Agente IA en Riesgos

Agente IA en Evaluación y Análisis de Riesgos

GlobalSuite® incorpora en Evaluación de Riesgos y en Análisis de Riesgos un Agente IA: un asistente conversacional con el que puedes consultar en lenguaje natural el análisis que tienes abierto. El agente revisa los elementos, los riesgos, las valoraciones, los controles y los planes de tratamiento del análisis y responde con tablas, conclusiones y recomendaciones apoyadas en esos datos.

Preguntas que antes exigían cambiar de vista, aplicar filtros sucesivos y exportar —qué riesgos superan el nivel aceptable, cuáles no tienen responsable, qué controles siguen solo planificados, qué acciones conviene priorizar— se resuelven con una sola consulta y sin salir de la pantalla del análisis. Además, el agente prepara informes en HTML, Word, PowerPoint y Excel con los datos del análisis y la imagen corporativa de tu organización, aplica cambios en el análisis cuando los apruebas y relaciona los documentos que adjuntes, como un informe de auditoría, con los riesgos y controles.

¿Para qué sirve?

El Agente IA apoya la interpretación de los resultados y la toma de decisiones de quienes trabajan con el análisis de riesgos:

• Responsables del análisis y de seguridad: obtienen en segundos una lectura de los riesgos prioritarios, de su nivel residual y de su situación de tratamiento, y dan de alta riesgos y controles sin rellenar formularios.

• Equipos de riesgos y cumplimiento: localizan huecos de información, como riesgos sin responsable o controles sin valoración de efectividad, antes de presentar o cerrar el análisis.

• Dirección y comités: reciben resúmenes ejecutivos, presentaciones con el plan de acción e informes listos para distribuir, redactados a partir de los datos reales del análisis.

• Auditoría: puede cruzar los hallazgos de un informe con los riesgos y los controles del análisis para decidir qué tratar primero.

Características principales

• Acceso desde la cabecera de Evaluación de Riesgos («Agente IA»), disponible en todas sus pestañas, y desde el botón «IA» en los listados y en la valoración de un análisis.

• Contexto automático: el agente trabaja siempre sobre el análisis abierto, sin que tengas que indicarlo.

• Consultas sugeridas para empezar con un clic y consultas libres en lenguaje natural.

• Respuestas con tablas, listas y conclusiones que puedes copiar, y vista ampliada para leerlas cómodamente.

• Informes descargables en HTML, Word, PowerPoint y Excel, con el logotipo y los colores de tu organización si los has configurado.

• Documentos adjuntos a la consulta, desde tu equipo o desde el Gestor Documental.

• Cambios en el análisis —crear elementos, riesgos, controles y planes de tratamiento, valorarlos y asociarlos— que solo se aplican cuando los apruebas, operación a operación.

• Avisa cuando no dispone de un dato, por ejemplo una valoración de efectividad o una dimensión económica, en lugar de suponerlo, y pregunta cuando le falta información para hacer un cambio.

• Mismos permisos que en la web: el agente solo trabaja con la información que tu usuario puede ver.

¿Dónde se encuentra?

Abre un análisis en Análisis ▸ Evaluación de Riesgos. En la cabecera de la evaluación, a la derecha, aparece la acción «Agente IA». Está disponible en las cuatro pestañas de la evaluación —Listado, Agrupaciones, Mapa y Resumen— y el panel se mantiene abierto al cambiar de pestaña.

Evaluación de Riesgos de un análisis, con la acción «Agente IA» en la esquina superior derecha.

El mismo agente, con la misma conversación, también se abre desde el botón «IA» de la barra de herramientas en:

• el listado de análisis de Evaluación de Riesgos y de Análisis de Riesgos;

• la pestaña «Valoración de riesgos» del detalle de un análisis.

Botón «IA» en la barra de herramientas de la pestaña «Valoración de riesgos».

El botón «IA» de «Valoración de riesgos» aparece cuando el análisis ya tiene elementos. Para trabajar con un análisis recién creado, abre el agente desde el listado de Análisis de Riesgos e indica en la consulta el nombre del análisis, o desde su Evaluación de Riesgos.

¿Cómo funciona?

El proceso consiste en abrir el agente, lanzar una consulta —sugerida o propia, con documentos si lo necesitas— y revisar la respuesta. En la misma conversación puedes pedir después un informe o un cambio en el análisis: el agente tiene en cuenta lo que ya se ha hablado.

1. Abrir el agente

Pulsa «Agente IA» o «IA». El panel se abre a la derecha y la vista del análisis se ajusta al espacio disponible, sin perder la pestaña, los filtros ni la posición en la que estabas.

Al empezar, el panel muestra el título «¿En qué puedo ayudarte con este análisis de riesgos?» y ocho consultas sugeridas, en dos páginas que se recorren con las flechas laterales. Cada tarjeta muestra un título y el texto de la consulta, que se envía al pulsarla. En Análisis de Riesgos incluyen propuestas de cambios; en Evaluación de Riesgos son de consulta e informes:

Panel del Agente IA en Análisis de Riesgos, con la primera página de consultas sugeridas.

2. Contexto de la consulta

Bajo el campo de escritura se muestran de forma fija dos etiquetas de contexto: el módulo —«Análisis de Riesgos» o «Evaluación de Riesgos», según desde dónde abras el agente— y el nombre del análisis abierto. Indican sobre qué datos va a trabajar el agente y no se pueden retirar. Si cambias de análisis, la etiqueta se actualiza y las nuevas preguntas se responden sobre el análisis nuevo. Desde el listado de Análisis de Riesgos solo aparece la etiqueta del módulo: nombra el análisis en la consulta.

3. Lanzar una consulta

Pulsa una consulta sugerida para enviarla directamente o escribe tu pregunta en el campo «¿Cómo puedo ayudarte?» y pulsa Intro o el botón de envío. Las sugerencias desaparecen en cuanto empieza la conversación.

Mientras se prepara la respuesta, el panel indica que está analizando la información y el botón de envío pasa a ser un botón para detener la respuesta. El agente consulta los datos del análisis antes de contestar, así que la respuesta suele tardar entre 15 y 60 segundos; los informes y las consultas que incluyen documentos pueden tardar varios minutos.

Si detienes la respuesta, puedes seguir escribiendo en la misma conversación. Si la detienes mientras el agente aplica un cambio que ya has aprobado, la tarjeta pasa a «Cancelada», pero el cambio puede quedar guardado: compruébalo en el análisis.

En análisis muy grandes, con miles de riesgos, las consultas que recorren todos los riesgos pueden terminar sin respuesta o con el aviso «El servicio de IA ha dejado de responder». En ese caso, acota la consulta a un elemento, a un grupo de elementos o a un nivel de riesgo.

4. Revisar la respuesta

El agente responde sobre el análisis abierto y cita los elementos, los riesgos y los controles por su nombre. Las respuestas suelen combinar:

• Tablas con los riesgos, los elementos afectados, sus niveles y la situación de los controles. Las tablas anchas se desplazan en horizontal y cada una tiene su propio botón para copiarla.

• Conclusiones que resumen qué requiere atención y por qué.

• Propuestas de siguiente paso, como ordenar los riesgos por prioridad o preparar una versión para el comité de dirección; basta con responder «sí» o pedir la variante que prefieras.

Pulsa «Copiar», al pie de cada respuesta, para llevar su contenido a un informe o a un correo.

Respuesta a «¿Qué riesgos son críticos?»: los dos elementos con riesgo residual Muy alto y una lectura rápida.

5. Añadir documentos a la consulta

El botón «+», a la izquierda de las etiquetas de contexto, abre un menú con dos opciones:

• «Añadir archivos»: abre el selector de archivos de tu equipo. Puedes seleccionar uno o varios documentos.

• «Desde el Gestor Documental»: abre el Gestor Documental con tus carpetas y los documentos a los que tienes acceso.

Menú del «+»: «Añadir archivos» y «Desde el Gestor Documental».

Cada documento aparece como una ficha encima del campo de escritura. Para quitar un archivo antes de enviar, pasa el ratón por su ficha y pulsa el aspa. Los documentos se usan en la consulta que envíes a continuación. Es útil, por ejemplo, para relacionar los hallazgos de un informe de auditoría, un análisis de vulnerabilidades o una política interna con los riesgos y controles del análisis, o para resumir el contenido de una hoja de cálculo.

Informe de auditoría en PDF añadido a la consulta, junto a las etiquetas de contexto.

Respuesta que relaciona cada hallazgo del informe con los riesgos del análisis y prioriza los controles.

Con una hoja de cálculo adjunta también puedes pedir al agente que dé de alta sus datos; por ejemplo: «Da de alta en este análisis los riesgos del Excel adjunto, con su probabilidad e impacto, y calcula su nivel de riesgo.» El agente muestra las tarjetas de aprobación de cada alta, valoración y cálculo, igual que con cualquier otro cambio (apartado 6). Comprueba el resultado en el análisis.

El modelo de IA tiene un filtro de seguridad automático. Si bloquea una consulta, el agente responde «No se ha podido atender esta consulta porque el filtro de seguridad automático la ha bloqueado. A veces pasa con consultas normales: prueba a escribirla de otra forma o a dividirla en pasos más sencillos.» y puedes seguir con la conversación. Puede pasar con documentos que describen con detalle escenarios de ataque o de acceso indebido; en ese caso, escribe en la consulta los datos que quieres dar de alta.

6. Aplicar cambios en el análisis con tu aprobación

Además de consultar, puedes pedir al agente que haga cambios en el análisis; por ejemplo, «Da de alta en el elemento “Servicio gestionado de SOC 24x7” el riesgo “Acceso privilegiado del proveedor sin supervisión”, con probabilidad Bajo e impacto Muy alto». El agente no modifica nada por su cuenta: muestra una tarjeta por cada operación, con lo que va a hacer en lenguaje de negocio —«Crear riesgo», «Actualizar dimensión del riesgo», «Vincular control al riesgo»…— y espera a que decidas.

• Pulsa «Detalles» para ver los datos que se van a guardar.

• Pulsa «Aprobar» para aplicar la operación o «Rechazar» para descartarla. Si la rechazas, la tarjeta queda como «Rechazada» y el análisis no cambia.

• Si la petición implica varias operaciones, como crear un riesgo, valorar su probabilidad y su impacto y calcular su nivel, se muestran en orden. Puedes aprobarlas una a una o, cuando hay dos o más pendientes, pulsar «Todas» y elegir «Aprobar todas» o «Rechazar todas». Las ya aplicadas se marcan como «Hecho» y se agrupan con un paginador para revisarlas.

Tarjeta «Crear riesgo» pendiente de aprobar, con las acciones «Rechazar» y «Aprobar».

Menú «Todas»: aprobar o rechazar de una vez las operaciones pendientes.

Al terminar, el agente resume lo que ha hecho y los indicadores del análisis se actualizan al momento.

Dos riesgos dados de alta con su valoración: el resumen del agente y los indicadores del análisis ya actualizados.

Creación deun elemento de inventario con su valoración y su inclusión en el análisis: la tarjeta aplicada («Hecho») y el resumen.

El agente puede crear elementos de inventario y añadirlos al análisis, valorar elementos, crear riesgos, controles, planes de tratamiento y acciones, y asociar controles a riesgos, con las mismas acciones de escritura que el MCP GlobalSuite. Trabaja con tus permisos, igual que si hicieras el cambio desde la plataforma. Si le falta un dato o no puede guardar algo de lo que le pides —por ejemplo, una evidencia que no existe—, te lo dice y pregunta antes de seguir.

• Pide primero una propuesta si quieres revisarla con calma. Empieza la petición con «Propón»: el agente muestra la propuesta y no cambia nada hasta que le pidas que la aplique. Por ejemplo: «Para el plan “Tratamiento - Revisión y depuración de reglas del cortafuegos perimetral”, propón dos acciones con responsable y plazo para completarlo antes de marzo de 2027.» Cuando estés conforme, pídele que las cree y aprueba las tarjetas. Si en cambio pides directamente «Crea…» o «Da de alta…», el agente pasa a las tarjetas de aprobación.

• Comprueba el resultado en el análisis. El agente puede completar campos que no le has indicado, como los recursos, la descripción o la fecha de seguimiento.

Por ejemplo, con «Propón la valoración de confidencialidad, integridad y disponibilidad de los elementos de este análisis que todavía no están valorados.», el agente localiza los elementos sin valorar, propone una valoración para cada dimensión, explica en qué se basa y no aplica nada. Revísala con los responsables de los elementos; cuando estés conforme, responde «De acuerdo, aplícala» y aprueba las tarjetas «Actualizar dimensión del elemento».

Valoración propuesta de confidencialidad, integridad y disponibilidad para los elementos que aún no están valorados: el agente no aplica nada hasta que se lo pides.

7. Ampliar, cerrar y consultar el saldo

8. Generar informes en HTML, Word, PowerPoint o Excel

Pide el informe en la conversación, indicando el formato, el destinatario y lo que debe incluir. El agente lo prepara con los datos del análisis y lo entrega como una tarjeta de fichero en la respuesta; pulsa el icono de descarga para guardarlo. Puedes encadenar varios formatos en la misma conversación.

Presentación y listado en Excel generados en la misma conversación, cada uno con su tarjeta de descarga.

Por defecto, los informes usan el logotipo y los colores de GlobalSuite®.

Informe ejecutivo en HTML para el Comité de Seguridad: situación general, indicadores y lectura ejecutiva.

Presentación de seis diapositivas con el plan de acción y las decisiones que se piden al Comité.

Los informes tardan entre uno y seis minutos, según el formato y el volumen del análisis. Revisa las cifras y las fechas antes de distribuirlos.

9. Informes con la imagen corporativa de tu organización

Si tu organización ha configurado su logotipo y sus colores, el agente los usa en los informes sin que tengas que pedirlo. Se configuran en Ajustes ▸ Configuración ▸ General ▸ Personalizar:

• Logotipo: «Subir logo», con un tamaño máximo de 48 × 186 píxeles (alto × ancho).

• Colores de marca: color principal y secundario. A partir de ellos se calculan los colores de los estados (hover, foco, selección), y el panel de validación WCAG comprueba el contraste.

• Pulsa «Guardar marca». La vista previa de la derecha muestra cómo quedan los componentes de la interfaz.

Ajustes ▸ Configuración ▸ General ▸ Personalizar, con el logotipo y los colores de una organización de ejemplo.

Con la marca guardada, la interfaz de GlobalSuite® y los informes del agente —HTML, Word y PowerPoint— adoptan el logotipo y los colores de la organización.

El mismo informe ejecutivo en HTML con la marca de GlobalSuite® (izquierda) y con la de una organización de ejemplo (derecha).

Presentación y portada de Word generadas con el logotipo y los colores de la organización.

10. Informes con tu propia plantilla de Word

Adjunta tu plantilla de Word con «+ ▸ Añadir archivos» o desde el Gestor Documental y pide que la use; por ejemplo: «Genera el informe de este análisis para el Comité de Riesgos usando la plantilla de Word adjunta: rellena cada apartado con los datos del análisis y respeta su portada, estilos, cabecera y pie de página.» El agente devuelve un documento de Word con los apartados de la plantilla completados.

Ejemplos de consultas

Estas consultas funcionan bien sobre cualquier análisis. Puedes copiarlas tal cual: no hace falta nombrar el análisis, porque el agente ya sabe cuál tienes abierto.

Resumen ejecutivo de los cinco riesgos más relevantes para el comité, con su prioridad y una decisión propuesta.

Elementos que concentran más riesgo en el análisis y lo que tienen en común sus escenarios.

Propuesta de tres riesgos, con su probabilidad e impacto, para el elemento más importante que aún no tiene riesgos.

Propuesta de dos acciones, con responsable y fecha anterior al vencimiento, para los planes de tratamiento con el plazomás próximo.

Resumen ejecutivo del análisis: ficha, síntesis y lectura para dirección.

Evolución del riesgo residual: el agente avisa de que no hay serie temporal y compara riesgo inherente y residual.

Cuando los controles no tienen valoración de efectividad, el agente lo indica y propone una alternativa útil.

Impacto económico: sin una dimensión económica en el análisis, el agente explica su aproximación.

Tres acciones priorizadas para situar el riesgo residual por debajo del nivel aceptable.

Prompts del MCP GlobalSuite

El Agente IA usa las mismas capacidades que el MCP GlobalSuite, el conector que permite trabajar con GlobalSuite® desde asistentes como Claude o ChatGPT, pero integrado en la plataforma y sin configurar nada. Por eso, los prompts publicados para el MCP sobre análisis de riesgos, controles y planes de tratamiento también sirven aquí. Al usarlos en el agente:

• Sustituye el nombre del análisis entre [corchetes] por «este análisis»: el agente ya trabaja sobre el análisis abierto.

• Las respuestas se presentan como texto y tablas dentro del panel; copia el contenido con «Copiar» o pide el resultado como informe en HTML, Word, PowerPoint o Excel.

• Los prompts que modifican datos (alta de riesgos, planes de tratamiento, asociación de controles) se aplican también con aprobación previa, tarjeta a tarjeta.

Encontrarás ejemplos listos para copiar en estos apartados de la guía de prompts del MCP:

• 3. Análisis de riesgos: riesgos de un elemento, riesgos críticos, elementos por encima del riesgo aceptable, cómo se calcula el riesgo y dónde no están actuando los controles.

• 4. Controles y planes de tratamiento: controles de un riesgo, controles que cubren más riesgos críticos, planes pendientes, controles más débiles y madurez.

• 9. Acciones de escritura: crear riesgos valorados, crear un plan de tratamiento y asociarlo a los riesgos, registrar acciones y pasar del diagnóstico a la acción.

• Consejos para obtener mejores respuestas, aplicables también al agente.

Tokens y disponibilidad

• El Agente IA de Riesgos está disponible para todos los clientes de GlobalSuite® Cloud con el módulo de Riesgos, para que puedan probarlo.

• Tiene su propio cupo mensual de 1,5 millones de tokens por empresa, como el resto de agentes IA de GlobalSuite®, separado del asistente de IA general de la plataforma. Cada consulta consume tokens; los informes, las consultas que recorren todo el análisis y las que incluyen documentos consumen más.

• Puedes consultar el saldo disponible en Opciones (⋮) ▸ Tokens, o en la cabecera del panel ampliado.

• Si se agota el cupo, el agente muestra un aviso de que se han superado los tokens disponibles del mes. El cupo se reinicia al empezar el siguiente periodo mensual.

• Si el asistente de IA no está habilitado para la empresa, la acción «Agente IA» aparece deshabilitada con el aviso «Funcionalidad disponible en licenciamiento superior».

Recomendaciones de uso

• Abre el análisis sobre el que quieres preguntar. El agente toma como contexto el análisis abierto; para consultar otro, ábrelo antes.

• Una pregunta por mensaje. Las preguntas concretas (un elemento, un nivel de riesgo, un tipo de control) dan respuestas más precisas y más rápidas.

• Amplía el panel para leer las respuestas con tablas.

• Espera a que termine la respuesta antes de enviar otra pregunta.

• Contrasta las cifras con los indicadores. Comprueba los totales de la respuesta con los indicadores de la cabecera antes de llevarlos a un informe.

• Revisa cada informe antes de distribuirlo. Comprueba los nombres, las cifras y las fechas con el análisis.

• Revisa cada tarjeta antes de aprobarla. Abre «Detalles» y comprueba el nombre, el responsable y el plazo antes de aplicar un cambio.

• Usa las recomendaciones como punto de partida. Las propuestas del agente son una ayuda a la decisión; decide tú qué cambios hacer en la evaluación.

Preguntas frecuentes

¿El agente puede modificar mi análisis sin que me dé cuenta?
No. Cualquier cambio se presenta en una tarjeta con «Aprobar» y «Rechazar», y solo se aplica si lo apruebas.

¿Qué información usa para responder?
Los datos del análisis abierto —elementos, riesgos, valoraciones, controles, planes y metodología— a los que tiene acceso tu usuario, y los documentos que adjuntes a la consulta.

¿Se guarda la conversación?
Sí. Al cerrar el panel o cambiar de pantalla, la conversación se conserva y la encontrarás al volver a abrir el agente. Es propia de cada empresa: al cambiar de empresa empieza una conversación nueva. Para empezar de cero, pulsa «Nueva conversación».

¿Qué documentos puedo adjuntar?
Documentos de tu equipo o del Gestor Documental, como informes en PDF, documentos de Word u hojas de cálculo. Los archivos se usan en la consulta que envías a continuación.

¿En qué formatos puede generar informes?
HTML, Word, PowerPoint y Excel. El fichero aparece en la respuesta como una tarjeta con su botón de descarga.

¿Puedo usar el logotipo y los colores de mi organización en los informes?
Sí. Configúralos en Ajustes ▸ Configuración ▸ General ▸ Personalizar; a partir de entonces, el agente los aplica en los informes sin que tengas que pedirlo.

¿Por qué tarda en responder?
Antes de contestar, el agente consulta los datos del análisis; cuanto más amplia es la pregunta o mayor es el análisis, más datos revisa, y un informe requiere además preparar el fichero. Si la respuesta tarda, espera a que termine antes de enviar otra consulta.

¿El agente usa mis datos para entrenar el modelo?
El agente no proporciona información sobre el modelo de IA. Para el tratamiento de los datos, consulta las condiciones de uso de los servicios de IA de GlobalSuite®.

Para más información, puedes consultar:

• Casos de uso y ejemplos de prompts del MCP GlobalSuite

• MCP de GlobalSuite para conexión a Sistemas IA

• Preguntas frecuentes del MCP GlobalSuite