Registro de riesgos.

Qué es realmente el registro

El registro de riesgos es el único lugar donde la organización lleva el seguimiento de lo que le preocupa y de lo que hace al respecto. La gente imagina una hoja de cálculo, y a menudo empieza siéndolo, pero el artefacto que importa es la disciplina que lo sustenta : cada riesgo identificado, analizado, evaluado frente al apetito, asignado a un propietario, dotado de una decisión de tratamiento y revisado según un ciclo. Un registro rellenado una sola vez para una certificación y nunca vuelto a tocar no es un registro de riesgos, es una pieza de museo. La prueba consiste en saber si puedes mirar cualquier línea y ver cuándo se revisó por última vez, quién es su propietario y qué ha cambiado desde entonces.

Cada entrada suele incluir una descripción del riesgo, el activo u objetivo que amenaza, el análisis (probabilidad e impacto, sea cual sea la forma en que los puntúes), la evaluación frente a tus criterios, el tratamiento elegido, el propietario designado, el riesgo residual tras el tratamiento y una fecha de revisión. El nivel de detalle es deliberado : cuando un auditor o un incidente tira de un hilo, la entrada tiene que aguantar. Las entradas vagas, sin propietario ni fecha, son lo primero que detecta un auditor competente, y socavan la credibilidad de todo el programa.

Cómo se conecta con todo lo demás

El registro no es un documento independiente, es el eje al que se conecta el resto del programa de riesgos. La identificación y el análisis siguen una metodología como ISO 27005 o EBIOS RM, y su resultado aterriza aquí. La columna de tratamiento es donde cada riesgo se encuentra con la decisión de evitar, reducir, transferir o aceptar, y en un contexto ISO 27001 esa decisión se prolonga hasta la Declaración de Aplicabilidad y los controles que la implementan. La columna de evaluación solo significa algo si existe un apetito de riesgo escrito frente al cual evaluar, de lo contrario cada valoración no es más que la opinión de un analista. Así pues, el registro se sitúa aguas abajo de la metodología y del apetito, y aguas arriba del tratamiento y de la evidencia de los controles.

Por eso también el registro es un documento vivo ligado a la revisión por la dirección y no un entregable puntual. Aparecen riesgos nuevos, los riesgos tratados cambian su valoración residual, los propietarios se marchan, y el propio apetito puede variar. Un programa maduro revisa el registro con una cadencia definida y traslada los movimientos significativos a la revisión por la dirección, de modo que el liderazgo tome decisiones sobre una imagen actual y no sobre la del año pasado.

Qué mantienen realmente los profesionales

En la práctica el registro es donde las buenas intenciones se encuentran con el mantenimiento. Lo difícil no es la primera pasada, es mantenerlo honesto a lo largo de los años. Las entradas fechadas importan porque un auditor espera ver un cambio trazable : cuándo se planteó un riesgo, cuándo se movió su valoración, cuándo se completó el tratamiento. Los propietarios designados importan porque un riesgo sin propietario es un riesgo que en realidad nadie gestiona.

Los ciclos de revisión importan porque las tolerancias y las dependencias se desplazan, y un registro con dos reorganizaciones de antigüedad priorizará lo equivocado. Los campos son fáciles de enumerar y difíciles de sostener, que es precisamente por lo que el registro, y no la política, es donde se ve si un programa de riesgos está vivo.

Una confusión frecuente es entre el registro y el plan de tratamiento. El registro es el inventario de los riesgos y de su estado actual. El plan de tratamiento es el conjunto de acciones a las que te has comprometido, con plazos y responsabilidad, para llevar los riesgos hacia niveles aceptables. Se referencian mutuamente pero no son el mismo documento, y cuando se separan la auditoría lo nota. Mantén el registro como la fuente de verdad del estado, y deja que el plan de tratamiento sea la fuente de verdad del trabajo en curso.