Cómo crear un registro de riesgos con IA: Guía completa
Un registro de riesgos es una tabla que detalla qué podría salir mal y qué tan probable es que ocurra. También registra cuál sería el daño, quién es el responsable y qué se ha decidido hacer al respecto. La mayoría de los equipos crean el primero después de que algo salió mal y nadie lo había documentado. Esta guía cubre la ruta manual y la opción más rápida, utilizando las exportaciones que ya tiene.
Qué es un registro de riesgos
La definición más clara proviene del glosario de NIST, que lo define como "un repositorio de información sobre riesgos que incluye los datos recopilados sobre los riesgos a lo largo del tiempo".
Una segunda entrada en la misma página resulta más útil para el trabajo práctico. Describe un registro central de los riesgos actuales para un alcance u organización determinados.
Esa entrada hace una distinción que la mayoría de las plantillas pierden. Los riesgos actuales incluyen tanto los que se han aceptado como aquellos que cuentan con una ruta de mitigación planificada.
Esa es la idea principal. Un registro de riesgos no es una lista de problemas pendientes de solución. Es un registro de decisiones, y un "analizamos esto y decidimos convivir con ello" es una entrada totalmente legítima.
Esta distinción tiene una consecuencia práctica. Si faltan los riesgos aceptados, nadie podrá notar la diferencia entre un riesgo que fue evaluado y descartado y otro que nunca se detectó. Seis meses después, ambos parecerán idénticos, pero solo uno de ellos representará un fallo.
Una nota sobre el alcance antes de empezar a construirlo. El material de NIST se sitúa en un contexto federal y de ciberseguridad. Su entrada de glosario hace referencia a la Circular A-11 de la OMB para detallar el contenido que debe llevar un registro federal. Lo que se presenta a continuación es la versión de gestión que la mayoría de los equipos realmente necesitan, no un registro diseñado para cumplir con un estándar de conformidad. Si debe reportar bajo un marco específico, utilice la lista de campos de dicho marco.
Sin embargo, hay una idea de esa literatura que sí se puede aplicar. La publicación IR 8286 de NIST se centra en los registros. Su resumen explica "el valor de consolidar las medidas de riesgo que normalmente se abordan en niveles inferiores del sistema y de la organización hacia un nivel empresarial más amplio".
Vale la pena diseñar el registro con esto en mente desde la primera versión. Un registro cuyas puntuaciones se basen en cifras comparables se puede combinar con el de otro equipo; uno basado en juicios subjetivos y privados, no.
Qué necesita antes de empezar
Tres insumos, y rara vez se encuentran en el mismo lugar.
- Una lista de peligros. Cualquier cosa que ya preocupe a su equipo, por muy informal que sea su registro.
- Datos de exposición. Gasto en proveedores, términos contractuales, número de empleados por sede, inventario de sistemas, historial de incidentes.
- Un mapa de responsables. Quién puede tomar decisiones reales, no quién reportó el problema.
También necesita acordar un número de antemano. Se trata del umbral de impacto a partir del cual un elemento debe incluirse en el registro de riesgos. Sin él, la tabla se llenará de elementos sobre los que nadie llegará a actuar.
Establézcalo en las mismas unidades que sus datos de exposición. Un umbral expresado en gasto anual es verificable; un umbral definido como "material" reabrirá la discusión en cada revisión.
Cómo crear uno manualmente
Opción 1: Una sola tabla en una hoja de cálculo
Una fila por riesgo, con la probabilidad y el impacto como columnas. Aquí es donde empieza casi cualquier registro y, para un equipo pequeño, es suficiente.
El coste es el mantenimiento. Cada fila se escribe a mano y el registro queda desactualizado la semana posterior al taller en el que se creó.
Opción 2: Puntuar los riesgos y ordenar
Añada una calificación para la probabilidad y otra para el impacto, multiplíquelas y ordene la tabla. Ahora la tabla tiene un orden, que es lo primero que la hace útil en una reunión.
El obstáculo es la consistencia. Dos personas que califiquen el mismo riesgo con un mes de diferencia no coincidirán, y no hay nada en la hoja de cálculo que detecte esa discrepancia.
Opción 3: Basar las puntuaciones en sus propios datos
Esta es la versión que resiste cualquier cuestionamiento. En lugar de calificar el riesgo de un proveedor de memoria, se extraen las cifras reales. El gasto anual, el periodo de preaviso del contrato y la cantidad de equipos que dependen de ese proveedor definen, en conjunto, la calificación del impacto.
La guía de Ready.gov de FEMA apunta en la misma dirección para el riesgo físico. Su página de evaluación de riesgos aconseja a las empresas "buscar vulnerabilidades o debilidades que puedan hacer que su negocio sea más susceptible a sufrir daños por un peligro". Esas debilidades, señala, "contribuyen a la gravedad de los daños cuando ocurre un incidente".
La misma página plantea la respuesta en términos de inversión. Los impactos "pueden reducirse invirtiendo en mitigación". Cuando el impacto potencial es significativo, diseñar una estrategia de mitigación "debería ser una alta prioridad".
Este es el método correcto, pero también el más lento. Cada riesgo implica volver a consultar una exportación de datos diferente.
Cómo crear un registro de riesgos con IA
Paso 1: Subir las exportaciones que describen su exposición
Abra Powerdrill Bloom y suba lo que tenga: la exportación de gastos de proveedores, la lista de contratos, el inventario de sistemas y los registros de incidentes anteriores. Súbalos todos juntos en lugar de uno por uno.
Luego, describa su alcance en lenguaje natural. Indique qué parte del negocio cubre el registro, cuál es su umbral de impacto y qué escala de puntuación utiliza.
Paso 2: Solicitar cifras de exposición por riesgo, no calificaciones
Solicite una tabla con una fila por cada riesgo potencial, que contenga las cifras que deben determinar la puntuación: gasto anual, número de equipos dependientes, periodo de preaviso y recuento de incidentes durante el último año.
Solicite la fuente de cada cifra. La plataforma devuelve una respuesta fundamentada que indica la página y la fila detrás de cada número. En un registro de riesgos, esa trazabilidad marca la diferencia entre una puntuación que se puede defender y otra que no.
Realice la puntuación usted mismo a partir de esas cifras. El juicio es la parte que debe seguir siendo humana.
Paso 3: Añadir sus decisiones y exportar
Para cada fila, registre la decisión: aceptar, mitigar, transferir o evitar. Cuando la decisión sea mitigar, añada la acción planificada, el responsable y la fecha de revisión.
Luego, exporte la tabla ordenada por puntuación. Mantenga las cifras de exposición como columnas en lugar de eliminarlas. La revisión del próximo trimestre comenzará verificando si esos números han cambiado.
Si el registro se convierte en un entregable recurrente, las tareas programadas están disponibles en todos los planes, con una en el nivel Free y 20 a partir del Pro en adelante. Una actualización trimestral es adecuada para la mayoría de los equipos.
Qué debe incluirse en cada fila
| Columna | Por qué se gana su lugar |
|---|---|
| Descripción del riesgo | Escrito como una causa y un efecto, no como un tema |
| Probabilidad | La mitad de la puntuación, y la mitad que la gente suele adivinar |
| Impacto | Debe poder rastrearse hasta una cifra real |
| Cifra de exposición | El número del que proviene la calificación de impacto |
| Decisión | Aceptar, mitigar, transferir o evitar |
| Mitigación y responsable | Solo tiene sentido si se asigna a una sola persona con nombre y apellido |
| Fecha de revisión | Sin ella, el registro envejece en silencio |
La columna de la cifra de exposición es la que la mayoría de las plantillas omiten. Mantenerla transforma una calificación subjetiva en algo que el próximo revisor podrá verificar.
Buenas prácticas y errores comunes
Registre también los riesgos aceptados. Un registro que solo contiene elementos abiertos es una lista de tareas. Las entradas aceptadas son las que le protegen cuando alguien pregunte más adelante si se tuvo en cuenta ese aspecto.
Escriba los riesgos como causa y efecto. "Concentración de proveedores" es un tema. "Nuestra facturación depende de un único proveedor con un periodo de preaviso de 90 días" es un riesgo que se puede puntuar.
Asocie el impacto a un número. Incluso una cifra aproximada es mejor que una calificación sacada de la nada, y hace que la próxima revisión sea una comparación en lugar de una nueva discusión.
Asigne un único responsable a cada fila. La responsabilidad compartida de un riesgo suele significar que nadie lo ha revisado; además, el responsable debe ser quien tenga la autoridad para autorizar la mitigación.
Establezca fechas de revisión por fila, no por registro. El riesgo de un proveedor y un riesgo regulatorio se mueven con tiempos diferentes, y un único barrido trimestral los trata como si no fuera así.
Manténgalo separado del rendimiento de los proveedores. Utilizan exportaciones que se solapan y responden a preguntas diferentes. Evaluar a un proveedor por su entrega y calidad corresponde a nuestra guía sobre la tarjeta de puntuación de proveedores; un registro trata sobre lo que ocurre si ese proveedor falla.
Defina sus términos una sola vez. Los rangos de probabilidad y los niveles de impacto deben significar lo mismo para todos los que realizan la puntuación. Esta es la misma disciplina que se aborda en nuestra guía práctica sobre cómo crear un diccionario de datos. Si el resultado se convierte en un documento permanente, la página del generador de informes de IA muestra esa estructura.
Conclusión
Un registro de riesgos se gana su lugar al convertir la preocupación dispersa en un registro de decisiones, incluida la decisión de aceptar algo y seguir adelante. La parte difícil nunca es el diseño de la tabla; es fundamentar cada calificación de impacto en un número en lugar de en una sensación.
Cree el registro de riesgos a partir de las exportaciones que ya posee y mantenga las cifras de exposición visibles junto a las puntuaciones. Asigne a cada fila un responsable y una fecha de revisión.
¿Ya tiene las exportaciones de proveedores e incidentes? Pruebe Powerdrill Bloom y cree la primera versión esta semana.
Preguntas frecuentes
¿Qué es un registro de riesgos?
El glosario de NIST lo describe como un repositorio de información sobre riesgos que cubre lo que se comprende sobre los riesgos a lo largo del tiempo. En la práctica, es una tabla que registra cada riesgo, su calificación, su responsable y la decisión tomada al respecto.
¿Qué columnas debe tener un registro de riesgos?
Como mínimo: el riesgo redactado como causa y efecto, la probabilidad, el impacto y la cifra detrás de la calificación de impacto. Luego, la decisión, la mitigación con su responsable y una fecha de revisión.
¿Deben permanecer los riesgos aceptados en el registro?
Sí. La definición de NIST considera que los riesgos actuales incluyen tanto los riesgos aceptados como aquellos con una ruta de mitigación planificada. Eliminar los elementos aceptados hace que se pierda el registro de esa decisión.
¿Con qué frecuencia se debe revisar?
Establezca fechas de revisión por fila en lugar de para todo el documento, ya que las diferentes categorías de riesgo cambian en distintos plazos. Un barrido trimestral de las filas con mayor puntuación es adecuado para la mayoría de los equipos.
¿Es esto lo mismo que una evaluación de riesgos?
No. Ready.gov describe una evaluación de riesgos como el proceso de identificar peligros y analizar lo que podría suceder. El registro es el artefacto que documenta los resultados y las decisiones.