Convertir las medidas en un plan realizable
Un control propuesto necesita trabajo concreto: un resultado esperado, alguien que lo impulse, recursos, dependencias y una comprobación que permita cerrar la acción.
Objetivo: Preparar un plan de tratamiento con acciones trazables, responsables propuestos, recursos, prioridades, plazos y condiciones de cierre.
Pasar de la intención al trabajo
Cada acción debe permitir saber qué se hará y cuándo se podrá revisar el resultado.
«Mejorar el clasificador» no describe un trabajo que el equipo pueda organizar. «Configurar la prueba para que la propuesta no modifique la prioridad real, documentar el cambio y verificarlo» permite identificar un resultado y una comprobación.
El plan toma la respuesta de 6.1 y los controles seleccionados en 6.2 y 6.3. Conserva R-001 e IMP-001, las condiciones de uso y la información pendiente. No convierte una elección provisional en un permiso de operación.
Una acción puede implantar un control, obtener información necesaria, preparar la continuidad o comprobar un resultado. Distingue su finalidad. Si primero debes conocer una interfaz, esa comprobación es una acción del plan; no una configuración ya realizada.
Definir los campos de una acción
La ficha debe servir para coordinar el trabajo y revisar el cierre.
- Identificador y relación: acción, control, riesgo y uso al que responde.
- Resultado concreto: qué cambiará o qué información estará disponible.
- Funciones: quién impulsa, quién ejecuta, quién verifica y quién aprueba según la estructura real.
- Recursos y dependencias: tiempo, capacidad, acceso, entorno y tareas previas.
- Prioridad y plazo: razón de la secuencia, fecha o condición propuesta y límites del uso mientras tanto.
- Evidencia de cierre: qué registro permitirá revisar que el trabajo se ha realizado.
- Estado y seguimiento: pendiente, en curso, bloqueada o cierre comprobado, con fecha y siguiente paso.
Son campos didácticos para organizar el plan. Puedes integrarlos en una herramienta existente de seguimiento, siempre que no se pierda la relación con el tratamiento. Evita duplicar registros si un identificador y un enlace controlado permiten seguir el trabajo.
Ordenar el trabajo con dependencias reales
Antes de probar una medida, comprueba que existen las condiciones para probarla.
En Tech Server IIT Spain proponemos empezar por confirmar el flujo de aplicación de la prioridad y la capacidad del proceso alternativo. Esa información permite precisar CT-001 y CT-004. Después se podrá configurar la separación, preparar criterios de revisión y definir los registros de la prueba.
La secuencia no es una regla universal. Si hay una incidencia urgente, la respuesta operativa puede necesitar actuar de inmediato. El plan recoge esa actuación y las medidas provisionales sin exigir esperar a una cadena documental.
Una tarea de formación no debe darse por completada solo porque se haya enviado un documento. Una tarea de configuración no queda cerrada porque exista una captura. El cierre debe corresponder al resultado definido y a una comprobación pertinente.
Si el trabajo queda bloqueado por falta de acceso, recursos o una decisión, registra el bloqueo, su efecto sobre el uso permitido y el cauce de escalado. Un plazo incumplido no autoriza a seguir operando en unas condiciones que habían quedado restringidas.
Un plan propuesto para R-001
Los responsables y los plazos de este ejemplo son propuestas que la organización tendría que confirmar.
| Acción | Resultado y dependencia | Función y cierre propuestos |
|---|---|---|
| AC-001 · Confirmar el flujo | Identificar dónde se genera y aplica la prioridad y las vías manuales. Antes de configurar la separación. | Función que administra el flujo, con soporte. Cierre: recorrido documentado y revisado. |
| AC-002 · Preparar la continuidad | Definir cómo atender tickets durante la prueba y comprobar capacidad. Condición previa para iniciarla. | Función responsable de soporte. Cierre: proceso alternativo, responsabilidades y ensayo revisados. |
| AC-003 · Configurar CT-001 | Separar propuesta y prioridad operativa en el ámbito aprobado. Depende de AC-001 y de la aprobación del cambio. | Función técnica competente. Cierre: configuración identificada y prueba de separación. |
| AC-004 · Preparar CT-002 y CT-003 | Criterios, información, capacidad de revisión y registros suficientes y protegidos. Antes de recoger resultados. | Soporte y funciones técnicas y de datos que correspondan. Cierre: criterios y registros comprobables. |
| AC-005 · Comprobar y reevaluar | Ejecutar el plan de prueba, analizar límites y preparar la reevaluación. Depende de las condiciones anteriores. | Función verificadora designada. Cierre: evidencias y conclusión revisada; decisión de aceptación separada. |
No fijamos fechas reales ni presupuestos que el caso no aporta. En tu ejercicio puedes proponer un plazo relativo y marcarlo como tal: «antes del inicio de la prueba» o «tras revisar sus resultados». Un plan operativo real necesitará concretar fechas, capacidad y aprobación.
Cerrar una acción y mantener el seguimiento
La finalización de una tarea no siempre significa que el riesgo esté tratado de forma eficaz.
Puede cerrarse la preparación de un procedimiento y quedar pendiente comprobar su uso. Puede terminar una configuración y quedar pendiente observar el resultado en los escenarios relevantes. El expediente debe distinguir ambos estados.
Si una comprobación descubre una nueva condición de riesgo, actualiza el registro y el plan. Mantén versiones y fechas para saber qué decisión se apoyaba en qué evidencia. El control puede seguir siendo necesario aunque una forma concreta de implantarlo haya resultado insuficiente.
Comunica al equipo las condiciones que afectan a su trabajo: qué puede hacer, qué debe revisar y cuándo debe escalar. La aprobación del plan tampoco debe confundirse con la aceptación del riesgo residual: lo estudiaremos en 6.5.
Actividad: preparar tu ficha
Desarrolla una acción del plan de R-001 y comprueba su relación con el control, las dependencias y el resultado esperado.
Orientación para revisar tu propuesta
Una acción revisable indica qué cambia, quién debería hacerlo, qué necesita y qué evidencia permite valorar su cierre. Los plazos y funciones propuestos no son acuerdos confirmados. Si una captura acredita la configuración, no la presentes automáticamente como evidencia de eficacia. Explica también qué ocurre mientras la acción está pendiente o bloqueada.
Comprueba tu criterio
Explica tus decisiones antes de consultar las orientaciones.
Responde primero con tus palabras. Abre cada orientación después de tu intento.
¿Qué le falta a «formar al equipo» para ser una acción revisable?
Un resultado de aprendizaje concreto, destinatarios, capacidad y recursos, responsable, plazo y evidencia de que pueden aplicar lo aprendido. La asistencia o el envío de material no prueban por sí solos ese resultado.
¿Qué debes hacer si una dependencia bloquea una medida necesaria?
Registrar el bloqueo y su efecto, escalar por el cauce correspondiente y revisar las condiciones de uso o las medidas provisionales. No dar por implantado el control ni seguir con una restricción ignorada.
¿Cerrar AC-003 demuestra que R-001 es aceptable?
No. Puede demostrar que una configuración y su prueba concreta se han realizado. La eficacia, el riesgo que permanece y la decisión de aceptación necesitan su propio análisis y autoridad.
Lo que te llevas: El plan convierte los controles en trabajo coordinable, con resultados, dependencias y condiciones de cierre visibles.
Audio complementario · Bloque B
La empresa ficticia del curso se llama ahora Tech Server IIT Spain. Los audios ya publicados utilizan su nombre anterior, TechServe IT; se trata del mismo caso. La ampliación del anexo A y de la plantilla se desarrolla en las lecciones escritas 6.2 y 6.3.
014. Declaración de aplicabilidad y plan de tratamiento de riesgos de IA
Repaso de las lecciones 6.3 y 6.4. Puedes escucharlo después de trabajar la aplicabilidad y el plan, y volver a la actividad que necesites revisar.
Escuchar el capítulo 014 en iVoox (nueva pestaña)
La escucha es opcional. El contenido escrito permite completar el bloque sin escuchar el audio. Lee las precisiones siguientes, especialmente la corrección sobre el contraste con el anexo A.
Precisiones para interpretar el bloque B
- En un SGIA conforme a ISO/IEC 42001, comparar los controles necesarios con el anexo A forma parte del tratamiento del riesgo. También debe considerarse la guía del anexo B. Este contraste no es opcional; la expresión del audio «si hace falta» debe interpretarse con esta corrección.
- No haber comprobado un daño no demuestra que no haya ocurrido. En el caso ficticio no se han confirmado aplicación real, demora ni daño; conserva esa incertidumbre.
- La «caja negra inalterable» es una metáfora. El ejercicio propone registros suficientes y protegidos, con acceso y conservación definidos; no exige una tecnología concreta.
- Las acciones AC-001 a AC-005 expresan una organización propuesta para el caso. Algunas tareas pueden avanzar en paralelo: hay que justificar las dependencias reales y las condiciones previas para la prueba. La continuidad debe sostener la atención durante ella, además de responder ante fallos.
- Implantación, funcionamiento, eficacia, reevaluación y aceptación son aspectos distintos, pero relacionados. Un cierre documentado de una tarea no demuestra por sí solo eficacia ni aceptación del riesgo.
Referencias y alcance del material
Contenido didáctico de José Manuel Hernández Agudo. Caso Tech Server IIT Spain: ficticio. NIST se utiliza como referencia complementaria voluntaria; no sustituye ISO/IEC 42001. Las propuestas, estados y comprobaciones no describen una implantación real.
- ISO/IEC 42001:2023, ficha oficial (nueva pestaña)
- Vista previa publicada de ISO/IEC 42001:2023, apartado 6.1.3 (nueva pestaña)
- NIST AI RMF, funciones y categorías (nueva pestaña)
Este material no reproduce el texto de la norma ni acredita conformidad. Para comprobar requisitos concretos utiliza el texto normativo autorizado y las obligaciones aplicables al caso.