D17 · L3 · 04 — L2 · Enterprise & Supply Chain Risk ManagementL2 · Gestión de Riesgos Empresariales y de la Cadena

Risk mitigation portfolio & treatment strategiesPortafolio de mitigación y estrategias de tratamiento de riesgo

Mitigating everything is as irrational as mitigating nothing: the optimal portfolio leaves residual risk accepted in writing.

Mitigar todo es tan irracional como no mitigar nada: el portafolio óptimo deja riesgo residual aceptado por escrito.

01What it isQué es

The mitigation portfolio assigns each prioritized risk one of four treatments — avoid, reduce, transfer or accept — and manages them together as an investment portfolio with explicit acceptance of residual risk.

El portafolio de mitigación asigna a cada riesgo priorizado uno de cuatro tratamientos —evitar, reducir, transferir o aceptar— y los gestiona en conjunto como un portafolio de inversión, con aceptación explícita del riesgo residual.

02Why it mattersPor qué importa

Mitigation budgets are limited and treatments compete for them. Managing them as a portfolio — loss reduction per peso invested — puts money where it reduces the most exposure, and a formal acceptance authority makes sure residual risk is a decision, not an accident (ISO 31000 — Risk management guidelines).

Los presupuestos de mitigación son limitados y los tratamientos compiten por ellos. Gestionarlos como portafolio —reducción de pérdida por peso invertido— pone el dinero donde más exposición reduce, y una autoridad de aceptación formal asegura que el riesgo residual sea una decisión, no un accidente (ISO 31000 — Directrices de gestión del riesgo).

03How it is doneCómo se hace

1
Assign a treatment to each priority risk.. Avoid, reduce, transfer or accept, with a short rationale.
2
Estimate cost and loss reduction.. For each mitigation, what it costs and how much exposure it removes.
3
Rank and fund as a portfolio.. Highest loss reduction per peso first.
4
Document residual acceptance.. Signed by the level the acceptance matrix requires.
1
Asigna un tratamiento a cada riesgo prioritario.. Evitar, reducir, transferir o aceptar, con una breve justificación.
2
Estima costo y reducción de pérdida.. Para cada mitigación, cuánto cuesta y cuánta exposición elimina.
3
Ordena y financia como portafolio.. Primero la mayor reducción de pérdida por peso.
4
Documenta la aceptación del residual.. Firmada por el nivel que exige la matriz de aceptación.

04The concept in depthEl concepto a fondo

🏛️The four treatments and the portfolio view›
Every prioritized risk receives one of four treatments: avoid (exit the exposure), reduce (lower probability or impact), transfer (insurance, contracts), or accept (documented residual risk). The portfolio view matters because treatments compete for the same budget: dual-sourcing one component may cost more than parametric insurance on three others. Mature organizations manage mitigation as an investment portfolio — expected loss reduction per peso invested — rather than treating each risk in isolation.
🔍Residual risk and the acceptance authority›
After mitigation, residual risk remains — and someone with appropriate authority must formally accept it. The acceptance-authority matrix (what level of residual exposure each management layer may sign off) is the governance backbone of the portfolio. Without it, acceptance happens by default and surfaces only post-event, when 'who decided we could live with this?' has no documented answer.
🏛️Los cuatro tratamientos y la vista de portafolio›
Cada riesgo priorizado recibe uno de cuatro tratamientos: evitar (salir de la exposición), reducir (bajar probabilidad o impacto), transferir (seguros, contratos) o aceptar (riesgo residual documentado). La vista de portafolio importa porque los tratamientos compiten por el mismo presupuesto: tener dos fuentes para un componente puede costar más que un seguro paramétrico sobre otros tres. Las organizaciones maduras gestionan la mitigación como un portafolio de inversión —reducción de la pérdida esperada por peso invertido— en lugar de tratar cada riesgo por separado.
🔍El riesgo residual y la autoridad de aceptación›
Después de mitigar queda un riesgo residual, y alguien con la autoridad adecuada debe aceptarlo formalmente. La matriz de autoridad de aceptación (qué nivel de exposición residual puede firmar cada nivel directivo) es la columna vertebral del gobierno del portafolio. Sin ella, la aceptación ocurre por omisión y solo sale a la luz después del evento, cuando la pregunta “¿quién decidió que podíamos vivir con esto?” no tiene respuesta documentada.

05How it is measuredCómo se mide

Mitigation coverage
Share of top exposures with an active, funded treatment.
Residual risk acceptance rate
Share of residual risks formally accepted by the required authority.
Cobertura de mitigación
Proporción de las principales exposiciones con un tratamiento activo y financiado.
Tasa de aceptación del riesgo residual
Proporción de riesgos residuales aceptados formalmente por la autoridad requerida.

06What you would useQué se usa

GRC platforms with treatment tracking, portfolio analysis in BI tools, and the risk register.

Plataformas GRC con seguimiento de tratamientos, análisis de portafolio en herramientas de BI y el registro de riesgos.

The bottom lineEn corto

Fund mitigation like an investment portfolio. Choose a treatment per risk, rank by loss reduction per peso and make residual risk an explicit, signed decision.

Financia la mitigación como un portafolio de inversión. Elige un tratamiento por riesgo, ordena por reducción de pérdida por peso y haz del riesgo residual una decisión explícita y firmada.

← PreviousAnteriorRisk monitoring & early-warning systemsMonitoreo de riesgos y sistemas de alerta tempranaNextSiguiente →Third-party & supplier risk management (TPRM)Gestión de riesgo de terceros y proveedores (TPRM)

All D17 componentsTodos los componentes de D17D17 artifactsArtifacts de D17SCRA