Métricas del programa que no se maquillan

Hay tres trucos que aparecen en casi todos los programas. El primero es contar como cerrado lo que no se corrigió: duplicados, riesgos aceptados o limpiezas por antigüedad suben el número de cierres sin bajar el riesgo. El segundo es calcular sobre los que salieron y no sobre los que quedan: un tiempo medio de corrección hecho solo con los cerrados mejora justo cuando lo viejo se queda atascado. El tercero es contar presencia y no resultado: un repositorio «cubierto» porque tiene una corrida, aunque la corrida falle.

La defensa es emparejar. Cada indicador de volumen va con uno de edad o de calidad, cada cobertura con su estado, y cada cambio de severidad con su análisis escrito. Un indicador que solo puede mejorar no informa de nada.

Abre el laboratorio y lee tablero-octubre.txt: K-1 dice 40 cierres, por encima de la meta. Después lee cierres-octubre.txt, que lista esos 40 con su motivo. Solo uno de los motivos quiere decir que el fallo dejó de existir y alguien lo comprobó; los demás pueden ser decisiones legítimas, pero no son correcciones.

K-3 dice 18 de 18 repositorios con análisis estático. Lee corridas-sast.txt y la nota que hay al final: explica cómo cuenta el tablero. Un repositorio que corre todas las noches y no analiza nada aparece igual de verde que uno que analiza mil archivos.

K-2 calcula el tiempo medio solo con los cerrados del mes, así que no ve lo que lleva meses abierto. La forma honesta de mirarlo es la contraria: tomar los abiertos al corte y ver cuántos superan su plazo. Lee politica-plazos.txt y abiertos.txt, y calcula la edad de cada hallazgo crítico o alto al 2026-10-31.

K-4 marca cero críticos abiertos. La política de plazos dice qué hace falta para cambiar la severidad de un hallazgo. Lee las notas de abiertos.txt y busca el que dejó de ser crítico sin cumplir esa condición.