La perspectiva de Cyber Academy
El apetito de riesgo es la cantidad y el tipo de riesgo que la organización está dispuesta a asumir para alcanzar sus objetivos. Se establece a nivel ejecutivo o de consejo de administración, por escrito. Sin él, cada decisión de tratamiento de riesgos es un juicio personal del equipo de riesgos, y la auditoría lo pondrá en evidencia. Combinar con la tolerancia al riesgo (la desviación admitida respecto al apetito).
Para qué sirve el apetito de riesgo
El apetito de riesgo existe para zanjar una discusión antes de que ocurra. Cada decisión de tratamiento, cada « lo corregimos o convivimos con ello », es en realidad una pregunta sobre cuánto riesgo está dispuesta a asumir la organización frente al beneficio de perseguir sus objetivos. Si esa frontera reside solo en la cabeza de quienes dirigen el programa, entonces cada decisión se convierte en un juicio privado que nadie más firmó, y eso es exactamente lo que un auditor o un cuestionamiento del consejo desmontará.
Un apetito escrito, asumido a nivel directivo o del consejo, convierte esos juicios dispersos en una posición organizativa declarada. Es un instrumento de gobierno, no papeleo: indica al equipo de riesgo dónde puede avanzar por su propia autoridad y dónde un riesgo debe escalarse.
Algo crucial: el apetito se fija en el lenguaje de los objetivos, no como una cifra única. Una organización que persigue un crecimiento agresivo en un nuevo mercado aceptará racionalmente más riesgo estratégico y operativo que otra cuyo mandato es proteger un servicio regulado y crítico para la vida. El consejo decide cuánta exposición está dispuesto a consentir para lograr lo que pretende. Por eso el apetito no puede delegarse en la función de seguridad o riesgo para que lo invente por su cuenta: es una declaración de intenciones que solo quienes responden de los objetivos pueden formular legítimamente.
Apetito frente a tolerancia frente a capacidad
Estos tres conceptos se confunden constantemente, y la confusión sale cara. El apetito es cuánto riesgo quieres asumir en la persecución de los objetivos. La tolerancia es la desviación que estás dispuesto a aceptar en torno a ese apetito antes de actuar, la banda práctica a ambos lados del objetivo. La capacidad es el máximo absoluto que la organización podría absorber antes de que su viabilidad se vea amenazada, con independencia de lo que quiera. Fijas el apetito por debajo de la capacidad de forma deliberada, dejando margen, y expresas la tolerancia para que la variación cotidiana no provoque una reunión de crisis cada vez.
| Concepto | Pregunta que responde | Quién es responsable |
|---|---|---|
| Apetito de riesgo | ¿Cuánto riesgo queremos asumir para cumplir nuestros objetivos? | Consejo / dirección |
| Tolerancia al riesgo | ¿Cuánta desviación en torno a ese apetito aceptaremos antes de actuar? | Dirección / propietarios de riesgos |
| Capacidad de riesgo | ¿Cuál es el máximo que podríamos absorber antes de que la viabilidad esté en juego? | Consejo (un límite estricto) |
Cómo aparece en las normas
En ISO 31000, el apetito de riesgo forma parte del marco que el liderazgo establece cuando se compromete a gestionar el riesgo: se espera que la alta dirección y los órganos de supervisión definan y comuniquen cuánto riesgo está dispuesta a asumir la organización. ISO 27005 y el sistema de gestión de seguridad de la información ISO 27001 se basan en la misma idea a través de los criterios de riesgo: antes de poder evaluar un riesgo, necesitas criterios acordados sobre lo que es aceptable, y esos criterios son el apetito hecho operativo. El apetito está aguas arriba de la evaluación, y los criterios son la manera en que se aplica de forma coherente a cada riesgo.
El apetito no es un cartel en la pared. Solo se gana su lugar cuando está integrado en el resto del ciclo. El paso de evaluación del riesgo compara cada riesgo analizado con los criterios derivados del apetito para decidir si es necesaria una acción.
La decisión de tratamiento del riesgo, evitar, reducir, transferir o aceptar, se justifica por referencia a él: un riesgo aceptado dentro del apetito solo requiere una aceptación documentada y autorizada, mientras que un riesgo por encima del apetito exige tratamiento o una aprobación formal y escalada. El registro de riesgos consigna dónde se sitúa cada entrada respecto al apetito y quién aceptó qué.
Cuando los auditores encuentran decisiones de tratamiento que nadie puede rastrear hasta un apetito declarado, esa es la brecha que desmorona toda la evaluación.
En la práctica, el apetito se revisa, no se graba en piedra. Se reexamina a medida que los objetivos cambian, tras incidentes mayores, y a través de la revisión por la dirección, porque un apetito fijado para la estrategia del año pasado desorienta discretamente las decisiones de este año. La disciplina consiste en mantenerlo explícito, mantenerlo asumido en la cúpula y mantenerlo conectado a los criterios que el equipo utiliza realmente.
Preguntas frecuentes
01¿Cuál es la diferencia entre apetito de riesgo y tolerancia al riesgo?
El apetito es la cantidad y el tipo de riesgo que la organización quiere asumir para cumplir sus objetivos. La tolerancia es la desviación que aceptará en torno a ese apetito antes de actuar. El apetito es el objetivo; la tolerancia es la banda aceptable a su alrededor.
02¿Quién debe fijar el apetito de riesgo?
El consejo o el liderazgo ejecutivo, porque el apetito es una declaración sobre cuánta exposición aceptará la organización para perseguir sus objetivos. El equipo de riesgo o de seguridad lo aplica, pero no puede inventarlo legítimamente por su cuenta.
03¿Hace falta ponerlo por escrito?
Sí. Un apetito no escrito significa que cada decisión de tratamiento es un juicio personal que nadie autorizó formalmente, algo que los auditores y los consejos cuestionarán. Una declaración de apetito documentada y asumida es lo que hace defendibles esas decisiones.
04¿Cómo se relaciona el apetito de riesgo con los criterios de riesgo en ISO 27005?
Los criterios de riesgo son el apetito hecho operativo. El apetito define cuánto riesgo es aceptable; los criterios son los umbrales acordados que el equipo utiliza para evaluar cada riesgo de forma coherente frente a ese apetito.
05¿Con qué frecuencia debe revisarse el apetito de riesgo?
Siempre que los objetivos o el contexto cambien significativamente, tras incidentes mayores, y como parte de la revisión por la dirección. Un apetito fijado para una estrategia antigua orientará discretamente las decisiones actuales en la dirección equivocada.