Listas que se sienten completas, pero no lo son
En la mayoría de las organizaciones, el registro de riesgos no vive en un solo lugar. Tecnología tiene el suyo, basado en hallazgos técnicos. Cumplimiento tiene otro, construido desde brechas frente a un framework. Riesgo operativo arma el suyo con incidentes pasados. Privacidad mantiene un cuarto registro. Cada uno con su propia metodología y su propio criterio de qué merece entrar al top 10.
Cuando llega el momento de consolidar todo en una sola hoja para el comité o para dirección, el ejercicio deja de ser análisis y se convierte en curaduría de memoria reciente; entran los riesgos que alguien recuerda con más nitidez, no los que representan más exposición. Es un sesgo conocido de cualquier decisión que se toma bajo presión: lo que pasó hace dos semanas pesa más en la cabeza que lo que sigue sin resolverse desde hace ocho meses, aunque esto último sea mucho más importante.
Decisiones construidas sobre una fotografía vieja
El problema no es que la lista esté mal escrita. Es estructural: sin una lógica común que conecte riesgo, control, evidencia y exposición residual en un mismo sistema, no hay forma de saber con certeza cuál es la postura real de la organización. Este es, precisamente, el vacío que una metodología como Cybersecurity Program Performance Management (CPPM) señala al hablar de "programas fragmentados": la ausencia de una lógica común que conecte piezas que hoy viven separadas.
Esto tiene consecuencias concretas. La primera: presupuesto y atención terminan dirigiéndose hacia lo último que se recuerda, no hacia donde más se necesitan. La segunda: se pierde la trazabilidad entre riesgo inherente y residual, y sin ella es imposible responder con precisión la pregunta que cualquier comité hace antes de aprobar más inversión: "¿qué controles están reduciendo esta exposición y cuáles no?". La mayoría responde con intuición razonada, no con datos, y la intuición no sostiene esa conversación frente a dirección.
La tercer consecuencia es silenciosa: los riesgos que nunca llegan a la lista porque nadie los tiene frescos en la memoria. Un proveedor crítico sin revisión desde hace meses. Una excepción aceptada "temporalmente" hace un año que sigue ahí, fuera del radar, porque nadie construyó el mecanismo para que reapareciera al vencer su plazo. Estos suelen ser, precisamente, los riesgos que terminan materializándose.
No Comments Yet
Let us know what you think