Un semáforo rojo/amarillo/verde es fácil de ignorar en una reunión de junta — no dice nada sobre cuánto cuesta el problema ni qué tan urgente es resolverlo comparado con cualquier otra prioridad del negocio.
Lo que cambia con un número en pesos
Cuando un escenario de riesgo (por ejemplo, "ransomware con cifrado de servidores") tiene una pérdida anual esperada calculada — con su fuente documentada, no un número inventado — la conversación deja de ser "¿esto es grave?" y pasa a ser "¿vale la pena invertir X para evitar perder Y cada año?". Esa es una decisión de negocio real, no una discusión técnica que nadie fuera de TI entiende.
La banda de incertidumbre importa tanto como el número
Ningún cálculo de riesgo es exacto — por eso una simulación con banda P10/P50/P90 es más honesta que un número único que suena más preciso de lo que en realidad es. Le da a la junta un rango razonable, no una falsa sensación de certeza.
De la cifra a la acción
El número por sí solo no cierra nada — el valor real aparece cuando cada control que reduce ese riesgo queda vinculado a una tarea concreta, con dueño, costo y fecha. Ahí es donde el riesgo cuantificado se convierte en un plan de trabajo real.