Un software GRC es el sistema que conecta políticas, requisitos, controles, evidencias, riesgos y planes de acción en una base única y trazable. Elegir bien exige algo más que comparar pantallas de demo: lo decisivo es si el modelo de datos de la plataforma refleja cómo tu organización gobierna, evalúa y trata los riesgos, y si puedes comprobarlo con un caso real antes de firmar.
Qué es un software GRC, y qué no es
GRC (gobierno, riesgo y cumplimiento) es un modelo operativo, no un producto. OCEG, la organización que acuñó el término, define GRC como el conjunto integrado de capacidades que permite alcanzar objetivos de forma fiable, abordar la incertidumbre y actuar con integridad, y subraya que integrar esas capacidades no exige usar un único sistema de GRC para gestionarlo todo (OCEG, What is GRC).
El software da soporte a ese modelo. En la práctica, una plataforma GRC suele reunir:
- Bibliotecas de requisitos de normas, leyes y contratos, y una biblioteca de controles mapeada a ellos.
- Evidencias vinculadas a cada control, con responsable, fecha y vigencia.
- Registro de riesgos con responsable, evaluación, decisión de tratamiento y riesgo residual.
- Evaluaciones, auditorías y planes de acción, con plazos y seguimiento.
- Informes para la gestión, la auditoría y la alta dirección.
Si el proceso no tiene responsable, criterios de evaluación ni ritmo de revisión, la herramienta solo digitalizará el desorden.
Cuándo basta una hoja de cálculo o una herramienta puntual
No toda organización necesita una plataforma integrada. Una hoja de cálculo bien gobernada funciona cuando hay un único marco, un equipo pequeño, pocos responsables de control y auditorías esporádicas. Una herramienta puntual dedicada a un dominio, como el cumplimiento de un marco, la gestión de vulnerabilidades o la evaluación de proveedores, resuelve bien un problema acotado. El coste aparece cuando los dominios necesitan hablar entre sí.
| Criterio | Hoja de cálculo | Herramientas puntuales | Plataforma integrada |
|---|---|---|---|
| Cuándo tiene sentido | Un marco, pocos responsables, auditorías poco frecuentes | Un dominio con una necesidad específica y profunda | Varios marcos y dominios que comparten controles, riesgos y responsables |
| Reutilización de controles | Manual, copiando | Dentro de cada herramienta | Un control mapeado a muchos requisitos |
| Pista de auditoría | Débil: versiones y autoría difíciles de probar | Buena dentro de cada herramienta | Continua entre riesgo, control, evidencia y decisión |
| Visión ejecutiva | Consolidación manual | Consolidación manual entre herramientas | Generada a partir de la misma base |
| Coste principal | Horas de conciliación | Varias licencias e integración entre silos | Licencia, implantación y cambio de proceso |
Las señales más habituales de que la hoja de cálculo llegó a su límite: el mismo control se evalúa varias veces para normas distintas, cada auditoría se convierte en una búsqueda de evidencias en carpetas y correos, las aceptaciones de riesgo vencen sin revisión y el informe para la dirección requiere días de consolidación.
Criterios de evaluación
1. Modelo de datos e integraciones
Es el criterio que más pesa y el que menos aparece en las demos. Pregunta cómo relaciona la plataforma activos, procesos, proveedores, riesgos, controles, requisitos, evidencias y planes de acción. Comprueba si puedes adaptar la taxonomía de riesgos y las escalas de evaluación a tu metodología, si hay una API documentada, importación masiva y exportación completa de los datos, y qué sistemas serán la fuente de verdad para activos, identidades y tickets.
2. Biblioteca de controles y crosswalk entre marcos
La ganancia concreta de una plataforma GRC está en describir un control una vez y mapearlo a todos los requisitos que cumple, como ISO/IEC 27001, NIST CSF 2.0, la LGPD (Ley General de Protección de Datos de Brasil) o la regulación de tu sector. El NIST, por ejemplo, publica las Informative References, mapeos entre el núcleo del CSF 2.0 y otros documentos (NIST CSWP 29). Pregunta quién mantiene los mapeos de la plataforma, cómo llegan las actualizaciones de las normas y si puedes crear y versionar mapeos propios. Un crosswalk ayuda, pero no sustituye el criterio profesional: la superposición entre requisitos rara vez es total.
3. Evidencias y pista de auditoría
La ISO/IEC 27001:2022 exige información documentada controlada (cláusula 7.5), auditoría interna (9.2) y revisión por la dirección (9.3) (ISO/IEC 27001:2022). En la evaluación, comprueba que cada evidencia tiene responsable, fecha, vigencia y alerta de vencimiento, que el historial registra quién cambió qué y cuándo, y que un auditor puede ir de un requisito al control, a la evidencia y al responsable sin ayuda del proveedor.
4. Registro de riesgos y tratamiento
La ISO 31000:2018 describe un proceso que va desde la identificación hasta el tratamiento, el seguimiento, el registro y la comunicación de los riesgos (ISO 31000:2018). La plataforma debe sostener ese ciclo: riesgo inherente y residual, los controles que explican la diferencia entre ambos, opciones de tratamiento, aceptaciones con fecha de revisión y comparación con el apetito de riesgo aprobado. Para la parte de riesgos corporativos, consulta también la guía sobre software de gestión de riesgos corporativos en Brasil.
5. Terceros y continuidad como módulos adyacentes
La gestión de riesgos de terceros (TPRM) y la gestión de la continuidad del negocio (BCM), que parte de un análisis de impacto en el negocio (BIA), no son obligatorias desde el primer día, pero el modelo de datos debe poder incorporarlas sin rehacer trabajo. La prueba: ¿el riesgo de un proveedor crítico aparece vinculado a los procesos y activos que sostiene? Si no, la consolidación vuelve a ser manual. En el sector financiero brasileño, el tema enlaza con las reglas de contratación de servicios, que tratamos en el artículo sobre riesgo de terceros y la Resolución CMN 4.893, del Consejo Monetario Nacional.
6. IA con una persona en el circuito
Clasificar riesgos, sugerir mapeos, señalar incoherencias y resumir evidencias son usos razonables de la IA. Aceptar un riesgo o aprobar una evidencia, no. Pide ver cómo cada sugerencia muestra el origen de los datos y la justificación, cómo el usuario la aprueba, rechaza o ajusta y dónde queda registrada esa decisión. El artículo sobre herramientas de cumplimiento con IA profundiza en este punto, y el de software de gobernanza de IA trata el riesgo de los propios modelos.
7. Informes para la dirección y el consejo
El NIST CSF 2.0 situó el gobierno en el centro con la función Govern (GV), que incluye la estrategia de gestión de riesgos, los roles y responsabilidades y la supervisión (consulta las seis funciones). Un buen informe responde a preguntas de decisión: qué riesgos están por encima del apetito, quién es el responsable, qué se está haciendo y qué ha cambiado desde la última reunión. Si la organización quiere expresar el riesgo cibernético en valores financieros, comprueba si la plataforma admite Cyber Risk Quantification o si eso quedará en otra herramienta.
Scorecard de evaluación
Usa la tabla siguiente para puntuar cada opción de 1 a 5 en cada criterio. Los pesos son ilustrativos y deben reflejar las prioridades de tu organización.
| Criterio | Qué pedir que te muestren | Peso ilustrativo |
|---|---|---|
| Modelo de datos | Un diagrama de entidades y un riesgo vinculado a activo, control, evidencia y plan de acción | 20% |
| Integración y salida de datos | API documentada, importación masiva y exportación completa | 15% |
| Crosswalk de controles | Un control tuyo mapeado a dos marcos, con control de versiones | 15% |
| Evidencias y pista de auditoría | Historial de cambios y recorrido del requisito a la evidencia | 15% |
| Riesgo y tratamiento | Inherente, residual, aceptación con plazo y comparación con el apetito | 15% |
| IA con revisión humana | Origen, justificación y registro de la aprobación de cada sugerencia | 10% |
| Informes ejecutivos | Un informe real generado con los datos de la prueba de valor | 10% |
Antes de puntuar, aplica los criterios eliminatorios, evaluados como sí o no: requisitos de seguridad y privacidad del proveedor, modelo de alojamiento, control de acceso por perfil, autenticación corporativa y soporte en el idioma y la zona horaria de tu equipo. La opción que no cumpla alguno de ellos queda fuera de la comparación.
Cómo realizar una prueba de valor
Una prueba de valor (POV) evalúa la plataforma con tus datos, no con los datos de demo del proveedor.
- Elige un flujo problemático y acotado. Por ejemplo, la preparación de la auditoría de un marco o el registro de riesgos de un área.
- Define los criterios de éxito antes de empezar. Tiempo para atender una solicitud de evidencia, número de controles reutilizados, claridad del informe para la dirección.
- Usa datos reales y suficientemente limpios. Una muestra de controles, riesgos y evidencias que represente la complejidad del día a día.
- Involucra a quienes van a operar y a quienes van a auditar. La primera línea, la segunda línea y la auditoría interna ven problemas distintos. El Modelo de las Tres Líneas del IIA ayuda a separar esos roles (IIA, Three Lines Model).
- Prueba la salida. Exporta todos los datos al final y comprueba si pueden reconstruirse fuera de la plataforma.
- Anota el resultado en el scorecard. Compare las opciones con los mismos criterios y los mismos datos.
Preguntas para el proveedor
- ¿Quién mantiene las bibliotecas de requisitos y los mapeos, y con qué frecuencia se actualizan?
- ¿Puedo adaptar la taxonomía, las escalas y los flujos de aprobación sin desarrollo a medida?
- ¿Cómo salen los datos de la plataforma, en qué formato y a qué coste?
- ¿Qué integraciones existen hoy y cuáles están solo en el roadmap?
- ¿Cómo usa la IA mis datos y dónde queda registrada la decisión humana sobre cada sugerencia?
- ¿Qué incluye la implantación y qué depende de consultoría aparte?
- ¿Qué clientes con un alcance similar puedo consultar como referencia?
Señales de alerta
- Promesas de cumplimiento garantizado o de certificación. La certificación ISO/IEC 27001 la otorga un organismo de certificación, no un software.
- Demos solo con datos ficticios, sin aceptar una prueba de valor con tu caso.
- Una lista larga de marcos sin explicar quién mantiene los mapeos.
- IA que decide sin registro de revisión humana.
- Exportación limitada o cobrada aparte, lo que dificulta un futuro cambio de proveedor.
Mejores plataformas GRC en Brasil: cómo leer esas listas
Quien busca una plataforma GRC en Brasil encuentra sobre todo listas de las “mejores” herramientas. Sirven para descubrir nombres, pero no sustituyen la evaluación: cada lista parte de criterios propios, no siempre declarados, y no todas aclaran si quien publica tiene relación comercial con las opciones que incluye.
Qué suelen medir estas listas. Amplitud de módulos, número de marcos en la biblioteca, valoraciones de usuarios en sitios de reseñas, facilidad de uso y presencia en el mercado. Son señales útiles, pero miden el producto en general, no su encaje con tu alcance.
Qué suelen dejar fuera para el comprador en Brasil:
- Normas locales. Si la biblioteca cubre la LGPD y la regulación de tu sector, o al menos permite registrarlas y versionar los mapeos.
- Idioma. Interfaz, informes, pista de auditoría y documentación en portugués.
- Alojamiento de los datos. Dónde se guardan los datos del propio GRC. Si hay tratamiento de datos personales fuera de Brasil, la LGPD solo permite la transferencia internacional en los supuestos del art. 33 (Ley n.º 13.709/2018).
- Soporte e implantación en Brasil. Quién implanta, en qué zona horaria atiende el soporte y qué depende de un socio o de consultoría aparte.
- Integración con lo que ya existe. Herramientas de tickets, inventario de activos, gestión de identidades, escáneres y las hojas de cálculo que se van a migrar.
De la lista a la shortlist. Trata cualquier lista como punto de partida. Aplica primero los criterios eliminatorios del scorecard anterior (alojamiento, seguridad, acceso, autenticación, idioma y soporte), quédate con dos o tres opciones y solo entonces puntúa los criterios ponderados con una prueba de valor sobre el mismo flujo. La mejor plataforma GRC para tu organización es la que gana esa prueba con tus datos, no la primera de un ranking. La guía sobre cómo elegir la plataforma adecuada en Brasil detalla la capa regulatoria brasileña de esta evaluación.
Coste total e implantación
La licencia es solo una parte del coste. Suma la implantación, la migración y limpieza de datos, las integraciones, la formación, la consultoría de metodología y las horas internas de los responsables de control. Del otro lado, estima lo que hoy se dedica a conciliación manual, recopilación de evidencias y consolidación de informes. Un camino prudente es implantar por fases: primero un marco o un proceso de riesgo, con criterios de éxito medidos, y después los módulos adyacentes.
Eagle y esta guía
Eagle, de Futture, se diseñó para centralizar marcos, controles, evidencias, evaluaciones y planes de acción en un modelo reutilizable, con módulos para riesgo cibernético, terceros, continuidad y riesgos corporativos. La IA de Eagle sugiere clasificaciones, relaciones y prioridades, y el usuario revisa, aprueba, rechaza o ajusta cada resultado relevante. Si quieres aplicar el scorecard anterior a Eagle con un caso propio, solicita una demostración.
Para profundizar: Plataforma de GRC en Brasil: cómo elegir la adecuada.
Preguntas frecuentes
¿Qué diferencia hay entre un software GRC y un software de gestión de riesgos?
El software de gestión de riesgos se centra en registrar, evaluar y tratar riesgos. El software GRC incluye esa parte y la conecta con políticas, requisitos de marcos y leyes, controles, evidencias y auditorías, para que un mismo control sirva al riesgo y al cumplimiento a la vez.
¿Cuál es la mejor plataforma GRC?
No hay una respuesta única: depende del alcance. Una organización con un marco y pocos responsables de control necesita algo distinto de otra con varios marcos, terceros críticos y reporte al directorio. Para decidir, define el problema prioritario, aplica los criterios eliminatorios, como alojamiento, seguridad y soporte, compara dos o tres opciones en el mismo scorecard y elige la que gane una prueba de valor hecha con tus propios datos.
¿Puede una hoja de cálculo servir como herramienta GRC?
Sí, mientras el alcance sea pequeño: pocos marcos, un equipo reducido y auditorías esporádicas. La hoja de cálculo empieza a fallar cuando varios responsables editan el mismo archivo, cuando el mismo control debe evaluarse para normas distintas y cuando la auditoría pide el historial de quién cambió qué y cuándo.
¿Un software GRC garantiza la certificación ISO/IEC 27001?
No. La certificación la otorga un organismo de certificación tras auditar el sistema de gestión de la organización. El software ayuda a organizar riesgos, controles, evidencias, auditorías internas y revisiones por la dirección, pero la conformidad depende de cómo se opera el proceso, no de la herramienta.
¿Cuánto tiempo lleva implantar un software GRC?
Depende del alcance, de la calidad de los datos existentes y del número de integraciones. Por eso es más seguro empezar por un proceso acotado, como un marco, medir el resultado en una prueba de valor y solo entonces ampliar.
¿Puede la IA tomar decisiones de riesgo en un software GRC?
No debería. La IA puede sugerir clasificaciones, mapeos, prioridades y resúmenes, pero aceptar un riesgo, aprobar una evidencia o cerrar un hallazgo son decisiones de personas con responsabilidad formal. La plataforma debe registrar quién revisó y aprobó cada sugerencia.