Un sistema de gestión de riesgos penales pierde utilidad cuando se limita a reunir políticas genéricas que no se conectan con los procesos de la organización. El punto de partida debe ser el conocimiento de cómo se toman decisiones, cómo se contrata, qué pagos se realizan y qué relaciones con terceros forman parte de la actividad.
Qué debe analizarse
El mapa de riesgos permite priorizar áreas, describir escenarios y asignar controles. Después deben definirse responsables, procedimientos de comunicación, conservación de evidencias y mecanismos de revisión. Las medidas necesitan ser comprensibles para las personas que deben aplicarlas.
La importancia de revisar el caso concreto
La validación no consiste solo en comprobar que existe documentación. También exige valorar si los controles se aplican, si hay trazabilidad y si el sistema se actualiza cuando cambian la actividad, la estructura o los riesgos de la entidad.