¿Para qué me sirve esta actividad? 📚
Esta actividad te servirá para consolidar y presentar los resultados obtenidos tras haber evaluado las amenazas que podrían interrumpir las operaciones de tu empresa.
El Informe del Análisis de Riesgos tiene como objetivo principal comunicar a la Alta Dirección y al Comité de Continuidad el panorama actual de las amenazas, vulnerabilidades y riesgos del negocio, destacando aquellos que son más críticos y qué decisiones se han tomado para tratarlos (mitigarlos, aceptarlos, transferirlos o eliminarlos).
Este informe funge como una evidencia formal de que tu organización no solo identifica sus riesgos, sino que los analiza y toma decisiones informadas con la aprobación de la dirección.
Debe generarse tras finalizar el ejercicio de evaluación de riesgos, ya sea que se haya realizado de forma periódica por cumplimiento normativo, o de forma extraordinaria cuando ocurra un cambio significativo en la empresa (como una nueva línea de negocio, un cambio de sede o la adopción de una nueva tecnología crítica).
¿Qué tengo que hacer? 🚀
💡Este documento es un resumen ejecutivo. Debes nutrirlo con la información que previamente hayas trabajado en tu Matriz de Riesgos (o de ser el caso, directamente en el módulo de Riesgos de la plataforma).
Al trabajar con nuestro template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Resultados de la evaluación.
Basándote en tu análisis previo, contabiliza y agrupa los riesgos según su nivel de criticidad (Muy Alto, Alto, Medio, Bajo, Muy Bajo). Te recomendamos usar un gráfico de barras o circular simple que represente visualmente la cantidad de riesgos por nivel.
Enlista textualmente los riesgos más destacados en cada categoría. Concéntrate en describir de forma clara la amenaza (ej. "Caída prolongada de nuestro proveedor de nube principal").
Tratamiento de los riesgos y planes de acción.
Describe de forma resumida qué acciones correctivas, preventivas o controles nuevos se van a implementar a corto y mediano plazo para mitigar los riesgos altos y muy altos.
Aceptación y transferencia de riesgos.
Documenta los riesgos aceptados. Si decides que un riesgo no será mitigado (porque es demasiado costoso hacerlo o porque el impacto es tolerable), debes justificarlo claramente. Esto debe estar cumpliendo los criterios de aceptación que hayas definido en tu Metodología de Gestión de Riesgos.
De igual manera, documenta los riesgos transferidos, indicando aquellos donde un tercero (como una aseguradora o un proveedor de servicios gestionados como los de nube) asume el impacto.
💡No se recomienda aceptar riesgos de nivel "Muy Alto" y/o "Alto" sin una justificación financiera o estratégica robusta. Si los auditores notan que aceptas un riesgo crítico solo por falta de tiempo, disponibilidad de recursos al momento o alguna otra razón que no parezca suficiente, podrían levantar una no conformidad. Asegúrate de que toda aceptación de riesgo esté firmada y avalada por la Alta Dirección.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
💡Recomendamos ampliamente que esta actividad también genere la siguiente evidencia:
Documento final en versión PDF (no editable).
Evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Asegúrate de que los números y riesgos presentados en este informe coincidan con los registrados y efectivamente identificados en tu Matriz de Riesgos detallada.
No ocultes los riesgos críticos a la dirección; el propósito de este informe es transparentar las debilidades para conseguir el apoyo necesario para resolverlas.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.