Modelos de madurez y brechas

Un modelo de madurez describe, práctica por práctica, cómo se ve el trabajo en cada escalón: del esfuerzo puntual que depende de una persona, a la práctica definida que se repite igual, a la práctica medida que se ajusta con datos. Sirve para dos cosas: saber dónde está el programa hoy y decidir hasta dónde tiene que llegar. Hay modelos públicos, como OWASP SAMM para el software, y muchas organizaciones arman el suyo con la misma lógica.

El error frecuente es tomar el nivel máximo como meta en todo. El nivel objetivo de cada práctica se fija por el riesgo que cubre y por lo que la organización puede sostener: una práctica de riesgo medio puede quedarse en un nivel intermedio sin que eso sea un fracaso. Lo que sí es un fracaso es un nivel que no se puede demostrar.

Una autoevaluación es una hipótesis. Cada nivel declarado se contrasta con la definición del modelo y con la evidencia aportada, y el nivel real es el más alto que la evidencia cumple completo. Si el nivel 2 de una práctica pide que toda versión pase una evaluación, basta una versión desplegada sin ella para que la práctica no llegue al 2, por mucho que exista un informe excelente de otra versión.

Contrasta cada nivel declarado con su evidencia y con la definición del modelo.

La brecha de una práctica es su nivel objetivo menos su nivel real, y nunca es negativa. Sumadas, dan el tamaño del trabajo que tiene el programa por delante. Si se usa el nivel declarado en vez del real, la suma sale más pequeña y el plan se queda corto justo donde la autoevaluación fue optimista.

El presupuesto del año siguiente alcanza para atacar dos brechas a fondo. Ordenar por tamaño de brecha o por costo lleva a cerrar lo fácil; ordenar por riesgo lleva a cerrar lo que más daño hace si sigue abierto. Con el riesgo empatado, pesa más la brecha más grande.