Plan de tratamiento de riesgos: estrategias y ejemplos reales

Identificar riesgos es la parte fácil. Cualquier equipo, en un taller de dos horas, saca treinta riesgos de la galera. Lo difícil viene después: decidir qué se hace con cada uno, quién lo hace y para cuándo. Eso es el plan de tratamiento de riesgos, y es donde la mayoría de las matrices se quedan a mitad de camino.

Qué es un plan de tratamiento de riesgos

Es el conjunto de acciones concretas que una organización define para modificar el nivel de un riesgo hasta llevarlo dentro de su apetito. En el proceso de ISO 31000 es la etapa que sigue a la evaluación: primero priorizás, después tratás. No es un documento aparte ni un anexo decorativo — es la columna que convierte la matriz en trabajo asignado.

Un plan de tratamiento que sirve tiene siempre cuatro cosas: una estrategia elegida explícitamente, acciones concretas, un responsable con nombre y apellido, y una fecha. Si falta alguna de las cuatro, no es un plan, es una intención.

Las cuatro estrategias de tratamiento

Antes de escribir acciones hay que decidir el enfoque. La literatura las nombra de varias formas, pero en la práctica son cuatro:

• Mitigar (reducir). Es la más frecuente. Se implementan controles que bajan la probabilidad, el impacto o ambos. El riesgo sigue existiendo, pero con menor exposición.
• Transferir (compartir). Se traslada total o parcialmente el impacto económico a un tercero: un seguro, una cláusula de penalidad en un contrato, un proveedor que asume el SLA. Ojo: se transfiere el costo, no la responsabilidad reputacional ni la legal.
• Evitar. Se elimina la fuente del riesgo: no se lanza ese producto, no se opera en ese mercado, no se contrata a ese proveedor. Es la más contundente y la más cara en términos de oportunidad perdida.
• Aceptar. Se decide convivir con el riesgo porque el residual ya está dentro del apetito o porque tratarlo cuesta más que el daño esperable. Aceptar es una decisión válida siempre que quede documentada con responsable, fecha y justificación.

Hay una quinta opción que rara vez se nombra pero existe: explotar el riesgo, cuando la incertidumbre tiene lado positivo (una oportunidad de mercado, un cambio regulatorio que te favorece). ISO 31000 habla de riesgo como efecto de la incertidumbre, no solo como amenaza.

Cómo elegir la estrategia

La decisión sale de cruzar tres datos: el nivel del riesgo evaluado, el apetito definido por la dirección y el costo del tratamiento. Una guía práctica que funciona bien en PyMEs:

• Riesgo crítico o alto: mitigar sí o sí, y si el residual proyectado sigue alto, evaluar evitar o transferir en paralelo.
• Riesgo medio: mitigar con controles de bajo costo, o transferir si existe un instrumento razonable (seguro, contrato).
• Riesgo bajo: aceptar y documentar. Gastar en tratar riesgos bajos es la forma más silenciosa de quemar presupuesto de compliance.

El test que evita la mayoría de los errores es simple: ¿el costo del tratamiento es menor que el daño esperable? Si un control cuesta más que la pérdida que evita, la respuesta correcta casi siempre es aceptar o transferir.

Tres ejemplos reales

Ejemplo 1 — Dependencia de un único proveedor de logística. Probabilidad 3, impacto 5. Estrategia elegida: mitigar. Acciones: homologar un segundo proveedor para las rutas críticas, mover el 20% del volumen a ese segundo proveedor para mantenerlo activo, y agregar una cláusula de preaviso de 60 días en la renovación del contrato principal. Responsable: gerencia de operaciones. Plazo: cuatro meses. Residual proyectado: de 15 a 6.

Ejemplo 2 — Ransomware sobre los servidores de producción. Probabilidad 3, impacto 5. Estrategia: mitigar + transferir. Acciones de mitigación: backups inmutables con prueba de restauración trimestral, MFA en todos los accesos administrativos y segmentación de red. Transferencia: contratación de una póliza de ciberriesgo que cubra la interrupción operativa. Responsable: IT, con firma de dirección para la póliza. Plazo: seis meses.

Ejemplo 3 — Multa por incumplimiento en el tratamiento de datos personales. Probabilidad 2, impacto 4. Estrategia: mitigar. Acciones: relevamiento de qué datos se guardan y por cuánto tiempo, política de retención con borrado automático, y cláusula de tratamiento de datos en los contratos con proveedores que acceden a información de clientes. Responsable: legales junto a IT. Plazo: tres meses. Residual proyectado: 3, dentro del apetito, con revisión anual.

Los errores que arruinan un plan de tratamiento

• Acciones sin verbo. "Mejorar la seguridad" no es una acción. "Activar MFA en las cuentas de administrador antes del 30 de septiembre" sí lo es.
• Responsable = un área. Si el dueño es "IT", el dueño es nadie. Tiene que haber una persona.
• No recalcular el residual. Un plan cerrado que no actualiza el score deja la matriz mostrando una exposición vieja.
• Tratar todo. Si hay cuarenta riesgos y cuarenta planes abiertos, no se va a ejecutar ninguno. Priorizá los del cuadrante crítico y aceptá formalmente el resto.
• Aceptar sin dejar rastro. La aceptación no documentada es, para un auditor, indistinguible del olvido.

Del plan al seguimiento

Un plan de tratamiento vive o muere en el seguimiento. Necesita estados (pendiente, en curso, cerrado), evidencia de que la acción se ejecutó, y una revisión periódica que compare el residual proyectado contra el real. Sostener eso en una planilla compartida es posible durante unas semanas; después nadie sabe qué versión mira ni qué acción venció.

En Ryskos cada riesgo lleva sus planes de acción con responsable, fecha y estado, y la mitigación asociada recalcula el riesgo residual de forma automática cuando la acción se cierra. La evidencia se adjunta al plan, así que cuando un cliente o un auditor pide "mostrame qué hicieron con este riesgo", la respuesta está en un solo lugar y con historial.

En resumen

Tratar un riesgo es elegir entre mitigar, transferir, evitar o aceptar, y traducir esa elección en acciones con dueño y fecha. Lo que distingue un plan real de una lista de buenas intenciones es la trazabilidad: quién, cuándo, con qué evidencia y cuánto bajó el riesgo residual.

Si querés armar tus planes de tratamiento sobre una matriz que se actualiza sola, Ryskos ofrece 30 días gratis y sin tarjeta para probarlo con los riesgos reales de tu empresa.