RCMM
Autorizar un riesgo no significa darlo por cerrado
RCMM permite gestionar y seguir las medidas mitigantes asociadas a riesgos autorizados en SAP, conectando responsables, documentación, evidencias y revisiones para mantener el riesgo bajo supervisión.
Un riesgo autorizado sigue siendo un riesgo
No todos los conflictos pueden eliminarse sin afectar a la operación. En determinados casos, la organización decide aceptar un riesgo porque existe una necesidad de negocio que lo justifica.
El problema aparece cuando esa decisión se convierte en el último paso: el riesgo permanece, pero la medida mitigante, la evidencia o la revisión posterior dependen de controles manuales y procesos dispersos.
Con el tiempo, justificar por qué el riesgo sigue autorizado, qué control se está aplicando y quién ha revisado su cumplimiento puede convertirse en una tarea especialmente compleja ante una auditoría.
Del riesgo autorizado al riesgo supervisado
RCMM estructura el seguimiento de los riesgos que deben permanecer autorizados para que la mitigación no dependa únicamente de controles manuales o revisiones puntuales.
Medidas asociadas al riesgo
Relacionar el riesgo autorizado con los controles o medidas mitigantes definidos para mantenerlo bajo supervisión.
Responsabilidades claras
Identificar quién debe revisar la actividad o documentación asociada al control.
Evidencia centralizada
Mantener documentos, revisiones e información de control vinculados al riesgo que los origina.
Más contexto para auditoría
Facilitar la reconstrucción del riesgo, la medida aplicada y las revisiones realizadas cuando se necesita justificar la decisión.
Mitigar no es marcar una casilla. Es mantener un control vivo.
RCMM parte de riesgos previamente autorizados y estructura alrededor de ellos las medidas, responsables, documentos y evidencias que permiten revisar su situación a lo largo del tiempo.
Identificar
Partir del riesgo que ha sido previamente analizado y autorizado dentro del modelo.
Mitigar
Asociar la medida o control compensatorio definido para esa situación.
Supervisar
Recoger actividad, documentación o evidencias relacionadas con el riesgo autorizado.
Revisar
Registrar la revisión del responsable y mantener evidencia disponible para futuras comprobaciones.
Diferentes controles, una misma necesidad: mantener evidencia
Según el tipo de riesgo y el proceso afectado, la supervisión puede requerir diferentes controles, revisiones y evidencias para mantener el contexto de la decisión y facilitar su seguimiento.
Un control mitigante necesita demostrar que sigue funcionando
La existencia de una medida no es suficiente por sí sola. RCMM permite mantener el seguimiento de la actividad, la documentación y las revisiones asociadas al riesgo.
Qué ocurrió
Mantener información sobre acciones relevantes realizadas por usuarios vinculados a riesgos autorizados.
Qué medida se aplicó
Relacionar cada riesgo con el control o medida mitigante que debe compensar su exposición.
Quién lo comprobó
Registrar las revisiones efectuadas por los responsables y conservar el resultado asociado al riesgo.
SARC identifica y gobierna el riesgo. RCMM continúa donde la aceptación no termina.
Las medidas mitigantes gestionadas en RCMM se vinculan a riesgos definidos dentro del modelo SoD de SARC, conectando la decisión de aceptar un riesgo con su seguimiento posterior.
Identificar y decidir
El riesgo se identifica dentro de la matriz, se analiza y puede aceptarse cuando existe una justificación de negocio.
Mitigar y seguir
La medida mitigante, sus responsables, documentos y evidencias permiten mantener el riesgo autorizado bajo supervisión.
RCMM completa el tratamiento del riesgo autorizado dentro del modelo de gobierno de APLIRH Suite. Explorar APLIRH Suite →
«Riesgo mitigado» no debería significar «riesgo olvidado»
En un proyecto, aceptar un riesgo puede ser una decisión perfectamente válida. Lo difícil viene después: mantener actualizado el control, conservar la evidencia y comprobar que la situación que justificó la excepción sigue siendo la misma.
Cuando esa revisión depende de hojas, correos o conocimiento individual, el control puede existir sobre el papel pero resultar difícil de demostrar o mantener en el tiempo.
Por eso, la mitigación necesita responsables, periodicidad y evidencia. El objetivo no es fingir que el riesgo ha desaparecido, sino saber por qué permanece autorizado y qué estamos haciendo para mantenerlo bajo control.
Cuando aceptar el riesgo es necesario, pero perder su seguimiento no lo es
¿Sabes qué está ocurriendo hoy con los riesgos que ya autorizaste?
Si las medidas mitigantes, sus responsables o sus evidencias siguen dependiendo de controles manuales, podemos revisar contigo cómo estructurar el seguimiento de esos riesgos.