Tenemos una tabla donde vamos a colocar los riesgos y a completar la probabilidad, impacto y el nivel
de riesgo.
Esta será nuestra tabla de riesgos.
En ella, nuestro primer campo es el riesgo que identifiquemos por los activos ya mencionados.
Tomando en cuenta que los equipos informáticos son tan esencial para las operaciones del minimarket
interrupcion en las operaciones por avería de los equipos informáticos, es un riesgo que debemos de
tomar en cuenta si se fijan en la composición del riesgo.
El riesgo está compuesto por una causa y una consecuencia.
En este caso.
Interrupción de las operaciones es la consecuencia por averías en los equipos informáticos.
Vendría siendo la causa.
Por eso hay otra forma de documentar los riesgos que a mí personalmente me agrada más que donde separamos
esta causa y consecuencia.
De esta manera.
Ahora tenemos dos campos, causa y consecuencia que componen.
El riesgo.
Entonces.
Tenemos la interrupción en las operaciones por averías de los equipos informáticos.
Me gusta de esta manera, ya que una consecuencia puede tener diferentes causas, al igual que una casa
puede tener varias consecuencias y de esta manera cada casa causa consecuencia.
Se puede trabajar con controles diferentes de acuerdo a lo que amerite la combinación de ellas.
Por ejemplo, tenemos que la consecuencia interrupción en las operaciones también puede ser por fallas
en el suministro de energía, no solamente por avería los equipos, sino por una falla en el suministro
de energía.
Podemos tener la misma consecuencia.
Entonces, tomando en cuenta que el minimarket es una empresa a una tienda que aunque tiene poco personal,
vende mucho y el hecho de que tenga poco personal quiere decir que hay muchas personas que tienen múltiples
funciones y múltiples accesos.
Es un riesgo considerable para este tipo de negocios.
El fraude interno de los empleados.
Entonces podemos tener pérdidas económicas significativas por un fraude interno.
Sólo vamos a poner por aquí.
Entonces destrucción de datos es otro riesgo que cae muy bien en este escenario por infección de software
malicioso, un virus puede ocasionar la pérdida de datos.
Entonces, para este ejemplo solamente vamos a considerar estos riesgos, sabiendo que existen muchísimos
otros riesgos relacionados.
Pero para este ejemplo vamos a considerar estos de acá.
Luego le voy a mostrar una tabla donde hay algunos otros riesgos que también identifiqué para este ejemplo.
Entonces, luego del completado los riesgos potenciales que identificamos que pueden afectar a nuestros
activos.
Entonces debemos de llenar estos campos de acá.
Vamos a identificar la probabilidad y el impacto de cada uno de estos riesgos.
Para esto lo primero es que debemos de definir cuáles son los criterios de valoración de la probabilidad
y del impacto.
Ya que vamos a utilizar el método cualitativo, que es el método más utilizado y el más simple, en
este caso, para la probabilidad tenemos probabilidad baja, media y alta.
Entonces tenemos aquí definido la probabilidad y de los riesgos que determinemos que son de probabilidad
baja.
Es porque son poco probable que ocurran y pudieran ocurrir una vez al año media.
Es probable que ocurra.
Pudiera ocurrir mensualmente en el caso de la alta.
Es muy probable que ocurra para el impacto.
Definimos que bajo sería los eventos que no afectan las operaciones de la empresa, es decir, eventos
que no representan pérdidas económicas en cuanto medios son eventos que pudieran afectar las operaciones
y o provocar pérdidas económicas significativas y alto serían los eventos que pudieran afectar las operaciones,
dañar la reputación de la empresa y o provocar pérdidas económicas significativas.
Los superiores del área de auditoría en conjunto con los auditores definen estos criterios.
Y de acuerdo a la realidad de la empresa que estén auditando, se han definido los criterios.
Entonces ya tenemos nuestros criterios definidos.
Podemos continuar en el caso de interrupciones de las operaciones por averías en los equipos informáticos?
Qué tan frecuente?
Cuál sería la probabilidad de que esto ocurra?
Si consideramos que los equipos que tenemos instalados en nuestro minimarket son de alta calidad, son
muy estables y pocas veces sufren averías.
Entonces pudiéramos poner que es poco probable que ocurra.
Pero si ocurre.
Cuál sería el impacto?
Sería un evento que no afecta a las operaciones o sería un evento que pudiera afectar las operaciones
y o provocar pérdidas económicas?
O más bien un evento que pudiera afectar las operaciones, dañar la reputación de la empresa y o provocar
pérdidas económicas significativas.
Entendemos para este caso que sería un impacto medio donde el evento pudiera afectar las operaciones.
Imagínense que se dañe un punto de venta.
Eso pudiera afectar a las operaciones, ya que las ventas de ese punto de venta no se efectuaría o se
retrasaría.
Y así podemos continuar con fallas en el suministro de energía.
Qué tan frecuente puede pasar?
En el caso de mi país medio es probable que ocurra y pudiera ocurrir una vez al mes y por igual, eso
depende de cada realidad, de cada empresa y cada país.
Entonces, cuál sería el impacto de una falla de energía, impacto medio que pudiera afectar las operaciones
o provocar pérdidas económicas?
En algunos casos, la línea que separa entre medio y alto es muy delgada.
Ya está.
En base al juicio de los auditores, definir cuál de las tres calificaciones les le correspondía al
riesgo.
Y así continuamos con pérdidas económicas significativas por fraude interno.
Le coloco alta porque es muy probable que ocurra, es muy probable que ocurran temas de fraudes a lo
interno de la empresa y más cuando existe una pobre segregación de funciones entre los empleados de
una empresa.
Entonces.
Cuál sería el impacto, ese impacto pudiera ser alto, ya que dependiendo del fraude que sea, pudiera
afectar desde las operaciones, dañar la reputación y provocar pérdidas económicas.
Todo eso pudiera pasar como un fraude, infección de software malicioso.
Esto es probabilidad alta porque pudiera ocurrir en cualquier momento.
Varias veces en el día.
Y en este caso, el impacto puede hacer desde tanto alto como medio.
Pero vamos a colocar medio considerando la realidad de nuestro minimarket.