¿Qué es la gestión de riesgos?

La gestión de riesgos es un conjunto de procesos y procedimientos que ayuda a las organizaciones a identificar, evaluar y controlar problemas potenciales que pueden poner en peligro sus recursos. El riesgo adopta muchas formas: incertidumbres financieras, responsabilidades legales, fallos tecnológicos, errores de dirección estratégica, accidentes y desastres naturales.

Toda organización debe afrontar el riesgo. Comprender la gestión de riesgos en relación con las operaciones es el primer paso para establecer controles eficaces que mantengan el riesgo bajo control.

Un error frecuente al definir la gestión de riesgos es mezclarla con las amenazas. Los riesgos no son amenazas. El riesgo es lo que podría suceder; una amenaza es un riesgo activado o convertido en un incidente específico e inminente. Al comprender el objetivo de la gestión de riesgos y qué activos están en juego —incluidas las identidades—, es posible actuar de forma proactiva y descubrir vulnerabilidades antes de que se conviertan en problemas.

Es importante señalar que el riesgo individual difiere significativamente de la gestión de riesgos en las organizaciones. La mayor diferencia es la escala. La huella de riesgo corporativa no solo es más amplia, sino también mucho más compleja que la de las personas.

Tipos de gestión de riesgos​

Además, el riesgo de las organizaciones va más allá de las piezas que controlan directamente. También deben considerar la responsabilidad de la gestión de riesgos de cada uno de los terceros con los que trabajan, desde partners de la cadena de suministro hasta proveedores de servicios en la nube.

Los programas de gestión de riesgos clasifican el riesgo en varias categorías principales:

1. Cumplimiento
2. Digital, including:
   1. Ciberseguridad
   2. Automatización
   3. Privacidad de datos
3. Económico
4. Ambiental
5. Financiero
6. Legal
7. Operativo
8. Político
9. Calidad
10. Reputacional
11. Estratégico

Resultados de situaciones, eventos, circunstancias, actos o inacciones importantes que pueden influir negativamente en la capacidad de una entidad para alcanzar sus objetivos y ejecutar sus planes.

– Riesgo empresarial, según el American Institute of Certified Public Accountants (AICPA)

¿Por qué es importante la gestión de riesgos?

Las organizaciones consideran que la gestión de riesgos es un proceso importante por muchas razones, como que:

• Impulsa la concienciación sobre el riesgo en todas las organizaciones
• Permite el crecimiento futuro protegiendo los recursos
• Mejora la eficiencia operativa a través de una aplicación más consistente de procesos y control de riesgos
• Garantiza que los riesgos de alta prioridad se aborden de la manera más agresiva posible
• Proporciona a las organizaciones las herramientas necesarias para identificar y abordar riesgos potenciales
• Mejora la seguridad para empleados y clientes
• Aumenta la confianza en los objetivos y metas de la organización
• Protege a las organizaciones de diferentes tipos de pérdidas relacionadas con el riesgo
• Proporciona a las organizaciones un proceso estructurado para la toma de decisiones sensata
• Apoya el cumplimiento de los mandatos de cumplimiento normativo e interno

Otras razones por las que la gestión de riesgos es importante son que:

• Facilita el éxito de los proyectos al aumentar la visibilidad de peligros que pueden crear obstáculos o costes. Al adoptar una visión holística, los proyectos se benefician de la búsqueda continua de riesgos.
• Incrementa productividad y eficiencia al garantizar entornos de trabajo seguros y reducir distracciones por riesgos no controlados.
• Limita problemas de reputación al identificar y mitigar proactivamente riesgos que podrían derivar en publicidad negativa.
• Hace los lugares de trabajo más seguros al elevar la visibilidad y la conciencia de los riesgos y la capacidad de abordarlos. Con programas activos, las tendencias de pérdidas y lesiones se detectan antes y se mitigan.
• Minimiza eventos inesperados gracias a su enfoque prospectivo: la vigilancia continua y la respuesta proactiva previenen incidentes graves.
• Aporta beneficios financieros al reducir costes directos e indirectos de amenazas e incidentes.
• Reduce la incertidumbre al establecer sistemas para identificar y exponer riesgos; esta claridad impulsa productividad y eficiencia.

El proceso de gestión de riesgos

Uno de los procesos de gestión de riesgos más utilizados fue desarrollado por la Organización Internacional de Normalización, una organización de estándares comúnmente conocida como ISO. Incluye cinco pasos que cualquier tipo de organización puede utilizar para determinar el mejor enfoque de gestión de riesgos.

Paso uno: identificar los riesgos existentes

Para obtener una visión completa del riesgo en una organización, es necesario incorporar gerentes y empleados de áreas funcionales clave para considerar el riesgo en sus grupos. El primer paso en esta fase del proceso de gestión de riesgos es identificar todos los eventos que pueden afectar a la organización. Se debe alentar a los participantes a pensar en los riesgos cotidianos y los peores casos.

Paso dos: analizar los riesgos identificados

Una vez identificados los riesgos, el siguiente paso es evaluarlos. Hay dos tipos de análisis de riesgos: cualitativo y cuantitativo.

Análisis cualitativo de riesgos
Evalúa la probabilidad y el impacto de un riesgo

Análisis cuantitativo de riesgos
Evalúa el impacto financiero o beneficio de un riesgo.

Paso tres: priorizar los riesgos

La priorización de riesgos determina el orden en que se abordan los riesgos y el mejor enfoque de gestión de riesgos. Tomarse el tiempo necesario para priorizar los riesgos ahorra tiempo y dinero, además de garantizar que las vulnerabilidades más importantes se aborden a tiempo.

Paso cuatro: abordar los riesgos

Una vez que se han identificado y priorizado los riesgos, el siguiente paso se centra en la mitigación para impedir que se conviertan en amenazas y evitar que se repitan. Las acciones de mitigación de riesgos deben asignarse a una persona o equipo. Además, se deben establecer plazos y criterios de presentación de informes.

Paso cinco: monitorear los resultados y estar preparado para tomar medidas adicionales según sea necesario

Es necesario monitorear atentamente los riesgos y las acciones realizadas para remediarlos. Los informes, basados en el seguimiento de riesgos, garantizan que cualquier brote se identifique pronto, de modo que se puedan implementar rápidamente nuevas acciones de reparación para minimizar los daños potenciales.

Respuesta al riesgo

Las cinco respuestas principales son: evitación, reducción, compartición, transferencia y aceptación.

Evitación del riesgo: Se adopta cuando la organización quiere eliminar la incertidumbre: no se participa en actividades con potencial de impacto negativo.

Reducción del riesgo: La organización minimiza la exposición y acepta efectos residuales. Se aplica cuando la exposición puede disminuirse a un nivel aceptable mediante controles (p. ej., MFA, segmentación, Zero Trust).

Compartición del riesgo: La pérdida potencial se distribuye en un grupo más amplio para reducir impacto. Este enfoque permite aceptar niveles de riesgo más altos según la tolerancia definida.

Transferencia del riesgo: Ejemplo: contratar un seguro para cubrir daños o lesiones. El riesgo y responsabilidades se transfieren contractualmente a un tercero.

Aceptación del riesgo: El riesgo no puede eliminarse por completo. El riesgo residual es lo que queda tras evitación, reducción, compartición y transferencia. En algunos casos, el beneficio potencial supera los riesgos y se acepta el residual, con seguimiento estricto.

Desafíos de la gestión de riesgos

• Errores al evaluar la probabilidad o el tamaño de las pérdidas relacionadas con el riesgo
• No incluir riesgos conocidos en las evaluaciones
• No monitorear, notificar y gestionar los riesgos
• No utilizar parámetros de riesgo adecuados
• Medición inexacta de los riesgos conocidos
• Mala comunicación con la alta dirección sobre los riesgos
• Características de riesgo que cambian rápidamente
• Decisiones relacionadas con el riesgo tomadas sin la información adecuada o basadas en una percepción demasiado optimista de la posición de riesgo

Estándares de gestión de riesgos

Se encuentran disponibles varios estándares, marcos y directrices para dirigir la eficacia del programa de gestión de riesgos. A continuación se indican algunos ejemplos.

Marco de gestión de riesgos COBIT

El marco de gestión de riesgos Objetivos de control para la información y tecnologías relacionadas (COBIT) se centra en la gestión y el gobierno de la TI empresarial. Desarrollado por la Information Systems Audit and Control Association (ISACA), fue creado para establecer estándares de auditoría confiables.

Marco de gestión de riesgos empresariales COSO

El marco de gestión de riesgos empresariales (ERM) COSO proporciona un conjunto de veinte principios rectores para ayudar a las organizaciones a gestionar los riesgos de forma eficaz. Los principios del marco están organizados en cinco categorías interrelacionadas con la intención de integrar el riesgo en el desempeño operativo y vincularlo a él. Las cinco categorías son:

Gobierno y cultura

Información, comunicación y presentación de informes

Desempeño

Revisión y supervisión

Estrategia y fijación de objetivos

ISO 31000

Esta norma ISO:

• Detalla los principios de la ERM
• Proporciona un marco para aplicar estrategias de gestión de riesgos a las operaciones
• Describe un proceso para identificar, evaluar, priorizar y mitigar el riesgo

Marco de gestión de riesgos NIST

El marco de gestión de riesgos (RMF) del Instituto Nacional de Estándares y Tecnología (NIST) ayuda a las organizaciones federales estadounidenses a evaluar y gestionar los riesgos de los sistemas de TI garantizando la seguridad de las redes de defensa e inteligencia. Las agencias federales estadounidenses deben cumplir con este marco, pero otras organizaciones también siguen sus pautas.

Modelo de madurez de riesgo (RMM) RIMS

El marco RMM de Risk Management Society (RIMS) proporciona orientación sobre cómo evaluar los programas de gestión de riesgos en cinco categorías: alineación estratégica, cultura y responsabilidad, capacidades de gestión de riesgos, gobierno de riesgos y análisis.

Costes asociados con el riesgo

Estos costes abarcan todos los gastos asociados a la gestión de riesgos y cualquier exposición o pérdida atribuida al riesgo, tales como:

• Publicidad y opinión pública adversas
• Honorarios profesionales, sanciones, sentencias y responsabilidades civiles o fijados por ley
• Gastos de gestión de reclamaciones
• Coste de investigación, honorarios profesionales, sanciones y sentencias
• Coste de mitigar riesgos
• Daños a activos físicos que deben ser reparados o reemplazados
• Disminución de la capacidad de producción
• Disminución de la productividad de los trabajadores
• Primas de seguros potenciales más altas
• Aumento de gastos o reducción de ingresos por pérdidas
• Pérdida de personal clave (por ejemplo, debido a muerte, discapacidad o jubilación)
• Gastos de ajuste de pérdidas
• Pérdida de cuota de mercado
• Pérdida de propiedad
• Pérdida de reputación
• Ingresos netos del seguro
• Pagos realizados por fallecimiento, discapacidad o renuncia de los empleados
• Reducción de la exposición de marca y la publicidad por emplazamiento
• Reducciones de ingresos
• Pérdidas acumuladas (por ejemplo, franquicias, retención o exclusiones)
• Costes de control de riesgos
• Costes de administración del programa de gestión de riesgos
• Costes de transferencia
• Pérdidas acumuladas no aseguradas

Creación de un plan de gestión de riesgos

Al crear un plan de gestión de riesgos, una organización debe determinar su apetito de riesgo y tolerancia al riesgo. El apetito de riesgo es la cantidad de riesgo que aceptará; la tolerancia, cuánto puede exceder ese límite. Sea cual sea el nivel asumido, el plan debe integrarse y alinearse con la estrategia general.

Además de detallar el apetito y la tolerancia, el plan especifica cómo se gestionará el riesgo. Incluye:

• El enfoque de riesgo de la organización
• Las funciones y responsabilidades de quienes participan en la gestión de riesgos
• Los recursos que se asignarán para gestionar el riesgo
• Las políticas y procedimientos del programa

Los elementos centrales de un plan de gestión de riesgos son:

Comunicación y consulta para asegurar el éxito del plan de gestión de riesgos creando conciencia sobre qué es y por qué es necesario.

Establecimiento del nivel de riesgo aceptable de la organización, teniendo en cuenta factores como los objetivos generales, la cultura y los requisitos de cumplimiento.

Definición de los escenarios de riesgo que podrían afectar positiva o negativamente a la organización y mantenimiento de registros de dichos escenarios para orientar las acciones del programa de gestión de riesgos.

Análisis de los riesgos identificados para determinar la probabilidad de que cada uno de ellos se convierta en una amenaza y la gravedad del impacto en la organización si esto ocurriera.

Supervisión de los riesgos y, si un riesgo aumenta, aplicación de tratamientos utilizando controles y procesos acordados y luego seguimiento para confirmar que el riesgo se mitigó hasta un nivel aceptable.

También vale la pena señalar algunas prácticas recomendadas de gestión de riesgos muy utilizadas. Un programa de gestión de riesgos debería:

• Hacer cumplir el seguimiento y la mejora continuos
• Seguir una estructura que sea:
  • Adaptable para satisfacer requisitos y entornos cambiantes
  • Esté asada en información precisa
  • Sistemático y estructurada
  • Adaptada a las necesidades únicas de la organización
  • Transparente e integral
• Generar valor para una organización
• Desempeñar un papel esencial en las operaciones de una organización
• Identificar y abordar cualquier incertidumbre
• Servir como factor crítico en los procesos de toma de decisiones de la dirección

Valor de la gestión de riesgos

Un programa de gestión de riesgos correcto es más que la suma de sus partes; no solo identifica proactivamente vulnerabilidades y previene amenazas, sino que también eleva la reputación de las organizaciones. Esto se debe a que la gestión de riesgos brinda a empleados, clientes, partners y otras partes interesadas confianza en la capacidad de la empresa para operar sin interrupciones y proteger identidades y activos.