¿Para qué me sirve esta actividad?📚
Esta actividad tiene como propósito definir y documentar la metodología formal que utilizará tu empresa para identificar, evaluar, monitorear y mantener actualizados todos los requisitos legales, regulatorios, contractuales y normativos relacionados con la continuidad de tus productos, servicios y actividades operativas.
Te ayudará a alinear el SGCN al contexto real del negocio, asegurar que los parámetros operativos de continuidad (como tiempos máximos de recuperación o acuerdos de nivel de servicio - SLA) respondan a las exigencias legales y de tus clientes, y a proporcionar las reglas y la estructura procedimental necesaria para alimentar la Matriz de Evaluación de Requisitos Legales y Contractuales.
¿Qué tengo que hacer? 🚀
💡Puedes tomar el template base que te proporcionamos, y personalizarlo según la estructura, responsabilidades y contexto operativo real de tu empresa.
Al trabajar en el template te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance.
Establece que el objetivo principal es definir y documentar la metodología formal para identificar los requisitos legales y contractuales aplicables a tu organización.
Este procedimiento debería abarcar a todas las áreas, procesos estratégicos, operativos y de soporte, así como a las partes interesadas relevantes al SGCN.
Identificación y monitoreo de fuentes.
Define un mecanismo proactivo y recurrente para detectar cambios en leyes, normas de la industria o nuevos compromisos contractuales antes de que afecten la operación.
Asigna el rol o área encargada de realizar este monitoreo, y define los medios que se utilizan o utilizarán como fuentes de información para conocer novedades o actualizaciones, como por ejemplo boletines, diarios o páginas web oficiales, contratos, etcétera.
Define también la frecuencia con la que realizarán este rastreo.
Análisis de los requisitos.
Establece cómo el área responsable revisa los compromisos de continuidad (disponibilidad del servicio, RTO, penalizaciones o simulacros) al generar o renovar contratos con clientes y proveedores clave.
Registro y documentación en la matriz.
Define la metodología para registrar formalmente cada norma o contrato en la Matriz de Evaluación de Requisitos Legales y Contractuales.
Nosotros te proponemos el formato de la matriz para facilitar un registro y seguimiento adecuado, pero si cuentas con otro documento o herramienta para realizar esto, debes indicar cómo se realiza el registro pertinente en este procedimiento.
Evaluación de cumplimiento y análisis de brechas.
Ya sea por nuevos requerimientos legales o contractuales, o por revisión periódica de los ya existentes y mapeados por la organización, es importante evaluar el cumplimiento y las evidencias con las que cuente la empresa.
Aquí debes detallar cómo el responsable o área asignada compara el requisito exigido contra la capacidad real de la empresa.
Si existe una brecha o incumplimiento, recomendamos ampliamente llevarlo al Plan de Tratamiento de Acciones Correctivas y de Mejora, asignando un presupuesto y fecha límite.
Comunicación y actualización de documentos.
Establece la obligación de actualizar los documentos centrales del SGCN u otros asociados (como el Análisis de Impacto en el Negocio (BIA), Matriz de Riesgos, Plan de Recuperación ante Desastres, Plan de Continuidad) ante cualquier novedad legal, o cambio normativo o contractual.
Revisión periódica de cumplimiento.
Define la periodicidad, la cual no debería exceder una vez al año, con la que se evalúa el cumplimiento integral de los requisitos como parte de las auditorías internas y la revisión por la Alta Dirección y Comité de Continuidad.
Completa el versionado del documento.
Al finalizar, ingresa la información de elaboración, aprobación, fecha y clasificación de la información.
💡 Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Involucra al equipo Legal o de Cumplimiento desde el inicio. Trabaja junto al área jurídica para validar que los medios y fuentes de monitoreo contemplen la legislación nacional e internacional aplicable.
Mantén alineados los documentos del SGCN. Revisa que los tiempos de recuperación (RTO) o métricas de disponibilidad definidos en los contratos coincidan con los documentos internos de la organización y la factibilidad operativa.
Asegura la trazabilidad de las brechas. Siempre que identifiques un requisito que actualmente no cumples al 100%, vincúlalo de inmediato al Plan de Tratamiento de Acciones Correctivas para que cuente con seguimiento formal.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.