Casi toda empresa tiene una matriz de riesgos. Casi ninguna la vuelve a abrir después del taller donde se hizo. La diferencia no está en la metodología: está en si los riesgos están conectados a algo que ocurre todos los días.
La misma escala que usan el módulo de contratos y el de PLD, para que un riesgo alto signifique lo mismo en toda la plataforma.
Probabilidad e impacto de 1 a 10, puntaje de 1 a 100 y clasificación en bajo, medio, alto o crítico. La misma escala califica el riesgo de un contrato, de modo que los números se pueden comparar entre módulos.
Un riesgo sin control es una preocupación. Con sus controles documentados, el riesgo residual deja de ser una intuición y pasa a ser algo que se puede discutir en un consejo con datos.
Cada acción de mitigación tiene responsable y fecha compromiso, y el centro de alertas vigila esa fecha. Un plan sin responsable ni fecha no es un plan: es una lista de buenas intenciones.
Comparte el catálogo de actividades vulnerables con el módulo de PLD, así que el enfoque basado en riesgos que exige la LFPIORPI y la matriz de riesgos de la empresa no son dos ejercicios separados que se contradicen.
Los riesgos se filtran por el nivel de acceso de cada usuario, pero lo asignado siempre se ve: si te nombraron responsable de un riesgo, lo ves aunque lo haya capturado otra área.
Con su descripción, su ámbito y la actividad o el proceso al que pertenece.
Probabilidad e impacto de 1 a 10. El puntaje y la clasificación salen solos, con la misma regla para todos.
Qué existe hoy para contenerlo, y qué tanto lo contiene. De ahí sale el riesgo residual.
Las acciones tienen responsable y fecha. Las fechas las vigila el centro de alertas, no el calendario personal de alguien.
La LFPIORPI exige un enfoque basado en riesgos para graduar la debida diligencia. Los sistemas de cumplimiento y las políticas de integridad piden identificar y administrar los riesgos de la organización. Y cualquier auditoría interna seria empieza por preguntar cuáles son los riesgos y qué se hace con ellos.
Son requerimientos distintos que pueden atenderse con un solo ejercicio bien llevado, siempre que la matriz esté viva. Una matriz que se actualiza una vez al año, en un archivo que solo abre una persona, cumple el requisito formal y no sirve para nada más.
Constancia es una herramienta tecnológica de apoyo. No constituye ni sustituye asesoría legal, fiscal, laboral o regulatoria, y su uso por sí mismo no garantiza el cumplimiento de obligaciones legales específicas.
Probabilidad e impacto se califican de 1 a 10, el puntaje resultante va de 1 a 100 y la clasificación es baja, media, alta o crítica. Es deliberadamente la misma escala que usa el módulo de gestión de contratos para calificar el riesgo de un contrato, de modo que los niveles sean comparables entre módulos en lugar de significar cosas distintas en cada pantalla.
Sí, y comparte con el módulo de PLD el catálogo de actividades vulnerables, de manera que el enfoque basado en riesgos del cumplimiento antilavado y la matriz de riesgos general de la empresa no terminen siendo dos ejercicios separados que se contradicen. La valoración de qué riesgos aplican a tu operación corresponde a tu empresa y a su oficial de cumplimiento.
Porque las acciones de mitigación tienen responsable y fecha compromiso, y esas fechas las vigila el mismo centro de alertas que vigila los vencimientos de todos los demás módulos. La acción vencida le aparece a quien responde por ella en su resumen diario, junto con lo demás que tiene pendiente.
Un riesgo calificado, su control, su plan de mitigación y la alerta que le llega al responsable cuando la fecha se acerca.