Elegir respuestas al riesgo
Justificar una medida proporcionada y analizar el riesgo remanente.
La idea que vas a usar
Las normas reformadas en 2026 incorporan la valoración de riesgos para la integridad en el SEVRI. Las medidas deben conectarse con causas y exposición; documentar una acción no prueba su efectividad. Fuente primaria.
Elegir una respuesta proporcionada
Una medida debe relacionarse con el evento, sus causas o sus consecuencias y ser jurídicamente viable. Como categorías de trabajo, puedes estudiar modificar la actividad que genera exposición, reducir la probabilidad, reducir el impacto o compartir determinados efectos mediante instrumentos válidos. La aceptación necesita criterio, autoridad y revisión; no convierte en admisible un incumplimiento.
Compara alternativas por efecto esperado, costo, tiempo, capacidades y dependencias. Contratar un servicio de recuperación puede atender disponibilidad; no soluciona por sí solo permisos de acceso mal asignados. Transferir alguna consecuencia económica tampoco traslada automáticamente la responsabilidad institucional de prestar el servicio o cumplir la ley.
Riesgos para la integridad
La norma 3.3 incorporada en 2026 trata su valoración dentro del SEVRI. En los casos del curso examina condiciones que podrían facilitar favoritismo, conflictos de interés, fraude o uso indebido de recursos. Identificar una exposición sirve para prevenir y gestionar; no equivale a atribuir una conducta ilícita a una persona.
Una salvaguarda debe poder comprobarse. «Promover valores» expresa una intención amplia; «revisar modificaciones excepcionales del orden de atención con autorización y trazabilidad» permite analizar una acción, su responsable y su evidencia. Ambas pueden formar parte de una estrategia, pero tienen funciones distintas.
Segundo caso resuelto: respaldo y continuidad
Para una caída del portal se propone hacer respaldos diarios. El respaldo puede ayudar a recuperar datos, pero solo si se conserva adecuadamente y se puede restaurar. El servicio también necesita condiciones para continuar o recuperarse: responsables, capacidad técnica y procedimientos probados. Una copia nunca restaurada no demuestra el tiempo de recuperación esperado.
La valoración residual actual considera lo que ya funciona. El escenario futuro describe lo que se espera después de implantar y probar medidas. Presenta ambos en columnas distintas. Si el riesgo futuro parece aceptable, todavía falta ejecutar y verificar: aprobar un plan no modifica por sí solo la exposición presente.
Fundamento y ampliación: Normas de control interno, 3.2 a 3.4; complementar con directriz SEVRI 4.5. Los ejemplos y métodos de trabajo de esta sección son propuestas didácticas.
Exposición residual y viabilidad del tratamiento
La respuesta debe ser compatible con competencia, legalidad, recursos y continuidad del servicio. Aceptar una exposición implica una decisión fundada dentro de la autoridad correspondiente, con condiciones y revisión. No convierte un incumplimiento obligatorio en una alternativa legítima por aparecer «bajo» en la matriz.
Distingue medidas de prevención, detección, respuesta y recuperación según el evento. Una investigación posterior no evita necesariamente el primer perjuicio; una póliza puede cubrir parte del efecto económico sin restablecer oportunamente el servicio. El diseño requiere un conjunto proporcionado de medidas y una explicación del riesgo que permanece.
Escenarios combinados
Para integridad, considera colusión, elusión por autoridad, cambios de datos maestros y accesos privilegiados. Una separación formal puede perder efecto si se comparten credenciales o si la revisión utiliza información manipulada por quien ejecuta la operación. Las compensaciones deben examinarse bajo esos escenarios, no solo bajo error accidental.
Caso analítico
El plan asigna una segunda aprobación a la misma persona mediante otra cuenta. La apariencia de doble control no cambia la independencia de la comprobación. La medida necesita responsables y accesos coherentes, evidencia del contraste y capacidad de detectar una excepción. El residual futuro no puede reducirse basándose únicamente en la nueva pantalla de aprobación.
Practica antes de abrir la respuesta
Elige dos medidas, identifica la causa atendida y compara viabilidad, costo y efecto. Explica qué riesgo quedaría si dos personas colaboraran para eludirlas.
Comparar con una respuesta razonada
Permisos diferenciados limitan modificaciones no autorizadas; una revisión independiente de excepciones permite detectar desvíos. La colusión puede eludir ambas medidas y requiere considerar señales adicionales y trazabilidad. El riesgo residual es el que permanece considerando controles; su reducción estimada necesita luego comprobación. No asignes automáticamente un residual bajo por haber escrito un plan.
Revisa si tu respuesta identifica el objetivo, utiliza evidencia y declara sus supuestos. Las alternativas justificadas también pueden ser válidas.
Explicación del análisis
Respuesta: Considerando dependencia y falla común posible. La fuente compartida puede invalidar ambas revisiones simultáneamente. No supongas independencia sin fundamento.
Aplicación a un caso nuevo
Explicación de la aplicación
Respuesta: Un escenario futuro todavía estimado. La reducción futura es una hipótesis. El residual actual depende de controles existentes y de su funcionamiento.
Lectura primaria recomendada
Normas de control interno: texto con reformas de 2026. Norma 3.3, riesgos para la integridad; no la confundas con la antigua numeración de planificación.
Edición normativa de consulta: 2 de noviembre de 2026. Conserva número, versión y fecha al citar una obligación. Consulta el alcance de las fuentes.