Gobernanza: Recomendaciones Para Una Gobernanza de Registros Responsable

¿Conoces cuáles son las regulaciones o cumplimiento en el manejo de los documentos o data que procesa tu negocio? ¿Tu responsabilidad y las consecuencias de un mal uso de los datos? La gestión adecuada de los registros de datos —ya sean físicos o electrónicos— es mucho más que una cuestión operativa: representa una obligación legal, un componente clave de la gobernanza organizacional y un pilar de confiabilidad ante terceros y la ciudadanía.

¿Qué Significa GRC?

Las siglas GRC provienen de Governance, Risk and Compliance (Gobernanza, Riesgo y Cumplimiento). Una herramienta GRC es una plataforma tecnológica que ayuda a las organizaciones a manejar, controlar y automatizar los procesos relacionados con:

1. Gobernanza → cómo se toman decisiones, se definen políticas y se supervisa el cumplimiento del manejo responsable de los registros.
2. Manejo de riesgos → cómo se identifican, evalúan y mitigan los riesgos que pueden afectar a la organización por el mal uso, falta de controles o negligencia del manejo de los datos.
3. Cumplimiento → cómo se asegura que las operaciones y registros cumplen con leyes, normas y políticas internas o externas durante el ciclo de vida de un registro desde su colección, retención, privacidad de los datos hasta la destrucción segura de los registros.

Una herramienta GRC no es solo software, sino una estrategia integral para conectar la gobernanza, los riesgos y el cumplimiento en un ecosistema digital. Su implementación permite que las organizaciones mantengan una transparencia constante, reduzcan errores humanos y respondan con agilidad ante auditorías o requerimientos regulatorios.

Gobernanza En La Gestión de Registros En Estados Unidos y Puerto Rico

A continuación, te presento un panorama de las principales regulaciones en los Estados Unidos y Puerto Rico, y los riesgos de no cumplirlas.

1. Marco Regulatorio En Estados Unidos

• • • La Federal Records Act (FRA) de 1950 —y sus enmiendas— establece que las agencias federales deben crear y preservar “registros que contengan documentación adecuada y apropiada de la organización, funciones, políticas, decisiones, procedimientos y transacciones esenciales”.
    • Según el Código de los Estados Unidos, Título 44 U.S.C. § 3101, “el titular de cada agencia federal deberá hacer y conservar registros diseñados para proteger los derechos legales y financieros del Gobierno y de las personas directamente afectadas por las actividades de la agencia”.
    • En los reglamentos: 36 CFR § 1220.32 establece que las agencias deben asegurarse de que los registros “sean auténticos, fiables y utilizables” durante todo su período autorizado de conservación; además deben organizarse, mantenerse con integridad y en formatos usables, y la eliminación sólo debe hacerse conforme a cronograma autorizado.
    • La General Services Administration (GSA) lo resume al indicar que los “registros federales” abarcan toda la información registrada, sin importar el medio o formato, creada o recibida por una agencia federal en conexión con la transacción de negocios públicos.

1. • Agencias Reguladoras / Supervisión

• • • National Archives and Records Administration (NARA) es la autoridad principal en gestión de registros para el gobierno federal: establece estándares, revisa los cronogramas de disposición de registros y supervisa que se cumplan los requisitos de gestión.
    • Cada agencia federal debe implementar un programa de gestión de registros que incluya políticas, procedimientos, asignación de responsabilidades y planeación para el manejo de registros físicos y electrónicos.

1. • Responsabilidades Para Negocio u Organización Que Opera En Estados Unidos (si opera a nivel federal o con financiamiento federal)

• • • Identificar qué información constituye un “registro” bajo las normas federales (no sólo documentos finales, sino borradores, correos electrónicos, chats, metadatos, etc.).
    • Establecer políticas claras que aseguren la creación, captura, clasificación, retención y disposición de los registros.
    • Mantener integridad, autenticidad y disponibilidad de los registros durante su vida útil autorizada.
    • Garantizar que la eliminación o destrucción de registros sólo ocurra con autorización adecuada, conforme a cronograma aprobado.
    • Si la organización trabaja con agencias federales o es contratista, cumplir cláusulas específicas de gestión de registros (por ejemplo, el requisito en 48 CFR § 2952.204-70) que aplican a contratos federales.

2. Marco Regulatorio en Puerto Rico

• • La Ley Núm. 141‑2019 (“Ley de Transparencia y Procedimiento Expedito para el Acceso a la Información Pública”) establece la política pública de acceso a la información en Puerto Rico. Señala que la información y documentación producidas por el gobierno se presumen públicas y accesibles, salvo excepciones.
  • Según esta ley, cada entidad gubernamental debe designar Oficiales de Información que reciban solicitudes de acceso, tramiten, y facilitar el acceso dentro del término establecido.
  • Además, los códigos de Puerto Rico incluyen disposiciones de acceso a documentos públicos: por ejemplo, la Ley 34 L. P. § 557 dispone que el gran jurado tiene acceso libre a los registros públicos de la Isla.

• • • Responsabilidades Para Organizaciones Que Operan En Puerto Rico

• • • • Aunque tu negocio sea privado, si interactúa con entidades o funciones públicas, debe estar preparado para facilitar información que pueda hallarse en custodia pública.
      • Conocer si los registros están sujetos a custodia pública o reglamentación de acceso a información.
      • Asegurarse de que los contratos o convenios con entidades gubernamentales incluyan cláusulas sobre acceso, retención, destrucción o preservación de registros conforme a la normativa aplicable.
      • Mantener control de cómo se generan, gestionan, archivan y eventualmente eliminan los registros, incluso si están bajo terceros o subcontratistas.

• • • Consecuencias De Una Pobre Gobernanza

• • • • En el ámbito gubernamental, la falta de transparencia o el retraso en la entrega de información puede conllevar sanciones internas, reproche público, demandas por acceso a la información.
      • En el sector privado que colabora con el público o que tiene obligaciones de acceso, los riesgos similares de reputación, legalidad, y sanciones están presentes.
      • Además, cuando los registros no se conservan o se destruyen sin control, se compromete la memoria institucional, se debilita la rendición de cuentas y se incrementan los riesgos de fraude o pérdida de evidencias.

Tan recientemente como octubre del 2025 la Oficina del Inspector General del Gobierno de Puerto Rico reporto que la Oficina del Registro Demográfico que opera bajo el Departamento de Salud de Puerto Rico cobro mas de $2 millones de dólares no autorizados por la emisión de certificados a los ciudadanos de la isla desde el año 2015. Los resultados de la intervención de la OIG también señalaron deficiencias en la expedición de certificados, fallas en los controles de acceso al sistema digital de registros  y fallas en la administración de usuarios, “lo que representa un riesgo para la seguridad y confidencialidad de la información”, anotó el informe.

Consecuencias de Incumplimiento

• Riesgo legal: eliminación no autorizada de registros puede generar sanciones, requerimientos de restitución, órdenes de preservación forzada.
• Pérdida de confianza: la “transparencia” se compromete si los datos o registros no pueden rendirse a auditoría o revisión.
• Impacto operativo y reputacional: la imposibilidad de recuperar información crítica puede afectar decisiones, continuidad del negocio, litigios o investigaciones.
• Costos adicionales: hay posibles litigios, inspecciones, multas, además del costo de remediación de sistemas de gestión de registros deficientes.

Recomendaciones Clave Para Mantener Un Marco Regulador

• Asegura que tu organización identifique quién es la autoridad responsable del manejo de registros (oficial de registros, auditor interno, comité de gobernanza).
• Establece un programa de supervisión / auditoría periódica que revise cumplimiento de políticas, norma de retención, acceso, disposición, integridad de los registros.
• Publica resúmenes de los resultados de supervisión/auditoría para reforzar la transparencia hacia interesados externos (ciudadanos, stakeholders, usuarios).
• Integra los registros de gestión al programa de libre acceso o apertura proactiva (“open by default”), cuando aplique, para evidenciar que los registros se crean, conservan y están disponibles conforme a norma.

Pasos Para Construir Calendario de Gobernanza de Registros

1. Define frecuencias fijas para actividades clave: ejemplo:
   • Revisión de políticas de gestión de registros – anual.
   • Auditoría de cumplimiento interno – semestral.
   • Inspección/examen externo o por entidad reguladora – anual.
   • Revisión de disposiciones (archivo/eliminación) – trimestral.
   • Publicación de informes de transparencia – semestral o anual.
2. Alinea cada actividad con responsables específicos, plazos e indicadores de seguimiento. Por ejemplo: “Oficial de registros revisa política antes del 31 de marzo; Comité de auditoría revisa hallazgos antes del 30 de junio”.
3. Incorpora alertas automáticas y tareas en la herramienta GRC o sistema de auditoría: cuando se acerca el plazo, se genera una alerta; cuando se completa, se registra la evidencia. Esto asegura que no se “olvide” ninguna fecha clave.
4. Mantén una visibilidad del calendario para todos los miembros o stakeholders relevantes (gobernanza, auditoría, TI, archivo): usa un tablero de control, calendario compartido, panel de seguimiento de cumplimiento.
5. Haz que el calendario sea vivo: revisa al menos una vez al año la pertinencia de las actividades ajusta según cambios regulatorios, tecnológicos o de riesgo.

Buenas Prácticas Para Una Gobernanza Que Mantenga El Calendario “Al Día”

Asegura que el comité de gobernanza revise periódicamente (por ejemplo, trimestralmente) el estado del programa de registros: número de accesos, número de solicitudes de información, retrasos en disposición, hallazgos de auditoría.

Usa indicadores clave (KPIs) para medir desempeño: ej. “Porcentaje de registros digitalizados”, “Tiempo promedio de respuesta a solicitud de acceso”, “Número de hallazgos de control abiertos > 90 días”.

Vincula el calendario con los hallazgos de auditoría: cuando un hallazgo es identificado, se asigna una acción correctiva con fecha en el calendario dinámico, responsable y seguimiento automático.

Publica (o al menos informe internamente) los resultados de auditoría, avance del calendario, cumplimiento del programa de registros: esto refuerza transparencia ante la ciudadanía, la dirección u otros stakeholders.

Actualiza el calendario cuando entren en vigor nuevas normativas, nuevas tecnologías (por ejemplo, digitalización masiva, IA en gestión de registros), o cuando cambien los riesgos del entorno.

Un buen sistema de rastro de auditoría registra detalles como:

• Usuario o cuenta que realizó la acción
• Fecha y hora exactas (con zona horaria)
• Tipo de acción: creación, modificación, acceso, descarga, eliminación, aprobación, etc.
• Objeto afectado: nombre del archivo, registro o transacción
• Ubicación o dirección IP (en sistemas digitales)
• Resultado: éxito o fallo de la acción

Cómo Implementar Políticas Que Mejoren La Transparencia En El Manejo De Registros

Para implementar políticas que faciliten el manejo de registros de manera transparente se deben automatizar la captura de evidencia de que los registros están siendo gestionados correctamente, mediante integraciones con sistemas de archivo, repositorios electrónicos y flujos o programas regulares de disposición. Se deben mantener audit trails (rastros de auditoría) claros: quién accedió al registro, quién lo modificó, cuándo, cuál fue la versión; esto permite demostrar integridad, control y transparencia. El uso de dashboards y reportes en tiempo real ayuda a que los responsables del gobierno de la organización y auditores tengan visibilidad del estado del programa de registros, accesos, disposiciones pendientes e incumplimientos en tiempo real.

En adición, el establecer plantillas de políticas, flujos de trabajo estandarizados, controles, cronogramas definidos para la gestión de registros, auditoría de los procesos y seguimiento de hallazgos ayudara a mantener claridad en todo momento sobre el manejo de los registros.

Guía Para Administradores de Registros Firmas Electrónicas y Cumplimiento en Estados Unidos y Canadá

Descargue la Guía del Administrador de Registros sobre Firmas Electrónicas y Cumplimiento en EE. UU. y Canadá para comprender mejor las regulaciones clave y los requisitos de retención relacionados con los registros firmados electrónicamente.

eBook ›

Ventajas De Auditoria de Registros En Tiempo Real

• Las auditorías de registros en tiempo real transforman la transparencia en una práctica viva. Permiten pasar del control reactivo al monitoreo preventivo, fortaleciendo la gobernanza, la integridad y la confianza pública o corporativa.
• Las auditorias en tiempo real permiten identificar accesos no autorizados, modificaciones sospechosas o errores en el momento en que ocurren.
• Evita que los incidentes crezcan o se oculten, reduciendo el riesgo de pérdida de datos, fraude o incumplimiento normativo.
• De la misma forma hace que los sistemas generen alertas automáticas a los auditores o administradores para tomar acción inmediata.
• Los registros auditables están disponibles en tiempo real para verificación interna o externa. Esto permite demostrar ante entes reguladores o auditores externos que la organización mantiene control constante sobre sus registros y operaciones. Cada acción se asocia automáticamente con políticas internas, estándares ISO o normativas legales (por ejemplo, NARA, Ley de Transparencia, GDPR, etc.).

Las auditorías en tiempo real se potencian con sistemas de inteligencia artificial y blockchain:

• IA puede detectar patrones anómalos en los registros.
• Blockchain asegura que el rastro de auditoría sea inmutable.
• GRC Platforms o plataformas GRC coordinan auditoría, riesgo y cumplimiento en un solo panel.

Una de las ventajas más importantes de nuevas tecnologías como blockchain es que permiten un registro inmutable, es decir, una vez que un dato (o su “hash”) queda en la cadena, es muy difícil que pueda alterarse sin que quede evidencia. Una plataforma GRC con módulo de real-time audit Trail o rastros de auditoría en tiempo real basada en bloques encadenados o blockchain puede validar cada modificación en un registro de manera automática, notificando al auditor y dejando una prueba criptográfica. También favorecen la no repudiación, es decir, se puede demostrar qué usuario realizó una acción y cuándo, con pruebas criptográficas.

Además, ayudan a la transparencia y verificación independiente: los auditores, reguladores o partes interesadas pueden revisar el registro sin depender exclusivamente del sistema interno.

A continuación, algunas plataformas y métodos que implementan estos principios, o que están diseñados para hacerlo:

• Touch Audit™ de ChainIT: Un producto que captura interacciones verificadas (quién, qué, cuándo, dónde, dispositivo) y las almacena de modo inmutable, usando pruebas de conocimiento cero si se desea.
• DALPS Codex Audit Trail: Sistema que usa blockchain para registrar eventos de auditoría con huellas criptográficas, firmados por la cartera del usuario (“wallet‐based signatures”), lo que proporciona verificación, integridad y no repudio.
• ETRAP: Un enfoque que no reemplaza los registros internos, sino que “los verifica” con blockchain. Cada cambio se registra, se genera un hash, se agrupa en una estructura de árbol Merkle, y se ancla en una cadena pública para demostrar que no fue alterado.
• SYGNAL Audit Trail: Orientado a datos cuantitativos (por ejemplo, modelos de inversión), que aplica hashing + blockchain (Ethereum) para asegurar que los datos de señal no han sido manipulados.

En resumen, las auditorías de registros en tiempo real transforman la transparencia del manejo de registros en una práctica viva. Permiten pasar del control reactivo al monitoreo preventivo, fortaleciendo la gobernanza, la integridad y la confianza pública o corporativa.

Cómo Access Le Puede Ayudar