La mayoría de las organizaciones no tienen un problema de datos. Tienen un problema de fragmentación y una brecha entre el saber y el hacer que ningún panel de control puede salvar.
La crítica habitual a las tecnologías de gestión de riesgos suele centrarse en la visibilidad: los equipos no pueden ver lo que ocurre en toda la empresa, los datos están aislados en «silos» y la elaboración de informes es inconsistente. Se trata de un verdadero reto, y el mercado de GRC lleva años intentando resolverlo. Pero el problema más difícil se encuentra un paso más allá en la cadena.
¿Qué ocurre después del panel de control?
En la mayoría de las organizaciones, la respuesta es: trabajo manual. Hojas de cálculo. Hilos de correo electrónico. Conversaciones de seguimiento que pueden o no dar lugar a resultados documentados. Se detectan riesgos y luego quedan en suspenso sin más. Se identifican las deficiencias de cumplimiento normativo y se derivan a quien tenga capacidad para ocuparse de ellas. La plataforma se limita a proporcionar información, y la ejecución recae en las personas que trabajan en torno a ella.
Esa brecha, entre saber que existe un riesgo y resolverlo realmente, es donde la mayoría de los programas de gestión de riesgos fracasan de forma silenciosa. Y merece la pena entender por qué.
El entorno ha cambiado; la mayoría de los programas de gestión de riesgos, no.
Durante años, el modelo predominante en materia de tecnología de riesgos se basaba en la recopilación y la presentación de informes. Los datos se recibían, se almacenaban de forma centralizada y se facilitaban periódicamente cuando la dirección lo solicitaba. Ese modelo se adaptaba bien a un entorno en el que los cambios normativos se producían en ciclos anuales y la revisión de riesgos era un evento programado.
Ese ambiente ya no existe.
Según la Encuesta Global de Cumplimiento Normativo de PwC de 2025, el 85 % de las organizaciones afirma que los requisitos de cumplimiento normativo se han vuelto más complejos en los últimos tres años. El 77 % señala que dicha complejidad está afectando de forma directa a áreas fundamentales para el crecimiento empresarial. Los plazos de aplicación de la normativa se han acortado. Las expectativas regulatorias han pasado de ser cíclicas a ser continuas. Los consejos de administración plantean preguntas más difíciles con mayor frecuencia y esperan respuestas que no requieran dos semanas de recopilación manual para elaborarlas.
Las organizaciones que gestionan bien este aspecto no son necesariamente aquellas que cuentan con más datos o con sistemas de información más sofisticados. Son aquellas que han acortado la distancia entre la detección de un riesgo y una respuesta documentada, supervisada y con plazos definidos.
Por qué los datos conectados son el punto de partida, y no el destino
Los equipos de cumplimiento normativo rara vez carecen de información. Los resultados están ahí. Las evaluaciones ya se han realizado. Las revisiones de terceros se encuentran en algún lugar del sistema. El problema es que la información está repartida entre distintas plataformas, equipos y formatos de tal manera que resulta casi imposible atar cabos.
Esa fragmentación conlleva un coste real. La encuesta de PwC reveló que el 63 % de los responsables de cumplimiento normativo afirman que los datos desagregados dificultan el cumplimiento normativo. Sin embargo, las organizaciones que consolidan los datos sobre riesgos, cumplimiento normativo, políticas y terceros en un entorno unificado obtienen beneficios cuantificables: un 64 % más de visibilidad de los riesgos, una respuesta a los problemas un 53 % más rápida y un ahorro de costes directos del 43 %.
Esos resultados no se deben a una mejor recopilación de datos. Se deben a lo que se consigue cuando los datos están interconectados: la capacidad de identificar claramente los riesgos, dar prioridad a lo que requiere atención y documentar las decisiones de forma que se puedan justificar ante una auditoría.
La brecha que realmente supone un coste para las organizaciones
Solo el 7 % de las organizaciones encuestadas por PwC se consideran líderes en materia de cumplimiento normativo en la actualidad, mientras que el 38 % aspira a alcanzar ese nivel en un plazo de tres años. Esa distancia no se debe principalmente a un problema estratégico. La ambición estratégica está clara. Lo que aún falta es la infraestructura operativa necesaria para salvar esa brecha.
El patrón es previsible. Una evaluación de riesgos pone de manifiesto un hallazgo. Una prueba de control identifica una deficiencia. Una revisión realizada por terceros señala un problema relacionado con un proveedor. La plataforma lo notifica. Y, a continuación, las tareas de resolverlo, asignar un responsable, fijar una fecha límite, realizar un seguimiento del progreso, documentar su resolución y recabar las pruebas de auditoría se llevan a cabo de forma manual, de manera inconsistente o, simplemente, no se realizan.
La pregunta que cabe plantearse es: ¿qué haría falta para que ese proceso de resolución fuera tan estructurado y trazable como el proceso de identificación? No solo para los riesgos de alta prioridad, sino en todo el programa y de forma continua.
La respuesta no es crear más paneles de control. Se trata de un modelo operativo en el que los resultados se traducen automáticamente en acciones supervisadas, asignadas y con plazos definidos, y en el que la plataforma da soporte a todo el ciclo, no solo a la primera mitad del mismo.
Por qué la inversión en tecnología por sí sola no es suficiente
Las organizaciones que han realizado importantes inversiones en plataformas de gestión de riesgos y siguen obteniendo resultados por debajo de lo esperado suelen compartir un patrón común: tecnología sin gobernanza.
La automatización sin una estructura genera ruido. La integración de datos sin una responsabilidad clara no es escalable. La elaboración de informes sin un proceso de toma de decisiones definido no hace más que aumentar el volumen de información sobre la que nadie actúa.
Los datos de PwC son muy claros en este aspecto. El 55 % de los responsables de cumplimiento normativo señalan el apoyo de la alta dirección como el factor más importante para una cultura de cumplimiento sólida. El 59 % de las organizaciones con modelos de cumplimiento alineados y centralizados afirman tener mayor confianza en la toma de decisiones en comparación con aquellas que operan de forma aislada.
La tecnología proporciona la capacidad. La estructura de gobernanza determina si esa capacidad se convierte en una ventaja estratégica o si queda infrautilizada.
Esa distinción es importante a la hora de plantearse cómo se diseñan y se mantienen los programas de gestión de riesgos. No se trata de un problema relacionado con la puesta en marcha, sino con el funcionamiento del programa a lo largo del tiempo.
Cómo es una gestión de riesgos lista para su aplicación
Las capacidades que distinguen a los programas de gestión de riesgos orientados a la ejecución de los centrados en la elaboración de informes suelen agruparse en torno a unas pocas áreas fundamentales.
Gestión de incidencias con responsabilidad real.Las incidencias no se pierden en las bandejas de entrada. Se convierten en registros con seguimiento, en los que se incluyen los responsables, las fechas límite, los procedimientos de escalado y los requisitos de documentación. Se documenta su resolución. El registro de auditoría existe sin necesidad de recopilarlo manualmente.
Gestión de políticas relacionada con el riesgo.Cuando cambia una normativa, el impacto en las fases posteriores se hace visible de inmediato: qué políticas se ven afectadas, qué controles hay que actualizar y cuáles son las implicaciones en materia de cumplimiento. Las organizaciones que detectan esas deficiencias a posteriori, a través de una auditoría en lugar de mediante sus propios sistemas, pagan un precio más alto.
El riesgo asociado a terceros forma parte del mismo panorama. El 64 % de las organizaciones recurre a terceros para suministrar productos y servicios. Un incumplimiento normativo por parte de un proveedor no es un hecho aislado, sino que se convierte en un riesgo normativo, un riesgo operativo y, potencialmente, un riesgo para la reputación. Si la supervisión de terceros se lleva a cabo en el marco de un programa independiente, desconectado de la gestión de riesgos de la empresa, esas conexiones no se hacen visibles hasta que es demasiado tarde para reaccionar de forma proactiva.
Supervisión continua de los controles.La diferencia entre detectar fallos en los controles en el momento de la auditoría e identificarlos a medida que se producen es significativa. Una de estas formas de actuación es, por su propia naturaleza, reactiva. La otra permite a las organizaciones subsanar las deficiencias durante el ciclo operativo, en lugar de hacerlo una vez finalizado este.
Informes ejecutivos que no requieran una agregación manual.Los directores de cumplimiento (CCO) y los directores de riesgos (CRO) no deberían pasar los días previos a una presentación ante el consejo de administración recopilando datos de múltiples sistemas y reformateándolos. La visión que necesitan los responsables debería estar disponible de forma continua, con los detalles de apoyo accesibles bajo demanda.
Hacia dónde se dirige la disciplina
Según PwC, el 82 % de las organizaciones tiene previsto aumentar la inversión en tecnología de cumplimiento normativo durante los próximos tres años. El 71 % prevé que la transformación digital requiera un apoyo significativo en materia de cumplimiento normativo durante ese mismo periodo.
La tendencia en materia de inversión refleja la demanda real. Sin embargo, la rentabilidad de esa inversión seguirá variando considerablemente, no porque algunas organizaciones adquieran mejor tecnología, sino porque algunas combinan esa tecnología con el modelo de gobernanza necesario para que rinda al máximo.
La dirección que más importa no es la de disponer de más datos o más paneles de control. Es la de la inteligencia artificial y la analítica integradas en el momento de la toma de decisiones, una automatización estructurada y trazable, en lugar de superpuesta a procesos fragmentados, y una conectividad más profunda que elimine los silos que siguen ralentizando los tiempos de respuesta.
Las organizaciones que liderarán la próxima ola de complejidad normativa no están esperando a que la situación se estabilice. Están creando programas en los que la detección de un riesgo y su resolución forman parte del mismo ciclo operativo, y en los que el intervalo entre ambas fases se mide en días, no en trimestres.
Cómo Archer facilita una gestión de riesgos lista para la ejecución
Archer proporciona a los equipos de riesgo y cumplimiento normativo las herramientas necesarias para gestionar el ciclo completo, desde la identificación del riesgo hasta su resolución documentada, todo ello dentro de un único entorno integrado. La gestión de incidencias, la supervisión de controles, la gestión de políticas, el riesgo de terceros y la elaboración de informes para la dirección están diseñados para funcionar de forma conjunta, y no como elementos añadidos a posteriori.
Descubre más sobre cómo Archer ayuda a las organizaciones a pasar de la visibilidad a la ejecución en archerirm.com.
¿Qué significa la gestión de riesgos «lista para la ejecución» y en qué se diferencia del GRC tradicional?
Las plataformas tradicionales de GRC se diseñaron principalmente en torno a la recopilación de datos y la elaboración de informes: capturar información sobre riesgos, almacenarla y presentarla en paneles de control o informes periódicos. La gestión de riesgos orientada a la ejecución va más allá. Significa que la plataforma respalda activamente lo que ocurre una vez identificado un riesgo, lo que incluye asignar la responsabilidad, activar flujos de trabajo, realizar un seguimiento de las medidas correctivas, documentar el cierre y generar las pruebas de auditoría que exigen los reguladores y los consejos de administración. En lugar de considerar la elaboración de informes como el objetivo final, un modelo orientado a la ejecución la trata como un resultado más de un sistema operativo que funciona de forma continua, conectando la evaluación de riesgos, la gestión de políticas, la supervisión de controles y la supervisión de terceros en un único entorno.
¿Cómo pueden los equipos de cumplimiento normativo reducir la brecha entre la detección de riesgos y su resolución?
La clave está en sustituir los traspasos manuales por flujos de trabajo estructurados. Cuando se identifica un riesgo a través de una evaluación, una prueba de controles, una revisión por parte de terceros o una auditoría, el proceso de resolución debe incluir responsabilidades asignadas, plazos, vías de escalación y requisitos de documentación. Sin esa estructura, los problemas se trasladan al correo electrónico o a hojas de cálculo y la resolución se vuelve inconsistente. La Encuesta Global de Cumplimiento Normativo de PwC 2025 reveló que las organizaciones que utilizan tecnología de cumplimiento conectada registran una respuesta a los problemas un 53 % más rápida, y que esa mejora se debe directamente a que el proceso de resolución es tan trazable como el proceso de identificación.
¿Por qué la gestión de riesgos de terceros debería formar parte de una plataforma integrada en lugar de ser una herramienta independiente?
Porque el riesgo de terceros no existe de forma aislada. Un incumplimiento normativo por parte de un proveedor genera un riesgo regulatorio. Un incidente de ciberseguridad de un proveedor se convierte en un problema operativo y de reputación. En una auditoría sale a la luz una laguna contractual. Cuando el riesgo de terceros se gestiona en un sistema independiente, las organizaciones pierden la capacidad de ver cómo el riesgo de los proveedores se relaciona con su situación general de cumplimiento normativo, y acaban gestionando las consecuencias de forma reactiva. Integrar los resultados relativos a terceros en la misma plataforma que el riesgo empresarial, la gestión de políticas y la supervisión de controles significa que esas conexiones son visibles en tiempo real, se evalúan según el mismo marco de riesgo, se escalan a través de los mismos flujos de trabajo y se incluyen en el mismo panel ejecutivo.
¿Por qué la inversión en tecnología por sí sola no basta para mejorar el rendimiento de los programas de gestión de riesgos?
La tecnología sin una gestión adecuada falla de formas previsibles. La automatización sin estructura genera ruido. La integración de datos sin una titularidad clara no es escalable. La elaboración de informes sin un proceso de decisión definido solo contribuye a aumentar el volumen de información sobre la que nadie actúa. La encuesta de PwC reveló que el 55 % de los responsables de cumplimiento normativo señalan el respaldo de la alta dirección como el factor más importante para una cultura de cumplimiento sólida, y el 59 % de las organizaciones con modelos de cumplimiento alineados y centralizados manifestan una mayor confianza en la toma de decisiones. La plataforma proporciona la capacidad. El modelo de gobernanza determina si esa capacidad se convierte, con el tiempo, en una ventaja estratégica.
Fuente: Encuesta global sobre cumplimiento normativo de PwC 2025, pwc.com/gx/en/issues/risk-regulation/global-compliance-survey.html
