El registro de riesgos de un proveedor de infraestructura en la nube contenía cuarenta y siete riesgos aceptados. Durante una revisión de gobernanza, el comité de riesgos examinó las fechas de aceptación y los historiales de revisión. Encontró que once de las cuarenta y siete aceptaciones llevaban más de dos años en el registro sin una revisión formal. Tres se habían aceptado hacía más de tres años. Las brechas de control asociadas a estas aceptaciones iban desde la ausencia de segmentación de red entre los entornos de desarrollo y producción, pasando por la falta de MFA en un sistema de autenticación heredado que tenía una 'remediación planificada para el Q3 del año de aceptación', hasta una vulnerabilidad conocida en una biblioteca de terceros para la que se esperaba 'un parche en un plazo de seis meses'. Ninguna de las remediaciones planificadas se había realizado. Ninguna de las aceptaciones se había revisado frente a los criterios de aceptación originales desde la firma inicial. Entre los responsables de negocio que habían firmado las aceptaciones originales había dos personas que ya habían dejado la organización y una que se había trasladado a otra división. Los riesgos no se habían reducido en tres años. Las aceptaciones simplemente habían sobrevivido a la intención que las originó.
¿Qué es realmente el uso indebido de la aceptación de riesgos?
La aceptación de riesgos es un mecanismo de gobernanza para reconocer formalmente que un riesgo específico o una brecha de control no se remediará dentro del plazo estándar de remediación, y para documentar la justificación de negocio de esa decisión, el nivel de riesgo residual, el responsable de negocio que asume la rendición de cuentas y las condiciones en las que se revisará la aceptación. Está concebida como un mecanismo de excepción de duración limitada: un reconocimiento formal de que existe una brecha, acompañado de una vía definida hacia la remediación final o de una decisión formal de que la brecha es aceptable de manera continua. No está concebida como un mecanismo para deshacerse de hallazgos cuya remediación es incómoda o costosa.
El patrón de uso indebido surge cuando las aceptaciones de riesgos se tratan como hallazgos cerrados en lugar de excepciones abiertas. Una vez que un riesgo se acepta y se documenta en el registro de riesgos con la firma del responsable de negocio, el proceso de gobernanza que creó la aceptación queda completo. El proceso de gobernanza que debería continuar (revisión periódica de las aceptaciones frente a los criterios originales, validación de que las remediaciones planificadas se han realizado, reevaluación de los niveles de riesgo a medida que evoluciona el panorama de amenazas, confirmación de que los responsables que aceptaron siguen en las funciones pertinentes) suele estar ausente. El riesgo permanece en el registro como 'aceptado', lo que desde la perspectiva del registro se ve idéntico para un riesgo aceptado ayer y para un riesgo aceptado hace tres años con un compromiso de remediación que nunca se cumplió.
El problema del deterioro de la titularidad es un modo de falla específico del uso indebido de la aceptación de riesgos. Las aceptaciones de riesgos las firman responsables de negocio que ocupan una función específica en el momento de la aceptación: asumen la rendición de cuentas por el riesgo residual creado por la brecha de control en el contexto de sus responsabilidades actuales. Cuando el responsable que aceptó cambia de función, su aceptación puede dejar de reflejar una titularidad informada. Su sucesor no ha revisado el riesgo, no ha asumido la rendición de cuentas y es posible que ni siquiera sepa que la aceptación existe. La aceptación permanece en el registro como responsabilidad de una función, pero la persona específica que evaluó y aceptó el riesgo ya no ocupa el puesto pertinente.
- Aceptaciones sin periodicidad de revisión: los riesgos aceptados no se revisan frente a los criterios de aceptación originales según un calendario definido
- Remediaciones planificadas sin seguimiento: no se da seguimiento a los compromisos de aceptación para una remediación futura
- Deterioro de la titularidad: los responsables de negocio que aceptaron cambian de función mientras las aceptaciones permanecen
- Nivel de riesgo no reevaluado: los niveles de riesgo aceptados no se actualizan a medida que cambian el panorama de amenazas o el entorno
- La aceptación como forma de deshacerse de hallazgos: hallazgos añadidos al registro de riesgos como aceptados en lugar de gestionarse como excepciones activas
Por qué es importante
El uso indebido de la aceptación de riesgos importa para TPRM porque genera registros de riesgos que parecen exhaustivos (todos los riesgos identificados están documentados y gestionados), mientras que en la práctica contienen una población creciente de aceptaciones antiguas que representan riesgos reales no mitigados que se mantienen sin supervisión activa. Un proveedor con un registro de riesgos que muestra cuarenta y siete riesgos aceptados ha documentado cuarenta y siete riesgos. Si esos riesgos se gestionan activamente como excepciones de duración limitada con remediaciones planificadas o se mantienen pasivamente como soluciones provisionales permanentes no es algo visible en el registro.
La dimensión regulatoria de terceros es cada vez más directa. Los reguladores de servicios financieros, los reguladores de salud y las autoridades de protección de datos que examinan los programas de gestión de riesgos de proveedores no solo preguntan si los riesgos se aceptan, sino si las aceptaciones se gestionan activamente: si tienen fechas de revisión, si se da seguimiento a las remediaciones planificadas y si los responsables que aceptaron siguen en las funciones pertinentes. Las aceptaciones antiguas sin registros de revisión constituyen por sí mismas un hallazgo de gobernanza, con independencia de que el riesgo subyacente se haya materializado.
Dónde se equivocan la mayoría de los equipos
La falla más constante es tratar la aceptación de riesgos como un punto final de gobernanza en lugar de un mecanismo de gobernanza. La aceptación crea una excepción documentada. Gestionar esa excepción requiere una supervisión continua: revisión, seguimiento, reevaluación. El marco de gobernanza que crea bien las aceptaciones y las gestiona mal tiene un proceso que comienza correctamente y luego se desvía.
- Tratar la aceptación de riesgos como un punto final de gobernanza en lugar de un mecanismo continuo
- Sin periodicidad de revisión de las aceptaciones: aceptaciones creadas sin fechas de revisión obligatorias
- Remediaciones planificadas sin seguimiento: compromisos de aceptación sin seguimiento posterior
- La titularidad no se actualiza cuando los responsables que aceptaron cambian de función
- Nivel de riesgo no reevaluado periódicamente en las aceptaciones antiguas
Cómo se ve una buena práctica
Los programas maduros de aceptación de riesgos tratan la aceptación como una excepción de duración limitada con fechas de revisión obligatorias, compromisos de remediación con seguimiento, validación del responsable actual y reevaluación periódica del nivel de riesgo, y no como una resolución definitiva del hallazgo.
- Fechas de revisión obligatorias de las aceptaciones: todas las aceptaciones vencen sin una renovación explícita
- Seguimiento de las remediaciones planificadas: los compromisos de aceptación se controlan frente a su cumplimiento
- Validación del responsable: en cada revisión se confirma que el responsable que aceptó sigue en la función pertinente
- Reevaluación del nivel de riesgo: los niveles de riesgo aceptados se revisan periódicamente frente al panorama actual de amenazas
- Informes de antigüedad de las aceptaciones: el comité de riesgos revisa las aceptaciones ordenadas por antigüedad para identificar excepciones obsoletas
Herramientas
Plataformas de GRC: ServiceNow GRC, MetricStream, Archer
Las plataformas de GRC ofrecen flujos de trabajo de aceptación de riesgos con fechas de vencimiento obligatorias: las aceptaciones que no se renuevan se escalan o vencen automáticamente, lo que impide que las aceptaciones antiguas persistan sin revisión. Para los profesionales de TPRM, preguntar si la plataforma de GRC del proveedor impone fechas de revisión obligatorias en las aceptaciones de riesgos ofrece una pregunta concreta sobre la gobernanza del ciclo de vida de las aceptaciones.
Analítica del registro de riesgos: Power BI, Tableau sobre datos de GRC
Los informes del registro de riesgos que ponen de relieve la antigüedad de las aceptaciones, la vigencia de los responsables y el estado de los compromisos de remediación proporcionan la visibilidad de gobernanza que permite a los comités de riesgos gestionar las aceptaciones en lugar de simplemente documentarlas. Para los profesionales de TPRM, solicitar el registro de riesgos del proveedor filtrado por aceptaciones con más de doce meses de antigüedad, junto con su historial de revisión, ofrece una visión inmediata de la calidad de la gestión de aceptaciones.
Desafíos de gobernanza
El desafío de gobernanza de la aceptación de riesgos es la desalineación de incentivos. La aceptación de riesgos ofrece un alivio inmediato frente a un hallazgo: el hallazgo queda documentado, firmado y fuera de la lista pendiente de remediación. No hay ninguna consecuencia inmediata por no darle seguimiento. Las estructuras de gobernanza que crean incentivos adecuados para la gestión de las aceptaciones (vencimiento obligatorio, escalamiento de las aceptaciones antiguas, informes al comité de riesgos) requieren un diseño deliberado y no surgen de forma natural del proceso de aceptación.
- Solicitar el registro de riesgos filtrado por aceptaciones con más de doce meses de antigüedad: la antigüedad de la aceptación como indicador de la calidad de la gestión
- Preguntar si las aceptaciones tienen fechas de revisión obligatorias
- Preguntar por la vigencia de los responsables de las aceptaciones: si los responsables que aceptaron siguen en las funciones pertinentes
- Preguntar por el seguimiento de los compromisos de remediación: si se da seguimiento a las remediaciones planificadas
- Incluir la gestión de las aceptaciones en la evaluación de TPRM: no solo si los riesgos se aceptan, sino cómo se gestionan
Si usted forma parte de un equipo pequeño
Solicite a sus proveedores de mayor riesgo su registro de riesgos filtrado por los riesgos aceptados con más de doce meses de antigüedad, con la fecha de aceptación, el responsable que aceptó y la fecha de la última revisión. Esa vista filtrada revelará de inmediato si la aceptación de riesgos se gestiona activamente como un mecanismo de excepción de duración limitada o se acumula como un repositorio de soluciones provisionales permanentes. Para cualquier aceptación con más de doce meses de antigüedad sin una revisión documentada, pregunte cuál es el estado actual de la brecha de control asociada.
- Solicitar el registro de riesgos filtrado por aceptaciones con más de doce meses de antigüedad, con las fechas de aceptación y de la última revisión
- Solicitar el estado actual de las brechas de control asociadas a las aceptaciones antiguas
- Preguntar si las aceptaciones tienen fechas de revisión obligatorias en la plataforma de GRC
- Preguntar si los responsables que aceptaron riesgos hace más de doce meses siguen en las funciones pertinentes
Qué exigir
Pregunte directamente:
"¿Puede proporcionar su registro de riesgos filtrado por los riesgos aceptados con más de doce meses de antigüedad, incluida la fecha de aceptación, el responsable de negocio que aceptó y la fecha de la revisión formal más reciente de cada aceptación?"
"En el caso de los riesgos aceptados que incluyen un compromiso de remediación planificada, ¿cómo se da seguimiento a esos compromisos y puede mostrar el estado actual de las remediaciones planificadas de sus aceptaciones abiertas más antiguas?"
Evidencia que debe esperar
- Registro de riesgos filtrado por aceptaciones antiguas, con fechas e historial de revisión
- Seguimiento de los compromisos de remediación en las aceptaciones con remediación planificada
- Configuración del vencimiento de aceptaciones en la plataforma de GRC
- Registros de validación de la vigencia de los responsables en las aceptaciones antiguas
A un proveedor cuyo registro de riesgos muestra cuarenta y siete riesgos aceptados se le debe preguntar cuántos tienen más de doce meses de antigüedad y cuándo se revisó cada uno por última vez. El número de aceptaciones describe el alcance de las excepciones documentadas. La antigüedad y el historial de revisión indican si se están gestionando.
Cómo demostrarlo
- Registros de revisión de aceptaciones antiguas
- Registros de seguimiento de los compromisos de remediación
- Documentación del vencimiento y la renovación de las aceptaciones
- Informes de antigüedad de las aceptaciones para el comité de riesgos
Conclusión clave
La aceptación de riesgos documenta la excepción. Gestionar la excepción requiere una supervisión continua que el proceso de aceptación no genera automáticamente. Once aceptaciones con más de dos años, tres con más de tres años, remediaciones planificadas que nunca se realizaron y responsables que aceptaron y se trasladaron a otras funciones hace dos años: son aceptaciones que se crearon correctamente y no se gestionaron en absoluto. El registro de riesgos las muestra como 'aceptadas', lo que se ve igual tanto si la aceptación se creó ayer con un plan de remediación activo como si se creó hace tres años con una remediación planificada que nunca se ejecutó. Las fechas de revisión obligatorias, el seguimiento de los compromisos de remediación y la validación de la vigencia de los responsables convierten la aceptación de un mecanismo para deshacerse de hallazgos en un mecanismo de gestión de excepciones. La aceptación es la documentación. La gestión es la gobernanza.