El residual se escribe a mano.
Queda bajo porque «se siente» controlado. Nadie sabe quién cambió una celda ni cuándo, y un riesgo grave sin plan no le avisa a nadie.
Tu registro de riesgos, calculado y con rastro.
Registra lo que puede salir mal, mide qué tan grave es, decide qué hacer y demuestra que lo hiciste.
- Para empresas privadas y para entidades públicas de Colombia (perfil DAFP v7)
- Siete tipos de riesgo, de seguridad de la información a IA y privacidad
- La IA propone, una persona decide
Toma de control de la consola de la nube con una cuenta de administración robada
- InherenteExtremoP 3 × I 5
- ResidualModeradoP 2 × I 3
- El residual lo calcula la aplicación con los controles calificados. Nadie lo escribe a mano.
Vista con la organización de prueba de Riesgos: una empresa de software en la nube. No son datos de un cliente.
La hoja de cálculo aguanta hasta la auditoría.
Una matriz en Excel funciona hasta que hay más de veinte riesgos, varias personas o un auditor que pregunta cómo se llegó a cada número.
El residual se calcula.
Calificas los controles que ya existen con los criterios de tu organización y la aplicación calcula cuánto bajan la probabilidad o el impacto. Cada cambio queda en la bitácora con autor y fecha. Un riesgo Alto o Extremo sin plan de acción ni aceptación firmada queda señalado hasta que se atiende.
Siete pasos, en el orden de la norma.
Primero las reglas, después los riesgos. Es el orden que pide la ISO/IEC 27005 y el que sigue la aplicación.
Contexto y criterios
Metodología, criterios de control, matriz de zonas y objetivos. Se fijan una vez, antes de valorar.
Lo que se protege
Procesos y activos en 11 categorías, de la información a las credenciales y los sistemas de IA.
Identificación
Qué puede pasar, por qué y cómo: activo, amenaza, vulnerabilidad, lo que se pierde y su dueño.
Valoración inherente
Probabilidad e impacto antes de los controles. El impacto se mide en cuatro dimensiones y cuenta la mayor.
Controles y residual
Calificas los controles existentes y el residual se calcula con ellos.
Tratamiento o aceptación
Un residual Alto o Extremo exige plan de acción o aceptación formal firmada.
Seguimiento e informes
Panel, mapas de calor, tablero directivo, exportes y bitácora, con la fecha de revisión de cada riesgo.
Una organización nueva arranca en configuración: la página «Primeros pasos» la guía en nueve pasos hasta poder crear su primer riesgo. Guía: cómo se valora un riesgo, paso a paso.
De Extremo a Moderado, con la cuenta a la vista.
Cada valoración guarda su explicación: de dónde salió la probabilidad, qué dimensión del impacto mandó y cuánto aportó cada control. Eso es lo que lee el auditor.
Toma de control de la consola de la nube con una cuenta de administración robada
- InherenteExtremoP 3 × I 5
- ResidualModeradoP 2 × I 3
- El residual lo calcula la aplicación con los controles calificados. Nadie lo escribe a mano.
- Causa
- Robo o adivinación de contraseñas, aprovechando que no hay segundo factor.
- Inherente
- Probabilidad 3: una vez al año. Impacto 5: el mayor entre financiero 4, imagen 5, legal 4 y operativo 5.
- Control preventivo
- Reglas de acceso a la información y los sistemas. 55,5 puntos: baja un nivel de probabilidad.
- Control correctivo
- Copias de respaldo de la información. 62 puntos: baja dos niveles de impacto.
- Plan de acción
- Llave de seguridad física obligatoria en las cuentas de administración y revisión trimestral de permisos.
- Revisión
- Pasa de revisarse cada mes a revisarse cada tres meses.
A qué obliga cada zona
- BajoSe asumeRevisión cada 6 meses
- ModeradoSe reduce o se asume con seguimientoRevisión cada 3 meses
- AltoPlan de acción o aceptación formalRevisión cada 2 meses
- ExtremoPlan de acción o aceptación formalRevisión cada mes
La matriz de zonas se ajusta al apetito de riesgo de cada organización. Cambiarla no reescribe lo ya valorado, y el cambio queda en la bitácora. Glosario de términos.
Siete tipos de riesgo, cada uno con sus preguntas.
En ciberseguridad importa la técnica del atacante; en lo jurídico, la norma exacta; en privacidad, la persona afectada; en IA, el modelo y los datos que recibe. Un formulario genérico dejaría esas preguntas sin hacer.
| Código | Tipo | Qué lo distingue | Marcos de apoyo |
|---|---|---|---|
| RSI | Seguridad de la información | Amenaza y vulnerabilidad de un catálogo propio, filtradas por la categoría del activo. | ISO/IEC 27001 · ISO/IEC 27005 |
| RCS | Ciberseguridad | Además, una causa ciber del catálogo y, si se quiere, el puntaje CVSS y la técnica de ataque. | MITRE ATT&CK · CVSS · NIST CSF 2.0 |
| RJU | Jurídico o regulatorio | La obligación legal concreta que se incumpliría. | Ley 1581 de 2012 · Ley 1712 de 2014 |
| RIA | Inteligencia artificial | Respuestas falsas, sesgo, fuga de datos hacia el proveedor o manipulación del modelo. | ISO/IEC 42001 · ISO/IEC 23894 · marco de riesgos de IA del NIST |
| RPR | Privacidad | Dos ejes: el daño a la organización y el daño a la persona titular de los datos. | Ley 1581 de 2012 · ISO/IEC 27701 |
| RTE | Tecnológico | Fallas que no son ataques: caída de un proveedor, obsolescencia, errores de configuración. | ISO/IEC 27001 · ISO 22301 |
| ROP | Operativo | Fallas de procesos y personas: errores humanos, dependencia de una persona clave, fraude interno. | ISO 31000 · guía de la Función Pública |
Un perfil para la empresa privada y otro para la entidad pública.
Metodología propia, en escala de 1 a 5.
Tu organización decide con qué preguntas califica sus controles y cuánto pesa cada una, por separado para los que previenen y los que corrigen. La matriz de zonas y el método del impacto financiero también son tuyos.
- Apoyada en ISO 31000, ISO/IEC 27005 e ISO/IEC 27001
- Sirve también a una empresa de una sola persona: lo que firma quien lo elaboró queda declarado a la vista
Perfil DAFP v7, con la aritmética de la guía.
La Guía para la Gestión Integral del Riesgo en Entidades Públicas de la Función Pública, versión 7 (2025): sus tablas de probabilidad e impacto, sus atributos de control y su reducción acumulativa. Guía: la versión 7, explicada
- Reporte General y Plan de tratamiento con las columnas de la guía, en Excel y PDF
- Los borradores no salen en los reportes salvo que lo decidas en cada exporte
La IA propone escenarios y controles. Tú confirmas cada uno.
A partir del perfil de tu organización (sector, tamaño, tecnología) la IA sugiere qué puede salir mal y con qué se controla. Ahorra tiempo de redacción; el criterio sigue siendo de tu gente.
- Nada de lo que propone cuenta hasta que una persona lo confirma, uno por uno
- Los datos personales nunca se envían a la IA
- Tu organización la autoriza por escrito, con responsable, fecha y tope de gasto mensual
- También puede rechazarla: la aplicación funciona completa sin IA
Regla de la casaTAoI propone, el humano aprueba.Vale igual para un documento del sistema de gestión que para un escenario de riesgo
Gobierno y evidencia
- Seis roles: administrador, dirección, gestor de riesgos, líder de proceso, jurídica y auditor de solo lectura
- Quien elabora la aceptación de un riesgo crítico no la aprueba: firman la jefatura y después la dirección
- La bitácora no se edita ni se borra; lo que ya se usó se retira y queda en la historia
- Cada organización ve solo lo suyo: los datos están separados en la base de datos
Lo que sale de la aplicación.
Todos los informes parten de la misma lectura de datos, así que sus conteos cuadran entre sí.
Para la dirección
- Tablero directivo por objetivos estratégicos
- Riesgos rojos por objetivo y cuántos están atendidos
- Mapas de calor antes y después de controles
- Informe ejecutivo en Word y PDF
Para el auditor
- La declaración de cada riesgo en una página
- La explicación escrita de cada valoración
- Aceptaciones con su acta y sus firmas
- Bitácora con autor y fecha de cada cambio
Para el día a día
- Registro de riesgos con filtros y exporte a CSV
- Detalle en Excel con controles y planes
- Semáforo de planes: vencido, por vencer, en curso
- Próxima revisión de cada riesgo, calculada sola
Riesgos entra por el mismo piloto.
Organización por organización, con una persona del equipo acompañando la configuración. Deja tu correo y te escribimos cuando abra tu cupo.
Pase de abordaje · Piloto 2026
Reserva tu cupo para Riesgos.
Qué pasa después de reservar
- Te escribimos cuando abra tu cupo. Nada de correos de mercadeo.
- Una llamada de 30 minutos para conocer tu empresa.
- Eliges una norma, Riesgos o las dos, y te explicamos las condiciones antes de cualquier compromiso.
- Sin tarjeta ni compromiso al reservar
- Tu correo, protegido por la Ley 1581: lo borramos cuando lo pidas
Preguntas sobre Riesgos
¿Riesgos sirve para certificarme en ISO/IEC 27001?
Cubre lo que la ISO/IEC 27001 exige de la evaluación y el tratamiento de riesgos: criterios escritos, valoraciones comparables, un dueño por riesgo, controles referidos al Anexo A y aceptación del residual por quien corresponde. El certificado lo otorga un organismo acreditado; Riesgos deja la evidencia lista para esa auditoría.
Somos una entidad pública, ¿nos sirve?
Sí. El perfil público calcula con la aritmética de la guía de la Función Pública, versión 7, y exporta el Reporte General y el Plan de tratamiento con sus columnas.
¿Qué se le envía a la IA?
El perfil de la organización: sector, tamaño, tecnología. Nunca nombres, documentos ni datos de personas. La IA solo se enciende con autorización escrita y un tope de gasto, y cada solicitud queda registrada.
¿Necesito estar certificándome para usar Riesgos?
No. Riesgos se puede usar sola. Si además estás construyendo tu sistema de gestión, es el soporte de lo que todas las normas piden en la planificación: pensar en riesgos y dejar evidencia.
¿Cómo empiezo?
Reservas tu cupo con el formulario de esta página. Cuando abra, te escribimos para agendar una llamada de 30 minutos: conocemos tu organización, te explicamos las condiciones antes de cualquier compromiso y creamos tu cuenta. Si prefieres hablar primero, escríbenos por WhatsApp.