El dictamen del programa

Ordenar por severidad sola lleva a empezar por lo más grave aunque cueste meses. La regla de la cooperativa pesa también el esfuerzo: divide los puntos de la severidad entre el divisor del esfuerzo, y el mayor resultado va primero.

Una métrica cumple o no según su regla: unas piden un valor que no supere su umbral y otras uno que no quede por debajo. Comparar sin mirar el sentido de cada una lleva a contar mal las que fallan.

Un hallazgo sin dueño no tiene a nadie que lo cierre ni a quien pedirle cuentas. Antes de fijar fechas y prioridades, todo hallazgo abierto necesita una persona o un área que responda por él.

Aceptar un riesgo es una decisión con responsable y con un aprobador distinto, para que quien deba corregirlo no sea el mismo que decide no hacerlo. Cuando coinciden, la aceptación no pasó por ningún control independiente.

Un riesgo aceptado vale hasta su fecha de revisión. Pasada esa fecha, la aceptación deja de estar respaldada, y es más grave si ni siquiera hay un control que compense mientras tanto. El atraso se cuenta hasta el corte.