Aceptar un riesgo con firma

Aceptar un riesgo es asumir su residual: lo que queda después de los controles. La firma no es un trámite de TI ni de seguridad: la pone el dueño del riesgo, la persona del negocio que pierde si el riesgo se materializa, con un cargo que alcance al nivel del residual. Quien implementa el control no firma por el dueño, porque tiene el incentivo contrario: que el trabajo salga adelante.

El arquitecto prepara la aceptación, explica el riesgo y recomienda; no la firma.

La matriz de autoridad de Trigal liga cada nivel de residual con un cargo: más residual, firma más alta. Un registro puede estar firmado por el dueño del riesgo y aun así ser inválido, porque el dueño tiene un cargo por debajo del que el nivel exige. La comprobación es mecánica: tomar el residual anotado, buscar su banda y comparar con el cargo de quien firmó.

Compara cada aceptación con la matriz, usando el residual tal como está anotado.

Hay una forma más sutil de invalidar una aceptación: que la firme quien implementa el control, aunque su cargo parezca suficiente. El registro de Trigal anota, para cada riesgo, quién es su dueño y quién lo implementa. Cuando coinciden el que firma y el que implementa, y el dueño es otro, nadie está defendiendo el interés del negocio.

Compara las columnas «dueño del riesgo», «implementa» y «firmó».

El residual es una multiplicación: probabilidad por impacto. Cuando alguien anota un número que no coincide con sus propios factores, suele ser porque sumó en vez de multiplicar, y el error baja el riesgo de banda y, con él, el nivel de firma que se pide. Es una de las comprobaciones más rentables de un registro.

Recalcula el residual de cada fila con sus factores y busca la que no coincide con lo anotado. Escribe el residual correcto.

La matriz de Trigal tiene una banda en la que nadie puede aceptar: el nivel crítico. Un riesgo crítico se trata o se detiene el proyecto, y ninguna firma, ni siquiera la más alta, lo vuelve aceptable. Que alguien con mucha autoridad lo firme no arregla nada: significa que el proceso de aceptación falló en el filtro más importante.

Busca en el registro la aceptación que, por su residual, la matriz no permite firmar a nadie.