Valoración avanzada de riesgos y decisiones
Criterios, incertidumbre, escenarios y tratamiento dentro del SEVRI.
1. Contexto y escala de valoración
Fija objetivo, alcance, horizonte, condiciones y población expuesta. La probabilidad de al menos una interrupción durante un año no equivale a la proporción de transacciones con error. El impacto necesita una referencia: continuidad, derechos, recursos, información, legalidad u otra consecuencia relevante. Define quién puede aceptar exposición y bajo qué condiciones, conforme al marco institucional.
Las etiquetas bajo, medio y alto ordenan criterios. Sus códigos numéricos no transforman automáticamente un juicio en medición. La matriz ayuda a priorizar; una obligación jurídica no pierde vigencia por recibir una calificación baja. Conserva incertidumbre y fuentes de información, en lugar de introducir decimales sin base.
2. Riesgo inherente, residual y futuro
El inherente describe exposición antes de considerar controles bajo los supuestos definidos. El residual actual considera controles existentes y su funcionamiento sustentado. El residual futuro es una estimación condicionada a medidas pendientes. Mantenerlos separados evita atribuir al sistema actual el beneficio de una intención.
No apliques descuentos universales por «control bueno». Examina qué causa, probabilidad o consecuencia modifica la medida, bajo qué condiciones y con qué evidencia. Dos controles que dependen del mismo reporte o usuario pueden fallar simultáneamente; no deben tratarse como barreras independientes sin fundamento.
3. Cálculo por escenarios: ejemplo completo
Considera tres resultados anuales mutuamente excluyentes de una interrupción: sin pérdida, probabilidad 0,70; pérdida de ₡2 millones, 0,20; pérdida de ₡20 millones, 0,10. Las probabilidades suman uno. El valor esperado es 0,70×0 + 0,20×2 + 0,10×20 = ₡2,4 millones. Es un promedio teórico de escenarios repetidos, no el valor que necesariamente ocurrirá este año.
Un control proyecta probabilidades 0,85, 0,12 y 0,03 para las mismas consecuencias: el valor esperado sería ₡0,84 millones y la reducción estimada ₡1,56 millones por año. Si cuesta ₡1 millón anual, el beneficio monetario neto simplificado sería ₡0,56 millones. Antes de decidir, examina plausibilidad, otras consecuencias, costo de implantación, horizonte y obligación de mantener el servicio. No sumes como anuales costos que se pagan una sola vez sin definir el tratamiento.
4. Sensibilidad y escenarios extremos
Si la probabilidad de pérdida grave pudiera ser 0,03 o 0,08, la consecuencia esperada de ese componente variaría de ₡0,6 a ₡1,6 millones. El resultado puede cambiar la comparación. Conserva rango, supuesto y decisión dependiente. Los daños a derechos y consecuencias irreversibles necesitan análisis adicional aunque el valor monetario esperado parezca pequeño.
5. Riesgos comunes y concentración
Varios procesos pueden depender de una única plataforma o proveedor. Sumar valoraciones ordinales no produce riesgo agregado. Examina el escenario común: qué servicios se interrumpen juntos, capacidad de sustitución, consecuencias y recuperación. Evita que cada unidad proponga una medida aislada que ignore la dependencia compartida.
6. Elección y seguimiento del tratamiento
Compara medidas jurídicamente viables por cobertura, plazo, costos, capacidades, consecuencias y dependencias. Identifica exposición durante la implantación y quién decide sobre ella. La aceptación temporal requiere responsable, condiciones, medidas transitorias y fecha de revisión. El plan debe reflejar decisiones en recursos y seguimiento; si nada cambia, explica qué utilidad produjo la valoración.
Documentación y comunicación preservan descripción, datos, criterios, decisiones y revisiones. Una nueva evidencia puede modificar probabilidad, consecuencia o eficacia estimada. La actualización es parte del funcionamiento del sistema, no una corrección cosmética del archivo anual.
Base local: Directrices del SEVRI, secciones 2 a 4 y NCI, 3.1 a 3.4. Referencia complementaria para incertidumbre en riesgos de información: NIST SP 800-30 Rev. 1. Los cálculos son ejemplos propios y no una fórmula de la CGR.