Qué pasa con tu cumplimiento cuando la formación vence y entra gente nueva

Cerrar el último hueco de una norma se parece bastante a cruzar una meta. El tablero queda verde, la evidencia está cargada, el informe sale limpio. Cuatro semanas después, sin que nadie haya tocado la configuración, ese mismo tablero vuelve a mostrar personas sin cubrir, porque la vigencia de la formación de varias de ellas terminó por el camino.

Ese retroceso tiene una explicación sencilla. La cobertura de una norma es una foto con fecha, y eso convierte el cumplimiento en un blanco móvil. Lo que hoy cuenta como cubierto deja de contar en algún momento, y mientras eso ocurre la organización sigue incorporando personas que nunca vieron ese contenido.

Cuando presentamos el Compliance Center mostramos cómo se ve el cumplimiento en tiempo real, y al explicar cómo se configura un Plan de cumplimiento desarrollamos qué se decide antes de arrancar. Queda una pregunta abierta. ¿Qué hace ese plan los meses siguientes, cuando el terreno se mueve por su cuenta?

¿Qué es la vigencia de la formación?

La vigencia de la formación es el período durante el cual una capacitación completada sigue siendo válida como evidencia de cumplimiento. Cuando ese período termina, la persona vuelve a contar como brecha, aunque haya aprobado el contenido en su momento y aunque el certificado siga guardado en alguna carpeta.

No es una invención de las plataformas. El control 6.3 de ISO/IEC 27001, dedicado a la concienciación y la formación en seguridad de la información, pide que el personal reciba actualizaciones periódicas apropiadas a su función. La palabra que hace todo el trabajo ahí es periódicas. Una formación de hace dos años no responde a ese requisito por completa que haya sido en su día.

Es el mecanismo por el que el cumplimiento de tu programa se cae en marzo sin que nadie apague nada. La cobertura se va venciendo persona por persona, en fechas distintas.

¿Por qué el cumplimiento nunca queda terminado?

Porque hay tres cosas que se mueven a la vez y ninguna espera a que tengas tiempo.

La primera es el calendario. Cada persona cubierta arrastra su propia fecha de caducidad, según cuándo completó la formación. En una plantilla de 500 personas eso son 500 relojes que corren en paralelo, uno por cada fecha de finalización. Quien entró en enero vence en enero y quien se incorporó en agosto vence en agosto, así que nunca hay un mes en el que el tablero se quede quieto.

La segunda es la plantilla misma. Cada alta suma alguien al alcance de la norma desde su primer día, y cada cambio de área puede sumarle una obligación que antes no tenía.

La tercera es el contenido. Repetir el mismo material cada doce meses mantiene el porcentaje, pero deja de enseñar.

¿Cómo se lleva esto con una planilla?

A mano, las tres se atienden de la misma manera. Alguien abre la planilla cada tanto, ordena por fecha de finalización, cruza el listado contra el último export del directorio y arma la tanda de asignaciones que toca. Con eso alcanza para llegar a la auditoría, y el costo no aparece en la planilla.

Aparece en el intervalo. La planilla describe el estado del día en que se actualizó, no el de hoy, y el lapso entre esas dos fechas es exactamente el tiempo que la organización pasa sin saber a quién le falta formación. Quien empieza en septiembre no tuvo ocasión de completar la formación que asignaste en abril y aparece como brecha desde el primer día, pero solo se hace visible cuando alguien actualiza el universo a mano. Es la misma trampa que hace que tu porcentaje de cumplimiento mienta aunque marque 100%.

Con el contenido pasa algo parecido. Reasignar el mismo módulo del año pasado es la salida rápida cuando la revisión es manual, así que el segundo ciclo repite el material del primero. La gente reconoce las pantallas, avanza hasta el final y aprueba sin leer. Cumples con el registro y pierdes el efecto que justificaba el registro.

¿Qué hace distinto el agente del Compliance Center?

El agente del Compliance Center de SMARTFENSE revisa el estado de cumplimiento todos los días y asigna formación sin esperar a que alguien abra una planilla. Trabaja sobre las mismas tres fuerzas, una por una:

• Vigencia. Cada persona tiene su propia fecha de caducidad y el agente la mira a diario. Cuando una cobertura vence, esa persona vuelve al estado de brecha y entra en la cola del plan ese mismo día, no en la próxima revisión trimestral.
• Altas. El universo se lee desde el directorio en uso, no desde una lista exportada. Cuando defines el alcance con grupos inteligentes en lugar de con nombres propios, el alta de un empleado lo incorpora al plan sin que nadie lo edite, y la baja lo saca del cálculo.
• Rotación. El agente guarda registro de qué recibió cada persona y con qué formato. Quien cubrió el tema de contraseñas con un módulo interactivo el año pasado lo vuelve a ver este año en cómic, en video o en una pieza breve de refuerzo, sobre el mismo requisito de la norma. La cláusula queda igual de cubierta y la persona vuelve a prestar atención, porque el formato cambia lo que la gente retiene.

Sobre esa cola diaria, el agente atiende primero el peor gap de la organización, que en la práctica suele ser quien lleva más tiempo descubierto. La variedad de formatos disponibles es lo que le permite sostener la rotación año a año, y la rotación pasa a ser una decisión del plan, no una tarea tuya de cada diciembre.

¿Qué te queda por supervisar?

El tablero deja de ser algo que actualizas y pasa a ser algo que consultas. Tú supervisas; él ejecuta.

En tus manos sigue el criterio de vigencia que aplica a cada norma, la excepción puntual cuando un área no puede recibir formación en una semana determinada y la lectura del informe cuando toca presentarlo. El agente asume el trabajo repetitivo de detectar quién venció, quién entró y a quién le corresponde qué contenido esta semana.

Lo que cambia en el día a día es dónde estás mirando. Ya no revisas si el plan está al día. Revisas si el plan está haciendo lo correcto.

El Compliance Center está funcionando con los primeros equipos que lo adoptaron y lo estamos afinando con ellos antes de abrirlo al resto. Si administras un programa donde la vigencia y las altas te obligan a rehacer el plan cada mes, escríbenos para sumarte al grupo de early adopters y lo vemos con tu caso sobre la mesa.