Analista de GRC de Seguridad, Fusiones y Adquisiciones

Estamos buscando un Security GRC Lead para hacerse responsable de la gobernanza, el riesgo y el cumplimiento de seguridad en todas las adquisiciones de Payward. Serás el responsable de llevar a cada empresa adquirida desde su propio entorno de control al nuestro, trabajando con el M&A Technology Team desde la fase de diligencia hasta la migración completa a la plataforma o la cobertura en estado estable bajo nuestro programa central.

Este es un rol de creación para establecer un proceso repetible de evaluación de una empresa adquirida frente a nuestra base de seguridad, mapeando sus controles en nuestros marcos de cumplimiento y estableciendo hitos de remediación que un equipo recién adquirido pueda alcanzar de forma realista. Después, lo ejecutarás operación tras operación, y serás responsable de que el trabajo se lleve a cabo.

• Evaluar cada objetivo de adquisición frente a la base de seguridad de Payward, durante la diligencia cuando los plazos de la operación lo permitan, o inmediatamente después del cierre en caso contrario

• Mapear los controles existentes de la empresa adquirida con el marco de control de Payward, e identificar las brechas frente a los marcos externos a los que la entidad quede sujeta una vez dentro del alcance

• Calificar la madurez del control a nivel de entidad y documentar la base de cada calificación

• Definir hitos de remediación que sean alcanzables para el tamaño y la madurez del equipo adquirido, secuenciados por reducción de riesgo en lugar de por el orden del marco de trabajo

• Realizar el seguimiento de los hitos hasta su cierre e informar del estado al liderazgo de Security GRC y al M&A Technology Team

• Recomendar el punto final para cada entidad: migración completa a las plataformas de Payward, o mejora hacia un nivel de madurez que el programa central pueda absorber

• Cargar los riesgos de la entidad adquirida en el registro de riesgos empresariales y mantenerlos actualizados

• Preparar las entidades adquiridas para su inclusión en el alcance de la auditoría externa, incluyendo la recopilación de evidencias y el apoyo en las pruebas de recorrido (walkthroughs)

• Actuar como punto de contacto de Security GRC para el liderazgo, las finanzas y la auditoría interna de la entidad adquirida

• Mantener la cobertura de políticas para las entidades adquiridas, incluyendo la creación de bibliotecas de políticas específicas para la entidad cuando el conjunto de políticas de la matriz no se aplique de forma clara

• Reincorporar los hallazgos recurrentes al proceso de diligencia, para que las operaciones posteriores se evalúen frente a patrones conocidos

• Documentar el proceso de incorporación (onboarding) para que sea repetible y no dependa de una sola persona

• Serás dueño de un dominio de principio a fin en lugar de apoyar el de otra persona. No existe un proceso establecido y nadie más está realizando este trabajo actualmente

• Las adquisiciones son una de las partes de la empresa que más rápido se mueven, y la integración de seguridad es parte de la ruta crítica de cada una

• Trabajarás directamente con los equipos de operaciones, el liderazgo de la empresa adquirida, auditores externos y el liderazgo de Security GRC, con visibilidad sobre cómo se evalúan y cierran las adquisiciones

• Payward se está preparando para la presentación de informes de empresa pública, lo que significa que los controles que implementes en las entidades adquiridas serán los que los auditores externos probarán

• El alcance de este rol crecerá con el flujo de adquisiciones, a través de diversas jurisdicciones y regímenes regulatorios

• Evaluación de objetivos

  • Revisar la postura de seguridad del objetivo durante la diligencia: entorno de control, gestión de identidad y acceso, infraestructura, dependencias de terceros e historial previo de auditorías o exámenes

  • Producir una evaluación escrita de cada objetivo frente a la base de seguridad de Payward, separando los riesgos que importan a la operación de aquellos que importan a las operaciones en estado estable

  • Ofrecer al M&A Technology Team y a los patrocinadores de la operación una visión clara de lo que costará la integración en términos de remediación de controles

• Mapeo de controles e incorporación de marcos de trabajo

  • Mapear los controles adquiridos con el marco de Payward y con los marcos externos a los que la entidad pase a estar sujeta

  • Identificar qué controles de la empresa matriz se extienden a la entidad tal cual, cuáles necesitan una variante específica para la entidad y cuáles no tienen equivalente alguno

  • Construir la biblioteca de políticas de la entidad cuando el conjunto de políticas de la matriz no la cubra

• Remediación e hitos

  • Establecer hitos que el equipo adquirido pueda cumplir, cada uno con una fecha, un responsable y una reducción de riesgo declarada

  • Secuenciar el trabajo para que las brechas de mayor riesgo se cierren primero, en lugar de las más fáciles

  • Gestionar la cadencia para el seguimiento de la remediación y la escalada de riesgos vencidos o materiales. Preparar las propuestas de aceptación de riesgos, incluyendo la justificación y los controles compensatorios, y presentarlas al liderazgo para su decisión

• Integración del programa

  • Preparar las entidades para su inclusión en auditorías externas y apoyar el trabajo de campo

  • Mantener visible el riesgo de la entidad adquirida en el registro de riesgos empresariales y en los informes de Security GRC

  • Entregar cada entidad a la cobertura central de GRC una vez que su madurez lo permita, con la entrega debidamente documentada

  • Integrar a terceros y proveedores en Payward

• Te unirás a un equipo internacional con prioridad en el trabajo remoto

Síguenos en X

Aprende en el blog de Kraken

Conecta en LinkedIn