Del dominio activo a la decisión nodo
El mecanismo comienza reconociendo qué clase de decisión está en juego. El dominio se determina por la tensión dominante, no por el área que interviene ni por la herramienta utilizada.
La unidad de análisis es la decisión nodo: una elección concreta entre alternativas materialmente diferentes que distribuye riesgo, impacto, autoridad o responsabilidad. No es el proyecto completo, el incidente entero ni la tecnología utilizada.
Las cuatro preguntas sustantivas
Finalidad
¿Qué se protege exactamente y por qué es legítimo protegerlo así?
Límites
¿Cuál es el alcance, cuánto dura y qué detiene o revisa la medida?
Impacto
¿Quién soporta el costo de la decisión y quién obtiene el beneficio?
Responsabilidad
¿Quién responde por sus consecuencias?
El ciclo deliberativo
Las preguntas sustantivas ordenan el contenido de la decisión. El ciclo conserva el razonamiento en el tiempo.
1. Criterio
Declara desde qué principio se decide y qué tensión debe resolverse.
2. Decisión
Explicita qué se elige, qué alternativas se descartan y quién posee autoridad.
3. Evidencia
Conecta el juicio con información suficiente para que otro pueda reconstruirlo.
4. Revisión
Fija qué fecha, hecho o cambio obligará a reexaminar la decisión.
Las seis dimensiones de defendibilidad
Las cuatro preguntas forman el núcleo sustantivo. Revisión y trazabilidad permiten sostenerlo después. Por eso una decisión defendible se expresa en seis dimensiones.
Finalidad
Para qué se decide y qué se busca proteger o habilitar.
Límites
Qué autoriza la decisión y qué queda fuera de su alcance.
Impacto
Qué efectos produce y sobre quiénes recaen.
Responsabilidad
Quién decide, ejecuta y responde por las consecuencias.
Revisión
Cuándo y bajo qué condición debe reabrirse.
Trazabilidad
Qué evidencia conecta el criterio con la decisión.
Relación con los marcos técnicos
ISO, NIST, COBIT, MITRE, OWASP, CIS Controls, Zero Trust y los marcos de IA responsable siguen siendo indispensables. SBR no los sustituye: examina la decisión institucional que define cuándo aplicarlos, con qué alcance, bajo qué límites y con qué responsabilidad.
Condiciones de validez
- Autoridad real para frenar o modificar decisiones
- Trazabilidad recuperable por alguien que no participó
- Revisiones que produzcan ajustes observables
- Canales para incorporar la perspectiva de quienes reciben el impacto
- Capacidad de usar el modelo sin depender de una persona excepcional