<hidden>

===== METODOLOGÍA DE ANÁLISIS DE RIESGOS =====

</hidden>

| logo*/  ^  SISTEMA INTEGRADO DE GESTIÓN        |  INFORMACIÓN DOCUMENTAL  |
| :::     |  METODOLOGÍA DE ANÁLISIS DE RIESGOS  | CODIGO:CAL P06           |
| :::     | :::                                  | VERSION:01               |
| :::     | :::                                  | VIGENCIA:17/02/2025      |

====== 1. OBJETIVO ======

El objetivo de esta metodología propia presenta las definiciones y pautas para **gestionar,** **valorar** y **dar adecuado tratamiento** de los riesgos propios de la prestación de los servicios esta organización.

Esta metodología debe permitir determinar y analizar los riesgos negativos y positivos, y se constituye como la base del análisis del **contexto interno y externo** de cara al cumplimiento de los diversos **compromisos con las partes interesadas**.

Lo anterior debe fortalecer la planificación estratégica de los procesos con el fin de:

  - Asegurar que el sistema de gestión de la calidad pueda lograr los resultados previstos
  - Aumentar los efectos deseables
  - Prevenir o reducir efectos no deseados
  - Lograr la mejora.

====== 2. ALCANCE ======

El presente modelo aplica para la totalidad de procesos definidos en el sistema de gestión de calidad.

Cuando el riesgo obedece a sistemas de gestión de calidad coherente con la norma internacional de control de calidad - NICC, aplicable como requisito inicial y periódico de cada uno de los encargos ejecutados por esta firma.

====== 3. DEFINICIONES ======

==== 3.1. Análisis interno ====

Pueden señalarse factores relativos a recursos financieros, conocimiento, estructura organizacional, comunicación interna, tecnologías utilizadas, enfoque prioritario al cliente, predisposición al cambio, procesos de toma de decisión, etc., categorizando:

**a) Norma Internacional de Auditoría (NIA 315)**: El objetivo de la NIA 315 se enfoca en la responsabilidad que tiene el auditor para identificar y evaluar los riesgos de error material, debido a fraude o a error, que pudieran existir en los estados financieros y a nivel de las aseveraciones implícitas en ellos, mediante el conocimiento y comprensión de la entidad, del entorno que la rodea y de su estructura de control interno, con el objeto de diseñar e implementar los procedimientos de auditoría para enfrentar los riesgos de posibles errores materiales.

**b) Aseveración **: La NIA 315 define a las aseveraciones como la representación o declaración de la administración de una entidad, explícita o de otra índole, incorporada en los estados financieros, tal como la entiende o utiliza el auditor para considerar los distintos tipos de posibles errores que puedan ocurrir.

**c) Riesgo**: Estimación del grado de exposición ante una amenaza que pueda causar una situación no deseada.

**d) Fraude**: Distorsiones provocadas en el registro de las operaciones y en la información financiera o actos intencionales para sustraer activos (robo), u ocultar obligaciones que tienen o pueden tener un impacto significativo en los estados financieros sujetos a examen.

**e) Error estados financieros**: Un error no intencional en los estados financieros incluyendo la omisión de un importe o revelación.

**f) REIEF Riesgo de error importante en los estados financieros**: Se conoce como riesgo de error importante en los estados financieros, todo riesgo de incumplimiento con las normas de información financiera o cualquier otro marco contable de referencia.

**g) Debilidades**: Aquellos aspectos propios de la organización cuya posición es desfavorable en comparación con otras referencias, especialmente los competidores. Nos sitúan en desventaja. Afectan negativamente al desempeño analizado.

**h) Fortalezas**: factores en los que nuestra organización destaca, diferenciándonos del mercado. Condiciones que favorecen la consecución de los resultados. Afectan positivamente al desempeño analizado.

==== 3.2. Análisis externo ====

Nos podemos referir a actuaciones de los competidores (políticas de precios, campañas publicitarias, fusiones, y adquisiciones de compañías, cambios en la legislación, evolución tecnológica, situación de económica, hábitos de consumo sobre nuestro producto, estacionalidad, valores sociológicos, etc., categorizando:

**a) Amenazas**: situaciones externas que pueden perjudicar al negocio, indicios de un peligro para la organización, para el logro de sus objetivos, para el fracaso de un proyecto.

**b) Oportunidades**: coyunturas convenientes para nuestro propósito, condiciones que pueden favorecernos más de lo que esperábamos".

===== 3.3. RIESGO =====

Efecto de la incertidumbre.

**Nota 1:**  Un efecto es una desviación de lo esperado, ya sea positivo o negativo.

**Nota 2:**  Incertidumbre es el estado, incluso parcial, de deficiencia de información relacionada con la comprensión o conocimiento de un evento, su consecuencia o probabilidad.

**Fuente:**  ISO 9000:2015 //Sistemas de gestión de la calidad. Fundamentos y vocabulario//.

==== 3.3.1. RIESGO INHERENTE ====

Nivel de riesgo propio de la actividad, sin tener en cuenta el efecto de los controles. Toda actividad, proyecto, obra o labor, tiene implícitos riesgos u oportunidades propios de su naturaleza o contexto.

==== 3.3.2. RIESGO RESIDUAL ====

Nivel de riesgo resultante después de aplicar los planes de acción y/o controles designados por la organización para el tratamiento del riesgo.

===== 3.5. GESTIÓN DE RIESGOS =====

Es el proceso continúo basado en el conocimiento, valoración y tratamiento de los riesgos que mejora la toma de decisiones.

==== 3.5.1. Probabilidad ====

Posibilidad de que ocurra un evento identificado.

==== 3.5.2. Impacto ====

Está determinado en función de los efectos o consecuencias generados.

==== 3.5.3. Causas ====

Situaciones que pueden afectar (facilitar o impedir) el cumplimiento de un compromiso.

==== 3.5.4. Efectos potenciales ====

Posibles consecuencias en caso de la ocurrencia de un riesgo, éstas pueden generar afectaciones sobre los objetivos de la organización de tipo legal, reputacional y/o económica o de otra índole.

==== 3.5.5. Tipo de afectación ====

Durante el análisis de cada riesgo se determina si las consecuencias son negativas o positivas.

===== 3.6. OPCIONES DE TRATAMIENTO DE LOS RIESGOS =====

Las opciones definidas para controlar los riesgos son:

  * **Evitar**: El riesgo es evitado cuando la organización rechaza aceptarlo, es decir, no se permite ningún tipo de exposición. Esto se logra simplemente con no comprometerse a realizar la acción que origine el riesgo. Esta técnica tiene más desventajas que ventajas, ya que la empresa podría abstenerse de aprovechar muchas oportunidades. Ejemplo: No instalar empresas en zonas sísmicas.
  * **Reducir**: Cuando el riesgo no puede evitarse por tener varias dificultades de tipo operacional, la alternativa puede ser su reducción hasta el nivel más bajo posible. Esta opción es la más económica y sencilla. Se consigue adecuando los procedimientos, la implementación de controles y su monitoreo constante.
  * **Aceptar**: Asumir o Retener el riesgo. Es uno de los métodos más comunes del manejo de riesgos, es la decisión de aceptar las consecuencias de la ocurrencia del evento. Puede ser voluntaria o involuntaria, la voluntaria se caracteriza por el reconocimiento de la existencia del riesgo y el acuerdo de asumir las consecuencias involucradas posibles, esta decisión se da por falta de alternativas y debe ser autorizada por la alta dirección. La retención involuntaria se da cuando el riesgo es retenido inconscientemente.
  * **Transferir**: Consiste en buscar un respaldo y compartir el riesgo con otros controles o entidades. Esta técnica se usa ya sea para eliminar un riesgo de un lugar y transferirlo a otro, o para minimizar el mismo, compartiéndolo con otras entidades. Ejemplo: Transferir los costos a la compañía aseguradora.
Una vez definido el riesgo este se contrala y se ejecuta de acuerdo a lo establecido en el formato {{:compartidos:formato_de_analisis_de_riesgos_operativos.xlsx|Matriz de riesgos para encargos}}, en el caso que el riesgo residual sea muy alto o alto, el auditor debe hacer pruebas sustantivas que garanticen que el riesgo no pueda materializarse en el encargo.

====== 4. GENERALIDADES ======

Como lo indica la NTC 5254, para lograr un eficiente control dentro de una organización se debe realizar gestión de riesgo que es un proceso de negocio. Una implementación sólida y eficaz de la gestión de riesgo es parte de una óptima práctica empresarial a nivel corporativo y estratégico, al igual que un medio de mejorar las actividades operacionales. La gestión de riesgo es un proceso de gestión holístico aplicable a todo tipo de organizaciones a todo nivel e individuos.

En términos generales la gestión de riesgo es un proceso que ayuda a tomar decisiones a la hora de elegir el nivel de riesgo a que está dispuesta a afrontar una compañía, identificando variables potenciales que nos lleven a maximizar oportunidades y minimizar pérdidas. Lo que traduce que durante todas las fases de la gestión de riesgo la empresa está en capacidad de elegir el nivel de riesgo que quiera asumir.

La identificación y valoración de los riesgos se realizan para brindar herramientas que permitan la toma de decisiones y la construcción de habilidades empresariales para enfrentar las debilidades, fortalezas, oportunidades o amenazas, buscando el crecimiento y evitar pérdidas.

Se asegura el logro de los objetivos, en relación con el compromiso que se obtiene de la alta dirección y de los líderes de cada uno de los procesos del sistema de gestión de calidad.

Cuando el riesgo obedece a sistemas de gestión tales como Seguridad y Salud en el trabajo, Gestión ambiental y/o Gestión de la seguridad de la información, las metodologías que se deben aplicar están definidas en cada uno de estos sistemas correspondientes.

La metodología utilizada para desarrollar el análisis del contexto, la valoración y tratamiento de los riesgos, debe partir en cada iteración de una investigación de las condiciones reales de la organización, por medio de la consideración de las experiencias, entrevistas y reuniones con los responsables de los riesgos, los responsables de los controles, los líderes de proceso y otros trabajadores.

====== 5. RESPONSABILIDADES ======

Es responsabilidad de la alta dirección en apoyo de gestión de calidad y los líderes de proceso, realizar revisión de todos los riesgos cada año; la matriz de valoración y tratamiento de riesgos actualizada deberá ser parte de la revisión de la dirección anual, permitiendo evaluar la eficacia de las acciones tomadas para el tratamiento de los riesgos.

====== 6. DESCRIPCIÓN DE ACTIVIDADES ======

La metodología utilizada para desarrollar el análisis del contexto, la valoración y tratamiento de los riesgos en la organización, parte de una investigación de las condiciones reales de la organización, por medio de la consideración de las experiencias, entrevistas y reuniones con los responsables de los riesgos, los responsables de los controles, los líderes de proceso y otros trabajadores.

==== 6.1.2. DESCRIPCIÓN DE RIESGOS ====

El líder del proceso define los compromisos con cada una de las partes interesadas. En caso de tratarse de requisitos, se establece el documento donde se hace explícito el compromiso.

Ejemplo:

^  COMPROMISO  ^  DOCUMENTO QUE ESPECIFICA EL COMPROMISO  |
|//Dar cumplimiento a los criterios de: la Circular 048 de la superintendencia financiera, la ley 1266 hábeas data y la ley 1581 protección de datos personales, en la prestación del servicio//   |//Contratos de prestación de servicios//   |

----

===== 6.2. VALORACIÓN DE RIESGOS =====

La **valoración**  del riesgo consta de las siguientes actividades:

**1**  **Análisis de riesgo**  (véase el numeral 6.3.), el cual consiste en:

  * //Identificación del riesgo//  (véase el numeral 6.3.1.)
  * //Estimación del riesgo//  (véase el numeral 6.3.2.)
**2**  **Evaluación del riesgo**  (véase el numeral 6.4.)

Gracias a la valoración se determina el valor de los riesgos, se identifican los controles existentes y sus efectos en el riesgo identificado, se determinan las consecuencias potenciales y, finalmente, se priorizan los riesgos derivados, clasificándolos frente a los criterios de evaluación del riesgo determinados en el contexto establecido.

La salida de la valoración debe ser una lista de los riesgos y oportunidades valorados, con prioridad de acuerdo a los criterios de **Evaluación de riesgos**  (véase el numeral 6.4.).

----

===== 6.2.1 VALORACIÓN DE RIESGOS MATERIALES DE AUDITORÍA =====

Para lograr identificar los riegos de error material a nivel de aseveraciones de los estados financieros, el auditor debe obtener una comprensión de las actividades de control que son relevantes para la auditoría, con base en la cual debe diseñar los controles y mecanismos de auditoría efectivos que respondan a los riesgos evaluados. El auditor no es requerido a tener un entendimiento de todas las actividades de control relacionadas con cada tipo de transacciones, cuentas de balance y revelaciones en los estados financieros. Esto significa que el auditor se enfoca en los riesgos significativos (riesgos de error material identificados y evaluados) que, en opinión del auditor, requieren una consideración especial de auditoría.

El auditor debe identificar y evaluar los riesgos de error material a nivel de las aseveraciones incluidas en los estados financieros para las diversas clases de transacciones, las cuentas de balance y las revelaciones, que le proporcionen una base para el diseño y la aplicación de los procedimientos de auditoría.

Esta identificación de los riesgos de error material se hace durante el proceso de entendimiento de la entidad y de su entorno, en la {{:compartidos:formato_de_analisis_de_riesgos_operativos.xlsx|Matriz de riesgos para encargos}}  incluyendo los controles relevantes relacionados con los riesgos. Una vez identificados, se evalúan para saber si éstos están relacionados, de manera dominante o no, con los estados financieros en su conjunto y su potencial afectación a una o varias aseveraciones.

El auditor debe relacionar el riesgo identificado con aquello que puede estar mal a nivel de aseveración y con los controles relevantes que tiene intención de probar. Asimismo, debe considerar la probabilidad de error, incluyendo la posibilidad de múltiples errores, y si el error potencial es de tal magnitud que podría dar lugar a una sucesiva cadena de errores importantes.

El auditor debe documentar clara, oportuna y consistentemente los riesgos identificados y la evaluación de error material a nivel de los estados financieros y de las aseveraciones.

=== 6.2.1.1 Aseveraciones sobre las clases de transacciones y eventos ===

**Ocurrencia:**  Todas las transacciones y eventos que han sido registrados son reales y están relacionadas con la entidad.

  - Integridad. Todas las transacciones y eventos que debieron haber sido registradas, han sido registradas.
  - Exactitud. El importe y otra información relativos a las transacciones y eventos registrados han sido registrados adecuadamente.
  - Corte. Todas las transacciones y eventos han sido registrados en el periodo contable correspondiente.
  - Clasificación. Todas las transacciones y eventos han sido registrados en las cuentas contables apropiadas.

=== 6.2.1.2 Aseveraciones relativas a las cuentas de balance al final del ejercicio ===

  - Existencia. Los activos, los pasivos y el capital existen, son reales.
  - Derechos y obligaciones. La entidad mantiene o controla los derechos sobre los activos, y los pasivos son obligaciones reales y adecuadamente controladas por la entidad.
  - Integridad. Todos los activos, los pasivos y el capital que deberían haber sido registrados se han registrado.
  - Valuación. Los activos, los pasivos y el capital están incluidos en los estados financieros con los saldos apropiados y cualquier ajuste por valuación está debidamente registrado.

=== 6.2.1.3 Aseveraciones sobre presentación y revelación ===

**Ocurrencia y derechos y obligaciones:**  La revelación de eventos, transacciones y otros asuntos, han ocurrido y conciernen a la entidad.

  - Integridad. Todas las revelaciones que deben ser incluidas en los estados financieros, se han incluido.
  - Clasificación y comprensibilidad. La información financiera se encuentra, apropiadamente, presentada y descrita, y las revelaciones están expresadas con claridad.
  - Exactitud y valuación. La información financiera y otro tipo de información que concierna al proceso de negocio de la entidad, se encuentran revelados apropiadamente, y por los montos correctos, en la información financiera presentada por la compañía.

===== 6.3. ANÁLISIS DE RIESGOS =====

En esta etapa se consideran las **causas**  y **fuentes**  del riesgo, la **probabilidad**, las **consecuencias**  y el **impacto**  que se pueden generar.

En primera instancia el desarrollo del análisis de riesgos, debe basarse en los posibles eventos indeseados que pueden afectar el compromiso o la expectativa identificada en el anterior punto por cada proceso, definido como **Riesgo Inherente**, es decir que no se debe tener en cuenta los controles que se encuentren implementados en la organización.

Posteriormente de estimar y valorar el Riesgo Inherente, cada proceso debe tener en cuenta **los controles existentes**  y su eficacia. Esta información debe proporcionar información suficiente para después **Evaluar**  el riesgo y tomar decisiones.

==== 6.3.1. IDENTIFICACIÓN DEL RIESGO INHERENTE ====

Esta actividad consiste en encontrar, enumerar y caracterizar los elementos del riesgo, determinando las **causas**  o sucesos podrían afectar positiva y negativamente al logro de los Objetivos y/o Compromisos, así como sus posibles **consecuencias**.

Los eventos internos y externos que afectan el cumplimiento de los compromisos de la organización, son identificados mediante un análisis DOFA (Debilidades, oportunidades, fortalezas y amenazas), esta actividad puede hacer necesaria la actualización de la estrategia de la compañía.

^  MATRIZ DE ANÁLISIS DEL CONTEXTO (DOFA)  ^  RELACIÓN  ^  RESULTADO  |
|  Cuando en la identiﬁcación se establece una  |  y al valorar el riesgo se obtiene un  |  RIESGO MUY ALTO  |
|  Cuando en la identiﬁcación se establece una  |  y al valorar el riesgo se obtiene un  |  RIESGO MUY ALTO  |
|  Cuando en la identiﬁcación se establece una  |  y al valorar el riesgo se obtiene un  |  RIESGO MUY ALTO  |
|  Cuando en la identiﬁcación se establece una  |  y al valorar el riesgo se obtiene un  |  RIESGO ALTO  |
|  Cuando en la identiﬁcación se establece una  |  y al valorar el riesgo se obtiene un  |  RIESGO ALTO  |
|  Cuando en la identiﬁcación se establece una  |  y al valorar el riesgo se obtiene un  |  RIESGO ALTO  |
|  Cuando en la identiﬁcación se establece una  |  y al valorar el riesgo se obtiene un  |  RIESGO MEDIO  |
|  Cuando en la identiﬁcación se establece una  |  y al valorar el riesgo se obtiene un  |  RIESGO MEDIO  |
|  Cuando en la identiﬁcación se establece una  |  y al valorar el riesgo se obtiene un  |  RIESGO MEDIO  |
|  Cuando en la identiﬁcación se establece una  |  y al valorar el riesgo se obtiene un  |  RIESGO BAJO  |
|  Cuando en la identiﬁcación se establece una  |  y al valorar el riesgo se obtiene un  |  RIESGO BAJO  |
|  Cuando en la identiﬁcación se establece una  |  y al valorar el riesgo se obtiene un  |  RIESGO BAJO  |

----

==== 6.3.2. ESTIMACIÓN DEL RIESGO INHERENTE ====

Esta actividad consiste en asignar valores a la probabilidad y las consecuencias.

=== 6.3.2.1. Estimación de Probabilidad Inherente ===

Se han definido criterios de calificación de la probabilidad de ocurrencia, como se explica a continuación:

^  RIESGOS INHERENTES  ^^|
^  CALIFICACIÓN  ^^  DESCRIPCIÓN  |
^  Cuantitativa  | ::: ^  Cualitativa  |
|  5  |  Con certeza  |  Se ha presentado en el último trimestre al menos una vez.  |
|  4  |  Muy probable  |  Se ha presentado en el último semestre al menos una vez.  |
|  3  |  Probable  |  Se ha presentado en el último año al menos una vez.  |
|  2  |  Poco probable  |  Se ha presentado en los últimos tres años al menos una vez.  |
|  1  |  Improbable  |  No se ha presentado en la última década.  |

=== 6.3.2.2. Estimación del Impacto Inherente ===

Se han definido criterios de calificación del impacto, como se explica a continuación:

^  RIESGOS INHERENTES  ^^|
^  CALIFICACIÓN  ^^  DESCRIPCIÓN  |
^  Cuantitativa  | ::: ^  Cualitativa  |
|  5  |  Muy significativo  |  Afectación negativa económica y/o legal y/o reputacional y de las operaciones para la prestación de los servicios, con alta incidencia en la solvencia económica de la Compañía.  |
|  4  |  Mayor  |  Afectación negativa económica y/o legal y/o reputacional y de las operaciones para la prestación de los servicios, con incidencia parcial en la solvencia económica de la Compañía.  |
|  3  |  Moderado  |  Afectación negativa económica y/o legal y/o reputacional y de las operaciones para la prestación de los servicios, con baja incidencia en la solvencia económica de la Compañía.  |
|  2  |  Menor  |  Afectación negativa mínima económica y/o legal y/o reputacional y de las operaciones para la prestación de los servicios, sin incidencia en la solvencia económica de la Compañía.  |
|  1  |  Insignificante  |  Afectación negativa irrelevante a nivel económico y/o legal y/o reputacional y de las operaciones para la prestación de los servicios, sin incidencia en la solvencia económica de la Compañía.  |

=== 6.3.2.3. Nivel de Riesgos Inherentes ===

Una vez se asignen los valores de la probabilidad y sus posibles consecuencias de un riesgo, se combinan ambos valores, dando como resultado el nivel de riesgo, como se evidencia en la siguiente imagen:

[[:procedimientos:calidad:criterios_de_evaluacion_modelo_riesgos_9001_aconaire_sasok.png?id=compartidos%3Acontrol_riesgos&media=procedimientos:calidad:criterios_de_evaluacion_modelo_riesgos_9001_aconaire_sasok.png|{{:procedimientos:calidad:criterios_de_evaluacion_modelo_riesgos_9001_aconaire_sasok.png}}]]

==== 6.3.3. ESTIMACIÓN DEL RIESGO SEGÚN CONTEXTO ACTUAL Y CONTROLES DE LA ORGANIZACIÓN ====

Posteriormente de identificar los Riesgos Inherentes, cada líder de proceso le corresponderá analizar los controles que den tratamiento al riesgo, con la condición de que los controles ya deben estar implementados en la organización.

=== 6.3.3.1 Controles y/o planes de acción actuales ===

Una vez definido el riesgo este se contrala y se ejecuta de acuerdo a lo establecido en el formato {{:compartidos:formato_de_analisis_de_riesgos_operativos.xlsx|Matriz de riesgos para encargos}}, en el caso que el riesgo residual sea muy alto o alto, el auditor debe hacer pruebas sustantivas que garanticen que el riesgo no pueda materializarse en el encargo.

La definición de los controles que dan tratamiento al escenario de riesgos identificados consta de las siguientes actividades:

**1**  **Descripción de los controles:**  Campo en el cual se indica en que consiste el control implementado.

**2**  **Documentos o registros de soporte:**  Indicar los documentos o registros, que permitan evidenciar la aplicación del control descrito en el punto **1**.

**3**  **Responsable del Control:**  Nombrar los Responsables de ejecutar el control, así como de elaborar y custodiar las evidencias del control.

**4**  **Frecuencia:**  Número de veces sucede o se realiza el control durante un período determinado.

**5**  **Aplicación:**  Corresponde a la verificación que se realiza si el control definido es aplicado o no, en tal caso la respuesta puede ser resumida en un SI o NO.

=== 6.3.3.2 Estimación del Riesgo con Controles ===

Esta actividad consiste en asignar valores a la probabilidad y las consecuencias, con la diferencia que en esta etapa si se tienen en cuenta los controles identificados en el punto **6.3.3.1 Controles y/o planes de acción actuales**.

=== 6.3.3.2.1 Estimación de probabilidad del Riesgo con Controles ===

Se han definido criterios de calificación de la probabilidad de ocurrencia con controles, como se explica a continuación:

^  PROBABILIDAD DEL ESCENARIO DE RIESGOS CON CONTROLES  ^^|
^  CALIFICACIÓN  ^^  DESCRIPCIÓN  |
^  Cuantitativa  | ::: ^  Cualitativa  |
|  5  |  Con certeza  |  Se tiene total conocimiento de la no existencia y/o no aplicación de los controles y/o planes de acción necesarios.  |
|  4  |  Muy probable  |  Se tiene total conocimiento de la carencia y/o aplicación parcial de los controles y/o planes de acción necesarios.  |
|  3  |  Probable  |  Se tiene total conocimiento de la existencia y aplicación parcial de los controles y/o planes de acción necesarios.  |
|  2  |  Poco probable  |  Se tiene total conocimiento de la existencia y aplicación de los controles y/o planes de acción necesarios.  |
|  1  |  Improbable  |  Se tiene total conocimiento de la existencia y aplicación rigurosa de los controles y/o planes de acción necesarios.  |

=== 6.3.3.2.2 Estimación del Impacto del Riesgo con Controles ===

Se han definido criterios de calificación de impacto con controles, como se explica a continuación:

^  IMPACTO DEL ESCENARIO DE RIESGOS CON CONTROLES  ^^|
^  CALIFICACIÓN  ^^  DESCRIPCIÓN  |
^  Cuantitativa  | ::: ^  Cualitativa  |
|  5  |  Muy significativo  |  Afectación negativa económica y/o legal y/o reputacional y de las operaciones para la prestación de los servicios, con alta incidencia en la solvencia económica de la Compañía.  |
|  4  |  Mayor  |  Afectación negativa económica y/o legal y/o reputacional y de las operaciones para la prestación de los servicios, con incidencia parcial en la solvencia económica de la Compañía.  |
|  3  |  Moderado  |  Afectación negativa económica y/o legal y/o reputacional y de las operaciones para la prestación de los servicios, con baja incidencia en la solvencia económica de la Compañía.  |
|  2  |  Menor  |  Afectación negativa mínima económica y/o legal y/o reputacional y de las operaciones para la prestación de los servicios, sin incidencia en la solvencia económica de la Compañía.  |
|  1  |  Insignificante  |  Afectación negativa irrelevante a nivel económico y/o legal y/o reputacional y de las operaciones para la prestación de los servicios, sin incidencia en la solvencia económica de la Compañía.  |

=== 6.3.3.2.3 Nivel de riesgo con Controles ===

Una vez se asignen los valores de la probabilidad y sus posibles consecuencias de riesgo con controles, se combinan ambos valores, dando como resultado el nivel de riesgo con controles, como se evidencia en la siguiente imagen.

[[:procedimientos:calidad:criterios_de_evaluacion_modelo_riesgos_9001_aconaire_sasok.png?id=compartidos%3Acontrol_riesgos&media=procedimientos:calidad:criterios_de_evaluacion_modelo_riesgos_9001_aconaire_sasok.png|{{:procedimientos:calidad:criterios_de_evaluacion_modelo_riesgos_9001_aconaire_sasok.png}}]]

===== 6.4. EVALUACIÓN DEL RIESGO =====

La evaluación del riesgo consiste en la toma de decisiones basada en los **criterios**  que se exponen en la siguiente tabla, con el fin diseñar e implementar Planes de tratamiento para cada riesgo de manera priorizada.

==== 6.5.3. EVALUACIÓN DE LA EFICACIA O EFECTIVIDAD DE LOS PLANES DE ACCIÓN ====

Por medio de esta etapa, se determina que los planes de acción planteados por el responsable del proceso, sean efectivos y funcionales, demostrando que se le dio el tratamiento oportuno y correcto al escenario de riesgo identificado, según lo determinado en el proceso **EVALUACIÓN DEL RIESGO**.

La conclusion de esta evaluacion se evidencia en la {{:compartidos:formato_de_analisis_de_riesgos_operativos.xlsx|Matriz de riesgos para encargos}}  en el campo "Efectividad" del riesgo residual.

====== 7. ANEXOS Y REGISTROS ======

Todas las etapas descritas en la presente metodología son plasmadas en el siguiente formato:

{{:compartidos:formato_de_analisis_de_riesgos_operativos.xlsx|Matriz de riesgos para encargos, ver. 1, 17/02/2025}}

<hidden>

<title classes #id>METODOLOGÍA DE ANÁLISIS DE RIESGOS </title>

|{{tag>NOMBRE:METODOLOGÍA_DE_ANÁLISIS_DE_RIESGOS}}|
|{{tag>CÓDIGO:CAL-P06 }}|
|{{tag>VERSIÓN:1}}|
|{{tag>VIGENCIA:17/02/2025}}|

</hidden>

