Qué resolvemos ·¿Qué pasa el día que esto se caiga?
Taskforce · Sostener
¿Puede demostrar que su operación aguanta, con evidencia y no con confianza?
Ya no preguntan si tenemos controles. Preguntan si puedo demostrar que aguanta.
Sus funciones críticas, sus dependencias, sus umbrales de tolerancia y los escenarios severos probados, con el expediente listo para el supervisor.
Resiliencia Operativa bajo RegulaciónEnviar esta página a quien decide
Para usar hoy, sin contratar nada
Cómo definir una función crítica sin que el ejercicio termine con todo siendo crítico, que es donde fracasa la mayoría de los intentos internos. Tres filtros, en este orden y se corren en una sesión de dos horas con el negocio.
- El filtro del cliente externo. ¿Se nota afuera y en cuánto tiempo? Una función cuya caída solo la notan adentro es importante, pero no es crítica en el sentido del marco.
- El filtro de la sustitución. ¿Hay una forma manual o alterna de sostenerla, aunque sea peor? Si la hay y está probada, baja de categoría. Si la hay y nunca se probó, no cuenta.
- El filtro del umbral y este lo fija el negocio, no tecnología. ¿Cuántas horas puede estar caída antes de que el daño sea irreversible? Si la respuesta es «ninguna», la conversación todavía no empezó: nadie tolera cero y ponerlo por escrito es lo que obliga a elegir.
Y un cuarto que nadie corre todavía: trate a su proveedor de modelo como un tercero crítico más. Pregúntele con cuánta anticipación avisa un cambio de versión y qué pasa si no avisa. La respuesta suele ser el hallazgo más incómodo del ejercicio.
Le suena si
- El supervisor pide demostrar resiliencia: los controles existen, la evidencia no está reunida.
- Un proceso que el supervisor mira depende hoy de un proveedor de modelo.
- Hubo un incidente y reconstruirlo tomó semanas.
Cómo lo resolvemos
El método, no la promesa.
- Se identifican las funciones críticas con el negocio, corriendo los tres filtros. La lista siempre sale más corta de lo que el equipo esperaba.
- Se mapean sus dependencias, incluido el proveedor de modelo, con su concentración y su costo de sustitución.
- Se fijan los umbrales de tolerancia por función, acordados con quien responde por el negocio y no con tecnología.
- Se prueban escenarios severos pero plausibles, con al menos uno de degradación de modelo y se documenta lo que falló.
- Se arma el expediente en el formato del supervisor y se prueba reconstruyendo un evento real elegido por el cliente.
Qué recibe
- El inventario de funciones críticas con su umbral de tolerancia acordado por el negocio.
- El mapa de dependencias de terceros, con el proveedor de modelo incluido como tercero crítico.
- Las bitácoras de los escenarios probados, con lo que falló.
- El expediente de evidencia en el formato del supervisor y el plan de cierre priorizado.
La prueba que viene al caso
- Ocho años bajo supervisión de reguladores en un entorno de alta presión, sin un solo hallazgo de auditoría.
- Dirección de resiliencia en institución financiera bajo regulación de dos países.
- Infraestructura crítica sostenida a través de huracanes y eventos geopolíticos en doce ubicaciones.
Antes de contratar
Se prepara el expediente y se le prepara a usted para la conversación con el supervisor; la firma no la sostiene en su lugar ni emite dictamen de cumplimiento.
En resiliencia el entregable no es el documento, es que resista una pregunta. Quien lo escribe pasó ocho años bajo supervisión regulatoria sin un solo hallazgo, del lado del revisado. Esa experiencia no se delega: se firma.
¿Cuántas horas puede estar caída su función más crítica antes de que el daño sea irreversible y quién acordó ese número?
Si el problema es otro
El proceso ya depende del agente y nadie recuerda cómo se hacía a mano.
Continuidad Operativa con Agentes de IA
Me piden declarar lo que decide una máquina y nadie tiene la lista.
Expediente Regulatorio de IA
El regulador pregunta por qué se rechazó ese caso y nadie puede reconstruirlo.
Gobierno de Decisiones Automatizadas