Registra una vulnerabilidad que no puede corregirse a tiempo, o cuyo riesgo se mantiene temporalmente por decisión: justificación, riesgo residual, controles compensatorios, condiciones, seguimiento y vencimiento. El servicio prepara el expediente: solo la persona autorizada acepta el riesgo, y le corresponde a ella registrar su decisión.
Contenido
1. Datos del documento
2. Identificación de la excepción
3. Descripción de la vulnerabilidad
4. Activo afectado
5. Contexto técnico y de negocio
6. Justificación de la excepción
7. Evaluación de riesgos
8. Impacto potencial en el negocio
9. Mitigaciones existentes
10. Evaluación del riesgo residual
11. Controles compensatorios
12. Condiciones de aceptación del riesgo
13. Requisitos de supervisión
14. Revisión y fecha de vencimiento
15. Propietario del riesgo
16. Aprobación y firma
17. Historial de la excepción
Lo que usted aporta
Entregable — Usted fija su título, su autor y su estructura.
Excepción — Quién la solicita, para qué vulnerabilidad.
Vulnerabilidad — Se rellena a partir de un registro seleccionado si se deja vacía.
Justificación — Por qué no puede corregirse ahora.
Evaluación del riesgo — Tal como la hacen quienes conocen el activo.
Aceptación y seguimiento — La decisión queda en manos de la persona autorizada.
