Error uno: no designar un dueño ejecutivo

Si la protección pertenece a todos, puede no pertenecer a nadie. La falta de un patrocinador con capacidad de priorizar deja estos temas compitiendo con ventas, producción y contratación. No se trata de centralizar cada decisión, sino de asignar responsabilidad ejecutiva, escalamiento y seguimiento.

Error dos: creer que el inventario es de TI

TI conoce sistemas, pero no siempre sabe qué formularios usa marketing, qué antecedentes pide selección o qué guarda un supervisor en una planilla. El inventario debe construirse por procesos y luego conectarse con aplicaciones y proveedores.

Errores tres, cuatro y cinco

Una cláusula contractual no impide por sí sola que un proveedor subcontrate o use una cuenta compartida. Muchas empresas tampoco tienen canal para reportar pérdida de información ni revisan sus tratamientos cuando cambian de proveedor o incorporan IA. El gobierno debe conectar compromisos con controles y activar revisión ante cambios.

Cómo se ve en una empresa

Un escenario frecuente es que la dirección descubre que distintas áreas responden de manera diferente a la misma solicitud de una persona. La situación puede parecer menor porque nació como una excepción, una urgencia comercial o una decisión tomada por una sola persona. Sin embargo, cuando el proceso se repite, se conecta con otros sistemas o afecta a más titulares, deja de ser una anécdota y se convierte en una práctica organizacional. La gerencia debe mirar el flujo completo: qué entra, quién decide, qué se comparte, qué se conserva y qué ocurre cuando algo sale mal.

El riesgo que suele pasar inadvertido

Una señal importante es que si las áreas responden con criterios distintos, falta un estándar común y una instancia que resuelva excepciones. El problema no siempre produce una infracción acreditada de inmediato, pero sí reduce la capacidad de la empresa para prevenir, responder y demostrar diligencia. También puede generar efectos no jurídicos: tiempos de respuesta mayores, reprocesos, pérdida de confianza, dependencia de una persona o dificultad para cerrar una venta. Evaluar el riesgo exige considerar probabilidad, impacto, sensibilidad, volumen y capacidad real de control.

La decisión que no conviene postergar

La decisión práctica es crear una agenda trimestral de gobierno con incidentes, solicitudes, proveedores y acciones vencidas. No significa aplicar el control más costoso ni copiar el modelo de una empresa grande. Significa elegir una medida que pueda ejecutarse, asignar un responsable y establecer una fecha de revisión. Una acción simple, documentada y comprobable suele reducir más riesgo que una declaración ambiciosa sin implementación. Si el análisis revela una materia técnica o jurídica especializada, debe escalarse oportunamente.

Una advertencia para la implementación

El error que conviene evitar es repetir la misma política sin revisar si cambió la operación, el riesgo o el proveedor. Las organizaciones suelen caer en él porque buscan velocidad, reutilizan documentos o confían en que el problema se resolverá con una compra. La corrección requiere coordinar personas, proceso, contrato y tecnología. Por eso, el seguimiento debe considerar no solo si la medida fue aprobada, sino si fue adoptada, si funciona bajo presión y si sigue siendo adecuada cuando cambia el negocio.

Lista breve de control para el directorio

  • Existe responsable ejecutivo y canal de escalamiento.
  • El mapa de datos incluye procesos y no solo aplicaciones.
  • Los contratos reflejan la operación real.
  • Existe protocolo de incidentes probado.
  • Los cambios relevantes activan una revisión de riesgos.

Una decisión de gestión, no solo de cumplimiento

Una fiscalización no evalúa solo la intención. También observa si la empresa conocía sus tratamientos y actuó con diligencia. Corregir estas fallas mejora la capacidad de responder antes de que la organización quede obligada a hacerlo bajo presión.

Conversemos sobre la realidad de tu empresa

VEORA ayuda a directorios y gerencias a transformar puntos ciegos en un mapa de decisiones, controles y responsables.

Conocer el diagnóstico inicial de VEORA Advisory