GRC, riesgo, cumplimiento y legal

Propósito y mapa del área

Esta área cubre gobierno, riesgo, cumplimiento y aspectos legales. Está compuesta por cuatro hubs relacionados: GRC (políticas, controles, auditorías, hallazgos), Compliance (obligaciones, evidencias, atestaciones), Risk (registro de riesgos con metodologías estructuradas) y Legal (asuntos legales y documentos). Cubre los tipos GRC-*, IT-RISK, IT-POLICY, IT-CONTROL, IT-AUDIT-FINDING y las entidades legales.

GRC

Para qué sirve. Es el tablero de GRC (Governance, Risk & Compliance): gobierno de políticas, controles, auditorías y hallazgos mapeados a los marcos normativos.

Cuándo usarla. Para tener la vista de conjunto del programa de GRC y acceder a sus objetos.

Cómo abrirla. Desde la Home / Security Hub (recuadro GRC).

Qué muestra y cómo se usa. El tablero de GRC con los objetos GRC-POLICY (ciclo de vida: borrador→revisión→aprobación→publicación→actualización→retiro, con atestación), GRC-CONTROL (controles mapeados a los marcos: estado, evidencias, pruebas), GRC-AUDIT (planeación, ejecución, revisión de hallazgos, reporte) y GRC-FINDING (severidad, responsable de la remediación, seguimiento hasta el cierre o la aceptación del riesgo).

Qué pasa después. Las políticas publicadas requieren atestación; los hallazgos abiertos guían la remediación.

Notas. Los marcos soportados incluyen ISO 27001, NIS2, SOC2, GDPR.

Compliance & Governance

Para qué sirve. Gestiona los controles de cumplimiento mapeados a los marcos, con estado de cumplimiento, evidencias y pruebas periódicas.

Cuándo usarla. Para gestionar la estructura de controles y verificar su cumplimiento.

Cómo abrirla. Desde el área GRC / Legal Hub.

Qué muestra y cómo se usa. La lista de controles por marco con estado, evidencias y fechas de prueba.

Qué pasa después. Los controles no conformes generan hallazgos o acciones.

Notas. Complementa al Compliance Workspace (Compliance Workspace).

Compliance Hub

Para qué sirve. Es la entrada al módulo de cumplimiento corporativo, que reutiliza el motor de campañas de RR. HH. (con la etiqueta module) para obligaciones, controles, evidencias y atestaciones.

Cuándo usarla. Para elegir el área de trabajo de cumplimiento.

Cómo abrirla. Desde la Home / Security Hub (recuadro Compliance).

Qué muestra y cómo se usa. Los recuadros hacia las vistas del Compliance Workspace (Compliance Workspace).

Qué pasa después. Se abre la vista elegida.

Notas. Módulo de Core que comparte el motor de campañas con RR. HH.

Compliance Workspace

Para qué sirve. Es la consola de trabajo de cumplimiento, organizada en vistas.

Cuándo usarla. Para gestionar obligaciones, controles, evidencias, auditorías, privacidad y atestaciones.

Cómo abrirla. Desde el Compliance Hub (recuadros).

Qué muestra. Las vistas disponibles:

Vista	Contenido
board	Tablero de resumen de cumplimiento
adempimenti	Obligaciones y vencimientos
controls	Controles de cumplimiento
ccm	Continuous Controls Monitoring
evidence	Evidencias recopiladas
gap	Análisis de brechas
audit	Auditorías de cumplimiento
incidents	Incidentes de cumplimiento
risk	Riesgos de cumplimiento
privacy	Privacidad / GDPR
m231	Modelo 231
cra	Cyber Resilience Act
esg	ESG (sustentabilidad)
regwatch	Monitoreo normativo
suppliers	Cumplimiento de proveedores
training	Capacitación en cumplimiento
catalog	Catálogo de obligaciones/requisitos
aigov / aiasst	AI Governance y asistente de IA

Cómo se usa. Seleccionas la vista; cada vista ofrece sus propias listas, detalles y acciones (creación de obligaciones, recopilación de evidencias, inicio de campañas de atestación, análisis de brechas). Las campañas de atestación requieren la firma de enterado.

Qué pasa después. Las obligaciones y las evidencias alimentan el estado de cumplimiento; las campañas generan las solicitudes de firma.

Notas. El motor de campañas se comparte con el Hub de RR. HH.

Risk Management Hub

Para qué sirve. Es la entrada a la gestión de riesgos.

Cuándo usarla. Para acceder al registro, al cockpit y a las herramientas de análisis de riesgo.

Cómo abrirla. Desde la Home / Security Hub (recuadro Risk).

Qué muestra y cómo se usa. Los recuadros hacia Risk Cockpit y Risk Register (y las herramientas bowtie/FAIR/entity/crosswalk).

Qué pasa después. Se abre la herramienta elegida.

Notas. Cubre IT-RISK y los riesgos de GRC.

Enterprise Risk Register

Para qué sirve. Es el registro de riesgos corporativo: catálogo de riesgos con evaluación y tratamiento.

Cuándo usarla. Para registrar, evaluar y monitorear los riesgos.

Cómo abrirla. Desde el Risk Hub, recuadro Register.

Qué muestra. La lista de riesgos con likelihood, impact, score calculado y plan de tratamiento (Accept/Mitigate/Transfer/Avoid), responsable y fecha de revisión; un mapa de calor (probabilidad × impacto) y la exposición por categoría.

Cómo se usa. Creas o evalúas un riesgo, asignas el tratamiento y el responsable, y programas la revisión.

Qué pasa después. Los riesgos altos guían las acciones de mitigación y las decisiones de dirección (Risk Cockpit).

Notas. El score se calcula como likelihood × impact.

Risk Cockpit

Para qué sirve. Es la vista de dirección del riesgo: resumen para la dirección.

Cuándo usarla. Para el monitoreo estratégico del perfil de riesgo.

Cómo abrirla. Desde el Risk Hub, recuadro Cockpit.

Qué muestra y cómo se usa. Los KPI de riesgo agregados, las tendencias y los riesgos principales, con drill-down.

Qué pasa después. Guía las decisiones de dirección sobre el riesgo.

Notas. Reservado a los roles directivos (ve Cockpits y vistas de dirección).

Risk Bowtie

Para qué sirve. Ejecuta el análisis bow-tie: causas → evento → consecuencias, con las barreras preventivas y reactivas.

Cuándo usarla. Para analizar un riesgo a fondo y diseñar las barreras.

Cómo abrirla. Desde el Risk Hub / desde el registro.

Qué muestra y cómo se usa. El diagrama bow-tie con causas, evento central, consecuencias y barreras; modelas los elementos.

Qué pasa después. Las barreras se convierten en controles o acciones que hay que dar seguimiento.

Notas. Metodología cualitativa estructurada.

Risk FAIR

Para qué sirve. Ejecuta el análisis cuantitativo FAIR (Factor Analysis of Information Risk): estimación económica del riesgo.

Cuándo usarla. Para cuantificar en términos monetarios la exposición de un riesgo.

Cómo abrirla. Desde el Risk Hub / desde el registro.

Qué muestra y cómo se usa. Los factores FAIR (frecuencia, magnitud) y la distribución de pérdida estimada.

Qué pasa después. La cuantificación apoya las decisiones de tratamiento y de seguros.

Notas. Metodología cuantitativa.

Risk Entity

Para qué sirve. Gestiona las entidades de riesgo (objetos/activos/procesos a los que se refieren los riesgos).

Cuándo usarla. Para vincular los riesgos con sus entidades de referencia.

Cómo abrirla. Desde el Risk Hub.

Qué muestra y cómo se usa. Las entidades con los riesgos asociados.

Qué pasa después. Mejora la trazabilidad riesgo↔entidad.

Notas. Complementa al registro.

Compliance Crosswalk

Para qué sirve. Es el crosswalk que mapea los riesgos/controles a los distintos marcos de cumplimiento (correspondencias entre estándares).

Cuándo usarla. Para reutilizar un control en varios marcos y evitar duplicados.

Cómo abrirla. Desde el Risk Hub / área Compliance.

Qué muestra y cómo se usa. La matriz de correspondencia entre los controles y los requisitos de los distintos marcos.

Qué pasa después. Reduce el esfuerzo de cumplimiento con varios marcos.

Notas. Conecta Risk y Compliance.

Legal Hub

Para qué sirve. Es la entrada al área legal: asuntos, contratos, consentimientos, DSAR, legal hold, firma electrónica.

Cuándo usarla. Para acceder a las herramientas legales.

Cómo abrirla. Desde la Home / Security Hub (recuadro Legal).

Qué muestra y cómo se usa. Los recuadros hacia Legal Cockpit, las entidades legales (por categoría), los contratos, la KB, el report builder y los vínculos a GRC/Risk/PSA.

Qué pasa después. Se abre la herramienta elegida.

Legal Entity

Para qué sirve. Gestiona las entidades legales por categoría.

Cuándo usarla. Para trabajar asuntos, consentimientos, DSAR, legal holds y sobres de firma.

Cómo abrirla. Desde el Legal Hub, recuadros por categoría.

Qué muestra. Las entidades por categoría:

Categoría	Contenido
matter	Asunto/litigio legal
legal_intake	Recepción de solicitudes legales
dsar_request	Solicitudes DSAR (derechos del titular de datos, GDPR)
consent_record	Registro de consentimientos
legal_hold	Retenciones legales (conservación de documentos)
esign_envelope	Sobres de firma electrónica

Cómo se usa. Seleccionas la categoría y gestionas sus entidades (creación, avance, firma).

Qué pasa después. Los asuntos siguen su trámite; los sobres de firma activan la firma electrónica.

Notas. La gestión documental usa las collections legales.

Legal Cockpit

Para qué sirve. Es la vista de dirección legal: resumen de los asuntos y de los indicadores.

Cuándo usarla. Para supervisar el área legal.

Cómo abrirla. Desde el Legal Hub, recuadro Cockpit.

Qué muestra y cómo se usa. Los KPI legales (asuntos abiertos, vencimientos, exposición) con drill-down.

Qué pasa después. Guía las prioridades del área legal.

Notas. Reservado a los roles legales/directivos.

Records Management

Para qué sirve. Gobierna la conservación de los records (documentales y genéricos) según las políticas de retención.

Cuándo usarla. Para gestionar los records sujetos a conservación y los legal holds.

Cómo abrirla. Desde el Legal Hub / Builder.

Qué muestra y cómo se usa. Los records con su clase de conservación y su estado; los records genéricos pueden ser entidades creadas con el Builder (Administración).

Qué pasa después. Los records se conservan o eliminan según las reglas; los legal holds impiden su eliminación.

Notas. Vinculado al legal hold (Legal Entity).

Collections (risk-collections, legal-collections)

Para qué sirve. Gestionan las colecciones documentales de los dominios Risk y Legal (conjuntos de documentos/evidencias).

Cuándo usarla. Para organizar y consultar los documentos vinculados a riesgos y asuntos legales.

Cómo abrirla. Desde las páginas Risk/Legal.

Qué muestra y cómo se usa. Las colecciones con sus documentos asociados; se abren en el visor o para firma.

Qué pasa después. Los documentos alimentan las evidencias y los asuntos.

Notas. Reutilizan el visor de adjuntos y la firma de documentos.