Qué medir y qué no, de la pregunta al número

Una métrica de actividad cuenta lo que el equipo hizo: escaneos lanzados, informes enviados, tickets abiertos. Una de resultado dice qué cambió en el riesgo: cuánta exposición sigue sin atender, cuánto tardan en cerrarse las críticas, qué parte del parque se ve. La actividad es fácil de contar y casi siempre sube; por eso, sola, no demuestra que algo mejoró.

Eso no la hace inútil. La actividad sirve al jefe del equipo para repartir trabajo, pero no es lo que se enseña a quien decide presupuesto. El panel directivo se llena de resultados y deja la actividad para el seguimiento interno.

No todo lo que parece resultado merece un hueco. Un número puede describir el estado del programa y, aun así, no cambiar ninguna decisión: si sube o baja, nadie hace nada distinto. La pregunta de control es sencilla: «si este número cambiara de color, ¿quién haría qué?». Sin respuesta, es decoración.

Abre candidatas.csv y mira juntas las columnas tipo y decision.

El comité fijó tres condiciones y las tres deben cumplirse: apoyar una decisión concreta, tener definición escrita y ser de resultado. La definición escrita es la más olvidada. Sin numerador, denominador y fecha de corte por escrito, dos personas calculan el mismo nombre de métrica de formas distintas y las cifras dejan de ser comparables entre meses.

Revisa las nueve filas contra las tres condiciones del leeme.txt y cuenta las que pasan.

Un buen panel se construye hacia atrás: primero la pregunta de la persona, luego la métrica que la responde. Las preguntas reales casi nunca nombran la métrica; hay que traducirlas. «¿Estamos mirando todos los equipos?» es cobertura; «¿cuánto llevan esperando las críticas?» es edad; «¿qué se aceptó?» es excepciones. Si ninguna candidata responde una pregunta importante, el hueco se anota: es una métrica por construir, no un motivo para meter otra.

Lee preguntas.txt y busca la candidata que responde la pregunta de auditoría.

Es común que alguien pida añadir al panel una cifra que impresiona: «vulnerabilidades detectadas en total». Un acumulado solo crece, así que parece una tendencia y no lo es: mejora la detección o empeora la exposición, y el número no distingue. Rechazarlo con un «no» seco genera fricción. Lo defendible es proponer a cambio una métrica de resultado que responda la preocupación de fondo y dejar la cifra acumulada para el seguimiento interno.