Método de trabajo
Una forma simple de revisar riesgo: alcance claro, evidencia suficiente, límites explícitos y siguientes pasos.
Revisión primero, implementación aparte.
Cada trabajo empieza con una pregunta concreta y termina con hallazgos, límites y acciones priorizadas.
Revisión inicial
Entendemos la situación, la fecha límite, los responsables y las restricciones antes de proponer alcance.
Alcance
Definimos activos, sistemas, usuarios, fechas, exclusiones, permisos y evidencia mínima.
Recepción de evidencia
Recibimos documentos, accesos limitados, contactos y contexto operativo.
Revisión y entrevistas
Revisamos controles, flujos de datos, proveedores, arquitectura y operación real.
Síntesis
Priorizamos por impacto, probabilidad, exposición, evidencia disponible y efecto en la decisión.
Cierre y plan
Cerramos con hallazgos, límites, recomendaciones y acciones 30/60/90.
Lenguaje de evidencia
- Verificado: confirmado con evidencia directa.
- Desconocido: no existe evidencia suficiente.
- No verificado: fuera de alcance o sin acceso suficiente.
- Supuesto: hipótesis usada para el análisis.
- Riesgo relevante: hallazgo que puede cambiar prioridades o condiciones.
Niveles de confianza
- Alto: evidencia directa, consistente y suficiente.
- Medio: evidencia parcial o indirecta.
- Bajo: señales iniciales que requieren validación.
| Severidad | Criterio | Acción sugerida |
|---|---|---|
| Crítico | Pérdida material, exposición sensible, interrupción mayor o bloqueo de transacción. | Decisión ejecutiva inmediata: mitigar, pausar o condicionar. |
| Alto | Riesgo relevante con exposición real o probabilidad alta. | Mitigar en 30 días o antes si hay fecha externa. |
| Medio | Riesgo controlable que debe entrar al plan de trabajo. | Plan 60-90 días con responsable. |
| Bajo | Mejora de higiene, documentación o control con impacto limitado. | Backlog normal. |
Hallazgos
Los hallazgos relevantes incluyen evidencia o una limitación explícita.
Límites
El cierre separa lo revisado, lo pendiente y lo que quedó fuera de alcance.
Continuidad
Cualquier trabajo posterior se define aparte, con responsabilidades y alcance por escrito.