Gravedad
Severidad de la consecuencia. Si esto ocurre, ¿cuánto daño hace? Se mide sobre las personas, sobre la operación y sobre el patrimonio. Un corte de energía de diez minutos y un incendio en depósito no pesan igual, y la escala lo refleja.
El método
Cómo se mide un riesgo que hasta ahora nadie medía
Todo lo que Control Continuo afirma sobre su operación sale de un procedimiento escrito. Esta página lo explica entero, sin reservarse nada, porque un método que no se puede revisar no sirve para decidir.
La escala completa1 → 125
Pruebe con uno conocido
Valores de ejemplo: en su operación cada uno puede dar otro número.
48
de 125
Medio
Mueva los tres. Los tramos del símbolo se pintan hasta la banda alcanzada — es el mismo dibujo que aparece en el tablero y en cada informe.
01Contra qué se calibra
El método no es propietario, y ahí está la ventaja
El análisis se estructura sobre los principios y el proceso de gestión de riesgos de ISO 31000, la norma internacional en la materia, y sobre el enfoque ESRM (Enterprise Security Risk Management). La puntuación G × A × P es una aplicación de ese marco, no una fórmula que la norma prescriba. Ninguna de las dos referencias es un desarrollo de Control Continuo, y no se presentan como tal.
Nombrarlas importa: un método que dice ser auditable pero no declara contra qué se calibra, no es auditable. Su gerente de riesgos, su auditor interno o su área de cumplimiento pueden ir a la fuente y verificar que el procedimiento es el que dice ser.
Un número que sólo puede producir quien se lo vende no es un número: es una opinión con formato de número.
Sobre esa base, todo se reduce a tres preguntas por cada riesgo.
02Las tres preguntas
Gravedad, exposición y factibilidad
Amenaza y vulnerabilidad
Exposición del activo. ¿Cuán expuesto está esto? No en general: en esta zona, con estos horarios y estos accesos. La misma debilidad pesa distinto en un centro de distribución sobre ruta que en una oficina en el microcentro.
Probabilidad
Factibilidad de ocurrencia. ¿Qué tan factible es que esto ocurra en el período evaluado, dadas las condiciones actuales?
Se multiplican, no se suman
No es un detalle técnico: es una decisión de criterio. Hace que un riesgo de gravedad máxima y probabilidad mínima no aparezca como urgente, y que uno de gravedad media pero muy probable y muy expuesto suba por encima.
Y por eso no da una lista plana
Una suma promediaría todo hacia el centro y le devolvería una lista donde todo parece igual de importante — que es exactamente el informe que ya tiene archivado.
El resultado no es un número suelto. Cae en una de cinco bandas.
03Las cinco bandas
Cinco niveles, no una lista de cien problemas
Bajo1 – 25
Medio26 – 50
Alto51 – 75
Muy Alto76 – 100
Crítico101 – 125
Las bandas existen para una sola cosa: que la conversación en la mesa deje de ser sobre ciento veinte hallazgos y pase a ser sobre los que están en las dos bandas de arriba. Un directorio no puede decidir sobre una lista; sí puede decidir sobre tres prioridades.
Y hay un piso. Si los tres factores dan el valor más bajo, el resultado es uno por uno por uno: uno, no cero. Toda operación que existe tiene riesgo, y cualquiera que le ofrezca eliminarlo le está vendiendo algo que no puede entregar. Por eso acá nunca va a leer la palabra «blindaje»: la escala misma lo impide.
Hasta acá el riesgo sin controles. Ahora agréguele los que ya tiene.
04El residual
Una medida planificada no baja el número
Marque y desmarque los controles. Sólo los implementados y verificados reducen el riesgo residual: aprobar una medida no reduce nada.
Hallazgo de ejemplo · depósito sin detección de humo
RI 125 → RR 125
125
riesgo residual
Crítico
Ahí está, en una línea, la diferencia entre este trabajo y el informe que usted tiene archivado. Ese informe también traía recomendaciones. Lo que nunca tuvo fue un número que se negara a moverse hasta que las recomendaciones se hicieran.
Un número sólo vale si se puede ir a verificar.
05La evidencia
Cada hallazgo se puede ir a ver
Ningún hallazgo se apoya en una impresión. Cada uno queda documentado con su ubicación exacta, la fecha del relevamiento, el registro fotográfico y la descripción de lo observado, además de la puntuación de los tres factores y el motivo de cada uno.
Eso permite dos cosas que un informe común no permite. Su equipo puede ir al lugar y verificar que lo que dice el informe es lo que hay. Y cuando el hallazgo se corrija, se puede documentar el cierre con el mismo criterio con el que se abrió.
Qué se releva
Tres dominios, y el mismo criterio de puntuación en los tres: Seguridad Física, Riesgos Laborales e Incendios. Que se relevan juntos y con la misma escala no es un detalle administrativo — es lo que permite decir, en la mesa, «esto primero y esto después» sin comparar peras con manzanas. El detalle de qué se revisa dentro de cada dominio está en la página del Análisis de Riesgos.
Y ahora la parte que ningún proveedor publica.
06Los límites
Lo que este método no hace
Un método que se presenta como infalible es un método que no se revisó nunca. Estos son sus límites, y conviene tenerlos claros antes de contratar.
No predice
Estima exposición, no adivina incidentes. Una banda Crítico no significa que algo va a pasar: significa que si pasa, el daño es alto y las condiciones para que ocurra están dadas.
Es una foto con fecha
Describe la operación tal como estaba el día del relevamiento. Si la operación cambia, el resultado cambia con ella. Por eso el diagnóstico solo no alcanza.
Depende de lo que se pueda ver
Un relevamiento accede a lo que la empresa muestra y a lo que está a la vista. Cuanto más acceso, más preciso el resultado.
No es un dictamen legal
Es una herramienta de decisión de negocio. No reemplaza una auditoría legal ni una pericia judicial.
La mejor manera de evaluar un método es discutirlo
En treinta minutos se puede tomar un riesgo real de su operación —uno que usted ya tenga en la cabeza— y puntuarlo con esta escala. Al final va a tener un número, y va a saber cómo se llegó a él.