Reevaluar y decidir sobre el riesgo residual
Después del tratamiento sigue habiendo incertidumbre. La decisión debe referirse al riesgo que permanece, a unas condiciones concretas y a una autoridad identificada.
Objetivo: Preparar una reevaluación y una propuesta de decisión sobre el riesgo residual, conservando evidencia, límites y condiciones de seguimiento.
Precisar qué riesgo permanece
La etiqueta «residual» no significa pequeño ni aceptado.
El riesgo residual es el que permanece después del tratamiento. En nuestro ejercicio la valoración debe referirse a medidas y condiciones que se puedan identificar. Si las medidas solo están propuestas, puedes analizar el riesgo residual previsto, pero debes mantenerlo separado del riesgo reevaluado con evidencia de implantación y funcionamiento.
Tech Server IIT Spain ha preparado propuestas, no resultados confirmados. No sabemos aún si CT-001 funciona en todas las interfaces relevantes, si la revisión tiene capacidad ni si el proceso alternativo mantiene los tiempos de atención. El estado de la reevaluación seguirá pendiente hasta contar con una base suficiente para la conclusión que se pretende adoptar.
Esto no exige una serie histórica universal. Puede haber valoraciones cualitativas o juicio experto documentado cuando resulten pertinentes. Lo esencial es indicar su fundamento, las condiciones y las incertidumbres, sin presentar una previsión como un resultado observado.
Reevaluar con los criterios del módulo 5
Mantén comparable el escenario y explica qué ha cambiado.
- Escenario y condiciones: ¿qué uso, configuración, personas y periodo se están evaluando?
- Medidas consideradas: ¿cuáles están propuestas, cuáles implantadas y qué funcionamiento se ha comprobado?
- Evidencia: ¿qué pruebas, observaciones o juicios fundamentan la valoración y qué dejan fuera?
- Consecuencias e impactos: ¿qué podría seguir ocurriendo, a quién y con qué duración o reversibilidad?
- Criterios: ¿qué reglas de valoración y aceptación se están utilizando y en qué versión?
- Conclusión: ¿qué puede sostenerse y qué sigue pendiente?
No cambies el criterio para que el tratamiento parezca exitoso. Si debes actualizarlo por una razón válida, registra el motivo y valora la comparabilidad de las evaluaciones. Una reducción de frecuencia estimada tampoco borra una consecuencia grave ni un perjuicio concentrado en un grupo.
Separar recomendación, aprobación del plan y aceptación
Cada decisión tiene un objeto y una responsabilidad.
La persona que prepara el expediente puede recomendar una respuesta. Quien aprueba el plan decide sobre el trabajo y sus condiciones. La aceptación del riesgo residual es una decisión sobre el riesgo que permanece, con la autoridad y las condiciones que correspondan.
ISO/IEC 42001 sitúa la aprobación del plan y la aceptación de los riesgos residuales en la dirección designada. En el caso debemos identificar quién ocupa esa función y con qué autoridad. La firma del técnico que configura una medida no sustituye esa decisión.
«La dirección lo sabe» o «siempre hemos usado esta herramienta» no dejan una aceptación trazable. El registro debe permitir identificar quién decidió, cuándo, sobre qué versión y con qué condiciones. Si no existe evidencia de esa decisión, el estado es pendiente; no se presume una aceptación tácita.
Una aceptación interna no elimina requisitos aplicables ni convierte una actuación prohibida en permitida. Nuestro curso no determina obligaciones legales de una organización concreta: su verificación forma parte del contexto y del expediente real.
Preparar una decisión con condiciones
Una decisión debe describir el uso al que se refiere y cuándo debe revisarse.
La decisión puede requerir más tratamiento, mantener restricciones, solicitar comprobaciones o aceptar el riesgo residual dentro de unas condiciones definidas. En cualquier caso, conserva el motivo y la autoridad. No conviertas una decisión de prueba en una autorización ilimitada de operación.
Ejemplo de propuesta: «La aceptación del riesgo residual permanece pendiente. Se propone mantener la prueba sin efectos sobre la prioridad real mientras se comprueba la separación y la capacidad del triaje. La ampliación del uso requiere reevaluación y la decisión autorizada que corresponda».
Este ejemplo comunica el estado del ejercicio, no una orden real. Todavía deben concretarse el ámbito, el periodo, las funciones, los requisitos y la aprobación del cambio. «Pendiente» debe ir acompañado de un siguiente paso; no ser una etiqueta sin seguimiento.
Si propones aceptar un riesgo residual en otro ejercicio con evidencia suficiente, identifica la valoración, la autoridad, el periodo de aplicación, los límites de uso, el seguimiento y los desencadenantes de revisión. La utilidad comercial de la herramienta no sustituye esa justificación.
Reabrir la decisión cuando cambie el contexto
El seguimiento conserva la validez de la decisión mientras evolucionan el sistema y el servicio.
Una actualización del modelo, un cambio de interfaz, nuevas categorías de tickets o un aumento de carga pueden alterar las condiciones. También importan una incidencia, una queja relevante, una vía de aplicación no prevista o un cambio de requisitos.
La revisión debe recuperar el escenario y las evidencias, estudiar el cambio y decidir si las condiciones siguen siendo suficientes. Puede necesitar una respuesta operativa inmediata y una actualización posterior del expediente.
Conservar una aceptación anterior sin revisar un cambio relevante rompe la relación entre la decisión y su fundamento. Enlaza versiones para saber qué se aceptó y por qué, y evita presentar el registro anterior como válido para cualquier uso futuro.
Actividad: preparar tu ficha
Prepara una nota de reevaluación de R-001. Si faltan resultados, conserva la aceptación pendiente y formula la comprobación y las condiciones que propones.
Orientación para revisar tu propuesta
La nota debe distinguir el riesgo residual previsto del reevaluado. Si solo hay medidas propuestas, no atribuyas una reducción observada. Una decisión de aceptación exige identificar a la dirección designada, su fundamento y las condiciones. Puedes mantener pendientes con un siguiente paso claro; no estás obligado a inventar una calificación ni una aceptación para terminar el ejercicio.
Comprueba tu criterio
Explica tus decisiones antes de consultar las orientaciones.
Responde primero con tus palabras. Abre cada orientación después de tu intento.
¿Es lo mismo aprobar el plan que aceptar el riesgo residual?
No. El plan se refiere al trabajo previsto y sus condiciones; la aceptación se refiere al riesgo que permanece. Aunque la autoridad pueda coincidir, deben distinguirse el objeto, el fundamento y el estado de ambas decisiones.
¿Por qué no puedes llamar reevaluación demostrada a una reducción prevista?
Porque una previsión se apoya en el diseño y en supuestos; una conclusión reevaluada necesita la evidencia pertinente sobre las medidas y las condiciones. La diferencia debe conservarse en el registro.
¿Qué ocurre con una aceptación cuando cambia el uso del sistema?
Debes estudiar si siguen siendo válidos sus fundamentos y condiciones. Un cambio relevante puede exigir reevaluación, nuevas medidas o una nueva decisión; la aceptación anterior no autoriza cualquier uso.
Lo que te llevas: El riesgo que permanece, el fundamento de su valoración y la decisión autorizada se mantienen separados y enlazados.
Referencias y alcance del material
Contenido didáctico de José Manuel Hernández Agudo. Caso Tech Server IIT Spain: ficticio. NIST se utiliza como referencia complementaria voluntaria; no sustituye ISO/IEC 42001. Las propuestas, estados y comprobaciones no describen una implantación real.
- ISO/IEC 42001:2023, ficha oficial (nueva pestaña)
- Vista previa publicada de ISO/IEC 42001:2023, apartado 6.1.3 (nueva pestaña)
- NIST AI RMF, funciones y categorías (nueva pestaña)
Este material no reproduce el texto de la norma ni acredita conformidad. Para comprobar requisitos concretos utiliza el texto normativo autorizado y las obligaciones aplicables al caso.