De acuerdo con las prioridades establecidas en la etapa de análisis y evaluación de riesgos, la unidad responsable de la gestión de riesgo operacional, en conjunto con el dueño de cada proceso, debe analizar las distintas opciones para el tratamiento de los riesgos, definidas en la política de gestión de riesgo operacional, preparar planes de acción para su tratamiento y definir la forma en que estos últimos se implementarán.

Esta decisión debe estar documentada en la matriz de riesgos y controles, la cual, en este ámbito, debe indicar para cada proceso o subproceso revisado, a lo menos lo siguiente:

1. Descripción del riesgo.

2. Nivel de riesgo o riesgo inherente.

3. Descripción de la acción a tomar.

4. Responsable de la implementación.

5. Plazo y estado de la implementación.

6. Apoyo de otras áreas de la entidad.