Qué aporta cada marco y qué no

En las conversaciones todo se llama «el estándar», pero son cosas distintas y se usan distinto. Una norma de requisitos trae cláusulas que se pueden auditar: un tercero compara a la organización con ellas y, si coincide, la acredita con un certificado. Un marco de resultados describe qué debe lograr una organización, y deja a ella decidir cómo; no hay nada que auditar contra él, solo un nivel que se puede describir. Una guía explica cómo implementar algo, y sin requisitos tampoco da certificado.

Confundirlos cuesta caro. Quien promete «cumplimos el marco» a un cliente que pidió un certificado está prometiendo algo que ese documento no puede dar, y se entera cuando el cliente abre el pliego.

Abre la tabla marcos y la tabla exigencias. La exigencia E-1 viene de un municipio en un pliego de licitación: no pide «seguir un marco», pide un certificado emitido por un organismo externo. Para responderla hay que buscar, en la columna que dice qué aporta cada marco, el que habla de auditoría de terceros y de certificado para la organización, y descartar los que dicen expresamente que no lo dan.

Una norma dice qué debe existir; rara vez dice cómo construirlo. Para eso hay guías, y el arquitecto las reconoce porque su aporte es explicar el propósito de cada control y cómo llevarlo a la práctica, no exigirlo. Una guía no es menos seria que una norma: es otra herramienta, y confundirla con una lista de requisitos lleva a auditar contra algo que no pide nada.

La auditora interna de Aguamarca se queja de que tiene una lista de títulos de controles y ninguna explicación de qué hacer con ellos. Es la exigencia E-6.

Hay marcos que no se preguntan «¿tienes este control?» sino «¿por qué este control y no otro?». Se llaman arquitectónicos porque su producto es la cadena de razones: del objetivo del negocio al riesgo, del riesgo a la decisión, de la decisión al componente y a la operación. Su valor aparece cuando alguien pregunta por qué se gastó dinero en algo y la respuesta no se pierde.

La dirección de producto de Aguamarca quiere eso mismo: que ninguna decisión de seguridad quede sin un objetivo de negocio detrás. Es la exigencia E-4.