El concepto de riesgo empresarial aceptable rara vez aparece en una reunión de dirección.
Sin embargo, de él dependen decisiones tan importantes como la continuidad operativa, la inversión en ciberseguridad o la capacidad de recuperación de una empresa.
Durante meses hemos hablado de continuidad operativa.
Hemos analizado caídas de sistemas.
También hemos abordado el ransomware.
Además, hemos revisado el papel de las copias de seguridad.
Y, por último, la capacidad de recuperación.
Sin embargo, todas esas conversaciones esconden una pregunta mucho más importante.
Una pregunta que rara vez aparece en una reunión de dirección.
¿Quién ha decidido cuánto riesgo puede asumir esta empresa?
Porque muchas organizaciones invierten en tecnología.
Sin embargo, pocas han definido formalmente qué nivel de exposición consideran aceptable.
Y cuando nadie toma esa decisión, ocurre algo peligroso:
El riesgo sigue existiendo.
Simplemente nadie lo está gobernando.
Las empresas maduras no son las que tienen menos riesgos. Son las que han decidido conscientemente cuáles aceptan, cuáles reducen y cuáles no están dispuestas a asumir.
Riesgo empresarial aceptable: una decisión que muchas empresas nunca toman
Cuando preguntamos a una dirección:
— ¿Qué impacto económico sería asumible si vuestra actividad se paralizara durante dos días?
— ¿Qué sistemas son absolutamente críticos?
— ¿Qué riesgos son inaceptables para la organización?
La respuesta suele ser el silencio.
No porque la empresa sea irresponsable.
Sino porque nadie le ha enseñado que estas decisiones forman parte de la gestión empresarial.
La mayoría de organizaciones han definido presupuestos.
También suelen establecer objetivos comerciales.
Además, muchas ya documentan procesos internos.
Pero nunca han definido su riesgo empresarial aceptable.
Y eso condiciona todas las decisiones posteriores.
Tener tecnología no significa gestionar el riesgo
Existe una falsa sensación de control muy extendida.
Pensamos que comprar tecnología equivale a gestionar el riesgo.
Pero son cosas diferentes.
Un firewall protege.
Un backup recupera.
Un antivirus detecta amenazas.
De hecho, muchas organizaciones creen haber resuelto su continuidad operativa porque han implantado medidas aisladas, cuando el verdadero problema suele estar en no comprender todas las dependencias que sostienen el negocio.
Pero la realidad es otra: ninguna de estas herramientas decide:
- cuánto tiempo puede estar parada la empresa
- qué impacto financiero es tolerable
- qué activos son estratégicos
- qué escenarios requieren inversión inmediata
La tecnología ejecuta decisiones.
No las toma.
Cómo afecta el riesgo empresarial aceptable al cumplimiento del RGPD
El RGPD introduce un concepto que muchas empresas pasan por alto.
La responsabilidad proactiva.
El Artículo 24 establece:
«El responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas para garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento.»
La propia Agencia Española de Protección de Datos vincula este principio con la responsabilidad proactiva, exigiendo que las organizaciones puedan demostrar que las medidas adoptadas son adecuadas para el riesgo existente.
Y el Artículo 32 añade que las medidas deben adecuarse al nivel de riesgo existente.
El propio RGPD establece que las medidas de seguridad deben ser apropiadas al riesgo, teniendo en cuenta la naturaleza del tratamiento, el contexto y las posibles consecuencias para las personas afectadas.
La consecuencia es clara.
No basta con implantar controles.
Hay que justificar por qué esos controles son adecuados.
Y para justificar algo primero debes haber valorado el riesgo.
Riesgo empresarial aceptable y continuidad operativa: una relación directa
La gestión del riesgo empieza donde termina el trabajo del proveedor
Uno de los mayores errores que observamos en asesorías y pymes es asumir que la responsabilidad se delega.
«No te preocupes, nuestro informático se encarga.»
«No te preocupes, lo tenemos en la nube.»
«No te preocupes, el proveedor lo controla.»
Pero ningún proveedor puede decidir:
- qué nivel de riesgo aceptas
- cuánto presupuesto asignas
- qué impacto es asumible
- qué dependencias son críticas
El proveedor ejecuta.
La dirección gobierna.
Confundir ambas funciones suele generar una falsa sensación de seguridad.
Este problema se vuelve especialmente visible en organizaciones con una elevada dependencia de plataformas externas y servicios críticos.
Continuidad operativa y gobierno del riesgo: la conexión que casi nadie explica
Durante este trimestre hemos hablado de continuidad operativa desde múltiples perspectivas.
Internet.
Servidores.
Correo electrónico.
Ransomware.
Backups.
RTO.
RPO.
Sin embargo, todos esos elementos dependen de una decisión previa.
Conceptos como RTO y RPO existen precisamente para traducir el riesgo empresarial en decisiones operativas concretas.
Determinar qué necesita realmente protección.
Por eso la continuidad operativa no es únicamente una cuestión técnica.
Es una cuestión de dirección.
Las organizaciones más maduras no empiezan preguntando:
¿Qué tecnología necesitamos?
Empiezan preguntando:
¿Qué consecuencias no estamos dispuestos a asumir?
Y antes incluso de definir tecnologías o procedimientos, necesitan entender cuánto tiempo pueden asumir una interrupción y qué impacto tendría sobre la actividad.
Cómo definir un riesgo empresarial aceptable sin ser experto técnico
Antes de hablar de herramientas, cualquier empresa debería tener claridad sobre estas cuestiones:
¿Qué sistemas son imprescindibles para seguir operando?
¿Cuánto tiempo podría detenerse la actividad sin afectar seriamente al negocio?
¿Qué impacto económico sería inaceptable?
¿Qué dependencias externas representan mayor riesgo?
¿Quién revisa periódicamente estas decisiones?
Si estas preguntas no tienen respuesta, probablemente el riesgo está siendo gestionado de forma implícita.
Y lo implícito rara vez es controlable.
Las empresas maduras no eliminan el riesgo: lo gobiernan
Eliminar el riesgo es imposible.
Toda organización opera bajo incertidumbre.
La diferencia está en cómo se afronta.
Las empresas menos maduras esperan que nada ocurra.
Las empresas más maduras definen:
- qué riesgos aceptan
- cuáles reducen
- cuáles transfieren
- cuáles monitorizan
Eso no elimina la incertidumbre.
Pero permite tomar decisiones conscientes.
Y una decisión consciente siempre es mejor que una decisión heredada.
La pregunta más importante para una empresa no es:
¿Tenemos antivirus?
Ni siquiera:
¿Tenemos copias de seguridad?
La pregunta realmente relevante es otra.
¿Quién ha decidido cuánto riesgo puede asumir esta organización?
Porque cuando nadie responde esa cuestión, el riesgo no desaparece.
Simplemente queda fuera del ámbito de supervisión de la dirección.
Y gobernar una empresa implica precisamente lo contrario.
Tomar decisiones antes de que las circunstancias las tomen por ti.
Tu empresa puede tener proveedor IT.
Quizá también disponga de copias de seguridad.
Además, es posible que haya implantado medidas de protección.
Pero:
¿Podrías explicar hoy qué riesgos has decidido aceptar y cuáles has decidido reducir?
Si la respuesta requiere improvisar, quizá el problema no sea tecnológico.
Quizá sea de gobernanza.
Solicita una Consulta de Continuidad Operativa YWEN y descubre si tu organización está gestionando el riesgo de forma consciente o simplemente conviviendo con él.
Es el nivel de riesgo que una organización decide asumir conscientemente para alcanzar sus objetivos.
La dirección de la empresa, apoyada por especialistas técnicos y normativos.
Los artículos 24 y 32 obligan a adoptar medidas apropiadas según el riesgo existente.
No. Puede asesorar, pero la responsabilidad final corresponde a la organización.
Porque determina qué recursos se protegen, qué inversiones se realizan y qué escenarios deben prepararse.
