La gestión de riesgos es un conjunto de procesos y procedimientos que ayuda a las organizaciones a identificar, evaluar y controlar situaciones potenciales que pueden poner en riesgo sus activos. El riesgo puede presentarse de muchas formas, como incertidumbre financiera, responsabilidades legales, problemas tecnológicos, errores en la gestión estratégica, accidentes y desastres naturales.
Todas las organizaciones enfrentan riesgos. Entender la gestión de riesgos en el contexto de tus operaciones es el primer paso para establecer controles eficaces y mantener el riesgo bajo control.
Un error común al definir la gestión de riesgos es confundirla con las amenazas. Los riesgos no son amenazas. El riesgo es lo que podría pasar. Una amenaza es un riesgo que se activa o que ya se convirtió en un incidente específico e inminente. Cuando tienes claro el objetivo de la gestión de riesgos y qué activos están en riesgo, puedes actuar de forma proactiva y detectar vulnerabilidades antes de que se conviertan en problemas.
Es importante tener en cuenta que el riesgo individual es muy distinto de la gestión de riesgos en las organizaciones. La principal diferencia está en la escala. La exposición al riesgo de una organización no solo es mayor, también es mucho más compleja que la de una persona.
Además, el riesgo de una organización va más allá de lo que controla de forma directa. También debes considerar la responsabilidad de gestión de riesgos asociada con cada tercero con el que trabajas, desde socios de la cadena de suministro hasta proveedores de servicios en la nube.
Los programas de gestión de riesgos evalúan el riesgo en varias categorías clave:
- Digital, incluye:
- Económico
- Ambiental
- Financiero
- Legal
- Operativo
- Político
- Calidad
- Reputación
- Estratégico
- Ciberseguridad
- Automatización
- Privacidad de datos
"Consecuencias de situaciones, eventos, circunstancias, acciones u omisiones relevantes que pueden afectar de forma negativa la capacidad de una entidad para lograr sus objetivos y ejecutar sus planes".
Por qué es importante la gestión de riesgos
Las organizaciones consideran la gestión de riesgos un proceso clave por muchas razones, entre ellas:
- Aumenta la conciencia del riesgo en toda la organización
- Hace posible el crecimiento futuro al proteger los activos
- Mejora la eficiencia operativa con una aplicación más consistente de los procesos y controles de riesgo
- Garantiza que los riesgos de alta prioridad se atiendan con la máxima rigurosidad
- Brinda a las organizaciones las herramientas necesarias para identificar y abordar riesgos potenciales
- Refuerza la seguridad para colaboradores y clientes
- Incrementa la confianza en los objetivos y metas de la organización
- Protege a las organizaciones de distintos tipos de pérdidas asociadas al riesgo
- Ofrece un proceso estructurado para tomar decisiones sólidas
- Respaldar el Cumplimiento normativo de mandatos regulatorios y de cumplimiento interno
Otros motivos por los que la gestión de riesgos es importante incluyen:
- Facilita el éxito de los proyectos al aumentar la conciencia sobre peligros que pueden generar obstáculos o elevar los costos. Como un programa de gestión de riesgos bien ejecutado adopta una visión integral de la organización, los proyectos se benefician de su búsqueda continua de riesgos.
- Incrementa la Productividad y eficiencia al asegurar lugares de trabajo seguros y eliminar distracciones causadas por riesgos no controlados.
- Reduce la probabilidad de daños reputacionales al identificar y mitigar de forma proactiva los riesgos que pueden derivar en atención pública negativa.
- Hace que los espacios de trabajo sean más seguros al aumentar la visibilidad y la conciencia de los riesgos y la capacidad de la organización para abordarlos de forma proactiva. Con programas de gestión de riesgos, se identifican temprano las tendencias relacionadas con pérdidas y lesiones, para realizar cambios que mitiguen los riesgos asociados.
- Minimiza eventos inesperados con un enfoque preventivo. A menudo se reconoce a los programas de gestión de riesgos por anticiparse a problemas graves gracias a su vigilancia constante y su respuesta proactiva ante el riesgo en una organización.
- Aporta beneficios financieros al reducir los costos directos e indirectos de amenazas e incidentes.
- Reduce la incertidumbre, porque los programas de gestión de riesgos ofrecen sistemas para identificar y visibilizar los riesgos. Esta claridad del panorama de riesgos ayuda a disminuir la incertidumbre y genera incrementos derivados en productividad y eficiencia.
El proceso de gestión de riesgos
Uno de los procesos de gestión de riesgos más utilizados fue desarrollado por la International Organization for Standardization, un organismo de normalización conocido comúnmente como ISO. Incluye cinco pasos que cualquier tipo de organización puede usar para definir el mejor enfoque de gestión de riesgos.
Paso 1: Identifica los riesgos existentes
Para tener una visión completa del riesgo en toda la organización, integra a gerentes y colaboradores de las principales áreas funcionales para evaluar los riesgos en sus equipos. En esta fase del proceso de gestión de riesgos, el primer paso es identificar todos los eventos que pueden afectar a la organización. Anima a las y los participantes a considerar tanto los riesgos del día a día como los escenarios de peor caso.
Paso 2: Analiza los riesgos identificados
Una vez identificados los riesgos, el siguiente paso es evaluarlos. Hay dos tipos de análisis de riesgos: cualitativo y cuantitativo.
- Análisis de riesgos cualitativo
Evalúa la probabilidad y el impacto de un riesgo - Análisis de riesgos cuantitativo
Evalúa el impacto financiero o el beneficio de un riesgo
Paso 3: Prioriza los riesgos
La priorización de riesgos define el orden para abordarlos y el mejor enfoque de gestión. Dedicar tiempo a priorizar ahorra tiempo y dinero, y garantiza que las vulnerabilidades más importantes se atiendan a tiempo.
Paso 4: Atiende los riesgos
Una vez que identificaste y priorizaste los riesgos, el siguiente paso se centra en la mitigación para evitar que se conviertan en amenazas y que se repitan. Asigna las acciones de mitigación a una persona o equipo. Además, define plazos y criterios de reporte.
Paso 5: Monitorea los resultados y prepárate para actuar de nuevo si es necesario
Los riesgos y las acciones que se toman para corregirlos deben monitorearse con cuidado. Los reportes, basados en el monitoreo de riesgos, ayudan a identificar rápidamente cualquier repunte, para ejecutar de inmediato acciones de corrección adicionales y así minimizar el posible impacto.
Respuesta al riesgo
Las cinco respuestas principales al riesgo son evitación, reducción, distribución, transferencia y aceptación.
Evitación del riesgo
Por lo general, una respuesta de evitación del riesgo se adopta cuando una organización busca eliminar la incertidumbre. Este enfoque implica no participar en actividades con potencial de riesgo que puedan afectar de forma negativa a la organización.
Reducción de riesgos
Con una estrategia de reducción de riesgos, la organización minimiza el riesgo y acepta sus posibles efectos, en lugar de eliminarlo mediante la evitación del riesgo. Por lo general, este enfoque se adopta cuando la exposición al riesgo puede reducirse a un nivel aceptable.
Distribución de riesgos
El riesgo compartido ocurre cuando la pérdida potencial se distribuye entre un grupo más amplio para reducir esas pérdidas posibles. Este tipo de esquema de gestión de riesgos ayuda a que las organizaciones acepten un nivel de riesgo más alto de lo habitual, según su tolerancia al riesgo.
Transferencia de riesgos
Un ejemplo de transferencia de riesgo es usar un seguro para cubrir posibles daños o lesiones. En este caso, el riesgo y las responsabilidades asociadas se transfieren por contrato a un tercero.
Aceptación del riesgo
Por más que se haga un esfuerzo, no es posible eliminar el riesgo. El riesgo residual es el que permanece después de evitar el riesgo, reducirlo, compartirlo y transferirlo. En algunos casos, las organizaciones concluyen que el beneficio potencial de un proceso o actividad supera los riesgos. En esas situaciones, la organización acepta el riesgo residual, pero debe implementar procedimientos estrictos de monitoreo.
Desafíos de la gestión de riesgos
- Errores al estimar la probabilidad o la magnitud de las pérdidas relacionadas con el riesgo
- No incluir riesgos conocidos en las evaluaciones
- No monitorear, reportar y gestionar los riesgos
- No usar métricas de riesgo adecuadas
- Medición inexacta de riesgos conocidos
- Mala comunicación con la alta dirección sobre los riesgos
- Características del riesgo que cambian rápidamente
- Decisiones relacionadas con el riesgo tomadas sin la información adecuada o basadas en una percepción demasiado optimista de la posición de riesgo
Estándares de gestión de riesgos
Existen diversos estándares, marcos y lineamientos para orientar la eficacia de un programa de gestión de riesgos. Estos son algunos ejemplos.
Marco de gestión de riesgos COBIT
El marco de gestión de riesgos COBIT (Control Objectives for Information Technologies) se centra en la gestión y el gobierno de la TI empresarial. La Information Systems Audit and Control Association (ISACA) lo desarrolló para establecer estándares de auditoría confiables.
Marco de gestión de riesgos empresariales COSO
El marco de gestión de riesgos empresariales (ERM) de COSO ofrece un conjunto de veinte principios rectores para ayudar a las organizaciones a gestionar el riesgo de forma eficaz. Estos principios se organizan en cinco categorías interrelacionadas, con el objetivo de integrar el riesgo y vincularlo con el desempeño operativo. Las cinco categorías son:
- Gobernanza y cultura
- Información, comunicación y reportes
- Desempeño
- Revisión y actualización
- Estrategia y establecimiento de objetivos
ISO 31000
Esta norma de la ISO (International Organization for Standardization):
- Detalla los principios de ERM
- Proporciona un marco para aplicar estrategias de gestión de riesgos en las operaciones
- Describe un proceso para identificar, evaluar, priorizar y aplicar la Mitigación de riesgos
Marco de gestión de riesgos del NIST
El marco de gestión de riesgos (RMF) del NIST (National Institute of Standards and Technology) ayuda a las organizaciones federales a evaluar y gestionar los riesgos en los sistemas de TI, al garantizar la seguridad de las redes de defensa e inteligencia. Las agencias federales deben cumplir con este marco, pero otras organizaciones también siguen sus lineamientos.
Modelo de madurez de riesgos (RMM) de RIMS
El marco RMM de RIMS (Risk Management Society) ofrece una guía para evaluar los programas de gestión de riesgos en cinco categorías: alineación con la estrategia, cultura y rendición de cuentas, capacidades de gestión de riesgos, gobernanza del riesgo y Analytics.
Costos asociados al riesgo
Los costos del riesgo abarcan todos los gastos asociados con la gestión de riesgos y cualquier exposición o pérdida atribuible al riesgo, por ejemplo:
- Publicidad adversa y opinión pública
- Honorarios legales civiles o estatutarios, multas, sentencias y responsabilidades
- Gastos de gestión de reclamaciones
- Costo de la investigación, honorarios legales, multas y sentencias dictadas
- Costo de mitigar riesgos
- Daños a activos físicos que deben repararse o reemplazarse
- Disminución de la capacidad de producción
- Menor productividad de los trabajadores
- Primas de seguro potencialmente más altas
- Aumento de gastos o reducción de ingresos debido a una pérdida
- Pérdida de personal clave (por ejemplo, por muerte, discapacidad o jubilación)
- Gastos de ajuste de pérdidas
- Pérdida de participación de mercado
- Pérdida de propiedad
- Pérdida de reputación
- Ingresos netos del seguro
- Pagos realizados por muerte, discapacidad o renuncia de empleados
- Menor exposición de marca y colocación de productos
- Reducción de ingresos
- Pérdidas retenidas (por ejemplo, deducibles, retenciones, exclusiones)
- Costos de control de riesgos
- Costos de administración del programa de gestión de riesgos
- Costos de transferencia
- Pérdidas retenidas no aseguradas
Cómo crear un plan de gestión de riesgos
Al crear un plan de gestión de riesgos, una organización debe definir su apetito y tolerancia al riesgo. El apetito de riesgo es la cantidad de riesgo que la organización está dispuesta a aceptar. La tolerancia al riesgo es cuánto riesgo puede asumir más allá del apetito aceptable. Independientemente del nivel de riesgo que decida asumir, el plan debe integrarse y alinearse con la estrategia general de la organización.
Además de detallar el apetito y la tolerancia al riesgo de la empresa, el plan de gestión de riesgos define cómo se administrará el riesgo. Incluye:
- El enfoque de la organización para gestionar el riesgo
- Roles y responsabilidades de quienes participan en la gestión de riesgos
- Recursos que se asignarán para gestionar el riesgo
- Políticas y procedimientos del programa
Los elementos centrales de un plan de gestión de riesgos son:
- Comunicación y consulta. Esto ayuda a que el plan de gestión de riesgos tenga éxito, al generar conciencia sobre qué es y por qué se necesita.
- Definir el nivel de riesgo aceptable para la organización, considerando factores como los objetivos generales, la cultura y los requisitos de cumplimiento normativo.
- Definir los escenarios de riesgo que podrían impactar a la organización de forma positiva o negativa. Mantén registros de estos escenarios para orientar las acciones del programa de gestión de riesgos.
- Analizar los riesgos identificados para determinar qué tan probable es que cada uno se convierta en una amenaza y qué tan grave sería su impacto en la organización si ocurriera.
- Monitorear los riesgos y, si un riesgo se intensifica, aplicar tratamientos con controles y procesos acordados. Luego, dar seguimiento para confirmar que el riesgo se mitigó a un nivel aceptable.
También vale la pena considerar algunas mejores prácticas ampliamente adoptadas. Un programa de gestión de riesgos debe:
- Hacer cumplir el monitoreo continuo y la mejora constante.
- Seguir una estructura que:
- Genere valor para la organización
- Tenga un rol integral en las operaciones de la organización
- Identifique y aborde cualquier incertidumbre
- Sea un factor crítico en los procesos de toma de decisiones de la dirección
- Sea adaptable para responder a requisitos y entornos cambiantes
- Se base en información precisa
- Sea sistemática y estructurada
- Se ajuste a las necesidades específicas de la organización
- Sea transparente e incluyente
Valor de la gestión de riesgos
Un programa de gestión de riesgos exitoso es más que la suma de sus partes. No solo identifica vulnerabilidades de forma proactiva y ayuda a prevenir amenazas, también fortalece la reputación de las organizaciones. Esto se debe a que la gestión de riesgos les da a los empleados, clientes, socios y demás partes interesadas confianza en la capacidad de la empresa para operar sin contratiempos y proteger sus intereses.