Es una descripción organizada y calificada de actividades, sus riegos asociados y de sus controles, que permiten registrar la información relativa a estos aspectos, la cual es la base para la administración del riesgo que realiza el responsable de cada proceso.