Árbol de decisión para la aceptación de riesgos
Diagrama de decisión de aceptación de riesgos: si se evaluó el tratamiento, si el riesgo residual está dentro del apetito, quién puede firmarlo y cuándo caduca la aceptación.
Cómo funciona
Renombra las bandas con vuestros derechos de decisión
Sustituye Propietario del riesgo, Responsable de riesgos, Legal y cumplimiento, y Autoridad que acepta por los roles que tenéis de verdad. Mantén separados al propietario del riesgo y al responsable de riesgos: uno carga con la consecuencia, el otro lleva el método y no debería ser quien firma. Si vuestro comité de dirección y vuestro comité de riesgos son el mismo foro, fúndelos en una sola autoridad que acepta en vez de dibujar un traspaso que nunca ocurre.
Escribe vuestro umbral de apetito en la prueba de apetito
«¿Riesgo residual dentro del apetito?» es el eje de todo el diagrama, así que pon a su lado el umbral de vuestra política de riesgos: la banda de puntuación, o la declaración llana de qué está y qué no está dispuesta a cargar la organización en dinero, en tiempo de parada, en daño o en reputación. Un apetito que solo vive en un documento de política se aproxima de memoria, y así es como la misma exposición acaba dentro del apetito en una mesa y fuera en otra.
Ata cada banda de valoración a una autoridad de aceptación con nombre
Sustituye Bajo/medio y Alto/crítico por vuestros propios rangos de puntuación y nombra quién puede firmar en cada uno. Dos reglas mantienen honesta la rama: nadie acepta un riesgo en su propio beneficio cuando la aceptación es lo que desbloquea su proyecto, y la rama del responsable comprueba la autoridad delegada de forma explícita en lugar de dar por hecho que la antigüedad la implica. Todo lo que supere el límite del responsable se deriva al comité, que es justo para lo que está «¿El responsable tiene autoridad delegada?».
Define qué cuenta como control compensatorio
En la rama de fuera del apetito, el control compensatorio es lo único que separa la excepción de una denegación, así que enuncia la prueba. Tiene que estar ya operando y no planificado, estar evidenciado y no simplemente afirmado, y reducir esa misma exposición y no una vecina. La monitorización solo cuenta si alguien está obligado a actuar sobre lo que reporta.
Pon tope al periodo de aceptación y di qué pasa al caducar
Fija un máximo de plazo en lugar de dejarlo al proponente —lo habitual es que no supere la siguiente revisión programada, y más corto para riesgos altos— y añade disparadores por suceso: un incidente, un cambio de sistema, un contrato nuevo o un cambio en el propio control. Deja escrito que al caducar la aceptación decae y el riesgo vuelve a entrar en este árbol, porque una aceptación que se renueva en silencio es una aceptación indefinida disfrazada de fecha.
Registra la decisión en el registro de riesgos y mantén una sola versión vigente
La salida del árbol es un registro: quién aceptó, en qué banda y bajo qué autoridad delegada, las condiciones y el control compensatorio, la caducidad y la fecha de revisión, y la comparación de tratamiento que justificó aceptar en vez de tratar. Repasa el diagrama terminado con riesgos, con legal y con quien firma, corrígelo hasta que refleje lo que de verdad hacen, publica esa revisión y guarda las anteriores para que quien lo abra después sepa qué versión está leyendo.
Preguntas frecuentes
¿Qué es la aceptación de un riesgo?
La aceptación de un riesgo es la decisión de retener un riesgo residual a sabiendas, en lugar de reducirlo, transferirlo o evitarlo. ISO 31000 incluye retener el riesgo mediante una decisión informada entre las opciones de tratamiento, y la expresión clave es «decisión informada»: lo que separa aceptar un riesgo de ignorarlo es una persona con nombre y con autoridad para cargarlo, un registro de lo que se sabía cuando decidió, y condiciones asociadas. La aceptación es legítima cuando el tratamiento se ha presupuestado y se ha juzgado desproporcionado frente a la exposición. No es legítima como lo que ocurre cuando nadie financia el control, y por eso las dos primeras decisiones de este diagrama examinan el análisis de tratamiento antes de plantearse siquiera la aceptación.
¿Quién debe estar autorizado para aceptar un riesgo?
Quien responde de la consecuencia, a un nivel acorde a la valoración. La mayoría de las organizaciones lo fijan en un cuadro de delegación: un responsable de área o de departamento para valoraciones bajas y medias, un directivo propietario o el comité de riesgos para altas y críticas. Dos salvaguardas importan más que dónde traces la línea. El diagrama comprueba la autoridad delegada de forma explícita —«¿El responsable tiene autoridad delegada?»— en lugar de suponer que la antigüedad la implica, y todo lo que supera el límite se escala en vez de firmarse localmente. Y la autoridad que acepta no debería ser la persona a quien le conviene la aceptación: si aceptar es lo que desbloquea su proyecto o su presupuesto, la decisión sube un nivel.
¿Se puede aceptar un riesgo que incumple una ley, una norma o un contrato?
No. Una organización no puede decidir incumplir, así que el incumplimiento conocido de una obligación legal, normativa o contractual se subsana en lugar de aceptarse, y en este diagrama esa rama no llega nunca a un aprobador: sale a «Denegar la aceptación y subsanar». Lo que sí puede acotarse en el tiempo de forma legítima es la exposición provisional mientras la subsanación avanza: un plan con responsable y fecha, un escalado a quien deba saberlo, y asesoramiento legal sobre las obligaciones de comunicación o notificación cuando apliquen. Registrarlo como riesgo aceptado es la versión ante la que auditores y reguladores reaccionan mal, porque documenta una decisión de cargar con un incumplimiento.
¿Una aceptación de riesgo debe tener fecha de caducidad?
Sí. Una aceptación es un juicio sobre la exposición, los controles y el coste del tratamiento tal como estaban un día concreto, y las tres cosas se mueven. Dale a cada aceptación un plazo y una fecha de revisión, pon tope al plazo en la política en lugar de dejarlo al proponente, y acórtalo cuanto mayor sea la valoración. Di de forma explícita qué pasa cuando se agota: la aceptación decae y el riesgo vuelve a este árbol de decisión para una respuesta nueva, en vez de renovarse por inercia. Añade disparadores por suceso junto a la fecha —un incidente, un cambio de sistema o de proveedor, un contrato nuevo, o que el control compensatorio se modifique o se retire—, porque esos te avisan de que el juicio ha caducado antes que el calendario.
¿En qué se diferencia de un diagrama del proceso de evaluación de riesgos?
Responden a preguntas distintas. Un diagrama del proceso de evaluación de riesgos es un mapa de procesos interfuncional: enseña qué pasa después y quién lo hace, desde la identificación hasta la valoración, la eficacia de los controles, el tratamiento y el ciclo de revisión. Esta página es un árbol de decisión para un momento concreto dentro de ese proceso: el punto en el que el tratamiento ya está presupuestado y alguien tiene que elegir entre tratar y aceptar. No hay tareas que traspasar, solo pruebas que responder con evidencias, y termina en cinco resultados distintos en lugar de en un registro cerrado. Si estás documentando el procedimiento, usa la plantilla del proceso de evaluación de riesgos. Si estás zanjando quién puede aceptar qué, con qué condiciones y hasta cuándo, usa esta.