¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a identificar, analizar y evaluar los riesgos operacionales, tecnológicos, humanos, ambientales y de proveedores que podrían causar una interrupción grave o la paralización de las actividades prioritarias de tu empresa.
Una Matriz de Riesgos te permite reconocer escenarios reales que podrían afectar la continuidad, disponibilidad e integridad de tus operaciones, ayudándote a definir medidas preventivas y controles administrativos o técnicos que reduzcan la probabilidad de ocurrencia o atenúen su impacto.
¿Qué tengo que hacer? 🚀
💡Este análisis debe reflejar la situación real de tu empresa. Para completar esta actividad correctamente, es importante que ya cuentes con tu Metodología de Gestión de Riesgos establecida y tu Inventario de Activos actualizado.
Si utilizas la metodología propuesta en nuestro template, recuerda que debes leerla y comprenderla muy bien para que puedas realizar esta actividad fácil y rápidamente, y para ello te recomendamos seguir los pasos que explicamos a continuación:
Identifica los activos y procesos prioritarios alcanzados.
Revisa tu Inventario de Activos para identificar qué sistemas, aplicaciones, bases de datos, servidores en la nube, instalaciones físicas, proveedores clave y personal intervienen en tus procesos prioritarios.
Considera los activos que permiten operar, almacenar, procesar o restablecer los servicios principales de la empresa.
Conocer los activos e infraestructura involucrada te permitirá visibilizar con mayor claridad las amenazas a las que están expuestos.
Describe los riesgos de continuidad.
Para lograr esto puedes utilizar nuestro listado de riesgos como punto de partida, tomar ejemplos directamente de allí o complementarlos con los riesgos específicos de tu empresa.
Asocia cada riesgo con los activos, procesos o proveedores involucrados, recordando que un mismo activo o proceso puede tener más de un riesgo asociado.
Algunos ejemplos de riesgos de continuidad operacional pueden ser:
Falla o indisponibilidad prolongada de servidores en la nube (AWS/Azure/GCP).
Infección por ransomware en bases de datos críticas.
Indisponibilidad de personal clave por una contingencia operacional.
Corte en el servicio de un proveedor crítico de conectividad o pagos, entre otros.
💡No limites tu análisis de riesgos únicamente a ciberataques o fallas técnicas; evalúa también riesgos derivados de fallas operativas humanas, eventos naturales, interrupciones en la cadena de suministro o cortes de energía e infraestructura.
Asigna un dueño o responsable del riesgo.
Cada riesgo identificado debe contar con un responsable interno capacitado para monitorear su estado, impulsar las medidas de tratamiento, ejecutar las mitigaciones y dar seguimiento a los avances.
El responsable debe contar con conocimiento operativo y capacidad de decisión sobre el proceso, activo o riesgo evaluado para así poder supervisar la ejecución de los controles preventivos y planes de mitigación, garantizando que los compromisos de continuidad se cumplan dentro de los plazos establecidos.
Evalúa el riesgo inherente.
Determina el nivel de impacto y de probabilidad de cada riesgo aplicando la fórmula de tu metodología.
Si usas nuestra metodología, esto corresponde a: Impacto x Probabilidad.
En el módulo de Riesgos de Hackmetrix, este nivel se calcula de forma automática al ingresar los valores correspondientes.
💡En continuidad del negocio, el impacto no se mide solo por pérdidas financieras directas, sino en función del tiempo de inactividad tolerable y la afectación a las actividades prioritarias, por lo que es muy importante que al estar evaluando tus riesgos, consideres los diferentes tipos impacto que podría tener tu negocio, los requisitos legales y/o contractuales aplicables a los que está sujeta la empresa, y los tiempos tolerables de interrupción.
Define el tratamiento del riesgo.
Una vez evaluado el riesgo inherente, define la decisión estratégica para gestionarlo. Nuestra metodología considera las siguientes 4 posibles decisiones:
Mitigar: Consiste en implementar controles técnicos como respaldos, esquemas de alta disponibilidad o planes de continuidad y de recuperación para reducir la probabilidad o el impacto, entre otros.
Aceptar: Consiste en asumir el riesgo de forma justificada cuando este se encuentre dentro de los niveles de tolerancia aprobados por el Comité de Continuidad y/o la Alta Dirección.
Eliminar: Consiste en modificar el proceso, eliminar la dependencia de un activo vulnerable o dejar de realizar la actividad que origina el riesgo.
Transferir: Consiste en apoyarse en un tercero (como un proveedor especializado) para colaborar en su mitigación y monitoreo.
💡Transferir o compartir un riesgo con un proveedor no elimina la responsabilidad de tu empresa ante tus clientes. Además, seguirá siendo muy importante establecer Acuerdos de Nivel de Servicio (SLA) con estos terceros, y verificar que cuenten con sus propios planes de continuidad.
Evalúa el riesgo residual y mantén el seguimiento.
Tras definir e implementar las medidas de tratamiento, evalúa nuevamente el impacto y la probabilidad para calcular el riesgo residual.
Recuerda que el riesgo nunca desaparece por completo a cero y debe revisarse periódicamente.
Recuerda que al utilizar el módulo de Riesgos de Hackmetrix para registrar tus riesgos, asociar responsables, activos y acciones de mitigación, estás manteniendo un historial centralizado y listo para auditorías.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable). Para este caso, puedes subir una captura de pantalla de la vista principal del módulo de Riesgos de la plataforma o exportar la información desde el mismo módulo a un archivo de excel, y posteriormente subirlo acá.
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (subiendo el documento de la minuta en PDF), o con una captura de pantalla de la respuesta explícita de aprobación de los líderes mediante Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debés subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Involucra activamente a los líderes de cada área (TI, Operaciones, RRHH, Finanzas, Legal, etcétera) en la identificación de sus propios riesgos operacionales.
Asigna dueños de riesgo con conocimientos técnicos y capacidad real de decisión para ejecutar o impulsar las medidas de tratamiento en los tiempos fijados.
Revisa la matriz al menos una vez al año y cada vez que ocurran cambios relevantes, como el lanzamiento de nuevos productos, migraciones tecnológicas, contratación de un proveedor crítico o tras un incidente / interrupción real.
Sé realista al evaluar el riesgo inherente y residual; no todos los riesgos son críticos, pero tampoco deben minimizarse amenazas que puedan interrumpir las operaciones prioritarias de la empresa.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.