Analizar y evaluar con criterios

Analizar es asignar a cada escenario una probabilidad y una consecuencia; evaluar es compararlas con los criterios y decidir qué hacer. La matriz que cruza ambas ya la conoces del módulo 2; aquí lo nuevo es la disciplina del proceso. Dos personas deben llegar al mismo nivel con la misma evidencia, y por eso la probabilidad se asigna considerando los controles que operan, no los que figuran en un documento.

Si el equipo contó un control que la evidencia muestra detenido, la probabilidad está subestimada y el riesgo parece menor de lo que es. Los criterios del comité tienen una regla para corregirlo.

La pérdida estimada de un escenario se traduce a un nivel de consecuencia con la escala aprobada. La escala ya está corregida y sus bandas no se solapan: cada pérdida cae en un único nivel. Para el escenario E-2 (carga errónea del archivo de intereses) la hoja da la pérdida si ocurre.

El estado de cada control está en la última columna de los escenarios analizados. Lee con cuidado: «Opera» y «Opera, probado en 2026» son cosas distintas a «No opera». Solo uno de los escenarios contó un control con estado que no opera.

Aplica la regla de corrección de las reglas de evaluación a ese escenario y luego ubica cada uno de los cinco en la matriz: la fila es la probabilidad y la columna es el nivel de consecuencia que obtuviste con la escala. Cuenta cuántos escenarios quedan en el nivel Alto, sin contar los Muy alto ni los Medio.

Evaluar es también priorizar. Los criterios del comité dicen cómo se ordena el tratamiento: primero el nivel de riesgo más alto y, ante un empate de nivel, la mayor consecuencia. Entre los escenarios que quedaron en Alto, uno se trata primero.