Guía 30 de septiembre de 2026

De una brecha a un riesgo tratable

Una brecha describe una desviación respecto al control; un riesgo ayuda a decidir cuánto importa, qué respuesta merece y quién debe asumirla. El objetivo no es cerrar una tarea deprisa, sino dejar una decisión que otra persona pueda revisar.

1. Explica el escenario, no solo el incumplimiento

Relaciona la brecha con el activo, proceso, tercero o control afectado. Describe qué puede ocurrir, a quién afecta y qué evidencia falta. Un escenario concreto ayuda a distinguir un problema operativo de una exposición que requiere decisión de dirección.

Hecho observado y fecha de la observación
Activo, servicio o proceso afectado
Control y evidencia que deberían existir

2. Valora probabilidad, impacto y exposición

Usa una valoración sugerida como punto de partida, pero revísala con el contexto real de la organización. La puntuación debe explicar la prioridad, no sustituir la conversación sobre consecuencias regulatorias, financieras u operativas.

Probabilidad: qué facilita que el escenario ocurra
Impacto: qué se pierde si ocurre
Exposición: qué parte del negocio queda comprometida

3. Elige un tratamiento y una persona responsable

Decide si el riesgo se mitiga, se acepta o se transfiere. Para mitigar, concreta la medida y la evidencia esperada; para aceptar o transferir, conserva la aprobación y las condiciones que hacen válida la decisión.

Owner claro y, cuando proceda, revisor o aprobador
Fecha de inicio, vencimiento y revisión
Criterio verificable para considerar la acción terminada

4. Convierte el tratamiento en trabajo ejecutable

Genera una tarea solo si no existe ya una abierta para la misma brecha. Incluye el contexto del control, los pasos recomendados, la evidencia esperada y los enlaces necesarios para que la persona asignada no tenga que reconstruir el problema.

Evita duplicar tareas de una brecha ya asignada
Mantén la relación entre tarea, brecha y control
Usa la fecha de revisión para preparar la siguiente comprobación

5. Cierra con evidencia y reaudita

Completar una tarea no convierte automáticamente el control en conforme. Revisa el documento o cambio aportado, actualiza el riesgo residual y decide mediante revisión o reauditoría si la respuesta ha cambiado.

La evidencia demuestra el cambio, no solo la intención
El riesgo residual puede seguir necesitando aceptación
La decisión final queda en manos del responsable y del auditor

Audexa La disponibilidad de determinadas funciones puede depender del plan, de los módulos activos y de la configuración de la organización.