Medir el riesgo humano: por qué las tasas de finalización no son suficientes
La tasa de finalización mide la participación, no el comportamiento ni el riesgo. ¿Qué hay que medir realmente para saber si la exposición de tu organización está disminuyendo?
· 5 min
Si preguntas a muchas organizaciones cómo va su formación en materia de seguridad, te responderán con un porcentaje de finalización. El 80 % de las personas ha completado el curso. Parece una buena cifra. En realidad, no dice nada sobre el riesgo.
¿Qué mide realmente la tasa de finalización?
La tasa de finalización mide una sola cosa: cuántas personas han hecho clic hasta el final de un contenido. No mide si lo han entendido, no mide si su comportamiento ha cambiado y, sobre todo, no mide si el riesgo de la organización ha disminuido. Es una métrica de participación disfrazada de métrica de seguridad.
Un certificado demuestra que una persona ha asistido a un curso. No demuestra que vaya a comportarse de otra manera el día en que realmente importe.
¿Qué hay que medir, en cambio?
- El comportamiento real: cómo actúan realmente las personas, no solo si completan los cursos
- La concentración del riesgo: dónde y en quién es mayor la exposición
- La evolución a lo largo del tiempo: el riesgo está disminuyendo, y dónde
- La reacción bajo presión: cómo se comportan las personas en el momento de tomar una decisión, no en un cuestionario
De la participación al resultado
La diferencia está entre una organización que puede decir "hemos formado a todo el mundo" y otra que puede decir "nuestro riesgo ha disminuido, y sabemos dónde". La primera tiene un indicador de cumplimiento. La segunda tiene un indicador de seguridad. Solo la segunda sirve realmente, ante un consejo de administración o en una auditoría.
- solo el 28 % En algunas organizaciones se combina la formación con el seguimiento del comportamiento (Mimecast)