Durante mucho tiempo, los riesgos se gestionaron con hojas de cálculo y mediante un seguimiento manual. Pero en la actualidad se usan sistemas más eficientes que conectan datos, personas y flujos de trabajo.
Para las organizaciones que se enfrentan a requisitos de cumplimiento cada vez mayores, a ciberamenazas en constante evolución o a complejas redes de proveedores, un software de Gestión de Riesgos adecuado las ayuda a acceder a ellos más rápidamente y a actuar con mayor claridad.
Una plataforma de este tipo es ideal tanto si necesitas un soporte para las amenazas informáticos, las auditorías o el cumplimiento normativo, como para todo eso junto. Lo bueno es que existen muchas soluciones en el mercado. Para elegir la indicada, considera qué tipo de riesgos tienes que abordar así como el grado de flexibilidad que requieres para dichos procesos.
A continuación presentamos ocho opciones capaces de ayudar a las organizaciones a manejar el riesgo de diferentes maneras.
¿Qué es un software de Gestión de Riesgos?
El software de Gestión de Riesgos permite identificar, evaluar, supervisar y responder a los riesgos en diferentes áreas como IT, operaciones, cumplimiento y proveedores.
Estas herramientas suelen incluir flujos de trabajo para la evaluación de los riesgos, el seguimiento de los problemas, la elaboración de informes y el apoyo al cumplimiento normativo. Algunas se centran en un tipo específico de amenaza, mientras que otras ofrecen capacidades más amplias de Gestión Integrada de Riesgos (IRM - Integrated Risk Management).
Las principales soluciones para gestionar riesgos
El software de Gestión de Riesgos puede servir para fines muy diferentes dependiendo del contexto: algunos están diseñados para equipos encargados de realizar auditorías, otros para IT, cumplimiento o supervisión de los proveedores. Esta lista que presentamos a continuación incluye una mezcla de opciones creadas para apoyar una gama diversa de necesidades, desde funciones especializadas hasta programas más amplios de riesgos integrados.
1. InvGate Asset Management
InvGate Asset Management en 5 minutos (Demo)
2. Splunk
Desarrollada por Cisco Systems, Splunk es una plataforma de datos que se utiliza a menudo para la seguridad y la observabilidad, es decir, ayuda a las organizaciones a detectar anomalías y responder a los incidentes en tiempo real. La solución se puede implementar on-premise, en la nube o mediante una configuración híbrida.
Características
- Monitoreo y análisis en tiempo real.
- Gestión de Eventos e Información de Seguridad (SIEM - Security Information and Event Management).
- Aprendizaje automático para la detección de anomalías.
- Integración con una amplia gama de fuentes de datos.
Ventajas y desventajas
Ventajas:
- Potente para la detección de los riesgos de seguridad.
- Altamente personalizable.
- Escalable para un uso empresarial.
Desventajas:
- Curva de aprendizaje muy pronunciada.
- Aumento del costo al momento de escalar.
Precios
Splunk utiliza un modelo de precios basado en el uso, que depende del volumen de recolección, importación y procesamiento de los datos. Los detalles están disponibles bajo petición.
Opiniones y valoraciones de los usuarios
Con un puntaje de 4,4 en Gartner, el software sobresale por sus potentes capacidades de búsqueda, monitoreo y flexibilidad. Sin embargo, se registraron comentarios vinculados a la complejidad.
“En general, Splunk Enterprise es una plataforma asombrosa con varias características destacadas que la convierten en una propuesta de valor convincente, a pesar de sus altos costos. Es una de las mejores plataformas para el análisis de los datos de las máquinas para la inteligencia operativa, el análisis del negocio y la supervisión de la seguridad. Potencialmente muy onerosa -cualquiera con experiencia en Splunk sabe que la Gestión de los Costos puede ser un desafío-, especialmente para el procesamiento de grandes volúmenes de datos.”
Reseña de un usuario de Gartner, Ingeniero - Servicios de IT
3. Archer
Concebida por RSA, Archer constituye un software de Gestión de Riesgos integrado, utilizado usualmente para iniciativas de Gobernanza, Riesgo y Cumplimiento (GRC). La solución ayuda a centralizar datos, automatizar procesos y obtener información sobre las amenazas existentes en todos los departamentos.
Características
- Registro de riesgos: ofrece una visión centralizada de ellos, con detalles sobre la propiedad, el impacto y los planes de mitigación.
- Gestión de Riesgos de terceros: evalúa y supervisa las amenazas de los proveedores mediante cuestionarios y flujos de trabajo integrados.
- Gestión de Auditorías: realiza un seguimiento de los resultados de las auditorías para vincularlos a los riesgos y los controles asociados.
- Gestión de Políticas: distribuye políticas, hace un seguimiento de los acuses de recibo y garantiza el control de las versiones.
Ventajas y desventajas
Ventajas:
- Altamente configurable para necesidades empresariales complejas.
- Amplia cobertura de la GRC en una única plataforma.
- Gran capacidad de seguimiento para las auditorías y los reportes.
Desventajas:
- Curva de aprendizaje pronunciada.
- Puede requerir recursos de administración específicos para el mantenimiento continuo.
Precios
Los precios no están disponibles públicamente. Pero normalmente varían en función del número de módulos, los usuarios y la escala del despliegue.
Opiniones y valoraciones de los usuarios
En general, los usuarios valoraron positivamente a Archer por sus niveles de profundización y flexibilidad, especialmente en grandes organizaciones. Sin embargo, algunos mencionaron problemas de usabilidad. En Gartner, tiene una media de 4,2 sobre 5 estrellas.
“Archer es una herramienta modular de Gestión de Riesgos que permite niveles granulares de personalización para adaptarse a un enorme número de casos de uso. Aunque es popular en la actualidad debido a sus diversas capacidades, incluyendo integraciones con varias plataformas de seguridad, la interfaz de usuario es anticuada y hace que también la solución lo parezca.”
Opinión de un usuario de Gartner, Director Adjunto - Banco
4. MetricStream
Diseñada para las grandes empresas que buscan abordar el cumplimiento normativo, el riesgo operativo y las auditorías internas, MetricStream representa una solución de GRC basada en la nube. Dicha herramienta ofrece herramientas modulares capaces de adaptarse a las necesidades específicas para la Gestión de Riesgos.
Características
- Gestión de Riesgos Empresariales: los rastrea y mitiga de forma estructurada.
- Cumplimiento normativo: mediante la supervisión en tiempo real y las bibliotecas de contenido es posible mantenerse alineado con las cambiantes reglas del sector.
- Herramientas de riesgo operativo: realiza evaluaciones, define controles y automatiza las tareas de mitigación.
- Apoyo a la auditoría interna: coordina los ciclos de vida de dichas instancias con la planificación, la ejecución y el seguimiento.
Ventajas y desventajas
Ventajas:
- Amplias funciones para entornos con un alto grado de cumplimiento.
- Arquitectura escalable con aplicaciones modulares.
- Óptima automatización de flujos de trabajo y alertas.
Desventajas:
- Suele resultar caro para las empresas medianas.
- Implementación y personalización lleva tiempo.
Precios
El precio se basa en el presupuesto y se adapta al caso de uso, el número de usuarios y los módulos necesarios.
Opiniones y valoraciones de los usuarios
Los usuarios apreciaron la amplitud de las capacidades de GRC, especialmente para la documentación de riesgos y el seguimiento del cumplimiento. Algunos comentarios apuntaron a problemas de usabilidad y a una curva de implementación pronunciada. Gartner lo califica con 4 estrellas.
“MetricStream creó una plataforma perfecta para gestionar los datos de los riesgos. La visión centralizada y el menor número de reportes son las ventajas de un sistema de este tipo. Sin embargo, de vez en cuando surgen algunos problemas en términos de integración de la información, que pueden afectar la capacidad final de la plataforma.”
Opinión de un usuario de Gartner, Gerente Senior - Retail
5. LogicGate Risk Cloud
LogicGate Risk Cloud es una plataforma flexible para automatizar los flujos de trabajo de riesgos y cumplimiento, especialmente popular entre los equipos de las medianas y las grandes empresas que desean contar con un mayor control sobre cómo se construyen y escalan este tipo de procesos.
Características
- Generador de flujos de trabajo sin código: crea procedimientos de los riesgos sin depender de los desarrolladores.
- Gestión de Riesgos de terceros: aborda las evaluaciones de los proveedores y los esfuerzos de corrección.
- Pruebas de control y monitoreo: programa y automatiza revisiones de este tipo con notificaciones.
- Administración de incidentes: realiza un seguimiento de los problemas desde su detección hasta su resolución con registros completos de auditoría.
Ventajas y desventajas
Ventajas:
- Flujos de trabajo altamente personalizables.
- Interfaz intuitiva para usuarios sin conocimientos técnicos.
- Excelente servicio de atención al cliente.
Desventajas:
- Requiere cierto trabajo previo de diseño de procesos.
- Funcionalidad offline limitada.
Precios
Los precios son personalizados, dependiendo de las aplicaciones seleccionadas y de la escala de la implementación. Algunos usuarios señalaron que resulta más rentable a mayores volúmenes.
Opiniones y valoraciones de los usuarios
A menudo elogiado por su facilidad de uso y personalización, muchos usuarios subrayaron la posibilidad de ajustar rápidamente los procesos a medida que evoluciona su programa de riesgos. Posee 4,6 estrellas en Gartner Peer Reviews.
“Logicgate es un producto prometedor que adquirimos para sustituir a nuestro anterior proveedor de GRC. Aquello que más me gusta es la facilidad para la configuración y la personalización de las aplicaciones así como su funcionalidad para el análisis de los riesgos, que utiliza FAIR. No me gusta el tiempo de despliegue y lo confuso que son los módulos incluidos.”
Opinión de un usuario de Gartner, Asesor Senior de Riesgos de Seguridad - Seguridad de IT
6. Riskonnect
Otro software de Gestión de Riesgos integrado es Riskonnect, que está basado en la nube.
Diseñado para conectar los datos de dichos riesgos de todos los departamentos, se utiliza para el riesgo empresarial, la gestión de reclamos y el cumplimiento, especialmente en sectores como la salud y la manufactura.
Características
- Tableros ERM: supervisa y prioriza los riesgos en tiempo real mediante estos paneles.
- Seguimiento de los incidentes, reclamos y costos: los gestiona todos en un solo sistema.
- Rastreo del cumplimiento: es posible mantenerse al día de los requisitos normativos en todas las unidades del negocio.
- Mapeo de la tolerancia y el umbral de riesgo: define y supervisa estos límites para orientar las decisiones basadas en dicho riesgo.
Ventajas y desventajas
Ventajas:
- Diseñado específicamente para sectores muy regulados.
- Conecta datos de riesgo, cumplimiento y reclamos.
- Óptimas herramientas de visualización de los datos.
Desventajas:
- Interfaz anticuada.
- Requiere una configuración continua para obtener los mejores resultados.
Precios
Los precios son personalizados y se basan en el tamaño de la organización, los módulos y el caso de uso del sector. A su vez, se pueden solicitar demostraciones y presupuestos.
Opiniones y valoraciones de los usuarios
En general, se considera sólido y práctico para las organizaciones que necesitan informes detallados. Algunos comentarios sugirieron mejoras de la interfaz que podrían impactar en una optimización de su experiencia. Tiene una calificación de 4,1 en Gartner Peer Reviews.
“Es un producto fácil de implementar, que toma en cuenta la tecnología, las personas, el riesgo global y la gestión. La integración básica resulta sencilla. Con él logramos reducir el riesgo y mejorar la seguridad.”
Opinión de un usuario de Gartner, Ingeniero de Software
7. OneTrust
Si bien se inició como una herramienta de privacidad y cumplimiento, OneTrust amplió sus horizontes para incluir la Gestión de Riesgos. Con capacidades para enfrentar las amenazas informáticas y de terceros, ESG y ética, es adecuada para organizaciones con diversas necesidades de cumplimiento.
Características
- Gestión de Riesgos de IT y cibernéticos: realiza evaluaciones y ofrece flujos de trabajo de corrección.
- Herramientas de riesgos de terceros: automatiza la diligencia debida, el onboarding y el monitoreo de los proveedores.
- Cumplimiento de la privacidad: ofrece plantillas integradas y seguimiento para GDPR, CCPA y más.
- Programas de política y ética: gestiona códigos de conducta, formación y divulgación.
Ventajas y desventajas
Ventajas:
- Potente en privacidad y cumplimiento normativo.
- Actualizaciones frecuentes para cumplir con las leyes cambiantes.
- Se adapta bien a todas las funciones empresariales.
Desventajas:
- Puede resultar abrumador debido a la amplitud de sus capacidades.
- El precio puede aumentar rápidamente a medida que crecen las necesidades
Precios
Los precios se basan en suscripciones, variando ampliamente en base a los casos de uso y al número de módulos con licencia.
Opiniones y valoraciones de los usuarios
En general, los usuarios consideraron que OneTrust es completo y se encuentra actualizado de las tendencias normativas. Algunos mencionaron una curva de aprendizaje pronunciada durante la implementación. Posee un puntaje de 4,1 en Gartner.
“OneTrust Tech Risk & Compliance es una gran herramienta con un gran potencial, pero la incapacidad de personalizarla resulta decepcionante en este caso. El tablero centralizado constituye una gran ventaja, aunque es complejo ajustarlo para nuestro entorno particular.”
Reseña de un usuario de Gartner, Ingeniero de Redes
8. AuditBoard
Si bien comenzó como una plataforma de auditoría y cumplimiento SOX, AuditBoard evolucionó hasta convertirse en una solución más amplia de riesgo y cumplimiento. Se trata de una propuesta adecuada para equipos de auditoría interna, finanzas y responsables de cumplimiento.
Características
- Gestión de Riesgos: los identifica y supervisa con mapas de calor visuales y puntajes personalizados.
- Gestión de Auditorías: planifica, ejecuta y elabora informes de esta instancia en un único espacio de trabajo.
- Cumplimiento SOX: herramientas específicas para pruebas de control, documentación y seguimiento.
- Gestión de Políticas: centraliza y distribuye las políticas corporativas.
Ventajas y desventajas
Ventajas:
- Fácil de usar para auditores y equipos financieros.
- Gran compatibilidad con SOX.
- Registros de auditoría claros y documentación de pruebas.
Desventajas:
- Menos flexible para casos de uso fuera de una auditoría y del riesgo financiero.
- Puede que no cubra todas las necesidades de IRM de la empresa.
Precios
Los precios se basan en presupuestos. Normalmente varían en función del número de módulos y usuarios.
Opiniones y valoraciones de los usuarios
Frecuentemente elogiado por su facilidad de uso y ahorro de tiempo en los flujos de trabajo de auditoría. Tiene un puntaje de 4,5 en Gartner Peer Insights.
“La plataforma es altamente personalizable, por lo cual puede implementarse para satisfacer las necesidades de tu programa. Es una gran herramienta para la colaboración en equipo. Además, convierte a las personas interesadas en partes integrantes del proceso. Sin embargo, si tu programa no está desarrollado y maduro suele ser difícil de configurar. En nuestro caso, el equipo de implementación fue paciente y experto para guiarnos a donde necesitábamos llegar.”
Reseña de un usuario de Gartner, Administrador - Información de Riesgo y Cumplimiento
¿Cómo elegir la plataforma adecuada para la Gestión de Riesgos?
Antes de iniciar la búsqueda de productos, debes evaluar qué tipo de riesgos tienes que abordar. Porque el riesgo técnico, la supervisión de proveedores, los marcos de control interno y el cumplimiento de las políticas requieren diferentes funciones, flujos de trabajo y niveles de personalización.
Así, por caso, una institución financiera que se ocupa del riesgo del modelo posee necesidades muy distintas de las de un equipo informático que controla el cumplimiento de los parches.
Por lo tanto, enumera tus categorías de riesgos, la frecuencia y complejidad de las evaluaciones, quién es el responsable de la respuesta y cómo se gestionan los informes. Estos factores te ayudarán a definir tus exigencias.
Algunos departamentos buscan flujos de trabajo estructurados y preparados. Otros, mayor flexibilidad para configurar sus propias evaluaciones y modelos de puntajes.
Y ciertas herramientas son indicadas para organizaciones con modelos de gobernanza formales, mientras que otras están diseñadas para ser rápidas y adaptables.
Una vez que tengas una idea clara de tus requerimientos, focaliza en examinar las características principales que tienen que ofrecer las soluciones:
- Registros de riesgos y marcos de puntajes personalizados.
- Flujos de trabajo automatizados para evaluaciones y revisiones.
- Módulos de auditoría y pruebas de control.
- Herramientas de Gestión de Políticas y Documentación.
- Soporte para riesgos de terceros o proveedores.
- Mapeo de cumplimiento de normas como SOX, ISO, GDPR o HIPAA.
- Tableros para informar a las partes interesadas sobre los niveles de riesgo y las tendencias.
También es importante considerar cómo encaja la plataforma con los sistemas y equipos existentes, es decir, verificar la capacidad de integración con las herramientas utilizadas para la Gestión de Servicios, el control de identidades y accesos o la planificación de la continuidad del negocio.
Conclusión
La elección de un software de Gestión de Riesgos depende de la estructura de tu organización, de cómo defines y evalúas el riesgo, así como del nivel de coordinación necesario entre los departamentos.
Una solución creada para los equipos de IT no siempre se ajustará a los requerimientos de los departamentos de auditoría o el jurídico; y viceversa. Cuanto más claros sean los procesos, los usuarios y el contexto normativo, más fácil resultará identificar la plataforma adecuada.
En síntesis, la herramienta tiene que apoyar -no modificar- la forma de trabajar de tus equipos. Así que busca alguna que complemente sus prioridades y se adapte a ellas. Y hay que destacar que el riesgo no es estático, por lo cual tampoco debería serlo el software.
