2026-08-01

GRC Lead

Misión del rol

Buscamos un/a GRC Lead que construya y opere el marco de governance, riesgo y cumplimiento de Monato, para que los controles técnicos de seguridad estén documentados, mapeados a los requisitos regulatorios y respaldados con la evidencia que exigen el regulador financiero, ISO 27001, SOC 2 y PCI-DSS.

¿Por qué este rol importa?

Buscamos un/a GRC Lead para conectar los programas técnicos de seguridad con las obligaciones regulatorias de Monato, asegurando que la organización esté en posición de superar una auditoría ISO 27001, SOC 2 o una evaluación PCI-DSS, y contribuyendo a que el proceso de autorización regulatoria avance con documentación sólida y controles verificables.

Lo que harás

- Gestionar el proceso de autorización regulatoria: expedientes, controles, seguimiento a observaciones y coordinación con Legal ante los supervisores financieros correspondientes.
- Operar el risk register: clasificar riesgos, asignar owners, dar seguimiento a remediaciones y reportar postura de riesgo mensualmente al Comité SecOps y trimestralmente al Directorio.
- Construir y mantener el catálogo de políticas de seguridad (mínimo 10 en el primer año), gestionar excepciones con evaluación de riesgo y operar el programa de security awareness.
- Gestionar el programa PCI-DSS v4.0 de extremo a extremo: definir el alcance del CDE, coordinar con el QSA, dar seguimiento a los 12 requerimientos y mantener la certificación vigente.
- Coordinar auditorías internas y externas (ISO 27001:2022 y SOC 2 Tipo II): recopilación de evidencias, seguimiento de hallazgos y cierre de findings de assessments anteriores.
- Conducir evaluaciones de seguridad de proveedores críticos y mantener el programa de gestión de riesgo de terceros: cuestionarios, revisión contractual y seguimiento.

Perfil y habilidades fundamental

- 4–5 años en GRC,



cumplimiento regulatorio o auditoría en instituciones financieras reguladas o fintechs en proceso de obtención de licencia.
- Conocimiento operativo de procesos de autorización ante reguladores financieros: documentación requerida, controles esperados, tiempos y etapas.
- Conocimiento práctico de PCI-DSS v4.0: definición del CDE, los 12 requerimientos, diferencia entre SAQ y evaluación con QSA, y cómo la segmentación de red reduce el alcance del assessment. --Requerimiento crítico.
- Experiencia con al menos uno de los siguientes marcos: ISO 27001:2022, NIST CSF 2.0 o SOC 2 Tipo II.
- Capacidad de leer controles técnicos —configuraciones de acceso, arquitecturas de red, evidencia de SIEM— sin necesidad de implementarlos; redacción clara de políticas y reportes regulatorios en español.
- Familiaridad con herramientas GRC (Drata, Vanta o equivalentes) y construcción de risk registers y matrices de control.
- Nice to have: haber coordinado un proceso de certificación ISO 27001 o SOC 2; haber gestionado observaciones formales de un supervisor financiero; certificaciones CISM, CRISC, ISO 27001 Lead Implementer/Auditor, CISA o PCI ISA.

Lo que obtendrás

- Ownership real sobre el programa de GRC de una fintech regulada en construcción activa.
- Participación directa en el proceso de autorización regulatoria desde el primer día.
- Colaboración cercana con CISO, equipos de IAM, Cloud Security, AppSec y Legal.
- Espacio para construir el programa de cumplimiento con criterio propio y desde bases sólidas.
- Crecimiento profesional acelerado dentro de un equipo de seguridad de alto nivel.

Acerca de Monato En Monato construimos infraestructura financiera moderna para empresas en México, integrando servicios financieros de forma ágil y segura. Operamos en un entorno regulado donde la estabilidad y el cumplimiento son fundamentales, y diseñamos soluciones que reducen la fricción bancaria para habilitar el crecimiento de nuestros clientes. Somos un equipo orientado a la ejecución, enfocado en construir, iterar y mejorar constantemente.

📌 GRC Lead (México)
🏢 Monato
📍 México