Plataforma todo‑en‑uno
Riesgo operativo, tecnológico, continuidad, LAFT, terceros y auditoría en un solo lugar, con una sola metodología y un solo inventario de controles.
Gestión integral de riesgos y cumplimiento regulatorio, potenciada con inteligencia artificial.
Cada área guarda su propia versión de la verdad. Los controles se prueban en un archivo, los eventos se registran en otro, y la evidencia para el regulador se arma a última hora, reconstruyendo a mano lo que ya se había hecho. El costo no es el trabajo repetido: es no poder responder, en el momento en que se pregunta, cuál es el perfil de riesgo real de la entidad.
La diferencia no es tener un sistema en vez de archivos. Es que la evidencia se produce mientras se gestiona, no después.
Riesgo operativo, tecnológico, continuidad, LAFT, terceros y auditoría en un solo lugar, con una sola metodología y un solo inventario de controles.
Construida sobre la normativa de la Superintendencia de Bancos y de la Superintendencia del Mercado de Valores. No es un módulo de cumplimiento agregado después.
Acelera la identificación de riesgos y el análisis documental. La IA propone; el gerente de riesgos decide y firma.
Matriz de 3×3 a 5×5, escalas, etiquetas, colores, catálogos, apetito y flujos de aprobación se ajustan a la metodología de cada entidad.
Separación estricta de la información de cada entidad, permisos por rol, doble factor de autenticación y bitácora inalterable.
En la mayoría de las entidades, cada dominio de riesgo se gestiona con una herramienta distinta, un responsable distinto y un criterio de valoración distinto. Cuando el regulador pide una visión consolidada, alguien tiene que reconciliarlos a mano.
MappRisk unifica los seis bajo una misma matriz, un mismo apetito de riesgo y un mismo inventario de controles. Un control probado una vez sirve para todos los dominios donde aplica.
La entidad puede iniciar con un dominio y sumar los demás a medida que su madurez lo requiera, sin rehacer lo ya cargado.
Del levantamiento del riesgo a la decisión gerencial documentada, en un solo flujo trazable.
La foto del perfil de riesgo de la entidad, en el momento en que se pregunta.
La metodología de la entidad, configurada tal como está aprobada en su manual.
La decisión gerencial queda registrada, con nombre y fecha, no en un correo.
El mapa de calor no es una ilustración: es la herramienta de trabajo. Cada riesgo se ubica según su probabilidad e impacto, y el desplazamiento del punto inherente al residual muestra el efecto medido de los controles que efectivamente se probaron.
I riesgo inherente · R riesgo residual. La distancia entre ambos es evidencia, no una estimación declarada.
Lo que se prueba, lo que ocurre y lo que se reporta — con la misma trazabilidad.
Un control no reduce el riesgo residual hasta que se demuestra que funciona.
Cuando el riesgo se materializa, el expediente se arma solo.
El mismo dato, en el formato que exige cada superintendencia.
Cada paso queda fechado y firmado por usuario. Cuando llega el requerimiento del regulador, no hay que reconstruir nada: el expediente del evento ya está armado desde el día en que ocurrió.
Qué activos sostienen la operación, qué los amenaza y cómo se recupera el negocio.
Del inventario de activos al indicador que se presenta al comité.
El plan deja de ser un documento y pasa a ser un proceso con fechas.
Valores ilustrativos. Cada entidad define sus propios indicadores y umbrales de semáforo.
Los tiempos objetivo se definen en el BIA por proceso y localidad, y se contrastan contra el resultado real de cada simulacro.
Dos frentes con exigencia propia, gestionados con la misma disciplina metodológica.
La matriz se calcula desde el inventario. No se ingresa a mano.
No todos los proveedores requieren el mismo nivel de escrutinio.
Solo los proveedores materiales entran al programa de gestión intensiva. El resto queda registrado, con su evaluación documentada.
La capa que sostiene la confianza en todo lo demás.
La tercera línea trabaja sobre los mismos datos, sin tocar la valoración de la gestión.
Quién hizo qué, cuándo y sobre qué registro.
Multiempresa, con separación estricta entre entidades.
Auditoría trabaja sobre los mismos riesgos y controles que la gestión, pero su valoración se registra por separado. La vista comparativa muestra exactamente dónde ambas difieren — que suele ser la conversación más útil del comité.
La prueba de que una plataforma GRC funciona no es la pantalla: es el documento que sale de ella cuando llega el requerimiento.
En el formato de la Superintendencia de Bancos o de la Superintendencia del Mercado de Valores, según el régimen de la entidad.
Eventos materializados con su clasificación regulatoria, pérdidas brutas, recuperaciones y neto.
En Excel, con tablero analítico y detalle por macroproceso, lista para anexar al expediente.
En PDF, con diseño, operatividad, efectividad calculada y evidencias asociadas.
Registro regulatorio de proveedores materiales con su evaluación y constancia en PDF.
Incidentes tecnológicos y de continuidad con su flujo de notificación en los tiempos definidos.
La inteligencia artificial en MappRisk no toma decisiones de riesgo ni firma valoraciones. Reduce el trabajo de transcripción y de partida en blanco, para que el equipo dedique su tiempo al criterio, que es lo único que no se puede automatizar.
Toda sugerencia generada por IA queda marcada como propuesta y requiere validación humana explícita antes de incorporarse al inventario.
A partir del contexto de la entidad —procesos, productos, canales y activos— propone riesgos candidatos para que el equipo los revise, ajuste o descarte.
Propone los factores aplicables a cada activo tecnológico según su naturaleza y criticidad.
Lee documentos en PDF e imágenes —incluidos los publicados por GAFILAT— y extrae tipologías y señales de alerta al catálogo LAFT.
La plataforma no traduce la normativa después de construida: la estructura de datos, los catálogos y los reportes nacen de ella. Un solo sistema para dos superintendencias.
La plataforma reconoce el régimen de cada entidad y adapta campos, catálogos y formatos de reporte en consecuencia.
Bancos múltiples, de ahorro y crédito, y corporaciones de crédito supervisadas por la Superintendencia de Bancos.
Puestos de bolsa y administradoras de fondos de inversión (SAFI) bajo el régimen de la Superintendencia del Mercado de Valores.
La metodología de riesgo operacional, continuidad y terceros aplica sin cambios estructurales al régimen asegurador.
Escalable hacia entidades de menor tamaño, con la misma disciplina metodológica y una configuración proporcional.
La plataforma es multiempresa: cada entidad opera con su propia configuración, sus propios catálogos y sus datos completamente separados de los demás.
La implementación se estructura por fases y se ejecuta junto al equipo de riesgos de la entidad, hasta que la plataforma refleje su forma real de trabajar.
Alineación de alcance, roles y responsables por parte de la entidad.
Tamaño de matriz, niveles, etiquetas, apetito y criterios de valoración.
Alta de la entidad, usuarios, roles y esquema de permisos.
Catálogos, estructura de procesos, codificaciones, flujos y notificaciones.
Formación por perfil: dueños de proceso, riesgos, cumplimiento y auditoría.
Migración del inventario de riesgos y controles existente.
Validación funcional y de reportes por parte de la entidad.
Operación en producción con acompañamiento durante el primer ciclo.
Las decisiones metodológicas se pactan con cada cliente y quedan documentadas: son la base sobre la que se configura todo lo demás.
Excel funciona bien para calcular y muy mal para demostrar. No registra quién cambió una valoración ni cuándo, no impone un flujo de aprobación, no vincula la prueba de un control con su efecto sobre el riesgo residual, y no produce el formato que pide el regulador. El punto no es la hoja de cálculo: es que la evidencia de gestión no se puede reconstruir después de los hechos.
Las suites internacionales son sólidas y suelen cubrir más terreno funcional. La diferencia está en la última milla: los campos regulatorios de la Superintendencia de Bancos, los formatos de reporte de la Superintendencia del Mercado de Valores y los plazos locales no vienen configurados, y adaptarlos es un proyecto en sí mismo. MappRisk parte de ahí. Además, la plataforma está en español y el acompañamiento es local, en la misma zona horaria.
La información es de la entidad. Las condiciones de exportación y devolución de datos al término del servicio se establecen en el contrato, y la plataforma incluye exportación de la matriz global, el inventario de riesgos y controles, los eventos y la bitácora en formatos abiertos. Es una pregunta legítima que conviene resolver antes de firmar, no después.
Sí. Muchas entidades inician con riesgo operacional y suman continuidad, LAFT, terceros o auditoría cuando su madurez o una exigencia regulatoria lo requiere. La configuración crece con la organización y no obliga a rehacer lo ya cargado.
Sí. La plataforma es multiempresa con aislamiento estricto: cada entidad opera con su propia configuración, sus propios catálogos y sus datos separados. El control de accesos es por rol y por empresa, con doble factor de autenticación y bitácora inalterable de todas las acciones.
Se acompaña la definición metodológica, la configuración, la carga inicial y la capacitación del equipo, hasta que la plataforma refleje la forma real de trabajar de la entidad.
Terminología, campos regulatorios, formatos de reporte y plazos locales. Sin traducciones aproximadas ni adaptaciones de un producto diseñado para otra jurisdicción.
Una entidad puede comenzar con riesgo operacional y sumar continuidad, LAFT o terceros cuando su madurez lo requiera. La configuración crece con la organización, no al revés.
Reduce el tiempo entre identificar un riesgo y gestionarlo, y libera al equipo del trabajo de transcripción. La decisión y la responsabilidad siguen siendo de quien gestiona.
Le mostramos la plataforma configurada con su propia matriz de riesgo, su apetito y sus procesos — no con un ejemplo genérico.