Las políticas son fáciles de escribir una vez. Lo difícil es mantenerlas al día, demostrar que se han cumplido y repetirlo cada año.
Una plantilla en blanco es la razón más común de que la política de seguridad nunca llegue a escribirse. Mientras tanto, los documentos se acumulan en la unidad de red y en el correo, y nadie sabe cuál está vigente.
No empiezas de cero. Respondes a unas pocas preguntas en tu propio idioma y de ellas nace la primera versión. El material antiguo se importa tal cual y se destaca la versión vigente. Todo se edita directamente en el navegador, con versiones desde el primer guardado.
La normativa cambia continuamente. Los proveedores envían actualizaciones. En muchos países de la UE la misma instrucción debe existir en el idioma nacional. A mano esto es imposible de mantener al día.
Cuando un requisito cambia, el sistema señala a qué documentos afecta y propone las actualizaciones ya redactadas. Una actualización puede iniciarse incluso reenviando un correo con sus adjuntos. Las traducciones se versionan párrafo a párrafo y una versión lingüística desactualizada se marca de inmediato.
La auditoría de fase 1 se supera con la documentación. La fase 2 se supera con evidencia de que se ha actuado conforme a ella. Justo eso no se puede producir a posteriori.
Un requisito, una política, una tarea recurrente, su prueba y las confirmaciones de las personas forman una cadena trazable que el auditor puede verificar por sí mismo. Las formaciones del personal, con sus preguntas de control y confirmaciones, se acumulan como evidencia automáticamente.
No toda la documentación está destinada a todos. La visión de conjunto se pierde fácilmente entre documentos sueltos.
Los permisos se definen por rol. Solo la dirección ve el registro de riesgos y el empleado ve únicamente los contenidos de su propio trabajo. El panel reúne la situación completa en una sola vista: qué está al día, qué está por caducar y quién ha confirmado.
El sistema de gestión es propiedad de la organización. Tarde o temprano pasará por una auditoría, una evaluación de proveedores o una due diligence.
Todo se guarda en un formato abierto y legible con historial de versiones completo. Todo el material puede exportarse como un único paquete en autoservicio. La plataforma también está disponible instalada en el entorno de la propia organización.
Media hora basta para ver qué tienen ya en orden y qué falta.