Del riesgo al plan de tratamiento

La cláusula 6.1.2 pide que el proceso de evaluación de riesgos fije y mantenga criterios de riesgo: de aceptación y para realizar las evaluaciones. Se fijan antes de evaluar, y deben producir resultados comparables y repetibles. También pide identificar a los dueños de cada riesgo. La 6.1.3 es la que sigue: elegir las opciones de tratamiento, determinar los controles necesarios, compararlos con el Anexo A y producir la declaración de aplicabilidad.

Si los criterios se decidieran después, cada resultado se podría ajustar a lo que conviene: un riesgo incómodo bajaría de nivel hasta que cupiera en lo aceptable. Por eso la metodología de Cedro (SGSI-04) fue aprobada el 15 de febrero, antes de mirar un solo riesgo. Ábrela en el expediente.

Con los criterios aprobados, el registro de riesgos se lee con una regla simple. Lo que queda en la banda más alta exige un plan, y un plan es una fila con un control, un responsable y una fecha. Un riesgo en esa banda sin ninguna fila en el plan de tratamiento no tiene hoy ninguna defensa prevista, por mucho que alguien lo haya evaluado.

En Cedro hay dos riesgos en la banda más alta. Cruza el registro de riesgos con el plan de tratamiento y localiza el que no tiene ningún control asignado.

Aplicar controles no deja el riesgo en cero: queda un riesgo residual. La cláusula 6.1.3 exige obtener la aprobación del plan de tratamiento por los dueños de los riesgos y su aceptación del riesgo residual. No es un detalle de procedimiento: significa que quien responde por el activo es quien decide convivir con lo que queda.

La tabla de aceptación del residual de Cedro lista quién firmó cada riesgo. Cruza esa columna con los dueños del registro.

El Anexo A es una referencia, no un límite: la norma permite diseñar controles propios o tomarlos de cualquier otra fuente. Lo que sí exige es comparar los controles necesarios con el Anexo A para comprobar que no se omitió ninguno, y que la declaración de aplicabilidad recoja todos los controles necesarios, vengan de donde vengan.

El plan de Cedro incluye un control propio para el riesgo de la base de nóminas: la revisión mensual de las cuentas de soporte con acta firmada. No existe como tal en el Anexo A y es el que de verdad hace bajar ese riesgo.

Aceptar un riesgo es una decisión válida cuando el nivel cabe en lo que los criterios permiten aceptar. Cuando no cabe, aceptarlo es saltarse el propio método: el riesgo seguirá ahí y el plan ya no tiene nada que decir sobre él.

El plan de Cedro acepta dos riesgos sin ningún control. Compara el nivel de cada uno con la banda de aceptación de los criterios y localiza el que no cabe.