Dos impactos, no cuatro
La guía reconoce solo dos áreas de impacto: la económica (o presupuestal) y la reputacional. Las sanciones, las indemnizaciones, lo legal y lo operativo no son dimensiones aparte: se expresan como impacto económico o reputacional. Si un riesgo tiene los dos, cuenta el mayor.
La probabilidad mide exposición
No pregunta cuántas veces ocurrió el problema, sino cuántas veces al año se ejecuta la actividad donde puede ocurrir. Un trámite que se hace cinco mil veces al año está más expuesto que uno que se hace dos, aunque ninguno haya fallado todavía. En tecnología, cada hora de funcionamiento cuenta como una vez.
- Muy baja, 20 %: hasta 2 veces al año.
- Baja, 40 %: de 3 a 24 veces.
- Media, 60 %: de 25 a 500 veces.
- Alta, 80 %: de 501 a 5.000 veces.
- Muy alta, 100 %: más de 5.000 veces.
El impacto económico se mide en salarios mínimos
- Leve, 20 %: menos de 10 salarios mínimos mensuales (SMLMV).
- Menor, 40 %: entre 10 y 50.
- Moderado, 60 %: entre 50 y 100.
- Mayor, 80 %: entre 100 y 500.
- Catastrófico, 100 %: más de 500.
El impacto reputacional tiene un descriptor por nivel, desde lo que afecta a un área de la entidad hasta lo que trasciende a nivel país. La entidad puede ajustar a su tamaño los rangos de frecuencia y de dinero; los cinco niveles y sus porcentajes no se cambian.
La matriz tiene cuatro zonas
Probabilidad e impacto se cruzan en una matriz de 5 × 5 con zonas Bajo, Moderado, Alto y Extremo. Dos reglas se leen a simple vista: todo impacto catastrófico cae en Extremo y todo impacto mayor cae en Alto, sin importar la probabilidad. Para los riesgos de integridad pública la matriz no admite ajustes.
El control vale tipo más implementación
Cada control recibe un porcentaje que sale de sumar dos atributos:
- Tipo: preventivo 25 %, detectivo 15 %, correctivo 10 %.
- Implementación: automático 25 %, manual 15 %.
Un control preventivo manual vale 40 %, y uno detectivo manual, 30 %. Los preventivos y los detectivos bajan la probabilidad; los correctivos bajan el impacto. La documentación, la frecuencia y la evidencia del control se analizan, pero no puntúan. Y una advertencia de la propia guía: las copias de seguridad y las pólizas son controles correctivos. Contarlas como preventivas sobrevalora el control.
El residual es acumulativo
Los porcentajes de los controles no se suman entre sí. Cada control se aplica sobre lo que dejó el anterior.
Un riesgo con probabilidad Media (60 %) e impacto Mayor (80 %) está en zona Alta y tiene dos controles. El preventivo manual vale 40 %: 60 % × (1 − 0,40) = 36 %. El detectivo manual vale 30 % y se aplica sobre ese resultado: 36 % × (1 − 0,30) = 25,2 %, que corresponde al nivel Baja. Como no hay controles correctivos, el impacto sigue en 80 %. El riesgo residual sigue en zona Alta: la probabilidad bajó un nivel y la zona no se movió. Para sacarlo de ahí hace falta un control correctivo o un plan de acción.
Cómo se redacta el riesgo
La guía propone una fórmula con tres piezas: la afectación (económica o reputacional), la causa inmediata y la causa raíz. Por ejemplo: «Posibilidad de afectación económica por el pago de una cuenta sin el lleno de requisitos, a causa de que la revisión de soportes la hace una sola persona». La causa raíz es lo que el control debe atacar.
Seguridad de la información e integridad pública
Los capítulos de seguridad de la información y de integridad pública usan las mismas tablas, la misma matriz y la misma forma de valorar los controles. En seguridad de la información la amenaza es la causa inmediata, la vulnerabilidad es la causa raíz y los controles salen del Anexo A de ISO/IEC 27001. En integridad pública entran la corrupción, el soborno, el fraude, el conflicto de intereses, el lavado de activos y la financiación del terrorismo.
Lo que la guía no cubre
Está escrita para entidades públicas y funciona como estándar mínimo: una entidad puede ajustar el método si el ajuste es compatible y no lo debilita. No regula a las empresas privadas, que en lavado de activos se rigen por SAGRILAFT o SARLAFT y en sus demás riesgos pueden elegir su método.
Riesgos, la herramienta de The Ark of ISO, trae un perfil DAFP v7 que calcula con esta misma aritmética y exporta el Reporte General y el Plan de tratamiento. Esta guía es una explicación; el documento oficial lo publica la Función Pública.