Revista Empresa Excelente GRCTools: abril 2026

🔊 Escuchar esta entrada

La Revista Empresa Excelente GRCTools de abril llega cargada de una pregunta que cada vez más organizaciones se formulan en voz alta: ¿hasta dónde llega mi responsabilidad cuando el riesgo no nace dentro de mis muros?

La edición de este mes aborda tres grandes líneas de fuerza que están redefiniendo el Gobierno, Riesgo y Cumplimiento (GRC) en 2026: la expansión del perímetro de riesgo hacia terceros y cadenas de suministro digitales, la consolidación de la protección de datos como disciplina estratégica —con foco especial en Chile—, y la madurez que están alcanzando los marcos de continuidad y gestión de riesgos ante un entorno cada vez más incierto.

La gestión de riesgos de terceros entra en la agenda directiva

El TPRM (Third Party Risk Management) ha pasado de ser una preocupación del departamento de compras a convertirse en una cuestión de gobierno corporativo. La razón es simple: las organizaciones han externalizado procesos críticos, han conectado sus sistemas con los de sus proveedores y han trasladado datos sensibles a entornos que no controlan directamente.

La Revista Empresa Excelente GRCTools pone el foco en por qué la gestión de riesgos de terceros importa, y la respuesta trasciende el cumplimiento normativo. Un incidente en un proveedor es hoy un incidente propio. Un fallo en la cadena de suministro digital puede paralizar operaciones enteras. Y la reputación de una organización no se detiene en sus fronteras legales.

Gestionar este riesgo exige algo más que due diligence inicial: requiere evaluación continua, indicadores de riesgo compartidos y capacidad de respuesta coordinada cuando las cosas fallan.

Protección de datos en Chile: de la norma al sistema

La edición de abril dedica un bloque especial a la Ley N° 21.719 de Protección de Datos Personales de Chile, una de las reformas regulatorias más relevantes de América Latina en los últimos años. La revista lo aborda desde varios ángulos complementarios: su contenido y alcance, la evolución del marco normativo que la precede, su impacto práctico en las organizaciones y el papel de la nueva Agencia Nacional de Ciberseguridad de Chile (ANCI) como autoridad de referencia.

Lo que emerge de este análisis es una lección válida más allá de las fronteras chilenas: la protección de datos personales ha dejado de ser una obligación formal para convertirse en un elemento de confianza y competitividad. Las organizaciones que tratan los datos con rigor no solo evitan sanciones; construyen una relación con sus clientes basada en transparencia y respeto que cada vez más pesa en las decisiones de compra y colaboración.

La figura de los Operadores de Importancia Vital (OIV) añade otra dimensión: para ciertos sectores, el cumplimiento ya no es opcional ni gradual. Es una condición de operación.

El envenenamiento de datos: un riesgo emergente que no admite demora

Dentro del bloque de protección de la información, la revista incorpora un tema que empieza a ganar peso en los análisis de riesgo más avanzados: el envenenamiento de datos. A medida que la inteligencia artificial se integra en los procesos de negocio, la integridad de los datos con los que se entrena y alimentan los modelos se convierte en un vector de ataque con consecuencias difíciles de anticipar.

Contaminar los datos de entrada de un modelo no requiere vulnerar sistemas: basta con introducir información sesgada o maliciosa en los flujos que lo alimentan. El resultado puede ser invisible durante semanas y devastador cuando se manifiesta.

Continuidad, recuperación y resiliencia: marcos para lo que no se puede evitar

La Revista Empresa Excelente GRCTools de abril aborda con rigor uno de los ámbitos donde más confusión persiste en las organizaciones: la diferencia entre un plan de crisis, un plan de contingencia y un plan de recuperación de desastres (DRP). No son sinónimos, no tienen el mismo alcance y su confusión genera vacíos en el momento en que más se necesitan.

Un plan de crisis gestiona la comunicación y la toma de decisiones bajo presión. Un plan de contingencia define cómo seguir operando cuando algo falla. Un DRP establece cómo restaurar los sistemas y los datos críticos. Los tres son necesarios, los tres deben estar coordinados y ninguno de ellos puede vivir en un cajón hasta que ocurra el peor escenario.

La revista también analiza los errores más frecuentes al implementar un BCP (Business Continuity Plan), y la lectura es reveladora: el mayor fallo no es técnico, sino organizativo. Los planes que no se prueban, los equipos que no los conocen y las dependencias de terceros que no se han mapeado son las grietas por las que la continuidad se rompe cuando más importa.

La edición de abril dedica un bloque especial a la Ley N° 21.719 de Protección de Datos Personales de Chile, una de las reformas regulatorias más relevantes de América Latina en los últimos años. Compartir en X