La entidad debe contar con la siguiente documentación como mínimo:
El acta por medio de la cual la JD aprueba lo señalado en los literales a, b, c, d y g del subnumeral 3.1.1. de la Presente Parte.
La bitácora en la cual conste las actualizaciones y modificaciones del SIAR y el MAR.
El manual del SIAR, el cual debe incluir: las etapas, las políticas, las estrategias, los procedimientos, las metodologías y las responsabilidades y funciones del gobierno de riesgos, en relación con la gestión de cada uno de los riesgos señalados en las Partes II y III del presente Capítulo y su gestión integral. Los ajustes a este manual deben estar documentados.
Los modelos de riesgos.
El plan de continuidad del negocio y los planes de contingencia.
El sistema de alertas tempranas y demás indicadores implementados para el monitoreo de cada riesgo, así como las actuaciones, acciones correctivas y de mejora implementadas ante el incumplimiento de los límites o activación de las alarmas.
Los reportes elaborados por los diferentes órganos y funcionarios del gobierno de riesgos en relación con la gestión de riesgos y demás documentos que soporten el monitoreo de dicha gestión.
El código de ética o conducta.
La estructura organizacional del gobierno de riesgos.
El registro de eventos de riesgo operacional.
El SIAR debe estar debidamente documentado teniendo un respaldo en medios verificables y contando con un plan de conservación, custodia y seguridad de la información, de forma tal que sólo se permita su consulta por los funcionarios autorizados.