Comunicar y vigilar

La guía trata comunicar y consultar y vigilar y revisar como actividades continuas que acompañan a todo el proceso, no como el último escalón. Comunicar va en las dos direcciones: se informa al dueño del riesgo y se recoge lo que sabe. Una comunicación sin confirmación de recibo no se cuenta como hecha, porque no sabes si llegó a quien debía.

Vigilar significa revisar los riesgos en los plazos de la política y también cuando algo cambia: un proveedor nuevo, una migración, un incidente. Los indicadores avisan antes de que el riesgo se materialice.

La política fija una frecuencia por nivel: Alto cada 6 meses, Medio cada 12 y Bajo cada 24. La fecha de corte está en la política. Suma el plazo a la fecha de la última revisión y compara con el corte. Solo un riesgo tiene su revisión periódica vencida.

Los cambios y los incidentes disparan una revisión extraordinaria dentro de un plazo. Dos de ellos no la tienen solicitada, pero uno todavía está dentro del plazo y el otro no. Cuenta los días desde la fecha del cambio.

La bitácora de comunicaciones registra a quién se informó, qué y si el destinatario confirmó. Sin confirmación, la comunicación no demuestra nada ante una auditoría, y menos si lo comunicado era una propuesta de aceptación de riesgo.

Los indicadores de vigilancia tienen un umbral que es el máximo tolerado. Si el valor actual lo supera, el factor que alimenta un riesgo se está moviendo en contra y conviene revisar ese riesgo sin esperar a su fecha.