Hoja de ruta del cumplimiento

1) Nombramiento y principios

La Hoja de Ruta del Cumplimiento (Compliance Roadmap) es un plan de trabajo único en un horizonte de 12 a 24 meses, vinculado a riesgos, licencias, estrategia de productos y requerimientos de las jurisdicciones.

• Risk-first: prioridad por impacto en licencias, PII/finanzas, sanciones y plazos regulatorios.
• Evidence by design: los artefactos y métricas se colocan en el plan inicialmente.
• Policy-/Assurance-as-code: requisitos y pruebas de control - como código.
• Una oportunidad: cada iniciativa tiene un propietario, un SLA, un presupuesto y criterios de éxito.
• Transparencia: backlog general, dashboards, comités regulares, escaladas.

2) Horizontes y estructura del plan

Estratégico (12-24 meses): objetivos, licencias/certificaciones (ISO/SOC/PCI, etc.), deadline regulatorio, modelo de madurez objetivo.
Táctica (trimestres, 3-6 meses): épicas y lanzamientos: políticas, control, VRM, privacidad, formación, auditoría-preparación.
Operativo (meses/semanas): tareas en ITSM/Jira, reglas CCM, integración, migración de datos, capacitación.

Artefacto: mapa «Temas → Épicas → Fichi → Tareas» con referencia a riesgos, controles y métricas.

3) Cartera de iniciativas (esqueleto de referencia)

1. Governance & Politics: repositorio, taxonomía, lifecycle, localización.
2. Controles y CCM: directorio de aprobaciones de control, pruebas como código, integración con logs/métricas.
3. Privacidad (DSAR/Retence/Legal Hold): procesos, herramientas, informes.
4. VRM/Socios: due diligence, retén espejado, derecho de auditoría, confirmaciones.
5. Licencias/certificaciones: plan de auditoría, hojas PBC, «audit pack».
6. AML/KYC/Payments: reglas, monitoreo, operaciones de chargeback, reporting.
7. Formación y certificación (LMS): curriculums por roles/países, recertificaciones.
8. Incidencias/BCP/DR: playbucks, pruebas RTO/RPO, post-mortem → CAPA.
9. Seguimiento de cambios legales y alertas: radar, priorización, implementación.
10. Análisis y dashboards: KPI/KRI, risk heatmap, readiness.

4) Priorización y evaluación

Métodos: RICE + Risk, WSJF c risk adjustment, matriz «Impacto × Urgencia × Regulador Deadline × Adicciones».

• Amenaza de licencia/multas/sanciones (Critical/High/Medium/Low).
• Jurisdicciones afectadas y escala de base de clientes.
• Disponibilidad de medidas compensatorias rápidas.
• Costo/recursos y ruta crítica.

Salida: Backlog clasificado, etiquetado con deduplines reguladores y auditorías obligatorias.

5) RACI y administración

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

6) Adicciones y ruta crítica

Desactivaciones regulatorias y ventanas de auditoría/certificación.
Integraciones (SSO/lógica/datos) y migraciones.
Apdates contractuales (DPA/SLA/addendums).
Lanzamientos de productos y techdolg (bloqueando las getas CI/CD).
Herramientas: diagrama de Gantt/PERT, scripts «what-if», búferes de alto riesgo.

7) Presupuesto y recursos

Planificación de FTE/horas-vendedor/licencias; split Build/Buy/Partner.
Reservas para servicios de auditoría/pentest/legal.
ROI/TCV: reducción de multas/chargeback, agilización de auditorías, ahorro en operaciones manuales.

8) Policy-/Assurance-as-code

Aprobaciones y umbrales de control: en YAML/JSON (id, métrica, threshold, fuentes).
Reglas CCM (Rego/SQL) en un repositorio con versiones y proceso PR.
Gates CI/CD y horarios de verificación automática; Almacenamiento WORM para evidence.

9) Milestones y criterios de aceptación (DoD)

• Políticas/estándares/SOP actualizados con versiones y changelog.
• Controles/reglas de CCM implementadas, tasa de paso ≥ destino.
• Pruebas (registros/descargas/capturas de pantalla) con recibos hash.
• Aprendizaje (LMS) y read- & -attest sobre los roles afectados.
• Espejo de Vendor confirmado (si hay terceros).
• Plan de re-auditar y seguimiento de 30-90 días (cheque drift).

10) Métricas y KPI/KRI hoja de ruta

Milestones en tiempo real (por trimestres), objetivo ≥ 90-95%.
Índice de reducción de riesgos (∆ de riesgo agregado).
Controls Pass Rate y Evidence Completeness (objetivo 100% para los obligatorios).
Time-to-Audit-Ready (reloj para recoger «audit pack»).
Vendor Certificate Freshness (socios críticos - 100%).
Training Completion и Refresher Lag.
Repeat Findings и CAPA On-time.
Regulatory On-time Compliance (antes de la fecha límite del regulador).

11) Dashboards (conjunto mínimo)

View Roadmap: épicas/barrios, estados (Planned → In Progress → Verify → Done).
Risk Heatmap: antes/después de las iniciativas, riesgo residual.
Controls & Evidence: pass-rate, reglas «rojas», completeness.
Regulatory Clock: Desactivaciones de normas, probabilidad de caducidad.
VRM Mirror: confirmaciones de proveedores y subprocesadores.
Training & Attestations: cobertura y atrasos por roles/países.

12) Comunicaciones y buy-in

Un-pager en la épica: «qué/por qué/cuándo/criterios de éxito».
Battle-rhythm semanal: apdates de estados/riesgos/bloqueadores.
Canal de Q&A y reloj de oficina para equipos y regiones.
Calendario público de auditorías/deduplines.

13) Gestión de riesgos de la hoja de ruta

El registro de los riesgos de las iniciativas: veroyatnost/vliyanie/triggery/vladeltsy.
Medidas compensatorias y waivers con fecha de caducidad.
Reglas «stop-the-line» cuando se amenaza con licencias/multas: decisiones rápidas del Comité.
Re-baseline regular con cambios legales sustanciales.

14) SOP (procedimientos estándar)

SOP-1: Elaboración de una hoja de ruta

La recogida de las exigencias (riski/regulyatorika/post-mortemy/audity) → skoring → RICE/WSJF → la afirmación por el Comité → la publicación Roadmap.

SOP-2: Planificación trimestral (PI Planning)

Descomposición de épicos → objetivos del trimestre → dependencia/ruta crítica → ranuras de lanzamientos y capacitación → alineación de presupuestos.

SOP-3: Administración de cambios de Roadmap

Solicitud de modificación (reason/impact) → análisis de riesgos/recursos → decisión del Comité → actualización de planes/dashboards.

SOP-4: Cierre de la iniciativa

Comprobar DoD → recopilar el paquete de evidence → escribir lecciones → actualizar el repositorio de políticas/controles → el plan re-audit.

15) Patrones de artefactos

15. 1 Tarjeta épica (ejemplo)

ID/Título/Jurisdicciones/Dedline

Objetivo de negocio y riesgo-racionalizado

Políticas/controles/SOP a modificar

Métricas de éxito y umbrales de destino

Restricciones/ruta de acceso crítica

Presupuesto/recursos/vendedores

Plan de formación y comunicación

DoD y lista de evidencia

15. 2 Quarterly Roadmap (cuadrícula)

15. 3 Evidence Pack (tabla de contenido)

1. Diff Políticas/Controles → 2) Informes CCM → 3) Registros/capturas de pantalla → 4) LMS/pruebas → 5) Confirmaciones Vendoras → 6) Protocolo del Comité.

16) Ejemplo de plan trimestral (fragmento)

Q1: repositorio de políticas (M2), lanzamiento de CCM para IAM/retención, DSAR-SLA dashboard, onboarding VRM, cursos básicos de ética.
Q2: localización para EEA/UK, Legal Hold y WORM Archive, auditoría-dry-run, procesos de pago chargeback.
Q3: certificación de fase de fieldwork ISO/SOC, ejercicios de DR, reglas antifraude y monitoreo, offboarding de afiliados.
Q4: inspección/reportaje externo, cierre de CAPA, re-audit, refresh curriculum, plan 2026.

17) Antipatternas

«Lista de hoteles» sin riesgo-score y desdlines.
Políticas sin controles ni métricas medibles.
Comprobaciones manuales sin evidence y WORM.
Ausencia de negocios y regiones buy-in.
No hay formación/comunicación → baja aceptación.
Waivers eternos, transferencias sin análisis de riesgo.
No hay re-audit → reincidencias.

18) Modelo de madurez (M0-M4)

M0 Ad-hoc: ficciones reactivas, no hay plan general, «incendios».
M1 Catálogo: Lista de iniciativas, bases de datos y propietarios.
M2 Manejable: puntuación de riesgo, planes trimestrales, dashboards y evidence.
M3 Integrado: policy-/assurance-as-code, gates CI/CD, «audit pack» por botón, espejo vendor.
M4 Continuous Assurance: KRI predictivo, planificación automática, prioridades recomendadas, inspecciones continuas.

19) Artículos relacionados wiki

Repositorio de políticas y normas

Monitoreo continuo de cumplimiento (CCM)

Seguimiento de actualizaciones legales/Alertas de cambios regulatorios

KPI y métricas de cumplimiento

Planes de solución de irregularidades (CAPA) y auditorías repetidas

Comprobaciones externas realizadas por auditores externos

Guía de cumplimiento para socios

Almacenamiento de pruebas y documentación

Resultado

La hoja de ruta del cumplimiento es un programa de cambio administrado donde los riesgos y los deduplines regulatorios se traducen en épicas, controles y evidencias específicas. Con este enfoque, el cumplimiento se vuelve predecible, medible y escalable - y la compañía «audit-ready» en cualquier momento.