Plan de tratamiento de riesgos ISO 27001: qué incluir y cómo llevarlo
El plan de tratamiento de riesgos ISO 27001 es el documento que dice qué se hará con cada riesgo que no se acepta tal como está: la opción elegida (mitigar, transferir, evitar o aceptar), los controles o acciones, el responsable, la fecha comprometida, el avance y el riesgo residual esperado. ISO/IEC 27001:2022 lo pide en la cláusula 6.1.3, exige que los dueños de los riesgos aprueben el plan y acepten el riesgo residual, y en la cláusula 8.3 pide ejecutarlo y conservar evidencia de los resultados.
¿Qué pide ISO/IEC 27001:2022 sobre el tratamiento de riesgos?
El tratamiento empieza donde termina la evaluación de riesgos (cláusula 6.1.2). En resumen, la cláusula 6.1.3 pide a la organización:
- Elegir una opción de tratamiento adecuada para cada riesgo según los resultados de la evaluación.
- Determinar los controles necesarios para aplicar esa opción, de cualquier fuente.
- Comparar esos controles con el Anexo A para no omitir ninguno necesario.
- Preparar la Declaración de Aplicabilidad con los controles incluidos y excluidos y su justificación.
- Formular el plan de tratamiento de riesgos.
- Obtener de los dueños de los riesgos la aprobación del plan y la aceptación del riesgo residual.
La cláusula 8.3 pide implementar el plan y conservar información documentada de los resultados. Es decir, el auditor no solo revisa que el plan exista: revisa que las acciones avancen, que haya evidencia y que alguien con autoridad haya firmado el riesgo que queda.
Columnas de un plan de tratamiento de riesgos en Excel
La norma no impone un formato. Estas son las columnas del plan de tratamiento del kit NexoDocs (ISMS-RSK-03), pensadas para que cada fila se pueda rastrear desde la matriz de riesgos hasta la Declaración de Aplicabilidad:
| Columna | Para qué sirve |
|---|---|
| ID del riesgo y riesgo | El mismo ID de la matriz de riesgos: une evaluación, tratamiento y Declaración de Aplicabilidad |
| Nivel actual | El nivel calculado en la evaluación, antes del tratamiento |
| Opción | Mitigar, transferir, evitar o aceptar |
| Acción o control a implementar | Qué se hará en concreto, en una frase verificable |
| Controles del Anexo A | Los controles relacionados (por ejemplo, A.5.17 y A.8.5 para credenciales) |
| Responsable y fecha comprometida | Quién ejecuta y para cuándo |
| Estado y % de avance | Planificado, en curso, terminado; permite seguimiento mensual |
| Impacto y probabilidad residuales | La estimación después de aplicar la acción |
| Nivel y categoría residuales | Se calculan solos con los mismos criterios de la evaluación |
| Riesgo residual aprobado por y fecha | La evidencia de aceptación del dueño del riesgo |
| Presupuesto o recursos | Lo que hace falta para cumplir la fecha |
| Resultado esperado o indicador de eficacia | Cómo se sabrá que funcionó (por ejemplo, 100 % de cuentas con MFA) |
Kit de documentación SGSI ISO 27001
84 archivos para documentar su SGSI según ISO/IEC 27001:2022.
Ver el kit completoLas cuatro opciones de tratamiento
| Opción | Cuándo se usa | Ejemplo |
|---|---|---|
| Mitigar | El riesgo supera el criterio de aceptación y hay controles razonables | Activar MFA obligatorio para reducir el robo de credenciales |
| Transferir (compartir) | Un tercero puede asumir parte del impacto | Seguro de ciberriesgos o contrato con el proveedor de nube |
| Evitar | La actividad no compensa el riesgo | Dejar de guardar datos de tarjetas en servidores propios |
| Aceptar | El nivel está dentro del criterio o el costo de tratarlo es desproporcionado | Riesgo bajo aceptado por su dueño, con fecha y firma |
Transferir no elimina la responsabilidad: la organización sigue respondiendo ante clientes y reguladores, y debe controlar al tercero. Aceptar tampoco es «no hacer nada»: es una decisión documentada del dueño del riesgo, que se revisa en la siguiente evaluación.
¿Cómo se calcula el riesgo residual?
El riesgo residual es el que queda después de aplicar el tratamiento. Se estima con la misma escala de la evaluación (por ejemplo, impacto por probabilidad de 1 a 4) y se compara con los mismos criterios de aceptación. Si el residual sigue sobre el criterio, hay que agregar acciones o que el dueño lo acepte de forma explícita y justificada.
Ejemplo del kit: el robo de credenciales de desarrolladores parte con nivel 12 (alto). Con MFA obligatorio en el repositorio y la nube, el impacto residual se estima en 4 y la probabilidad en 1, nivel residual 4 (bajo), y el líder de desarrollo lo aprueba con fecha.
¿Qué relación tiene con la Declaración de Aplicabilidad?
Son dos caras del mismo trabajo. El plan dice qué se hará con cada riesgo; la Declaración de Aplicabilidad dice qué controles del Anexo A están incluidos o excluidos, por qué y si están implementados. Cada control del plan debería aparecer como incluido en la Declaración de Aplicabilidad, y cada control incluido debería poder justificarse con un riesgo, un requisito legal o contractual, o una decisión de la organización.
Errores comunes que observan los auditores
- Acciones vagas como «mejorar la seguridad» sin control concreto ni fecha.
- Responsables genéricos («TI») en vez de un cargo o una persona.
- Riesgo residual sin estimar o sin la firma del dueño del riesgo.
- Fechas vencidas sin reprogramación ni explicación.
- Controles del plan que no aparecen en la Declaración de Aplicabilidad, o al revés.
- Plan que no se actualiza después de una nueva evaluación de riesgos.
Plantilla: el plan de tratamiento del kit NexoDocs
El plan de tratamiento del kit ISO 27001 de NexoDocs es un Excel sin macros con las columnas de esta guía, listas desplegables para la opción y el estado, cálculo automático del nivel y la categoría residuales con los criterios aprobados, y un ejemplo completo de una empresa ficticia. Se conecta con la metodología de riesgos, la matriz de riesgos y la Declaración de Aplicabilidad del mismo kit. Puede probar antes la muestra gratis de la matriz de riesgos.
Siguiente paso
Pruebe gratis o vaya directo a la solución completa.
Kit de documentación SGSI ISO 27001
84 archivos para documentar su SGSI según ISO/IEC 27001:2022.
Ver el kit completo
Muestra gratis
Descargue gratis una versión reducida de la matriz de riesgos del kit (Excel, 10 escenarios, mapa de calor). Vea cómo calcula el nivel y la categoría antes de decidir.
Descargar la muestra gratisPreguntas frecuentes
¿El plan de tratamiento de riesgos es obligatorio en ISO 27001?
Sí. La cláusula 6.1.3 pide formularlo y conservarlo como información documentada, y la cláusula 8.3 pide implementarlo y conservar los resultados.
¿Quién aprueba el plan de tratamiento?
Los dueños de los riesgos. Ellos aprueban el plan y aceptan el riesgo residual; conviene dejar su nombre o cargo y la fecha en cada fila.
¿Se pueden aceptar riesgos altos?
La norma lo permite si el dueño del riesgo lo decide de forma informada y documentada, pero un auditor esperará una justificación clara y una revisión periódica.
¿Cada cuánto se actualiza el plan?
Cada vez que cambia la evaluación de riesgos y en el seguimiento habitual del SGSI; en la práctica, un control mensual del avance y una revisión completa al menos una vez al año.
¿Una plantilla garantiza pasar la auditoría?
No. La certificación depende de cómo se implementa el SGSI y de la auditoría de un organismo certificador; una buena plantilla ordena el trabajo y deja evidencia clara.
Guías relacionadas
Matriz de riesgos ISO 27001: qué debe incluir y cómo usarla
Matriz de riesgos en Excel para ISO/IEC 27001:2022: columnas mínimas, cómo calcular el nivel de riesgo y errores que ven los auditores. Descargue la muestra gratis.
Leer la guía →Declaración de Aplicabilidad ISO 27001 (SoA): ejemplo, plantilla y cómo hacerla
Qué debe contener la Declaración de Aplicabilidad de ISO/IEC 27001:2022, ejemplo con filas reales, cambios 2013 vs 2022, revisión del auditor y plantilla Excel.
Leer la guía →Documentos y registros obligatorios de ISO 27001:2022: checklist por cláusula
Checklist de documentos y registros que exige ISO/IEC 27001:2022, cláusula por cláusula, qué documentos del Anexo A aplican y fallas típicas de auditoría.
Leer la guía →Actualizado: 2026-10-29