Con el MCP de GlobalSuite® conectado, Claude, ChatGPT, Gemini, Microsoft Copilot o Cursor responden con los datos reales de tu GRC. Aquí tienes los prompts que usamos, ordenados por perfil (CISO, Compliance, Riesgos, Dirección y Auditoría), cada uno con lo que devuelve. Las capturas son respuestas reales de Claude y de ChatGPT sobre un entorno de demostración con datos ficticios.
Cópialos tal cual y cambia lo que va entre [corchetes] por el nombre de tu análisis, tu elemento o tu normativa. Si todavía no tienes claro qué es un MCP o qué preguntas de seguridad hacerte antes de conectarlo, empieza por qué es un MCP y por qué cambia la gestión GRC.
Llama a las cosas como en GlobalSuite®. El asistente busca el análisis, la evaluación o el elemento por su nombre exacto.
Pide el formato. Una tabla, una gráfica, un Excel o un Word para dirección.
Pide que te diga qué ha revisado. Con mucho volumen, añade «revisa todas las páginas de resultados» o acota a un análisis. La IA puede equivocarse: contrasta en la plataforma lo que vaya a un comité.
CISO y seguridad
Lo que más pide un responsable de seguridad es saber dónde hay riesgo por encima de lo aceptado y si hay algo que lo esté frenando. Son preguntas que en la herramienta exigen varios filtros y que aquí se hacen en una línea.
Prompt¿Qué elementos del análisis [nombre] superan su nivel de riesgo aceptable? Ordénalos de mayor a menor riesgo e indica cuáles no tienen ningún control asociado.
ChatGPT lee el umbral del análisis (Medio, 3,00), lista los cuatro elementos que lo superan y marca los dos que no tienen ningún control. Añade por su cuenta que otro elemento tiene siete riesgos altos con un solo control.
PromptCrea un mapa de calor de probabilidad e impacto con los riesgos del elemento [nombre] del análisis [nombre]. Indica cuántos riesgos caen en cada celda y cuáles están en la zona roja.
Claude dibuja la matriz con los niveles de tu metodología, cuenta los riesgos de cada celda y lista por nombre los dos que caen en la zona roja.
Prompt¿En qué elementos del análisis [nombre] el riesgo residual es igual al riesgo? Indica si esos riesgos tienen controles asociados.
Una lista de los elementos donde los controles no están reduciendo nada, separando los que no tienen controles de los que los tienen pero sin efecto. Es una pregunta que recorre todo el análisis: funciona mejor con el modo de investigación del asistente.
Compliance
Compliance y el Gestor Documental son de solo consulta, así que aquí el MCP sirve para ver el estado y encontrar lo que falta, no para cambiarlo.
Prompt¿Cuál es el grado de cumplimiento de mis evaluaciones normativas? Hazme una gráfica ordenada de mayor a menor y dime dónde debería centrarme.
Claude encuentra las evaluaciones activas, las ordena en una gráfica por tramos de avance y termina con una recomendación de dónde poner el esfuerzo.
PromptAnaliza las brechas de la evaluación [nombre de la normativa]. ¿Qué apartados tienen menor cumplimiento, cuáles no tienen controles ni evidencias y qué me recomiendas priorizar?
Recorre el árbol de requisitos de la evaluación y devuelve los apartados más flojos, los que no tienen ni controles ni evidencias, y un orden de trabajo.
Prompt¿Qué evaluaciones normativas tienen requisitos sobre [copias de seguridad]? Resume su grado de cumplimiento en cada una.
Busca el tema en todas las evaluaciones y devuelve, por normativa, los requisitos que lo tratan y cómo están. Útil cuando un mismo control responde a varias normas.
PromptCompara el documento [nombre] con el requisito [A.5.1] de [ISO 27001] e indica qué le falta para evidenciar su cumplimiento.
Lee el documento del Gestor Documental y lo contrasta con el texto del requisito. Devuelve lo que ya cubre y lo que habría que añadir. Los documentos se buscan por el nombre del archivo, no por su contenido.
Equipo de riesgos
Inventario, Análisis de Riesgos y Controles admiten escritura, y es donde más tiempo se ahorra. Todas las peticiones de este bloque siguen el mismo patrón: primero una propuesta, después la confirmación. En nuestras pruebas, ChatGPT creó y valoró elementos y riesgos sin mostrar su tarjeta de permiso, y Claude pregunta o no según el modo de permisos elegido. Por eso la frase «cuando te lo confirme» va en el propio prompt.
PromptPropón los tres riesgos más relevantes para [elemento] en el análisis [nombre], con su probabilidad y su impacto según los criterios de la metodología. Enséñamelos y, cuando te los confirme, créalos y calcula su nivel de riesgo.
Claude propone un riesgo por dimensión, con la probabilidad y el impacto de tu metodología y la justificación de cada valor. Deja claro que todavía no ha creado nada. Con un «Adelante» los crea y calcula su nivel.
PromptRevisa los riesgos del análisis [nombre] que superan el nivel de riesgo aceptable y no tienen ningún plan de tratamiento. Propón un plan para cada uno (nombre, responsable, plazo y coste estimado) y, cuando te lo confirme, créalos y asócialos.
Una tabla con un plan por riesgo, su responsable, su plazo y su coste. Claude da plazos más cortos a lo expuesto a Internet, recuerda quién tiene que aprobarlos según el apetito de riesgo del análisis y espera la confirmación.
PromptTe adjunto la plantilla de importación de GlobalSuite. Rellénala con una propuesta de riesgos, su valoración y un control para cada uno, para los elementos [nombres] del análisis [nombre]. Usa los niveles de la plantilla y no repitas riesgos que ya existan.
Claude revisa antes los riesgos que ya tiene cada elemento, usa los nombres de amenaza de tu catálogo para no crear variantes y devuelve la plantilla rellena. Avisa de que el nivel resultante es una estimación suya. El fichero se revisa y se importa desde Data Import.
Un aviso antes de pedir bajas: sacar un elemento de un análisis elimina sus riesgos en ese análisis. Di exactamente qué elemento quieres sacar o borrar, y evita peticiones abiertas como «borra lo que no se usa».
Dirección y comité
Para el comité no hace falta exportar y maquetar. El asistente redacta el documento con los datos de la plataforma y tú lo revisas.
PromptRedacta en Word un informe ejecutivo de dos páginas del estado de cumplimiento de [ISO 27001] para el comité de dirección, con conclusiones y próximos pasos.
Un Word con indicadores, situación por dominio del Anexo A y una lectura de los datos. En la demo, Claude detectó además que la evaluación seguía sobre la versión 2013 de la norma y lo puso en el resumen ejecutivo.
PromptHazme un resumen del estado de mi sistema de gestión en GlobalSuite: análisis de riesgos activos, evaluaciones normativas con su grado de cumplimiento y los tres puntos que requieren más atención.
Una foto de una página del sistema de gestión, con los análisis activos, el cumplimiento de cada evaluación y tres prioridades. Es un buen punto de partida para preparar un comité.
PromptPrepara un cuadro de mando visual del análisis [nombre] con el número de elementos por categoría, la distribución de los elementos por nivel de importancia y los cinco elementos más críticos con su valoración.
Un cuadro de mando con gráficas que Claude genera como artefacto dentro de la conversación. Recomendable con el modo de investigación, porque recorre todo el análisis.
Auditoría
Antes de una auditoría, interna o de certificación, lo que más tiempo quita es encontrar lo que está incompleto. Estas preguntas sirven para eso.
PromptRevisa la calidad de los datos del análisis [nombre] antes de presentarlo al comité: elementos sin valorar o sin categoría, controles duplicados o con nombres de prueba y acciones del plan de tratamiento sin responsable o sin plazo. Dame una tabla con cada problema, cuántos casos hay y cómo lo corregirías.
Una tabla por tipo de problema, con el número de casos y una propuesta de corrección para cada uno.
Prompt¿Qué evidencias tengo registradas y a qué controles están vinculadas? Dime también qué controles implantados del análisis [nombre] no tienen ninguna evidencia.
El listado de evidencias con sus controles y, aparte, los controles que se dan por implantados sin nada que lo demuestre. Es de lo primero que se mira en una auditoría.
Prompt¿Qué no conformidades, hallazgos o acciones hay asociados a los requisitos del apartado [A.9] de [ISO 27001]?
Las incidencias abiertas en ese apartado de la evaluación, con su estado, para comprobar el seguimiento de una auditoría anterior.
PromptExporta a una hoja de cálculo los controles del análisis [nombre] con su tipo, su responsable, su plazo y su madurez.
Un Excel listo para trabajar o para entregar como anexo.
Qué hacer si la respuesta se queda corta
GlobalSuite® entrega los resultados por páginas para no saturar al asistente. En preguntas sobre todo un análisis o todo el inventario, el asistente puede quedarse con la primera página si no se le dice lo contrario. Pídele que revise todas las páginas y que te diga cuántos registros ha analizado, acota la pregunta o activa su modo de investigación (Investigación en Claude, Investigación profunda en ChatGPT).
Si prefieres no salir de la plataforma, el Agente IA de Análisis y Evaluación de Riesgos responde sobre el análisis abierto y solo aplica cambios cuando los apruebas. Llegó con el MCP en la versión 7.12 de GlobalSuite® Quantum, y el resto de lo que hace la IA en la plataforma está en la página de inteligencia artificial de GlobalSuite®.
Preguntas frecuentes
¿Estos prompts funcionan con cualquier asistente?
Sí, con cualquiera de los compatibles con el MCP de GlobalSuite®: Claude, ChatGPT, Gemini, Microsoft Copilot y Cursor. Con los mismos datos, cada asistente y cada modelo pueden redactar la respuesta de forma distinta o llegar a conclusiones distintas.
¿Qué puede modificar el asistente y qué solo consultar?
Puede crear y actualizar información en Inventario, Análisis de Riesgos y Controles, siempre con tus permisos. Compliance, el Gestor Documental y las novedades de producto son de solo consulta.
¿El asistente ve datos que yo no puedo ver?
No. Entra con tu usuario y ve exactamente lo mismo que tú en la plataforma, dentro de tu empresa y tu sistema de gestión.
¿Por qué dice que no encuentra un análisis o un documento?
Casi siempre porque el nombre no coincide o porque tu usuario no tiene acceso. Escribe el nombre tal como aparece en GlobalSuite®. Los documentos del Gestor Documental se buscan por el nombre del archivo.
