Riesgo, resiliencia y gobernanza
Construimos los registros que muestran qué ocurrió, quién lo aprobó y qué decían los datos en ese momento, para que un riesgo sea visible antes de convertirse en un incidente.
Nuestra visión
El trabajo de riesgo, resiliencia y gobernanza en THEFOCUS abarca los registros y controles que muestran qué ocurrió, quién lo decidió y con qué datos: registros de riesgos alimentados con datos de los sistemas, programas de cumplimiento, continuidad de negocio, integridad y trazabilidad del suministro, controles de privacidad de datos y riesgo de terceros. Construimos y mantenemos la traza de evidencias. La interpretación jurídica, las opiniones de auditoría y la certificación siguen a cargo de los asesores, auditores y organismos acreditados del cliente.
Un registro de riesgos suele recoger lo que las personas recuerdan comunicar. Muchas de las exposiciones que causan daños reales ya están en los sistemas: una cuenta publicitaria con una alerta de seguridad sin resolver, una tarjeta de pago de respaldo que venció hace meses, un proveedor que entrega sin registro de calidad, un excontratista que todavía tiene acceso de administrador a la plataforma de reservas. Viven en registros de actividad y configuraciones que nadie revisa, de modo que el registro de riesgos dice una cosa y los sistemas otra.
Primero construimos la traza de evidencias. Cada riesgo recibe un responsable, una fuente en un sistema identificado y una comprobación que se ejecuta según un calendario. Las aprobaciones de precios, presupuestos, contratos y cambios en los sistemas se registran dentro de las herramientas donde se hace el trabajo, de modo que el registro ya existe cuando alguien lo pide y nadie tiene que reconstruirlo a partir de hilos de mensajes. La rendición de cuentas descansa entonces en los datos: qué mostraban las cifras cuando se tomó la decisión y quién la tomó.
FuelVeriq, nuestro producto de calidad del combustible e integridad del suministro, aplica el mismo enfoque al suministro de combustible y se encuentra en fase de MVP previa al lanzamiento, con consultas para pilotos abiertas. En el trabajo con clientes mantenemos separadas la evidencia y el juicio. Nosotros construimos y mantenemos los registros, mientras que la interpretación jurídica, las opiniones de auditoría y la certificación siguen a cargo de los abogados, auditores y organismos acreditados del cliente.
Cómo ayudamos a nuestros clientes
Gestión de riesgos empresariales
Registros de riesgos alimentados con datos de los sistemas, con un responsable, una fecha de revisión y evidencia detrás de cada calificación, comunicados al consejo de forma que pueda actuar.
ExplorarProgramas de cumplimiento normativo
Registros de obligaciones, controles y flujos de evidencia que convierten los requisitos fijados por sus asesores en comprobaciones que el personal ejecuta dentro de sus sistemas diarios.
ExplorarContinuidad de negocio y resiliencia operativa
Planes de continuidad probados frente a los sistemas, proveedores, métodos de pago y accesos de los que depende la empresa, con tiempos de recuperación medidos en pruebas reales.
ExplorarIntegridad del suministro y trazabilidad
Registros estructurados de controles de calidad, lotes, incidentes e investigaciones a lo largo de una cadena de suministro, diseñados para resistir una revisión posterior.
ExplorarPrivacidad y protección de datos
Controles de consentimiento, tratamiento de datos y acceso configurados en sitios web, CRM y herramientas de analítica, documentados para sus asesores y medidos según su efecto en los informes.
ExplorarRiesgo de terceros y proveedores
Riesgo de proveedores, agencias y vendedores de software seguido a partir de contratos, registros de acceso y datos de desempeño, con revisiones programadas antes de las renovaciones y al cierre de cada relación.
Explorar
Desafíos de negocio
01
Riesgos que solo existen en la memoria de una persona
Las exposiciones conocidas, como un incidente de seguridad en una cuenta publicitaria que nunca se cerró del todo, una tarjeta de pago de respaldo vencida o un proveedor sin registro de calidad, las recuerdan personas concretas y nunca se registran con un responsable.
02
Aprobaciones sin traza
Los cambios de precios, presupuestos, contratos y sistemas en producción se acuerdan por mensajes y llamadas. Cuando algo sale mal, nadie puede demostrar quién aprobó qué ni con qué cifras.
03
Planes de continuidad que nunca se han ejecutado
El plan describe la recuperación sobre el papel, pero las copias de seguridad nunca se han restaurado, nunca se ha llamado al proveedor alternativo y el único acceso de administrador a una plataforma crítica pertenece a una sola persona.
04
Integridad del suministro que no puede acreditarse
Los problemas de calidad del combustible, los materiales o los productos se investigan con hojas de cálculo improvisadas y fotografías tomadas con el teléfono, y el registro resultante no sirve para respaldar una reclamación contra un proveedor ni un proceso interno de rendición de cuentas.
05
Configuraciones de consentimiento que no se ajustan a las normas locales
La configuración de consentimiento predeterminada de la plataforma no cubre el régimen aplicable en el mercado del cliente, de modo que el seguimiento funciona sin una base válida o se recorta sin que nadie sepa cuánto.
06
Terceros con accesos que nadie revisa
Agencias, freelancers, proveedores de aplicaciones e integradores conservan el acceso a tiendas, cuentas publicitarias y datos de clientes mucho después de haber terminado su trabajo.
Nuestro enfoque
Inventariar las exposiciones
Enumeramos los riesgos operativos que la organización ya conoce y los que encontramos en sus sistemas, cada uno con un responsable, una fuente y su estado actual.
Registrar las decisiones donde se hace el trabajo
Las aprobaciones, los cambios y las investigaciones se registran dentro de los sistemas que el personal usa para el propio trabajo, de modo que el registro se va formando a medida que se trabaja en lugar de reconstruirse después.
Separar la evidencia del juicio
Nosotros construimos y mantenemos la evidencia. La interpretación jurídica, las decisiones regulatorias y la certificación siguen a cargo de los asesores y auditores del cliente y de las autoridades competentes.
Revisar según un calendario
Los controles se comprueban periódicamente frente a líneas base definidas, y cualquier cambio en la exposición se comunica al responsable designado.
Sectores relevantes
- Petróleo, gas y distribución de combustibles
- Materias primas, trading y abastecimiento
- Construcción, materiales de construcción y mejoras para el hogar
- Retail y comercio electrónico
- Alimentos y bebidas
- Hoteles y resorts
- Puertos deportivos y náutica de recreo
- Transporte y logística
- Sector público e instituciones
- Tecnología y software
Soluciones asociadas
- FuelVeriq Fase piloto
Cómo se evalúan los resultados
- Proporción de riesgos identificados con un responsable designado, una fuente en un sistema y evidencia actualizada
- Proporción de cambios relevantes con una aprobación registrada
- Tiempo desde un incidente hasta contar con un registro completo de la investigación
- Proporción de terceros cuyos accesos se revisaron en el último ciclo
- Pasos de recuperación probados frente al plan de continuidad y el tiempo que tomó cada uno
Límites del alcance
- No prestamos asesoramiento jurídico. Las políticas, los contratos y los documentos de cumplimiento que preparamos son borradores para que los revisen los asesores jurídicos cualificados del cliente.
- THEFOCUS no es un regulador, no actúa en nombre de ninguno ni trata con ninguno en nombre de un cliente.
- No emitimos certificaciones, acreditaciones, declaraciones de cumplimiento ni opiniones de auditoría, y nuestro trabajo no es una auditoría legal ni una auditoría interna.
Cómo empieza un proyecto con THEFOCUS
La primera conversación se centra en su situación. Si hay encaje, proponemos un diagnóstico acotado con un entregable fijo antes de cualquier compromiso mayor.
Hablar de ello con nosotros01
Una conversación de trabajo
Cuarenta y cinco minutos con la persona que dirigiría el trabajo. Preguntamos por la decisión, los sistemas que la sustentan y el plazo.
02
Un diagnóstico acotado
Acceso de solo lectura, un plazo fijo y una conclusión por escrito: qué muestran los registros, cuánto cuesta y qué cambiar primero.
03
Un plan ejecutable
Cambios, responsables, indicadores y exclusiones por escrito. Después, el mismo equipo construye y mide, o hace un traspaso ordenado.
- Un único equipo responsable
- Las mismas personas que diagnostican construyen los sistemas y miden el resultado.
- Socios elegidos según el problema
- Los especialistas independientes se incorporan en las partes que los requieren, bajo un único contrato.
- Registros antes que paneles
- Pedidos, libros contables y registros de actividad se concilian antes de que una recomendación dependa de ellos.
Preguntas frecuentes de los directivos
¿Dan la aprobación jurídica o de cumplimiento?
No. Construimos los registros, los flujos de trabajo y los controles, y preparamos borradores. La interpretación jurídica y la aprobación siguen a cargo de sus asesores cualificados, y la certificación, de los organismos acreditados.
¿Realizan auditorías o emiten certificados?
No. No realizamos auditorías legales ni internas, no emitimos opiniones de auditoría ni certificamos el cumplimiento. Preparamos los registros, los controles y la evidencia que revisan sus auditores y organismos de certificación.
¿Para qué tipo de organizaciones es este trabajo?
Empresas con exposiciones en proveedores, calidad, datos o aprobaciones que hoy no pueden acreditar, e instituciones que están trasladando procesos manuales a sistemas digitales. Trabajamos en suministro de combustibles y materias primas, construcción, retail y comercio electrónico, alimentación y supermercados, hoteles y puertos deportivos.
¿Cómo empieza un proyecto?
Con un inventario de los riesgos conocidos y los incidentes recientes, y con acceso de solo lectura a los sistemas donde están las aprobaciones y los registros. El primer resultado es un registro que muestra qué exposiciones tienen evidencia que las respalde y cuáles no.
¿Cómo trabajan con nuestros equipos jurídico, de auditoría y de cumplimiento?
Ellos fijan los requisitos y conservan el juicio. Acordamos con ellos qué debe contener cada registro y en qué formato, y después lo incorporamos a los sistemas que su personal ya utiliza.
¿Qué ocurre una vez que los controles están implantados?
Su equipo pasa a ser dueño de los registros y los flujos de trabajo. Podemos realizar revisiones programadas frente a las líneas base acordadas o hacer el traspaso con documentación que su función de auditoría interna pueda utilizar.
Hablar de ello con nosotros
Algunos datos nos ayudan a dirigir su consulta al socio adecuado. Los campos marcados como opcionales pueden dejarse en blanco.