- Define el periodo. Decide si la probabilidad corresponde a un año u otro horizonte y mantén ese marco en todo el análisis.
- Introduce la probabilidad. Usa un porcentaje asociado al escenario concreto, no una tasa genérica sin ajustar.
- Cuantifica las pérdidas directas. Incluye costes que se producen de forma inmediata y que puedas atribuir razonablemente al incidente.
- Estima las pérdidas indirectas. Añade costes secundarios como interrupción, trabajo adicional o efectos contractuales cuando formen parte del mismo escenario.
- Interpreta la expectativa. Compárala con otros riesgos o con el coste de posibles medidas usando criterios consistentes.
Estimador de pérdida esperada por riesgos de terceros
Este estimador calcula la pérdida económica esperada de un incidente originado en un tercero a partir de su probabilidad y del impacto monetario combinado. Separa costes directos e indirectos para que la composición del impacto sea visible antes de aplicar la probabilidad. El resultado es una expectativa económica del escenario, no la pérdida máxima que podría producirse en un incidente concreto. Puede servir para priorizar proveedores, socios, plataformas SaaS y otros servicios externos con acceso o dependencia operativa, comparar escenarios con un horizonte común o preparar análisis de coste de controles. Los importes deben referirse al mismo tipo de incidente y periodo. Si existen varios eventos con probabilidades o impactos muy diferentes, es más útil estimarlos por separado y agregar después los resultados que promediar hipótesis incompatibles.
Introduce los datos del escenario
%
€
€
Resultado
—
Resultado estimado
Impacto total si ocurre—
Componente directo—
Componente indirecto—
Pérdida esperada = (Probabilidad / 100) × (Pérdida directa + Pérdida indirecta)
La probabilidad se convierte a decimal antes de multiplicarla por el impacto total. Los componentes directo e indirecto deben evitar doble contabilización y usar la misma moneda.
Qué significa el resultado
La pérdida esperada combina frecuencia e impacto en una sola cifra comparable. No describe la variabilidad ni la pérdida extrema de un incidente concreto.
El resultado depende de que la probabilidad y el impacto representen el mismo alcance contractual y operativo. Si varios proveedores tienen perfiles distintos, calcúlalos por separado.
Datos: probabilidad del 12 %. pérdidas directas de 180.000 € y pérdidas indirectas de 70.000 €,
Cálculo: impacto total = 180.000 + 70.000 = 250.000 €, Pérdida esperada = (12 / 100) × 250.000 = 30.000,00 €,
Resultado: la pérdida esperada del escenario es de 30.000,00 € para el periodo definido, La cifra puede utilizarse como referencia de priorización. no como predicción de un incidente individual,
¿La pérdida esperada es lo mismo que la pérdida máxima?
No. La pérdida esperada pondera el impacto por su probabilidad y suele ser menor que el impacto de un incidente si este llega a ocurrir.
¿Qué horizonte debo usar para la probabilidad?
Puedes utilizar el periodo que necesites, pero debes mantenerlo constante en todo el análisis. Para presupuestos y comparaciones de riesgos suele ser útil un horizonte común.
¿Qué diferencia hay entre pérdidas directas e indirectas?
Las directas son costes atribuibles de forma inmediata al incidente; las indirectas recogen efectos secundarios que también forman parte del escenario. Lo importante es evitar contar el mismo coste en ambos grupos.
¿Puedo usar una probabilidad de 0 % o 100 %?
Sí. Con 0 % la pérdida esperada es cero; con 100 % coincide con el impacto total introducido. Ambos extremos deben usarse solo si reflejan realmente el escenario que quieres modelar.
¿Cómo se relaciona con una calculadora de exposición residual?
La pérdida esperada representa el riesgo antes de aplicar una reducción explícita por controles. Una estimación de exposición residual puede partir de esta cifra y descontar el efecto esperado de los controles.