El universo de riesgo tecnológico de casi cualquier organización se hereda. Se arrastra del año anterior, se le añade lo que pidió el comité y se reparte en horas. El resultado suele ser un plan que cubre bien lo que ya se conocía y deja fuera lo que ha cambiado.

Antes de repartir horas conviene contestar ocho preguntas por área. No sustituyen al análisis de riesgos, lo ordenan. Y se responden en una sesión con el equipo, sin pedir datos a nadie.

  1. Gobierno. Quién tiene formalmente el encargo de mirar la tecnología en su conjunto, y desde cuándo no se revisa ese encargo.
  2. Sistemas. Existe un inventario de aplicaciones con propietario, y cuántas de ellas sostienen un proceso crítico sin tener uno.
  3. Proveedores. Qué proveedores pueden entrar en los sistemas o tocar los datos, y cuántos de esos accesos se han revisado este año.
  4. Accesos. Cuando alguien sale de la organización, qué evidencia queda de que sus accesos se cerraron y en cuánto tiempo.
  5. Datos. Qué datos personales se tratan, dónde residen y quién puede verlos sin dejar rastro.
  6. Ciberseguridad. Cuál es el tiempo de recuperación comprometido y cuándo se probó por última vez con una restauración real.
  7. Cambios. Qué cambios llegaron a producción el último trimestre sin pasar por la aprobación que dice el procedimiento.
  8. Inteligencia artificial. En qué procesos se está usando ya IA, aprobada o no, y quién responde de esas decisiones.

Cada «no lo sé» es información, no un fallo. Señala dónde la organización no puede demostrar hoy lo que asume que controla, que es exactamente el sitio donde un trabajo de auditoría rinde más.

Un plan no falla por cubrir poco. Falla por cubrir lo de siempre.

Qué hacer con las respuestas

Ordena las ocho áreas por dos ejes, cuánto depende el negocio de esa área y cuánta evidencia existe hoy. Lo que queda arriba a la derecha, mucha dependencia y poca evidencia, entra en el plan aunque el año pasado no estuviera. Lo demás se programa o se justifica por escrito.

Ese cruce es el que ordena el ciclo, y coincide con lo que los equipos declaran que van a auditar este año.

El plan que se defiende ante el comité no es el que cubre más áreas. Es el que explica por qué dejó fuera las demás.