Back The blueprintEl plan de adopción

Eight phases that produce seven artifactsOcho fases que producen siete artefactos

Implementation runs as a programme. Each phase produces auditable deliverables and explicit decisions, and the deliverables are not optional: that is what makes the framework self-auditing.La implantación se ejecuta como un programa. Cada fase produce entregables auditables y decisiones explícitas, y los entregables no son opcionales: eso es lo que hace que el marco se autoaudite.

F0 to F7De F0 a F7

Scoping and design run first, human-led. The analytical engine then runs on its own cadence while translation and audit close the loop, back into the next cycle.El alcance y el diseño van primero, dirigidos por personas. El motor analítico corre luego a su propia cadencia mientras la traducción y la auditoría cierran el bucle, de vuelta al siguiente ciclo.

Direction and scopeDirección y alcance

The governing body declares purpose, objectives with measurable targets, and the materiality scope. Nothing starts before it is signed.El órgano de gobierno declara el propósito, los objetivos con metas medibles y el alcance de materialidad. Nada empieza antes de firmarse.

Business mapMapa de negocio

A Business Grid workshop maps the organization into bounded contexts around stakeholder impact, with interfaces and dependencies explicit.Un taller de Business Grid mapea la organización en contextos delimitados en torno al impacto en las partes interesadas, con interfaces y dependencias explícitas.

Event discoveryDescubrimiento de eventos

Event Storming with the people who do the work: the real events, commands and policies, not a reference model.Event Storming con las personas que hacen el trabajo: los eventos, comandos y políticas reales, no un modelo de referencia.

Metric catalogCatálogo de métricas

At least one lagging outcome and one leading signal per objective, causal link explicit, every metric gate-validated before it enters the registry.Al menos un resultado rezagado y una señal anticipada por objetivo, con el vínculo causal explícito, y cada métrica validada por la puerta antes de entrar en el registro.

Causal analysisAnálisis causal

The DCCA pipeline stands up in coverage mode and runs on its own published cadence from the first cycle, no outcome labels needed.El proceso DCCA se levanta en modo de cobertura y corre a su propia cadencia publicada desde el primer ciclo, sin necesidad de etiquetas de resultado.

Intervention designDiseño de intervenciones

Pipeline output becomes a control library with test procedures and owners. Staggered rollout preserves a holdout, so effects stay measurable.La salida del proceso se convierte en una biblioteca de controles con procedimientos de prueba y responsables. Un despliegue escalonado preserva un grupo de control, de modo que los efectos siguen siendo medibles.

GRC translationTraducción a GRC

The work becomes the documents the organization operates on: policies, procedures, registers, and the executive dashboard.El trabajo se convierte en los documentos con los que opera la organización: políticas, procedimientos, registros y el panel ejecutivo.

Audit and improveAuditar y mejorar

The first internal audit runs against the new baseline. Findings feed the improvement plan, and the next cycle of F0 to F3.La primera auditoría interna se ejecuta frente a la nueva línea base. Los hallazgos alimentan el plan de mejora, y el siguiente ciclo de F0 a F3.

The key invariant: no metric reaches executive visibility without traversing all eight phases at least once. A metric introduced outside the sequence is an unauthorized metric until it is anchored to an objective, a context, an event and a registry entry.El invariante clave: ninguna métrica llega a la visibilidad ejecutiva sin recorrer las ocho fases al menos una vez. Una métrica introducida fuera de la secuencia es una métrica no autorizada hasta que se ancla a un objetivo, un contexto, un evento y una entrada del registro.

Minimum viable complianceCumplimiento mínimo viable

Seven artifacts drawn from one repositorySiete artefactos extraídos de un repositorio

A0 to A6 constitute a defensible compliance baseline. The artifact layer is a view over a shared repository, so the same obligation, risk or control appears in several artifacts without duplication.De A0 a A6 constituyen una línea base de cumplimiento defendible. La capa de artefactos es una vista sobre un repositorio compartido, así que la misma obligación, riesgo o control aparece en varios artefactos sin duplicarse.

Scope statement and stakeholder mapDeclaración de alcance y mapa de partes interesadas

Delimits the boundaries of governance across the security, privacy and AI management scopes. Prevents perimeter creep.Delimita las fronteras de la gobernanza en los ámbitos de seguridad, privacidad y gestión de IA. Evita la expansión del perímetro.

OwnerResponsable governing body órgano de gobierno
AnchorsAnclas ISO/IEC 27001, ISO 37301, ISO/IEC 42001, ISO/IEC 27701

Compliance obligations registerRegistro de obligaciones de cumplimiento

A living list of obligations, regulatory and contractual. Una lista viva de obligaciones, regulatorias y contractuales. GDPR and the y la EU AI Act anchor here alongside their ISO counterparts. se anclan aquí junto a sus equivalentes ISO.

OwnerResponsable compliance function función de cumplimiento
AnchorsAnclas ISO 37301, GDPR, EU AI Act

Policy portfolioCartera de políticas

Security, compliance, privacy and AI policies: intent, objectives and improvement commitments, approved by top management.Políticas de seguridad, cumplimiento, privacidad e IA: intención, objetivos y compromisos de mejora, aprobados por la alta dirección.

OwnerResponsable compliance and system owners cumplimiento y responsables de sistema
AnchorsAnclas ISO/IEC 27001, ISO 37301, ISO/IEC 27701, ISO/IEC 42001

Risk methodology and criteriaMetodología y criterios de riesgo

Acceptance, evaluation and treatment criteria, so risk decisions are repeatable, comparable and documented with justification.Criterios de aceptación, evaluación y tratamiento, para que las decisiones de riesgo sean repetibles, comparables y documentadas con justificación.

OwnerResponsable risk function función de riesgo
AnchorsAnclas ISO 31000, ISO/IEC 27001, ISO 37301, ISO/IEC 42001

Statements of applicabilityDeclaraciones de aplicabilidad

Security and AI. Evidence that the necessary controls were considered, with every exclusion rationalized and traceable.Seguridad e IA. Evidencia de que se consideraron los controles necesarios, con cada exclusión justificada y trazable.

OwnerResponsable security and AI leads responsables de seguridad e IA
AnchorsAnclas ISO/IEC 27001 Annex A, ISO/IEC 42001 Annex AISO/IEC 27001 Anexo A, ISO/IEC 42001 Anexo A

AI system impact registerRegistro de impacto de sistemas de IA

Identifies, evaluates and addresses the impacts of AI systems. EU AI Act classification anchors here.Identifica, evalúa y aborda los impactos de los sistemas de IA. La clasificación de la EU AI Act se ancla aquí.

OwnerResponsable AI governance lead responsable de gobernanza de IA
AnchorsAnclas ISO/IEC 42001, EU AI Act

Internal audit and management reviewAuditoría interna y revisión por la dirección

Converts conformity into a cycle of verification and improvement. The one role independent of delivery, which is what makes its findings credible.Convierte la conformidad en un ciclo de verificación y mejora. El único rol independiente de la entrega, que es lo que hace creíbles sus hallazgos.

OwnerResponsable internal audit auditoría interna
AnchorsAnclas ISO/IEC 27001, ISO 37301, ISO/IEC 27701, ISO/IEC 42001

Every artifact is versioned, owned, classified and retained under one documentary-control template. The governing body stays accountable for all of it; delegation never transfers accountability.Cada artefacto se versiona, se asigna a un responsable, se clasifica y se conserva bajo una única plantilla de control documental. El órgano de gobierno sigue siendo responsable de todo ello; la delegación nunca transfiere la rendición de cuentas.

Four cadences that form one loopCuatro cadencias que forman un bucle

ContinuousContinua

The pipelineEl proceso

Criterion scores, composites, snapshots and attribution, on the published cadence.Puntuaciones por criterio, compuestos, instantáneas y atribución, a la cadencia publicada.

MonthlyMensual

Operational reviewRevisión operativa

Compliance, risk owners and security review the scorecard and in-flight remediation.Cumplimiento, responsables de riesgo y seguridad revisan el cuadro de mando y las remediaciones en curso.

QuarterlyTrimestral

Executive reviewRevisión ejecutiva

The governing body reviews control effectiveness, objectives and scope changes.El órgano de gobierno revisa la eficacia de los controles, los objetivos y los cambios de alcance.

AnnualAnual

Strategic reviewRevisión estratégica

Full re-evaluation of direction and scope against the year's evidence. The next cycle begins.Reevaluación completa de la dirección y el alcance frente a la evidencia del año. Empieza el siguiente ciclo.

10–12

Weeks, minimum, in a small organization. Parallel workstreams in a larger one.Semanas, como mínimo, en una organización pequeña. Flujos de trabajo en paralelo en una más grande.

The recommended sequenceLa secuencia recomendada

Sign F0.Firmar F0. Purpose, objectives, materiality scope. Produce the scope statement. Propósito, objetivos, alcance de materialidad. Producir la declaración de alcance.
Run F1 and F2 in parallel.Ejecutar F1 y F2 en paralelo. Business Grid with the executive team, then Event Storming per context. Business Grid con el equipo directivo, luego Event Storming por contexto.
Run F3.Ejecutar F3. One lagging outcome and one leading signal per objective, registered with formula, cadence, owner and evidence. Un resultado rezagado y una señal anticipada por objetivo, registrados con fórmula, cadencia, responsable y evidencia.
Stand up F4 in coverage mode.Levantar F4 en modo de cobertura. Useful scores from the first cycle; no waiting for outcome history. Puntuaciones útiles desde el primer ciclo; sin esperar un historial de resultados.
Draft the obligations register and policies in parallel.Redactar el registro de obligaciones y las políticas en paralelo.
Produce the risk methodology and the statements of applicability.Producir la metodología de riesgo y las declaraciones de aplicabilidad.
Run F5.Ejecutar F5. Controls with tests and owners, rolled out staggered. Controles con pruebas y responsables, desplegados de forma escalonada.
Run F6.Ejecutar F6. Publish the dashboard, the responsibility matrix and the runbooks. Publicar el panel, la matriz de responsabilidades y los runbooks.
Run F7.Ejecutar F7. First internal audit against the new baseline; findings feed the next cycle. Primera auditoría interna frente a la nueva línea base; los hallazgos alimentan el siguiente ciclo.