Antes de aceptar un descubrimiento, alguien intenta demostrar que podría estar equivocado
Imagina por un momento que un grupo de investigadores lleva años trabajando sobre una misma hipótesis. Han recopilado datos, descartado caminos, repetido pruebas y llegado finalmente a una conclusión que consideran importante. Podría ser uno de esos descubrimientos capaces de cambiar la forma en la que entendemos una enfermedad, una tecnología o incluso una parte del mundo que hasta ese momento creíamos conocer.
Después de todo ese trabajo llega el momento de presentar los resultados y sucede algo que, si lo trasladáramos a otros contextos, podría parecer extraño. Nadie dice que, como llevan años investigando, debemos confiar en ellos. Tampoco basta con recordar que son expertos ni con asumir que, si todo ha funcionado hasta ahora, la conclusión tiene que ser correcta.
Ocurre precisamente lo contrario. Cuanto más importante es el descubrimiento, más preguntas aparecen. Otros investigadores revisan los datos, intentan entender cómo se ha llegado a aquella conclusión, buscan inconsistencias, repiten comprobaciones y valoran si existe alguna explicación alternativa que todavía no se haya considerado.
Y nadie interpreta ese proceso como una falta de respeto hacia quienes hicieron el trabajo. Lo llamamos rigor. De hecho, probablemente nos generaría más dudas un descubrimiento que nadie hubiera intentado cuestionar, porque hay algo que damos por sentado cuando hablamos de conocimiento: una conclusión importante no adquiere valor únicamente porque alguien esté convencido de ella, sino porque continúa sosteniéndose después de haber sido revisada.
Y aquí aparece una pregunta que merece salir del laboratorio:
¿Por qué no aplicamos siempre el mismo criterio dentro de nuestras empresas?
Hay afirmaciones que una dirección escucha tantas veces que deja de preguntarse qué las hace ciertas
Piensa en algunas frases que podrían aparecer cualquier mañana en una reunión de dirección: tenemos copias de seguridad, nuestros sistemas están protegidos, eso lo controla el proveedor, protección de datos está cubierto, si ocurre algo importante nos avisarán o los accesos están controlados.
Quizá todas sean ciertas. De hecho, es perfectamente posible que lo sean. La pregunta interesante no es si debemos empezar a desconfiar de ellas, sino qué hace que sigan siendo ciertas hoy.
Porque una afirmación puede haber sido completamente correcta cuando se tomó una decisión y dejar de representar la realidad algún tiempo después. Puede cambiar el proveedor, evolucionar la tecnología, incorporarse nuevas personas, crecer el negocio o aparecer dependencias que antes ni siquiera existían. La empresa se transforma poco a poco, pero muchas de las afirmaciones con las que Dirección explica su situación permanecen intactas durante años.
Y entonces una frase como «esto está controlado» puede seguir utilizándose mucho después de que alguien haya comprobado por última vez qué significa exactamente tenerlo controlado.
La semana pasada hablábamos de cómo las decisiones también envejecen. Una elección que tuvo sentido en un determinado momento puede seguir siendo correcta años después, pero conservarla no debería significar dejar de revisarla.
Esta semana queremos avanzar un paso más, porque no solo envejecen las decisiones. También envejecen las certezas que construimos alrededor de ellas.
Auditar no es empezar sospechando que algo está mal
Quizá por eso hemos asociado durante demasiado tiempo la auditoría con el momento en que alguien viene a buscar errores, con una inspección, un requisito, un informe o una revisión que aparece porque existe alguna duda o porque alguien necesita comprobar que hemos cumplido.
Pero esa interpretación deja fuera una parte mucho más interesante.
Los investigadores del laboratorio no revisan un descubrimiento porque estén convencidos de que es falso. Lo revisan porque es suficientemente importante como para no aceptar su validez únicamente por confianza. Y con una empresa debería ocurrir algo parecido.
No necesitas sospechar que tus copias de seguridad van a fallar para preguntarte cuándo se comprobó por última vez que podían recuperarse. Tampoco necesitas desconfiar de tu proveedor tecnológico para querer saber qué capacidad conserva tu organización sobre aquello que le has delegado, ni esperar a un incidente para entender quién recibiría el aviso, quién tomaría una decisión o qué información necesitaría Dirección para responder.
Del mismo modo, una empresa no debería necesitar una inspección para comprobar si lo que afirma sobre protección de datos coincide con la forma en la que realmente trabaja.
Una auditoría interna puede empezar mucho antes. Puede empezar simplemente cuando una dirección decide someter una de sus certezas a contraste, no para demostrar que estaba equivocada, sino para descubrir si sigue siendo cierta.
Auditar no es buscar lo que está mal.
Es contrastar lo que creemos saber.
La diferencia entre confiar en una respuesta y saber qué la sostiene
Imagina ahora una reunión de dirección cualquiera. No ha ocurrido nada, nadie está cuestionando a vuestro proveedor, no existe una reclamación sobre la mesa y la empresa trabaja con normalidad. En medio de la conversación alguien comenta:
«Tenemos copias de seguridad.»
Es una frase tranquilizadora y, en muchas reuniones, bastaría para cerrar el tema. Pero hagamos algo distinto. No vamos a discutirla. Vamos a preguntar:
¿Qué hace que esa afirmación sea cierta hoy?
Quizá alguien responda enseguida que el proveedor hace copias todos los días. Perfecto. Entonces podemos continuar preguntando cómo sabemos que esas copias podrían recuperarse si mañana realmente las necesitáramos.
Y en ese momento cambia la conversación. No porque hayamos descubierto un fallo, sino porque hemos dejado de hablar únicamente de lo que creemos que ocurre y hemos empezado a preguntarnos qué conocemos realmente.
Lo mismo sucede con otras respuestas. Si alguien dice que una determinada cuestión la controla el proveedor, la siguiente pregunta puede ser qué información recibe Dirección para saber qué está cubriendo, qué está haciendo y qué sigue necesitando una decisión por parte de la empresa. Si la respuesta es que, ante un incidente, alguien avisaría, merece la pena entender cómo llegaría ese aviso, a quién y quién tomaría el control desde ese momento.
Incluso una frase aparentemente tan clara como «protección de datos lo lleva nuestra asesoría» abre una pregunta diferente: si el conocimiento sobre cómo debe actuar la empresa permanece también dentro de la organización o vive exclusivamente fuera de ella.
Y cuando alguien afirma que los accesos están controlados, quizá lo relevante no sea discutir la afirmación, sino comprobar si la empresa podría saber hoy quién tiene acceso a qué y hasta dónde puede llegar cada persona.
Fíjate en lo que ha ocurrido. No hemos cuestionado a nadie ni hemos dado por falsa ninguna respuesta; simplemente hemos pedido que una afirmación importante pueda sostenerse con algo más que la costumbre.
Ahí cambia el sentido de una auditoría interna: la confianza deja de ser el punto final de la conversación y empieza a apoyarse en criterio.
La auditoría no convierte la confianza en desconfianza.
Convierte la confianza en criterio.
Un CEO no necesita conocer cada detalle técnico para gobernar la tecnología
Aquí suele aparecer una objeción perfectamente razonable: «yo no soy técnico».
Y no necesitas serlo.
No esperamos que un director general conozca la configuración de cada ordenador de su empresa, administre un firewall o revise personalmente cada obligación de protección de datos. Eso sería confundir gobierno con operación.
Pero existe una diferencia importante entre no conocer un detalle técnico y no saber de qué depende una decisión importante de la empresa.
No necesitas saber cómo está configurada una copia de seguridad, pero sí tiene sentido que Dirección entienda qué ocurriría si mañana necesitara recuperar información crítica y cuánto podría afectar al negocio no conseguirlo. Tampoco necesitas conocer cada permiso concedido dentro de cada plataforma, pero deberías poder saber quién tiene capacidad para realizar cambios relevantes y qué posibilidad tendría la empresa de reconstruir después lo que ocurrió.
Del mismo modo, Dirección no tiene que realizar personalmente una revisión de protección de datos, pero la organización sí debería conservar suficiente conocimiento para entender qué datos utiliza, con quién los comparte y qué decisiones está tomando sobre ellos.
Gobernar la tecnología no significa conocer cada detalle técnico. Significa conservar la capacidad de entender, preguntar y decidir.
Ese es también el punto de partida del Modelo YWEN de Gobierno de la Modernización.
La diferencia está ahí.
Y quizá por eso una auditoría interna útil no debería empezar preguntando qué sabe el departamento de IT, sino descubriendo qué capacidad conserva Dirección sobre aquello de lo que depende su empresa.
A partir de aquí empiezan las quince preguntas. No forman un examen ni buscan una puntuación; sirven para recorrer, desde Dirección, las capacidades que sostienen el control de la empresa.
Lo primero que debería saber Dirección no es qué tecnología tiene, sino de qué depende
Antes de hablar de seguridad o cumplimiento, conviene saber si la empresa entiende qué elementos sostienen realmente su actividad. Con el tiempo se incorporan herramientas, proveedores, automatizaciones y nuevas formas de trabajar, pero no siempre se reconstruye la visión completa del conjunto.
1. Si mañana llegara una nueva persona responsable de tecnología, ¿podríais explicarle qué sistemas son importantes, quién los gestiona y qué depende de ellos?
No hace falta un inventario técnico perfecto. Basta con comprobar si la organización conserva una visión suficientemente clara de cómo se sostiene. Si para reconstruirla hay que depender de varias personas, contratos antiguos o conocimiento disperso, quizá esa información existe, pero todavía no pertenece del todo a la empresa.
2. Si una persona o proveedor clave dejara de estar disponible durante unas semanas, ¿la empresa conservaría suficiente conocimiento para que otra persona pudiera hacerse cargo?
Delegar funciones es normal. Lo importante es saber si, al desaparecer temporalmente quien las gestiona, también desaparece la capacidad de entenderlas. Una organización madura no necesita saber hacerlo todo internamente, pero sí conservar el conocimiento suficiente para no quedar bloqueada.
3. Cuando Dirección toma una decisión tecnológica importante, ¿puede valorar las alternativas o depende principalmente de la recomendación de quien suministra la solución?
No se trata de comparar especificaciones técnicas, sino de poder entender qué problema se resuelve, qué dependencia se crea y qué impacto tendrá la decisión en el negocio. Recibir asesoramiento experto es razonable; renunciar al criterio propio, no tanto.
Delegar conocimiento especializado es necesario.
Delegar la capacidad de decidir con criterio no debería serlo.
Delegar un servicio no significa delegar el gobierno
Gran parte de la tecnología, el cumplimiento y la operativa de una pyme depende de terceros. No hay nada extraño en ello. La cuestión es qué capacidad conserva la empresa una vez que esas funciones ya no se gestionan directamente. Esa misma pregunta aparece cuando hablamos de soberanía del dato y supervisión de proveedores: ser propietario de la información no garantiza por sí solo conservar capacidad operativa sobre ella.
4. ¿Sabes qué funciones importantes dependen hoy de terceros y qué ocurriría si alguno dejara de estar disponible?
No todos los proveedores tienen el mismo peso. Algunos prestan servicios útiles; otros sostienen procesos sin los que la empresa apenas podría trabajar. Entender esa diferencia permite saber qué dependencias merecen más atención y cuáles deberían estar mejor preparadas.
5. Mientras tus proveedores trabajan para la empresa, ¿qué información recibe Dirección para saber qué están cubriendo y qué necesita todavía una decisión vuestra?
Recibir informes no siempre significa tener visibilidad. La pregunta es si esa información permite entender qué está funcionando, qué requiere revisión y qué decisiones siguen perteneciendo a la empresa. La supervisión empieza cuando la información sirve para decidir.
6. Si mañana tuvieras que sustituir a un proveedor importante, ¿el conocimiento necesario seguiría dentro de tu empresa?
Un proveedor puede conocer perfectamente vuestra infraestructura y hacer un trabajo excelente. La cuestión es si, al marcharse, también se llevaría la explicación de cómo funciona una parte crítica del negocio. Delegar el servicio es razonable; perder el conocimiento necesario para gobernarlo ya es otra cosa.
Tu proveedor puede gestionar una parte de la empresa.
La capacidad de entenderla debería seguir perteneciendo a la organización.
Tener una medida implantada no significa haber comprobado que funciona
Otra certeza muy habitual nace de saber que existe una herramienta o un control: copias de seguridad, firewall, antivirus, doble factor o monitorización. Pero tener una medida, saber que existe y haber comprobado que funciona son niveles diferentes de control.
7. ¿Cómo sabe Dirección que las medidas importantes siguen funcionando y cubren realmente los sistemas de los que depende la actividad?
No hace falta entrar en configuraciones. A veces basta con una pregunta muy simple: ¿cuándo fue la última vez que alguien comprobó que esa medida hacía realmente lo que esperamos de ella? Ahí empieza la diferencia entre tener algo implantado y saber que sigue siendo útil.
8. Si alguien entrara ahora mismo en uno de vuestros sistemas sin permiso, ¿cómo os enteraríais y a quién llegaría el aviso?
Puede existir una herramienta, un proveedor o un equipo interno encargado de detectarlo. La pregunta para Dirección es si conoce la cadena completa: cómo aparece la alerta, quién la recibe y qué ocurre después. Detectar un problema y conseguir que la empresa tome conciencia de él no siempre son la misma cosa.
9. Si un incidente empezara a extenderse por la empresa, ¿está claro quién toma el control y quién decide qué hacer?
En cuanto un incidente afecta al negocio, deja de ser únicamente técnico. Hay que decidir, coordinar, comunicar y recuperar. Una empresa puede tener buenas herramientas y, aun así, perder capacidad de respuesta si nadie tiene claro quién asume la dirección de la situación.
Tener una medida, saber que existe y haber comprobado que funciona
son tres niveles distintos de control.
Saber qué puede fallar también forma parte del control
Mientras todo funciona, muchas dependencias permanecen invisibles. A veces basta con una ausencia, una caída o un incidente para descubrir qué parte de la actividad estaba sostenida por algo que nunca habíamos considerado crítico. La dependencia digital puede convertir elementos aparentemente secundarios en puntos críticos para el negocio. Revisarlo antes permite entender mejor qué capacidad real tiene la empresa para continuar.
10. Si mañana dejara de funcionar aquello de lo que más depende vuestra actividad, ¿sabéis qué parte del negocio se pararía primero?
No hace falta imaginar un escenario extremo. Basta con identificar qué sistema, servicio o persona condiciona más la operativa diaria y qué impacto tendría su ausencia. Una dirección no necesita predecir todos los fallos, pero sí entender dónde se concentraría el daño si algo importante deja de estar disponible.
11. Mientras ese sistema no estuviera disponible, ¿tenéis claro cómo mantendríais lo esencial y cómo volveríais después a una situación operativa?
Continuidad no significa evitar cualquier interrupción. Significa saber qué mantener, qué priorizar y cómo recuperar. Precisamente por eso, las recomendaciones de INCIBE insisten en probar y revisar periódicamente los procedimientos de continuidad y recuperación, no limitarse a tenerlos definidos sobre el papel. Si la respuesta depende de improvisar en el momento, quizá el riesgo no esté en la tecnología, sino en la falta de una decisión previa.
12. Si la recuperación dependiera de una persona concreta y esa persona no estuviera disponible, ¿alguien más podría continuar?
Hay procesos que parecen sólidos hasta que descubrimos que solo una persona sabe cómo ejecutarlos. El conocimiento crítico no debería desaparecer con una ausencia. Si una capacidad importante depende exclusivamente de una persona, quizá la organización todavía no la ha convertido en una capacidad propia.
Una empresa no controla solo aquello que funciona.
También necesita entender qué hará cuando deje de hacerlo.
La última pregunta ya no es qué sabes, sino qué podrías demostrar
Llega un momento en el que una afirmación necesita sostenerse sobre algo que la organización pueda mostrar, explicar o reconstruir. Es la misma diferencia que encontramos cuando analizamos cómo demostrar la seguridad de una empresa más allá de las herramientas que tiene contratadas.
13. Si alguien te pidiera justificar quién puede acceder a una información importante, ¿podríais reconstruir quién tiene acceso, qué puede hacer y por qué lo necesita?
No se trata solo de tener usuarios y permisos definidos. Se trata de saber si la empresa puede explicar esa lógica y comprobar que sigue siendo adecuada, algo que ya analizamos al hablar del control de accesos y de quién puede actuar dentro de la empresa.
14. Si un cliente o empleado preguntara qué datos conserva vuestra empresa sobre él y qué se ha hecho con una solicitud suya, ¿podríais reconstruir el recorrido?
Aquí la conversación deja de ser puramente técnica. La empresa necesita saber qué datos utiliza, dónde están, con quién se comparten y qué decisiones se han tomado sobre ellos. Si esa historia no puede reconstruirse, la organización depende demasiado de la memoria y demasiado poco de la evidencia.
15. Si mañana Dirección tuviera que explicar por qué considera adecuado un proveedor, una medida de seguridad o un proceso, ¿qué tendría delante para sostener esa decisión?
Esta pregunta resume buena parte de la conversación. No basta con recordar que algo se aprobó en su momento. Lo importante es saber qué información permite afirmar hoy que aquella decisión sigue siendo válida. Ahí la evidencia deja de ser documentación para convertirse en una herramienta de dirección conecta directamente con el principio de responsabilidad proactiva que exige a las organizaciones no solo cumplir, sino poder demostrarlo.
Creer que algo está controlado es una percepción.
Poder demostrar por qué lo está es una capacidad.
Después de estas 15 preguntas no hay un aprobado ni un suspenso
Llegados hasta aquí sería fácil cometer un error: contar cuántas respuestas han sido claras y cuántas no, asignar una puntuación y convertir todo el recorrido en un examen.
No es esa la intención.
Las respuestas no componen una nota. Dibujan una fotografía de lo que la organización puede explicar hoy y de aquello que todavía merece una revisión.
Y después de hacer ese ejercicio pueden ocurrir tres cosas.
Puede que todo esté correctamente controlado
Quizá las respuestas existan, los proveedores estén bien supervisados, las medidas funcionen y la empresa pueda justificar sus decisiones sin dificultad.
Perfecto.
Eso también es una buena auditoría.
Confirmarlo también aporta valor: permite mantener una decisión sabiendo por qué sigue siendo adecuada.
La diferencia es que esa decisión ya no se mantiene por inercia, sino por una revisión consciente.
Puede que aparezca algo que no esperabas
Tal vez una copia exista, pero nadie recuerde cuándo se restauró por última vez. Quizá el proveedor conozca perfectamente vuestra infraestructura, pero dentro de la empresa nadie tenga una visión completa de ella. O puede que una medida esté implantada y, aun así, Dirección no sepa cómo se comprueba que sigue funcionando.
Nada de eso convierte automáticamente la situación en una crisis.
El valor de revisar está precisamente en detectar una diferencia antes de que tenga consecuencias. En ese momento la empresa gana algo muy útil: información para decidir qué mantener, qué corregir y qué merece una comprobación más profunda.
Puede que la respuesta sea simplemente «no lo sé»
Y esta posibilidad quizá sea la más interesante.
No saber una respuesta no significa automáticamente que algo esté mal. Puede indicar que una función está correctamente delegada, que la información existe pero no está en ese momento sobre la mesa o que hemos encontrado una zona que merece revisión.
Todavía no sabemos cuál de las tres.
Por eso la respuesta «no lo sé» no cierra la conversación: indica dónde conviene profundizar antes de decidir.
No saber todavía no es un diagnóstico.
Es el principio de una buena pregunta.
Por eso algunas conversaciones tienen que empezar en Dirección
Tu responsable de tecnología, tu asesor de protección de datos o un proveedor especializado sabrán más que Dirección sobre muchos detalles concretos. Así debe ser.
El valor de Dirección no está en sustituir ese conocimiento, sino en conservar una visión suficiente para decidir cuando las respuestas de distintas áreas tienen que convertirse en una sola decisión empresarial.
Hay preguntas, sin embargo, que siguen perteneciendo a la empresa: de qué depende el negocio, qué decisiones no pueden quedar fuera de su alcance y qué información necesitaría para actuar cuando algo cambie.
Son preguntas de dirección.
Gobernar no consiste en tener personalmente todas las respuestas, sino en saber dónde están, quién responde por ellas y cuándo necesitan volver a la mesa de dirección.
Por eso, cuando en YWEN analizamos una empresa, empezamos por Dirección. Queremos entender qué visión conserva sobre sus dependencias, qué decisiones siguen bajo su alcance y dónde hace falta profundizar antes de sacar conclusiones.
No partimos de la conclusión de que existe un problema; primero necesitamos saber si hay algo que realmente merece atención.
Una auditoría útil no termina diciendo si tu empresa está bien o mal
Después de revisar estas preguntas quizá confirmes que la empresa está bien gobernada, aparezca una exposición concreta o descubras que falta información antes de decidir.
Cualquiera de los tres escenarios mejora la posición desde la que Dirección decide.
Ahí está el valor de la revisión: sustituir una percepción general por una posición que Dirección pueda explicar con precisión:
«Sé qué está controlado, por qué lo considero así y qué tendría que revisar si dejara de estarlo.»
La semana pasada hablábamos de cómo las decisiones también envejecen. Esta semana hemos dado un paso más: no basta con revisar las decisiones; también necesitamos revisar las certezas que hemos construido alrededor de ellas.
Porque una organización puede seguir utilizando la misma tecnología, trabajando con el mismo proveedor y manteniendo los mismos procedimientos y, aun así, haber cambiado profundamente.
La revisión introduce una pausa en esa normalidad y obliga a mirar de nuevo aquello que llevaba tiempo fuera de la conversación.
Al final, el cambio es sencillo:
Una certeza revisada vale más que una certeza repetida.
Si después de revisar nada necesita cambiar, también habrás obtenido una respuesta valiosa: aquello que permanece lo hace por una razón que la empresa puede explicar.
La próxima vez que alguien diga en una reunión «eso está controlado», no hace falta llevarle la contraria.
Basta con hacer una pregunta:
¿Qué nos permite estar seguros de que sigue siendo verdad hoy?
Y escuchar la respuesta.
En YWEN entendemos esta revisión como una conversación de Dirección.
Su utilidad está en ordenar lo que la empresa sabe, identificar dónde necesita más información y decidir si existe algo que merece avanzar.
No empezamos juzgando herramientas ni proveedores.
Puede que el resultado confirme el modelo actual, puede que aparezca algo que merezca atención o puede que falte información para saberlo.
Antes de cambiar nada, conviene saber qué merece realmente ser revisado.
Si quieres recorrer estas preguntas sobre tu propia empresa, podemos hacerlo contigo.
El objetivo es sencillo: averiguar si existe algo que realmente merezca vuestra atención.
🟣 LLÉVATE ESTA PREGUNTA A TU PRÓXIMA REUNIÓN DE DIRECCIÓN
¿Qué cosas damos hoy por ciertas sobre nuestra empresa que hace demasiado tiempo que nadie comprueba?
Una auditoría interna es una revisión que permite contrastar si aquello que la organización considera controlado sigue respondiendo a la realidad actual. No debería limitarse a buscar errores o revisar documentación, sino ayudar a Dirección a entender qué conoce, qué ha delegado y qué evidencias sostienen sus decisiones.
No necesariamente. Una auditoría puede confirmar que una decisión sigue siendo adecuada, detectar una diferencia que merece revisión o simplemente revelar que determinada información no está disponible en ese momento para Dirección. Los tres resultados aportan información útil para decidir.
No necesita conocer configuraciones técnicas ni administrar herramientas. Sí debería poder entender de qué sistemas depende la actividad, qué funciones están delegadas, quién toma determinadas decisiones, qué ocurriría ante un incidente y qué información tendría disponible para justificar una decisión importante.
Delegar una función permite que especialistas internos o externos gestionen determinadas áreas. Sin embargo, la empresa sigue necesitando conservar capacidad suficiente para entender qué se está haciendo, supervisar los aspectos relevantes y tomar decisiones cuando sea necesario.
Una medida puede existir sin que nadie haya comprobado recientemente si cumple la función esperada. Tener una herramienta, saber que está instalada y haber validado que funciona son niveles distintos de control.
Cuando cambian el negocio, los proveedores, las personas, los sistemas o las dependencias de la organización. Una decisión puede seguir siendo correcta con el paso del tiempo, pero debería poder justificarse de nuevo cuando el contexto cambia.
