Cada semana alguien en la organización decide aceptar un riesgo, posponer un control o aprobar una excepción. Lo habitual es que la decisión se tome en una reunión o en un chat y que, seis meses después, nadie recuerde por qué se tomó. Cuando llega una auditoría, la pregunta no es solo si la decisión fue correcta, sino si se puede demostrar cómo se tomó.

Documentar una decisión no es llenar formatos. Es dejar lo mínimo que permite a un tercero reconstruir el razonamiento.

1. Qué se decidió, en una frase

Escribe la decisión de forma que no admita dos lecturas: “Se acepta el riesgo X en el proceso Y hasta la fecha Z”, no “se revisará el tema”.

2. Qué información se tenía en ese momento

Registra los datos, informes o eventos que se consultaron y su fecha. Una decisión se juzga con lo que se sabía entonces, no con lo que se supo después. Sin esta parte, cualquier revisión posterior cae en el sesgo del resultado.

3. Qué alternativas se consideraron

Anota al menos las opciones descartadas y el motivo. Si solo existe la opción elegida, quien revise sospechará que no hubo análisis real.

4. Con qué criterio se decidió

Remite al criterio escrito: el apetito de riesgo, el umbral de aceptación o la política aplicable. Si no existe un criterio escrito, la decisión depende de quién estuviera en la sala; este es el hallazgo más común y el más fácil de corregir.

5. Quién decidió y con qué autoridad

Nombre y cargo de quien decide, y de quienes opinaron. Una decisión sin responsable identificable no se puede auditar ni defender.

6. Cuándo se vuelve a mirar

Toda aceptación de riesgo debe tener fecha de revisión o una condición que la reabra (un incidente, un cambio de proveedor, un cambio de proceso). Una excepción sin vencimiento se vuelve permanente sin que nadie lo haya decidido.

Cómo hacerlo sin burocracia

  • Usa una plantilla de una página con estos seis campos; si no cabe, la decisión no está clara.
  • Guarda los registros en un solo lugar, con acceso controlado y sin posibilidad de editarlos en silencio; las correcciones se agregan, no se sobrescriben.
  • Enlaza cada registro con el riesgo correspondiente de la matriz. Si tu matriz no se actualiza, empieza por ahí: ver La matriz de riesgos que nadie actualiza.
  • Revisa una muestra de registros cada trimestre y pregunta: ¿alguien ajeno al tema entendería esta decisión?

Una prueba rápida

Elige una decisión de riesgo del último trimestre y pide a alguien que no participó que explique qué se decidió, por qué y quién respondió. Si no puede hacerlo con el registro en mano, ya sabes dónde mejorar.

Tener la información ordenada y trazable facilita todo lo anterior. Herramientas como RiskMonitor ayudan a mantener el insumo de cada decisión al día, pero el criterio y la responsabilidad de decidir siguen siendo de tu equipo.