Metodología de evaluación y scoring

1 · Modelo de decisión

1. Clasificación jurídica previa. El perfil del sistema (prácticas del art. 5, áreas del Anexo III, componente de seguridad, transparencia del art. 50, GPAI) determina la clase de riesgo antes de puntuar nada.
2. Motor de aplicabilidad. Cada control declara una condición de aplicabilidad sobre el perfil: rol, clase de riesgo, datos personales, autonomía, terceros y fase de ciclo de vida. Lo no aplicable se excluye del cálculo con motivo explícito y no penaliza.
3. Evaluación por control. Estado de implantación × factor de riesgo × factor de clase, con tope si no hay evidencia aportada.
4. Agregación ponderada por dominio y reescalado a 0-10 sobre los dominios con datos.
5. Reglas de bloqueo y topes. Determinados incumplimientos limitan la puntuación máxima independientemente del resto.

6 · Riesgo inherente, eficacia y riesgo residual (EFF-1.0)

La puntuación 0-10 mide madurez documental de control. En paralelo, el motor mantiene una cadena de riesgo independiente:

1. Riesgo inherente. Cada riesgo de la taxonomía (24 riesgos, 7 categorías) parte de un impacto y una probabilidad base 1-5 que los factores del perfil (alto riesgo, decisiones automatizadas, autonomía, público, terceros…) mueven de forma explicada. Riesgo = impacto × probabilidad (1-25).
2. Eficacia del control. implementación × diseño × operación × calidad de la evidencia, degradada un 30% si la verificación está fuera de la frecuencia exigida y un 15% si nunca se ha probado.
3. Riesgo residual. La eficacia agregada de los controles mitigantes (media ponderada por peso × criticidad) reduce la probabilidad hasta un máximo del 80%; el impacto solo baja un punto con eficacia ≥ 85%. Ningún control lleva el riesgo a cero.
4. Risk appetite. Umbral máximo de residual aceptable por categoría, declarado por la dirección. Por debajo se acepta con monitorización; por encima se abre plan de tratamiento obligatorio.
5. Tratamiento y monitorización continua. La estrategia (mitigar, reducir y vigilar, evitar/rediseñar, aceptar) se deriva del nivel residual y de la eficacia; el calendario de verificación y los KRI salen de la frecuencia de cada control.