¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a documentar, analizar y dar seguimiento a los hallazgos, no conformidades, observaciones u oportunidades de mejora detectadas dentro de tu empresa.
El Plan de Tratamiento de Acciones Correctivas y de Mejora es importante porque demuestra que tu empresa no ignora los incumplimientos o debilidades identificadas. Por el contrario, permite evidenciar que las analiza, define medidas concretas y realiza seguimiento hasta confirmar su cierre. También sirve para mantener trazabilidad sobre los hallazgos provenientes de auditorías internas, auditorías externas, evaluaciones de clientes o proveedores y actividades de mejora continua.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar el estado real de los hallazgos de tu empresa, especialmente los obtenidos durante auditorías (internas y externas), revisiones internas o actividades de mejora. El template editable contiene campos para documentar cada etapa, desde la identificación del hallazgo hasta la revisión de la eficacia de las acciones aplicadas.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Registra correctamente el hallazgo u oportunidad de mejora.
Cada fila debe corresponder a una no conformidad, observación u oportunidad de mejora diferente.
Describe el hallazgo de forma clara y objetiva, evitando explicaciones ambiguas como “falta de cumplimiento” o “proceso incompleto”.
Indica la fuente que permitió identificarlo. El template contempla opciones como:
Auditoría Interna
Auditoría Externa
Auditoría Especial de Cliente o Proveedor
Mejora continua del SGPI, pero debes incluir más o ajustar lo que consideres necesario
Selecciona el tipo de evento que corresponda, por ejemplo:
No Conformidad Menor
No Conformidad Mayor
Observación
Oportunidad de Mejora Externa
Proyecto de Mejora Interna
Indica si se trata de un evento recurrente. Esto permite detectar si una acción anterior fue insuficiente o si existe una causa estructural que todavía no fue resuelta.
Relaciona el hallazgo con el requisito aplicable y su evidencia.
Completa el requisito, control, cláusula contractual, obligación legal o procedimiento interno relacionado con el hallazgo.
Registra la evidencia que demuestra la situación detectada. Puede ser un reporte de auditoría, una captura de pantalla, un documento inexistente, un ticket, una configuración técnica, una entrevista o un registro operativo.
Analiza la causa raíz.
La causa raíz debe explicar qué originó realmente el hallazgo, no limitarse a repetir su descripción. Y para ello puedes utilizar herramientas como los “5 Por qué” para identificar si el problema se produjo por falta de capacitación, ausencia de procedimientos, controles insuficientes, roles poco claros, configuraciones inadecuadas, falta de recursos o una deficiencia de supervisión.
Diferencia la causa raíz de la acción correctiva. La causa responde por qué ocurrió el problema; la acción correctiva explica qué hará la empresa para resolverlo.
💡Corregir únicamente el síntoma puede hacer que el mismo incumplimiento se repita. Cuando una organización identifica una causa raíz y adopta medidas para tratarla, puede demostrar una gestión más diligente y sostenida de sus obligaciones de privacidad.
Define acciones correctivas y preventivas.
Las acciones correctivas deben resolver la situación identificada o reducir su impacto inmediato. Mientras que las preventivas deben ayudar a evitar que el problema se repita, mediante cambios en procedimientos, controles, capacitaciones, revisiones periódicas, automatizaciones o supervisión adicional.
Las acciones deben ser concretas, realistas y verificables. Evita expresiones generales como “mejorar el proceso” o “capacitar al equipo” sin detallar qué se realizará.
Cuando corresponda, vincula las acciones con otros documentos del SGPI.
Asigna responsables y actualiza el estatus.
Designa a la persona, puesto o área responsable de implementar y dar seguimiento a las acciones. Puedes asignar más de un responsable cuando la acción requiera participación de distintas áreas, pero procura que exista una persona principal encargada de coordinar el avance.
Actualiza el estatus de la acción según corresponda. Por ejemplo con opciones como identificado, en proceso o terminado.
“Terminado” debe utilizarse cuando la acción fue implementada. La confirmación de que fue eficaz se registra posteriormente en el estatus de revisión.
Define fechas y revisiones realistas.
Registra la fecha de identificación del hallazgo, es decir, la fecha en la que fue comunicado o detectado.
Define una fecha de primer cierre realista para la implementación de la solución inicial.
Establece un período de revisión para comprobar si las acciones correctivas y preventivas fueron eficaces. Este período puede ser trimestral, semestral u otro plazo adecuado según la complejidad del caso.
Completa la fecha de próxima revisión y actualiza el estatus de revisión.
No cierres definitivamente una acción solo porque se implementó una medida. Debes verificar si esa medida corrigió el problema y evitó que vuelva a producirse.
💡Si una acción no puede completarse dentro del plazo previsto, no la dejes abierta sin explicación. Documenta el motivo del retraso, la nueva fecha estimada y las medidas temporales aplicadas para controlar el riesgo mientras se completa la solución.
Completa el versionado del documento.
Al finalizar, completa la información de código, elaboración, aprobación, fecha y clasificación de la información.
Considera clasificar este documento como información confidencial, sensible u organizacional, ya que puede contener detalles sobre incumplimientos, controles internos, riesgos o debilidades operativas.
Nuestro template está estructurado con campos para registrar el hallazgo, su causa raíz, acciones, responsables, fechas y revisión de eficacia, pero recuerda que debes ajustarlo al contexto real de tu empresa.
💡 Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
Recomendaciones ✅
Mantén los reportes de auditoría, evidencias técnicas y documentos que respaldan cada cierre en una ubicación centralizada y con acceso restringido.
Define internamente qué evidencia será necesaria para considerar eficaz cada acción, por ejemplo: una política aprobada, una capacitación realizada, una configuración implementada o un resultado de prueba satisfactorio.
No utilices este plan como sustituto del procedimiento de gestión de incidentes. Si el hallazgo revela una vulneración o posible brecha de datos personales, debe activarse además el procedimiento de incidentes que corresponda.
Evita incluir en este documento detalles técnicos excesivos sobre vulnerabilidades explotables. Cuando sea necesario, referencia reportes técnicos o evidencias con acceso controlado.
Revisa el plan durante las sesiones del Comité de Privacidad, especialmente cuando existan no conformidades mayores, eventos recurrentes, riesgos altos o acciones vencidas.
Conserva trazabilidad cuando modifiques una fecha, responsable, acción o estado, para demostrar por qué se realizó el cambio y quién lo aprobó.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.