, no sobre promeses.
I aquesta confiança, cada cop més, serà un dels actius més valuosos de qualsevol organització.
Des d’ ithikios t’ajudem a demostrar el compliment de manera eficient.
* Aquest article està escrit per humans i millorat amb IA.
