Yo evaluaría la confianza entre CEO y CISO por su capacidad de discrepar cuando una decisión impone pérdidas. El CISO necesita aportar evidencia incómoda; el CEO necesita cuestionar recomendaciones.
Permitir la advertencia temprana
Invitaría al CISO a separar observaciones, inferencias e incógnitas antes del diagnóstico. Esperar certeza puede cerrar opciones útiles. Preguntaría qué requiere atención, qué medidas conservan alternativas y cuándo llegará nueva evidencia. Comunicar una debilidad es distinto de causarla. La franqueza exige afirmaciones cuidadosas y correcciones si cambian los indicios.
Dar método a la discrepancia
Organizaría la recomendación en torno a la actividad del negocio, el fallo plausible, la evidencia y la incertidumbre, las opciones y el plazo de decisión. Para cada opción examinaría los costes de actuar y esperar. El CISO explicaría qué cambiaría su recomendación; yo aclararía qué compromisos comerciales pueden moverse.
Las palabras necesitan límites observables. Si el incidente está contenido, ¿qué se ha detenido y qué falta verificar? Si la excepción es temporal, ¿cuándo vence? Un color no distingue daño posible, indicios de daño y falta de visibilidad.
Comparar opciones viables
Imaginemos un lanzamiento donde el soporte de un socio accede a registros de clientes por una vía sin la revisión prevista. Compararía aplazar el servicio, lanzarlo con ese acceso desactivado y permitir acceso restringido bajo controles verificados. Aplazar genera costes comerciales; reducir el lanzamiento puede trasladar el soporte al equipo interno; restringir el acceso conserva la exposición que los controles no cubren.
Solo compararía opciones viables. El CISO debe recomendar un camino y declarar condiciones mínimas. Si yo eligiera otro, registraría la razón empresarial y conservaría la discrepancia, sin pedir una evaluación reescrita que sugiriera consenso.
Acordar quién decide y detiene
Separaría evaluación, recomendación, autorización y ejecución. Aceptar exposición exige un responsable, seguimiento, vencimiento y una condición de suspensión. Algunas obligaciones requieren interpretación jurídica o de cumplimiento más allá de la autoridad del CEO. Firmar una excepción no cierra la responsabilidad.
Acudir a la dirección también requiere criterios, destinatario, sustituto y autoridad mientras se intenta contactar. La suspensión necesita alcance y revisión definidos. Las preocupaciones imprevistas necesitan una vía, sin convertir toda dificultad operativa en una interrupción ejecutiva.
Reparar mediante la conducta
Tras una advertencia omitida o una condición ignorada, examinaría qué podía saberse y qué acuerdo falló. Un resultado favorable no valida un razonamiento débil. Si mi reacción castigó la franqueza, renovar la invitación a hablar sería insuficiente. La confianza depende de la conducta: las verdades incómodas llegan mientras quedan opciones y ambos salen con una decisión clara, con alguien que responda por ella.