La mayoría de los equipos de cumplimiento ya tienen la información que necesitan. El registro, el historial de riesgos, las pruebas, los contratos de proveedores: todo está guardado en algún lugar. Lo que la mayoría de los sistemas no pueden hacer es responder a una pregunta directa al respecto. Alguien todavía tiene que ir a buscar la respuesta manualmente y luego contrastarla con otros tres lugares para estar seguro. Eso lleva tiempo incluso cuando en realidad nada va mal, y lleva considerablemente más cuando sí ocurre algo. De esa brecha trata el resto de este artículo, y está más cerca de cerrarse de lo que la mayoría de los equipos de cumplimiento creen.

¿Por qué los equipos de cumplimiento exportan a Excel solo para hacer una pregunta?

Es un patrón habitual y está mejor documentado de lo que la mayoría de los equipos creen. Alguien exporta un registro a Excel. Lo pega en Copilot. Luego hace la pregunta que su propio sistema no pudo responder directamente. Un responsable de cumplimiento lo expresó claramente: "Exporto a Excel y lo paso por Copilot porque mi herramienta de GRC no puede responder preguntas". Otros equipos automatizan partes de su trabajo con el registro de DORA a mano, fuera de su proceso existente, por la misma razón subyacente. Otros exportan directamente a un agente de IA externo en su lugar, porque eso es más rápido que la alternativa de la que ya disponen.

Las herramientas varían. La alternativa provisional es la misma. Ya sea que el punto de partida sea una plataforma infrautilizada o la ausencia total de plataforma, el problema real es idéntico. La información existe. No se puede preguntar directamente sobre nada en el sistema. Así que el trabajo se traslada a otra parte, y la pista de auditoría se vuelve un poco más larga y un poco más difícil de seguir cada vez que esto sucede.

¿Qué significa realmente hacerle preguntas a tu programa de cumplimiento?

Significa una interfaz de chat, y no tiene sentido pretender lo contrario. Lo que importa es dónde se ubica esa interfaz de chat. Vive dentro del mismo sistema que tu trabajo de cumplimiento. No es una herramienta independiente acoplada al lado. Cada respuesta se fundamenta en tu propia cuenta: los marcos que has configurado, las pruebas que has atribuido, los registros que realmente posees.

Ese es un punto de partida significativamente diferente al de una herramienta de IA general que intenta adivinar el contexto a partir de lo que se pegue en ella. También significa otra cosa. La respuesta solo puede ser tan buena, y estar tan actualizada, como el trabajo de cumplimiento que ya se encuentra en la cuenta. Eso es una característica, no una limitación. Es la razón por la que la respuesta se mantiene firme más adelante, ante un auditor, y no solo es rápida ahora mismo, en una ventana de chat.

Un ejemplo concreto facilita visualizar esto. Pregúntale a una herramienta de IA general «¿cuáles de nuestros proveedores manejan datos de clientes?», y solo podrá responder a partir de lo que hayas pegado en ese momento, si es que responde. Hazle a Formalize IQ la misma pregunta, y examinará los proveedores que realmente has evaluado, los registros de riesgo ya adjuntos a ellos y las pruebas que ya constan en los archivos, y responderá a partir de eso. No hace falta pegar nada, porque la cuenta ya lo contiene.

¿Qué ocurre si dos personas con roles o derechos de acceso diferentes hacen la misma pregunta?

Vale la pena afirmarlo con claridad, porque es la parte sobre la que la mayoría de la gente no piensa preguntar. Sin una delimitación del alcance de los permisos, una interfaz de chat sobre registros de cumplimiento se convierte en algo completamente distinto: una forma de eludir los controles de acceso. Haz la pregunta adecuada y la información para la que nunca estuviste autorizado a ver volverá de todos modos, independientemente de quién seas realmente en el sistema.

Formalize IQ no funciona así. Haz la misma pregunta como dos usuarios diferentes y las respuestas diferirán. Cada una está acotada a lo que esa persona específica tiene autorización para ver. Eso importa más en GRC que en la mayoría de las categorías de software. Los registros en cuestión incluyen incidentes, investigaciones internas, contratos con proveedores y hallazgos de auditoría. No son datos empresariales genéricos. Una pregunta sobre una investigación abierta no debería devolver la misma respuesta a alguien que no forma parte de ella, no importa cómo se formule la pregunta.

¿Cómo hace esto exactamente Formalize IQ?

Dos cosas hacen que la respuesta sea confiable, no solo conveniente.

En primer lugar, todo se fundamenta en los propios datos y permisos del cliente. Esto es cierto cada vez que se hace una pregunta, no solo una vez durante la configuración cuando todo todavía parece ordenado. En segundo lugar, Formalize IQ solo contabiliza una resolución una vez que se ha completado y aprobado. La exploración y el chat no tienen ningún coste. Eso refuerza algo que vale la pena decir directamente, no darlo por implícito: esto está diseñado para proponer, no para actuar por su cuenta. Nada se guarda en un registro sin que una persona decida que deba hacerse, cada una de las veces.

No vamos a ponerle una cifra al tiempo que esto ahorra. Cada cuenta con la que hemos hablado describió el cambio de forma diferente. Ninguna de ellas nos dio una cifra lo suficientemente específica como para repetirla con confianza, y un número inventado debilitaría el resto de este artículo más de lo que ayudaría. Lo que podemos decir en su lugar es lo que realmente sucede, sin una estimación añadida. Se hace una pregunta. Se responde, directamente desde los propios registros de la cuenta. Sin un paso de exportación de por medio. Sin una herramienta independiente en la que haya que pegar nada. Es un pequeño cambio en el papel, y una forma genuinamente diferente de trabajar en el día a día.

Si tu trabajo se rige específicamente por la norma ISO 27001, hay una segunda capa sobre esto sobre la que vale la pena leer por separado: cómo Formalize IQ razona sobre el estándar oficial en sí mismo, no solo sobre tu propia cuenta.