Cómo decir «no lo sabemos» sin perder credibilidad

Un servicio de pagos empieza a rechazar transacciones un martes por la tarde. A los diez minutos, un ejecutivo entra a la sala con una sola pregunta: «¿ya sabemos qué fue?». Todavía no. Y esa respuesta, dicha así y sin nada más, puede hacer que una investigación en curso suene a falta de control.

La tentación es contestar con algo que suene firme: «fue el despliegue de la mañana», «debe de ser la base de datos». Una organización suele leer la seguridad al hablar como competencia, y quien titubea puede parecer que no está a la altura. Un ensayo anterior examinó por qué los sistemas premian esa apariencia de certeza; este empieza justo después de esa presión y hace otra pregunta. Cuando todavía no hay una respuesta completa, ¿cómo se comunica y se actúa sobre ella sin engañar a nadie ni quedarse sin rumbo?

Porque el problema, casi siempre, no es la incertidumbre, sino algo más sutil: la opacidad. Nadie en la sala puede distinguir dónde termina la evidencia, dónde empieza la interpretación y dónde ya se tomó una decisión a pesar de lo que todavía falta por saber. La credibilidad no depende de sonar seguro. Depende de que los demás puedan seguir el camino que va desde la evidencia disponible, pasando por el juicio provisional, hasta la decisión que se está tomando. Cuando ese camino es visible, «todavía no lo sabemos» deja de sonar a evasiva y empieza a sonar a control.

«No lo sabemos» no basta como actualización

Dicho sin nada más, «no lo sabemos» deja a quien escucha sin límites, sin contexto, sin responsable y sin un próximo paso. No indica si el equipo está perdido o a una sola prueba de confirmarlo. Por eso puede sonar a abandono aunque sea honesto: no falta solo la respuesta; falta explicar qué queda por saber y cómo se va a averiguar.

Y hay algo más: «no lo sabemos» reúne situaciones muy distintas bajo una misma frase. No es lo mismo no saber que no haber investigado todavía. Tampoco es igual carecer de evidencia suficiente que disponer de ella y no poder distinguir entre dos explicaciones igualmente plausibles. Y ninguno de esos casos equivale a saber que la respuesta aún no puede obtenerse porque depende de algo que todavía no ha ocurrido. Si se comunican del mismo modo, todas esas situaciones terminan sonando a simple desconocimiento, y quien escucha no puede distinguir una investigación que apenas comienza de otra que ha llegado a un punto muerto.

La diferencia tiene consecuencias. Un equipo de seguridad que detecta actividad sospechosa sabe al menos una cosa: se produjo un inicio de sesión anómalo desde una ubicación inusual. Pero todavía desconoce a quién pertenecían las credenciales, hasta dónde llegó el acceso y qué acciones se realizaron. Decir solo «no sabemos si nos vulneraron» borra lo que sí se confirmó y oculta qué falta por investigar para aclarar el resto.

La versión útil nombra el estado de cada pieza: esto está confirmado, esto sigue abierto, esto está en investigación activa y esto no podremos saberlo hasta completar la recolección de evidencia. La incertidumbre es idéntica en ambas versiones. Solo una permite entender en qué punto está la investigación.

Lo que muestran los datos, lo que inferimos y lo que decidimos

Volvamos al servicio de pagos. Bajo presión, tres cosas distintas se funden en una sola afirmación segura, y esa fusión es la raíz de casi toda la confusión posterior. Conviene mantenerlas separadas.

La primera capa es lo que la evidencia muestra directamente: desde las 14:10, la pasarela de pago devuelve errores en el paso de cobro, y la tasa de errores subió de alrededor del uno al cuarenta por ciento. Eso es un hecho observado; está en los registros. La segunda capa es lo que el equipo cree que ese hecho significa: probablemente lo causó el despliegue de las 14:05. Eso es una interpretación, la más plausible con la evidencia disponible, pero todavía una hipótesis. La tercera capa es lo que la organización decide hacer al respecto: revertir el despliegue ahora mismo. Eso es una decisión tomada antes de confirmar la causa.

Una actualización honesta del incidente suena así: «Sabemos dónde falla, sospechamos por qué y ya decidimos revertir mientras lo confirmamos». Una actualización opaca suena distinta: «Fue el despliegue; ya lo estamos arreglando». La segunda versión mete en una misma frase dónde apareció la falla, qué pudo desencadenarla, cuál fue la causa de fondo y qué mitigación se aplicó, como si todo fuera lo mismo. No lo es. El lugar de una falla no es su causa. Contener el síntoma no equivale a eliminar la causa.

El costo de ese colapso llega después, y casi siempre por el mismo camino. La hipótesis cambia: el problema no era el despliegue, sino que un servicio del que depende el cobro empezó a exceder su tiempo de respuesta. Pero para entonces el ejecutivo ya comunicó a sus superiores la primera explicación como un hecho, soporte ya informó a un cliente de una causa que no se sostenía, y alguien empezó a tratar el reinicio temporal como si fuera la solución definitiva.

Nada de eso ocurrió por mala fe. Ocurrió porque, en el momento crítico, nadie dejó claro qué se había observado, qué se estaba interpretando y qué se había decidido. Cuando esas tres capas se presentan como una sola afirmación, cada corrección posterior parece una contradicción en lugar de una mejora del diagnóstico.

El lenguaje de una evaluación provisional

Si las capas deben mantenerse separadas, el lenguaje es la herramienta que las hace visibles. No se trata de suavizar el mensaje ni de llenarlo de matices defensivos, sino de que cada frase revele el estado del conocimiento en lugar de esconderlo. Una diferencia mínima en la formulación puede separar una decisión bien fundada de una sorpresa evitable.

«No hemos confirmado la causa» no es igual que «no sabemos nada»: indica que la investigación sigue abierta. «La evidencia por ahora apunta a X, pero no descarta Y» mantiene viva una alternativa que una afirmación tajante habría enterrado. «Sabemos dónde ocurrió la falla, pero no qué la inició» separa el síntoma del origen y evita que alguien declare resuelto lo que solo se contenía.

«No podemos estimar el costo final hasta resolver estas dependencias» vincula la cifra a las condiciones que la sostienen, para que nadie la cite después sin ellas. Y «actuamos ahora porque esperar tiene un riesgo mayor» nombra la decisión como decisión, no como conclusión. Cada una de esas frases hace el mismo trabajo: marca hasta dónde llega lo que se sabe.

Para sostener esa claridad en la práctica, ayuda clasificar cada afirmación según el respaldo que tenga, no según lo alarmante que suene:

• Confirmado Lo que la evidencia sostiene directamente y resistiría una revisión independiente.
• Inferido La lectura más plausible de esa evidencia hoy, presentada como hipótesis y no como hecho.
• Supuesto Lo que damos por cierto sin haberlo verificado, muchas veces sin notar que lo hicimos.
• Abierto Las explicaciones que todavía compiten y que la evidencia no permite distinguir.
• Por verificar La evidencia concreta que confirmaría o descartaría la hipótesis, y quién va a buscarla.

No es un formulario para recitar en cada reunión, sino una verificación antes de hablar. Toda actualización útil debe nombrar también la siguiente prueba y la fecha de revisión: qué evidencia cambiará la evaluación, quién la obtendrá y cuándo se revisará la versión actual. Sin esos compromisos, lo «abierto» puede volverse indefinido.

El detalle cambia según la audiencia; la certeza, no. Ingeniería puede necesitar trazas y versiones; la dirección, impacto y decisión; el cliente, qué le afecta. Una hipótesis debe seguir siendo hipótesis en cada traducción. Cuando «probable» se convierte en «confirmado» al subir de nivel, el fallo no es la incertidumbre, sino la pérdida de procedencia.

Decidir antes de que llegue la respuesta

Nada de esto significa que el criterio consista en esperar. Se puede no tener certeza sobre la causa y, aun así, tomar una decisión clara sobre el siguiente paso. La honestidad intelectual no aplaza cada decisión; expone lo que la decisión asume.

Una decisión rigurosa tomada sin certeza deja cinco cosas a la vista: qué se está suponiendo, para cuándo hay que decidir, el costo de actuar y el costo de esperar, qué es reversible y qué no, y qué señal obligaría a cambiar de rumbo. Revertir el despliegue de pagos es una medida reversible y de bajo costo: si la hipótesis era falsa, se pierde poco y la causa real sigue sobre la mesa. Reescribir el esquema de la base de datos a mitad del incidente no es ni reversible ni barato.

Ante la duda, se prefiere el movimiento reversible, se añade un resguardo donde se pueda y se reservan los irreversibles hasta que la evidencia sea suficiente. Luego se deja claro qué señal indicaría que la decisión fue equivocada y debe revertirse: que la tasa de errores vuelva a superar cierto umbral o que la misma falla aparezca también en la versión anterior.

Tomemos un segundo caso, menos urgente pero igual de instructivo: la estimación del costo de migrar una plataforma a la nube. La estimación más alta casi triplica la más baja, y esa diferencia no refleja falta de rigor. El rango depende de dos incógnitas todavía abiertas: el modelo de licenciamiento de la base de datos y cuántas aplicaciones podrán migrarse sin cambios, frente a cuántas habrá que rediseñar o reconstruir.

La respuesta madura no es inventar una cifra única para tranquilizar al comité, sino presentar el rango junto con los supuestos que lo sostienen, indicar cuáles se resolverán antes de comprometer el presupuesto y en qué fecha, y definir cuándo la estimación podrá convertirse en un compromiso. Una cifra separada de sus supuestos circula por la organización sin contexto y acaba perdiendo sus condiciones, hasta que alguien presenta el valor más bajo ante la dirección como si se hubiera prometido.

Aquí aparece la otra mitad de «todavía no»: una incertidumbre sin responsable ni próximos pasos se convierte, en silencio, en evasión. Decirla bien crea obligaciones. Alguien es responsable de la investigación. Hay una próxima revisión con fecha definida. Las preguntas abiertas están a la vista, no dispersas en la memoria de tres personas. Y quien depende de la respuesta sabe cuándo se actualizará la evaluación. Esa es la línea entre la incertidumbre disciplinada y la abdicación: la primera asigna responsabilidades y establece plazos; la segunda usa el «no se sabe» como excusa para que nadie mueva nada.

Revisar sin reescribir la historia

Los juicios importantes deberían tener versiones, como el código. Una evaluación inicial a las 14:20. Una hipótesis de trabajo a las 14:50. Una evaluación corregida a las 16:00, cuando por fin se identifica la dependencia que originó el fallo. Una conclusión confirmada al día siguiente, después de reproducir la causa en condiciones controladas. Cada versión deja constancia de qué se creía, con qué evidencia, qué cambió y por qué se revisó. No es burocracia: permite que una decisión tomada a las 15:00 siga entendiéndose después como razonable a la luz de lo que se sabía a esa hora.

Corregir un juicio provisional no es incoherencia; es justo lo que se espera de alguien que trabajaba con una hipótesis y obtuvo evidencia más sólida. Lo que destruye la confianza es lo contrario: reescribir el pasado en silencio, actuar como si la primera explicación nunca se hubiera dado, o dejar que una mitigación temporal se recuerde como si siempre hubiera sido la solución definitiva. La incoherencia no está en cambiar de opinión cuando cambia la evidencia; está en cambiarla sin dejar constancia del cambio.

Cuando alguien puede rastrear cómo evolucionó una evaluación, la revisión deja de leerse como debilidad. Se vuelve la prueba de que había un método detrás y no una corazonada afortunada. Un historial visible de juicios corregidos con evidencia genera, con el tiempo, más confianza que una sola afirmación segura que resultó correcta de casualidad.

Ahí está, al final, la diferencia. La credibilidad madura no consiste en eliminar la incertidumbre con un tono firme. Consiste en hacer que el conocimiento incompleto sea lo bastante transparente para que otros puedan actuar sin ser inducidos a error: que puedan ver dónde termina la evidencia, dónde empieza la interpretación y qué decisión se tomó a pesar de lo que todavía faltaba por saber. La seguridad impostada puede convencer rápido, pero dura poco. Permitir que otros sigan el razonamiento, incluso cuando la respuesta aún no está completa, es lo que hace que confíen la próxima vez que alguien diga: «esto sí lo confirmamos».

Notas de fuentes

Estas fuentes respaldan las prácticas de respuesta a incidentes utilizadas aquí: roles y comunicación explícitos, evidencia y registro, y revisión. La taxonomía de cinco estados es una síntesis del artículo.

• Google, Site Reliability Engineering, «Managing Incidents». Respalda la asignación de roles claros de mando y comunicación, el mantenimiento de un registro compartido del incidente y la revisión posterior a la respuesta. Fuente: sre.google.
• National Institute of Standards and Technology, SP 800-61 Rev. 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile. Respalda la definición de roles y comunicaciones para la respuesta, la conservación de registros y evidencia del incidente, y el uso de las conclusiones de la revisión para mejorar la respuesta. Fuente: csrc.nist.gov.