Es una conversación que se repite con demasiada frecuencia. Una empresa decide certificarse en ISO 27001, o formalizar su cumplimiento con la LOPDP, contrata una consultora o arma un equipo interno, y año y medio después el proyecto sigue "casi listo": faltan políticas por aprobar, controles por implementar, evidencias por recolectar.
Mientras tanto, el negocio siguió creciendo, cambió de proveedores, lanzó productos nuevos, y buena parte de lo que se documentó al inicio ya no refleja la operación real. El proyecto no fracasó por falta de esfuerzo. Fracasó por diseño.
En la mayoría de los casos, el retraso no se debe a que la norma sea compleja, sino a tres decisiones de enfoque que se toman sin darse cuenta.
La primera es tratar de documentarlo todo antes de implementar nada. Equipos enteros pasan meses redactando políticas exhaustivas para procesos que todavía no existen en la práctica, en lugar de implementar un control mínimo viable y documentarlo sobre la marcha. El resultado es un manual perfecto en el papel y una operación que no lo sigue.
La segunda es no priorizar por riesgo. No todos los controles pesan igual. Cuando un proyecto avanza por el orden en que aparecen los numerales de la norma, en lugar de por el riesgo real que cada control mitiga, se invierten semanas en controles de bajo impacto mientras los riesgos críticos —accesos privilegiados sin revisar, respaldos sin probar, terceros sin evaluar— quedan para "después".
La tercera es la falta de un patrocinador con autoridad real. Cuando el proyecto vive únicamente en TI o en un analista de cumplimiento, sin que la gerencia general participe en las decisiones de recursos y prioridades, cada control que requiere presupuesto, un cambio de proceso o la cooperación de otra área se convierte en un cuello de botella que puede tomar semanas resolver.
Un proceso de certificación bien estructurado no necesita año y medio. Necesita secuencia correcta.
Empieza con un diagnóstico de brecha (gap analysis) enfocado, que en un par de semanas identifica exactamente dónde está la organización hoy frente a la norma, y clasifica cada hallazgo por riesgo e impacto en el negocio, no por orden alfabético. Ese diagnóstico se convierte en un plan de cierre priorizado: primero los controles que mitigan los riesgos más altos y que son más rápidos de implementar, luego el resto.
A partir de ahí, la implementación avanza en ciclos cortos: se define el control, se implementa, se documenta la evidencia de que efectivamente opera, y se pasa al siguiente. Esto tiene una ventaja que rara vez se menciona: cuando llega la auditoría de certificación, la empresa no está armando evidencia de último minuto, porque la evidencia se generó como parte natural de la implementación, mes a mes.
Y todo el proceso necesita un patrocinador en la alta dirección desde el día uno, no como firma protocolaria al final, sino como quien destraba decisiones de recursos y prioridades durante el proyecto.
Con este enfoque, un proceso de certificación ISO 27001 o de cumplimiento LOPDP que muchas organizaciones estiman en 18 meses, nosotros lo ejecutamos habitualmente en un rango de 4 a 6 meses, dependiendo del tamaño y la madurez inicial de la empresa. No es magia ni un atajo que sacrifique rigor: es priorización por riesgo, evidencia generada sobre la marcha en lugar de reconstruida al final, y seguimiento de avance en tiempo real a través de nuestra plataforma Protego One, donde el cliente ve exactamente qué controles están cerrados, cuáles están en curso y qué falta.
Si su empresa lleva meses "casi lista" para certificarse, probablemente el problema no es el esfuerzo del equipo. Es la forma en que se estructuró el proyecto. Conversemos sobre cómo reordenar las prioridades para llegar a la certificación en una fracción del tiempo que está proyectando hoy.
Conversemos sobre cómo reordenar las prioridades para llegar a la certificación en una fracción del tiempo que está proyectando hoy.