¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a evaluar si los objetivos de privacidad de tu Sistema de Gestión de Privacidad (SGPI), así como las políticas, procedimientos y controles de privacidad implementados por tu empresa, están funcionando de forma efectiva.
Este listado te permite definir qué se medirá, cómo se calculará, con qué periodicidad se revisará, qué resultado se considera aceptable y qué acciones se tomarán cuando ese resultado no se alcance.
Este documento es importante porque ayuda a demostrar que tu empresa no gestiona la privacidad solo mediante documentos, sino que monitorea el desempeño de su SGPI, identifica oportunidades de mejora y toma decisiones basadas en resultados.
¿Qué tengo que hacer? 🚀
💡Este documento debe estar alineado a la realidad operativa de tu empresa y a los objetivos de privacidad definidos en tu Política del SGPI. El template editable cuenta con una sección para definir las métricas y otra para registrar sus resultados según la periodicidad establecida.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Define métricas relacionadas con tus objetivos de privacidad.
Cada métrica debe estar vinculada a un objetivo de privacidad definido por tu empresa.
Puedes medir, por ejemplo, la atención de solicitudes de titulares, la realización de capacitaciones, el cierre de vulnerabilidades, la actualización del inventario de datos personales o la gestión de incidentes.
Un mismo objetivo puede tener más de una métrica asociada, siempre que cada una mida un aspecto distinto y útil.
Define una fórmula clara y un parámetro aceptable.
Asigna un ID que permita identificar fácilmente cada métrica.
Describe qué mide y establece una fórmula clara para calcular el resultado.
Define un parámetro aceptable, como un porcentaje mínimo, máximo o rango esperado.
El resultado debe ser coherente con la fórmula y con la línea base registrada. Por ejemplo, si se atendieron 8 de 10 solicitudes dentro del plazo, el resultado debería ser 80%.
💡No es necesario fijar parámetros imposibles de cumplir. Una meta razonable y monitoreada es más útil que una meta excesiva que genere incumplimientos internos constantes sin aportar mejoras reales.
Define una periodicidad realista.
Indica si la medición será mensual, trimestral, semestral, anual u otra frecuencia adecuada.
La periodicidad debe considerar la frecuencia con la que ocurre el proceso y la capacidad real de la empresa para obtener información confiable.
No todas las métricas necesitan revisarse con la misma frecuencia. Por ejemplo, una métrica sobre incidentes puede requerir revisión mensual, mientras que una capacitación general puede medirse de forma semestral o anual.
Registra la línea base y los resultados.
La línea base debe contener los datos utilizados para realizar el cálculo de la métrica.
El resultado debe reflejar la aplicación de la fórmula definida.
Registra información suficiente para que cualquier persona pueda comprender de dónde surgió el resultado.
Asigna responsables de medición y análisis.
Define quién recopilará la información necesaria para aplicar la métrica.
También identifica quién analizará el resultado, determinará si se encuentra dentro del parámetro aceptable y propondrá acciones cuando sea necesario.
Estos responsables deben estar alineados con los roles definidos en el SGPI y tener acceso a la información requerida para cumplir sus tareas.
Define acciones correctivas cuando corresponda.
Si el resultado se encuentra fuera del parámetro aceptable, indica si requiere acciones correctivas.
Describe la medida que se implementará para mejorar el resultado, por ejemplo, capacitación adicional, ajustes en un proceso, asignación de recursos, mejoras tecnológicas o revisión de responsables.
Establece una próxima fecha de revisión para verificar si la acción aplicada fue efectiva.
💡Un resultado inferior al esperado no significa necesariamente que la empresa incumpla la normativa. Lo relevante es poder demostrar que identificó el desvío, analizó la causa y adoptó acciones para corregirlo.
Completa el versionado del documento.
Al finalizar, completa la información de código, elaboración, aprobación, fecha y clasificación de la información.
Considera clasificar este documento como información organizacional, confidencial o sensible, según el tipo de resultados y controles que refleje.
Para complementar el conocimiento de este artículo, recomendamos ampliamente también leer el siguiente: Definición de objetivos y métricas para un sistema de gestión.
Nuestro template está estructurado con campos para definir, aplicar y dar seguimiento a las métricas e indicadores del SGPI, pero recuerda que debes ajustarlo al contexto real de tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
Recomendaciones ✅
Comienza con pocas métricas relevantes y aumenta su cantidad solo cuando la empresa tenga capacidad para medirlas y analizarlas correctamente.
Conserva la evidencia que respalda cada resultado, como reportes, registros de asistencia, tickets, actas, tableros, capturas o resultados técnicos.
Presenta los resultados relevantes durante reuniones del Comité de Privacidad o de la Alta Dirección para facilitar decisiones sobre recursos, prioridades y acciones correctivas.
Revisa que las fórmulas, parámetros y responsables sigan siendo adecuados cuando cambien los procesos, sistemas, riesgos o controles de la empresa.
Evita modificar resultados históricos sin conservar trazabilidad sobre el cambio realizado y su justificación.
Verifica que las acciones correctivas registradas se reflejen, cuando corresponda, en los planes de tratamiento de riesgos, planes de remediación o actividades de mejora del SGPI.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.