Glosario
Apetito de riesgo
Nivel de riesgo que la dirección declara estar dispuesta a asumir para alcanzar sus objetivos, expresado de forma que permita decidir casos concretos.
- Tolerancia al riesgo
El apetito de riesgo sólo sirve si es operativo. «Tenemos un apetito de riesgo bajo» no permite decidir nada; «no aceptamos vulnerabilidades críticas explotables desde internet durante más de siete días en sistemas que soportan funciones esenciales» sí, porque se puede contrastar con la realidad y se puede medir el incumplimiento.
Es también el documento que da cobertura formal a las excepciones. Cuando un hallazgo se acepta como riesgo, lo que hace defendible esa decisión no es la firma de quien la toma, sino que encaje dentro de un umbral declarado previamente por la dirección.
En el ámbito financiero, DORA lo convierte en obligación explícita: el artículo 5.2 encarga al órgano de dirección fijar el nivel de tolerancia al riesgo TIC como parte de la estrategia de resiliencia operativa digital. No es un ejercicio de redacción, es un parámetro que después hay que aplicar.