5.4.1 Comprensión de la organización y de su

contexto

La organización debería analizar y comprender sus contextos externo e interno para el diseño del marco de referencia para gestionar el riesgo.

5.4.2 Articulación del compromiso con la gestión del riesgo La alta dirección y los niveles de supervisión deberían demostrar su compromiso continuo con la gestión del riesgo mediante una política, una declaración u otras formas que expresen claramente los objetivos y el compromiso de la organización con la gestión del riesgo.

5.4.3 Asignación de roles, autoridades, responsabilidades y obligación de rendir cuentas en la organización

La alta dirección y los niveles de supervisión, deberían asegurarse que las autoridades, las responsabilidades y la obligación de rendir cuentas con respecto a la gestión del riesgo, se asignen y comuniquen a todos los niveles de la organización

5.4.4 Asignación de recursos

La alta dirección y los niveles de supervisión deberían asegurar la asignación de los recursos para la gestión del riesgo

5.4.5 Establecimiento de la comunicación y la consulta

◼La organización debería establecer las actividades necesarias para gestionar la relación entre la comunicación y la consulta, para apoyar el marco de referencia y facilitar la aplicación eficaz de la gestión del riesgo.

◼ La comunicación implica compartir información con las partes interesadas.

◼ La consulta implica que los participantes faciliten la retroalimentación para que contribuya a las decisiones u otras actividades.

Este numeral establece que las organizaciones deben planificar e implementar acciones para abordar los riesgos, incluyendo su tratamiento, buscando aumentar los efectos positivos y reducir las consecuencias negativas de dichos riesgos. 

• Evitar: restringiendo el acceso de personal no autorizado a áreas críticas. 

• Reducir: capacitando al personal médico en medidas de asepsia y lavado de manos. 

• Compartir: contratando pólizas de responsabilidad civil ante posibles demandas. 

5.2 LIDERAZGO Y COMPROMISO

La alta dirección debería establecer que la gestión del riesgo se implemente en todas las actividades de la organización y evidenciar el liderazgo y compromiso.

• Implementar los aspectos del marco de referencia.

• Divulgar la política para la gestión del riesgo.

• Establecer recursos.

• Definir la autoridad

Esto le permite a la organización:

Orientar la gestión del riesgo con sus objetivos, estrategia y cultura organizacional

 Identificar  las obligaciones y sus compromisos

 Identificar la magnitud y los tipos de riesgos

Divulgar la importancia de la gestión del riesgo  

-La alta dirección y los niveles de supervisión rinden cuentas de la gestión del riesgo realizada.

5.3 INTEGRACIÓN

La integración de la gestión del riesgo depende del conocimiento de la estructura y del contexto de la organización.

La alta dirección orienta el desarrollo de la organización, sus relaciones externas e internas, las reglas, los procesos y las prácticas necesarias para alcanzar su misión.

La integración de la gestión del riesgo en la organización es una actividad dinámica e interactiva, y se debería adaptar a las necesidades y la cultura de la organización.

La implementación exitosa requiere el compromiso y concientización de las partes interesadas, permitiendo abordar la incertidumbre en la toma de decisiones y adaptarse a la incertidumbre futura. Un marco de referencia bien diseñado asegura que la gestión de riesgos sea parte integral de todas las actividades organizativas, incluyendo la toma de decisiones, y que los cambios en los contextos interno y externo se aborden adecuadamente.

5.6 Evaluación: hace referencia al grado de responsabilidad que se debe realizar en cada uno de los procesos, evaluar estos con relación al proceso de la entidad, vigilando planes según indicadores esperando el resultado deseado. si esto al evaluarlo evidencia que lo que se esta alcance le objetivo planteado se debe continuar con su ejecución de lo contrario realizar plan de acción.

5.7 Mejora

5,7,1 Adaptación:

Este punto establece que cada organización debe realizar un seguimiento donde debe generar cambios internos y externos teniendo en cuenta la referencia en gestión de riesgos

5.7.2 Mejora continua:

Cuando cada organización identifique las oportunidades de mejora pertinentes, las organizaciones debieran desarrollar nuevos planes y tareas y asignarlas a quienes tuviesen que rendir cuentas de su implementación. Esto tiene como fin al fortalecimiento de la administración/gestión de riesgos

Ámbito de Actividades: Incluye la comunicación, consulta, establecimiento del contexto, evaluación, tratamiento, seguimiento, revisión, registro e informe del riesgo. 

Integralidad en la Gestión General: Formar parte integral de la gestión general y del proceso de toma de decisiones de la organización. 

Integración en la Estructura y Operaciones: Deben integrarse en la estructura, operaciones y procesos de la organización 

Aplicación Interna y Externa:  pueden aplicarse tanto internamente en la organización como a los objetivos y contextos externos. 

Consideración de la Naturaleza Dinámica: 

Carácter Interactivo de las Actividades: Aunque las actividades de gestión del riesgo se presentan de manera secuencial, en la práctica se reconoce que son interactivas. 

6.2 Comunicación y consulta.

6.2 Aborda la comunicación y consulta. Esta sección establece la importancia de establecer un proceso de comunicación efectivo para informar sobre los riesgos identificados y las decisiones tomadas al respecto. Asimismo, destaca la necesidad de consultar a las partes interesadas relevantes para obtener información adicional sobre los riesgos y garantizar que sus opiniones sean consideradas en el proceso de toma de decisiones.

◼ Una coordinación entre ambas  -> intercambio de información basado en hechos, oportuno, pertinente, exacto y comprensible

◼ La comunicación y consulta con las partes interesadas (E-I), se debería realizar en todas las etapas del proceso de la GR.

◼ La comunicación y consulta pretende

Reunir diferentes áreas -> para cada etapa del proceso.

Asegurar que se toma en cuenta los diferentes puntos de vista  

Entregar la información necesaria   

Desarrollar un sentido de inclusión entre las personas

6.3.1 El propósito del establecimiento del alcance, contexto y criterios es adaptar el proceso de la gestión del riesgo, para permitir una evaluación del riesgo eficaz y un tratamiento apropiado del riesgo.

El alcance, el contexto y los criterios implican definir el alcance del proceso, y comprender los contextos externo e interno

6.3.2 Definición del alcance

Las organizaciones debieran definir el alcance de sus actividades de administración/ gestion del riesgo.

El proceso de administración/gestion del riesgo se puede aplicar a distintos niveles, por lo que es importante tener claridad en el alcance a considerar, los objetivos pertinentes a considerar y a su lineamiento con los objetivos de la organización.

Se tienen las siguientes consideraciones en la planificación del enfoque :

-Los objetivos y las decisiones que se necesitan tomar.

-Los resultados esperados de las etapas a ejecutar en el proceso.

-El tiempo, la ubicación, las inclusiones y las exclusiones específicas.

-Las herramientas y las técnicas apropiadas de evaluación de riesgos

-Los recursos requeridos, responsabilidades y registros a conservar

-Las relaciones con otros proyectos, procesos y actividades

6.3.4 Definición de los criterios del riesgo

Definición de los criterios del riesgo es importante porque permite a la organización establecer un apetito por el riesgo que sea consistente con sus valores, objetivos y recursos. Esto es importante por las siguientes razones:

• Ayuda a la organización a tomar informadas sobre el riesgo: Al establecer criterios claros para la evaluación del riesgo, la organización puede identificar y priorizar los riesgos que deben abordarse.

• Reduce la probabilidad de sufrir pérdidas significativas: Al establecer un apetito por el riesgo, la organización puede evitar asumir riesgos que están fuera de sus posibilidades de gestión.

• Mejora la transparencia y la responsabilidad: Al comunicar los criterios del riesgo a las partes interesadas, la organización demuestra su compromiso con la gestión del riesgo.

  
  

En concreto, los criterios del riesgo ayudan a la organización a:

• Identificar los riesgos que son relevantes para sus objetivos: Los criterios del riesgo ayudan a la organización a determinar qué riesgos deben ser evaluados.

• Evaluar la importancia de los riesgos: Los criterios del riesgo ayudan a la organización a determinar la probabilidad y el impacto de los riesgos.

• Priorizar los riesgos para su tratamiento: Los criterios del riesgo ayudan a la organización a determinar qué riesgos deben abordarse primero.

Los criterios del riesgo deben ser coherentes con los objetivos, el contexto y los valores de la organización.

La organización debe revisar sus criterios del riesgo periódicamente para garantizar que sigan siendo relevantes.

A continuación se presentan algunos ejemplos de cómo los criterios del riesgo pueden ayudar a las organizaciones a tomar decisiones informadas sobre el riesgo:

• Una empresa de fabricación puede establecer criterios de riesgo que establezcan que la organización no está dispuesta a aceptar riesgos que podrían causar daños a la salud o la seguridad de sus empleados.

• Una organización sin fines de lucro puede establecer criterios de riesgo que establezcan que la organización solo está dispuesta a aceptar riesgos que estén alineados con su misión y valores.

• Un banco puede establecer criterios de riesgo que establezcan que la organización solo está dispuesta a aceptar riesgos que estén dentro de su capacidad de gestión.

  
  

En conclusión, el numeral 6.3.4 Definición de los criterios del riesgo es un requisito importante de la norma ISO 31000.

Al establecer criterios claros para la evaluación del riesgo, las organizaciones pueden mejorar su capacidad para gestionar el riesgo y reducir la probabilidad de sufrir pérdidas significativas.

6.4.1 Generalidades

-La evaluación del riesgo es el proceso global de su identificación, análisis y valoración del riesgo.

-La evaluación del riesgo se debería llevar acabo de manera sistemática, interactiva y colaborativa, basándose en el conocimiento y los puntos de vista de las partes interesadas.

-Se debería definir y utilizar la información disponible para su evaluación.

6.4.2 Identificación de riesgos

Contar con información pertinente, apropiada y actualizada.

Se debieran considerar los factores siguientes y la relación entre estos factores:

-Las fuentes de riesgos tangibles e intangibles

-Causas y los eventos

-Amenazas y las oportunidades

-Vulnerabilidades y las capacidades

-Cambios en los contextos interno y externo

-Indicadores de riesgos emergentes

-La naturaleza y el valor de los activos y los recursos

-Las consecuencias y sus impactos en los objetivos

-Las limitaciones de conocimiento y la confiabilidad de la información

-Los factores relacionados con el tiempo

-Los sesgos, los supuestos y las creencias de las personas involucradas.

6.4.3 Análisis de riesgos

Propósito: comprender la naturaleza de los riesgos y sus características incluyendo, cuando sea apropiado, el nivel de los riesgos mismos.

Considerar detalladamente las incertidumbres, fuentes de riesgo, consecuencias, probabilidades, eventos, escenarios, controles y su efectividad.

El análisis de riesgos debiera considerar factores tales como:

-Probabilidad de los eventos y de las consecuencias

-La naturaleza y la magnitud de las consecuencias

-La complejidad y la interconexión

-Los factores relacionados con el tiempo y la volatilidad

-La efectividad de los controles existentes

-Los niveles de sensibilidad y de confianza.

6.4.4 Evaluación de riesgos

Propósito: apoyar a la toma de decisiones

Los resultados se deberían registrar, comunicar y luego validar a los niveles apropiados de la organización.

Decisión:

-No hacer nada más

-Considerar opciones para el tratamiento para riesgos

-Realizar un análisis adicional para comprender mejor el riesgo

-Mantener los controles existentes

-Reconsiderar los objetivos.

6.5 Tratamiento de los riesgos

6.5.1 Generalidades: con lleva a los riesgos e implica un proceso como es formular, planear, evaluar, decidir.

6.5.2 Selección de las opciones para el tratamiento de riesgos

La selección se deriva de opciones encaminadas del logro de los objetivos contra costos, esfuerzo o desventajas de la implementación

Las personas que toman decisiones y otras partes interesadas deben ser conscientes de la naturaleza

6.5.3 Preparación e implementación de los planes para el tratamiento de riesgos

Se debe especificar la manera de la forma como se implementa las opciones elegidas para el tratamiento, se debe tener presente el fundamento de la selección de las opciones, cuando se rinden cuentas se debe implementar las acciones propuestas, las restricciones, los reportes y seguimientos requeridos, las medidas de desempeño.

6.6 Seguimiento y revisiones

Propósito: seguimiento y las revisiones es asegurar y mejorar la calidad y efectividad del diseño, la implementación y los resultados del proceso.

-Ser una parte planeada del proceso de gestión de riesgos

-Responsabilidades definidas

-Tener lugar en todas las etapas del proceso

-Incluyen: planear, recopilar y analizar información, registrar resultados y proporcionar retroalimentación

-Los resultados deberían ser incorporados a todas las actividades de gestión del riesgo

6.7 Registros e informes

Los procesos siempre deben de estar documentada a través de los mecanismos apropiados

Los cuales pretenden:

-Comunicar las actividades

-Ofrecer información para la toma de decisiones

-Mejorar las actividades

-Apoyar en la interacción con las partes interesadas en los informes y requisitos no se debe limitar con el uso

6.3.3 Contextos externo e interno

◼Los contextos externo e interno son el entorno en el cual la organización ejecuta sus actividades para definir y lograr sus objetivos.

◼El contexto del proceso de la gestión del riesgo se debería establecer a partir de la comprensión de los entornos externo e interno en los cuales opera la organización y debería evidenciar el entorno específico de la actividad, en la cual se implementará la gestión del riesgo.

◼ La comprensión del contexto es importante porque:

• La gestión del riesgo se desarrolla en el contexto de los objetivos y las actividades de la organización.

• Los aspectos organizacionales pueden ser una fuente generadora de riesgo.

• El propósito y alcance del proceso de la gestión del riesgo puede estar interrelacionado con los objetivos de la organización como un todo.

  
  

  6.3.4 Definición de los criterios del riesgo

  ◼La organización debería definirla cantidad y el tipo de riesgo que puede o no puede asumir, con relación a los objetivos.

  ◼También debería definirlos criterios para evaluar la importancia del riesgo y para apoyarla toma de decisiones.

• Los criterios del riesgo se deberían relacionar con el marco de referencia de la gestión del riesgo y adaptarlos al propósito y alcance de la actividad considerada. Los criterios del riesgo deberían evidenciar los valores, objetivos y recursos de la organización y ser coherentes con las políticas y declaración es acerca de la gestión del riesgo. Los criterios del riesgo se deberían determinar teniendo en cuenta las obligaciones de la organización y los puntos de vista de sus partes interesadas.

• Aunque los criterios del riesgo se deberían establecer al principio del proceso de la evaluación del riesgo, éstos pueden ser cambiantes y se deberían revisarse periódicamente y de ser necesario, ser modificados.

  ◼Para establecer los criterios del riesgo, se debería tener en cuenta:

  • La naturaleza y los tipos de las incertidumbres (riesgos) que pueden afectar a los resultados y objetivos.

  • Cómo se van a establecer y medir las consecuencias (tanto positivas como negativas) y la probabilidad.

  • Los aspectos relacionados con el tiempo.

  • La pertinencia en el uso de las mediciones.

  • Cómo se va a establecer el nivel de riesgo.

  • Cómo se tendrán en cuenta las relaciones y las secuencias de múltiples riesgos.

  • La capacidad de la organización para la gestión.