Probar el plan, de la mesa al simulacro

Hay una escala. La lectura del plan comprueba que la gente lo conoce. La mesa (ejercicio de discusión sobre un escenario) comprueba decisiones, roles y comunicación, pero no que la tecnología funcione. El simulacro técnico comprueba una capacidad concreta, por ejemplo restaurar un sistema, y mide su tiempo. El ejercicio completo pone a prueba el proceso entero con sus personas, sus proveedores y sus sistemas a la vez. Cada tipo demuestra algo distinto: una mesa que salió bien no prueba que el RTO se cumpla.

Un programa maduro sube por la escala y repite lo que más duele, no repite siempre el ejercicio más cómodo.

El programa de ejercicios se aprobó en comité y es un compromiso: cada fila tiene fecha prevista y un estado. GRC lo contrasta con la fecha de corte del documento y busca los que debieron ocurrir y no ocurrieron, sin una fecha nueva. Un ejercicio «planificado» con fecha futura es normal; uno vencido sin reprogramar es incumplimiento del propio programa, y se señala como tal.

El valor de un ejercicio no está en el acta, sino en lo que se cambia después. Cada hallazgo se vuelve una acción con responsable y fecha, y GRC les hace seguimiento. Revisa la lista de acciones con la fecha de corte: las vencidas muestran dónde falla la gestión, y la peor combinación es la vencida sin dueño, porque nadie va a preguntar por ella.

El acta de una mesa se lee por lo que dice y por lo que calla. Hay una lista de convocados y una de asistentes; entre una y otra puede faltar justo la persona sin la cual un criterio no se puede cumplir. En el acta de EJ-2 un criterio de éxito quedó sin cumplir por una razón que tiene nombre de área. Encontrarla es lo que une el resultado con su causa.

Un ejercicio vale como evidencia ante un auditor si deja rastro de cinco cosas: el escenario, los criterios de éxito fijados antes de empezar, quiénes participaron, el resultado medido contra cada criterio y las acciones derivadas con dueño y fecha. El acta de EJ-2 lo hace bien en casi todo. Lo que le falta no es forma, es seguimiento: si las acciones se quedan abiertas, el ejercicio se hizo pero no mejoró nada.