Informes para el Consejo según DORA: Métricas, Evidencias y Cuadro de Mando

1. Empiece por las decisiones que el consejo necesita tomar

Un paquete de documentos para el consejo puede contener todos los indicadores de seguridad recogidos por la organización y aun así no responder a la pregunta más importante: ¿puede la empresa seguir atendiendo a sus clientes cuando algo falla? Un informe tiene valor en la reunión cuando revela una incertidumbre relevante, explica un equilibrio o respalda una decisión sobre recursos, prioridades o riesgo.

Pregunte: ¿qué cambió desde la reunión anterior? ¿Qué servicio de cara al cliente podría ahora fallar de una manera que la organización no puede aceptar? ¿Qué decisión se requiere hoy? Ponga las respuestas antes de los gráficos de apoyo. Un directivo no debería tener que deducir una decisión urgente de financiación a partir de una celda roja en la página treinta.

En el marco general de riesgos TIC, el Artículo 5 abarca la responsabilidad del órgano de administración y la formación periódica; el Artículo 6 trata el marco de riesgos y su revisión; el Artículo 13(5) exige que los altos cargos TIC informen al menos anualmente sobre hallazgos y recomendaciones concretos. Consulte DORA, artículos 5, 6 y 13.

Estas disposiciones no prescriben un único cuadro de mando ni un formato universal de paquete mensual para el consejo. Elija una periodicidad de reporte proporcional a la exposición y a su modelo de gobernanza, con escalado entre reuniones para temas urgentes. Mantenga la claridad entre reportes legales obligatorios, peticiones del supervisor y reportes internos de gestión. Esta guía ofrece un diseño práctico, no sustituye la valoración de obligaciones aplicables a cada entidad. Para conocer la división general de responsabilidades, consulte nuestra guía de Responsabilidades del consejo bajo DORA.

2. Organiza el informe alrededor de servicios e impacto en el negocio

Comience con una lista breve de servicios de negocio que los directores reconozcan: realizar un pago, acceder a una cuenta de inversión, liquidar una transacción o recibir una reclamación de seguro. Relacione estos servicios con la evaluación de funciones críticas o importantes de la entidad. No sustituya silenciosamente la lista de aplicaciones por la visión empresarial. Un servicio puede requerir varias aplicaciones, equipos de personal, instalaciones y proveedores externos.

Para cada servicio, identifica un responsable de negocio y describe la consecuencia de una interrupción. Incluye clientes o transacciones afectados, plazos críticos, alternativas manuales y el punto en que los retrasos acumulados se vuelven difíciles de gestionar. Distingue el impacto medido de las estimaciones. Si los recuentos de clientes son incompletos, declara la incertidumbre en lugar de presentar un total que parezca preciso.

Una fila útil de servicios combina exposición y evidencia: el principal escenario de fallo, el objetivo de recuperación, la prueba relevante más reciente y la debilidad restante. Una restauración exitosa de la base de datos puede ofrecer poca garantía sobre el servicio de pagos si el acceso de identidad, la conciliación y la conectividad externa se excluyeron del ejercicio.

Haga visibles los cambios. Un nuevo proveedor, adquisición, lanzamiento de producto o migración puede invalidar el mapa de servicios de ayer. Marque una evaluación como pendiente de actualización cuando cambie una dependencia material. De lo contrario, el paquete puede seguir visualmente en verde mientras la evidencia describe un modelo operativo que ya no existe.

Mantén inventarios técnicos detallados accesibles mediante enlaces controlados. La página de la junta debe explicar consecuencias y decisiones; la capa de evidencia debe permitir a los revisores rastrear esas afirmaciones hasta los equipos responsables.

3. Define cada métrica antes de asignarle un color

Un porcentaje sin denominador invita a la confusión. “Pruebas de recuperación completas: 90%” puede significar nueve de diez ejercicios, nueve de diez servicios de negocio o nueve de diez aplicaciones. Describen realidades distintas. Escriba numerador y denominador junto a la métrica y haga visibles los elementos excluidos.

• Propósito: la decisión o cuestión de riesgo a la que ayuda a responder la métrica.
• Población: los servicios, sistemas, proveedores o personas incluidos, además de exclusiones.
• Cálculo: el numerador, denominador, unidad y tratamiento de datos faltantes exactos.
• Responsabilidad: el propietario del negocio, el productor de datos y el revisor.
• Temporización: periodo de observación, fecha de extracción, fecha de revisión y próxima actualización.
• Evidencia: el registro controlado que respalda el resultado y su versión.
• Escalada: el umbral interno acordado y la acción que provoca una infracción.

Distingue entre “no probado”, “prueba fallida” y “evidencia no disponible”. Unificarlos en un solo estado verde o ámbar oculta el trabajo necesario. Muestra cifras absolutas junto a los porcentajes para que una población pequeña no genere una confianza engañosa. Pasar de una acción atrasada a dos supone duplicar, pero su relevancia depende del servicio afectado y la gravedad.

Mantén la comparabilidad. Si el denominador se amplía tras una adquisición, muestra tanto la nueva población como el motivo de la discontinuidad. No interpretes un menor porcentaje de finalización como un empeoramiento de la ejecución sin comprobar el alcance.

4. Separa los objetivos de recuperación del desempeño demostrado

El objetivo de tiempo de recuperación, o RTO, describe el tiempo previsto para restaurar un servicio o capacidad tras una interrupción. El objetivo de punto de recuperación, o RPO, describe la ventana aceptable de pérdida de datos expresada en tiempo. Ninguno demuestra recuperación real. Informa por separado el objetivo y el resultado observado, junto con el escenario, el alcance y los límites de medición.

Un RTO de cuatro horas no significa que el comando de restauración tenga que terminarse en cuatro horas mientras la conciliación se realiza después. Define cuándo comienza el cronómetro y con qué aceptación del negocio termina. Para el RPO, documenta el último punto de recuperación utilizable y si la conciliación de transacciones confirmó la integridad. Un sistema puede reiniciarse rápidamente con datos demasiado antiguos o poco fiables.

En el marco completo, el Artículo 11(6) cubre las pruebas anuales del plan de continuidad/recuperación para todas las funciones y desencadenantes de cambios sustantivos. El Artículo 24(6) exige pruebas anuales apropiadas de todos los sistemas y aplicaciones TIC que soportan funciones críticas o importantes, excluyendo las microempresas. Véase Disposiciones sobre pruebas en DORA. Confirme el alcance específico de la entidad antes de convertir estos requisitos en un calendario.

Reglamento Delegado 2024/1774, artículo 25, vincula las pruebas de continuidad a las evaluaciones de impacto en el negocio y de riesgos, y exige que las deficiencias se analicen, aborden y notifiquen al órgano de administración. En su documentación, relacione cada objetivo no conseguido con una acción correctiva asignada y un plan de nueva prueba.

Mantén separado el test de intrusión basado en amenazas, o TLPT. Aplica a entidades identificadas, no universalmente; los criterios de selección y requisitos de prueba se detallan en Reglamento Delegado 2025/1190, junto con los artículos 26–27 de DORA. Un simulacro, un escaneo de vulnerabilidades o una prueba de penetración ordinaria no deben etiquetarse como TLPT. Informe el tipo de evidencia que aporta cada ejercicio.

5. Muestra la concentración de proveedores a través de las dependencias de servicios

El número de proveedores no revela la concentración. Tres proveedores pueden depender de la misma región de nube, plataforma de identidad o ruta de telecomunicaciones. Para cada servicio importante, pregunta qué dependencias pueden fallar a la vez y si la alternativa propuesta es operacionalmente independiente. Distingue entre alternativas contractuales y alternativas que ya han sido configuradas, dotadas de personal y probadas.

El / La / Lo Guía del registro de información de la EBA explica el registro de acuerdos contractuales TIC y ofrece recursos de informes. Utiliza el registro como input para la visión del consejo. Un registro completo es valioso, pero el consejo aún necesita una interpretación sobre lo que estas relaciones significan para la continuidad del servicio.

Un panel de dependencias conciso puede mostrar los servicios que respalda un proveedor, la evidencia de garantía más reciente, limitaciones sin resolver, tiempo estimado de salida y el siguiente punto de decisión. Etiquete como estimación el plazo de salida hasta contar con trabajo de apoyo creíble. Incluya extracción de datos, migración, habilidades, restricciones contractuales y transición del cliente, no solo sustitución de infraestructuras.

Plantea una pregunta centrada en la toma de decisiones: si este proveedor quedara indisponible o resultara inadecuado, ¿qué servicio nos obligaría a actuar primero y qué impediría una transición ordenada? Escala la información que falte y la titularidad de dependencias no resueltas de forma explícita. Nuestro Guía de riesgo TIC de terceros bajo DORA desarrolla las preguntas al proveedor y contrato con mayor detalle.

6. Explica tendencias de incidentes y la antigüedad de exposiciones sin resolver

Las cifras de incidentes necesitan contexto. Un aumento puede reflejar una mejor detección, no necesariamente una reducción de la resiliencia. Una disminución puede reflejar una recopilación incompleta. Informe la definición utilizada, el periodo de observación, el impacto material en el servicio y si los métodos de recopilación han cambiado. Mantenga separadas las etiquetas de gravedad internas de la clasificación de incidentes regulatoria; un gráfico para el consejo no debe redefinir el proceso de notificación de manera encubierta.

Las vistas útiles incluyen minutos de interrupción por servicio, causas repetidas, cambios fallidos, rendimiento de recuperación y antigüedad de acciones correctivas importantes. Para métricas de detección o tiempos de respuesta, registra eventos de inicio y fin coherentes. Los promedios pueden ocultar una interrupción prolongada: muestra el rango o la excepción más relevante si cambia la decisión.

Sigue las acciones derivadas de incidentes, pruebas, auditorías y revisiones de proveedores en una vista común de decisiones manteniendo su origen. Cada elemento necesita un responsable, fecha de vencimiento original, fecha de vencimiento actual, servicio afectado, evidencia de finalización y un revisor. Un ticket marcado como “hecho” no debe significar automáticamente que se ha eliminado la debilidad subyacente.

Muestra ampliaciones y acciones reabiertas. Mover la fecha límite puede mejorar el gráfico de atrasos sin cambiar la exposición. Registra quién autorizó la ampliación, el motivo, la protección provisional y la próxima revisión. Prioriza las consecuencias de la debilidad pendiente en vez de premiar a los equipos por cerrar muchas incidencias de bajo impacto.

Finaliza la exposición con una breve explicación del patrón recurrente y de la intervención propuesta. Si varios incidentes exponen la misma carencia de propiedad, puede ser más útil una decisión operativa clara que un nuevo panel.

7. Relaciona los registros de formación con el juicio demostrado

La finalización de la formación es una evidencia útil de participación, pero no demuestra si los directivos pueden cuestionar una afirmación optimista de recuperación o tomar una decisión difícil de priorización de servicios. Empareja los registros de aprendizaje con un pequeño número de ejercicios prácticos. Pide a los participantes que identifiquen evidencias faltantes, seleccionen puntos de escalada y expliquen las compensaciones en una interrupción ficticia del servicio.

Informa de la población de personas formadas, contenidos y versión asignados, fechas de finalización, método de evaluación y necesidades de seguimiento. Registra cambios de rol y nuevas incorporaciones para que el denominador sea preciso. Cuando alguien tenga experiencia relevante previa, documenta cómo se tuvo en cuenta y qué conocimientos específicos sobre la organización aún requieren atención.

Una discusión útil de aprendizaje puede identificar que los participantes entienden la terminología del ransomware pero no pueden explicar quién autoriza el gasto de emergencia. Así la acción es precisa: aclarar la autoridad, actualizar el plan y ensayar su uso. Evite presentar una nota media de test como medida de la resiliencia organizacional.

Para el diseño de programas, utiliza nuestro Guía de requisitos de formación para el consejo bajo DORA. Para el ensayo, el guía ejecutiva de ejercicios de respuesta a incidentes para la junta muestra cómo convertir una interrupción en decisiones y en aprendizaje documentado. Mantenga los registros de aprendizaje individuales debidamente restringidos; el paquete del consejo suele requerir cobertura, carencias y acciones resultantes en lugar de las respuestas detalladas de cada participante.

8. Un panel de control ficticio del consejo con excepciones accionables

El siguiente ejemplo es completamente ficticio. Las cifras son ilustrativas y no constituyen referencias sectoriales, umbrales legales ni hallazgos sobre ninguna organización real. Supóngase que una entidad financiera ha identificado cuatro servicios para esta vista de reporte. El paquete de septiembre utiliza fecha de corte del 30 de septiembre e identifica responsables del manejo de evidencias para su seguimiento.

En este ejemplo, se alcanzó el objetivo de pérdida de datos pero no el de tiempo de recuperación. Combinar ambos en una única etiqueta de “recuperación superada” ocultaría el retraso del servicio. La fila de cobertura mide servicios, no toda la población de pruebas a nivel de sistema; el registro de pruebas subyacente debe mantener ese ámbito separado.

La tabla también evita afirmar que un resultado desconocido es una prueba fallida. Los directivos pueden ver qué incertidumbre debe investigarse y qué debilidades demostradas requieren respuesta financiada. Relaciona cada fila con su evidencia controlada y traslada la decisión al siguiente informe hasta que el resultado se verifique.

9. Convierte el informe en un proceso de decisión repetible

Utiliza un registro de decisiones breve junto a cada excepción significativa. Describe el servicio afectado, el escenario, la evidencia disponible y la incertidumbre restante. Expón opciones realistas, su coste o implicación en recursos, la recomendación de la dirección y la consecuencia de aplazar. Identifica la persona autorizada para decidir y la fecha límite para la decisión.

Redacción ilustrativa de decisión: Aprobar la mejora propuesta para la recuperación del servicio de pagos, siendo el director de operaciones responsable de la entrega. Requerir una nueva prueba frente a los objetivos establecidos para la fecha acordada. Registrar las medidas provisionales, la exposición residual y los desencadenantes para la escalada. Presentar el resultado y la evidencia al siguiente comité relevante.

Si se acepta un riesgo de forma temporal, registre la justificación, la autoridad, las condiciones y la caducidad de esa aceptación. La aceptación es una decisión de gobernanza; no hace desaparecer una obligación legal no cumplida. Un acta genérica que diga que el consejo “ha tomado nota del informe” ofrece pocos detalles sobre el reto, las alternativas o su posterior seguimiento.

1. Acordar la población de servicios y mapearla contra los requisitos aplicables y responsabilidades internas.
2. Select a small starting set of metrics and write their definitions before automating collection.
3. Asigne propietarios y revisores de datos, con una fecha de corte y un tratamiento explícito para la ausencia de evidencia.
4. Relacione una métrica de muestra con su origen y luego compruebe que la explicación coincida con el resultado subyacente.
5. Realiza un simulacro con una excepción ficticia y prueba si el dossier permite una decisión clara.
6. Registrar la decisión, comunicar la acción y verificar su efecto en los informes posteriores.

Empieza con un conjunto fiable que la gente pueda cuestionar. Automatiza las definiciones estables después. Para una base común en la supervisión ejecutiva, Curso de Formación para Consejos y Ejecutivos DORA proporciona el programa de ocho módulos para consejos de administración de la academia, aproximadamente tres horas de estudio tutorizado. Utilícelo en un programa más amplio con discusión, práctica y seguimiento adaptados a la organización; la finalización por sí sola no establece el cumplimiento normativo.