Comparar controles por reducción de pérdida

Un control no «vale» por su precio ni por la fama del producto. En FAIR su valor es lo que cambia en la pérdida esperada. Se corre la simulación dos veces: con los parámetros actuales y con los parámetros que el control modifica. Un control puede mover la frecuencia de eventos de amenaza, la vulnerabilidad (la resistencia del activo) o la magnitud de la pérdida. La reducción es la media sin el control menos la media con él, y el beneficio neto resta además su costo anual.

Abre SELECT * FROM escenario_base y SELECT * FROM controles_propuestos. La tabla trae la media anual con cada control, ya simulada. La reducción del primer control es lo que se le quita a la pérdida esperada de partida.

Cuando la reducción es menor que el costo anual, el beneficio neto es negativo: el control cuesta más de lo que protege. Puede justificarse por una obligación legal o contractual, pero entonces se dice así, y no se presenta como ahorro de pérdida.

Calcula la reducción de cada uno de los cuatro y compárala con su costo anual.

Una cifra de reducción solo vale lo que valga su evidencia. Un resultado de una prueba propia o de una revisión hecha en la empresa es una evidencia. Una promesa comercial no lo es: sirve para pedir una prueba, no para alimentar la simulación. Si se usa, la reducción que sale es la del folleto y no la del control.

Mira la última columna de la tabla de controles.

Dos controles sobre el mismo escenario comparten parte de la pérdida que quitan: si uno ya redujo la magnitud de cada evento, el otro encuentra menos pérdida que evitar. Por eso la reducción conjunta suele ser menor que la suma de las reducciones individuales. Presentar la suma como si fuera la reducción de la combinación es un error frecuente en los casos de negocio.

Abre SELECT * FROM combinacion y calcula el solape entre C-1 y C-2.