Listo para la fiscalización
Una fiscalización no se prepara cuando llega el requerimiento. Se prepara manteniendo el cumplimiento en un estado donde la respuesta ya existe y solo hay que imprimirla.
Este capítulo cierra la ruta de la Ley 21.663 con las tres cosas que hay que tener andando de forma permanente: un proceso para atender requerimientos, una revisión interna periódica y un reporte a la alta dirección.
El proceso para atender requerimientos
Sección titulada «El proceso para atender requerimientos»La ley pide disponer de un proceso para atender fiscalizaciones y requerimientos de la ANCI o de la autoridad sectorial, con registro de comunicaciones y plazos. Es un requisito modesto de escribir y que casi nadie tiene.
Necesita definir tres cosas:
Quién recibe. Un punto de contacto formal para la ANCI. Si eres OIV, el delegado de ciberseguridad es la contraparte natural — designarlo es un deber de la ley por sí mismo.
Cómo se registra. Cada comunicación recibida y enviada, con fecha. Un requerimiento con plazo que llegó a un correo personal y nadie más vio es el escenario que este proceso existe para evitar.
Quién responde y en cuánto. Con un plazo interno más corto que el legal, para tener margen de revisión.
La revisión interna periódica
Sección titulada «La revisión interna periódica»La forma de no llegar nunca desprevenido es revisar el cumplimiento antes que el fiscalizador. En la plataforma eso significa volver a evaluar el marco cada cierto tiempo, no dejar la auditoría del diagnóstico congelada.
Una cadencia que funciona: revisión completa anual, y revisión parcial trimestral sobre lo que cambió — nuevos sistemas, nuevas medidas, requisitos que quedaron en “No sé”.
El asistente Cerrar el ciclo y planificar el siguiente está hecho para eso: toma tu programa, revisa cómo quedó el período y ayuda a planificar el siguiente. Es la diferencia entre un cumplimiento que se sostiene y uno que se degrada calladamente entre auditorías.
Prepararse cuando ya llegó
Sección titulada «Prepararse cuando ya llegó»Si el requerimiento ya está sobre la mesa, el asistente Prepararse para una fiscalización trabaja sobre un diagnóstico existente y te ayuda a ordenar la respuesta: qué está cubierto, qué está débil y qué falta.
No inventa cumplimiento — no existe herramienta que haga eso — pero evita el peor escenario, que es descubrir el estado real recién cuando hay que declararlo.
Qué entregar
Sección titulada «Qué entregar»Para una fiscalización de la Ley 21.663, el paquete razonable tiene cuatro piezas, y todas salen de lo que ya construiste:
- El documento que declara tu condición frente a la ley y los antecedentes de la calificación.
- El estado de cumplimiento por requisito, con la evidencia asociada. Sale del reporte por marco de tu auditoría.
- El registro de incidentes del período, con sus cronologías de reporte. Esta es la parte donde la disciplina de registrar los plazos se paga sola.
- La evidencia de los deberes permanentes: simulacros, capacitaciones, revisiones de la normativa de la ANCI, revisiones de accesos. Todo lo que la ley pide “de forma continua”.
La plataforma permite exportar el estado por marco y las evidencias asociadas, así que el trabajo de armar el paquete es de revisión, no de recolección.
El reporte a la alta dirección
Sección titulada «El reporte a la alta dirección»Es un requisito explícito de la ley, no una cortesía: informar periódicamente a la alta dirección sobre el estado de cumplimiento y la exposición al régimen de infracciones y sanciones.
Un reporte que funciona es corto y responde cuatro preguntas:
- Dónde estamos: avance y brechas por marco.
- Qué cambió desde el reporte anterior.
- Qué nos expone: las brechas con consecuencia legal directa, no las 40 de la lista.
- Qué se necesita: decisiones o presupuesto que solo la dirección puede destrabar.
Los tableros de Analíticas dan los números; el juicio de qué destacar es tuyo. Guarda cada reporte como documento: la evidencia del deber de informar es el reporte mismo, con su fecha y su destinatario.
Cordillera reporta al comité de directorio cada trimestre, en una página. Marco mantiene además una carpeta de documentos con los reportes anteriores: si mañana llega un requerimiento de la ANCI, la evidencia de que la dirección estaba informada no hay que construirla, está fechada y firmada desde el primer trimestre.
Y ahora, la otra ley
Sección titulada «Y ahora, la otra ley»Si tu empresa está sujeta a la Ley 21.663, casi con certeza también trata datos personales a escala, y la Ley 21.719 le aplica con la misma fuerza. La buena noticia es que buena parte de lo que construiste acá — la seguridad de la información, la gestión de incidentes, el inventario de activos — sirve directamente allá.
La ruta completa está en Cumplir la Ley 21.719.
Este manual explica cómo usar Preceptix para organizar tu cumplimiento; no es asesoría legal. El alcance de un procedimiento de fiscalización y la suficiencia de tu respuesta deben evaluarse con tu asesor jurídico.