Matriz de responsabilidad

1) Propósito y valor

La matriz RACI hace transparentes los roles y puntos de decisión en cada paso del proceso, reduce los riesgos operativos y acelera las alineaciones.

• Eliminar las «zonas grises» y la duplicación de esfuerzos;
• Garantizar la aplicabilidad de las políticas y los requisitos de control;
• simplificar la auditoría mediante asignaciones de funciones probadas.

2) Términos y opciones

R (Responsable): realiza el trabajo/tarea.
A (Accountable) - es el responsable último, aprueba el resultado (uno por tarea).
C (Consultado) - asesora, se involucra antes de la decisión (comunicación bidireccional).
I (Informed): se notifica después de la decisión (comunicación unilateral).

• RASCI: añade S (Support) - Soporte operativo del ejecutante.
• DACI: D (Driver), A (Approver), C (Contributor), I (Informed) - énfasis en el controlador.
• RAPID: Recommend, Agree, Perform, Input, Decide - útil para soluciones de productos.

3) Principios de diseño RACI

1. Una A por tarea es la rendición de cuentas inequívoca.
2. Tanto R como sea necesario, pero evite «R por todo».
3. C - esencialmente, no «por si acaso» (de lo contrario, frenamos el flujo).
4. I - direccional: informamos a aquellos cuyas acciones dependen del resultado.
5. Relación con DoA/SoD: la autoridad y el reparto de responsabilidades no deben entrar en conflicto con RACI.
6. Versificación: cambios RACI → PR/rugido/recibo hash → publicación.

4) Dónde aplicar

Incidentes y crisis (IB/pagos/privacidad).
DSAR/retén/eliminación de datos.
VRM/onboarding y auditoría de socios.
Lanzamientos y juegos de cumplimiento en CI/CD.
Marketing y publicidad responsable.
Disputas de pago/chargeback.
Enseñanzas BCP/DR y Legal Hold.

5) Roles (diccionario de ejemplo)

Board/Комитет, CEO/ExCom, Head of Compliance, Legal/DPO, Risk Office, Internal Audit, CISO/SecOps, CTO/Platform, Data Governance, Payments/Finance, Vendor Management, Marketing/PR, Support/Operations, HR/L&D, Product/Engineering, Regional Leads.

6) Ejemplos de matrices RACI

6. 1 Incidente de privacidad (filtración de datos)

6. 2 DSAR: acceso/eliminación

6. 3 Vendedores críticos de Onboarding (VRM)

6. 4 Versión de la puerta de cumplimiento

7) Comunicación con DoA/SoD y las políticas

DoA (Delegación de Autoridad): A debe tener la autoridad de aprobación prescrita en la DoA.
SoD (Separation of Duties): R y A en pasos críticos no se combinan con la ejecución de pagos/acciones administrativas.
Políticas/estándares: cada línea de la matriz hace referencia a las aprobaciones de control y SOP.

8) Proceso de creación y modificación de RACI

1. Quitar el proceso actual (gráfico E2E, puntos de decisión).
2. Definir roles desde el diccionario, negociar con los propietarios de dominios.
3. Rellene RACI a nivel de pasos/soluciones, compruebe los conflictos con DoA/SoD.
4. Validar en la práctica (table-top/simulación).
5. Aprobar y publicar en el repositorio (Git), incluir en el wiki/portal.
6. Soporte de relevancia: desencadenantes - cambio de estructura orgánica, jure. actualizaciones, resultado de auditoría/incidente.
7. Versificación y pruebas: historial de relaciones públicas, recibos hash, archivo WORM.

9) Métricas y dashboards

RACI Coverage:% de los procesos clave con matriz fresca.
Compliance Single-A: porcentaje de tareas con exactamente una A (objetivo 100%).
C/I Noise Ratio: extra consentido/notificado (tendencia ↓).
Time-to-Decision: mediana de negociación de pasos RACI.
SoD Conflicts: conflictos identificados y cerrados por funciones.
Audit-Ready: proporción de matrices enlazadas a políticas/controles/SOP y evidence.

Dashboards: Process Map + RACI overlay, Lead Time per RACI step, Org Heatmap (cuellos de botella de negociación).

10) SOP (procedimientos estándar)

SOP-1: Diseño RACI

Mapeo del proceso → borrador de matriz → verificación de DoA/SoD → piloto/simulación → aprobación por el Comité → publicación.

SOP-2: Revisión trimestral

Recopilar cambios de organestructura/políticas → revisiones de matrices → actualizaciones de PR → read- & -attest para roles afectados.

SOP-3: Incidente desencadenante

Tras el incidente, ajuste de RACI (por ejemplo, refuerzo A/C, desagregación R) → actualización de SOP/controles → retest.

SOP-4: Formación

Micro-curso de lectura de matrices y casos; obligatorio para las funciones A/R.

11) Plantillas

11. 1 Tabla RACI (Markdown)

Шаг процесса      Описание      R      A      C      I      Контролы/SOP
---    ---    ---    ---    ---    ---    ---
P-01      Прием запроса      Support      Head of Compliance      Legal/DPO      Product      SOP-DSAR-001, CTRL-DSAR-SLA

11. 2 artefacto YAML (anclaje policy-as-code)

yaml process: "DSAR"
version: "1.3.0"
steps:
- id: P-01 name: "Intake & Verify"
R: ["Support"]
A: ["Head of Compliance"]
C: ["Legal/DPO"]
I: ["Product"]
controls: ["CTRL-DSAR-SLA","CTRL-PII-MIN"]
sop: ["SOP-DSAR-001"]
evidence: ["hash://evidence/dsar/intake-log.csv"]
meta:
owner: "Policy Owner - Privacy"
review_date: "2026-01-31"

11. 3 Tarjeta de cambio RACI

Justificación (incidente/auditoría/actualización legal)

Asignación de roles antigua/nueva

Impacto en DoA/SoD

Plan de formación/comunicación

Enlaces a los recibos PR/hash

12) Integraciones

Repositorio de políticas: vínculos desde matrices a aprobaciones de control.
GRC: almacenamiento de versiones y read- & -attest.
HRIS/LMS: perfiles de rol → aprendizaje para A/R.
ITSM/Jira: tareas de negociación y SLA sobre pasos RACI.
CCM: verificaciones automáticas de la presencia de A/R en metadatos de acción (por ejemplo, registros administrativos, lanzamientos).

13) Antipatternas

Dos o más A para la tarea.
«R en todos» y «C/I para marcar» → sobrecorriente de canales y retardo.
RACI sin comunicación con DoA/SoD y controles.
Matriz desechable sin revisiones ni versionaciones.
Capturas de pantalla en lugar de artefactos vivos (no probables).
La falta de formación para A/R → la conformidad «en papel».

14) Modelo de madurez (M0-M4)

M0 Ad-hoc: los roles no son fijos, las concordancias son caóticas.
M1 Básico: RACI por procesos clave, actualizaciones manuales.
M2 Administrado: comunicación con DoA/SoD, repositorio, revisiones trimestrales, read- & -attest.
M3 Integrado: matrices YAML, proceso PR, enlace a controles/SSM e ITSM-SLA.
M4 Continuous Assurance: recomendaciones de optimización (cuellos de botella), verificaciones automáticas de SoD, analíticas de Lead Time y «what-if».

15) Artículos relacionados wiki

Marco de administración empresarial

Matriz de delegación de autoridad (DoA) y División de responsabilidades (SoD)

Monitoreo continuo de cumplimiento (CCM)

Repositorio de políticas y normas

Auditorías de departamentos cruzados

Gestión de crisis y comunicaciones

Hoja de ruta del cumplimiento

KPI y métricas de cumplimiento

Resultado

La matriz de RACI no es solo una tabla, sino un mecanismo de gobernabilidad: una persona responsable del resultado, ejecutantes claros y participantes, una relación probada con la autoridad y los controles, auditorías regulares y capacitación. Dicho sistema elimina retrasos, reduce riesgos y hace que los procesos sean «audit-ready» por defecto.