Hay dos formas de tener un SAGRILAFT. Una es comprar un manual, imprimirlo y archivarlo; cuesta poco y no protege de nada, porque en una visita no se revisa el manual sino la evidencia de que se aplica. La otra es construir el sistema sobre el riesgo real del negocio, y esa exige trabajo del equipo interno, no solo del consultor.
Los hallazgos que se repiten en las visitas son siempre los mismos tres: la matriz de riesgos no corresponde a la operación, la debida diligencia no tiene soporte, y el oficial de cumplimiento no tiene independencia ni recursos. Ninguno de los tres se arregla con un documento mejor redactado.
El objetivo de una implementación bien hecha no es aprobar una visita: es que el sistema siga funcionando cuando el consultor se va. Por eso el entregable no es solo la documentación, sino un equipo capaz de operarla.