Apetito de riesgo.

Cantidad y tipo agregado de riesgo que una organización está dispuesta a asumir o aceptar para perseguir sus objetivos estratégicos, definidos por el consejo y la alta dirección. Pertenece a la categoría de Cumplimiento y marcos en ciberseguridad.

Cantidad y tipo agregado de riesgo que una organización está dispuesta a asumir o aceptar para perseguir sus objetivos estratégicos, definidos por el consejo y la alta dirección.

El apetito de riesgo expresa, a nivel estratégico, cuánto riesgo está dispuesta a asumir una organización para crear valor. Suele formalizarse en una declaración que cubre categorías como pérdida financiera, impacto en clientes, exposición regulatoria o incidentes cibernéticos, a menudo con lenguaje cualitativo de alto nivel. La declaración guía la tolerancia, la inversión en controles y las decisiones de tratamiento, y se traduce en métricas de las unidades de negocio y en indicadores clave de riesgo. El consejo y la alta dirección son responsables de fijarlo y revisarlo cuando cambian la estrategia, el panorama de amenazas o la regulación. Es un elemento central de marcos como COSO ERM e ISO 31000.

Las defensas contra Apetito de riesgo combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Declaración de apetito de riesgo.