Contratos, servicios, funciones críticas y proveedores deben quedar relacionados.
El problema no es rellenar plantillas. Es conseguir que tus fuentes cuenten la misma historia.
La cadena función → servicio TIC → contrato → proveedor → subcontratación.
Coherencia entre fuentes maestras, identificadores, propietarios y reglas de actualización.
Que el registro puede reconstruirse y actualizarse cuando cambia un contrato o servicio.
| Clave | Qué revisar | Qué debería demostrar |
|---|---|---|
| ROI-01 | Función soportada | Criticidad y relación con el servicio de negocio. |
| ROI-02 | Servicio TIC | Tipo de servicio, alcance y datos implicados. |
| ROI-03 | Acuerdo contractual | Fechas, entidad contratante, terminación y renovaciones. |
| ROI-04 | Proveedor y grupo | Identidad legal, país y relaciones corporativas. |
| ROI-05 | Subcontratación | Cadena relevante para funciones críticas o importantes. |
| ROI-06 | Salida y concentración | Alternativas, portabilidad y dependencia acumulada. |
| Ref. | Evidencia | Qué debería demostrar |
|---|---|---|
| RI-01 | Modelo de datos y diccionario | Definición de campos, identificadores y relaciones. |
| RI-02 | Fuentes maestras | De dónde procede cada dato y quién lo mantiene. |
| RI-03 | Registro de información actualizado | Cobertura de acuerdos contractuales TIC y plantillas aplicables. |
| RI-04 | Validaciones de calidad | Duplicados, relaciones huérfanas, campos obligatorios y consistencia. |
| RI-05 | Revisión de criticidad | Vínculo con funciones críticas o importantes. |
| RI-06 | Proceso de cambio | Cómo altas, renovaciones, cambios y bajas actualizan el registro. |
El Registro de Información exige algo más que completar plantillas. Obliga a relacionar entidades, contratos, proveedores, servicios TIC, funciones soportadas, localizaciones y cadenas de subcontratación. Cuando esos datos proceden de Compras, Legal, CMDB, arquitectura y continuidad, aparecen diferencias de nombres, identificadores, fechas y propietarios.
La calidad debe gestionarse como un control. Cada campo necesita fuente, propietario, regla de validación y frecuencia de actualización. Los identificadores deben ser estables; las altas y bajas contractuales deben activar cambios; y las relaciones con funciones críticas deben revisarse cuando cambia la arquitectura o el servicio.
También conviene distinguir dato desconocido de dato no aplicable. Rellenar vacíos con valores genéricos permite completar una plantilla, pero destruye la utilidad del registro para analizar concentración, dependencia o capacidad de salida.
| Dominio | Control de calidad | Riesgo si falla |
|---|---|---|
| Proveedor | Identificador único, entidad legal, grupo y país. | Duplicados y concentración oculta. |
| Contrato | Fechas, renovación, rescisión, SLA, auditoría y salida. | Obligaciones no trazables y renovación automática de riesgo. |
| Servicio TIC | Descripción normalizada, propietario y tecnología utilizada. | Imposibilidad de relacionar incidentes y dependencias. |
| Función soportada | Relación con servicio de negocio y criticidad. | Prioridad incorrecta y supervisión incompleta. |
| Subcontratación | Cadena, localización y servicio delegado. | Cuarta parte invisible y salida no viable. |
Compras registra la marca comercial, Legal usa la sociedad firmante, Arquitectura identifica el producto y la CMDB conserva un nombre histórico. Al consolidar, parecen cuatro proveedores diferentes. El análisis de concentración concluye que no existe dependencia relevante, aunque varias funciones críticas utilizan servicios del mismo grupo.
La corrección requiere un modelo maestro que separe grupo, entidad contractual, proveedor técnico, servicio y producto. Después hay que relacionar cada contrato con la función soportada, el entorno, la región, los datos tratados y los subcontratistas relevantes.
Con esa estructura, el registro deja de ser una obligación aislada y permite responder preguntas útiles: qué funciones caerían ante una indisponibilidad regional, qué contratos vencen sin alternativa, qué proveedor concentra identidades o comunicaciones y dónde existen dependencias de salida no probadas.
Selecciona una función crítica y recorre todos sus servicios, contratos y terceros. Después selecciona un proveedor y recorre todas las funciones que soporta. Las dos rutas deberían producir el mismo mapa.
El primer control es de alta: ningún contrato TIC debería aprobarse sin los campos y relaciones necesarios para el registro. El segundo es de cambio: modificaciones de servicio, región, subcontratista o función soportada deben actualizarse de forma trazable.
El tercero es de conciliación. Periódicamente deberían cruzarse contratos, pagos, CMDB, catálogo de servicios y registro para localizar proveedores o servicios ausentes. El cuarto es de calidad: duplicados, identificadores inválidos, fechas incoherentes y campos desconocidos deben generar incidencias con propietario.
El quinto es de uso. Si el registro solo se abre para reportar, se degradará. Debe utilizarse en evaluación de concentración, incidentes, renovaciones, continuidad y estrategia de salida. Cuando el dato alimenta decisiones reales, la organización tiene incentivos para mantenerlo correcto.
La forma más útil de trabajar este tema es convertirlo en una cadena verificable de decisiones, responsables y evidencias. No basta con afirmar que existe un control: hay que poder reconstruir qué se decidió, con qué información, quién lo ejecutó y cómo se comprobó después.
En Registro de Información DORA: el inventario que expone tus dependencias TIC, el análisis debería cubrir al menos servicios financieros, acuerdos contractuales, funciones TIC, proveedores directos, subcontratistas, países de prestación, criticidad y dependencia. Esto exige coordinar a Dirección, Riesgo TIC, Continuidad, Seguridad, Operaciones, Compras, Legal y propietarios del servicio y trabajar sobre servicios, funciones TIC, contratos, proveedores, subcontratistas, ubicaciones, datos, dependencias y estrategias de salida. Cuando cada área conserva una parte distinta de la información, se retrasan decisiones, se duplican controles y se aceptan excepciones sin una visión completa.
Una forma práctica de evitarlo es utilizar un expediente único por servicio, sistema, proceso o decisión relevante. Puede ser una herramienta GRC, un repositorio documental controlado o un registro estructurado. Lo importante es conectar alcance, propietario, riesgo, control, evidencia, excepción y acción, con fecha, fuente y estado.
Ese expediente debe mantenerse durante la operación ordinaria. Si solo se completa antes de una auditoría, la organización obtiene una fotografía preparada, pero no una visión fiable del control. La actualización debería activarse ante cambios de arquitectura, proveedor, alcance, responsables, requisitos, incidentes o resultados de pruebas. También conviene definir una revisión periódica para detectar documentación formalmente vigente pero materialmente obsoleta.
La revisión debe separar cuatro preguntas: si el control está bien diseñado, si se ha implantado en todo el alcance, si funciona de forma sostenida y si reduce realmente el riesgo o cumple el objetivo. Mezclar estas preguntas lleva a conclusiones débiles: una política aprobada puede no haberse desplegado, una herramienta instalada puede no cubrir toda la población y una actividad ejecutada puede no producir el efecto esperado.
| Dimensión | Qué debe quedar definido | Evidencia esperada |
|---|---|---|
| Alcance | Procesos, servicios, sistemas y terceros incluidos en «Registro de Información DORA: el inventario que expone tus dependencias TIC». | Alcance aprobado, inventario y exclusiones justificadas. |
| Responsabilidad | Quién decide, ejecuta, valida y acepta desviaciones. | RACI, actas, aprobaciones y propietarios nominativos. |
| Operación | Actividades repetibles, entradas, salidas, plazos y escalados. | Procedimiento, tickets, registros, alertas y métricas. |
| Eficacia | Cómo se comprueba que el control cambia el riesgo o el resultado. | Pruebas, tendencias, incidencias, muestreo y acciones. |
Una captura demuestra un estado puntual. Un expediente completo demuestra el proceso, el criterio, la trazabilidad y la capacidad de corregir.
El objetivo no es generar más documentación, sino conservar la documentación que permite gobernar, operar y demostrar. La madurez aparece cuando las evidencias nacen del proceso ordinario y no de una campaña previa a la auditoría.