Desviaciones y excepciones

Una desviación (o excepción de configuración) es una diferencia consciente entre el sistema y la línea base, aprobada por quien responde del riesgo y con una fecha en la que se vuelve a decidir. Un hallazgo es la misma diferencia cuando nadie la aprobó: sigue abierta y cuenta como incumplimiento. Lo que las separa no es el valor del parámetro, que es el mismo, sino el registro.

La tabla politica_de_excepciones fija lo mínimo que debe llevar cada desviación y qué pasa cuando caduca.

Con corte al 2026-10-07, una desviación cuya fecha de caducidad ya pasó y que nadie renovó deja de proteger: según la regla E3, la regla vuelve a contar como incumplida. Mira la tabla desviaciones y localiza la que ya venció.

La regla E1 exige una medida compensatoria en toda desviación: algo que baje el riesgo mientras la regla no se cumple. Una desviación vigente con medida «ninguna» es una puerta abierta con firma, no un riesgo gestionado. Busca la desviación vigente a la que le falta esa medida.

La regla E2 limita la duración de una desviación a 180 días entre su aprobación y su caducidad. Una desviación larga no es mala por sí sola, pero debe poder defenderse. Calcula los días calendario entre aprobada_el y caduca_el de la desviación DESV-0204 y compara con el máximo.