Gestión de
Riesgos
(ISO
31000)
“Las organizaciones, no importa cuál sea su actividad y tamaño, afrontan
una serie de riesgos que pueden afectar a la consecución de sus objetivos.”
Todas las actividades de una organización están sometidas
de forma permanente a una serie de amenazas, lo cual las hace altamente
vulnerables, comprometiendo su estabilidad. Accidentes operacionales,
enfermedades, incendios u otras catástrofes naturales, son una muestra de este
panorama, sin olvidar las amenazas propias de su negocio.
Tradicionalmente, las organizaciones han tratado
estos riesgos mediantes estrategias de reacción y soluciones puntuales. No
obstante, la experiencia ha demostrado que los elementos que conforman los
riesgos y los factores que determinan el impacto de sus consecuencias sobre un
sistema, son los mismos que intervienen para todos los riesgos en una
organización. Por ello, la tendencia moderna es utilizar un enfoque integral de
manejo de los mismos conocido como “Enterprise
Risk Management” (ERM), con el fin de evaluar, administrar y comunicar
estos riesgos de una manera integral, basados en los objetivos estratégicos de
la organización.
La gestión integral de riesgos ha ganado impulso especialmente
a partir de la década de los noventa, lo que ha llevado la aparición de “Modelos de Gestión de Riesgos”,
algunos de ellos de carácter más específico, como por ejemplo: ISO 14000, ISO 22000, OHSAS, etc. y otros de
carácter más global como la norma AS/NZS 4630 o la norma ISO 31000.
Principios básicos para la Gestión del Riesgo
Para una mayor eficacia, la
gestión del riesgo en una organización debe tener en cuenta los siguientes
principios:
1.
Crea valor. Contribuye a la consecución de
objetivos así como la mejora de aspectos tales como la seguridad y salud
laboral, cumplimiento legal y normativo, protección ambiental, etc.
2.
Está integrada en los procesos de
una organización. No debe
ser entendida como una actividad aislada sino como parte de las actividades y
procesos principales de una organización.
3.
Forma parte de la toma de
decisiones. La
gestión del riesgo ayuda a la toma de decisiones evaluando la información sobre
las distintas alternativas.
4.
Trata explícitamente la
incertidumbre. La
gestión del riesgo trata aquellos aspectos de la toma de decisiones que son
inciertos, la naturaleza de esa incertidumbre y como puede tratarse.
5.
Es sistemática, estructurada y adecuada. Contribuye a la eficiencia y,
consecuentemente, a la obtención de resultados fiables.
6.
Está basada en la mejor
información disponible. Los inputs del proceso de gestión del riesgo están basados en fuentes
de información como la experiencia, la observación, las previsiones y la
opinión de expertos.
7.
Está hecha a medida. La gestión del riesgo está
alineada con el contexto externo e interno de la organización y con su perfil
de riesgo.
8.
Tiene en cuenta factores humanos
y culturales.
Reconoce la capacidad, percepción e intenciones de la gente, tanto externa como
interna, que puede facilitar o dificultar la consecución de los objetivos de la
organización.
9.
Es transparente e inclusiva. La apropiada y oportuna
participación de los grupos de interés (stakeholders) y, en particular, de los
responsables a todos los niveles, asegura que la gestión del riesgo permanece
relevante y actualizada.
10. Es dinámica, iterativa y sensible al cambio. La organización debe velar para
que la gestión del riesgo detecte y responda a los cambios de la empresa.
11. Facilita la mejora continua de la organización. Las organizaciones deberían
desarrollar e implementar estrategias para mejorar continuamente, tanto en la
gestión del riesgo como en cualquier otro aspecto de la organización.
ISO 31000. Estructura de la norma.
La variedad, complejidad y naturaleza de los
riesgos puede ser de muy diversa índole por lo que éste nuevo Estándar Internacional
desarrollado por la ISO (International Organization for Standardization)
propone unas pautas genéricas sobre cómo gestionar los riesgos de forma
sistemática y transparente.
El diseño y la implantación de la gestión de
riesgos dependerá de las diversas necesidades de cada organización, de sus
objetivos concretos, contexto, estructura, operaciones, procesos operativos,
proyectos, servicios, etc.
El enfoque está estructurado en tres elementos
claves para una efectiva gestión de riesgos:
1.
Los principios para la gestión de
riesgos.
2.
La estructura de soporte.
3.
El proceso de gestión de riesgos.
La relación entre los principios
de gestión, la estructura de soporte, así como el proceso de gestión del riesgo
desarrollado en la norma se resume en la figura 1:
Resultados a obtener :
El diseño e implantación de un
modelo de gestión del riesgo, permitirá a la organización:
Fomentar la gestión proactiva en lugar de la reactiva.
Ser consciente de la necesidad de identificar y tratar el riesgo en todos los
niveles de la organización.
Mejorar la identificación de oportunidades y amenazas.
Cumplir con los requisitos legales y normativas aplicables así como las normas
internacionales.
Mejorar la información financiera.
Mejorar la gestión empresarial.
Mejorar la confianza de los grupos de interés (stakeholders).
Establecer una base fiable para la toma de decisiones y planificación.
Mejorar los controles.
Repartir y utilizar de forma efectiva los recursos para la gestión de riesgos.
Mejorar la eficacia y la eficiencia operacional.
Minimizar las pérdidas.
Mejorar el aprendizaje organizativo.
|
|
Algunas Definiciones incluidas en la
norma:
Cabe mencionar que la traducción de los términos que
se presenta en este artículo no es oficial y es solo informativa
Riesgo
Efecto de la incertidumbre sobre los objetivos de
NOTA 1
Un efecto es una desviación de lo esperado -
positivos y / o negativos. En los Objetivos
NOTA 2
Puede tener diferentes aspectos (como la salud
financiera, y la seguridad, y los objetivos medioambientales) y puede aplicar
en diferentes niveles (como estratégica, en toda la organización, proyecto,
producto y proceso).
NOTA 3:
El riesgo se caracteriza a menudo por referencia a
los eventos potenciales y Consecuencias , o una combinación de estos.
NOTA 4
El riesgo se expresa a menudo en términos de una
combinación de las consecuencias de un evento (incluidos los cambios en las
circunstancias) y la probabilidad asociada de ocurrencia.
NOTA 5
La incertidumbre es el estado, incluso parcial, de
la deficiencia de la información relacionada con la
Comprensión o conocimiento de una caso, su
consecuencia, o la probabilidad.
|
Plan de
gestión de riesgos
Régimen en el marco de la gestión del riesgo especificando
el planteamiento, la gestión de componentes y los recursos que se aplicarán a
la gestión del riesgo.
NOTA 1:
Los componentes de gestión suelen incluir los
procedimientos, prácticas, la asignación de responsabilidades, la secuencia de
y el calendario de actividades.
NOTA 2
El plan de gestión de riesgo se puede aplicar a un
determinado producto, proceso y proyecto, y parte o la totalidad de de la
organización.
Proceso
de gestión de riesgos
La aplicación sistemática de políticas de gestión,
procedimientos y prácticas para las actividades de comunicación, consultoría,
se establece el contexto, y la identificación, análisis, evaluación,
tratamiento, seguimiento y la revisión
de riesgo.
La
identificación de riesgos
Proceso de encontrar, reconocer y describir los
riesgos.
Nota 1:
Identificación de riesgos implica la identificación
de las fuentes de riesgo, eventos , sus causas y sus posibles consecuencias.
NOTA 2
El proceso de identificación de riesgos puede
incluir datos históricos, el análisis teórico, y opiniones de expertos, y necesidades
de partes interesadas.
Fuente de
riesgo
Elemento que por sí sola o en combinación tiene el
potencial intrínseco para dar lugar a riesgo
NOTA
Una fuente de riesgo puede ser tangible o
intangible.
Contexto
externo
Entorno externo en el que la organización busca
alcanzar sus objetivos
NOTA contexto externo puede incluir:
Lo cultural, social, político, jurídico,
reglamentario, financiero, tecnológico, económico, natural y competitivo, ya sea
internacional, nacional, regional o local; factores clave y las tendencias con
repercusiones en los objetivos de la organización, y las percepciones de las
partes interesadas
Contexto
interno
Ambiente interno en el que la organización busca
alcanzar sus objetivos
NOTA contexto interno puede incluir:
·
El
Liderazgo, la estructura organizativa, las funciones y responsabilidades;
·
Las
políticas, los objetivos y las estrategias que están en marcha para
alcanzarlos;
·
La
capacidad, entendida en términos de recursos y conocimientos (capital, por
ejemplo, tiempo, Personas, procesos, sistemas y tecnologías);
·
Los
sistemas de información, flujos de información y la toma de decisiones (tanto
formales como informales);
·
Relaciones
con, y las percepciones y los valores de, grupos de interés internos;
·
Cultura
de la organización;
·
Normas,
directrices y modelos adoptados por la organización, y
·
La forma
y el alcance de las relaciones contractuales.
|
