Un evento, sus causas y sus consecuencias, en un solo registro
Falta de control de acceso y un proveedor sin cláusulas de tratamiento vigentes.
Notificación a la Agencia y pérdida de confianza del titular.
El registro único de la exposición de privacidad de la organización
Gestión de riesgos centraliza el inventario de riesgos de privacidad de la organización. Cada riesgo se documenta a partir de un evento — qué podría ocurrir —, sus causas, sus consecuencias, una categoría y una evaluación de probabilidad e impacto que determina su nivel inherente.
Este módulo reemplaza la administración de riesgos que antes vivía dentro del RAT: los riesgos ya identificados en una actividad de tratamiento se muestran aquí automáticamente y conservan sus vínculos, sin perder trazabilidad ni obligar a un doble registro.
La Ley 21.719 exige que la organización identifique y gestione los riesgos asociados a sus tratamientos de datos personales, con especial atención a aquellos de alto impacto que requieren una evaluación previa. Un inventario disperso o informal no permite demostrar ese ejercicio ante una fiscalización.
Un registro centralizado, con riesgo inherente y residual visibles, con vínculo a la actividad de tratamiento que lo origina y a los controles definidos, es lo que sostiene una gestión de riesgos defendible frente a la Agencia.
Un evento, con las causas que lo originan y las consecuencias que produce
Al crear un riesgo se define su nombre, una categoría, el o los RAT asociados y el evento — qué podría ocurrir. Bajo el modelo bow-tie, varias causas pueden converger en ese mismo evento, y ese evento puede derivar en varias consecuencias distintas.
- Nombre, categoría, RAT asociados y evento son obligatorios para crear el riesgo
- Se debe agregar al menos una causa y una consecuencia antes de guardar
Probabilidad e impacto determinan el nivel de exposición inicial
Cada riesgo se evalúa con una probabilidad inherente y un impacto inherente, ambos en una escala de cinco niveles. Ese cruce determina el nivel de riesgo inherente — la exposición estimada antes de aplicar controles — visible de inmediato en el inventario.
- La escala va de 1 · Muy baja a 5 · Muy alta, tanto para probabilidad como para impacto
- El nivel inherente queda disponible como filtro en el listado completo
El aviso "Este módulo reemplaza la administración de riesgos dentro de RAT" se muestra en el listado mientras existan riesgos migrados.
Los riesgos ya identificados en el RAT llegan solos, sin perder su vínculo
Este módulo reemplaza la administración de riesgos que antes ocurría dentro de cada actividad de tratamiento. Los riesgos existentes del RAT se muestran automáticamente en este inventario y conservan sus vínculos originales — nada se pierde ni se duplica al centralizar el registro.
Código, nivel inherente, residual, EIPD, vínculos y controles en una sola vista
El inventario de riesgos lista cada registro con su código, categoría, nivel inherente y residual, si cuenta con una evaluación (EIPD) asociada, sus vínculos y sus controles definidos. Contadores de riesgos críticos y riesgos sin controles dan una lectura inmediata de dónde priorizar.
- Filtros por búsqueda de texto, categoría y nivel inherente, con limpieza en un clic
- El contador de 'riesgos sin controles' identifica exposición que aún no tiene mitigación definida
Lo que preguntan sobre Gestión de riesgos
¿Qué es Gestión de riesgos?
Es el registro central de riesgos de privacidad de la organización. Cada riesgo se documenta con su evento, categoría, causas, consecuencias, nivel inherente y controles asociados, quedando disponible para seguimiento continuo.
¿Qué significa que este módulo 'reemplaza la administración de riesgos dentro de RAT'?
Antes, los riesgos se administraban dentro de cada actividad del RAT. Ahora tienen un registro propio y centralizado: los riesgos que ya existían en un RAT se muestran aquí automáticamente y conservan sus vínculos.
¿Qué es el modelo bow-tie de causas y consecuencias?
Es la forma en que se documenta cada riesgo: varias causas pueden converger en el mismo evento, y ese evento puede derivar en varias consecuencias distintas. Esa estructura ordena el análisis y facilita definir controles pertinentes para cada lado.
¿Cuál es la diferencia entre riesgo inherente y riesgo residual?
El riesgo inherente es la exposición estimada antes de aplicar controles, calculada a partir de probabilidad e impacto. El riesgo residual es lo que queda una vez que los controles definidos están efectivamente aplicados.
¿Se puede eliminar un riesgo ya creado?
No. Una vez creado, el riesgo no puede eliminarse desde este módulo — se conserva como parte del historial de exposición de la organización, aunque su estado y sus controles pueden actualizarse.
¿Con qué otros módulos se vincula un riesgo?
Un riesgo puede asociarse a uno o más RAT y referenciar una Evaluación (EIPD) cuando el tratamiento lo requiere, de forma que la exposición quede trazada hasta la actividad y el análisis que la originan.