Retos tecnológicos para las entidades de vigilancia y control

Bayron Prieto

Director General de Ediligence SAS

 

En los últimos meses, son muchos los cambios que han sucedido en varias entidades que ejercen vigilancia y control en el Estado colombiano. Aparte del nuevo mandato presidencial, que inició hace tan solo unas semanas, también los cambios normativos que logró consolidar el anterior Gobierno son situaciones que traen retos en distintos escenarios.

 

En nuestro Estado, existen 10 superintendencias, sin contar ministerios y otras entidades administrativas que ejercen vigilancia y control en muchos aspectos. En dichos entes se abre un sinnúmero de oportunidades, en donde la tecnología no debe ser vista únicamente como un área de apoyo en una cadena de valor, sino como un componente estratégico que fortalezca a tales entidades.

 

Ahora bien, si vemos el desarrollo tecnológico y lo acompañamos con distintas situaciones que hemos experimentado en la sociedad, como la pandemia del covid-19, concluimos que, para el caso particu­lar de las entidades de vigilancia y control, la incorporación de modelos innovadores para adelantar la vigilancia en los diferentes asuntos del Estado empieza a tener una mayor relevancia.

 

La innovación no solamente implica la implementación de tecnologías (aunque resulta fundamental en muchos aspectos), pues también incluye la incorporación de nuevos procedimientos que optimicen y enfoquen los controles a la gestión de riesgos. En este artícu­lo revisaremos los retos tecnológicos que pueden tener implicaciones procedimentales y operativas para dichos entes, de cara a la combinación entre los aspectos tecnológicos, la gestión del riesgo y las conductas vigiladas por cada autoridad.

 

(i) Implementación de modelos de auditoría mediante el uso de tecnologías

 

Una de las ventajas más importantes de la gestión o el tratamiento de información mediante tecnologías es la posibilidad de auditar o vigilar la trazabilidad de esta, dependiendo de los parámetros que se requieran vigilar o controlar.

 

Para la implementación de controles adecuados que brinden información pertinente para las entidades de vigilancia y control, es necesaria la incorporación de medidas en (i) los sistemas ya implementados o (ii) durante su etapa de ideación e implementación. A este último se le conoce como compliance by design.

 

Idealmente, las medidas de control deberían ser implementadas desde el diseño, lo que facilitaría la gestión de la información desde el desarrollo y la concepción de los sistemas de información.

 

Sin embargo, en la práctica, es común que no nos encontremos con esta situación. En dichos casos, es fundamental comprender la arquitectura de los sistemas ya implementados y buscar una estrategia de control enfocada en (i) desarrollar aplicaciones externas que vigilen los sistemas de información, por ejemplo, mediante algunas API (application programming interface), que permi­tan la verificación de información en determinados momentos en los que la vigilancia deba incorporarse, o (ii) la modificación directa del sistema, con el fin de crear e implementar los aspectos y las medidas de control. Este último resulta más invasivo y, por consiguiente, su implementación tiene más cuidado y es el menos recomendable.

 

Cualquier sistema de información puede ser auditado y vigilado implementando controles de seguridad y del negocio adecuados. No obstante, la estrategia de implementación es lo que realmente se debe evaluar. Sin duda, este es un reto para tales entidades y para sus vigilados.

 

(ii) El dilema de la seguridad de la información

 

La pandemia reciente, que, en mi opinión, puede ser considerada como la mayor transformación digital en el planeta, nos deja avances importantes para el desarrollo de tecnologías, acompañadas por procesos robustos que garanticen, en su conjunto, seguridad y experiencia de usuario. Esta es una implementación fácil de decir, pero, en la mayoría de casos, difícil de aplicar.

 

La apropiación de tecnologías tiene, por sí misma, la incorporación de aspectos de seguridad de la información, mediante la aplicación de controles que eviten la materialización de riesgos. Sin embargo, estos controles deben ser medibles frente a su eficiencia y eficacia, lo que significa equilibrar el uso de los sistemas de información y la implementación de las medidas de seguridad. Esto se conoce como el “dilema de la seguridad de la información”.

 

El equilibrio entre usabilidad y controles de seguridad es algo que constantemente debe ser evaluado y mejorado, entendiendo que las empresas o personas vigiladas cambian frecuentemente de procesos, lo que trae como consecuencia modificaciones en los aspectos que se desean controlar. Para ello, es recomendable la creación y la estandarización de los puntos críticos de control que las entidades definan a sus vigilados, además del constante monitoreo de las tecnologías para identificar cambios o el cumplimiento de los parámetros ordenados.

 

(iii) Fortalecimiento de la investigación digital

 

La investigación digital –conocida también como e-discovery–, vista como medida preventiva y correctiva, es una herramienta muy importante para que estos entes puedan identificar distintas prácticas y, a su vez, exigir su cumplimiento.

 

Las entidades de vigilancia y control deben contar con laboratorios de informática forense que apoyen las averiguaciones e investigaciones de las conductas que sean pertinentes adelantar, principalmente, por dos razones:

 

(i) Los procedimientos de e-discovery están diseñados para partir de grandes volúmenes de datos con poca relevancia para llegar a pocos volúmenes de información con gran relevancia, lo que brinda un nivel de certeza a cualquier autoridad frente a la incertidumbre propia de cada decisión que deba tomar.

 

(ii) La implementación de departamentos de investigación digital y laboratorios de informática forense fortalece los procedimientos de conservación de los mensajes de datos. Este es un deber fundamental de cualquiera de las partes que puedan llegar a integrar un proceso judicial. De hecho, así lo exige el numeral 12 del artícu­lo 78 del Código General del Proceso.

 

Dos barreras que pueden tener cualquiera de estas entidades es que (i) se mantenga un volumen considerable de casos en los que se requiera la investigación digital y que (ii) no se cuenten con los presupuestos para la implementación de las tecnologías y la capacitación del recurso humano. Frente a estos posibles inconvenientes, es recomendable que se unan esfuerzos entre las entidades y que se unifiquen, en algunas de ellas, laboratorios de informática forense compartidos que trabajen en el apoyo de cada una de las investigaciones.

 

Por otra parte, la investigación digital –vista como herramienta preventiva y de autocontrol– les puede servir a estas entidades para exigir a los actores vigilados la incorporación de dichos mecanismos en sus programas de cumplimiento, en particu­lar, en las evaluaciones o auditorías que se puedan hacer de manera interna y que, potencialmente, puedan servir como prueba de los actores vigilados para obtener beneficios en cualquier proceso.

 

Seguramente, dependiendo de los asuntos operativos de cada uno de estos entes, puede haber otros retos importantes en el fortalecimiento del uso de tecnologías para apoyar las labores de control y vigilancia. Sin embargo, es clave que cada entidad comprenda la esencia misma del uso de las tecnologías para el desarrollo de determinadas tareas. Así, estas se convierten en una aliada fundamental en la lucha en contra de la corrupción y otras conductas vigiladas en un Estado.