Reglas de excepción y plazos

Una excepción es una decisión documentada de no cumplir un plazo, tomada por quien puede asumir el riesgo, con una medida que lo reduce mientras tanto y con fecha de fin. No es un olvido con permiso. Tiene tres piezas que no se negocian: un dueño del riesgo con autoridad sobre el proceso, un control compensatorio verificado y un vencimiento. Sin alguna de las tres, lo que hay es un hallazgo atrasado.

Una excepción sin límite es un riesgo aceptado para siempre por alguien que quizá ya no está en la empresa. Por eso la clínica pone un tope de días desde la aprobación: al vencer, se corrige el hallazgo o se vuelve a pedir la excepción con la evidencia del momento.

Ejecuta SELECT * FROM excepciones y cuenta los días entre aprobada y vence en cada fila.

El plazo de la clínica se cuenta desde la fecha de la decisión, no desde la publicación del CVE ni desde la entrada en el catálogo. Así, cuando una decisión sube por una evidencia nueva, el reloj arranca el día en que se tomó la decisión nueva y queda escrito.

Ejecuta SELECT * FROM plazos y SELECT * FROM decisiones_recientes.

El estado de una excepción en el registro lo cambia una persona a mano. Si nadie revisa, una excepción vencida sigue diciendo «vigente» y el hallazgo que protegía sigue fuera de la lista, sin control de nadie. Se revisa comparando el vencimiento con la fecha de hoy, no leyendo la columna de estado.

Una excepción se aprueba con la evidencia del día. Si el CVE tenía solo una prueba de concepto y después entra en el catálogo o un CSIRT confirma víctimas, el riesgo que se aceptó ya no es el mismo. La regla AQE-4 de la clínica lo recoge: la excepción queda suspendida y se revisa. Para encontrarla hay que cruzar la explotación que tenía el CVE al aprobar con la que tiene hoy y con la fecha en que cambió.

Ejecuta SELECT * FROM explotacion_actual.