Metodología AEGRIX
De la señal de seguridad a la prueba de remediación
Una evaluación defendible no es un cuestionario con un porcentaje al final. Es una cadena de contexto, estado declarado, evidencia, revisión independiente, hallazgos, decisiones, trabajo correctivo y prueba. AEGRIX utiliza el mismo motor auditable en tres capas y cambia la profundidad y las reglas de revisión.
AEGRIX 360 Pulse
Línea base ejecutiva
Obtiene una imagen rápida de 25 capacidades canónicas e identifica las prioridades de riesgo que merecen un análisis más profundo.
Evidencia
Opcional. La evidencia puede reducir incertidumbre, pero Pulse no es una evaluación de cumplimiento.
Resultado
Prioridades de riesgo y recomendación sobre avanzar a Compass.
AEGRIX 360 Compass
Preparación guiada
Convierte el contexto de Discovery en alcance, decisiones de aplicabilidad, plan de evidencia y hoja de ruta defendibles.
Evidencia
La profundidad de evidencia aumenta y las insuficiencias deben hacerse visibles antes de la verificación formal.
Resultado
Alcance confirmado, brechas preliminares y decisión sobre iniciar Assurance.
AEGRIX 360 Assurance
Evaluación formal
Crea una instantánea independiente con respuestas, evidencia, revisión, hallazgos y remediación trazables.
Evidencia
El juicio del revisor y las limitaciones de evidencia quedan explícitos; las afirmaciones positivas deben resistir una verificación estructurada.
Resultado
Registro formal de cobertura evaluada y brechas activas; nunca una certificación automática.
La cadena de evaluación
Ocho registros que no deberían colapsar en un solo campo
1. Contexto
Organización, sector, país, modelo operativo, procesos críticos, datos sensibles, sistemas, proveedores y señales de Discovery definen lo que realmente se evalúa.
2. Alcance y aplicabilidad
Selecciona deliberadamente la capa de evaluación y el marco de referencia. Conserva qué entra, qué queda fuera, qué está pendiente y por qué.
3. Declaración
Registra el estado de implementación declarado por la organización sin tratar esa afirmación como un hecho verificado.
4. Evidencia
Adjunta artefactos atribuibles y conserva fuente, fecha, alcance, período cubierto, limitaciones y la afirmación exacta que respalda cada artefacto.
5. Revisión
Un revisor evalúa suficiencia y efectividad operativa cuando corresponda, documenta incertidumbre y mantiene su juicio separado de la declaración original.
6. Hallazgos
Convierte estados sin soporte, parciales, ausentes o deficientes en hallazgos sin borrar el registro que dio origen a la conclusión.
7. Remediación
Asigna responsable, prioridad, fecha objetivo, acción, prueba esperada y estado. Une remediaciones solo cuando las brechas comparten realmente la misma causa raíz.
8. Prueba e historial
Conserva la evidencia de que el trabajo correctivo se completó y un historial durable de cambios, decisiones e instantáneas anteriores.
Por qué importan las instantáneas
Los marcos cambian, los sistemas cambian, la evidencia vence y la remediación cierra brechas. Una evaluación formal debe preservar lo que se evaluó en ese momento en lugar de reescribir silenciosamente la historia cuando cambia el catálogo actual.
Cinco reglas que evitan resultados engañosos
Desconocido no significa conforme
La información faltante debe permanecer visible en vez de forzarse a un sí o no.
Evidencia adjunta no significa evidencia verificada
La presencia de un archivo no sustituye el juicio sobre relevancia, vigencia, alcance o funcionamiento.
Un puntaje no puede cargar todo el significado
El riesgo aceptado, la incertidumbre, la debilidad de evidencia y la severidad deben permanecer visibles por separado.
Un crosswalk no significa equivalencia
Una práctica puede apoyar varios marcos sin volver intercambiables sus requisitos o conclusiones.
Cerrar una remediación requiere prueba
Cambiar un estado a completado es más débil que conservar el artefacto o la revisión que demuestra que la corrección funcionó.