Actualizado: octubre de 20264 min de lecturaRevisado por Christian Crespo
Respuesta rápida
GRC son las siglas de gobierno, riesgo y cumplimiento (governance, risk and compliance). Es un enfoque que integra en un único sistema cómo se fijan y supervisan los objetivos (gobierno), cómo se identifican y tratan los riesgos (riesgo) y cómo se demuestra el cumplimiento de leyes, normas y compromisos (cumplimiento). Su objetivo es eliminar silos, duplicidades de controles y evidencias dispersas, y dar a la dirección una visión única y fiable.
Compliance penal, canal de denuncias, protección de datos, NIS2, AI Act, CSRD, ISO 9001, ISO 27001… Cada nueva obligación suele llegar con su responsable, su hoja de cálculo y su auditor. El resultado es conocido: los mismos controles se documentan tres veces y nadie tiene la foto completa. GRC es la respuesta a ese problema.
Qué significa GRC
El término se popularizó a principios de los años 2000 de la mano de la OCEG (Open Compliance and Ethics Group), que lo define como la capacidad integrada de una organización para alcanzar sus objetivos de forma fiable, gestionar la incertidumbre y actuar con integridad. No es un departamento ni un software: es una forma de organizar el trabajo para que gobierno, riesgos y cumplimiento compartan datos, controles y evidencias.
| Componente | Pregunta que responde | Ejemplos |
|---|---|---|
| Gobierno | ¿Quién decide, con qué objetivos y cómo se supervisa? | Estructura del consejo, políticas, roles, código ético, delegaciones. |
| Riesgo | ¿Qué puede impedir lograr los objetivos y cómo lo tratamos? | Mapa de riesgos penales, de ciberseguridad, operativos, ESG y de terceros. |
| Cumplimiento | ¿Cumplimos lo que exigen las leyes, las normas y nuestros compromisos, y podemos demostrarlo? | Controles, evidencias, auditorías, canal de denuncias, certificaciones. |
Por qué el GRC importa ahora
En pocos años, las empresas han acumulado obligaciones que se solapan: la Ley 2/2023 del canal de denuncias, la Directiva NIS2, el AI Act, la CSRD o DORA en el sector financiero. Todas comparten tres exigencias: análisis de riesgos, responsabilidad de la dirección y evidencias trazables. Gestionarlas por separado multiplica el coste; gestionarlas con un enfoque GRC permite reutilizar el trabajo.
El modelo de las tres líneas
El marco más usado para repartir responsabilidades en GRC es el modelo de las tres líneas del Instituto de Auditores Internos (IIA, revisado en 2020):
- Primera línea: las áreas de negocio y operaciones, que gestionan los riesgos en el día a día y ejecutan los controles.
- Segunda línea: funciones como compliance, gestión de riesgos, seguridad de la información o protección de datos, que asesoran, supervisan y desafían a la primera.
- Tercera línea: la auditoría interna, que aporta aseguramiento independiente al órgano de gobierno.
Marcos y normas que integra un sistema GRC
| Marco o norma | Para qué sirve |
|---|---|
| ISO 31000:2018 | Directrices generales de gestión del riesgo, aplicables a cualquier organización. |
| COSO ERM (2017) | Marco de gestión del riesgo empresarial integrado con la estrategia y el desempeño. |
| ISO 37301:2021 | Sistema de gestión de compliance, certificable. |
| UNE 19601:2017 | Sistema de gestión de compliance penal, alineado con el artículo 31 bis del Código Penal. |
| ISO/IEC 27001:2022 | Sistema de gestión de seguridad de la información (SGSI). |
| ISO 9001:2015 | Sistema de gestión de la calidad. |
| ISO/IEC 42001:2023 | Sistema de gestión de la inteligencia artificial. |
Controla una vez, cumple muchas veces
La gran ventaja práctica del GRC es el mapeo de controles: un mismo control, con una misma evidencia, responde a varias normas a la vez.
| Control | Normas a las que responde |
|---|---|
| Análisis de riesgos anual aprobado por la dirección | NIS2, ISO 27001, ENS, UNE 19601, AI Act (alto riesgo) |
| Gestión de proveedores y terceros | NIS2, ISO 27001, RGPD, UNE 19601, CSRD (cadena de valor) |
| Formación anual por perfiles con evidencia | UNE 19601, NIS2, AI Act (alfabetización), RGPD |
| Procedimiento de gestión de incidentes | NIS2, ISO 27001, ENS, RGPD (brechas de datos) |
| Programa de auditoría interna | ISO 9001, ISO 27001, ISO 37301, ISO 14001 |
Cómo implantar GRC en 7 pasos
- Inventario normativo: qué leyes, normas y compromisos contractuales te aplican.
- Gobierno: define roles con el modelo de las tres líneas y quién reporta al órgano de administración.
- Metodología de riesgos única: misma escala de probabilidad e impacto para todas las áreas.
- Biblioteca de controles común mapeada a todas las normas aplicables.
- Evidencias centralizadas: cada control con su responsable, su frecuencia y su prueba.
- Indicadores para la dirección: riesgos por encima del apetito, controles vencidos, incidentes, hallazgos abiertos.
- Revisión y mejora: auditoría interna integrada y revisión anual por la dirección.
Qué buscar en un software GRC
Una hoja de cálculo funciona con una norma; con cinco se rompe. Un software GRC debería ofrecer, como mínimo, biblioteca de controles mapeada a varias normas, gestión de riesgos con una sola metodología, repositorio de evidencias con trazabilidad, flujos de tareas y recordatorios, canal de denuncias integrado e informes para la dirección. Si quieres profundizar en el retorno, consulta cómo mejorar el ROI en GRC.
Preguntas frecuentes
¿Qué significa GRC?
GRC significa gobierno, riesgo y cumplimiento (governance, risk and compliance). Es un enfoque que integra la forma en que una organización fija y supervisa sus objetivos, gestiona sus riesgos y demuestra que cumple las leyes, normas y compromisos que le aplican.
¿Qué diferencia hay entre GRC y compliance?
Compliance es uno de los tres componentes del GRC: se ocupa de cumplir y demostrar el cumplimiento de obligaciones. GRC es más amplio, porque integra además el gobierno corporativo y la gestión de riesgos en un único sistema.
¿Qué es el modelo de las tres líneas?
Es el modelo del Instituto de Auditores Internos (IIA) que reparte responsabilidades: la primera línea (operaciones) gestiona los riesgos, la segunda (compliance, riesgos, seguridad) supervisa y asesora, y la tercera (auditoría interna) aporta aseguramiento independiente al órgano de gobierno.
¿Qué normas integra un sistema GRC?
Habitualmente ISO 31000 o COSO ERM para riesgos, ISO 37301 y UNE 19601 para compliance, ISO 27001 para seguridad de la información, ISO 9001 para calidad e ISO/IEC 42001 para inteligencia artificial, además de la normativa legal como RGPD, Ley 2/2023, NIS2, AI Act o CSRD.
¿Una pyme necesita un enfoque GRC?
Sí, y a menudo le resulta más rentable que a una gran empresa, porque tiene menos personas para atender las mismas obligaciones. Reutilizar controles y evidencias entre normas reduce el trabajo duplicado.
Fuentes oficiales
- OCEG, Open Compliance and Ethics Group
- The IIA, Modelo de las tres líneas (2020)
- ISO 31000:2018, ISO 37301:2021, ISO/IEC 27001:2022, ISO 9001:2015, ISO/IEC 42001:2023 y UNE 19601:2017
- COSO, Enterprise Risk Management: Integrating with Strategy and Performance (2017)
- Código Penal, artículo 31 bis (BOE)