GRC, riesgo, cumplimiento y legal

Objetivo y mapa del área

Esta área cubre el gobierno, el riesgo, el cumplimiento y los aspectos legales. Se compone de cuatro hubs relacionados: GRC (políticas, controles, auditorías, hallazgos), Compliance (obligaciones, evidencias, atestaciones), Risk (registro de riesgos con metodologías estructuradas) y Legal (asuntos legales y documentos). Cubre los tipos GRC-*, IT-RISK, IT-POLICY, IT-CONTROL, IT-AUDIT-FINDING y las entidades legales.

GRC

Para qué sirve. Es el panel GRC (Governance, Risk & Compliance): gobierno de políticas, controles, auditorías y hallazgos mapeados sobre los marcos normativos.

Cuándo usarla. Para la vista general del programa GRC y el acceso a sus objetos.

Cómo abrirla. Desde la Home / Security Hub (recuadro GRC).

Qué muestra y cómo se usa. El cuadro de mando GRC con los objetos GRC-POLICY (ciclo de vida: borrador→revisión→aprobación→publicación→actualización→retirada, con atestación), GRC-CONTROL (controles mapeados sobre los marcos: estado, evidencias, pruebas), GRC-AUDIT (planificación, ejecución, revisión de hallazgos, informe) y GRC-FINDING (severidad, responsable de la remediación, seguimiento hasta el cierre o la aceptación del riesgo).

Qué pasa después. Las políticas publicadas requieren atestación; los hallazgos abiertos guían la remediación.

Notas. Los marcos admitidos incluyen ISO 27001, NIS2, SOC2 y RGPD.

Compliance & Governance

Para qué sirve. Gestiona los controles de cumplimiento mapeados sobre los marcos, con estado de cumplimiento, evidencias y pruebas periódicas.

Cuándo usarla. Para gestionar el conjunto de controles y verificar su cumplimiento.

Cómo abrirla. Desde el área GRC / Legal Hub.

Qué muestra y cómo se usa. La lista de controles por marco con estado, evidencias y fechas de prueba.

Qué pasa después. Los controles no conformes generan hallazgos o acciones.

Notas. Complementa el Compliance Workspace (Compliance Workspace).

Compliance Hub

Para qué sirve. Es la entrada al módulo de cumplimiento corporativo, que reutiliza el motor de campañas de RR. HH. (con la etiqueta module) para obligaciones, controles, evidencias y atestaciones.

Cuándo usarla. Para elegir el área de trabajo de cumplimiento.

Cómo abrirla. Desde la Home / Security Hub (recuadro Compliance).

Qué muestra y cómo se usa. Los recuadros hacia las vistas del Compliance Workspace (Compliance Workspace).

Qué pasa después. Se abre la vista elegida.

Notas. Módulo de Core que comparte el motor de campañas con RR. HH.

Compliance Workspace

Para qué sirve. Es la consola de trabajo de cumplimiento, organizada en vistas.

Cuándo usarla. Para gestionar obligaciones, controles, evidencias, auditorías, privacidad y atestaciones.

Cómo abrirla. Desde el Compliance Hub (recuadros).

Qué muestra. Las vistas disponibles:

Vista	Contenido
board	Cuadro de mando resumen de cumplimiento
adempimenti	Obligaciones y plazos
controls	Controles de cumplimiento
ccm	Continuous Controls Monitoring
evidence	Evidencias recogidas
gap	Análisis de brechas (gap analysis)
audit	Auditorías de cumplimiento
incidents	Incidentes de cumplimiento
risk	Riesgos de cumplimiento
privacy	Privacidad / RGPD
m231	Modelo 231
cra	Cyber Resilience Act
esg	ESG (sostenibilidad)
regwatch	Vigilancia normativa
suppliers	Cumplimiento de proveedores
training	Formación en cumplimiento
catalog	Catálogo de obligaciones/requisitos
aigov / aiasst	AI Governance y asistente de IA

Cómo se usa. Seleccionas la vista; cada vista ofrece sus propias listas, detalles y acciones (creación de obligaciones, recogida de evidencias, inicio de campañas de atestación, análisis de brechas). Las campañas de atestación requieren la firma de acuse de lectura.

Qué pasa después. Las obligaciones y las evidencias alimentan el estado de cumplimiento; las campañas generan las solicitudes de firma.

Notas. El motor de campañas se comparte con el Hub de RR. HH.

Risk Management Hub

Para qué sirve. Es la entrada a la gestión del riesgo.

Cuándo usarla. Para acceder al registro, al cockpit y a las herramientas de análisis del riesgo.

Cómo abrirla. Desde la Home / Security Hub (recuadro Risk).

Qué muestra y cómo se usa. Los recuadros hacia Risk Cockpit y Risk Register (y las herramientas bowtie/FAIR/entity/crosswalk).

Qué pasa después. Se abre la herramienta elegida.

Notas. Cubre IT-RISK y los riesgos GRC.

Enterprise Risk Register

Para qué sirve. Es el registro de riesgos corporativo: catálogo de riesgos con su evaluación y tratamiento.

Cuándo usarla. Para registrar, evaluar y supervisar los riesgos.

Cómo abrirla. Desde el Risk Hub, recuadro Register.

Qué muestra. La lista de riesgos con likelihood, impact, puntuación calculada y plan de tratamiento (Accept/Mitigate/Transfer/Avoid), responsable y fecha de revisión; un mapa de calor (probabilidad × impacto) y la exposición por categoría.

Cómo se usa. Creas o evalúas un riesgo, asignas el tratamiento y el responsable, y planificas la revisión.

Qué pasa después. Los riesgos altos guían las acciones de mitigación y las decisiones de dirección (Risk Cockpit).

Notas. La puntuación se calcula como likelihood × impact.

Risk Cockpit

Para qué sirve. Es la vista de dirección del riesgo: resumen para la dirección.

Cuándo usarla. Para la supervisión estratégica del perfil de riesgo.

Cómo abrirla. Desde el Risk Hub, recuadro Cockpit.

Qué muestra y cómo se usa. Los KPI de riesgo agregados, las tendencias y los principales riesgos, con drill-down.

Qué pasa después. Guía las decisiones de dirección sobre el riesgo.

Notas. Reservado a los roles de dirección (consulta Cockpits y vistas de dirección).

Risk Bowtie

Para qué sirve. Realiza el análisis bow-tie: causas → evento → consecuencias, con las barreras preventivas y reactivas.

Cuándo usarla. Para analizar un riesgo en profundidad y diseñar las barreras.

Cómo abrirla. Desde el Risk Hub / desde el registro.

Qué muestra y cómo se usa. El diagrama bow-tie con causas, evento central, consecuencias y barreras; modelas los elementos.

Qué pasa después. Las barreras se convierten en controles o acciones que hay que seguir.

Notas. Metodología cualitativa estructurada.

Risk FAIR

Para qué sirve. Realiza el análisis cuantitativo FAIR (Factor Analysis of Information Risk): estimación económica del riesgo.

Cuándo usarla. Para cuantificar en términos monetarios la exposición de un riesgo.

Cómo abrirla. Desde el Risk Hub / desde el registro.

Qué muestra y cómo se usa. Los factores FAIR (frecuencia, magnitud) y la distribución de pérdidas estimada.

Qué pasa después. La cuantificación apoya las decisiones de tratamiento y de aseguramiento.

Notas. Metodología cuantitativa.

Risk Entity

Para qué sirve. Gestiona las entidades de riesgo (objetos/activos/procesos a los que se refieren los riesgos).

Cuándo usarla. Para vincular los riesgos a sus entidades de referencia.

Cómo abrirla. Desde el Risk Hub.

Qué muestra y cómo se usa. Las entidades con los riesgos asociados.

Qué pasa después. Mejora la trazabilidad riesgo↔entidad.

Notas. Complementa el registro.

Compliance Crosswalk

Para qué sirve. Es el crosswalk que mapea los riesgos y controles sobre los distintos marcos de cumplimiento (correspondencias entre normas).

Cuándo usarla. Para reutilizar un control en varios marcos y evitar duplicidades.

Cómo abrirla. Desde el Risk Hub / área Compliance.

Qué muestra y cómo se usa. La matriz de correspondencia entre los controles y los requisitos de los distintos marcos.

Qué pasa después. Reduce el esfuerzo de cumplimiento con varios marcos.

Notas. Conecta Risk y Compliance.

Legal Hub

Para qué sirve. Es la entrada al área legal: asuntos, contratos, consentimientos, DSAR, legal hold, firma electrónica.

Cuándo usarla. Para acceder a las herramientas legales.

Cómo abrirla. Desde la Home / Security Hub (recuadro Legal).

Qué muestra y cómo se usa. Los recuadros hacia Legal Cockpit, las entidades legales (por categoría), los contratos, la KB, el generador de informes y los enlaces a GRC/Risk/PSA.

Qué pasa después. Se abre la herramienta elegida.

Legal Entity

Para qué sirve. Gestiona las entidades legales por categoría.

Cuándo usarla. Para trabajar asuntos, consentimientos, DSAR, legal holds y sobres de firma.

Cómo abrirla. Desde el Legal Hub, recuadros por categoría.

Qué muestra. Las entidades por categoría:

Categoría	Contenido
matter	Asunto/litigio legal
legal_intake	Recepción de solicitudes legales
dsar_request	Solicitudes DSAR (derechos del interesado, RGPD)
consent_record	Registro de consentimientos
legal_hold	Retenciones legales (conservación de documentos)
esign_envelope	Sobres de firma electrónica

Cómo se usa. Seleccionas la categoría y gestionas sus entidades (creación, avance, firma).

Qué pasa después. Los asuntos siguen su tramitación; los sobres de firma activan la firma electrónica.

Notas. La gestión documental usa las colecciones legales.

Legal Cockpit

Para qué sirve. Es la vista de dirección legal: resumen de los asuntos y de los indicadores.

Cuándo usarla. Para la supervisión del área legal.

Cómo abrirla. Desde el Legal Hub, recuadro Cockpit.

Qué muestra y cómo se usa. Los KPI legales (asuntos abiertos, vencimientos, exposición) con drill-down.

Qué pasa después. Guía las prioridades del área legal.

Notas. Reservado a los roles legales y de dirección.

Records Management

Para qué sirve. Gobierna la conservación de los registros (documentales y genéricos) según las políticas de retención.

Cuándo usarla. Para gestionar los registros sujetos a conservación y los legal holds.

Cómo abrirla. Desde el Legal Hub / Builder.

Qué muestra y cómo se usa. Los registros con su clase de conservación y su estado; los registros genéricos pueden ser entidades creadas con el Builder (Administración).

Qué pasa después. Los registros se conservan o eliminan según las reglas; los legal holds bloquean su eliminación.

Notas. Vinculado al legal hold (Legal Entity).

Collections (risk-collections, legal-collections)

Para qué sirve. Gestionan las colecciones documentales de los dominios Risk y Legal (conjuntos de documentos/evidencias).

Cuándo usarla. Para organizar y consultar los documentos vinculados a riesgos y asuntos legales.

Cómo abrirla. Desde las páginas Risk/Legal.

Qué muestra y cómo se usa. Las colecciones con los documentos asociados; apertura en el visor o para firma.

Qué pasa después. Los documentos alimentan las evidencias y los asuntos.

Notas. Reutilizan el visor de adjuntos y la firma de documentos.