La gestión de riesgos suele pivotar sobre cómo cambian las amenazas, las vulnerabilidades o los activos críticos. Sin embargo, existe una variable que muchas organizaciones siguen tratando como si fuera relativamente estable, que es la eficacia de sus controles.
El problema es que un control no opera en el vacío, pues depende de personas, procesos, aplicaciones, configuraciones, integraciones y arquitecturas que cambian continuamente y, por eso, una evaluación que demuestra que un control es efectivo en un momento determinado no debería interpretarse como una garantía indefinida sobre su funcionamiento futuro.
Imaginemos que en enero una entidad revisa su proceso de gestión de accesos privilegiados y se comprueban aprobaciones, perfiles, bajas y excepciones, y la conclusión es correcta, por lo que el control queda clasificado como efectivo y esa valoración contribuye a reducir el riesgo inherente hasta un nivel residual considerado aceptable.
Durante los meses siguientes, la compañía incorpora nuevas aplicaciones SaaS, migra parte de su infraestructura a la nube, reorganiza varios equipos y crea nuevas cuentas técnicas y, cuando llega noviembre, continúa mostrándose el control como efectivo.
Ahí aparece el concepto del envejecimiento como la pérdida progresiva de efectividad, cobertura o confianza asociada a un control a medida que cambia el entorno en el que opera.
La degradación no siempre implica que el control haya dejado de funcionar, sino que protege una parte menor de la realidad que pretendía cubrir, lo que revela una debilidad habitual de muchas métricas de control y es que podemos reportar que el 100 % de las revisiones previstas se han ejecutado y, al mismo tiempo, estar cubriendo solo una parte del universo que genera el riesgo, por lo que el indicador mide la ejecución del proceso, pero no necesariamente la capacidad real de mitigación.
Existe además una forma de degradación todavía más difícil de identificar y es que el control puede seguir funcionando correctamente y mantener su cobertura, pero puede haber disminuido nuestra capacidad para demostrarlo.
Es decir, cuando una organización reduce un riesgo inherente alto a un riesgo residual medio, lo hace porque atribuye a sus controles una determinada capacidad de mitigación, pero si la evidencia que sostiene esa capacidad pierde representatividad, no significa necesariamente que el riesgo haya aumentado, sino que ha aumentado la incertidumbre sobre ese riesgo.
Dos riesgos pueden figurar como “medios” y estar dentro del apetito, pero encontrarse en situaciones muy diferentes pues en uno, los controles que sustentan la valoración generan evidencia reciente y continua, mientras que en el otro, la mitigación depende de controles cuya última evaluación se realizó hace diez meses y antes de varios cambios relevantes y, aunque la valoración residual puede ser la misma, la confianza que deberíamos tener en ella, no.
Por eso el envejecimiento plantea una cuestión más profunda que simplemente aumentar la frecuencia de auditoría y es que el objetivo no debería ser revisar todos los controles más veces, sino reconocer que la vigencia de una evidencia depende tanto del tiempo transcurrido como del cambio ocurrido desde que se obtuvo.
Una evidencia de seis meses puede seguir siendo representativa en un entorno estable, mientras que otra de hace tres semanas puede quedar obsoleta después de una migración relevante, por lo que el calendario, por sí solo, es una forma imperfecta de determinar cuándo debemos volver a evaluar un control.
El cambio de enfoque parece pequeño, pero tiene implicaciones importantes para la gestión del riesgo porque en lugar de preguntar únicamente si un control es efectivo, habría que incorporar una segunda pregunta que es ¿qué evidencia tenemos hoy para seguir creyendo que lo es?
No se trata de convertir la antigüedad en una deficiencia ni de asumir que los controles “caducan”, sino de gestionar de forma más rigurosa la distancia entre la última realidad que observamos y la realidad sobre la que estamos tomando decisiones hoy, y ese es el problema, porque si utilizamos el análisis para este segundo punto, el envejecimiento toma importancia.
¿De dónde tiramos?
El envejecimiento puede gestionarse de forma sencilla utilizando exclusiones (que afectan a la cobertura), excepciones (reflejan desviaciones respecto al diseño esperado) y la gestión de cambios, que permite detectar cuándo una evidencia deja de ser representativa.
A partir de estas tres señales puede calcularse de forma sencilla un nivel de confianza del control como Confianza = 100 – (X + E + C) donde:
- X representa la pérdida de cobertura provocada por exclusiones.
- E representa el impacto de las excepciones activas.
- C representa el impacto de los cambios producidos desde la última validación.
Cada componente se expresa como un porcentaje de deterioro de forma que, si un control mantiene una cobertura del 95 %, las exclusiones aportarían una penalización de 5 puntos, mientras que las excepciones podrían aportar otros 8 puntos en función de su número y criticidad, y un cambio relevante pendiente de validación otros 10, por que el nivel de confianza resultante sería un 77%
Si alguna dimensión tiene mayor relevancia para un determinado control, puede introducirse una ponderación manteniendo la misma lógica modificando la fórmula así Confianza = 100-(w_X X+w_E E+w_C C)
De esta forma, el modelo no intenta calcular la eficacia exacta del control, sino medir de manera consistente cuánto se ha deteriorado la confianza obtenida en su última evaluación y el resultado puede utilizarse para establecer umbrales simples como es mantener la valoración, realizar una validación puntual o adelantar la reevaluación del control.