Recurso gratuito · ISO/IEC 27001:2022
Plantilla de plan de tratamiento de riesgos ISO 27001
La cláusula 6.1.3 exige un plan de tratamiento de riesgos: para cada riesgo por encima de su umbral, una decisión, los controles que la implementan, un responsable y una fecha. Use las columnas de abajo o descargue el CSV con dos ejemplos.
Las columnas imprescindibles
- ID y descripción del riesgo (del registro de riesgos)
- Propietario del riesgo (una persona que pueda aceptarlo)
- Nivel de riesgo inicial: probabilidad × impacto antes del tratamiento
- Opción de tratamiento: tratar, tolerar, transferir o evitar
- Controles del Anexo A seleccionados (por ejemplo A.5.15 Control de acceso, A.8.5 Autenticación segura)
- Acciones: qué, quién y para cuándo
- Nivel de riesgo residual tras el tratamiento
- Fecha de aprobación y quién aceptó el riesgo residual
Las cuatro opciones de tratamiento
- Tratar (modificar): aplicar controles para reducir probabilidad o impacto
- Tolerar (retener): aceptar el riesgo si está dentro de su apetito, con justificación registrada
- Transferir (compartir): trasladar parte del riesgo mediante seguro o contrato, controlando lo que queda con usted
- Evitar (eliminar): detener la actividad o retirar el activo que origina el riesgo
Aprobación y aceptación
- Los propietarios de los riesgos han aprobado el plan de tratamiento
- Los propietarios han aceptado por escrito el riesgo residual
- El riesgo residual está registrado y por debajo del umbral de aceptación acordado
- Cada control elegido figura en la Declaración de aplicabilidad y cada inclusión remite a un riesgo o requisito
Qué comprueban los auditores
- Ningún riesgo por encima del umbral queda sin decisión
- Los tratamientos están implementados, no solo planificados, con evidencia fechada
- Los niveles de riesgo residual se derivan de los controles aplicados
- El plan se revisa tras incidentes, auditorías y cambios significativos
Basado en la cláusula 6.1.3 y el Anexo A de ISO/IEC 27001:2022. El CSV incluye dos filas ilustrativas que debe sustituir por sus riesgos. Véase iso.org para la norma de referencia.
Preguntas frecuentes sobre el plan de tratamiento de riesgos
- ¿Qué es un plan de tratamiento de riesgos en ISO 27001?
- Es el plan documentado de la cláusula 6.1.3 que registra, para cada riesgo evaluado, la opción de tratamiento elegida, los controles del Anexo A u otros que la implementan, quién responde de las acciones y el riesgo residual.
- ¿En qué se diferencia del registro de riesgos?
- El registro lista los riesgos y sus niveles. El plan dice qué hará con cada uno. Muchos equipos los guardan en una sola hoja, pero la norma los trata como dos informaciones documentadas distintas.
- ¿Se puede aceptar un riesgo en lugar de tratarlo?
- Sí. Tolerar un riesgo es una opción válida si cumple sus criterios de aceptación y su propietario lo aprueba. La decisión y su justificación deben quedar registradas.
- ¿Cómo se conecta con la Declaración de aplicabilidad?
- Los controles elegidos en el plan alimentan la DdA. Cada control se marca aplicable con el riesgo que trata como justificación, y los excluidos necesitan un motivo.
Siga los tratamientos, no las hojas de cálculo
CATAAM vincula cada riesgo con los controles que lo tratan y recoge las evidencias automáticamente, para que el riesgo residual sea demostrable.