Tableros y analítica

Todos los tableros de cumplimiento del mundo sufren el mismo problema: muestran veinte gráficos y ninguno responde la pregunta que uno tenía. La forma de sacarles provecho no es mirarlos todos, sino saber qué pregunta contesta cada uno y visitarlos con esa pregunta en la mano.

Preceptix tiene tres pantallas de lectura, y responden cosas distintas:

• Analíticas (/analytics) responde ¿cómo estamos en general?
• Resumen (/recap) responde ¿cómo va cada auditoría?
• X-rays (/x-rays) responde ¿qué tengo mal armado?

Analíticas: la salud del programa

Es la pantalla de portada, en la sección Visión general, y se puede acotar a un dominio para leer una filial o una gerencia por separado.

Arriba están los contadores: cuántos dominios, marcos, controles aplicados, políticas, excepciones de seguridad y aceptaciones de riesgo tienes. Sirven una vez al mes, para dimensionar.

Lo que de verdad hay que mirar cada semana son los números que señalan deuda:

• Controles con ETA vencido. Medidas cuya fecha comprometida ya pasó y que no están activas. Es el indicador más honesto de si el plan se está ejecutando o solo se escribió.
• Controles P1 no activos. Lo que declaraste como máxima prioridad y todavía no opera.
• Controles por estado. La distribución entre Para hacer, En progreso, En espera, Activo, Degradado y Obsoleto. Si la barra de Para hacer no baja de un mes a otro, el problema no es de la plataforma.
• Evidencias caducadas. Respaldos que ya vencieron. Cada uno es un requisito que hoy no puedes demostrar.
• Requisitos no conformes. El total de brechas abiertas en todas tus auditorías.

Del lado del riesgo tienes el conteo de escenarios por nivel actual y por nivel residual, en dos distribuciones separadas. Leerlas juntas es el ejercicio: si el residual no se ve mejor que el actual, tus medidas no están moviendo nada o no las estás registrando.

Hay además un calendario de gobernanza del año, que junta en una sola vista los vencimientos de tareas, los ETA de controles y las caducidades de aceptaciones de riesgo. Es la mejor forma de ver que noviembre viene cargado antes de que llegue noviembre.

Completan la pantalla el estado agregado de tus evaluaciones, la lectura de incidentes (total, del mes, abiertos, por severidad y por forma de detección) y el Compositor, que consolida varias evaluaciones de riesgo en una sola vista comparada. Todo el tablero se puede exportar a planilla.

Resumen: auditoría por auditoría

Resumen (/recap, en la sección Cumplimiento) es la lectura de cumplimiento propiamente tal. Para cada auditoría muestra la distribución de sus requisitos en anillos: por Resultado (conforme, parcialmente conforme, no conforme, no aplicable, no evaluado), por Estado del trabajo, y —cuando el marco lo usa— el puntaje global de implementación, documentación y madurez.

El anillo de estado no es el de resultado

En Resumen conviven los dos anillos y es fácil leer el equivocado. El de estado dice cuánto trabajo se completó; el de resultado dice cómo te fue. Una auditoría puede tener el anillo de estado entero en Hecho y el de resultado lleno de No conforme: significa que terminaste de revisar y que el diagnóstico es malo. Es información valiosa, pero no es “100% de cumplimiento”. Está explicado en detalle en Evidencias y auditorías.

X-rays: lo que un revisor externo va a encontrar

X-rays (/x-rays, en la sección Operaciones) no mide cumplimiento: revisa la consistencia de lo que armaste y clasifica lo que encuentra en errores, advertencias e información.

Es la pantalla que hay que pasar antes de presentar algo. Detecta, entre otras cosas: evaluaciones de riesgo sin autor asignado o sin ningún escenario declarado; escenarios sin nivel actual evaluado, con residual sin evaluar, con residual mayor que el actual o con residual bajado sin medidas que lo expliquen; escenarios marcados como aceptados sin aceptación formal; aceptaciones vencidas o sin fecha de caducidad; requisitos marcados como conformes sin evidencia; requisitos sin control aplicado; controles sin ETA, sin esfuerzo o con ETA en el pasado; y evidencias sin archivo.

Ninguno de estos hallazgos rompe nada. Todos son cosas que alguien te va a preguntar.

La rutina semanal

Una lectura de quince minutos, siempre en el mismo orden:

1. Mis tareas — qué me toca a mí esta semana. Es el punto de partida de cualquiera del equipo, no solo del responsable de cumplimiento.
2. Analíticas — controles con ETA vencido, P1 no activos y evidencias caducadas. Estos tres números son la lista de lo que se está atrasando.
3. Resumen — si hay una auditoría en curso, cómo se movió la distribución de resultados respecto de la semana pasada.
4. X-rays — una pasada rápida, sobre todo si hay algo que presentar pronto.

Y una vez al mes, si trabajas con un programa, el tablero de Programas para la pregunta grande: si la curva llega a la meta antes de la fecha.

En Generadora Cordillera Marco Zúñiga revisa Analíticas los lunes. La semana en que los controles con ETA vencido pasaron de 4 a 11 no fue porque el equipo dejara de trabajar: fue porque el plan de acción del programa cargó de golpe los controles nuevos sin fecha realista. La conversación con Carolina Prat fue sobre reprogramar, no sobre culpar.

Qué mirar después

Si algún número te dejó una duda concreta, el camino es entrar al objeto: Controles y tareas para las medidas atrasadas, Evidencias y auditorías para las evidencias caducadas y Riesgos para los escenarios inconsistentes.