Una cuadrícula roja, ámbar y verde no es suficiente sin definiciones. Documenta qué significa cada nivel y evita una precisión falsa cuando la evidencia es limitada. Prioriza riesgos por exposición y urgencia, pero considera también interdependencias: varios riesgos medianos pueden compartir una causa crítica. No copies puntuaciones de otro proyecto sin revisar contexto y controles.

Establece revisiones periódicas y revisiones por evento, por ejemplo después de un cambio de alcance, un incidente o una nueva obligación. Cierra un riesgo solo cuando se cumpla el criterio definido y conserva el historial de decisiones. Los riesgos aceptados siguen siendo riesgos: registra quién los aceptó, durante cuánto tiempo y bajo qué condiciones.

Comprueba también la calidad de la respuesta propuesta. Una acción correctiva no es un control existente hasta que se implanta y se demuestra su funcionamiento. Diferencia medidas preventivas, detectivas y de recuperación; cada una cambia una parte distinta de la exposición. Si el tratamiento introduce un riesgo nuevo —por ejemplo, dependencia de un proveedor al transferir una operación— añádelo al análisis en vez de considerarlo resuelto.