La entidad debe contar con la siguiente documentación como mínimo:
El acta por medio de la cual la JD aprueba lo señalado en los literales a, b, c, d y f del subnumeral 3.1. del presente Capítulo.
La bitácora en la cual conste las actualizaciones y modificaciones del SARE.
El manual del SARE, el cual debe incluir: las etapas, las políticas, las estrategias, los procedimientos, las metodologías y las responsabilidades y funciones del gobierno de riesgos, en relación con la gestión de los riesgos. Los ajustes a este manual deben estar documentados.
Los modelos de riesgos.
El plan de continuidad del negocio y el plan de contingencia.
Los reportes elaborados por los diferentes órganos y funcionarios del gobierno de riesgos en relación con la gestión de riesgos y demás documentos que soporten el monitoreo de dicha gestión.
El código de ética o conducta.
La estructura organizacional del gobierno de riesgos.
El registro de eventos de riesgo operacional.
El registro de los indicadores para el monitoreo del riesgo operacional, así como las acciones correctivas y de mejora.
El SARE debe estar debidamente documentado para teniendo un respaldo en medios verificables y contando con un plan de conservación, custodia y seguridad de la información, de forma tal que solo se permita su consulta por los funcionarios autorizados.