Durante años, el compliance se ha construido alrededor de normas, políticas, procedimientos y auditorías. Las organizaciones identificaban las obligaciones que les resultaban aplicables, elaboraban la documentación necesaria y revisaban periódicamente su cumplimiento.
Ese modelo sigue siendo necesario. Pero ya no es suficiente.
Las empresas se enfrentan a un número creciente de exigencias en ciberseguridad, privacidad, ética, inteligencia artificial, sostenibilidad o gestión de terceros. Al mismo tiempo, clientes, auditores y otras partes interesadas ya no solo preguntan si una organización cumple: piden evidencias que lo demuestren.
El reto ya no consiste únicamente en definir cómo debería actuar una organización. Consiste en conseguir que el cumplimiento forme parte de su funcionamiento diario.
Ese paso del documento a la ejecución es lo que entendemos por Operational Compliance.
¿Qué es Operational Compliance?
Podemos definir el Operational Compliance como la gestión continua del cumplimiento de una organización, convirtiendo normas y políticas en procesos, responsables, controles y evidencias que permiten cumplir y demostrar que se cumple.
En términos sencillos, consiste en poder responder en cualquier momento a cuatro preguntas:
¿Qué tenemos que hacer? ¿Quién debe hacerlo? ¿Cuándo debe hacerse? ¿Podemos demostrar que se ha hecho?
Esto no significa sustituir el conocimiento jurídico ni los modelos tradicionales de compliance. Significa añadir la capa operativa que los traslada al funcionamiento real de la organización.
Una política puede establecer que los proveedores críticos deben evaluarse periódicamente. El Operational Compliance es lo que garantiza que sepamos qué proveedores son críticos, quién debe evaluarlos, cuándo corresponde hacerlo, qué controles deben revisarse, qué evidencias deben solicitarse y qué ocurre si el resultado no es satisfactorio.
En definitiva:
Pasar de tener el compliance documentado a tener el compliance funcionando.
El compliance está cambiando
Dos transformaciones explican por qué este cambio de enfoque se ha vuelto necesario.
De obligación legal a obligación comercial
Tradicionalmente, el principal motor del compliance ha sido la regulación: una nueva obligación legal llevaba a las organizaciones a implantar determinados procedimientos o controles.
Ese factor sigue siendo fundamental, pero ha aparecido otro igual de relevante: los clientes.
Las grandes organizaciones trasladan cada vez más sus exigencias de ciberseguridad, privacidad, ética, sostenibilidad, continuidad de negocio o gobernanza de la inteligencia artificial a su cadena de suministro. Como resultado, muchas pequeñas y medianas empresas deben implantar determinadas medidas no porque una norma les resulte directamente aplicable, sino porque sus clientes necesitan comprobar que ofrecen suficientes garantías.
Cuestionarios de seguridad, evaluaciones de proveedores, códigos éticos, políticas de privacidad, certificaciones, controles de acceso, gestión de incidentes o información sobre el uso de inteligencia artificial forman ya parte habitual de muchas relaciones B2B.
El compliance está dejando de ser únicamente una obligación legal para convertirse también en una condición para hacer negocios.
Para muchas empresas, poder demostrar su cumplimiento empieza a convertirse en una ventaja competitiva y, en algunos casos, en una condición para acceder a determinados clientes.
Del documento a la evidencia
La segunda transformación es igualmente importante.
Disponer de una política de seguridad no demuestra que los accesos se estén revisando. Tener un procedimiento de homologación de proveedores no demuestra que los proveedores críticos hayan sido evaluados. Contar con un plan de formación no demuestra que las personas la hayan completado. Y disponer de un procedimiento de gestión de incidentes no demuestra cómo se actuó ante el último incidente.
El cumplimiento real deja rastro: aprobaciones, evaluaciones, registros, controles ejecutados, documentos, firmas, revisiones, comunicaciones y actuaciones.
Por eso, cada vez es más importante que las organizaciones puedan pasar de decir “tenemos un procedimiento para hacerlo” a poder demostrar “lo hacemos, y estas son las evidencias”.
El compliance está pasando del documento a la evidencia: ya no basta con definir lo que debe hacerse, hay que poder demostrar que realmente se está haciendo.
El problema de gestionar el compliance en silos
A medida que aumentan las obligaciones aparece otro problema: la fragmentación.
ISO 27001 por un lado. NIS2 por otro. ENS, RGPD, AI Act, compliance penal, requisitos ESG, exigencias de clientes…
Si cada nueva normativa genera un nuevo Excel, un nuevo repositorio documental, un nuevo cuestionario, nuevos controles y, en ocasiones, una nueva herramienta, la complejidad crece sin freno.
Pero la realidad de la organización no está dividida por normativas.
Un proveedor es el mismo proveedor, se le analice desde protección de datos, ciberseguridad o inteligencia artificial. Un incidente puede afectar simultáneamente a varias obligaciones. Una política puede responder a varios requisitos a la vez. Y un mismo control puede mitigar distintos riesgos y servir de evidencia frente a distintos marcos.
El problema, por tanto, no es solo gestionar cada vez más normativas: es gestionar correctamente las relaciones que existen entre ellas.
Del compliance documentado al compliance operacional
Operational Compliance no pretende sustituir al modelo tradicional de compliance. Lo complementa trasladando las obligaciones, políticas y controles a la operativa diaria de la organización.
| Enfoque documental | Enfoque operacional |
|---|---|
| Normativas | Procesos |
| Documentos | Evidencias |
| Políticas | Aplicación de políticas |
| Controles definidos | Controles ejecutados |
| Revisiones periódicas | Seguimiento continuo |
| Información dispersa | Información conectada |
| Tareas manuales | Automatización |
| “Cumplimos” | “Podemos demostrarlo” |
Ambos enfoques se necesitan mutuamente.
La normativa establece las obligaciones y los objetivos de cumplimiento; el conocimiento especializado permite interpretarlos y trasladarlos a la realidad de cada organización.
El Operational Compliance organiza cómo conseguir que todo eso ocurra en el día a día.
Las piezas del Operational Compliance
Para hacerlo posible hay que dejar de pensar solo en normativas y empezar a pensar en los elementos reales que forman una organización:
Personas · Proveedores · Activos · Aplicaciones · Riesgos · Políticas · Controles · Incidentes · Evaluaciones · Evidencias
Todos ellos están relacionados entre sí.
Pensemos en un proveedor tecnológico crítico que almacena información de la empresa, trata datos personales y utiliza inteligencia artificial en la prestación de su servicio.
Esa realidad no debería registrarse varias veces solo porque afecte a distintas obligaciones. La información sobre ese proveedor debería bastar para determinar qué riesgos existen, qué controles son necesarios, qué documentación hay que solicitar, qué cuestionarios debe responder, con qué periodicidad debe reevaluarse y qué marcos de cumplimiento pueden verse afectados.
La información debería existir una sola vez y reutilizarse allí donde haga falta.
El Operational Compliance necesita conectar:
Riesgos → Controles → Políticas → Personas → Terceros → Activos → Incidentes → Evaluaciones → Evidencias
El valor no está solo en gestionar cada uno de esos elementos por separado. Está en gestionar las relaciones entre ellos.
Un modelo de cumplimiento vivo
Cuando esos elementos están conectados, el compliance deja de ser una fotografía tomada en el momento de una auditoría y puede convertirse en un sistema vivo.
Si cambia un proveedor, aparece un nuevo riesgo, caduca una evidencia, se incorpora una persona, falla un control o se produce un incidente, el sistema debería ser capaz de determinar qué partes del cumplimiento pueden verse afectadas y qué actuaciones son necesarias.
Esto permite evolucionar desde un modelo basado principalmente en revisiones periódicas hacia otro en el que determinados cambios en la organización pueden desencadenar automáticamente revisiones, tareas o controles.
El cumplimiento deja así de ser algo que se revisa ocasionalmente para integrarse progresivamente en la propia operativa de la empresa.
Una única fuente de información para múltiples marcos
Esta forma de trabajar permite resolver otro de los grandes problemas del compliance actual: la duplicación. Pensemos en un control de autenticación multifactor. La organización no debería necesitar un control de MFA para ISO 27001, otro para NIS2 y otro para ENS.
Tiene un control de autenticación multifactor.
Ese control puede relacionarse después con diferentes riesgos, activos y requisitos normativos. Lo mismo ocurre con una política, una evaluación de proveedores, una formación o una evidencia.
Por eso, una de las ideas centrales del Operational Compliance es:
Los controles pertenecen a la organización; los distintos marcos de cumplimiento los reutilizan.
Así se avanza hacia un modelo mucho más eficiente:
Una acción → una evidencia → múltiples necesidades de cumplimiento.
Una única fuente de información capaz de responder a distintos marcos, clientes, auditorías o procesos de evaluación.
Automatizar sin crear más burocracia
Hacer operativo el compliance no debería significar llenar la organización de tareas administrativas. Debería ocurrir justo lo contrario.
Cuando los procesos y la información están estructurados, buena parte del trabajo puede automatizarse.
Si caduca el certificado de un proveedor, el sistema puede solicitar automáticamente su renovación. Si se incorpora una nueva persona, pueden asignarse las políticas, formaciones y aceptaciones correspondientes. Si un proveedor empieza a utilizar inteligencia artificial, pueden activarse nuevas preguntas, controles o evaluaciones.
Si se produce un incidente, puede iniciarse automáticamente el procedimiento correspondiente, con sus tareas, responsables y plazos. Y si un control deja de ejecutarse, puede generarse una actuación y escalarse cuando sea necesario.
El objetivo no es automatizar por automatizar, sino conseguir que las personas dediquen su tiempo a las decisiones en las que realmente aportan valor.
Los sistemas deben trabajar para las personas, no las personas para mantener los sistemas.
¿Qué papel tiene la inteligencia artificial?
La inteligencia artificial abre enormes posibilidades en compliance, pero hay un paso previo que con frecuencia se pasa por alto:
Primero hay que estructurar la información; después se puede aplicar inteligencia sobre ella.
Si la información está dispersa entre documentos, correos, hojas de cálculo y aplicaciones independientes, las posibilidades de automatización y análisis son limitadas.
En cambio, cuando se conocen las relaciones entre proveedores, riesgos, controles, políticas, incidentes y evidencias, la IA puede convertirse en un verdadero asistente del profesional de compliance: ayudar a revisar documentación, detectar información pendiente, localizar evidencias, preparar evaluaciones, identificar posibles riesgos o proponer actuaciones.
El objetivo no es que la IA decida, sino que el profesional llegue a la decisión con el trabajo previo ya hecho, garantizando siempre la confidencialidad de la información, la protección de datos, la seguridad y una supervisión humana adecuada.
Operational Compliance para pequeñas y medianas empresas
Las grandes corporaciones llevan años gestionando estas necesidades con plataformas GRC, departamentos especializados y proyectos complejos.
Pero el cumplimiento se está extendiendo mucho más allá de las grandes organizaciones.
Una empresa de 100 o 200 empleados puede tener hoy que responder a cuestionarios de seguridad de sus clientes, evaluar proveedores críticos, gestionar políticas, formar a sus empleados, documentar incidentes, analizar riesgos y aportar evidencias de sus controles.
La respuesta no puede ser trasladarle la misma estructura y complejidad que utiliza una multinacional.
Las pequeñas y medianas empresas necesitan el mismo rigor, no la misma complejidad.
Y ahí la tecnología juega un papel decisivo: simplificar procesos, reutilizar información, automatizar tareas y hacer accesible una forma de gestionar el cumplimiento que hasta ahora estaba reservada, sobre todo, a organizaciones con muchos más recursos.
La visión de ithikios: hacer operativo el compliance
En ithikios estamos evolucionando desde una solución nacida alrededor del canal de denuncias hacia una plataforma de Operational Compliance.
Canal de denuncias, gestión de políticas, terceros, riesgos, controles, incidentes, evaluaciones, Trust Center o automatización forman parte de ese recorrido.
Pero nuestro objetivo no es reunir muchas herramientas de compliance dentro de una misma plataforma.
Es conseguir que todas ellas compartan información y trabajen juntas.
Que un riesgo se relacione con los controles que lo mitigan. Que esos controles generen evidencias. Que un cambio en un proveedor pueda desencadenar una evaluación. Que un incidente afecte a riesgos y controles. Que una misma evidencia sirva para diferentes marcos.
Y que toda esa información permita saber, en cada momento, no solo qué debería hacer la organización, sino qué está haciendo realmente.
Porque el futuro del compliance no consiste en acumular más documentos, más herramientas y más burocracia.
Consiste en integrar el cumplimiento en la propia operativa de la empresa.
Del cumplimiento a la confianza
El resultado final del Operational Compliance no es solo cumplir. Es generar confianza.
Confianza para la dirección, que conoce el estado real del cumplimiento. Confianza para el compliance officer, que dispone de trazabilidad y evidencias. Confianza para clientes y partners, que pueden verificar determinadas garantías. Y confianza para la propia organización, que sabe que sus políticas y controles no existen únicamente sobre el papel.
Operational Compliance significa hacer que el compliance funcione en el día a día: convertir obligaciones en acciones, acciones en evidencias y evidencias en confianza.
ithikios · Operational Compliance
Hacemos operativo el compliance: fácil de gestionar, integrado en el día a día y demostrable con evidencias.
* Este artículo esta escrito por humanos y mejorado con IA.
