Categoría: III. Debida diligencia y riesgo · Fecha de referencia:
Riesgo residual
Definición
El riesgo residual es el nivel de riesgo que permanece después de considerar los controles y mitigantes implementados. Ningún sistema serio de PLD elimina por completo el riesgo; lo administra, lo reduce y determina si el nivel restante se encuentra dentro de la tolerancia de la organización.
Información adicional relevante
La diferencia entre riesgo inherente y residual permite saber si los controles realmente funcionan. Una empresa puede tener un cliente de riesgo alto y, después de aplicar DDA, limitar operaciones y obtener aprobaciones, mantener un riesgo residual medio o alto. La decisión debe ser explícita: aceptar, aceptar con condiciones, limitar, escalar o terminar.
Ejemplo o caso
Un cliente presenta una estructura corporativa compleja, pero entrega documentos verificables, explica su modelo de negocio y utiliza cuentas propias. La estructura produce riesgo inherente alto, pero los controles reducen parte de la exposición. El sistema debe conservar ambos resultados y no reemplazar el riesgo inicial como si nunca hubiera existido.
Punto de control
La definición debe convertirse en un criterio operativo documentado y verificable.