En este episodio platicamos del sistema financiero mexicano (SFM), porqué está tan regulado y la participación de las áreas de control y vigilancia. Existe mucha regulación debido a lo que representa para el país y principalmente porque el dinero que se maneja en dicho sistema es de los clientes, por lo mismo se requiere una mayor vigilancia. Asimismo, el SMF se apega a las sanas prácticas internacionales como lo es Basilea y otros modelos de supervisión, de hecho, México es de los países que van a la cabeza de los demás en cuanto a su implementación. Existen diversos órganos vigilantes como lo son el Banco de México, la Comisión Nacional Bancaria y de Valores o la misma Secretaría de Hacienda y Crédito Público.

En las instituciones que participan en el SFM, se cuenta con áreas de control y vigilancia que los ayudan de dos maneras: 1) El área de control interno que le reporta a la administración y es su brazo derecho que le ayuda a realizar el diseño y la implementación del sistema de control, a madurar mediante revisiones que generan hallazgos y planes de acción, hasta que se logra un nivel adecuado a las necesidades de la institución, y  2) El área de auditoría interna, que es un ente independiente que reporta al comité de auditoría y al consejo de administración, como parte del gobierno corporativo y que se encarga de vigilar que el sistema de control interno en sus herramientas, mecanismos, actividades se mantienen trabajando de manera adecuada y brindan la seguridad que se requiere.

Respecto del modelo de tres líneas del Instituto de Auditores Internos, lo referente al área de control interno se vincula con lo que es la segunda línea de defensa debido a su grado de involucramiento en el entendimiento, diseño e implementación de las actividades de control. Por otro lado, las actividades de auditoría interna se refiere más a la tercera línea debido a que esas actividades están encaminadas a generar la confianza de las diferentes personas interesadas llámese clientes, proveedores, inversionistas, acreedores, entre otros. mediante su vigilancia independiente de que el sistema de control sigue funcionando conforme a lo esperado.

Los órganos de gobierno en el sistema financiero por regulación, deben contar con el apoyo de consejeros independientes para promover esa transparencia y objetividad. Tanto el consejo de administración como el comité de auditoría cuentan con personas muy experimentadas en diferentes temas que le ayudan a lograr sus objetivos, a que se mantenga la esencia del negocio y de la generación de valor para los accionistas, inversionistas y demás interesados...  sin dejar de cumplir con sus obligaciones marcadas por la regulación, la seguridad de los recursos, un adecuado apetito de riesgo y la correcta rendición de cuentas.

Haciendo una comparación del gobierno corporativo con las empresas no reguladas o quizás empresas más pequeñas o familiares, esas reuniones donde los dueños, la familia y en algunos casos amigos de confianza que tienen experiencia en diferentes temas como son contabilidad, finanzas, ingenieros operativos, abogados, entre otras, analizan los resultados de la empresa o los problemas a los que se enfrentan, es muy similar a lo que se hace en las reuniones de las grandes empresas con órganos formales de gobierno corporativo, porque al final del día lo que se busca es la generación de valor, la mitigación de los riesgos, la mejor manera de enfrentar los retos y hacer todo esto dentro del marco de control que cada una de las empresas auto-define.

Este año se ha dado un gran paso hacia adelante en el avance de la transformación digital tanto en los procesos de auditoría como de documentación de todos los procesos de las instituciones de sus procesos de negocio, agilizando así el trabajo del día a día de sus colaboradores tanto en las áreas de atención a cliente, las operativas, las áreas staff y las de control y vigilancia.

Las organizaciones pueden trabajar cada vez de mejor manera a través de controles, metodologías, herramientas tecnológicas.

La Arquitectura Empresarial es una disciplina con alrededor de 30 años en el mercado. Se origina esta práctica por John Zachman que identificó la complejidad de las organizaciones que cuentan con procesos, tecnologías, recursos humanos, objetivos, riesgos, controles, etc. Lo que hace esta persona es poner en el mercado un marco de referencia con cuatro capas que conforman a una compañía:

1) Estrategia; 2) Negocio (procesos, procedimientos, políticas); 3) Aplicaciones y datos; y 4) Infraestructura tecnológica

Estas dimensiones están relacionadas y dependen una de otra. Si algo sucede exitoso o deficiente en cada una de ellas, se verá reflejado en otra.

La idea de la arquitectura empresarial es identificar esos componentes que conforman a la organización, plasmarlos en mapas o modelos para tener una mejor visualización de la información.

Los especialista en arquitectura empresarial conocen de elementos de cumplimiento, de la dependencia de un proceso acerca de lo que sucede en otro proceso o actividad en otra de las capas o dimensiones. Saben vincular hechos y consecuencias de las actividades y transacciones a lo largo y ancho de la empresa.

Este marco de referencia se alinea con otros referentes al control interno y administración de riesgos en el sentido de que todo nace de los objetivos estratégicos de la empresa, hacia dónde va en el corto, mediano y largo plazo. Una vez que se conoce esa información, se puede construir la manera en que se llegará a esos objetivos mediante los procesos del negocio, las personas responsables de hacerlo posible y alineados a las políticas y procedimientos de la empresa que son los generadores de información para una mejor toma de decisiones, siempre soportados por las herramientas tecnológicas que hacen posible la eficiencia y eficacia operativa del negocio.

Los principales beneficios de la arquitectura empresarial son:

- Contar con más y mejor información para tomar decisiones más precisas 

- Tener conciencia de las dependencias de las diferentes capas, procesos con procesos, procesos con personas, procesos con tecnología, personas con tecnología, entre otros.

- Al tener esa conciencia, las personas amplían su visión del negocio ya que no solamente ven su propio espacio del proceso, sino que conocen de quién dependen y hacia dónde va lo que ellos hacen

- Facilita y agiliza la identificación de riesgos

- Agiliza el trabajo de las áreas de control y vigilancia para conocer la empresa y sus componentes críticos haciendo un análisis de la información de manera integral para enfocar de manera más precisa el uso de recursos en los riesgos y controles más críticos de la empresa

- Los mapas de procesos de negocio actualizados porque cada persona involucrada puede acceder y proponer modificaciones en beneficio de sus necesidades para que las demás áreas involucradas las analicen y se genere la mejora continua

- Visibilidad y trazabilidad de la información

Contar con una metodología implementada de arquitectura empresarial ayuda a tener una mejor definición de los procesos, del lenguaje de negocio llevado a las áreas de soporte como son tecnología, control interno, administración de riesgos, auditoría interna, etc. Es decir, se alinea la manera en que todos se refieren a las mismas actividades. Ej. Ventas Internacionales vs Sales Management vs Ventas Institucionales… son 3 diferentes formas de mencionar un mismo proceso.

Estas actividades de arquitectura empresarial se pueden hacer con herramientas estándar de office, Google, etc., o, utilizar herramientas tecnológicas que facilite su diseño, elaboración, gestión, actualización, consulta, entre otros, vale la pena reflexionar los beneficios de usar una herramienta profesional para documentar los procesos.

Con la evolución del contralor tradicional a contralor de negocio, las principales competencias y habilidades son: 1) Conocimientos de principios contables – aplicada al negocio en particular, 2) Habilidades de análisis, 3) Proyección de información hacia el futuro, 4) Conocimientos de temas fiscales; aunque en todos estos temas se recomienda trabajar en conjunto con las áreas expertas de la empresa en estas especialidades.

Las habilidades de comunicación son relevantes porque el contralor de negocio es un interlocutor entre áreas operativas y las contables, administrativas, fiscales, jurídicas, etc. Debe tener la capacidad de “traducir” y la actitud de servicio para generar la colaboración.

Se debe seguir aprendiendo, es imprescindible buscar formas más fáciles de hacer el trabajo de “talacha” y dedicar más tiempo al análisis. Esto implica buscar tutoriales, cursos online, tips en internet para facilitar sus actividades. Esto hace la diferencia entre el profesional estándar y los que se destacan del resto.

Se requiere crecer en conocimientos técnicos porque los retos que surgen no son todos iguales, hay situaciones similares pero que la ubicación geográfica, los requisitos regulatorios de industria, la cultura del mercado en el que sucede, entre otras cosas, hacen que sea diferente el tratamiento financiero, contable, etc.

De gran ayuda es contar con una red de contactos con quienes encontrar respuestas cuando se nos cierra el mundo, esta red se desarrolla desde la primaria que son más personales, pasando por la universidad o maestría y se consolida con colegas en la empresa, en los institutos, colegios, etc. y ahora más fácil en las redes sociales.

La expectativa de los órganos de gobierno y de la administración de las responsabilidades del contralor de negocio, también ha evolucionado: 1) se tienen objetivos individuales y objetivos de desarrollo. Por ejemplo de objetivo individual puede ser “Generar un presupuesto con las menores desviaciones, es decir que sea lo más preciso posible”, por otro lado, el objetivo de desarrollo puede ser “Generar una interacción apropiada, oportuna, proactiva con las contrapartes en la implementación del proyecto X”. 2) Los principales objetivos para facilitar nuestro desarrollo profesional son ligados a la relación que se construya con los socios principales que son las áreas comerciales y las de ingeniería, además de el apoyo que se les brinde en su relación con las demás áreas como tecnología, finanzas, etc. para ayudarlos a hacer negocio.

En cuanto a las relaciones que se tienen con otras áreas de control y vigilancia, son principalmente contabilidad, impuestos, tesorería y control de riesgos. Se ayuda a que se cumplan sus lineamientos y se les provee de información para hacer su trabajo de manera completa, precisa y oportuna. Se apoya en la explicación de movimientos en la información operativa y financiera, se solicita apoyo para que esas áreas blinden las operaciones de la empresa, etc. Se atiende a los auditores externos,  se les provee información y explicaciones de variaciones en la información año con año. Se atiende a los auditores internos en los diferentes tipos de revisiones, ya sea de procesos, de controles específicos, incluso cuando identifican proyectos que fueron exitosos y recaban las buenas prácticas para buscar replicarlas en otras ubicaciones o proyectos similares.

Es importante recordar que el control depende de las mismas áreas de negocio en cada uno de sus colaboradores, la función de contralor de negocio se desarrolla mejor si cada quien se responsabiliza de sus actividades y en todo caso, solicita apoyo para hacerlo mejor a quienes tienen mayor conocimiento técnico del lenguaje de control y desarrollo.

¿Qué es y qué hace un contralor de negocio?

- El contralor tradicional es visto como un policía, quien se encarga de que se cumplan las políticas y procedimientos de control interno y sirve como filtro de operaciones responsable de verificar que no se realicen transacciones fuera de los lineamientos establecidos por la administración. Se conoce tradicionalmente como el “Portero” que ataja las operaciones cuyas características están fuera del marco de control.

- El contralor de negocio se debe ver como un socio de las diferentes partes involucradas (stakeholders), asegurando el cumplimiento de esos mismos lineamientos que se mencionan arriba, pero con un enfoque de colaborar con el cumplimiento de resultados del negocio como están planteados, ayudando a competir en esas difíciles condiciones de mercado mediante la adaptación de los controles sin exponer a la compañía a riesgos que estén fuera del apetito de riesgo de la compañía. Se busca el “cómo sí”.

Los Contralores de Negocio encuentran las áreas donde las operaciones pueden convivir con las necesidades de los clientes y proveedores, dentro de los lineamientos de la compañía, compartiendo responsabilidades sobre los riesgos y alcanzando los niveles apropiados de autorización.

Es imprescindible que los colaboradores de las áreas de negocio hagan conciencia de que las políticas, procedimientos, lineamientos, etc., existen para cubrir a la empresa de alguna situación adversa que afecte el logro de objetivos. El Contralor de Negocio realiza la labor de explicar a las demás áreas de las causas que detonan la existencia de las condiciones a cumplir en cada transacción, en beneficio de la seguridad de la empresa.

Las explicaciones deben incluir los razonamientos utilizados para definir los lineamientos, límites, términos, etc., por ejemplo, el hecho de que la autorización de una excepción puede detonar que hacia adelante se tenga el precedente con el mismo cliente o proveedor, abriendo la puerta para que sea aplicable a otras transacciones, otras regiones o ubicaciones, lo que quizás hoy nos ayudó a cerrar un negocio y más adelante pudiera generar fricciones que incluso puedan afectar nuestro modelo de negocio.

El proceso de implementación del sistema de control y evolución de la Contraloría en diferentes países y regiones, es diferente en cada ubicación porque tienen necesidades distintas y en función a esas características culturales, retos económicos o de negocio, se avanza en el nivel de madurez hacia un estatus homologado de aplicación de los lineamientos institucionales sin que esto limite “innecesariamente” la generación de los resultados establecidos.

Parte del éxito del sistema de control interno maduro, tiene que ver con el “ownership”, que es el adueñarse de la responsabilidad de los controles a lo largo de la ejecución de las transacciones y los diferentes procesos de negocio de todas las áreas; si cada quien conoce a detalle su rol y lo hace como parte de su responsabilidad, la ejecución será más efectiva e incluso se tendrá retroalimentación desde la operación hacia las áreas que documentan los lineamientos para que se les facilite la operación, sin que se ponga en riesgo la capacidad de la empresa de seguir cumpliendo sus objetivos estratégicos.

Cuando se alinean los diferentes departamentos en función a esas responsabilidades de control interno, permite que la interacción entre todas las partes logren poner los controles precisos en puntos específicos que promuevan la agilidad sin perder la seguridad de que no se expone a la compañía a situaciones desfavorables o riesgosas, más allá de aquellas que se tengan medidas, controladas, aceptadas o administradas dentro del modelo de negocio aceptado por la administración y los órganos de gobierno.

.

Comentarios de cómo lograr la eficacia y eficiencia en nuestras áreas de control y vigilancia. 

Los principales objetivos operativos o internos de una función de control interno, asumiendo que estos por supuesto deberán estar alineados a los objetivos estratégicos de la empresa, pero digamos que enfocados en la generalidad de una área de este tipo.  1) Generar valor, 2) Dejar de ser percibidos como costo, 3) Buscar una transformación en la percepción de lo que hacemos, que nos vean como parte importante del negocio y 4) Entender los objetivos de la empresa y alinear los de nuestras áreas para que realmente se genere valor.

Apegarnos a la estrategia de la empresa, colaborar con las demás áreas y en función a eso se desarrolla el mapa de acción. Hacer sociedad con las demás áreas de negocio y las otras áreas de control y vigilancia.

Las expectativas que se tienen de las áreas de control y vigilancia se resumen en: Darle al Consejo de Administración, los Comités y la Alta Administración la tranquilidad de que el sistema de control funciona de forma correcta. Para lograr esto ayuda que todos ellos confíen en la metodología de trabajo. Si se tienen objetivos claros, los riesgos asociados, los controles que los mitigan, el apetito de riesgo de la administración y equilibrar la cantidad de controles enfocándose en la calidad y que sean adecuados… no por tener más es mejor, al contrario, si el control resta agilidad entonces ya se está desalineado de la empresa…

Lo ideal es tener un tablero de control que nos indique cómo van las cosas, si se deben tomar precauciones al acelerar las operaciones, o al girar el rumbo de la empresa; si se tiene esa tranquilidad de la seguridad con que vamos caminando, el valor del sistema de control interno será bien percibido.

El sistema de control debe alinearse al momento que vive la empresa, a veces más estricto y a veces más agresivo por necesidades del negocio, siempre de la mano del adecuado monitoreo y aprobado por los órganos de gobierno y de la administración.

Las áreas de control interno deben ser proactivas, encontrar los controles preventivos, eso da más valor y tranquilidad en contra de la incertidumbre que se siente si solo se tienen controles reactivos o correctivos.

Algo que ayuda mucho a una empresa cuando adquiere otros negocios vía fusiones, adquisiciones, etc., es promover a que se adhieran y apeguen a su cultura organizacional. Estar abiertos a aprender de los demás, pero tener un sistema de control muy ligado a los valores de la empresa y robustecer con las experiencias de los que van llegando.

En el caso de las empresas de otros continentes, de diferentes países, con diferencias en idioma, cultura, etc. La mejor herramienta que han tenido es demostrar que se tiene conocimiento, que se usan las mismas bases teóricas y técnicas, pero además explicar las razones por las que se hace de esta manera, demostrar que es algo lógico y que genera valor. Siempre habrán retos específicos, pero en lo general si se hace la explicación de manera atractiva, hará sentido para los profesionistas de los diferentes lugares.

La evolución del área de control interno evoluciona dependiendo de las circunstancias de las empresas. Una manera de ir avanzando con las áreas de negocio es adecuar nuestro mensaje a su idioma. Encontrar la convergencia de lo que es su visión de riesgos con la visión de las áreas de control

El incorporar las herramientas tecnológicas es importante, empujar la incorporación de la empresa a la era digital no solo en la parte comercial sino también en el backoffice.

Fomentar la comunicación entre control interno, auditoría, ERM, cumplimiento, etc., para administrar esfuerzos y evitar duplicidad de funciones.

La preparación no solo sobre control interno o auditoría; Negocios, estrategia, gobierno corporativo, temas de vanguardia, tecnología, networking e intercambio de experiencias.

Un factor normal que se nos complica es que nuestro lenguaje es muy técnico, es recomendable utilizar un lenguaje menos aburrido, usar términos de las áreas de negocio y hacerlo sencillo.

Tres de las responsabilidades más importantes de las áreas de control interno son:

Recordar que la operación es la primera línea de defensa y áreas como control interno son consideradas en la segunda. Cada uno tiene sus propias responsabilidades respecto del sistema de control interno.

Explicar a las áreas de negocio claramente que ellos son responsables de los controles, identificar necesidades de capacitación en áreas o personas para que los asuman como propios y dar ejemplos de cuáles y por qué son los controles parte de su trabajo.

Existen empresas de todos tamaños y grados de madurez en las que debemos identificar la cultura organizacional, el perfil de los dueños, accionistas, administración, empleados, para que en función al perfil específico, se diseñe la comunicación referente al control interno, políticas, procedimientos, riesgos, apetito al riesgo, responsabilidades, etc.

Una actividad que ayuda a hacer conciencia en la gente es transmitirles que no se va a controlar a las personas, se controlan los procesos, identificar en conjunto con ellos las actividades que realmente se requieren blindar y cuáles sólo harán más lento el proceso sin agregar valor.

Los órganos de gobierno deben establecer los objetivos y las áreas de control y vigilancia, pueden ayudar a traducir esto al lenguaje de proceso con el fin de llegar a la gente y explicarles lo que la administración necesita de cada puesto. Que exista una alineación de objetivos de los dueños, órganos de gobierno, administración, control y vigilancia,  y de ahí hacia todas las personas.

Hacer una segmentación de a qué niveles se llevará la información y diseñar un plan de comunicación específico para que se llegue con las palabras apropiadas y que sean entendibles.

El mejor control es el que no se ve. Otra herramienta para mejorar la “evangelización” son los valores y cultura de la empresa. Lograr que los colaboradores tengan un perfil ético sólido para que cada quién en su ámbito, al hacer las cosas correctas por su propia ética, permiten que los controles sean más de confianza, sin que dejen de existir validaciones o “sensores” que avisan si hay desviaciones que debieran ser sancionadas.

Contar con documentación que establezca “las guías” de comportamiento para hacer el trabajo en cada puesto y cada área, considerar el apoyo de las herramientas tecnológicas ya que éstas dan solidez a los controles y facilitan la accesibilidad y actualización de los lineamientos.

Hacer políticas en lenguaje sencillo y dirigido a los puntos esenciales sin que se conviertan en pergaminos interminables de muchas hojas donde se pierde el mensaje.

Contar con un canal de comunicación que publique los nuevos lineamientos o las modificaciones de los ya existentes, debido a que son muy dinámicos. Lograr que las mismas áreas avisen de los cambios que se requieren y hacer alianza con TI que nos avisen si se piden cambios que afecten el control interno.

Hay que creer en el valor que generamos y asegurarnos de demostrarlo.

A continuación les comparto una breve descripción de varios elementos básicos que en mi opinión, deben considerarse al diseñar e implementar una área de auditoría interna.

Un buen marco de referencia a utilizar son las normas internacionales para el ejercicio profesional de la auditoría interna, emitidas por el Instituto de Auditores Internos y complementar esos lineamientos con una buena mezcla de análisis y experiencia para hacer el área a la medida de las necesidades actuales del negocio y monitorear la forma en que debe ir evolucionando con la empresa.

Lo dividí en 6 temas:

Gobierno: La manera de alinear los estatutos de la Función con los del Comité de Auditoría, asegurándonos que se establece de manera precisa el rol que jugará auditoría interna en la empresa de acuerdo a sus necesidades y en coordinación con la agenda de trabajo de los órganos de gobierno. 

ERM: La función de auditoría interna utiliza la evaluación de riesgos de la empresa como input para sus actividades, dicha evaluación se sugiere que, al menos al inicio, se haga por la administración o que participemos en conjunto con ellos a fin de limitar la posibilidad de quedar cortos en el entendimiento de los riesgos más importantes por falta de conocimiento de la operación.

Estrategia: Asegurarnos que la estrategia de la función de auditoría interna esté en línea con los objetivos estratégicos de la empresa y verificar que los de cada área en particular también están dirigidos en ese sentido. 

Administración: La función de auditoría interna debe contar con sus políticas y procedimientos internos que establezcan la manera en que se realizará el trabajo por los integrantes del equipo. En este plan se determina la mecánica de elaboración del plan anual de auditoría interna basado en los riesgos más relevantes de la empresa y considerando el nivel de madurez de la compañía, a fin de que exista congruencia de lo que la empresa necesita y el valor que se generará desde la trinchera de los auditores.

Proceso: Cada proyecto calendarizado, debe planearse y supervisarse conforme al manual operativo de la función; contar con programas de trabajo que incluyan pruebas de control y sustantivas, sobre controles manuales y  automáticos, enfocados en auditar la manera en que se mitigan los riesgos más relevantes donde se pudiera tener un mayor impacto negativo y con alta probabilidad de materializarse. Una vez identificadas las deficiencias, monitorear que la empresa las corrija mediante el seguimiento de los planes de remediación correspondientes.

Personal: En mi opinión, es el recurso más importante de todas las empresas y todas las áreas. Se recomienda contar con la estructura organizacional adecuada incorporando profesionales de diferentes disciplinas y combinar sus experiencias para generar valor de manera más integral. Es importante establecer la forma en que se evaluará el desempeño y asignar la responsabilidad a cada miembro del equipo de su propio desarrollo en cuanto a mejorar habilidades y conocimientos. 

Todo lo anterior debe estar basado en los principios fundamentales de la páctica de auditoría interna, cuya efectividad dependerá del alto nivel de integridad, competencia y diligencia profesional que demuestren los miembros del equipo, mediante su ejecución objetiva y libre de influencias en cada proyecto ejecutado. También dependerá de la adecuada estrategia de la función alineada a los objetivos de la empresa y enfocada en vigilar los riesgos más altos que la pueden afectar mediante análisis profundos y con visión de futuro. Es responsabilidad del líder del área y del Comité de Auditoría asignarle recursos suficientes, vigilar la calidad de su trabajo y evaluar la comunicación efectiva de los resultados que ayuden a la empresa a mejorar sistema de control interno.

Conversación sobre la ciberseguridad con Andrés Velázquez (Twitter @cibercrimen y Facebook @avelazquez.csi).

Ciberseguridad tiene que ver con administración de riesgos. Nuestra vida entera es una administración de riesgos. Los riesgos en sí, no se conocen como tal y sis darnos cuenta lo que pasa es que los tenemos controlados.

Es importante distinguir la ciberseguridad de la seguridad de la información, pero además es necesario poder explicarlo a la alta administración de tal manera que se sensibilicen de lo que es. Si lo dejamos solo como responsabilidad de TI genera un conflicto de interés y una limitación de alcance por la falta de entendimiento profundo de los procesos de negocio.

La ciberseguridad debe ser un tema del negocio, no del área de TI. Por ejemplo en la pandemia la administración en algunas empresas lo que hizo fue pedir a TI que activara los VPN’s, en lugar de haber realizado un análisis concienzudo de todos los riesgos que implicaría el trabajo remoto para proteger la información, la operación y se implementaran controles para seguir trabajando de buena manera. Respecto del Plan de Continuidad de Negocio, las empresas que habían incluido el riesgo de pandemias en su evaluación, se enfocaron en seguridad física, de los empleados, etc. pero no habían incluido lo necesario para que las operaciones no se detuvieran.

Ahora que los Consejos de Administración y Comités están leyendo más del tema de ciberseguridad una actividad importante es traducir el lenguaje técnico a lenguaje de negocio, explicar situaciones concretas que pudieran tener consecuencias en caso de no implementar ciertas actividades, herramientas y controles. 

En términos de lo que se describe en la página del “Observatorio de ecomerce” se puede explicar la seguridad de la información es un todo y la ciberseguridad es una parte. La seguridad de la información incluye las medidas y conceptos de protección de información y datos de valor de la empresa. La ciberseguridad incluye prácticas de ataque, controlar y atacar para validar que los controles protegen a la empresa. 

La seguridad de la información se basa en técnicas, herramientas y metodologías de seguridad. El obtener certificaciones como ISO 27001 no es necesariamente suficiente. Es indispensable entender qué se debe proteger de la organización y desarrollar una estrategia que se conecte con la ciberseguridad. 

Ciberseguridad es un tema estratégico, es importante ubicar esta área en la estructura organizacional evitando los conflictos que se generan, por ejemplo, si queda en TI o Finanzas o Control Interno, se sugiere que reporte al Director General. De esa manera los esfuerzos y recursos que se inviertan en estos temas serán estratégicamente puntualizados.

Recomendaciones para incrementar nuestro conocimiento de ciberseguridad y cómo aplicarlo en nuestro trabajo:

Sensibilizarnos y ayudar a que el personal de las empresas y nuestras propias familias aprendan sobre el tema de ciberseguridad, estamos expuestos y hay que ser incrédulos de las cosas para estar protegidos.