Cómo documentar una decisión de riesgo aceptada por el negocio

Describe un escenario, no una etiqueta

Registra servicio, activos, amenaza o fallo posible, consecuencia y controles actuales. Distingue hechos, estimaciones e incertidumbre. Una aceptación genérica de riesgo cloud no permite saber qué quedó aprobado. Esta ficha puede tratar, por ejemplo, una dependencia temporal de un único proveedor; si se trata de aplazar un parche, enlaza además su expediente técnico específico. NIST relaciona el riesgo tecnológico con la gestión empresarial: la decisión necesita ese contexto, no solo una puntuación de herramienta.

Expón opciones y motivo de elección

Resume alternativas consideradas: mitigar, evitar, compartir o aceptar según el escenario. Explica por qué se elige mantener la situación y qué costes o restricciones condicionan la decisión. Documenta controles compensatorios realmente implantados y evidencia de su funcionamiento. No presentes una medida prevista como reducción efectiva. Cuando falten datos para valorar el impacto, decide si hay que obtenerlos antes; una firma no convierte una incertidumbre importante en información confirmada.

Distingue propietario del riesgo y operador

Asigna quién responde por el proceso y quién ejecuta controles o seguimiento. La persona con autoridad para aceptar debe quedar identificada junto con fecha, alcance y condiciones. El administrador puede informar y aplicar cambios sin tener autoridad empresarial para asumir la consecuencia. Una aceptación interna tampoco elimina obligaciones legales ni compromisos contractuales aplicables; si afectan al caso, el responsable competente debe evaluarlos antes de autorizar la excepción. Mantén evidencia de la decisión en un repositorio accesible a quienes la necesitan.

Haz que caduque o se reabra con hechos

Define fecha de revisión y disparadores: aumento de exposición, cambio de datos, fallo de un control, incidente o modificación del proveedor. Asigna quién observa esas señales y cómo escala. Al revisar, conserva la decisión previa y crea una nueva resolución con evidencia, en lugar de sobrescribir el historial. Para cerrar, comprueba que desapareció el escenario o se aplicó y validó la medida prevista. El expediente sirve cuando otra persona puede entender qué se aceptó y detectar que sus condiciones ya no se cumplen.

Ejemplo de aceptación con condición verificable

Supón que el negocio decide mantener temporalmente un proceso en un único proveedor mientras prepara una alternativa. La ficha debe identificar ese proceso y su consecuencia de interrupción, explicar por qué se mantiene y señalar qué protección existe hoy. Puede condicionar la aceptación a disponer de una exportación utilizable y a limitar el volumen de nuevas operaciones, si esas medidas son apropiadas y se aprueban. La prueba de exportación y el control del volumen deben tener propietario. Si la exportación deja de funcionar, la aceptación se reabre aunque no haya llegado su fecha. El ejemplo es hipotético: las condiciones concretas dependen del proceso. Su utilidad es mostrar que aceptar durante un periodo no significa dejar de observar el escenario que motivó la decisión.

Fuentes y documentación

• NIST SP 800-221 · ICT risk governance — Relaciona el riesgo tecnológico con el riesgo empresarial y sus registros.