¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer el procedimiento que debe seguir tu empresa cuando se detecte una no conformidad, hallazgo, desviación, incumplimiento u oportunidad de mejora relacionada con el SGPI.
Este documento es importante porque demuestra que la empresa no se limita a identificar problemas, sino que cuenta con un mecanismo formal para corregirlos, conservar evidencia de las acciones realizadas y fortalecer progresivamente la seguridad y privacidad de la información.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar cómo tu empresa gestiona realmente los incumplimientos, hallazgos y oportunidades de mejora.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance del procedimiento.
Verifica que el objetivo del documento se enfoque en gestionar acciones correctivas, preventivas y de mejora continua relacionadas con la seguridad y privacidad de la información.
Asegúrate de que el alcance cubra desde la identificación de una no conformidad o desviación hasta su implementación y monitoreo.
Define los perfiles o áreas que participarán en el proceso, según la estructura real de tu empresa.
Revisa las no conformidades y/o incumplimientos.
El template contempla dos fuentes principales de identificación de hallazgos: resultados de auditorías y cualquier otra desviación o incumplimiento identificado por el personal.
Evita que los reportes queden únicamente en correos, mensajes o conversaciones informales sin un responsable asignado y un seguimiento oportuno.
Clasificación del hallazgo.
Analiza el impacto de cada situación sobre el SGPI y las operaciones de la empresa. Y posteriormente, prioriza la atención según su importancia, asegurando que las no conformidades mayores se gestionen primero.
Considera si el hallazgo afecta datos personales, sistemas críticos, accesos privilegiados, proveedores o cumplimiento normativo.
Analiza la causa raíz.
Utiliza el método de los 5 porqués u otra metodología que la empresa considere adecuada para identificar el origen real de la no conformidad o hallazgo.
Sin importar el método, el análisis realizado para cada hallazgo debe quedar documentado ya que funge como evidencia de cumplimiento durante auditorías.
El objetivo es evitar soluciones superficiales y definir acciones que eliminen o reduzcan la causa real que produjo el problema.
Una vez identificada la causa raíz, evalúa qué acciones correctivas y/o preventivas resultan adecuadas.
Plan de Tratamiento de Acciones Correctivas y de Mejora.
Las acciones correctivas, preventivas y/o de mejora deben documentarse y tener un seguimiento adecuado, y para recomendamos usar el Plan de Tratamiento de Acciones Correctivas y de Mejora.
Asegúrate de completar toda la información relevante, como la fuente del hallazgo, la evidencia de su identificación, su causa raíz, responsables, fechas, impacto potencial o real sobre datos personales, etcétera.
La información debe ser suficiente para que cualquier persona autorizada pueda comprender qué ocurrió, qué se decidió y qué falta por ejecutar.
Implementación de las acciones correctivas y/o preventivas.
El responsable asignado debe ejecutar las acciones dentro de las fechas definidas y solicitar apoyo a otras áreas cuando sea necesario.
Si la acción implica cambios en procesos que tratan datos personales, revisa y actualiza la documentación relacionada, como políticas, procedimientos, análisis de riesgos o evaluaciones de impacto, cuando corresponda.
El Oficial de Protección de Datos Personales o rol equivalente dentro de tu empresa debe verificar los cambios que puedan afectar la privacidad.
⚖️ Recomendación legal: Si la acción modifica qué datos personales se tratan, para qué se utilizan, con quién se comparten o cómo se gestionan los derechos de los titulares, revisa si también corresponde actualizar avisos de privacidad, contratos o documentación de cumplimiento.
Registro de resultados y conservación de evidencia.
Documenta los resultados de las acciones implementadas y conserva evidencia que permita demostrar las acciones realizadas y el resultado obtenido.
La evidencia puede incluir procedimientos actualizados, tickets, configuraciones, reportes de auditoría, capturas, registros de capacitación, aprobaciones internas, etcétera.
Revisa la eficacia de las soluciones.
De manera periódica, revisa si las acciones implementadas solucionaron efectivamente la no conformidad o desviación. Y si el problema persiste o vuelve a ocurrir, analiza nuevamente la causa raíz e identifica las nuevas acciones correctivas pertinentes.
Cuando sea necesario, informa al DPO, Comité de Privacidad y/o Alta Dirección sobre los resultados insatisfactorios de la implementación de dichas acciones.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado para guiar la revisión, clasificación, análisis, implementación y verificación de acciones correctivas y de mejora, pero recuerda que debes ajustarlo a la realidad operativa de tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Define un canal único para reportar desviaciones o incumplimientos, como un correo, formulario o sistema de tickets, para evitar que los hallazgos se pierdan en comunicaciones informales.
Cuando una no conformidad evidencie una posible vulneración de datos personales, activa en paralelo el Procedimiento de Gestión de Incidentes y evalúa las obligaciones de notificación que correspondan.
Establece alertas internas para detectar acciones próximas a vencer y elevar oportunamente los retrasos que requieran recursos o decisiones del Comité de Privacidad y/o la Alta Dirección.
Limita el acceso al Plan de Tratamiento de Acciones Correctivas y de Mejora, ya que puede contener información sensible sobre debilidades, riesgos o controles internos.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.