Comprenda la exposición, acuerde la respuesta y mantenga visibles las responsabilidades hasta la verificación independiente.
El objetivo es una meta, no un resultado alcanzado.
Un antiguo empleado podría conservar el acceso a nóminas porque la notificación de salida y la eliminación de la cuenta ocurren por separado. Explique la causa, el posible evento y la consecuencia empresarial. El siguiente revisor necesita ese contexto junto a la puntuación.
Registre causa, evento, consecuencia, servicio afectado y unidad responsable.
Registre causa, evento, consecuencia, servicio afectado y unidad responsable. Explique los controles existentes y el fundamento de la evaluación. El ejemplo de Omar hace comprensible la preocupación sin dar acceso a registros ajenos.
Separe la exposición inherente, actual y objetivo.
Separe la exposición inherente, actual y objetivo. Cada evaluación conserva la versión del método, la justificación, la próxima revisión y las referencias a evidencias aprobadas. Cambiar el método no reescribe evaluaciones anteriores. El objetivo no representa una mejora conseguida.
Guarde y envíe la evaluación antes de revisar la aceptación.
Guarde y envíe la evaluación antes de revisar la aceptación. El envío bloquea la edición hasta su devolución o retirada. En el ejemplo, Alex registra una aceptación temporal por encima del apetito como administrador independiente del tenant. La exposición sigue visible y la aceptación no puede superar la próxima revisión.
Planifique acciones con resultados, responsables, fechas y dependencias.
Planifique acciones con resultados, responsables, fechas y dependencias. Otro paquete de nóminas muestra verificada la acción de eliminación de cuentas asignada a Maya, mientras la confirmación del flujo del proveedor por Sam sigue planificada. No está vinculado al riesgo mostrado. Compartir temática no crea una relación registrada.
El responsable presenta evidencia actual aprobada.
El responsable presenta evidencia actual aprobada. Un revisor independiente comprueba esa misma evidencia y verifica el trabajo o lo devuelve. La evidencia modificada requiere otra revisión. Todas las acciones del paquete deben verificarse antes del proceso propio de resolución y cierre independiente del problema.
Una acción verificada no reduce automáticamente la puntuación.
Una acción verificada no reduce automáticamente la puntuación. Revise exposición restante, evidencias cambiadas, lecciones de incidentes y aceptaciones que vencen. Reabra el riesgo aceptado antes de reevaluarlo, conservando la decisión anterior y el motivo de la nueva evaluación.
Elija un paso para ver el registro real, la persona responsable y el motivo de la siguiente acción.
Omar explica cómo una eliminación tardía de cuentas puede mantener el acceso de un exempleado a las nóminas. La evaluación conservada registra causa, suceso, consecuencia y justificación. La exposición actual es 12; el objetivo es 3.
El revisor entiende la evaluación y distingue la exposición actual de la mejora que se pretende alcanzar.
El valor 3 es un objetivo, no un resultado conseguido.
Espacio de trabajo ficticio · Interfaz en inglés
Omar explica cómo una eliminación tardía de cuentas puede mantener el acceso de un exempleado a las nóminas. La evaluación conservada registra causa, suceso, consecuencia y justificación. La exposición actual es 12; el objetivo es 3.
El revisor entiende la evaluación y distingue la exposición actual de la mejora que se pretende alcanzar.
El valor 3 es un objetivo, no un resultado conseguido.
Abrir la pantalla completa ↗El tratamiento identifica a Omar, la fecha objetivo y la conciliación prevista entre bajas y accesos a nóminas. Un revisor autorizado registra una aceptación temporal mientras avanza el trabajo. La exposición restante sigue visible.
La siguiente revisión tiene un responsable, un plazo y una decisión claros que reconsiderar.
En este ejemplo, el riesgo no tiene enlaces guardados a tickets ni controles.
Abrir la pantalla completa ↗En el paquete independiente de acciones de nóminas, Maya presenta la prueba de eliminación de cuentas y Alex la verifica de forma independiente. Confirmar el flujo diario de bajas del proveedor sigue planificado. El paquete no está terminado.
Responsables y revisores distinguen el trabajo presentado, los resultados verificados y las acciones pendientes.
Ejemplo independiente: una acción verificada y otra planificada. Terminar el trabajo no recalcula automáticamente el riesgo.
Abrir la pantalla completa ↗El ejemplo utiliza el método v1 y un umbral de apetito de 6/25. Son posiciones de evaluación distintas, no un gráfico de mejora antes/después. La exposición actual supera el apetito; aceptarla exige un administrador independiente del tenant.
Posición inherente registrada en esta evaluación.
Exposición restante registrada; todavía no ha bajado al objetivo.
Posición prevista tras un tratamiento eficaz, no un resultado verificado.
Los indicadores, incidentes y hallazgos ayudan al equipo a priorizar. Cada uno conserva su propia fuente e historial de revisión.
Conserve umbrales, fuentes de medición y vigencia. Incumplir un objetivo abre un problema vinculado o actualiza la respuesta existente. Las señales habituales de riesgo no cambian las conclusiones de los controles; las pruebas de control configuradas expresamente sí pueden hacerlo. El cierre requiere una lectura reciente dentro del objetivo, trabajo correctivo cerrado y revisión independiente.
Separe ocurrencia, detección y notificación. Distinga cuasiincidentes de eventos realizados, y pérdidas confirmadas en SAR de recuperaciones y estimaciones. Solicite reevaluación del riesgo vinculado si las lecciones lo justifican. El cierre operativo con acciones correctivas abiertas exige una transferencia independiente vigente.
Siga los enlaces de origen permitidos hacia el trabajo correctivo. Los hallazgos de proveedores mantienen su propia revisión y tratamiento. Los resultados de parches usan el alcance declarado de activos y actualizaciones; cerrar un hallazgo o una acción no prueba la cobertura de todo el parque.
Los responsables actúan dentro de su alcance autorizado. El propietario del riesgo, el evaluador y el remitente no pueden aprobar su propia aceptación. Los responsables de acciones no verifican su propio trabajo. Los revisores independientes autorizados conservan la decisión; auditores y directivos consultan solo los registros o vistas de lectura que les corresponden.
Un responsable GRC o administrador del tenant, activo e independiente, puede aceptar dentro del apetito. Por encima se requiere un administrador independiente del tenant. La evaluación, el método, las evidencias y el vencimiento deben cumplir las reglas publicadas del tenant.
No. El trabajo verificado respalda una nueva evaluación; no cambia la puntuación ni cierra automáticamente el riesgo de origen. El riesgo de nóminas y el paquete de acciones mostrados son ejemplos separados.
Solicite una nueva fecha con un motivo. El plazo original sigue vigente hasta su aprobación independiente. Las excepciones conservan su justificación y vencimiento; no representan trabajo terminado.
No. Puede generar seguimiento o solicitar una reevaluación, pero el responsable sigue explicando la exposición. La solicitud derivada del incidente se conserva con el riesgo y se atiende mediante una nueva evaluación guardada.
Siga la evaluación, las personas responsables y las evidencias necesarias para decidir el siguiente paso.