Aceptación de riesgo: quién firma y hasta cuándo

Aceptar un riesgo es decidir que el negocio convive con un fallo conocido durante un tiempo, a cambio de algo: una fecha de lanzamiento, el costo de rehacer un componente heredado, un proveedor que todavía no entrega su arreglo. Esa decisión la toma quien responde por el proceso que sufriría el daño, porque es quien sabe cuánto vale lo que se arriesga. El equipo de seguridad evalúa, recomienda y deja constancia, pero si firma también, se convierte en juez y parte; y el equipo técnico que tendría que corregir tampoco debería ser quien decide no hacerlo.

Las políticas suelen subir el nivel del firmante con la severidad, ponen un tope de duración y obligan a revisar al vencer. Abre el laboratorio y lee politica-de-aceptacion.txt y organigrama.txt.

Recorre aceptaciones.csv y cruza cada firmante con el organigrama. Lo primero que se busca es quién firmó, antes que qué firmó: una aceptación firmada por quien no puede aceptar no existe, aunque esté bien redactada y tenga fecha.

Hay hallazgos que la política no deja aceptar. Para los críticos solo cabe una excepción corta, aprobada por un comité y con un control verificado, porque el daño posible no lo puede asumir una sola persona por meses. Que el firmante tenga el cargo más alto del área no cambia la regla.

Muchas aceptaciones se sostienen en un control compensatorio: una regla del cortafuegos de aplicaciones, una restricción de red, una alerta. Ese control es la razón por la que el riesgo se consideró tolerable, así que se verifica contra su estado real y no contra lo que dice el formulario. Un control que pasó a modo de solo registro deja de proteger, aunque siga existiendo. Cruza la última columna de aceptaciones.csv con estado-de-controles.txt.

Revisa las diez contra los cinco puntos: área y nivel del firmante, severidad aceptable, duración máxima, vigencia al 1 de diciembre de 2026 y control compensatorio activo. Cada aceptación que falla en algo vuelve a dejar su hallazgo abierto con su fecha original, que es lo que cambia el tablero de la próxima semana.