Tratamiento de riesgos y selección de controles
Pasamos del registro de riesgos a las decisiones: qué cambiar, qué medidas elegir, quién debe actuar y cómo comprobar el resultado.
Objetivo: transformar la evaluación en medidas concretas, justificadas y verificables.
En la lección 6.2 recorrerás los nueve grupos y las 38 referencias del anexo A. En 6.3 trabajarás una plantilla completa de revisión y un ejemplo razonado. Las decisiones pendientes siguen visibles y se añaden las medidas propias necesarias.
De la evaluación a una decisión
El módulo 5 nos dejó un registro trazable. Ahora vamos a convertirlo en una respuesta que pueda llevarse a la práctica.
En Tech Server IIT Spain hemos trabajado con un clasificador de tickets. En una revisión didáctica, propuso una prioridad baja para un ticket que el evaluador consideraba urgente. El registro R-001 recoge el escenario: si una prioridad insuficiente se aplica sin una corrección eficaz, podría demorarse la atención. El impacto IMP-001 relaciona esa demora con la posible prolongación de la interrupción del trabajo de la persona afectada.
No hemos demostrado que la propuesta llegara a aplicarse, que hubiera una demora real ni que se produjera el perjuicio. Tampoco hemos dado por eficaz una revisión humana únicamente porque aparece descrita en un procedimiento.
El punto de partida conserva esas distinciones. Podemos decidir comprobaciones y medidas provisionales ante una incertidumbre relevante, dejando documentados su motivo y sus límites. Si aparece una incidencia real urgente, la respuesta operativa debe activarse por el cauce correspondiente.
Qué vas a aprender
La pregunta que guía este módulo es: «¿Qué vamos a hacer y cómo sabremos que funciona?»
- Comparar opciones de tratamiento, teniendo en cuenta el uso y las personas afectadas.
- Seleccionar controles que tengan una relación explicable con los riesgos y los impactos.
- Justificar decisiones sobre controles y su implantación mediante un ejercicio de declaración de aplicabilidad.
- Preparar un plan con acciones, responsables, recursos, prioridades y plazos.
- Reevaluar el riesgo residual y distinguir la propuesta de aceptación de una aceptación autorizada.
- Buscar evidencias de funcionamiento y resultados, además de evidencias de implantación.
Las seis lecciones
Seguiremos el orden del índice maestro para que cada decisión tenga una base y un paso siguiente.
6.1. Opciones de tratamiento
Comparar respuestas antes de elegir medidas.
6.2. Selección de controles
Vincular cada medida con el riesgo y el impacto que aborda.
6.3. Declaración de aplicabilidad
Justificar la selección de controles y su estado de implantación.
6.4. Plan de tratamiento
Asignar acciones, responsables, recursos, prioridades y plazos.
6.5. Riesgo residual y aceptación
Reevaluar lo que permanece y precisar quién puede aceptarlo.
6.6. Comprobación de eficacia
Distinguir una medida implantada de una medida que funciona.
El trabajo que te llevarás
Construiremos un expediente didáctico de tratamiento a partir de los riesgos trabajados en el módulo anterior.
El entregable reunirá una decisión de tratamiento justificada, controles vinculados a los escenarios, un plan de acciones y una propuesta de comprobación de eficacia. Incluirá también el estado de la reevaluación y de la aceptación del riesgo residual.
Declaración de aplicabilidad: recorreremos las 38 referencias del Anexo A con la plantilla editable y desarrollaremos un ejemplo parcial. Cubrir el catálogo no equivale a justificar todas las decisiones de una organización. El ejercicio no constituye una declaración aprobada ni acredita por sí mismo conformidad con ISO/IEC 42001.
Utilizaremos R-001 e IMP-001 como ejemplo desarrollado. Los demás escenarios del módulo 5 servirán para comparar decisiones cuando proceda. Los identificadores ayudan a seguir el razonamiento; las propuestas del curso no describen medidas ya implantadas en una empresa real.
Cómo trabajar el módulo
Lee, toma una decisión razonada, completa la actividad y revisa qué necesitas comprobar.
Tiempo orientativo: 4–6 horas de lectura y práctica. Reparte el trabajo en varias sesiones. La estimación corresponde al caso didáctico y no incluye los tres audios opcionales ni una implantación real.
Cada lección tiene una infografía desplegada y una ficha de trabajo. Intenta responder primero; después consulta las orientaciones. Conserva las fichas para reunir tu expediente de tratamiento.
El módulo se organiza en tres bloques de dos lecciones. Los capítulos 013, 014 y 015 están disponibles al final de 6.2, 6.4 y 6.6, respectivamente. Lee las precisiones que acompañan cada bloque. La escucha es opcional: las actividades se pueden completar con el contenido escrito.
Puedes utilizar la web o el PDF del módulo, con el contenido completo, actividades rellenables, orientaciones al final y espacio para trabajar también en papel.