Tens el dossier acabat —o una primera versió completa, que és el que importa— i ara apareix el problema estructural d'un curs autodidacta: no hi ha ningú que te'l corregeixi. Aquesta lliçó resol aquest problema convertint-lo en un avantatge, perquè autoavaluar-se amb criteri no és un succedani de la correcció aliena: és exactament la mateixa competència que exerceix un auditor intern quan revisa la seva pròpia organització sabent que la troballa incòmoda li tocarà a ell (06-04, apartat 9). Qui sap mirar la seva feina i dir «això està fluix i aquesta n'és la raó» és la persona a qui s'encarrega revisar la feina dels altres.

Aquí tens la rúbrica completa amb set dimensions i quatre nivells, amb descriptors observables i no adjectius; la rúbrica aplicada a un mateix lliurable mostrat en els seus quatre nivells, que és la part més formativa de la lliçó; els senyals d'alarma que invaliden un dossier per bo que sembli; com demanar revisió per parells si vols; la prova del cotó fluix, cinc preguntes que has de poder respondre sense mirar els teus documents; un full d'autoavaluació a punt per omplir; i què fer després amb el resultat, dins i fora del curs.

1. Per què l'autoavaluació és una competència professional
2. Tres regles per autoavaluar-se amb honestedat
3. La rúbrica: dimensions, pesos i llindar
4. Els descriptors, dimensió per dimensió
5. La rúbrica aplicada: un risc de l'E2 en els seus quatre nivells
6. La rúbrica aplicada: un control de l'E4 en els seus quatre nivells
7. Senyals d'alarma que invaliden un dossier
8. Revisió per parells: com demanar-la i com rebre-la
9. La prova del cotó fluix: cinc preguntes de defensa
10. Full d'autoavaluació a punt per omplir
11. Què fer amb el resultat: la segona passada
12. Com fer servir el projecte professionalment

A la feina real gairebé ningú no et corregirà el dossier. El teu cap no té temps, els teus companys no són especialistes i el client no sap distingir un bon registre de riscos d'un de dolent. La primera —i moltes vegades l'única— revisió de qualitat la fas tu. Els moments en què sí que arriba una correcció externa són els cars: una auditoria, un qüestionari de client que es perd, o un incident que demostra que el pla no servia.

Per això l'autoavaluació apareix en totes les professions on l'error es paga tard. I té un parany conegut: el biaix de l'autor. Un avalua la intenció del que va escriure, no el que està escrit; recorda el raonament que no va arribar al paper; i puntua alt allò que li va costar molta feina encara que el resultat sigui mediocre. Les tres regles de l'apartat següent existeixen per neutralitzar aquest biaix.

Hi ha a més una raó pràctica: la rúbrica et diu on invertir la segona passada. Un dossier no es millora «una mica per tot arreu»; es millora atacant les dues dimensions més fluixes, que solen concentrar el 80 % de la distància fins a una feina defensable.

Regla 1 — Puntua el que està escrit, no el que saps. Si el teu raonament sobre per què R-01 va primer és al teu cap i no al document, no compta. És la mateixa regla de 06-04: allò que no es pot ensenyar, no existeix. Llegeix-lo com si l'hagués escrit una altra persona i només tinguessis el paper.

Regla 2 — Deixa reposar el dossier i canvia de suport. Entre acabar i avaluar, 48 hores com a mínim. I llegeix-lo en un format diferent d'aquell en què el vas escriure: exportat a PDF, imprès, al mòbil. El canvi de suport trenca la familiaritat i fa visibles les incoherències que el teu ull ja havia normalitzat.

Regla 3 — Exigeix evidència per a cada punt que et dones. No et puntues «competent en riscos» perquè t'ho sembla: t'ho puntues assenyalant la línia, la taula o el paràgraf que ho demostra. El full d'autoavaluació de l'apartat 10 té una columna per a això, i és la columna que impedeix inflar la nota.

I una regla negativa: no et castiguis pel que vas decidir deixar fora, si ho vas deixar fora amb argument i data de revisió. Un descart justificat suma; un oblit resta. La diferència entre tots dos està escrita, o no hi és.

Set dimensions, cadascuna amb quatre nivells: insuficient (1), bàsic (2), competent (3), excel·lent (4).

Com es calcula. Cada dimensió puntua d'1 a 4; la nota és Σ (nivell / 4 × pes), sobre 100.

Llindar d'aprovat: 60 sobre 100, amb dues condicions addicionals que no es compensen. Primera: cap dimensió per sota de «bàsic» (2) —un dossier excel·lent en riscos i nul en recuperació no és un dossier aprovat, és mig dossier—. Segona: D2 i D3 en «competent» (3) com a mínim, perquè prioritzar riscos i ajustar controls a un pressupost real són el nucli de l'ofici; sense això la resta és documentació.

D2 i D3 sumen el 40 % del pes per la mateixa raó per la qual 04-01 és la lliçó més determinant del curs: són les dues úniques dimensions on es decideix. Les altres descriuen, documenten o comuniquen decisions ja preses.

Aquesta és la part que més ensenya de tota la lliçó: el mateix risc de la clínica dental, escrit quatre vegades. Llegeix-los en ordre i localitza en quin dels quatre és el teu.

Què separa cada nivell del següent. D'insuficient a bàsic: apareix la valoració. De bàsic a competent: apareix la cadena causal completa amb actius identificats i l'impacte s'expressa en conseqüències de negoci. I de competent a excel·lent hi ha tres salts, tots tres imitables: la conseqüència de segon ordre —el NAS a la mateixa sala, que és el que converteix l'incident en catàstrofe—, la quantificació amb els seus supòsits explícits, i el paràgraf que justifica la posició a la llista comparant-lo amb un altre risc. Aquest últim paràgraf és el que un director vol llegir i el que gairebé cap dossier d'alumne no té.

Fixa't en el detall que més distingeix el nivell excel·lent i que gairebé ningú no escriu: el pla B. Un control que depèn que un tercer accepti alguna cosa pot no passar, i un dossier que no ha pensat aquest escenari deixa el risc número u penjant d'una negociació. Documentar el compensatori, marcar-lo com a pitjor i posar-li una excepció amb caducitat és exactament el que 04-02 i 04-03 van ensenyar a fer, aplicat on fa mal.

Aquests sis es detecten en cinc minuts i anul·len la impressió general per bona que sigui. Busca'ls al teu abans de puntuar-te.

N'hi ha un setè, més subtil i molt freqüent: que tots els controls estiguin en estat «implantat». En una organització que acaba de fer la seva primera anàlisi de riscos, això és estadísticament impossible i fa sospitar de la resta del document. Un dossier honest té majoria de planificats.

Aquí no hi ha tutor, així que això és opcional. Però si tens a mà un company d'estudi, algú amb experiència o una comunitat tècnica, una revisió externa et donarà en mitja hora el que a tu et costaria dues passades.

Com demanar-la bé. No enviïs «fes-hi una ullada». Envia el dossier amb tres preguntes concretes i un límit de temps, perquè una petició acotada es respon i una d'oberta es posposa:

Les tres preguntes ataquen D3, D4 i D7, que són les dimensions on un lector extern veu més que tu. D2 i D5 no les preguntis: requereixen conèixer el cas a fons i no es responen en vint minuts.

Com rebre la crítica. Tres regles: no defensis el document mentre te'l comenten —si necessites explicar-lo oralment, és que li falta al paper—; pregunta «què et va fer pensar això?» en lloc de «però és que...», perquè el que busques és el punt on la lectura es va torçar; i anota-ho tot i decideix després, en fred, què hi incorpores. No tota crítica és correcta, però tota crítica assenyala un lloc on el text no era evident.

Si no tens amb qui, hi ha un substitut raonable: rellegeix el dossier interpretant un paper —el gerent que paga, la persona de sistemes que executa, l'auditor que demana evidències— i anota a cada passada el que aquell personatge et preguntaria. És pitjor que un lector real, però és molt millor que res.

Tanca el dossier. Aparta l'ordinador. Respon en veu alta. Si necessites mirar, la resposta és «no ho tinc interioritzat», i això és informació sobre la feina, no sobre la teva memòria.

Com interpretar el resultat. Cinc respostes fluides: el dossier és teu i el podries defensar en una entrevista o davant d'una direcció. Tres o quatre: normal en una primera versió; les que falles et marquen la segona passada. Dues o menys: no és que hagis estudiat poc, és que el dossier està escrit com a documentació i no com a decisió, i la segona passada ha d'anar a buscar el perquè de cada cosa.

La pregunta que més gent falla és la 4. Gairebé tothom sap dir quins controls ha posat; molt poca gent sap dir quin paper ensenyaria per demostrar que funcionen. És exactament el buit que 06-04 va venir a omplir.

Copia'l a autoavaluacio.yaml a la carpeta del projecte i omple'l. La columna que importa no és la nota: és evidencia, la línia concreta del teu dossier que justifica aquell nivell.

Fixa't en l'exemple: 65 sobre 100 i tot i així «no apte», perquè D2 es queda en bàsic i la condició de D2/D3 no es compensa amb nota. És deliberat: un dossier amb bona mitjana i una anàlisi de riscos fluixa és un dossier que no serveix per decidir, que és per al que existeix.

No reescriguis el dossier sencer. La segona passada és quirúrgica: ataca les dues o tres dimensions més fluixes i res més, en un temps acotat —tres o quatre hores—, i amb la llista d'accio_de_millora com a guió.

Dos advertiments sobre el bucle. Primer: posa-hi un límit. Dues iteracions i tanques. Un projecte que es reescriu cinc vegades no està millorant, està evitant acabar, i la tercera passada aporta menys que començar a mantenir-lo.

Segon: un dossier viu val més que un de perfecte. Un document imperfecte amb data, versió i una revisió programada és un sistema de gestió; un document impecable que ningú no tornarà a obrir és una redacció. El que s'avalua al món real no és la versió 1.0: és que existeixi una 1.1 sis mesos després amb les coses que van canviar. Per això l'últim pas del diagrama torna al principi en tres supòsits —un canvi rellevant, un incident o l'aniversari—, exactament els activadors de reavaluació de 04-01.

El dossier no mor aquí. Té tres usos reals:

Per què funciona tan bé en una entrevista. La majoria dels candidats júnior responen a «parla'm de seguretat» recitant conceptes. Tu pots respondre: «t'explico un cas: una clínica de 25 persones, tres seus, història clínica en un servidor heretat, 9.000 € l'any. El meu risc número u era l'accés del proveïdor del programari amb compte compartit, i vaig descartar l'EDR perquè el vector era una credencial legítima». Aquesta resposta no es memoritza: només la té qui ha fet la feina. I les cinc preguntes de l'apartat 9 són, amb altíssima probabilitat, cinc de les preguntes que et faran a continuació.

Un últim apunt d'honestedat professional: no inflis el que és. Si al teu currículum apareix «responsable de seguretat d'una clínica dental», estàs mentint i es descobreix a la tercera pregunta. Si hi apareix «projecte d'anàlisi i disseny d'un programa de seguretat per a una pime sanitària (cas d'estudi)», estàs dient la veritat i continua sent impressionant.

• Puntuar-se alt per l'esforç. «Hi he dedicat vint-i-cinc hores» no és una dimensió de la rúbrica. El que es puntua és el que un lector troba al paper, no el que et va costar posar-ho-hi. La columna evidencia del full d'autoavaluació existeix justament per desactivar aquest biaix.
• Avaluar en calent, el mateix dia d'acabar. Estàs llegint la teva intenció, no el teu text. Les 48 hores de repòs són la intervenció més barata i més eficaç de tota la lliçó.
• Confondre extensió amb qualitat. Un E2 de quinze pàgines amb trenta riscos mal redactats puntua per sota d'un de quatre amb deu riscos ben construïts i un ordre justificat. A D2 i D3 s'avalua el criteri, no el volum.
• Reescriure-ho tot després d'una crítica. Una revisió externa assenyala símptomes; tu decideixes el tractament. Anota, deixa reposar i decideix en fred què hi incorpores: no tota crítica és correcta, però tota crítica marca un punt on el text no era evident.
• Consell: avalua amb el full davant i el dossier darrere. Ves dimensió per dimensió, i per a cadascuna busca l'evidència abans de posar el número. Si trigues més d'un minut a trobar-la, ja saps que aquell nivell no és el que anaves a escriure.
• Consell: guarda l'autoavaluació amb el dossier. Que la v1.0 porti enganxada la seva pròpia crítica és un senyal de maduresa professional, i si algun dia ensenyes el projecte, l'avaluador llegirà abans la teva autoavaluació que el teu resum executiu.

Exercici 1 — Puntua una dimensió amb evidència

Tria D3 (controls i realisme econòmic) al teu dossier. Sense mirar la rúbrica, decideix quin nivell et donaries. Ara ves al descriptor, busca la línia concreta que demostra cada exigència del nivell que t'has posat, i corregeix la nota si no la trobes. Escriu l'entrada completa d'autoavaluacio.yaml per a aquesta dimensió, amb evidencia i accio_de_millora.

Exercici 2 — Puja un lliurable un nivell

Agafa el risc pitjor escrit del teu E2 —el que menys t'agradi— i reescriu-lo per pujar-lo un esglaó de la rúbrica: de bàsic a competent, o de competent a excel·lent. Marca al text què hi has afegit exactament per canviar de nivell.

Exercici 3 — La prova del cotó fluix enregistrada

Respon a les cinc preguntes de l'apartat 9 en veu alta i enregistrant-te, sense mirar el dossier. Escolta l'enregistrament amb la taula de «què és una bona resposta» davant. Anota quines preguntes has fallat i tradueix cada fallada en una acció sobre un lliurable concret.

Solució 1 — D3 puntuada amb evidència (clínica dental)

El que és rellevant de la solució no és la nota: és que la intuïció deia 4 i l'evidència va dir 3, i que la diferència es va convertir en una acció de millora de tres línies que a més obliga a prendre una decisió nova —quin és el control que cau primer—. Aquest és el rendiment real d'una rúbrica ben feta servir: no classifica, produeix feina concreta.

Solució 2 — Pujar un risc de bàsic a competent

Solució 3 — Lectura de la prova del cotó fluix

Un resultat típic i molt informatiu d'una primera versió: P1 correcta (s'anomena el risc però no es compara amb el segon: mitja resposta), P2 correcta, P3 correcta, P4 fallada, P5 dubtosa.

La lectura de conjunt és la que val: fallar P4 i dubtar a P5 és el patró més comú, i significa que el dossier està bé en la part de decidir i fluix en la de demostrar. És exactament el salt de 06-04, i la bona notícia és que es corregeix en dues hores de feina sobre l'E7 sense tocar cap altre lliurable.

Ja saps avaluar-te, que en un curs sense professor és l'última peça que faltava. Saps per què l'autoavaluació és una competència professional i no un apedaçament: a la feina real gairebé ningú no corregeix el teu dossier, i qui sap mirar el seu i dir «això està fluix i aquesta n'és la raó» és la persona a qui acaben encarregant revisar el dels altres. I saps neutralitzar el biaix de l'autor amb les tres regles: puntua el que està escrit i no el que saps, deixa reposar 48 hores i llegeix-lo en un altre suport, i exigeix evidència per a cada punt que et dones.

Tens la rúbrica completa: set dimensions amb els seus pesos —D2 anàlisi de riscos i D3 realisme dels controls sumen el 40 %, perquè són les dues úniques on es decideix—, quatre nivells amb descriptors observables, i un llindar que no es compensa: 60 sobre 100, cap dimensió per sota de bàsic i D2 i D3 en competent com a mínim. I tens la rúbrica aplicada, que és la part que de debò ensenya: el mateix risc escrit quatre vegades —on el salt a excel·lent són la conseqüència de segon ordre, la quantificació amb els seus supòsits i el paràgraf que justifica la posició a la llista— i el mateix control escrit quatre vegades, on el salt a excel·lent és explicar per què aquest i no el car, i sobretot tenir pla B quan el control depèn que un tercer accepti alguna cosa.

Coneixes els sis senyals d'alarma que anul·len un dossier per bo que sembli —controls que no hi caben, riscos sense propietari, polítiques incomplibles, recuperació mai provada presentada com a capacitat, zero detectius i RAT sense base jurídica—, més el setè, subtil i freqüent: que tot figuri com a «implantat» el primer any. Saps demanar revisió per parells amb tres preguntes acotades sobre D3, D4 i D7, i rebre-la sense defensar el document. I tens la prova del cotó fluix: quin és el teu risc número u i per què abans que el segon, què passa a les tres de la matinada, què has deixat fora, com demostres que el control funciona —la que gairebé tothom falla— i què notifiques en 72 hores.

T'emportes el full d'autoavaluació amb la seva columna d'evidència i el seu càlcul, el bucle de la segona passada —quirúrgica, sobre les dues o tres dimensions més fluixes, amb límit de dues iteracions— i la tesi que ho ordena tot: un dossier viu val més que un de perfecte, perquè el que s'avalua al món real no és la v1.0 sinó que existeixi una v1.1 amb el que va canviar. I saps què fer amb el projecte després: porfoli anonimitzat, base real si l'organització és teva, i guió d'entrevista tècnica —dient exactament el que és, un exercici d'anàlisi i disseny, que continua sent molt més del que la majoria pot explicar—.

A 07-04 arriba l'última lliçó del curs. Hi trobaràs una solució de referència completa desenvolupada sobre la clínica dental, amb el raonament explícit de cada decisió i les disjuntives difícils comentades; la comparació honesta amb el que hagis fet tu —no hi ha una única resposta correcta, però sí respostes indefensables—; i després, el mapa de per on continuar: especialitats de la professió, certificacions comentades amb honestedat, com seguir aprenent a la pràctica i una última mirada a Nimbus. Ves-hi només quan el teu dossier estigui acabat i autoavaluat: llegir-la abans t'estalvia feina i et treu l'aprenentatge.