Aceptar un riesgo es una decisión: cómo documentarla

No todos los riesgos pueden eliminarse. Algunos se aceptan porque el control cuesta más que el daño esperado o porque la tecnología no permite otra salida. Lo importante es que la decisión sea consciente, esté a cargo de quien corresponde y quede por escrito.

Aceptar un riesgo es una decisión de gerencia, no un descuido técnico.
Un registro breve evita que la excepción se olvide.
Toda aceptación debe tener vigencia y revisión.

El rol de la gerencia

Quien administra la tecnología puede identificar y explicar un riesgo, pero quien responde por la organización decide cuánto está dispuesta a asumir. Separar ambos roles evita que las excepciones se resuelvan de forma silenciosa. Este paso se apoya en una matriz de riesgos que muestre qué se está aceptando.

Qué debe contener el registro

Activo afectado. Qué sistema, servicio o proceso está expuesto.
Descripción del riesgo. En lenguaje claro, sin jerga.
Justificación. Por qué no se aplica el control o por qué no es posible hoy.
Medidas compensatorias. Qué se hace mientras tanto para reducir la exposición.
Vigencia. Hasta cuándo rige la aceptación y cuándo se revisa.
Aprobación. Nombre del cargo que acepta y fecha.

Errores frecuentes

Aceptar de palabra, sin dejar constancia.
Aceptaciones sin fecha de término, que se vuelven permanentes.
Aceptar sin medidas compensatorias.
Que acepte quien no tiene autoridad para hacerlo.
No informar a quien opera el sistema que la excepción existe.

Qué hacer

Definir un formato único de aceptación y guardarlo con las demás políticas.
Establecer quién puede aceptar qué nivel de riesgo.
Revisar las aceptaciones vigentes al menos una vez al año.
Reevaluar si el contexto cambia: nuevos datos, nuevos proveedores, nuevos requisitos de clientes.
Mantener un listado simple de excepciones activas.

Preguntas frecuentes

¿Aceptar un riesgo me deja desprotegido? No necesariamente: con medidas compensatorias y revisión, la exposición se conoce y se controla.

¿Todo riesgo puede aceptarse? No. Algunos implican obligaciones externas o impactos que la organización no puede asumir; en materia legal, la determinación corresponde al asesor.

¿Sirve en una empresa pequeña? Sí; un formato de una página basta.

Esta práctica se vincula con Seguridad proporcional para la pyme.

Al acompañar a nuestros clientes, solemos documentar las excepciones con un formato de aceptación aprobado por la gerencia.

IT Lab acompaña a organizaciones chilenas en esto. Contáctenos.