Indicadores de riesgo y de control

Un programa se mide con dos familias de indicadores que responden preguntas distintas. Un indicador de riesgo dice cuánto se acerca la organización a lo que no quiere que pase: usos de IA no aprobada, incidentes con datos, sistemas sin evaluar. Un indicador de control dice si un control existe y se aplica a todo lo que debe cubrir: qué parte del inventario tiene dueño, qué parte de los contratos de IA lleva la cláusula de datos.

Los dos hacen falta. Los de control dicen si el programa trabaja; los de riesgo, si ese trabajo sirve. Un buen indicador de cualquiera de las dos familias tiene fórmula, fuente que de verdad lo puede medir, dueño, frecuencia y un umbral que dispara una acción. La cláusula 9.1 de ISO/IEC 42001 pide justamente decidir qué se mide, cómo, cuándo y quién analiza los resultados.

Hay indicadores que parecen de riesgo y solo cuentan actividad. Su señal típica es que no tienen un valor bueno: si suben, se lee como «el control trabaja más»; si bajan, como «hay menos ataques». Un número que se puede celebrar en las dos direcciones no permite decidir nada, y su umbral suele delatarlo porque no marca un límite sino un deseo.

Lee el catálogo con esa sospecha y busca el indicador declarado de riesgo que en realidad solo cuenta lo que hizo una herramienta.

Un indicador vale lo que vale su fuente. Si la fórmula pide un dato que la fuente no registra, el indicador se queda vacío o se rellena a ojo, y las dos cosas son peores que no tenerlo, porque dan una sensación de control que no existe. Antes de aprobar un indicador se pregunta: ¿esta fuente guarda el dato que pide la fórmula, con la frecuencia que pide el informe?

Compara la fórmula y la fuente de cada indicador, y mira qué valores tiene en mediciones.

El valor del tercer trimestre de IND-02 quedó pendiente. Su fórmula está en el catálogo: cuenta un sistema solo si la evaluación es de la versión que está en producción y tiene menos de 12 meses al corte. Una evaluación vieja, o de otra versión, no cuenta aunque diga «aprobada».

IND-03 pasó de 4 usos detectados en el primer trimestre a 19 en el segundo. Antes de alarmarse, hay que preguntar si cambió el riesgo o cambió la forma de medirlo: un indicador nuevo, o una fuente nueva, casi siempre sube al principio porque empieza a ver lo que antes no veía. La tendencia se lee desde que la medición es comparable.