En una crisis, la pregunta no es qué hacer:
es quién decide qué.

La detección no es tarea exclusiva de tecnología: cualquier persona —en una oficina, un punto de atención o el nivel central— puede ser la primera en notar que algo anda mal.

• El evento se reporta de inmediato por el canal formal: la mesa de servicios de tecnología o la herramienta de gestión de riesgos.
• La mesa de servicios es el punto de entrada obligatorio: registra el reporte, le da trazabilidad y lo dirige a quien debe valorarlo.
• Reportar rápido y por el canal correcto vale más que intentar “resolverlo” por cuenta propia.

Antes de escalar, se valora. La Gerencia de Riesgos y Seguridad de la Información realiza la valoración inicial del incidente (el triage): qué está pasando, a qué procesos afecta y qué tan grave es.

• Con esa valoración se decide si el evento se atiende como novedad operativa o como incidente de seguridad.
• Según la gravedad, se activa el Equipo de Respuesta a Incidentes para contener, analizar y preservar la evidencia.
• Si el impacto amenaza la continuidad, se notifica de inmediato a quien lidera la continuidad del negocio: la Vicepresidencia de Seguridad y Riesgos Empresariales.

Ninguna crisis “se declara sola”. Quien lidera la continuidad del negocio convoca al Comité de Crisis y presenta la información de daños e impactos.

• El Comité, con esa información, declara formalmente la crisis y aprueba activar los planes de continuidad.
• Es una decisión formal que queda documentada en acta: quién decidió, con qué información y qué se aprobó.
• El Comité puede sesionar con quien lo lidera (o su suplencia) y mínimo tres integrantes: la crisis no espera agendas completas.

En crisis, la entidad habla con una sola voz. La Oficina de Relacionamiento y Comunicaciones, de la mano del Comité de Crisis, elabora y emite los mensajes internos y externos.

• Nadie más da declaraciones: ni a medios, ni en redes sociales, ni “extraoficialmente”. Toda solicitud se remite a la vocería autorizada.
• El Apoyo Legal orienta los reportes que la entidad debe presentar a las autoridades: el supervisor financiero, la autoridad de protección de datos y los equipos de respuesta del Gobierno.
• Comunicar bien también es proteger la confianza de las personas afiliadas y pensionadas.