7424
post-template-default,single,single-post,postid-7424,single-format-standard,cookies-not-set,stockholm-core-1.1,cooltimeline-body,select-child-theme-ver-1.0.0,select-theme-ver-5.1.8,ajax_fade,page_not_loaded,menu-animation-underline,fs-menu-animation-underline,wpb-js-composer js-comp-ver-6.0.5,vc_responsive
Title Image

ISO 31000:2018 – Fundamentos de Gestión de Riesgos

Un daño a la reputación de la empresa o de la marca, un delito cibernético, un accidente laboral, incumplimientos legales y/o regulatorios, o un acto de terrorismo son ejemplos de algunos de los riesgos que las organizaciones privadas y públicas de todo tipo y tamaño en todo el mundo deben enfrentar con mayor frecuencia.

La versión 2018 de la Norma ISO 31000 busca ayudar a manejar la incertidumbre que se presenta en cada decisión de una organización, ya que hacer frente al riesgo es parte de la gobernanza y el liderazgo, y es fundamental para la gestión de una organización en todos los niveles.

 

ISO 31000:2018 - GESTION DE RIESGOS

ISO 31000:2018 – GESTION DE RIESGOS

 

De este modo, ISO 31000:2018 ofrece una guía más clara, breve y concisa que ayuda a las organizaciones a utilizar principios de gestión de riesgos para mejorar la planificación y tomar mejores decisiones, estableciendo a su vez una referencia en lo relativo al riesgo para los estándares de ISO que dan lugar a otros sistemas de gestión, tales como ISO 9001:2015 (Calidad), 14001:2015 (Medio Ambiente), 45001:2018 (Salud y Seguridad en el Trabajo), 50001:2018 (Energía), etc., los que, tras la aprobación por parte de ISO de la estructura de alto nivel (HLS) en 2012 para todos los estándares ISO y sus revisiones, tienen que incluir una consideración del riesgo.

 

CONCEPTOS SOBRE GESTION DE RIESGOS

De acuerdo con la norma ISO 31000:2018, el Riesgo es el “efecto de la incertidumbre sobre los objetivos” y un efecto es una desviación positiva o negativa de lo que se espera.

Este estándar reconoce que las organizaciones operan en un medio incierto, de forma tal que cuando se trata de lograr un objetivo, siempre existe la posibilidad de que las cosas no vayan de acuerdo al plan. Cada paso tiene un elemento de riesgo que necesita ser gestionado y todo resultado es incierto: a veces se obtienen resultados positivos, otras veces se obtienen resultados negativos y en otras ocasiones se obtienen ambos.

La definición tradicional de riesgo combina tres elementos: comienza con un evento potencial y luego combina su probabilidad con su potencial severidad.
Un evento de alto riesgo tendría una alta probabilidad de ocurrir y un severo impacto si realmente ocurrió.

Mientras que ISO 31000 define el riesgo de una manera nueva e inusual, ambas definiciones son ampliamente compatibles, ya que hablan de los mismos fenómenos pero desde dos perspectivas diferentes. ISO 31000 piensa en Riesgo en términos orientados a objetivos, mientras que la definición tradicional piensa en riesgo en términos orientados a eventos.

Además de la propia definición del concepto de Riesgo, en el contexto de la Norma ISO 31000:2018 para gestión de riesgos, es muy importante tomar en consideración estos otros conceptos relacionados:

  • Comunicación y consulta: La comunicación y la consulta es un diálogo entre una organización y sus partes interesadas. Este diálogo es a la vez continuo, un proceso bidireccional, que implica compartir y recibir información sobre la gestión de riesgos, aunque no implica una toma de decisiones conjunta. Una vez concluida la comunicación y consulta, las decisiones se toman y las instrucciones son establecidas por la organización, no por las partes interesadas.
  • Consecuencia: Una consecuencia es el resultado de un evento y tiene un efecto en los objetivos. Un solo evento puede generar un rango de consecuencias que pueden tener efectos positivos y negativos sobre los objetivos. Las consecuencias iniciales también pueden escalar a través de efectos en cascada y efectos acumulativos.
  • Contexto: Establecer el contexto significa definir aspectos externos e internos, parámetros que las organizaciones deben tener en cuenta cuando gestionan el riesgo. El contexto externo de una organización incluye sus partes interesadas externas, su entorno local, nacional e internacional, así como cualquier otro factor externo que influya en sus objetivos. El contexto interno de una organización incluye sus partes interesadas internas, su enfoque de la gobernanza, sus relaciones contractuales y sus capacidades, cultura y estándares.
  • Control: Un control es cualquier medida o acción que modifica o regula el riesgo, como por ejemplo incluir cualquier política, procedimiento, práctica, proceso, tecnología, técnica, método,
    o dispositivo que modifique o regule el riesgo.
  • Evento: Un evento puede ser una ocurrencia, varias ocurrencias o incluso una no ocurrencia (cuando algo no sucede como debería haber ocurrido). También puede ser un cambio en las circunstancias. Los eventos siempre tienen causas y suelen tener consecuencias.
  • Gobernanza: La gobernanza incluye la estructura de la organización, políticas, objetivos, roles, responsabilidades, y el proceso de toma de decisiones.
  • Nivel de riesgo: El nivel de riesgo es su magnitud. Se estima considerando y combinando consecuencias y probabilidades. Se puede asignar un nivel de riesgo a un solo riesgo o a una combinación de riesgos. Las categorías comunes de riesgo incluyen las siguientes: riesgo extremo, riesgo alto, riesgo moderado y riesgo bajo. Por supuesto, cada organización debe definir cada categoría para asegurar que todos los involucrados están usando la misma terminología de la misma manera.
  • Probabilidad: es la posibilidad de que algo pueda suceder. La probabilidad puede ser definida, determinada y medida objetiva o subjetivamente, y puede expresarse de forma cualitativa o cuantitativa.
  • Riesgo residual: El riesgo residual es el riesgo que queda después de haber implementado un tratamiento de riesgo. Es el riesgo restante después de que se haya reducido el riesgo, se haya eliminado la fuente del riesgo, se modificaron las consecuencias o las probabilidades, se transfirió el riesgo, o fue retenido el riesgo.
  • Análisis de riesgo: El análisis de riesgos es un proceso que se utiliza para comprender la naturaleza, las fuentes, y las causas de los riesgos que se han identificado y para estimar el nivel de
    riesgo. También se utiliza para estudiar los impactos y consecuencias y para examinar los controles que existen actualmente. El nivel de detalle del análisis de riesgo dependerá del riesgo, el propósito del análisis, y la información y los recursos disponibles.
  • Evaluación de riesgos: Es un proceso que se utiliza para comparar el análisis de riesgos, con respecto a criterios de riesgo para determinar si un nivel especificado de riesgo es aceptable o tolerable.
  • Actitud de riesgo: La actitud de riesgo de una organización define su enfoque general del riesgo. La actitud de riesgo de la organización influye en cómo los riesgos son evaluados y abordados, y afecta también si los riesgos son o no tomados, tolerados, retenidos, compartidos, reducidos, o evitados, y si los tratamientos son o no implementados o pospuestos.
  • Criterios de riesgo: Los criterios de riesgo son términos de referencia y se utilizan para evaluar la importancia de los riesgos de una organización. Se utilizan para determinar si un nivel específico de riesgo es aceptable o tolerable. Los criterios de riesgo deben reflejar los valores, políticas y objetivos de la organización, y deben basarse en su estructura y el contexto interno, debe considerar las opiniones de los interesados ​​y debe derivarse de normas, leyes, políticas y otros requisitos.
  • Gestión de riesgos: La gestión de riesgos se refiere a un conjunto coordinado de actividades y métodos que se utiliza para dirigir una organización y para controlar los muchos riesgos que pueden afectar su capacidad para lograr objetivos. El término gestión de riesgos también se refiere al programa que se utiliza para gestionar el riesgo, el cual incluye principios de gestión de riesgos, un
    marco de gestión de riesgos, y un proceso de gestión de riesgos.
  • Plan de gestión de Riesgos:  El plan de gestión de riesgos de una organización describe cómo ésta pretende gestionar el riesgo. Describe los componentes de gestión, el enfoque y los recursos que se utilizan para gestionar el riesgo. Los componentes de gestión típicos incluyen procedimientos, prácticas, responsabilidades y actividades (incluyendo su secuencia y tiempo). Los planes de gestión pueden aplicarse a productos, procesos y proyectos, a toda la organización o cualquier parte de ella.
  • Política de gestión de riesgos: Una declaración de política define un compromiso general, dirección o intención. Entonces, una declaración de política de gestión de riesgos expresa el compromiso de una organización a la gestión de riesgos y aclara su orientación general o intención.
  • Propietario del riesgo: Un propietario de riesgo es una persona o entidad que ha recibido la autoridad para gestionar un riesgo particular y es responsable de hacerlo.
  • Fuente de riesgo: Una fuente de riesgo tiene el potencial intrínseco de generar riesgo. Una fuente de riesgo es donde se origina un riesgo. Entre las fuentes potenciales de riesgo se encuentran las relaciones y obligaciones comerciales, requisitos legales, expectativas y pasivos, cambios y circunstancias económicas, aspectos tecnológicos, innovaciones y trastornos, cambios y tendencias políticas, eventos naturales, fuerzas, debilidades y tendencias humanas, y deficiencias y excesos de gestión. Todas estas cosas podrían generar un riesgo que debe ser gestionado.
  • Parte interesada: Una parte interesada es una persona u organización que puede afectar o ser afectada por una decisión o una actividad. Las partes interesadas también incluyen aquellos que tienen la percepción de que una decisión o una actividad puede afectarlos. ISO 31000 2018 distingue entre grupos de interés externos e internos.

 

CONCLUSIONES DE LA NORMA ISO 31000: 2018

 

ISO 31000:2018 - GESTION DE RIESGOS

ISO 31000:2018 – GESTION DE RIESGOS

 

A continuación se presentan algunas de las principales conclusiones de la norma ISO 31000:2018:

  • El Liderazgo es clave: El documento incluye un lenguaje claro sobre la importancia de un liderazgo fuerte y el compromiso con el programa de gestión de riesgos. La Alta Dirección debe garantizar que el proceso de gestión de riesgos esté totalmente integrado en todos los niveles de la organización y que esté fuertemente alineado con los objetivos, la estrategia y la cultura.
  • Considerar riesgos en las decisiones de negocios: ISO 31000: 2018 también incluye un recordatorio de que la Alta Dirección es responsable de garantizar que los riesgos se consideren adecuadamente cuando se toman las decisiones, ya que esos riesgos pueden afectar la capacidad de la organización para entregar valor.
  • Enfatizar la implementación apropiada: La Alta Dirección también deben garantizar que el proceso de administración de riesgos se implemente correctamente y que los controles tengan el efecto deseado.
  • Ser proactivo: la norma ISO 31000:2018 proporciona una guía poderosa para ayudar a los ejecutivos a tomar una postura proactiva sobre el riesgo y asegurar que la gestión del riesgo esté integrada con todos los aspectos de la toma de decisiones en todos los niveles de la organización. Esto incluye continuidad de negocios, cumplimiento, gestión de crisis, recursos humanos, TI y resiliencia organizacional.
  • Naturaleza cíclica de la gestión de riesgos: ISO 31000: 2018 se enfoca en la naturaleza cíclica de la administración de riesgos, ayudando a los líderes de seguridad a entender y controlar el impacto de los riesgos en los objetivos comerciales. Los diversos elementos de las directrices, desde los principios hasta el marco y el proceso, convergen para mejorar y fortalecer la capacidad de la organización para evaluar, comunicar y considerar los riesgos en las decisiones comerciales, y para seleccionar controles que ayuden a mitigar o transferir los riesgos para que se ajusten a las tolerancias de la organización.
  • Mejor información disponible: Gran parte de la gestión de riesgos se centra en la mejor información disponible, con toda la ambigüedad e imperfecciones que implica el término. En lugar de tratar de compartir solo información de riesgo absoluto, los CISO (directores de seguridad de la información) deben adoptar esta nebulosa comprensión y reflexionar sobre los datos de riesgo cibernético que proporcionan para consolidar su papel como asesores efectivos del negocio. Los datos que los CISO proporcionan deben ser relevantes y comprensibles, entregarse dentro de un marco de tiempo razonable y calificarse con las declaraciones apropiadas con respecto a su precisión.
  • Medir el éxito: Las directrices también enfatizan el valor de medir, evaluar y mejorar el propio sistema de gestión de riesgos. La idea no es hacer todo bien la primera vez, sino mejorar cada vez que se completa el ciclo. Incluso los datos de riesgo imperfectos pueden ser útiles, siempre que se presenten junto con una línea de tiempo que muestre una tendencia. Las líneas de tendencia plana pueden ser aceptables para algunos riesgos y controles, mientras que para otros, la Alta Dirección debe esperar ver claros signos de progreso.

 


ISOLUCION RIESGOS  

Los riesgos son reales, pero hay una forma más efectiva de controlarlos y minimizar su ocurrencia

¡No tome riesgos! ISOLUCIÓN® Riesgos es el software que apoya la gestión de forma ágil, eficiente y segura porque le permite identificar, analizar y aplicar los controles correctos en todos los procesos y actividades de su organización.5

SOLICITE UNA PRESENTACIÓN

Hugo González

Director y Fundador de Calidad & Gestión, es Ingeniero Civil, Master en Organización y Dirección de Empresas, y Auditor de Sistemas de Gestión certificado por el Instituto Latinoamericano para la Calidad INLAC, el Instituto Argentino para la Calidad IACC y el Instituto Argentino de Normalización y Certificación IRAM, habiendo realizado auditorías de sistemas de gestión en numerosas empresas de Argentina, Uruguay, Chile, Paraguay, Perú, Ecuador y Brasil.