Introducción

La buena gobernanza de una empresa cuenta con dos herramientas fundamentales: un sistema de controles internos (ICS) y un sistema de gestión de riesgos empresariales (ERM). Lo ideal es que estos dos sistemas estén totalmente integrados, creando un ciclo Planificar-Hacer-Verificar-Actuar (PDCA) para la gobernanza corporativa. Estos requisitos no son nuevos para la mayoría de las empresas, sin embargo, las soluciones actuales pueden estar llegando al final de su ciclo de vida, con muchos requisitos nuevos emergentes. Muchos clientes de Alyne aprovechan nuestro software como servicio (SaaS) tanto para casos de uso de ICS como de ERM, y hemos observado algunos retos y factores de éxito comunes. 

Desafíos comunes

• Marco de control exhaustivo
  Muchas organizaciones gestionan marcos de control con cientos o incluso miles de controles, lo que los hace prácticamente inmanejables. Las múltiples iteraciones con numerosas partes interesadas han dado lugar a un marco con un alto grado de redundancia en varios niveles de detalle. Esto supondrá un fracaso tanto en términos de costes de gestión como de eficacia del control.
   
• Controles abstractos
  Tomar normas, leyes y reglamentos y generar controles basados en requisitos abstractos a menudo da lugar a controles abstractos que no proporcionan una orientación suficiente a la organización. 
• Baja concienciación
  Los marcos relacionados con el gobierno corporativo, en particular, pueden adolecer del «síndrome de la torre de marfil», por el que solo un pequeño grupo de personas conoce los controles y estos no logran ganar terreno ni conciencia en la organización. Para que el SCI sea eficaz, es esencial ampliar su público. 

Factores de éxito

• Controles M-A-U-S
  Defina sus controles para que sean M(la evidencia puede cuantificar la eficacia), Atómicos (solo definen un aspecto), UComprensible (redactado en un lenguaje comprensible para los destinatarios) y  Sespecífico (define una regla clara). 
• Conjunto de controles específicos
  Defina su conjunto de controles para alcanzar un objetivo específico, como cumplir con determinadas normas o reducir el potencial de fraude en el proceso X. Sea claro acerca del objetivo y no se limite a añadir controles por el simple hecho de completar el conjunto. 
• Consolidar la gobernanza
  Especialmente en el caso de la gobernanza corporativa, es importante obtener sinergias de otros marcos de control, como la gobernanza de TI, el SGSI, la privacidad de los datos, la sostenibilidad y otros, con el fin de evitar la duplicación de esfuerzos para la empresa.