Principios de la ISO 31000

1. Integración: La gestión del riesgo debe estar integrada en la estructura de gobernanza de la organización y en todos sus procesos.

2. Estructurado y coherente: El enfoque debe ser coherente y estructurado, lo que facilita la toma de decisiones informadas.

3. Personalización: La metodología debe ser adaptada a las necesidades específicas de la organización y su contexto.

4. Inclusión: La participación de partes interesadas relevantes es esencial para identificar y evaluar riesgos adecuadamente.

5. Mejora continua: La gestión del riesgo debe ser un proceso dinámico que se revisa y mejora de manera continua.

6. Base en la mejor información disponible: Las decisiones deben estar basadas en la mejor información y datos disponibles.

Marco COSO (Comité de Organizaciones Patrocinadoras)

• Enfoque: Se centra en la gestión integral de riesgos empresariales, proporcionando un marco para identificar, evaluar y gestionar todos los riesgos que puedan afectar a una organización.

• Componentes: Incluye ocho componentes clave: entorno interno, objetivos, evaluación de riesgos, respuesta a riesgos, actividades de control, información y comunicación, monitoreo y revisión.

• Sector: Aunque es aplicable a cualquier organización, fue desarrollado inicialmente para el sector financiero.

ISO 31000 (Norma Internacional para la Gestión del Riesgo)

• Enfoque: Ofrece un estándar internacional para la gestión de riesgos, aplicable a cualquier tipo de organización y actividad.

• Principios: Se basa en una serie de principios fundamentales, como la integración de la gestión de riesgos en la organización, la participación de todas las partes interesadas y la mejora continua.

• Flexibilidad: Permite a las organizaciones adaptar la norma a su propio contexto y tamaño.

Metodología MAGERIT

• Enfoque: Desarrollada en España, se centra específicamente en la gestión de riesgos de los sistemas de información.

• Componentes: Incluye fases como la identificación de activos, la evaluación de amenazas y vulnerabilidades, la estimación de impactos y la definición de medidas de seguridad.

• Alcance: Aunque se enfoca en la tecnología, puede integrarse con otros marcos de gestión de riesgos.

Ventajas de la norma ISO 31000

·         Contribuye a mejorar la eficacia operativa y la gobernanza.

·         Genera confianza porque se utilizan métodos adecuados para la gestión de riesgo.

·         Aplica controles de sistema de gestión para analizar riesgos y de esta manera mitigar las posibles pérdidas.

·         Mejora la resiliencia de los sistemas de gestión.

·         Responde de manera eficiente a los cambios protegiendo así a la organización.

·         Se adapta a cualquier tipo de riesgos sin importar su naturaleza o causa.

La norma ISO 31000 define la gestión o administración de riesgos como aquellas actividades que se realizan para seguir y controlar los riesgos a los que se ven enfrentadas las compañías

1. Consecuencia: son los eventos que afectan al cumplimiento de los objetivos y que son procedentes de otros, en este punto hay considerar los que se clasifican en causa-efecto.

2. Probabilidad: es la posibilidad de que un evento suceda. En este punto es importante contemplar que estos hechos pueden provenir de las decisiones que se toman en la organización.

La norma ISO 31000 describe un proceso de gestión de riesgos que consta de varias etapas:

Generalidades:

• Establecer el marco y los principios para la gestión de riesgos en la organización.

• Definir los roles y responsabilidades de las partes involucradas en el proceso de gestión de riesgos.

Comunicación y consulta:

• Establecer un enfoque de comunicación y consulta para apoyar la gestión de riesgos.

• Compartir información relevante con las partes interesadas y recopilar su retroalimentación.

• Asegurar que la comunicación y la consulta sean oportunas y efectivas.

Alcance, contexto y criterios:

• Definir el alcance del proceso de gestión de riesgos, incluyendo los límites y las fronteras de aplicación.

• Comprender el contexto interno y externo de la organización, incluyendo factores ambientales, culturales, legales, financieros, entre otros.

• Establecer los criterios para evaluar y comparar los riesgos.

Evaluación del riesgo:

• Identificar los riesgos relevantes para la organización.

• Evaluar la probabilidad de que ocurran los riesgos y el impacto potencial de los mismos.

• Analizar la interrelación entre los riesgos y su posible acumulación.

• Priorizar los riesgos en función de su importancia y establecer la base para la toma de decisiones informadas.

Tratamiento del riesgo:

• Desarrollar e implementar estrategias y acciones para tratar los riesgos identificados.

• Seleccionar las opciones más adecuadas para tratar los riesgos, que pueden incluir evitar, transferir, mitigar o aceptar los riesgos.

• Establecer controles y medidas para reducir la probabilidad de que ocurran los riesgos y minimizar su impacto.

• Monitorear y revisar continuamente las estrategias de tratamiento del riesgo para asegurar su efectividad.

Seguimiento y revisión:

• Establecer un proceso de seguimiento continuo para supervisar la implementación de las estrategias de gestión de riesgos.

• Evaluar periódicamente el desempeño del proceso de gestión de riesgos y su eficacia en relación con los objetivos establecidos.

• Realizar revisiones regulares para adaptar y mejorar el proceso de gestión de riesgos en función de los cambios internos y externos.

Registro e informe:

• Mantener registros adecuados de los riesgos identificados, las acciones tomadas y los resultados obtenidos.

• Generar informes sobre el estado de los riesgos y las actividades de gestión de riesgos para informar a las partes interesadas.

• Comunicar de manera clara y efectiva los resultados del proceso de gestión de riesgos y cualquier cambio relevante a las partes interesadas.

1. Enfoque holístico y adaptable: La ISO 31000 puede aplicarse a cualquier organización, independientemente de su tamaño, sector o tipo. Se adapta a diversas necesidades, permitiendo que cada entidad diseñe su propio proceso de gestión de riesgos.

2. Principios fundamentales: La norma se basa en varios principios clave para gestionar el riesgo de manera efectiva:

   • Integración: La gestión del riesgo debe estar integrada en todas las actividades y decisiones de la organización.

   • Estructurada y exhaustiva: El enfoque de la gestión de riesgos debe ser sistemático, estructurado y considerar todas las áreas de la organización.

   • Personalización: Debe adaptarse al contexto externo e interno de la organización.

   • Participativa: Se recomienda la participación de todas las partes interesadas.

   • Dinámica y continua: La gestión de riesgos debe ser continua y flexible, capaz de adaptarse a los cambios.

3. Enfoque basado en el contexto: La norma enfatiza la comprensión del contexto interno y externo de la organización para identificar los riesgos más relevantes y formular una respuesta adecuada.

4. Proceso de gestión de riesgos: La ISO 31000 define un proceso sistemático que incluye:

   • Establecimiento del contexto: Definir el entorno y los objetivos de la organización.

   • Identificación del riesgo: Reconocer los riesgos que pueden afectar a los objetivos.

   • Evaluación del riesgo: Analizar y priorizar los riesgos según su probabilidad e impacto.

   • Tratamiento del riesgo: Desarrollar estrategias para mitigar, transferir, aceptar o evitar los riesgos.

   • Monitoreo y revisión: Evaluar continuamente los riesgos y la eficacia de las medidas adoptadas.

   • Comunicación y consulta: Asegurar que todas las partes interesadas estén informadas y comprometidas.

5. Enfoque estructurado y sistemático: Proporciona un marco estructurado para identificar, evaluar, tratar y monitorear los riesgos de manera continua, lo que permite a las organizaciones tomar decisiones informadas.

6. Orientación hacia la mejora continua: La norma fomenta un ciclo de mejora continua en la gestión de riesgos, permitiendo que las organizaciones ajusten sus enfoques y respondan mejor a nuevos desafíos y oportunidades

Proceso de implementación de la ISO 31000 para la gestion de riesgos:

• Establecer el contexto externo e interno. Saber cuáles riesgos son derivados de factores culturales, sociales, políticos, legales, económicos, etc. y si son negativos o positivos.

• Definir los riesgos dentro de la organización y establecer los objetivos que se quieren alcanzar.

• Identificar los riesgos que pueden afectar de forma negativa a la corporación.

• Analizarlos evaluando las causas y consecuencias que puedan existir, así como también conocer la probabilidad que se produzcan.

• Monitorear siguiendo un proceso de verificación, supervisión y observación.

• Auditorías de seguimiento, para evaluar el grado de implementación del pensamiento basado en riesgos.

  
  

• Ventajas de la implantación de ISO 31000

  Una organización que aplica las directrices de esta normativa conseguirá:

  • Mejorar su eficiencia operativa.

  • Tener una mejor gobernabilidad interna de la organización.

  • Aumentar la confianza de partes externas.

  • Mejorar su rendimiento y la sostenibilidad.

  • Acentuar su calidad.

  • Reducir los costes.

  • La disminución o desaparición de incidentes inesperados.