Metodología configurable
Qué puede ajustar tu organización en el cálculo — y qué es deliberadamente fijo.
La regla es tuya
Buena parte de la metodología está parametrizada por organización, porque la política de gestión de riesgo varía y una regla impuesta produciría números que nadie reconoce como propios.
Es posible ajustar el tamaño de la matriz de riesgo y las franjas de los ejes, los pesos de impacto por perfil de proveedor, el apetito de riesgo, las franjas en dinero que definen la criticidad en el BIA, los hitos de tiempo de la curva de impacto, los pesos de composición entre dominios y qué frameworks aparecen en la lectura de adherencia.
Cambiar vale de aquí en adelante
Los cambios valen para los cálculos siguientes. Las evaluaciones ya concluidas guardan el resultado que tenían cuando fueron cerradas — lo que preserva la comparabilidad histórica, pero también significa que un cambio de regla no reescribe el pasado.
Qué no es configurable, y por qué
Algunas cosas son fijas a propósito, y vale conocer el criterio: no es configurable aquello cuya configuración permitiría mejorar el número sin mejorar la realidad.
El ejemplo más claro es el piso de amenaza en el riesgo cibernético. Si pudiera ajustarse, bastaría configurarlo en cero para que la regla de que "una amenaza tratada no se vuelve ausencia de amenaza" muriera por parámetro, sin que nadie tuviera que revocarla.
El piso tampoco se confunde con el apetito. El apetito tiene casa propia — la configuración de apetito, las instancias de aprobación y la carta de riesgo. Mezclar los dos es el camino por el que se ajusta el parámetro en vez de tratar el riesgo.