Muy bien, entonces, ya luego de haber identificado la probabilidad y el impacto de cada uno de los
riesgos, entonces debemos de calcular el nivel de riesgo, que es la fase clave de la evaluación de
riesgo.
Para esto contamos con una tabla, una pequeña tabla como ésta que tenemos acá, que nos va, nos va
a ayudar a determinar, tomando como base la probabilidad tiene impacto.
Pudiéramos saber cual sería el nivel de riesgo de cada uno de ellos.
Con la combinación, por ejemplo, tenemos que en cuanto a probabilidad tenemos bajo, medio y alto
cuánto impacto tenemos impacto bajo, medio y alto.
Cuando triangula, vamos.
La combinación entre cada uno de ellos no nos va a indicar el nivel de riesgo o riesgo cuyo cuya probabilidad
sea baja y cuyo impacto sea alto.
Será un riesgo medio.
Entonces, para cada escala tenemos un color amarillo, significa abajo medio, es verde y alto.
Le corresponde el color rojo.
Entonces colocamos nuestra tablita aquí para entonces hacer la comparación de esta manera.
Para nuestro riesgo de interrupciones en las operaciones por averías en los equipos informáticos, tenemos
que es de probabilidad baja para probabilidad baja.
Impacto medio, impacto medio.
Entonces, en este caso, nuestro nivel de riesgo será bajo.
En cuanto a la interacción, hacer las operaciones por falla en el suministro de energía probabilidad
es media.
La idea y el impacto medio también medio y medio.
Los da medio.
Alto y alto.
Nos da alto y si comparamos alto.
Probabilidad alta.
Impacto medio, el nivel de riesgo sería alto.
Perfecto.
Y ya con esto logramos valorar cada uno de los riesgos que identificamos.
Entonces el siguiente y último paso es correlacionar esos riesgos con los controles que tiene la organización
para mitigar los roces.
Es algo que también podemos obtener en reuniones de levantamiento de información o en consulta con la
alta gerencia, el director o jefe del Departamento de Tecnología y de los departamentos involucrados.
Entonces nos quedaría algo como esto, por ejemplo, para nuestro riesgo de interrupciones en las operaciones
por avería a los equipos informáticos, cuyo nivel de riesgo es bajo el mantenimiento preventivo de
los equipos, es el control de la gerencia para mitigar el riesgo de las averías en los equipos, para
minimizar en este caso la familia de los equipos.
En cuanto a la falla en el suministro de energía tienen puesa utilizando puede para mitigar ese riesgo.
Fraude interno al nivel de riesgo es alto y para eso tienen controles de acceso.
En el caso de los controles que desplegamos para cada uno de los riesgos, la organización puede tener
varios controles para mitigar un mismo riesgo o también puede darse el caso de que tenga riesgo, para
los cuales la organización no ha identificado o no ha implantado controles necesarios para mitigarlo.
En ese caso, debemos de levantar una recomendación para que se implementen controles necesarios para
mitigar esos riesgos que identificamos.
Entonces, ya sabiendo el nivel de riesgo y los controles implantados por la gerencia para mitigar esos
riesgos doces, tenemos completada nuestra evaluación de riesgo y podremos priorizar cuáles son aquellos
riesgos más significativos para la empresa, de manera que podamos seleccionarlo para validar los controles,
por ejemplo, en el caso del fraude interno, cuyo riesgo es alto.
El control es.
Controles de acceso.
En una planificación de auditoría deberíamos de incluir la revisión de los controles de acceso de los
empleados.
Tomando en cuenta que el nivel de riesgos alto.
A esto se le llama una auditoría basada en riesgo.
Priorizamos las revisiones de los controles implementados para mitigar aquellos riesgos que son de mayor
impacto para las empresas.
Entonces de esta manera podemos preparar una auditoría mucho más eficiente y que agravió mucho más valor
a nuestra empresa y también de esa manera podemos determinar que validar y que no es necesario validar.
En el caso de la avería de los equipos informáticos cuyo nivel es bajo y los controles son el mantenimiento
preventivo de los equipos, ya tomando en cuenta su nivel de riesgo.
Podemos descartar para un plan de auditoria la revisión de ese control, aunque en revisiones posteriores
lo podamos incluir.
Pero siempre es importante revisar los controles más importantes para la organización.
Ya con esta información podemos dar como concluida nuestra evaluación de riesgo.
Le voy a mostrar cómo se vería básicamente esta información con una plantilla.
Es él con un poco más de información.
Esta plantilla de Excel se las voy a colocar en el módulo para que la puedan descargar y utilizar donde
tendrán lo necesario para completar su matriz de riesgo.
Esta plantilla tiene los siguientes campos número proceso.
Departamento responsable.
El riesgo, que es la consecuencia de la casa.
Los controles relacionados a cada uno de los riesgos.
Probabilidad, impacto y el nivel de riesgo
para nuestro caso de estudio que completamos ahora.
Identificamos estos riesgos.
De esta manera se puede completar la plantilla de información, también se la voy a colocar para que
la puedan descargar y.
Y y le sirva de material de estudio.
Dentro de los riesgos identificados está la integración de las operaciones, el robo de información,
robo de equipos tecnológico.
Destrucción de datos, pérdidas económicas significativas, daños ocupacionales y de confianza, pérdida
de competitividad en el mercado español, divulgación de información confidencial, daños a los activos
de información por inundación, tormenta o rayos eléctricos.
Esta es la tabla de los criterios que definimos.
Y nuestra tablita para identificar al nivel de riesgo.
Espero esta información les sea de mucha utilidad.