Si se hace correctamente, la documentación interna es la forma en que una empresa se mantiene constante y coherente a medida que crece. Si se hace mal, se convierte en un problema.

Cuando la documentación interna se deja para después, surgen dos problemas.

El primero es la desorganización, que da lugar a versiones incorrectas, políticas ocultas y materiales de incorporación que nadie ha actualizado desde que la empresa tenía la mitad de su tamaño actual. El segundo es la exposición de datos: datos sensibles que se encuentran en lugares donde no deberían estar.

La mayoría de los equipos están administrando el primer problema (incluso si se sienten abrumados por él). El segundo problema es más difícil de resolver, pero considerablemente más peligroso cuando no se hace.

Sensitive internal data is a common breach vector across industries. Proton research shows that 39% of businesses report experiencing a cybersecurity incident caused by human error. Often, it’s just well-meaning colleagues making mistakes with sensitive files.

Aquí tienes un marco práctico para la gestión del conocimiento interno que mantiene seguros los datos sensibles sin dificultar el trabajo de tu equipo.

El problema de la organización

Cuando los documentos internos están desorganizados, pronto te darás cuenta. Principalmente debido a la frustración y la confusión que esto causa en toda tu empresa.

Por ejemplo, supongamos que hay tres versiones del manual del empleado en tu Drive, además de materiales de incorporación que no se han actualizado desde que la empresa tenía 10 personas en nómina. Esto hace que la incorporación sea lenta e inconsistente, y da a los nuevos empleados una impresión equivocada de cómo funciona tu empresa.

O supongamos que varias políticas importantes de la empresa no están en una carpeta claramente marcada, sino enterradas en algún Hilo de correo electrónico. Los gerentes tienen que adivinar las políticas y no pueden aplicarlas de manera consistente. Un empleado recibe una respuesta y otro recibe una respuesta diferente.

La desorganización se puede solucionar con el sistema adecuado (llegaremos a eso en breve). Pero hay un segundo problema que no puedes resolver con una mejor estructura de carpetas.

El problema de seguridad

Por muy bien organizado que esté tu almacenamiento de documentos, si los procesos y herramientas que los gestionan son deficientes, la información sensible quedará expuesta.

Podrían ser bandas salariales almacenadas en una Hoja de Google compartida, código fuente o claves API pegadas en un Canal de Slack, un contrato de cliente enviado por correo electrónico como archivo adjunto, o notas de entrevistas de candidatos que contienen información de identificación personal, reenviadas descuidadamente y que ahora están en seis bandejas de entrada.

Cuando prácticas fáciles de pasar por alto como estas causan una vulneración de datos, ya no te enfrentas a compañeros frustrados y procesos obstruidos. En su lugar, te enfrentas a daños de reputación y graves sanciones financieras.

Gran parte de estos datos, ya sean registros de empleados, información de clientes o detalles financieros, son datos personales o sensibles según el GDPR. Eso significa que quienquiera que los maneje es responsable de cómo se almacenan, se accede a ellos y se comparten. Y los accidentes no eliminan la culpabilidad.

En 2022, un miembro del personal de RR. HH. de UNIQLO respondió a una solicitud de nómina enviando accidentalmente por correo electrónico un PDF que contenía los datos salariales de 446 empleados. La autoridad de protección de datos española multó a UNIQLO con 270.000 €(ventana nueva). La vulneración no fue causada por piratas informáticos. Se debió a la ausencia de medidas organizativas en un proceso rutinario de RR. HH.

Cómo crear un sistema de documentación interna que resuelva ambos problemas

Piensa en lo que estás creando como una wiki segura de la empresa. Vas a necesitar cuatro categorías de documentación interna, cada una con diferentes niveles de sensibilidad y requisitos de acceso.

Categoría 1: Conocimiento de referencia

Este es el material que todo empleado debería poder encontrar por su cuenta: políticas de la empresa, directrices de marca, guías prácticas, documentación de herramientas, organigramas. Asegurar esta categoría no consiste en restringir el acceso, sino en la precisión. Céntrate en el control de versiones (una versión actual, no cinco copias contradictorias por ahí) y una asignación de propietario clara (una persona designada responsable de mantener cada documento actualizado).

Categoría 2: Conocimiento de equipos y proyectos

Aquí es donde realmente se desarrolla la mayor parte del trabajo diario: planes de proyectos, documentación de procesos, notas de reuniones, hojas de ruta, manuales internos. No necesita un acceso a nivel de toda la empresa, por lo que debes protegerlo con permisos a nivel de equipo o de proyecto en su lugar. Al igual que el conocimiento de referencia, cada documento necesita un propietario designado y una frecuencia de revisión, o de lo contrario quedará obsoleto silenciosamente.

Categoría 3: Datos confidenciales y regulados

Esta es la categoría de mayor riesgo y existe en todos los departamentos: informes y previsiones financieras, contratos legales, registros de empleados y clientes, planes estratégicos, credenciales de seguridad. Estos requieren un acceso estrictamente restringido, limitado a las personas o al equipo específicos que los necesiten. (Una contraseña no es suficiente aquí. Necesitas cifrado de extremo a extremo.)

Este tipo de datos tampoco debería adjuntarse a correos electrónicos, guardarse en unidades de Drive personales ni compartirse mediante enlaces sin fecha de expiración.

Proton Drive es un almacenamiento en la nube para empresas que gestiona esta categoría con cifrado de conocimiento cero — ni siquiera Proton puede leer los contenidos — además de controles de acceso granulares que mantienen los datos sensibles donde deben estar.

Categoría 4: Materiales compartidos externamente

Algunos documentos deben salir temporalmente de tu sistema interno: paquetes de incorporación para nuevas contrataciones, archivos compartidos con contratistas o proveedores, materiales enviados a clientes durante un proyecto. Esto es complicado precisamente porque a menudo se debe conceder acceso antes de que la relación esté completamente verificada. La solución es sencilla: configurar los enlaces para que expiren, preparar el acceso con antelación en lugar de concederlo de forma ad hoc y revocarlo en el momento en que ya no sea necesario.

Proton Drive establece fechas de expiración para los enlaces por defecto, de modo que los materiales compartidos expiran automáticamente sin que nadie tenga que acordarse de revocarlos.

Elegir la plataforma adecuada para la gestión segura del conocimiento interno

El marco que hemos descrito se puede utilizar en cualquier plataforma. Pero no cualquier plataforma puede garantizar que el marco se aplique por sí mismo en lugar de depender de que las personas se acuerden de seguirlo.

El error humano aparece inevitablemente cuando dependes de procesos manuales para establecer fechas de expiración en los enlaces compartidos, revisar el acceso en la salida de empleados y mantener los niveles de permisos a medida que el equipo crece. Pero con la plataforma adecuada, tu marco se puede aplicar mediante la automatización.

Hay un segundo requisito para tu plataforma: un diseño que priorice la privacidad. Muchas plataformas orientadas al consumidor no están diseñadas para almacenar información sensible: de hecho, por defecto, recopilan el contenido de los documentos para alimentar su indexación de búsquedas y sus funciones de IA.

La mayoría de las empresas ni soñarían con almacenar datos de los clientes en una carpeta de Google Drive que no sea segura. Los datos de los empleados merecen el mismo estándar. La plataforma adecuada gestionará tanto la aplicación como el cifrado de extremo a extremo.

Tres decisiones que mantendrán tu sistema en funcionamiento

Una buena plataforma en la nube aplicará tu marco de seguridad, pero incluso las mejores plataformas no pueden comprobar y actualizar tus documentos por ti.

La documentación sin mantenimiento crea dos tipos de riesgos.

Existe un riesgo legal: por ejemplo, un procedimiento disciplinario desactualizado puede invalidar un caso ante un tribunal.

Existe un riesgo cultural: cuando la documentación oficial no refleja la realidad, los empleados se dan cuenta y llegan a la conclusión de que nadie tiene el control.

Sigue estas tres reglas y podrás evitar ambos:

  • Cada documento tiene un propietario designado (no un equipo). La responsabilidad compartida en un equipo es una responsabilidad que nadie siente como propia.
  • Las fechas de revisión se establecen en el momento de la creación, no se añaden más tarde. Es difícil defender un documento ante un tribunal cuando no se ha revisado en tres años (or no hay constancia de cuándo se comprobó por última vez).
  • Archiva los documentos, no los elimines. Eliminar documentos supone un problema si tú (o un organismo regulador) alguna vez necesitáis acceder a ellos. Archivarlos en una carpeta claramente etiquetada mantiene tu sistema limpio sin que los documentos sean irrecuperables.

Nada de esto requiere un gestor de conocimiento dedicado. Solo tres decisiones, tomadas una vez (y revisadas trimestralmente).

Una lista de verificación de conformidad para la documentación interna de recursos humanos

Recuerda: tú eres el responsable del tratamiento de los datos. La responsabilidad no recae en tu proveedor de la nube, recae en ti.

  • ¿Sabes quién tiene acceso a tus documentos más sensibles —datos financieros, legales, de empleados o de clientes— y si esa lista está actualizada?
  • ¿Están los documentos sensibles cifrados en reposo, no solo en tránsito?
  • ¿Tienen fechas de expiración los enlaces compartidos en documentos sensibles?
  • ¿Existe un proceso documentado para revocar el acceso cuando alguien se va o finaliza un proyecto?
  • ¿Puedes generar un registro de auditoría de quién accedió a qué y cuándo?
  • ¿Se almacenan los datos sensibles en una jurisdicción con leyes de privacidad estrictas, como Suiza?
  • ¿Tiene cada documento un propietario designado y una fecha de revisión?
  • ¿Se archivan los documentos reemplazados en lugar de eliminarse?

Si puedes responder afirmativamente a todo esto, tu sistema de documentación está en buena forma.

Un conocimiento base seguro en el que tus empleados puedan confiar, y una plataforma para ofrecerlo

El marco de esta guía te proporciona la estructura. Necesitas una plataforma que lo aplique, de modo que los estándares de seguridad que hayas establecido no dependan de que las personas se acuerden de aplicarlos.

No busques más allá de Proton Workspace. Una suite de colaboración segura, basada en el cifrado de extremo a extremo y alojada en Suiza, una de las jurisdicciones de privacidad más estrictas del mundo, Proton Workspace ofrece a tu equipo:

Tus empleados confían en ti con sus datos más sensibles. Es hora de crear un sistema de documentación interna que sea digno de esa confianza.

Comienza la prueba gratuita de Proton Workspace