La mayoría de las malas compras de software se decide antes de la primera demo, y en la categoría de gestión de riesgos esto ocurre más que en muchas otras.
Esta es la secuencia habitual. Un fundador ve a un proveedor en un congreso o un colega menciona la herramienta que usa. Se agenda una demo. La demo es buena, porque las demos están diseñadas para ser buenas. Luego vienen una comparación de funciones con dos competidores, una negociación de precios y una orden de compra. En algún punto de todo eso, la única pregunta que realmente importa nunca se hace en voz alta: ¿contra qué intentamos protegernos?
El resultado es un tipo concreto de fracaso. No es una mala herramienta. Es una buena herramienta que funciona exactamente como fue diseñada y resuelve un problema que no tenías.
Esta guía explica qué es realmente la categoría, qué buscar, cuánto cuesta, qué retorno ofrece y, después, un proceso de cinco pasos para elegir. Tres de esos pasos ocurren antes de que evalúes a un solo proveedor. Si empiezas con una lista de funciones, empiezas en el paso cuatro, que es más o menos donde nace el arrepentimiento.
Una advertencia franca: para muchas de las personas que lean esto, la conclusión honesta será que no necesitan lo que vendemos o que no necesitan comprar nada. Lo diré cuando corresponda. Una guía de compra que no puede convencerte de no comprar no es una guía, es un folleto.
¿Qué es realmente la gestión de riesgos empresariales?
Empecemos por el término, porque la mayoría de este software se vende bajo esa denominación y conviene tener claro qué significa.
La gestión de riesgos empresariales, ERM, consiste en identificar, evaluar y gestionar toda la gama de riesgos que enfrenta una organización desde una perspectiva coordinada, en lugar de dejar que cada departamento se ocupe de sus riesgos de forma aislada.
Esa última parte resume toda la idea. Antes de ERM, finanzas gestionaba el riesgo financiero; TI, el riesgo cibernético; el área legal, los litigios; operaciones, el riesgo operativo; y nadie tenía la visión completa. ERM surgió para reunir todo en un solo mapa, de modo que la dirección y el consejo puedan ver la exposición total de la organización y establecer prioridades de forma transversal, en lugar de hacerlo en áreas aisladas.
En la práctica, el software de ERM reúne las herramientas que hacen posible esta coordinación a escala. Un registro que contiene todos los riesgos identificados. Una forma de asignarles puntajes y ordenarlos por prioridad. Controles vinculados a esos riesgos. Flujos de trabajo para asignar responsables y dar seguimiento a la mitigación. Y reportes lo bastante claros para presentarlos al comité de riesgos del consejo.
Es una disciplina de gran importancia y, a la escala para la que fue creada, imprescindible. Una institución regulada con cientos de controles y once marcos de referencia no puede gestionar el riesgo en una hoja de cálculo, y las plataformas de ERM existen porque ese problema es real.
Sin embargo, conviene notar algo desde el principio, porque determina todo lo que sigue en esta guía. ERM se diseñó para coordinar los riesgos que una organización puede ver dentro de sí misma. Su objeto central es el registro interno de riesgos. Nunca se diseñó para observar por ti el mundo exterior a tu organización, y para algunos tipos de empresas es ahí donde se encuentra la mayor parte del riesgo. Ten presente esa idea.
El problema de empezar la compra por las funciones
El “software de gestión de riesgos” no es una sola cosa. Es una etiqueta que abarca varias categorías de productos que no se sustituyen entre sí, y el error más costoso en este mercado es comprar una esperando las capacidades de otra.
Por eso, una lista de funciones es un mal punto de partida. Esa lista supone que ya sabes en qué categoría estás. La mayoría de los compradores no lo sabe, y la demo no se lo va a decir, porque la demo de cada proveedor está diseñada para hacer que su categoría parezca todo el mercado.
Por eso el proceso que sigue tiene un orden deliberado. Primero, el conjunto de riesgos a los que estás expuesto. Segundo, la categoría. Tercero, desarrollar o comprar. Solo después, funciones y proveedores. Veámoslo.
Paso uno: mapea tu exposición al riesgo antes de abrir el sitio de un solo proveedor
No puedes elegir una herramienta para gestionar tu riesgo hasta que hayas puesto por escrito cuál es realmente. Suena obvio. Casi nadie lo hace antes de buscar opciones, y por eso es el primer paso.
No en abstracto. Con precisión. Siéntate y responde tres preguntas con honestidad.
¿Qué podría costarnos dinero o credibilidad de verdad? Las exposiciones reales, las que tendrías que explicar en una reunión, no las que suenan exhaustivas en un documento.
¿Dónde está cada una? ¿Dentro de la empresa o fuera de ella? Esta es la distinción más importante de todas.
¿Y cómo nos enteraríamos hoy de que ocurrió, y con qué rapidez? Sé honesto, aunque resulte incómodo. Si la respuesta real para algún riesgo es “nos enteraríamos cuando alguien nos lo dijera”, anótalo.
La distinción entre dentro y fuera determina todo lo que sigue. Una empresa cuyo riesgo es principalmente interno —sus propios controles, personal y sistemas— necesita una herramienta fundamentalmente distinta de una cuyo riesgo está en entidades externas que no controla. Ambas evaluarán al mismo proveedor, y una de ellas estará cometiendo un error.
Si quieres una forma estructurada de hacerlo, hemos escrito sobre cómo mapear el riesgo correctamente y el eje que omiten la mayoría de los mapas de riesgo. Haz primero el mapeo. Todo lo que sigue será más fácil.
Paso dos: determina en qué categoría estás realmente
Cinco categorías comparten la etiqueta. Aquí están, descritas de forma breve e imparcial.
Plataformas de ERM y GRC. Los sistemas de registro descritos antes. Registros de riesgos, gestión de políticas, reportes al consejo y flujos de trabajo. Archer, LogicGate, OneTrust, Resolver. Si tienes cientos de controles y un comité de riesgos del consejo, necesitas una. Si son once personas, casi con seguridad no.
Automatización de seguridad y cumplimiento. Controles internos y certificación conforme a marcos de referencia. SOC 2, ISO 27001. Vanta, Drata, Sprinto, Hyperproof. Si vendes a grandes empresas y necesitas demostrar tu propia postura de seguridad, esta es la categoría, y es una buena opción.
Identidad y PLD. Verificación de identidad y revisión de clientes durante el onboarding y después. Sumsub, Persona, Onfido. Si incorporas usuarios o empresas y debes responder por su riesgo de delitos financieros, necesitas esto.
Proveedores de datos de riesgo. Las fuentes de datos sin procesar, como sanciones, medios adversos y registros mercantiles. LexisNexis Risk Solutions, Moody’s, OpenCorporates. Son insumos, no productos terminados. Tú o tu proveedor construyen encima la capa de inteligencia.
Inteligencia de riesgos continua de entidades. Monitoreo de entidades externas a las que estás expuesto, pero con las que no realizas transacciones, como empresas del portafolio, contrapartes y fundadores. Esta es nuestra categoría, y la presento como una de cinco, no como la respuesta a tu pregunta, porque para la mayoría de quienes lean esto no lo será.
Lo importante es que las categorías no son rivales. Una fintech podría necesitar tres de ellas. Comprar una plataforma de ERM cuando lo que necesitabas era monitoreo de entidades no te da una versión inferior del monitoreo. Te da un archivero, y uno caro.
Hemos descrito las cinco en detalle aquí, por si te quedaste atorado en el paso dos, que es donde ocurre con más frecuencia.
Paso tres: decide si desarrollar o comprar
Esta es la pregunta con la que realmente lidian los compradores rigurosos, y la mayoría de las guías la omite porque a veces la respuesta es “no compres nada”. La voy a incluir de todos modos.
Si tu riesgo está bien definido, tienes ingenieros y un equipo de datos, y el requisito es estable, a veces puedes contratar licencias de las fuentes de datos y desarrollar las herramientas por tu cuenta. Algunas organizaciones grandes hacen exactamente eso, y para ellas es la decisión correcta.
La razón por la que la mayoría de quienes lo intentan se arrepiente no son los datos. Los datos son la parte fácil y puedes comprarlos. Lo difícil es la capa que determina la relevancia: convertir diez mil señales sin procesar por semana en las cuatro que importan y después mantenerla mientras cambian las fuentes y los formatos y surgen brechas de cobertura. Esa capa representa la mayor parte del trabajo real, nunca se termina y casi siempre se subestima durante la planeación.
La prueba honesta: si separar las señales del ruido en todo tu ámbito de exposición al riesgo es una competencia central que quieres desarrollar internamente y dotar de personal de forma permanente, desarrolla. Si necesitas que funcione, pero no quieres mantener un equipo dedicado a ello, compra. La mayoría de las empresas está en la segunda categoría y se convence de pertenecer a la primera.
Qué buscar en un software de gestión de riesgos empresariales
Si el paso dos te orienta hacia una plataforma de ERM o GRC, es decir, si tu riesgo es principalmente interno y tu escala justifica un sistema de registro, esto es lo que realmente distingue una buena plataforma de una cara.
Un registro de riesgos que la gente use de verdad. El registro es el corazón de un sistema de ERM, y uno que nadie actualiza es solo una base de datos con las preocupaciones del año pasado. Aquí importa más la facilidad para capturar información que la profundidad de las funciones.
Una vinculación de controles que refleje cómo operas realmente. El valor de ERM está en ver qué controles atienden qué riesgos y dónde hay brechas. Si vincular un control toma veinte minutos, nadie lo hará y el mapa quedará obsoleto.
Reportes que un consejo acepte sin objeciones. Con frecuencia esta es la verdadera razón por la que se compra el software, así que conviene probarla directamente. ¿Puede producir, con un clic, algo que tu comité de riesgos vaya a leer?
Un flujo de trabajo que asigne responsables. Un riesgo sin responsable no tiene respuesta. Las buenas herramientas de ERM dejan explícita esa responsabilidad y le dan seguimiento. Las débiles permiten que los riesgos permanezcan sin asignar en un registro para siempre.
Compatibilidad con marcos de referencia, si la necesitas. Si gestionas conforme a ISO 31000, COSO o un régimen regulatorio específico, la plataforma debería manejar ese lenguaje de forma nativa, en lugar de obligarte a adaptarla.
Y una capacidad de crecimiento realista. Algunas herramientas de ERM están diseñadas y tienen precios para empresas del Fortune 500, y abrumarán a una empresa mediana con una complejidad que no necesita. Otras son tan ligeras que apenas superan a una hoja de cálculo. Ajusta la complejidad a tu tamaño.
El ROI real del software de gestión de riesgos
Todos los proveedores tienen una calculadora de ROI, y la mayoría son ejercicios de multiplicación creativa. Esta es la versión honesta de dónde viene realmente el retorno y de dónde no.
El retorno menos tangible, pero real, es el tiempo. El software absorbe tareas de riesgo que consumían días de trabajo de analistas: reunir evidencia, dar seguimiento a los responsables y compilar reportes. Esto se puede medir y es el retorno más fácil de justificar, aunque también el más fácil de exagerar.
El retorno mayor y más difícil de medir está en las pérdidas evitadas, y cuantificarlo es realmente complicado porque estás asignando un valor a eventos que no ocurrieron. Un riesgo detectado a tiempo cuesta menos que el mismo riesgo detectado tarde, a veces por varios órdenes de magnitud. El problema es que un año sin incidentes se ve igual tanto si tu software evitó tres desastres como si no iba a ocurrir ninguno, y ninguna calculadora puede decirte cuál fue el caso.
La forma de volver esto concreto, en lugar de hipotético, es calcular el costo de una sola omisión. ¿Cuánto te cuesta realmente un riesgo material descubierto demasiado tarde, en pérdidas directas, remediación, gastos legales, reputación y tiempo de la alta dirección? Compara el costo del software con esa cifra y el cálculo deja de tratarse de funciones para centrarse en el valor esperado.
Construimos un modelo aritmético completo precisamente para esto, porque si tienes que justificar el gasto en una reunión de presupuesto, necesitas una cifra que resista el escrutinio, no el multiplicador de un proveedor.
Una precaución. Desconfía de cualquier cálculo de ROI basado en el mayor desastre histórico de tu sector, multiplicado por una tasa supuesta de prevención del cien por ciento. Ninguna herramienta lo evita todo, y un modelo que supone que sí te está vendiendo una sensación, no un pronóstico.
Las funciones que realmente justifican su lugar
En todas las categorías, algunas funciones sí permiten prever si estarás satisfecho con la compra, y otras solo sirven para lucirse en la demo. Esta es la distinción honesta.
Cobertura que corresponda a tu ámbito de exposición al riesgo. Fíjate en la formulación. No “el mayor número de fuentes”, que es una métrica de vanidad. Las fuentes adecuadas para aquello a lo que realmente estás expuesto. Una herramienta que cubre once mil fuentes, ninguna relacionada con tu riesgo específico, no cubre nada que te importe.
Relación entre señal y ruido. Pregunta directamente por las tasas de falsos positivos y desconfía de quien no quiera hablar de ellas. Una herramienta que genera cuatrocientas alertas por semana que nadie lee es funcionalmente idéntica a una que no genera nada, y cuesta más. El filtrado es el producto. La cobertura es la materia prima.
Trazabilidad de las fuentes. Y aclaro que esto es algo que nos importa, para que lo valores con ese contexto. ¿Cada resultado se puede rastrear hasta una fuente primaria que puedas abrir y verificar, o es una conclusión en la que te piden confiar? Esto importa cada vez más a medida que más herramientas generan resúmenes, y es una pregunta válida para cualquier proveedor del mercado, incluidos nosotros. La respuesta correcta es un enlace, no un párrafo.
Tiempo hasta obtener valor. ¿Días, semanas o una implementación de seis meses con una partida de servicios profesionales? En algunas categorías, una implementación larga es inevitable. En otras, es señal de que el producto necesita que tú hagas su configuración.
Integración con la forma en que tu equipo ya trabaja. Una herramienta que exige iniciar sesión en un panel separado que todos olvidarán abrir termina ignorada para la sexta semana, por buena que sea su detección. Debe llegar al equipo donde ya trabaja.
Alertas y escalamiento que asignen a una persona. La detección sin canalización es ruido. Las mejores herramientas asignan un responsable por nombre y un plazo de respuesta a lo que detectan. Las débiles solo lo muestran y dan el trabajo por terminado.
Y el costo total, incluido el personal. La licencia es una cifra. La persona que la opera es otra, y con frecuencia es mayor. Una herramienta barata que necesita un analista de tiempo completo no es una herramienta barata.
Lo que seduce y no debería: una interfaz refinada, el número bruto de fuentes, una amplitud de funciones que nunca usarás y la demo que se ejecutó con un ejemplo cuidadosamente elegido. Todo eso parece información relevante durante una evaluación y casi no permite prever si dentro de un año estarás satisfecho con la compra.
¿Qué funciones ofrecen el mayor valor práctico?
Si tuviera que reducir la lista anterior a las tres funciones que distinguen con mayor fiabilidad una herramienta que conservarás de una que dejarás de usar discretamente, serían estas.
Primero y por encima de todo, el filtrado. Todo el valor del software de riesgos consiste en convertir un gran volumen en una lista breve de asuntos que realmente merecen tu atención. Una herramienta que hace esto bien merece conservarse aunque sea débil en otros aspectos. Una que lo hace mal no sirve aunque sea buena en todo lo demás, porque te vas a ahogar en información.
Después, la posibilidad de verificar. En algún momento tendrás que actuar con base en lo que te diga el software y quizá justificar esa acción ante un regulador, un socio limitado o un consejo. Si no puedes rastrear la afirmación hasta una fuente, estás actuando por fe, y la fe no es una postura defendible en una función de riesgos.
Después, la adaptación a tu flujo de trabajo. La herramienta con la mejor detección del mundo fracasa si está en un lugar que tu equipo nunca consulta. Su valor práctico depende en parte de que se use de verdad, y el uso depende en gran medida de dónde aparece.
Paso cinco: ponla a prueba frente a las cuatro formas en que esto sale mal
Antes de firmar, evalúa lo que estés por comprar frente a las cuatro fallas que explican la mayor parte del arrepentimiento en esta categoría. Cada una es, en realidad, una pregunta que debes hacer al proveedor en voz alta y observar cómo responde.
| Tipo de falla | La pregunta que debes hacer |
| El contenedor vacío | ¿Esto detecta riesgos o solo organiza los que yo ingreso? |
| El aluvión de alertas | ¿Cómo es una semana normal de alertas y cuántas justifican actuar? |
| El perímetro equivocado | ¿Esto me observa a mí o a las entidades a las que estoy expuesto? |
| El resultado imposible de verificar | Cuando me dice algo, ¿puedo comprobarlo en una fuente? |
El contenedor vacío es la trampa específica de ERM en la que vale la pena detenerse. Un sistema de registro no es una fuente de inteligencia. Organiza lo que ingresas y no encuentra nada por sí solo. Las empresas compran ERM esperando que detecte riesgos externos y descubren, meses después, que el registro contiene exactamente lo que alguien escribió en él. Si necesitabas algo que saliera a buscar información, una plataforma de ERM no cumple esa función, y confirmarlo antes de firmar evita muchas decepciones.
Una nota sobre la IA, ahora que todos los proveedores dicen tenerla
Todos los productos de este mercado mencionan ahora la IA en su página de inicio, incluido el nuestro, así que su presencia no te dice nada. La pregunta útil es más concreta.
La IA sí transforma una cosa: leer volúmenes enormes de información no estructurada y extraer la fracción que importa, entre idiomas y fuentes que ningún equipo humano podría cubrir. Eso es real y es la parte por la que vale la pena pagar.
Es realmente peligrosa en una cosa: afirmar una conclusión que no puedes rastrear. Un resumen incorrecto, expresado con seguridad y con apariencia de autoridad en tu expediente, es peor que no tener resumen, porque actuarás con base en él y nunca sabrás que estaba equivocado.
Así que el criterio de compra no es si una herramienta tiene IA. Es si puedes verificar lo que la IA te dice. Pide el enlace a la fuente a todos los proveedores y considera su ausencia como respuesta a una pregunta más importante.
Cómo implementarlo sin el arrepentimiento habitual
La compra es la parte fácil. Durante el despliegue es cuando se abandonan buenas herramientas. Seis aspectos que conviene hacer bien, expuestos con brevedad a propósito.
Activa el monitoreo de uno o dos riesgos, no de treinta. Un aluvión desde el primer día solo enseña a la gente a ignorar el canal y, una vez que deja de leerlo, nada más de lo que hagas importa.
Define quién actúa ante cada alerta antes de activarla. De lo contrario, le llega a todo el mundo, que equivale a nadie.
Asume que tus primeros umbrales serán incorrectos. A todos les pasa. Durante un tiempo, reajústalos cada mes, no una sola vez.
Lleva las alertas al lugar donde el equipo ya trabaja. Si quedan detrás de un panel que nadie recuerda, es como si no existieran.
Agenda una fecha de revisión ahora. Las herramientas de riesgo quedan desactualizadas igual que las políticas, y una cita en el calendario es lo único que permite detectarlo de forma confiable.
Eso es todo. El detalle más importante, cómo canalizas y priorizas lo que detecta la herramienta, lo abordamos por separado en el artículo sobre canalización de alertas.
Preguntas frecuentes
Conclusión
La mayor parte de una buena elección ocurre antes de que evalúes a un proveedor. Mapea tu exposición. Identifica la categoría. Resuelve si vas a desarrollar o comprar. Si aciertas en esos tres puntos, la comparación final de proveedores se vuelve casi mecánica, porque ya sabes qué buscas y, de forma igualmente útil, qué no buscas.
Si te equivocas, ninguna matriz de funciones te salvará, porque estarás comparando con gran precisión las cosas equivocadas dentro de la categoría equivocada.
Y unas palabras para un tipo concreto de lector, ya que esta guía ha dado mucho peso a la distinción entre lo interno y lo externo. Si hiciste el paso uno y resultó que tu riesgo se encuentra principalmente fuera de tu empresa, en empresas del portafolio, contrapartes, fundadores y entidades a las que estás expuesto pero no controlas, una plataforma de ERM organizará de maravilla todo lo que ya sabes y no te dirá nada nuevo sobre el mundo exterior. Eso no es un defecto de ERM. Simplemente no es su propósito.
Ese mundo exterior es nuestra categoría.
Beady AI monitorea las entidades a las que estás expuesto en sanciones, medios adversos, registros mercantiles y suplantaciones, con cada señal rastreable hasta su fuente. Agenda una sesión y la probaremos con tus participaciones reales para que puedas evaluarla con tus propios riesgos en lugar de nuestra demo.
Y si el paso uno te orientó hacia otra opción, hacia Vanta, una plataforma de ERM, desarrollar por tu cuenta o la conclusión de que una hoja de cálculo y una fecha de revisión bastan por ahora, entonces esta guía cumplió su propósito. Ese también es un buen resultado, y uno honesto.
