IA Y RIESGOS DIGITALES

Jose Manuel Arrufat Gonzalez es Business
Continuity & Resilience Director en BBVA
México, con alcance transversal a nivel

Grupo. Trabaja en resiliencia operativa end-
to-end, continuidad de negocio, gestión de

crisis y escenarios extremos, incluyendo
control de terceros críticos (proveedores,
cloud, concentración y estrategias de salida)
desde la óptica de resiliencia. Su enfoque
combina gestión de riesgo con diseño práctico
de decisiones en entornos complejos, y se
centra en convertir señales operativas en
acciones de mejora antes de que una
desviación se transforme en crisis.

TITULO
“1+1≠2: Verde falso, rojo útil — métricas
honestas para resiliencia operativa”
PONENTE
Jose Manuel Arrufat González
SÍNTESIS: (max. 40 palabras)
En sistemas complejos, el mayor riesgo no es
el “rojo”, sino el “verde falso”. Con un caso
real (18 geografías), mostraré cómo métricas
anestesia ocultan fragilidad y cómo medir con
honestidad convierte “rojo” en claridad,
decisión y resiliencia operativa.
RESUMEN: (max. 200 palabras)
En organizaciones complejas, el riesgo rara
vez aparece como un gran fallo repentino:
suele incubarse en una zona de confort creada
por métricas que dan tranquilidad, pero no
verdad. Basado en una experiencia real
liderando una PMO multinacional (18
geografías), compartiré el patrón “todo verde
→ medimos bien → todo rojo” y por qué ese
“rojo” no es fracaso: es claridad operativa
para decidir y mejorar.
La sesión propone un enfoque práctico para
diseñar indicadores que detecten fragilidad
antes de que sea crisis: diferenciar “buenas
noticias” de “buenas señales”, identificar
incentivos y definiciones que distorsionan el
reporte y convertir hallazgos en acciones sin
cultura de culpa. Los asistentes se llevarán un
marco simple de 3 reglas para medición
honesta y resiliencia operativa: medir lo que
incomoda, separar señal de narrativa y
ritualizar revisiones “rojas” orientadas a
ayuda (“¿en qué repo te ayudo?”) en lugar de
castigo (“¿quién fue?”).

Eva es auditora líder de varias normas ISO desde hace mucho tiempo. Cuenta con más de 19 años de experiencia en auditoría de sistemas de información, ciberseguridad, gestión de riesgos y gobernanza, y cumplimiento normativo. Comenzó su carrera con la norma de seguridad de la información de aquel momento, la BS 7799-2. Poco a poco, fue añadiendo otras normas en el ámbito de la continuidad de negocio, la gestión de servicios, la protección de datos personales y la calidad. Obtuvo su recertificación como auditora de ciberseguridad según la Ley de Ciberseguridad en Eslovaquia. Fundó su propia empresa, IQ ideas, s.r.o.. A lo largo de su trayectoria profesional contribuyó a la implementación de los requisitos de seguridad de la información, ciberseguridad y protección de datos personales para organizaciones de diversos sectores económicos. Como ella misma afirma, un auditor que no se ha sentado en la silla de un consultor no puede comprender plenamente la profundidad y diversidad de la aplicación de los requisitos de las normas en la práctica diaria. En el ámbito de la acreditación de normas internacionales, trabaja como gestora de calidad y seguridad de la información, es decir, garantiza la implementación y el mantenimiento de las normas de acreditación establecidas a nivel internacional.

Gracias a su trabajo, Eva tiene la oportunidad de supervisar la implementación y certificación de las normas internacionales desde varios niveles, como experta del organismo de acreditación eslovaco SNAS, auditora líder de certificación aprobada para varias normas ISO, auditora certificada en ciberseguridad, consultora y formadora en estas áreas.

Ricardo Marmolejo es un profesional con amplia experiencia en el sector de
tecnologías de la información y ciberseguridad. Actualmente se desempeña como
Director Comercial en ciberescudo, una empresa enfocada en soluciones de
seguridad cibernética.
En su trayectoria laboral, ha ocupado diversos cargos clave, incluyendo Director de
preventa técnica, Director de proyectos y programas, e innumerables roles
técnicos. Ricardo posee mas de 20 años de experiencia en preventa técnica y ventas
a gobierno.
Es egresado de la Maestría en Informática Aplicada del ITESO, posee varias
certificaciones como la de PMP del Project Management Institute, con más de una
década de experiencia en esta área, CISM de ISACA, ITIL intermedios en varias
versiones, entre otras mas técnicas.
Ha participado activamente como voluntario para el PMI, y diversas organizaciones.

TITULO

La Ciberseguridad en el Gobierno Federal Mexicano: Radiografía de una Adquisición ¿inCompleta?

SÍNTESIS: (max. 40 palabras)

Apoyados en la información de datos abiertos del sitio de comprasMX, analizamos con IA y revisiones manuales todos los contratos relacionados con la ciberseguridad del gobierno federal mexicano durante 2025, extrayendo conclusiones valiosas, así como buenas prácticas.

RESUMEN: (max. 200 palabras)

Análisis de la forma en que el gobierno mexicano realiza las compras de ciberseguridad, empezando por la normatividad recientemente liberada, luego las brechas recientes (2026 y 2025), pasando por si las dependencias compran componentes o servicios
integrales; montos; forma de adjudicación (directa, licitaciones); para obtener insights de lo que sucedió en 2025, y generar algunas conclusiones interesantes, siempre cuidando dar números, mas no nombres de dependencias.

Especialista en Ciberseguridad con amplia trayectoria en la protección de infraestructuras críticas y Tecnologías de la Operación (OT) dentro del sector eléctrico en Colombia. Actualmente se desempeña como ingeniero de ciberseguridad en una empresa de servicios públicos, liderando proyectos de vanguardia como la integración de Google SecOps y la implementación de soluciones de visibilidad industrial avanzada.

Es el creador del framework Operational Risk Valuation Lens (ORVL)™, una metodología innovadora que converge la telemetría técnica de seguridad con modelos de valoración financiera y riesgo patrimonial. Su perfil se distingue por unir el rigor del Centro de Operaciones de Seguridad (SOC) con un análisis estratégico del mercado financiero, labor que difunde a través de su iniciativa «El Analista Ciber-Financiero».

Cuenta con formación especializada en ciberseguridad en la nube y gestión de riesgos operativos. Además de su labor técnica, es un activo divulgador en plataformas digitales y conferencista en temas de resiliencia ciber-física, destacándose por su capacidad para traducir riesgos tecnológicos complejos en lenguaje de gobernanza corporativa para la alta dirección.

Conferencista internacional, máster en administración empresarial y de negocios, profesional en Tecnologías de Información y Comunicaciones, con más de diez años de experiencia en auditoría de sistemas, riesgos tecnológicos, ciberseguridad e innovación financiera. Actualmente me desempeño como Auditor Regional de TI en un grupo financiero regional, apoyando la supervisión, ejecución y calidad de las auditorías de TI en los países donde opera el grupo. He liderado iniciativas de riesgo tecnológico, protección de datos y transformación digital en los sectores financieros y gubernamentales; a su vez, he participado como conferencista en eventos internacionales organizados por FLAI, FELABAN (CLAIN), ISACA (Iberoamérica, Latinoamérica y Honduras) y otros foros especializados en datos, ciberseguridad y FinTech; éste último como Secretario General del Comité FinTech de la Comisión Nacional de Bancos y Seguros (CNBS) y Coordinador de la Mesa de Innovación Financiera en Honduras (MIF). Asimismo, me desempeño como tutor de curso de innovación y FinTech de empresa en España y he sido tutor de innovación para INCAE y Honduras Digital Challenge.

TÍTULO:

Brechas y pérdidas de datos en la era de la IA: implicaciones avanzadas para la
auditoría y la gestión del riesgo

PONENTE:

Fernando Enrique Hernández Casco SÍNTESIS: Brechas y pérdidas de datos se han convertido en un riesgo crítico en entornos intensivos en IA, con impactos económicos, reputacionales, legales y sociales. La ponencia expone un enfoque avanzado para su evaluación y gobierno desde auditoría y gestión de riesgos.
RESUMEN:

Las brechas y pérdidas de datos se han consolidado como uno de los riesgos más relevantes para las organizaciones, acentuado por el uso creciente de inteligencia artificial y automatización en procesos y decisiones de negocio. Más allá del impacto técnico inmediato, estos incidentes combinan costes económicos directos, afectación reputacional, interrupciones operativas,  riesgos legales/regulatorios y daños sobre los derechos y libertades de las personas, dimensiones que deben integrarse en los marcos de gestión del riesgo y en los planes de auditoría. La ponencia presenta un enfoque avanzado para  analizar brechas y pérdidas de datos a partir de seis dimensiones de impacto (económica, reputacional, operativa, legal/regulatoria, social/privacidad e IA/automatización), apoyado en guías de autoridades de protección de datos y en estudios recientes de IBM, ISACA y literatura académica. Se ilustran escenarios contrastados: organizaciones con controles tradicionales, con alta seguridad basada en IA y con presencia de shadow AI y gobernanza débil, destacando cómo varía el riesgo residual y el costo esperado de consecuencias.
Finalmente, se discuten implicaciones para auditoría interna, segunda línea de defensa y gobierno de datos, proponiendo criterios para revisar controles, documentar el apetito de riesgo y evaluar la madurez de la gestión de brechas y pérdidas de datos en la era de la IA.

Dr. Enzo Tolentino es Head de Auditoría Digital Corporativa en el Banco de Crédito
del Perú (BCP), donde lidera iniciativas de innovación y transformación digital para
la función de Auditoría Interna. Su experiencia se ubica en la intersección entre
transformación digital, inteligencia artificial y gestión de riesgos, respaldada por
una trayectoria sólida en auditoría, control interno y riesgos tecnológicos.
A lo largo de su carrera, el Dr. Tolentino ha ocupado roles ejecutivos en Citibank,
Motorola, Ernst & Young (EY) y actualmente en BCP/Credicorp. Además, es
profesor a tiempo parcial en programas de posgrado en la Universidad del Pacífico
y la Universidad Peruana de Ciencias Aplicadas (UPC), en Lima, Perú.
Como expositor frecuente, ha compartido enfoques, desarrollos y conceptos
emergentes en eventos profesionales en Perú y Latinoamérica organizados por
FELABAN, el Institute of Internal Auditors (IIA), ISACA e ISC2.
El Dr. Tolentino cuenta con un Doctorado en Business Administration (DBA) de
Florida International University, un MBA y una Maestría en Gestión de Sistemas de
Información de Case Western Reserve University, además de ser bachiller en
Economía por la Pontificia Universidad Católica del Perú. Asimismo, posee las
certificaciones CIA, CISA y CISSP.

TITULO
LLM-as-a-judge como soporte para decisiones de Auditoría
PONENTE
Enzo Tolentino
SÍNTESIS: (max. 40 palabras)
En IA agéntica, las alucinaciones pueden guiar a la organización a decisiones erróneas. La presentación aplica
el enfoque LLM-as-a-judge para detectarlas: un juez gobernado que valida las afirmaciones del agente IA
contra fuentes aprobadas y la traza definida.

Profesional con más de 20 años de trayectoria de Ciberseguridad, Tecnologías de la Información y Auditoría. 

Es Licenciado en Informática por la Universidad la Salle México, cuenta un Diplomado en Tecnologías de Ciberseguridad por el Instituto Tecnológico de Estudios Superiores de Monterrey, así como con un MBA en Alta Dirección Empresarial y un Titulo Experto en Transformación Digital, estos últimos por la European Open Business School de Madrid.

Cuenta con las certificaciones CISA, CRISC, CDPSE, C|CISO Associate y AWS Practitioner.

Ha sido académico en la Universidad Tecnológica de México, así como Trainer de la Certificación CRISC.

Ha sido speaker en diversos foros de Riesgo y Ciberseguridad, y para ISACA ha presentado en la Conferencia Latinoamericana Costa Rica 2017, Conferencia Latinoamericana Costa Panamá 2022 y Congreso ISACA Iberoamérica 2022.

Actualmente es Subdirector GRC Ciberseguridad, Control Testing & Mejora Continua en Banco Santander México.

Jorge Pedroza es Director de CogniTactiX, consultora especializada en Inteligencia Artificial, Gestión de Riesgos y Ciberseguridad. Cuenta
con más de veinte años de experiencia en auditoría, tecnología y consultoría empresarial, habiendo desarrollado su carrera profesional en
una de las firmas BigFour atendiendo a clientes de diversas industrias incluyendo energía, infraestructura, retail, minería y sector financiero.
Su trayectoria profesional se inició en la auditoría de estados financieros de empresas públicas listadas en bolsa, experiencia que le
permitió consolidar una sólida comprensión del entorno empresarial y desarrollar expertise en control interno, gestión de riesgos y
cumplimiento normativo, elementos fundamentales que han sido la base de su especialización posterior en gestión integral de riesgos.
Como líder de CogniTactiX, Jorge ha dirigido proyectos de alto impacto en la implementación de sistemas de gestión de riesgos, evaluación
de controles SOX, auditorías de cumplimiento regulatorio y diseño de programas de auditoría continua apoyados en tecnología avanzada.
Su enfoque en la aplicación de Inteligencia Artificial para la detección de riesgos, análisis de datos masivos y automatización de procesos
de auditoría ha permitido a las organizaciones incrementar la efectividad de sus controles internos y fortalecer el gobierno corporativo. Su
experiencia técnica incluye el desarrollo de modelos de IA para análisis avanzado de datos, identificación de anomalías en conjuntos de
datos, integración de diversas fuentes de información para generar datalakes, diseño de tableros de visualización y automatización de
procesos críticos de auditoría y cumplimiento.
Jorge es Contador Público Certificado y cuenta con estudios de Derecho, ambos por la UNAM. Posee grado de Maestro en Energía y
Maestro en Inteligencia Artificial Aplicada, ambas maestrías obtenidas en el Tecnológico de Monterrey. Actualmente se encuentra cursando
el Doctorado en Derecho Penal con especialización en Prueba Digital. Cuenta además con diversas certificaciones especializadas en Data
Intelligence, Robotic Process Automation (RPA), Machine Learning y Deep Learning otorgadas por PwC, Nvidia e IBM. Es miembro activo
del Colegio de Contadores Públicos de México, ISACA Mexico Chapter, Internal IA – IMAI y de la Academia Mexicana de Informática
(AMIAC). Participa en los comités sectoriales de Tecnologías de la Información, Energía y Sustentabilidad de la AMCHAM, y actualmente se
desempeña como Presidente del Green Power Group de la Cámara Británica de Comercio (BritCham).

TITULO
Implementación práctica de Gobernanza de IA en Sectores Industriales: Experiencias y Lecciones desde México en el Marco de Estándares  Internacionales

PONENTE
CPC, MAE, MNA Jorge Pedroza Rivera

SÍNTESIS: (max. 40 palabras)
Compartir con la audiencia el caso de éxito de la implementación práctica de marcos de gobernanza de IA en corporaciones industriales mexicanas, integrando ISO/IEC 42001:2023, NIST AI RMF y EU AI Act, con casos reales de minería, transporte e infraestructura, abordando retos regulatorios y organizacionales específicos de Latinoamérica.

Magister en Dirección de Negocios y Licenciado en Computación; con certificaciones PMP, CISA, CGEIT, CRISC, CISM, CDPSE, CSX, IRCA, IATCA, ISO 27002, CRMA, RWPC, COBIT Foundations, Coach, APMG Trainer, Scrum SFPC, ISO 20000, ISO 22301, ISO 27001, NIST. Con sólida y amplia experiencia de más de 30 años en empresas nacionales e internacionales del ámbito comercial, industrial y financiero en funciones de consultoría, auditoría, seguridad, ciberseguridad y desarrollo de proyectos de sistemas de información.

Estudios de pre-grado en la Universidad Nacional Mayor de San Marcos y de post-grado en la Universidad Peruana de Ciencias Aplicadas, Esan y la Universidad de Harvard.

Catedrático en escuelas de post-grado en diversas universidades. Con participación en ISACA International y otros organismos profesionales globales, donde se desempeñó como expositor e integrante de diversos comités especializados, tales como:

Expositor en Latin CACS y CEIC Las Vegas.
Miembro del Comité de Expertos sobre Cloud Computing – CSA
Líder de la Comunidad de Entrega de Valor de TI – Val IT
Experto Revisor de la publicación Journal
Miembro del Consejo de Gobernabilidad de Tecnologías de Información – ISACA
Decano del Colegio Nacional de Matemáticos
Líder de la Comunidad de TI del Capítulo PMI Lima
Miembro del Comité Consultivo ICACIT

Labora como Líder de Innovación Digital y Calidad de Auditoría Interna, en Pacífico Seguros, y es Gerente General de ITG Consulting

TITULO

Ciberdefensa impulsada por IA: Guías estratégicas reveladas

PONENTE

Rómulo Lomparte

SÍNTESIS: (max. 40 palabras)

Mantenerse al día con los últimos avances en ciberseguridad es crucial, ya que el panorama de amenazas evoluciona rápidamente. Esta concienciación continua es esencial para garantizar la eficacia sostenida de las medidas que protegen los datos y los sistemas.

RESUMEN: (max. 200 palabras)

En el dinámico y complejo panorama de amenazas actual, defenderse eficazmente contra las ciberamenazas requiere una estrategia multifacética que integre prácticas seguras en la nube, una gestión robusta de parches y la formación continua de los usuarios. Unas políticas claras y unas estrategias de ciberseguridad bien definidas refuerzan aún más la preparación de la organización.

Los agentes de IA pueden ejecutar de forma autónoma las acciones de las estrategias para acelerar la detección de amenazas y optimizar la respuesta a incidentes. Pueden mejorar la visibilidad y el conocimiento de la situación mediante la monitorización del panorama de amenazas de ciberseguridad, como ransomware, vulnerabilidades en la nube, phishing, ingeniería social y entornos de aplicación de parches. Al automatizar estas tareas rutinarias y correlacionar la inteligencia en tiempo real, la IA permite a los equipos de seguridad centrarse en las amenazas de alta prioridad y su mitigación. Sin embargo, esto es un arma de doble filo: los actores de amenazas también utilizan la tecnología para escalar, personalizar y camuflar sus ataques.

La IA ya no es una mera mejora tecnológica. Es un imperativo estratégico para la ciberseguridad moderna. Al integrar la IA en los marcos de defensa fundamentales, las organizaciones pueden anticiparse a las amenazas y construir una infraestructura digital más robusta.