MINTIC - Lineamientos para la administración de riesgos 2026

MIG-TIC-MA-008 Lineamientos para la Administracion de Riesgos V20 Pág 1/45

FORTALECIMIENTO ORGANIZACIONAL

CÓDIGO

MIG-TICMA-008

LINEAMIENTOS PARA LA ADMINISTRACION DE

RIESGOS

VERSIÓN

20 Clasificación de la Información Pública

TABLA DE CONTENIDO

1. OBJETIVO

2. ALCANCE

3. DEFINICIONES

4. NORMATIVIDAD

5. DOCUMENTOS ASOCIADOS

6. DESARROLLO

7.CULTURA EN MATERIA DE ADMINISTRACIÓN DEL RIESGO

8.ROLES Y RESPONSABILIDADES EN LA GESTIÓN DEL RIESGO

9.POLÍTICA DE ADMINISTRACIÓN DE RIESGOS

10.ADMINISTRACIÓN DE RIESGOS

11.OPORTUNIDAD DE MEJORA

12.CAPACITACIÓN Y APROPIACIÓN

13.AUDITORIA INTERNA

1. OBJETIVO Presentar el compromiso de la Dirección del Ministerio de Tecnologías de la Información y las Comunicaciones en cuanto a la gestión del riesgo bajo el marco que brinda el Manual Operativo del Modelo Integrado de Planeación y Gestión, en su dimensión y política de Control Interno, componente Evaluación del Riesgo del Modelo Estándar de Control Interno -MECI, y las directrices que se establecen en el estatuto anticorrupción establecido en la Ley 1474 de 2011.

Este documento es una guía para los líderes y gestores de los procesos y, colaboradores del Ministerio/Fondo Único de TIC, en la gestión del riesgo aplicada a todos

los niveles de la organización. Los lineamientos aquí establecidos para la Administración de Riesgos de Gestión, Corrupción, Fiscales, De Iniciativas y proyectos, Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de los Servicios del Ministerio, Seguridad y Salud en el Trabajo y Ambientales, buscan contribuir al fortalecimiento del Sistema Institucional de Control Interno -SICI y del Sistema Integrado de Gestión -SIG de la Entidad, facilitando el autocontrol, la autogestión, la autorregulación y la autoevaluación que generen una disminución considerable en la incertidumbre, en el cumplimiento de los objetivos institucionales y de igual forma hacer del cumplimiento de los mismos con eficiencia, eficacia y efectividad. (Por hallazgo de auditoría de gestión).

2. ALCANCE El Manual para la Administración del Riesgo, aplica para la identificación, análisis, valoración, tratamiento, monitoreo, control y comunicación de los riesgos de Gestión, Corrupción, Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la operación de los Servicios del Ministerio, Seguridad y Salud en el Trabajo y Ambientales de la Entidad.

Aplica para los riesgos considerados en el mapa de riesgos institucional. El presente Manual establece los lineamientos para la Administración de los riesgos más significativos de la Entidad, que debe ser aplicado bajo el enfoque por procesos alineado a las cadenas de valor del Modelo Integrado de Gestión - MIG, en el marco del Manual Operativo del Modelo Integrado de Planeación y GestiónMIPG, guías y anexos complementarias, el componente establecido para el tema en el Modelo Estándar de Control Interno -MECI, la Guía para la administración del

riesgo y el diseño de controles en entidades públicas - Riesgos de gestión, corrupción y seguridad de la información - Versión 5 emitida por el Departamento Administrativo de la Función Pública - DAFP, Plan Institucional de Gestión Ambiental AGI-TIC-MA-002 y guía GTC 45 versión 2012.

3. DEFINICIONES

3.1. .ACTIVO. : Recurso tangible o intangible de la entidad contable pública obtenido como consecuencia de hechos pasados, y del cual se espera que fluyan un potencial de servicios o beneficios económicos futuros, a la entidad contable pública en desarrollo de sus funciones de cometido estatal. Estos recursos, tangibles e intangibles, se originan en las disposiciones legales, en los negocios jurídicos y en los actos o hechos financieros, económicos, sociales y ambientales de la entidad contable pública. Desde el punto de vista económico, los activos surgen como consecuencia de transacciones que implican el incremento de los pasivos, el patrimonio o la realización de ingresos. También constituyen activos los bienes públicos que están bajo la responsabilidad de las entidades contables públicas pertenecientes al gobierno general. 3.2.

ACTIVO DE INFORMACIÓN : Conocimiento o información que tiene valor para la organización.

3.3.

ADMINISTRACIÓN DEL RIESGO : un proceso efectuado por la alta dirección de la entidad y por todo el personal para proporcionar a la administración un aseguramiento razonable con respecto al logro de los objetivos. El enfoque de riesgos no se determina solamente con el uso de la metodología, sino logrando que la evaluación de los riesgos se convierta en una parte natural del proceso de planeación.

3.4.

AMENAZA : causa potencial de un incidente no deseado que puede resultar en perjuicio de un sistema o la organización.

3.5.

AUTOCONTROL

:

3.4.

AMENAZA : causa potencial de un incidente no deseado que puede resultar en perjuicio de un sistema o la organización.

3.5.

AUTOCONTROL : la capacidad que tiene cada servidor público para detectar las desviaciones en su trabajo y realizar los correctivos necesarios; en tal virtud, la autoevaluación, como herramienta complementaria al autocontrol se convierte en un instrumento básico para la mejora continua de las entidades.

3.6.

AUTOGESTIÓN : proporcionar una estructura de control de la gestión que especifique los elementos y parámetros necesarios para construir y fortalecer el

Sistema Institucional de Control Interno -SICI. 3.7.

AUTORREGULACIÓN : son todas las iniciativas que adopta la organización para regularse a sí mismas, mediante la fijación de estándares supervisiones y metas para poder reducir la contaminación.

3.8.

AUTOEVALUACIÓN : proceso periódico, en el cual participan los servidores (colaboradores de la Entidad) que dirigen y ejecutan los procesos, programas y/o proyectos, según el grado de responsabilidad y autoridad para su operación.

Pública - COPIA CONTROLADAMIG-TIC-MA-008 Lineamientos para la Administracion de Riesgos V20 Pág 2/45 3.9.

CONFIDENCIALIDAD : Propiedad que determina que la información sólo esté disponible y sea revelada a individuos, entidades o procesos autorizados.

3.10. COMITÉ INSTITUCIONAL DE COORDINACIÓN DE CONTROL INTERNO - CICCI : Reglamentado en el MinTIC/Fondo Único de TIC, mediante la Resolución 033 de 2020. 3.11.

CONSECUENCIA.

:

COMITÉ INSTITUCIONAL DE COORDINACIÓN DE CONTROL INTERNO - CICCI : Reglamentado en el MinTIC/Fondo Único de TIC, mediante la Resolución 033 de 2020. 3.11.

CONSECUENCIA. : los efectos o situaciones resultantes de la materialización del riesgo que impactan en el proceso, la entidad, sus grupos de valor y demás partes interesadas

3.12.

CONTEXTO EXTERNO : Ambiente externo en el cual la organización busca alcanzar sus objetivos.

3.13.

CONTEXTO INTERNO : enfoque centrado en los aspectos que impactan directamente los objetivos del Ministerio

3.14.

CONTEXTO DEL PROCESO : determina las características o aspectos esenciales del proceso y sus interrelaciones, teniendo en cuenta el nuevo modelo de operación por procesos

3.15.

CONTROL : medida que modifica el riesgo (procesos, políticas, dispositivos, prácticas u otras acciones).

3.16.

CONTROL DETECTIVO : Control que está diseñado para identificar un evento o resultado no previsto después de que se haya producido.

3.17.

CONTROL PREVENTIVO : Control que está diseñado para evitar un evento no deseado en el momento en que se produce.

3.18.

CONTROL CORRECTIVO : Aquellos que permiten, después de ser detectado el evento no deseado, el restablecimiento de la actividad.

3.19.

DISPONIBILIDAD : Propiedad de que la información sea accesible y utilizable por solicitud de una entidad autorizada, cuando ésta así lo requiera.

3.20.

EVENTO : Ocurrencia o cambio de un conjunto particular de circunstancias. [ISO/IEC 27000:2009]. Un evento puede tener una o más consecuencias, o puede

3.20.

EVENTO : Ocurrencia o cambio de un conjunto particular de circunstancias. [ISO/IEC 27000:2009]. Un evento puede tener una o más consecuencias, o puede tener diferentes causas; puede consistir en algo no ocurrido, y puede ser referido algunas veces como un “incidente” o “accidente”.

3.21.

EVENTO MATERIALIZADO : situación que evidencia la materialización del riesgo.

3.22.

ESTABLECIMIENTO DEL CONTEXTO : Definición de los parámetros internos y externos que se han de tomar en consideración cuando se gestiona el riesgo.

3.23.

FACTOR DE RIESGO : toda característica proveniente del contexto cuya presencia o comportamiento incide en una mayor o menor probabilidad de materialización de una o varias causas asociadas a uno o varios riesgos.

3.24.

FACTORES DE RIESGO DE FRAUDE : hechos o circunstancias que indiquen la existencia de un incentivo o elemento de presión para cometer fraude o que proporcionen una oportunidad para cometerlo.

3.25.

FRAUDE : un acto intencionado realizado por una o más personas de la dirección, los responsables del gobierno de la entidad, los empleados o terceros, que conlleve la utilización del engaño con el fin de conseguir una ventaja injusta o ilegal.

3.26.

FUENTES DE RIESGO EXTERNAS : son eventos asociados a la fuerza de la naturaleza u ocasionados por terceros, que escapan en cuanto a su causa y origen al control de la entidad.

3.27.

GESTIÓN DEL RIESGO : Proceso efectuado por la alta dirección de la entidad y por todo el personal para proporcionar a la administración un aseguramiento razonable con respecto al logro de los objetivos.

3.28.

IDENTIFICACIÓN DEL RIESGO

:

GESTIÓN DEL RIESGO : Proceso efectuado por la alta dirección de la entidad y por todo el personal para proporcionar a la administración un aseguramiento razonable con respecto al logro de los objetivos.

3.28.

IDENTIFICACIÓN DEL RIESGO : etapa en la cual se deben establecer las fuentes o factores de riesgo, los eventos o riesgos, sus causas y sus consecuencias

3.29. INFORMACIÓN (ISO 9001) : Datos que poseen significado. 3.30.

IMPACTO : Se define como un resultado de los efectos de un proyecto, y la determinación que este exige al establecimiento de objetivos operacionales que permita vincular el proyecto con los efectos resultantes de su implementación.

3.31.

LÍDER O RESPONSABLE DEL PROCESO: : persona con la responsabilidad y autoridad para gestionar un riesgo.

3.32.

LÍNEAS DE DEFENSA DEL SICI : Esquema de responsabilidades del SICI, que proporciona una manera simple y efectiva para mejorar las comunicaciones en la gestión de riesgos y control mediante la aclaración de las funciones y deberes esenciales relacionadas.

3.33.

MAPA DE RIESGOS : documento con la información resultante de la gestión del riesgo.

3.34.

MAPA DE RIESGOS INSTITUCIONAL : contiene a nivel estratégico los mayores riesgos a los cuales está expuesta la entidad, permitiendo conocer las políticas inmediatas de respuesta ante ellos (políticas operativas/procesosCódigo de buen gobierno)

3.35.

MAPA DE RIESGOS POR PROCESO : facilita la elaboración del mapa institucional, que se alimenta de éstos, teniendo en cuenta que solamente se

3.35.

MAPA DE RIESGOS POR PROCESO : facilita la elaboración del mapa institucional, que se alimenta de éstos, teniendo en cuenta que solamente se trasladan al institucional aquellos riesgos que permanecieron en las zonas más altas de riesgo y que afecten el cumplimiento de la misión institucional y objetivos de la entidad.

3.36. MODELO ESTÁNDAR DE CONTROL INTERNO (MECI) : Proporcionar una estructura de control de la gestión que especifique los elementos necesarios para construir y fortalecer el Sistema de Control Interno, a través de un modelo que determine los parámetros necesarios (autogestión) para que las entidades establezcan acciones, políticas, métodos, procedimientos, mecanismos de prevención, verificación y evaluación en procura de su mejoramiento continuo (autorregulación), en la cual cada uno de los servidores de la entidad se constituyen en parte integral (autocontrol). 3.37. PLAN ANTICORRUPCIÓN Y DE ATENCIÓN AL CIUDADANO : plan que contempla la estrategia de lucha contra la corrupción que debe ser implementada por todas las entidades del orden nacional, departamental y municipal 3.38.

PARTE INVOLUCRADA : persona u organización que puede afectar o verse afectada o percibirse a sí misma como afectada por una decisión o una actividad. Probabilidad: se entiende la posibilidad de ocurrencia del riesgo, esta puede ser medida con criterios de frecuencia o factibilidad.

3.39.

PROBABILIDAD : se entiende como la posibilidad de ocurrencia del riesgo. Esta puede ser medida con criterios de frecuencia o factibilidad

3.40.

RIESGO DE CORRUPCIÓN : posibilidad de que, por acción u omisión, se use el poder para desviar la gestión de lo público hacia un beneficio privado.

3.41.

3.40.

RIESGO DE CORRUPCIÓN : posibilidad de que, por acción u omisión, se use el poder para desviar la gestión de lo público hacia un beneficio privado.

3.41.

RIESGOS DE CUMPLIMIENTO : se asocian con la capacidad de la entidad para cumplir con los requisitos legales, contractuales, de ética pública y en general con su compromiso ante la comunidad.

3.42. RIESGOS DE SEGURIDAD DE LA INFORMACIÓN : Posibilidad de que una amenaza concreta pueda explotar una vulnerabilidad para causar una pérdida o daño en un activo de información. Suele considerarse como una combinación de la probabilidad de un evento y sus consecuencias que afecta la confidencialidad, integridad o disponibilidad de la información. 3.43.

RIESGO ESTRATÉGICO : se asocia con la forma en que se administra la Entidad. El manejo del riesgo estratégico se enfoca a asuntos globales relacionados con la misión y el cumplimiento de los objetivos estratégicos, la clara definición de políticas, diseño y conceptualización de la entidad por parte de la alta gerencia.

3.44.

RIESGOS FINANCIEROS : se relacionan con el manejo de los recursos de la entidad que incluyen: la ejecución presupuestal, la elaboración de los estados financieros, los pagos, manejos de excedentes de tesorería y el manejo sobre los bienes.

3.45.

RIESGOS DE IMAGEN : están relacionados con la percepción y la confianza por parte de la ciudadanía hacia la institución.

3.46.

RIESGOS OPERATIVOS : comprenden riesgos provenientes del funcionamiento y operatividad de los sistemas de información institucional, de la definición de los procesos, de la estructura de la entidad, de la articulación entre dependencias.

3.46.

RIESGOS OPERATIVOS : comprenden riesgos provenientes del funcionamiento y operatividad de los sistemas de información institucional, de la definición de los procesos, de la estructura de la entidad, de la articulación entre dependencias.

3.47.

RIESGO DE GESTIÓN : posibilidad de que suceda algún evento que tendrá un impacto sobre el cumplimiento de los objetivos. Se expresa en términos de probabilidad y consecuencia

3.48.

RIESGO RESIDUAL : : Nivel de riesgo propio de la actividad. El resultado de combinar la probabilidad con el impacto nos permite determinar el nivel del riesgo inherente, dentro de unas escalas de severidad.

3.49.

RIESGO DE SEGURIDAD DIGITAL : combinación de amenazas y vulnerabilidades en el entorno digital. Puede debilitar el logro de objetivos económicos y sociales, así como afectar la soberanía nacional, la integridad territorial, el orden constitucional y los intereses nacionales. Incluye aspectos relacionados con el ambiente físico, digital y las personas

3.50.

RIESGOS DE TECNOLOGÍA : están relacionados con la capacidad tecnológica de la Entidad para satisfacer sus necesidades actuales y futuras y el cumplimiento de la misión.

Pública - COPIA CONTROLADAMIG-TIC-MA-008 Lineamientos para la Administracion de Riesgos V20 Pág 3/45 3.51. SISTEMA DE INFORMACIÓN DEL MIG – SIMIG : Herramienta del MIG en la cual se gestiona y presenta la información relacionada con el

enfoque de procesos del Ministerio/Fondo Único de Tecnologías de la Información y las Comunicaciones, tales como: indicadores de gestión, riesgos, acciones de mejora, producto no conforme, documentación controlada de los procesos, entre otros. 3.52. SISTEMA INSTITUCIONAL DE CONTROL INTERNO -SICI : Estructurado bajo el MECI, es el conjunto de planes, métodos, principios, normas, procedimientos y mecanismos de verificación y evaluación adoptados por una entidad, con el fin de procurar que todas las actividades, operaciones y actuaciones, así como la administración de la información y de los recursos, se lleven a cabo de acuerdo con las normas constitucionales y legales vigentes dentro de las políticas trazadas por la alta dirección y en atención a las metas u objetivos previstos. 3.53.

STAKEHOLDERS : son las personas y las organizaciones quienes pueden ser afectadas, afectan o perciben que ellos mismos pueden ser afectados por una decisión o actividad. Se conocen también como “Partes Interesadas”.

3.54.

TOLERANCIA AL RIESGO : son los niveles aceptables de desviación relativa a la consecución de objetivos. Pueden medirse y a menudo resulta mejor, con las mismas unidades que los objetivos correspondientes. Para el riesgo de corrupción la tolerancia es inaceptable.

3.55.

VULNERABILIDAD : es una debilidad, atributo, causa o falta de control que permitiría la explotación por parte de una o más amenazas contra los activos.

3.56.

FUENTE DE AMENAZA : Se define como cualquier circunstancia o evento con el potencial para causar daños a un sistema o a una organización.

Las

3.56.

FUENTE DE AMENAZA : Se define como cualquier circunstancia o evento con el potencial para causar daños a un sistema o a una organización.

Las fuentes comunes de amenazas de interrupción son las siguientes: • Amenazas naturales: Inundaciones, terremotos, deslizamientos de tierras, tormentas eléctricas y otros eventos similares. • Amenazas humanas: Eventos activados o causados por las personas, tales como actos no intencionados (errores en la entrada de datos) o malintencionados (ataques a la red, activación de software malicioso, acceso no autorizado a información confidencial). Incluye situaciones de alteración del orden público. • Amenazas ambientales: Eventos asociados a la polución, dispersión de líquidos y cambio climático (Escasez de recursos naturales) y enfermedades virales.

• Amenazas Tecnológicas: Faltas prolongadas de energía eléctrica, fallas en hardware y fallas en redes de comunicaciones.

3.57.

INTERRUPCIÓN : Evento bien sea anticipado o no anticipado, el cual causa una alteración no planeada, desviación negativa de la expectativa de entrega de productos o servicios de acuerdo con los objetivos organizacionales.

3.58.

RIESGO DE INTERRUPCIÓN : Corresponde al evento de interrupción que se generaría por la no disponibilidad de algún activo de información, afectando las actividades del proceso. Lo anterior a causa de fuentes internas o externas.

3.59.

APETITO DE RIESGO : : Es el nivel de riesgo que la entidad puede aceptar, relacionado con sus Objetivos, el marco legal y las disposiciones de la Alta Dirección y del Órgano de Gobierno. El apetito de riesgo puede ser diferente para los distintos tipos de riesgos que la entidad debe o desea gestionar.

3.60.

BIEN PÚBLICO

:

Dirección y del Órgano de Gobierno. El apetito de riesgo puede ser diferente para los distintos tipos de riesgos que la entidad debe o desea gestionar. 3.60.

BIEN PÚBLICO : Son todos aquellos muebles e inmuebles de propiedad pública (este concepto comprende: bienes del Estado y aquellos productos del ejercicio de una función pública a cargo de particulares). Estos se clasifican en bienes de uso público y bienes fiscales, definidos así: a) Bien de uso público: aquellos cuyo uso pertenece a todos los habitantes del territorio nacional. Ejemplos: Las calles, plazas, puentes, vías, parques etc. b) Bienes fiscales: aquellos que están destinados al cumplimiento de las funciones públicas o servicios públicos (Consejo de Estado, 2012), es decir, afectos al desarrollo de su misión y utilizados para sus actividades. Ejemplos: Los terrenos, edificios, oficinas, colegios, hospitales, otras construcciones, fincas, granjas, equipos, enseres, mobiliario etc.

3.61.

CAUSA.. : Todos aquellos factores internos y externos que solos o en combinación con otros, pueden producir la materialización de un riesgo.

3.62.

CAUSA INMEDIATA : Circunstancias bajo las cuales se presenta el riesgo, pero no constituyen la causa principal o base para que se presente el riesgo.

3.63.

CAUSA RAÍZ. : Causa principal o básica, corresponde a las razones por la cuales se puede presentar el riesgo

3.64.

CONTROL. : Medida que permite reducir o mitigar un riesgo

3.65.

FACTORES DE RIESGO : Son las fuentes generadoras de riesgos.

3.66.

GESTOR FISCAL

:

3.64.

CONTROL. : Medida que permite reducir o mitigar un riesgo

3.65.

FACTORES DE RIESGO : Son las fuentes generadoras de riesgos.

3.66.

GESTOR FISCAL : Son los servidores públicos y las personas de derecho privado que manejen o administren recursos o fondos públicos, desarrollando actividades económicas, jurídicas y tecnológicas, tendientes a la adecuada y correcta adquisición, planeación, conservación, administración, custodia, explotación, enajenación, consumo, adjudicación, gasto, inversión y disposición de los bienes.

3.67.

GESTOR PÚBLICO : Es todo aquel que participa, concurre, incide o contribuye directa o indirectamente en el manejo o administración de bienes, recursos o intereses patrimoniales de naturaleza pública, sean o no gestores fiscales, por lo tanto, son todos los gestores públicos y no sólo los que desarrollan gestión fiscal, los llamados a prevenir riesgos fiscales”. A título de ejemplo, además de los gestores fiscales, son gestores públicos, entre otros (sin perjuicio de las particularidades de cada entidad): los contratistas, los interventores, los supervisores y en general todos los servidores públicos.

3.68. INTERESES PATRIMONIALES DE NATURALEZA PÚBLICA : Son expectativas razonables de beneficios, que en condiciones normales se espera obtener o recibir y que sean susceptible de estimación económica. A diferencia del recurso público, los intereses patrimoniales de naturaleza pública son expectativas. 3.69.

NIVEL DE RIESGO : Es el valor que se determina a partir de combinar la probabilidad de ocurrencia de un evento potencialmente dañino y la magnitud del

expectativas. 3.69.

NIVEL DE RIESGO : Es el valor que se determina a partir de combinar la probabilidad de ocurrencia de un evento potencialmente dañino y la magnitud del impacto que este evento traería sobre la capacidad institucional de alcanzar los objetivos. En general la fórmula del Nivel del Riesgo poder ser Probabilidad Impacto, sin embargo, pueden relacionarse las variables a través de otras maneras diferentes a la multiplicación, por ejemplo, mediante una matriz de Probabilidad – Impacto.

3.70.

PATRIMONIO PÚBLICO : Se entiende como el conjunto de bienes o recursos o intereses patrimoniales de naturaleza pública, susceptibles de estimación económica (artículo 6 Ley 610 de 2000 y sentencia C340-07).

3.71.

PROBABILIDAD: : Posibilidad de ocurrencia de un evento de riesgo, medida en función de frecuencia o factibilidad (ISO 31000:2018).

3.72.

PUNTO DE RIESGO : Actividades en las que potencialmente se genera riesgo. Tratándose de riesgo fiscal los puntos de riesgo son todas las actividades que representen gestión fiscal, por ejemplo, aquellas de administración, gestión, ordenación, ejecución, manejo, adquisición, planeación, conservación, custodia, explotación, enajenación, consumo, adjudicación, gasto, inversión y disposición de los bienes o recursos públicos o intereses de naturaleza pública.

3.73.

RECURSO PÚBLICO : Para efectos del capítulo de riesgos fiscales, entiéndase como recurso público, los dineros comprometidos y ejecutados en ejercicio de la función pública.

3.74.

RIESGO FISCAL : Es el efecto dañoso sobre los recursos públicos y/o los bienes y/o intereses patrimoniales de naturaleza pública, a causa de un evento potencial.

de la función pública. 3.74.

RIESGO FISCAL : Es el efecto dañoso sobre los recursos públicos y/o los bienes y/o intereses patrimoniales de naturaleza pública, a causa de un evento potencial.

3.75.

RIESGO.. : efecto que se causa sobre los objetivos de las entidades, debido a eventos potenciales. Nota: Los eventos potenciales hacen referencia a la posibilidad de incurrir en pérdidas por deficiencias, fallas o inadecuaciones, en el recurso humano, los procesos, la tecnología, la infraestructura o por la ocurrencia de acontecimientos externos.

3.76.

RIESGO INHERENTE: : Nivel de riesgo propio de la actividad. El resultado de combinar la probabilidad con el impacto nos permite determinar el nivel del riesgo inherente, dentro de unas escalas de severidad.

3.77.

TOLERANCIA DEL RIESGO : : Es el valor de la máxima desviación admisible del nivel de riesgo con respecto al valor del Apetito de riesgo determinado por la entidad.

3.78.

RIESGO POSITIVO : riesgo de oportunidad, es un evento futuro incierto que, si ocurre, puede tener un impacto favorable en los objetivos de una organización o proyecto, generando beneficios, ventajas o mejoras, en lugar de pérdidas

4. NORMATIVIDAD Le aplican a este lineamiento el siguiente orden por jurisprudencia normativa: Ley 87 de 1993. Por la cual se establecen normas para el ejercicio del control interno en las entidades y organismos del Estado y se dictan otras disposiciones.

(Modificada parcialmente por la Ley 1474 de 2011). ]. En su artículo 2º, numeral f, establece dentro de uno de los objetivos del Sistema de Control Interno está la de definir y aplicar medidas para prevenir los riesgos, detectar y corregir las desviaciones que se presentan en la organización y que puedan afectar el logro de sus objetivos. Ley 489 de 1998. Estatuto Básico de Organización y Funcionamiento de la Administración Pública. Capítulo VI. Sistema Nacional de Control Interno. En su artículo 27 Pública - COPIA CONTROLADAMIG-TIC-MA-008 Lineamientos para la Administracion de Riesgos V20 Pág 4/45 crea el Sistema Nacional de Control Interno [6], conformado por el conjunto de instituciones, instancias de participación, políticas, normas, procedimientos, recursos, planes, programas, proyectos, metodologías, sistemas de información y tecnología aplicable, inspirado en los principios constitucionales de la función administrativa cuyo sustento fundamental es el servidor público. Ley 1474 de 2011. Estatuto Anticorrupción. Por la cual se dictan normas orientadas a fortalecer los mecanismos de prevención, investigación y sanción de actos de corrupción, y la efectividad del control de la gestión pública. Artículo 73. Plan Anticorrupcción y de Atención al Ciudadano. Ley 1712 de 2012. Por la cual se crea la Ley de transparencia y del Decreto de Acceso a la Información Pública Nacional. Ley 1581 de 2012. "Por la cual se dictan

disposiciones generales para la protección de datos personales" Decreto 1537 de 2001. Por el cual se reglamenta parcialmente la Ley 87 de 1993 en cuanto a elementos técnicos y administrativos que fortalezcan el sistema de control interno de las entidades y organismos del estado. El parágrafo del Artículo 4º señala los objetivos del sistema de control interno (...) define y aplica medidas para prevenir los riesgos, detectar y corregir las desviaciones (...) y en su Artículo 3º establece el rol que deben desempeñar las oficinas de control interno (...) que se enmarca en cinco tópicos (...) valoración de riesgos. Así mismo establece en su Artículo 4º la administración de riesgos, como parte integral del fortalecimiento de los sistemas de control interno en las entidades públicas Decreto 648 de 2017. Por el cual se modifica y adiciona el Decreto 1083 de 2015, Decreto Único Sectorial de Función Pública. Regula la organización de las Oficinas de Control Interno, su rol. Actualiza lo relativo al Comité Institucional de Coordinación de Control Interno en las entidades de la Rama Ejecutiva del orden nacional frente a las nuevas tendencias internacionales en materia de auditoría interna. Que como consecuencia del cambio de autoridad nominadora dada con la Ley 1474 de 2011, imparte directrices que permitan la interacción efectiva del Jefe de Control Interno. Actualiza el Título 25 de la Parte 2 del Libro 2 sobre el Premio Nacional de Alta Gerencia y el Banco de Éxitos conforme a las mejores prácticas internacionales. Decreto 1499 de 2017. Por el cual modifica parcialmente el Decreto 1083 de 2015, Decreto Único Reglamentario del Sector Función Pública, en lo relacionado con el

Sistema de Gestión establecido en el artículo 133 de la Ley 1753 de 2015. Decreto 1083 de 2015, Único Reglamentario del Sector de Función Pública, en lo relacionado con el Sistema de Control Interno y se crea la Red Anticorrupción. Artículo 2 Objetivos del control interno: literal a). Proteger los recursos de la organización, buscando su adecuada administración ante posibles riesgos que los afectan. Literal f). Definir y aplicar medidas para prevenir los riesgos, detectar y corregir las desviaciones que se presenten en la organización y que puedan afectar el logro de los objetivos. Directiva Presidencial 09 de 1999. Lineamientos para la implementación de la política de lucha contra la corrupción. Decreto 2593 del 2000. Por el cual se modifica parcialmente el Decreto 2145 de noviembre 4 de 1999. Resolución 033 de 2020. Por la cual se conforma el Comité Institucional de Coordinación de Control Interno del Ministerio/Fondo Único de Tecnologías de la Información y las Comunicaciones. Define funciones para aprobación de la política de administración del riesgo, dar lineamiento sobre la administración de los riesgos y hacer seguimiento, en especial, a la prevención, detección de fraude y mala conducta. Resolución 2238 de 2024. Por la cual se adopta la Política de Tratamiento de Datos Personales del Ministerio/Fondo Único de Tecnologías de la Información y las comunicaciones y se definen lineamientos frente al uso y manejo de la información y deroga la Resolución 924 de 2020.

Resolución 860 de 2025. Por la cual se actualiza el Modelo Integrado de Gestión (MIG) y el Sistema Integrado de Gestión (SIG) del Ministerio de Tecnologías de la Información y las Comunicacione