Hablamos con fintech, SaaS, retail, salud, energía y manufactura regulada. Hablamos con equipos en Chile, México, Colombia, Perú, Brasil y Argentina. Y cruzamos esa observación cualitativa con benchmarks públicos globales (ISACA, ENISA, reportes de auditorías de las Big 4, indicadores de adopción de frameworks). Lo que sigue es la foto que emerge de juntar ambas cosas.
Metodología (en una línea)
50 conversaciones cualitativas con equipos de compliance / GRC en Latam, cruzadas con benchmarks públicos globales (ISACA State of Cybersecurity, reportes anuales de las Big 4, datos de adopción de frameworks por región). No es una encuesta estadística — es observación de campo con respaldo documental.
Patrón 1 — La madurez GRC en Latam va un nivel detrás del promedio global
El dato. La mayoría de los equipos en Latam con los que conversamos se ubican entre nivel 2 y nivel 3 del modelo CMMI aplicado a GRC. EEUU/UE, según benchmarks públicos de ISACA y consultoras Big 4, promedia entre nivel 3 y 4 para empresas de tamaño equivalente.
Qué significa. En nivel 2-3, los procesos existen pero dependen fuertemente de las personas que los ejecutan. En nivel 3-4, los procesos están institucionalizados, medidos y mejorados continuamente. La diferencia se siente cuando una persona clave del equipo se va de la organización: en nivel 2 todo se detiene; en nivel 4 nadie se entera.
Causa raíz observada. No es talento — es inversión en automatización y herramienta. Los equipos en Latam están dedicando proporcionalmente más tiempo a hacer y menos a institucionalizar.
Patrón 2 — ISO 27001 lidera, SOC 2 acelera
El dato. Aproximadamente 7 de cada 10 organizaciones con programa formal en Latam tienen ISO 27001 (versión 2013 o 2022) implementado o en proceso. SOC 2 está creciendo con fuerza inusual en los últimos 18 meses, especialmente en SaaS y fintech.
Qué significa. La presión por SOC 2 viene principalmente de clientes B2B en EEUU pidiéndolo como requisito de procurement. Es una conversación que antes pasaba solo en startups con ambición global y ahora pasa en empresas medianas regionales con clientes corporativos.
Frameworks emergentes
- ISO 27701 (privacidad). Aún muy nicho, principalmente salud y fintech.
- ISO 42001 (gobernanza de IA). Empieza a aparecer en conversaciones — todavía no en implementaciones.
- PCI DSS. Sólido en retail y fintech.
Patrón 3 — Entre 60% y 75% sigue recolectando evidencia a mano
El dato. Según múltiples benchmarks globales públicos (incluyendo reportes anuales de ISACA), entre el 60% y el 75% de las organizaciones a nivel global todavía dependen de procesos manuales para la mayor parte de su evidencia de compliance. Lo que observamos en Latam confirma ese rango, posiblemente en el extremo alto. Solo cerca de 1 de cada 10 equipos tiene automatización significativa (más del 50% de su evidencia automatizada).
Qué significa. Es la causa raíz del costo invisible que cubrimos en el primer artículo de esta serie. La región todavía está en una ventana donde el ROI de la automatización es altísimo — el problema es la prioridad y el ancho de banda del equipo para implementarla. Las 5 evidencias que no deberías recolectar a mano son el punto de partida más común.
Patrón 4 — Los gaps de control se detectan tarde
El dato. Los equipos detectan una falla de control crítico en promedio entre 4 y 6 meses después de que la falla ocurrió.
Qué significa. Si tu modelo de detección es la auditoría anual o la revisión trimestral, esos son tus puntos de detección. Cuando un control se rompe el día 1, lo descubres entre el día 120 y el día 180. En el medio, ese hallazgo se acumula en futuros informes.
Por qué importa. La Ley Marco de Ciberseguridad en Chile (y otras regulaciones similares emergiendo en la región) parte del supuesto operativo opuesto: detección en horas o días, no en meses. El modelo anual ya no funciona regulatoriamente.
Patrón 5 — Las 3 regulaciones que más preocupan en 2026
El dato. En las conversaciones de los últimos meses, los temas regulatorios que más aparecen son, en orden:
- Ley Marco de Ciberseguridad en Chile. Para empresas con presencia, operación o clientes en Chile. Dominante en la conversación de seguridad regional.
- Endurecimiento de los marcos de protección de datos personales. Brasil (LGPD), México, Colombia y Argentina: sanciones más altas, fiscalización más activa. En Chile, la Ley 21.719 marca la pauta.
- Presión de SOC 2 e ISO 27001 desde clientes corporativos en EEUU, especialmente en SaaS, fintech y servicios B2B.
Tendencia emergenteISO 42001 (gobernanza de IA) empieza a aparecer en cuestionarios de proveedores enviados por clientes enterprise. Todavía no es una preocupación regulatoria formal en Latam, pero está acercándose por la vía comercial.
Patrón 6 — Equipos chicos cubriendo demasiado
El dato. En empresas de 100 a 500 personas en Latam, el equipo dedicado a compliance/GRC promedia 1,5 FTE. En EEUU y la UE, para tamaño equivalente, el promedio referencial es de 3 a 4 FTE (datos ISACA y reportes Big 4).
Qué significa. Latam corre con aproximadamente el doble de carga por persona que EEUU/UE en la misma función. Eso no es un problema de productividad individual — es un problema estructural de capacidad.
Consecuencia operacional. Cuando 1,5 personas tienen que cubrir lo que en otra región cubrirían 3 o 4, todo lo manual se vuelve inevitable. La automatización deja de ser "una mejora" y pasa a ser "la única forma de mantener el programa vivo sin quemar al equipo".
Patrón 7 — La brecha entre lo reportado y lo operando
El dato. En aproximadamente 4 de cada 10 casos observados, un control reportado como "activo" u "operando" en una política o auditoría no estaba operando con la cadencia o el rigor reportado.
Los tres controles donde más vemos esta brecha entre lo que está en el papel y lo que ocurre en la operación:
| Control | Cómo se reporta | Cómo opera en realidad |
|---|---|---|
| Revisiones periódicas de accesos | Documentadas como trimestrales | Ad-hoc o anuales |
| Pruebas de restauración de backups | Documentadas en la política | Rara vez ejecutadas como ensayo formal |
| Capacitaciones de seguridad recurrentes | Asignadas a todo el personal | Bajo % de completación real verificada |
Por qué importa. Esta brecha es donde más se concentra el riesgo regulatorio actual. Una auditoría documental no la encuentra. Una revisión operacional sí. Y las regulaciones emergentes en Latam — especialmente la Ley Marco en Chile — tienen capacidad de revisión operacional, no solo documental.
Las 5 implicancias para 2026
A partir de estos 7 patrones, las consecuencias prácticas para equipos de compliance en Latam:
- El compliance en Latam es más caro de sostener — no por menos rigor, sino por menos automatización.
- El modelo anual no escala frente a las regulaciones que están llegando. La transición a continuous compliance no es opcional para 2027.
- El cuello de botella es de capacidad humana, no de talento. Liberar capacidad mediante automatización es la única salida sostenible.
- La brecha "reportado vs. operando" es donde más riesgo regulatorio se concentra hoy. Cerrarla es prioritario antes que sumar nuevos frameworks.
- La ventana competitiva para liderar en Trust Operations en la región es corta — entre 12 y 24 meses antes de que el modelo se vuelva commodity.
Cómo se ve un programa "adelantado al promedio Latam"
Si tu organización quiere medirse contra estos patrones, estas son las características de un programa que está adelante:
- Madurez GRC en nivel 3 o superior (procesos institucionalizados y medidos).
- Más del 50% de la evidencia recolectada automáticamente desde sistemas fuente.
- Detección de gaps de control en días/semanas, no en meses.
- Equipo dimensionado en línea con benchmarks globales (no necesariamente más grande, pero apalancado en herramienta).
- Trust Center vivo con métricas operacionales públicas.
- Programa audit-ready en cualquier momento, no solo en ventanas planificadas.
Si tu organización cumple 3 o más de estos 6 criterios, está consistentemente arriba del promedio regional.
Cierre
El compliance en Latam no es menos serio que en EEUU o la UE. Es más caro de sostener porque corre con equipos más chicos haciendo más trabajo manual.
La buena noticia: ese diferencial se cierra con automatización y modelo continuo, no con headcount. En Vigía trabajamos con equipos en la región exactamente en esta transición. Lo que vemos consistentemente: las organizaciones que entienden estos 7 patrones temprano están construyendo ventaja operacional sostenible. Las que llegan tarde van a tener que correr contra regulaciones que ya no esperan ciclos anuales.
¿Cuál de los 7 patrones se parece más a tu organización? Esa es la primera pregunta a responder — antes de sumar un framework más.
30 min: tu programa contra los 7 patrones
Mapeamos dónde está tu madurez GRC, tu nivel de Evidence Automation y tu tiempo de detección frente al promedio Latam — y dónde está la brecha entre lo reportado y lo que realmente opera.
Evaluar mi preparación