El riesgo en dinero

La cuantificación simple de un escenario usa tres datos. El valor del activo o del proceso expuesto, el factor de exposición (qué parte de ese valor se pierde cuando el evento ocurre, entre 0 y 1) y las ocurrencias esperadas por año (0,1 es una vez cada diez años; 12 es una al mes).

Con eso salen dos números. La pérdida por evento es el valor por el factor de exposición. La pérdida anual esperada es la pérdida por evento por las ocurrencias al año. Ese último número es el que se compara entre escenarios, porque pone a un evento raro y caro junto a uno frecuente y barato en la misma escala: pesos por año. No es una predicción; es una forma de ordenar con la misma regla.

Abre los cinco escenarios de Alborada: una fuga de la base de asociados, un ransomware en la sede principal, una caída de 24 horas de la app móvil, un fraude por suplantación en atención telefónica y la pérdida de un portátil con datos. Los valores están en millones de pesos. Hay que calcular la pérdida anual esperada de cada uno y comparar.

El resultado suele sorprender: el escenario más caro por evento no es siempre el que más pesa al año, y uno barato pero frecuente puede quedar por encima de uno raro y espectacular.

Un control tiene un costo anual (licencias, personas, mantenimiento) y reduce la pérdida esperada, porque baja las ocurrencias, el factor de exposición, o los dos. Su beneficio neto anual es la pérdida esperada de antes, menos la de después, menos lo que cuesta cada año. Si sale negativo, el control cuesta más de lo que protege y hay que justificarlo por otra razón (una obligación legal, por ejemplo) o dejarlo.

Mira las cinco propuestas de la consola. Calcula la pérdida esperada que queda con cada control y réstala.

Con los beneficios netos calculados se ordena la lista. El control con mayor beneficio neto es el que más pesos de pérdida esperada quita por cada peso gastado al año, siempre que el dato de partida sea razonable. Pero ese orden por sí solo no decide: manda también el apetito, la urgencia y lo que la organización pueda aprobar. Por eso el número va al comité como insumo para decidir, no como veredicto.

Los tres datos de cada escenario son estimaciones: ocurrencias sacadas del historial propio, de informes del sector o del juicio del equipo (la tabla dice de cuál). Presentar 600 millones como una cifra exacta promete una precisión que no existe y es lo primero que un directivo desconfiado desmonta. Lo honesto es dar un rango, decir de dónde sale cada supuesto y avisar de lo que más mueve el resultado. Existen modelos más formales para hacerlo, como FAIR, que The Open Group publica como estándar de análisis de riesgo (O-RA); la cuantificación simple de esta sala es su versión mínima.