ISO 31000 2018 Gestion de Riesgos

• Las organizaciones de todos los tipos y tamaños se
enfrentan a factores e influencias externas e
internas que hacen incierto si lograrán sus objetivos.
• La gestión del riesgo es iterativa y asiste a las
organizaciones a establecer su estrategia, lograr sus
objetivos y tomar decisiones estando informadas.
Introducción

• La gestión del riesgo es parte de la gobernanza y el
liderazgo y es fundamental en la manera en que se
gestiona la organización en todos sus niveles. Esto
contribuye a la mejora de los sistemas de gestión.
• La gestión del riesgo además es parte de todas las
actividades asociadas con la organización e incluye la
interacción con las partes interesadas.
Introducción

Introducción
La gestión del riesgo considera los contextos externo e interno
de la organización, incluido el comportamiento humano y
los factores culturales.
La gestión del riesgo está basada en:
1. los principios,
2. el marco de referencia y
3. el proceso
Estos 3 componentes podrían existir previamente en toda o
parte de la organización, sin embargo, podría ser necesario
adaptarlos o mejorarlos para que la gestión del riesgo sea
eficiente, eficaz y coherente.

Marco de Referencia
Principios
Proceso de Gestión
ISO 31000:2018
Componentes de la Gestión de Riesgos

1 Objeto y campo de aplicación
• La Norma ISO 31000:2018 proporciona directrices
para gestionar el riesgo al que se enfrentan las
organizaciones. La aplicación de estas directrices
puede adaptarse a cualquier organización y a su
contexto.
• ISO 31000:2018 proporciona un enfoque común
para gestionar cualquier tipo de riesgo y no es
específico de una industria o un sector.
Puede utilizarse a lo largo de la vida de la
organización y puede aplicarse a cualquier actividad,
incluyendo la toma de decisiones a todos los niveles.

2 Referencias normativas
• ISO 31000:2018 no contiene referencias
normativas.

3 Términos y definiciones
3.1 riesgo
efecto de la incertidumbre sobre los objetivos
• Nota 1 a la entrada: Un efecto es una desviación respecto a lo
previsto. Puede ser positivo, negativo o ambos, y puede
abordar, crear o resultar en oportunidades y amenazas.
• Nota 2 a la entrada: Los objetivos pueden tener diferentes
aspectos y categorías, y se pueden aplicar a diferentes
niveles.
• Nota 3 a la entrada: Con frecuencia, el riesgo se expresa en
términos de fuentes de riesgo (3.4), eventos (3.5) potenciales,
sus consecuencias (3.6) y sus probabilidades (3.7).

3.1 Riesgo
“Efecto de la incertidumbre”
es el estado, incluso parcial,
de deficiencia de información
relacionada con la comprensión
o conocimiento de un evento,
su consecuencia o su probabilidad
DESVIACION
DE LO ESPERADO
Término común y definición esencial para las normas de sistemas de gestión que se proporcionan en Anexo SL de Directivas
ISO/IEC

• 3.2 gestión del riesgo
actividades coordinadas para dirigir y controlar la
organización con relación al riesgo
• 3.3 parte interesada
persona u organización que puede afectar, verse
afectada, o percibirse como afectada por una
decisión o actividad
• 3.4 fuente de riesgo
elemento que, por sí solo o en combinación con otros,
tiene el potencial de generar riesgo

• 3.5 evento
ocurrencia o cambio de un conjunto particular
de circunstancias
• 3.6 consecuencia
resultado de un evento que afecta a los
objetivos
• 3.7 probabilidad (likelihood)
posibilidad de que algo suceda

• 3.8 control
medida que mantiene y/o modifica un riesgo
• Nota 1: Los controles incluyen, pero no se limitan a
cualquier proceso, política, dispositivo, práctica u
otras condiciones y/o acciones que mantengan y/o
modifiquen un riesgo.
• Nota 2: Los controles no siempre pueden producir el
efecto de modificación previsto o asumido.

4 Principios
• El propósito de la gestión del riesgo es la
creación y la protección del valor.
• Mejora el desempeño, fomenta la innovación
y contribuye al logro de objetivos.

4 Principios
• Los principios descritos en la figura siguiente
proporcionan orientación sobre las características
de una gestión del riesgo eficaz y eficiente,
comunicando su valor y explicando su intención y
propósito.
• Los principios son el fundamento de la gestión del
riesgo y se deberían considerar cuando se establece
el marco de referencia y los procesos de la gestión
del riesgo de la organización.
• Estos principios deberían habilitar a la organización
para gestionar los efectos de la incertidumbre
( Riesgos) sobre sus objetivos.

4 Principios
La gestión eficaz del riesgo require los elementos de la figura se
puede explicar de la siguiente forma Mediante 8 Principios.
a. Integrado. La gestión de riesgos es una parte integral de todas
las actividades de la empresa.
b. Estructurado y completo. Un enfoque estructurado e integral
de la gestión de riesgos que contribuye a la coherencia y a los
resultados comparables.
c. Personalizado. El marco y el proceso de gestión de riesgos son
personalizados y proporcionales al contexto externo e
interno de la organización relacionado con sus objetivos.
d. Inclusivo. La participación adecuada y oportuna de las partes
interesadas permite su conocimiento, puntos de vista y
percepciones a considerar. Esto se traduce en una mejor
conciencia y una gestión de riesgos informada.

4 Principios
e. Dinámico. Los riesgos pueden surgir, cambiar o
desaparecer a medida que cambia el contexto externo o
interno de la empresa. La gestión de riesgos anticipa,
detecta, reconoce y responde a los cambios y efecto de una
forma apropiada y oportuna.
f. La mejor información disponible. Las aportaciones a la
gestión de riesgos se basan en información histórica y
actual, así como en el futuro. La gestión de riesgos tiene en
cuenta cualquier limitación e incertidumbre asociada a la
información y expectativas. La información debe ser
oportuna, clara y disponible para las partes interesadas
relevantes.
g. Factores humanos y culturales. El comportamiento
humano y la cultura influyen de forma significativa en
todos los aspectos de la gestión del riesgo en cada nivel o
etapa.
h. Mejora continua. La gestión del riesgo se mejora de forma
continua mediante el aprendizaje y la experiencia.

5 Marco de referencia
5.1 Generalidades
• El proposito del marco de gestion de riesgos es
ayudar a la organización e integrar los riesgos en
todas sus actividades y funciones significativas.
• La eficacia de la gestión de riesgos dependerá sobre
la integración en la gobernanza de la organizacion,
incluyendo la toma de decisiones. Esto requiere del
apoyo de las partes interesados, en particular la
alta dirección.

• 5.1 Generalidades
• El desarrollo del marco de referencia abarca la
integración, el diseño, la implementación, la
evaluación y la mejora gestión de riesgos en toda la
empresa. Se ilustra los componentes de un marco en
la figura siguiente.
• La organización debe evaluar sus prácticas y
procesos de gestión de riesgos existentes, evaluar
cualquier brecha y abordar estas brechas dentro del
marco. Los componentes del marco y la forma en la
que se trabajan juntos deben personalizarse para las
necesidades de la organización.

El marco de referencia debe incluir:
5.2 Liderazgo y compromiso.
La alta dirección debe demostrar liderazgo y
compromiso asegurando que la gestión del riesgo
está integrada en todas las actividades de la
organización.
1. Alineando la gestión del riesgo con los objetivos
de la organización, su estrategia y cultura.
2. Comunicar el valor de la gestión del riesgo a la
organización y sus partes interesadas.

5.3 Integración.
El riesgo se gestiona en cada parte de la
estructura de la organización.
Todos los miembros de una organización tienen
la responsabilidad de gestionar el riesgo.
Determinación de los roles para la rendición de
cuentas y la supervisión de la gestión del
riesgo.

5.4 Diseño
1. Comprensión de la organización y de su contexto.
2. Articulación del compromiso con la gestión del
riesgo.
3. Asignación de roles, autoridades, responsabilidades
y obligación de rendir cuentas.
4. Asignación de recursos.
5. Establecimiento de la comunicación y la consulta

5.5 Implementación.
• El desarrollo de un plan de implementación
apropiado incluyendo plazos y recursos.
• La identificación de dónde, cuándo, cómo y
quién toma decisiones en la organización.

5.6 Evaluación
• Medir periódicamente el desempeño del
marco de referencia de la gestión del riesgo
con relación a su propósito, sus planes para la
implementación, sus indicadores y el
comportamiento esperado.
• Determinar si el marco de referencia
permanece idóneo para apoyar el logro de los
objetivos de la organización.

5.7 Mejora.
• Adaptar el marco de referencia de la gestión
del riesgo en función de los cambios externos
e internos.
• La organización debería mejorar
continuamente la idoneidad, adecuación y
eficacia del marco de referencia de la gestión
del riesgo y la manera en la que se integra el
proceso de la gestión del riesgo.

6 Proceso
• 6.1 Generalidades
• El proceso de la gestión del riesgo implica la
aplicación sistemática de políticas, procedimientos y
prácticas a las actividades de comunicación y
consulta, establecimiento del contexto y evaluación,
tratamiento, seguimiento, revisión, registro e
informe del riesgo. Este proceso se ilustra en la
Figura.

6 Proceso
• La norma ISO 31000:2018 “Gestión del riesgo”
recomienda un proceso, paso a paso, para la gestión
efectiva de riesgos.
• El proceso de la gestión del riesgo es una parte
integral de la gestión y de la toma de decisiones y se
debe integrar en la estructura, las operaciones y los
procesos de la organización.
• Puede aplicarse a nivel estratégico, operacional, de
programa o de proyecto.
• Aunque el proceso de la gestión del riesgo se
presenta frecuentemente como secuencial, en la
práctica es iterativo.

6 Proceso
• 6.2 Comunicación y consulta
• El propósito de la comunicación y
consulta es asistir a las partes
interesadas pertinentes externas
e internas, a comprender el
riesgo, las bases con las que se
toman decisiones y las razones
por las que son necesarias
acciones específicas.
• se debería realizar en todas y
cada una de las etapas del
proceso de la gestión del riesgo.

6 Proceso
6.3 Alcance, contexto y
criterios
El propósito del
establecimiento del
alcance, contexto y
criterios es adaptar el
proceso de la gestión del
riesgo, para permitir una
evaluación del riesgo eficaz
y un tratamiento apropiado
del riesgo, implican definir
el alcance del proceso, y
comprender los contextos
externo e interno.

6 Proceso
6.3 Alcance, contexto y criterios
Alcance
La organización debe considerar el alcance de
sus actividades de Gestión de Riesgos, y como
puede aplicarse en diferentes niveles de la
organización, así como estratégico, operativo,
proyectos, etc.

6 Proceso
La definición del alcance implica considerar los siguientes
elementos:
• Decisiones que deben tomarse y objetivos que se persiguen.
• Resultados que se espera obtener de la Gestión de Riesgos.
• Ubicaciones, tiempo, inclusiones y exclusiones.
• Herramientas disponibles para la evaluación de riesgos.
• Recursos disponibles, responsabilidades asignadas y registros
que se mantendrán.
• Relación de la Gestión de Riesgos con otros Sistemas,
proceso, proyectos o actividades.

6 Proceso
• El Contexto Interno y Externo
• El Contexto de la organización, es el entorno en el
que se mueve la organización y en el que trabaja
para alcanzar sus metas y cumplir con sus objetivos.
• Para comprender el Contexto es importante conocer
los factores que afectan las actividades de la
organización, al interior de sus instalaciones, pero
también en el exterior.

6 Proceso
Es importante comprender el contexto de la
organización:
1. Porque la Gestión de Riesgos se produce
precisamente dentro de ese entorno en el que la
organización desarrolla su actividad.
2. Porque los factores que conforman el Contexto
pueden ser fuente de riesgos.
3. Porque puede existir una relación entre los factores
que conforman el Contexto interno o externo y los
objetivos de la organización y es necesario
analizarlos en su conjunto como un todo.

6 Proceso
Criterios de Riesgo
• La definición de los Criterios de Riesgo, que es requerida para
elaborar la Política de Riesgo de la Organización.
• Definir los Criterios de Riesgo implica especificar cada uno de
ellos, y establecer cuáles pueden ser tolerados por la
organización y en qué nivel.
• Los Criterios de Riesgo deben estar alineados con el marco de
Gestión de Riesgos y deben reflejar los valores, objetivos y
recursos de la organización. Así mismo, ser coherentes con la
política y la declaración sobre Gestión de Riesgos hechas por
la organización.

6 Proceso
• Aunque los Criterios de Riesgo deben definirse al iniciar el
proceso de evaluación, esta es una actividad dinámica que
debe ser revisada y modificada en forma continua.
Para establecer los Criterios de Riesgo, se deben considerar los
siguientes aspectos:
• La naturaleza y el tipo de riesgo, sea tangible o intangible.
• Cómo se van a definir y medir las consecuencias (tanto
positivas como negativas) y la probabilidad.
• El tiempo y la ubicación.
• La forma en que se determina el nivel de riesgo.
• La capacidad de la organización.

6 Proceso
• 6.4 Evaluación del
riesgo
• 6.4.1 Generalidades
La evaluación del riesgo
es el proceso global de
identificación del
riesgo, análisis del
riesgo y valoración del
riesgo.

6 Proceso
• 6.4 Evaluación del riesgo
La evaluación del riesgo se debería llevar a cabo de
manera sistemática, iterativa y colaborativa,
basándose en el conocimiento y los puntos de vista
de las partes interesadas.
• Se debería utilizar la mejor información disponible,
complementada por investigación adicional, si fuese
necesario.

6 Proceso
6.4 Evaluación del riesgo
6.4.2 Identificación del
riesgo

6 Proceso
6.4.2 Identificación del riesgo
El propósito de la identificación del riesgo es
encontrar, reconocer y describir los riesgos que
pueden ayudar o impedir a una organización lograr
sus objetivos. Para la identificación de los riesgos es
importante contar con información pertinente,
apropiada y actualizada.
Las organizaciones pueden utilizar varias técnicas para
identificar los riesgos a los que
están expuestas.

6 Proceso
Se deberían considerar los factores siguientes y la relación entre estos
factores:
las fuentes de riesgo tangibles e intangibles;
las causas y los eventos,
las amenazas y las oportunidades;
las vulnerabilidades y las capacidades;
los cambios en los contextos externo e interno;
los indicadores de riesgos emergentes;
la naturaleza y el valor de los activos y los recursos;
las consecuencias y sus impactos en los objetivos;
las limitaciones de conocimiento y la confiabilidad de la información;
los factores relacionados con el tiempo;
los sesgos, los supuestos y las creencias de las personas involucradas

6 Proceso
• La organización debería identificar los riesgos, tanto
si sus fuentes están o no bajo su control.
• Se debería considerar que puede haber más de un
tipo de resultado, que puede dar lugar a una
variedad de consecuencias tangibles o intangibles.

6 Proceso
6.4.3 Análisis del riesgo

6 Proceso
El propósito del análisis de riesgos es entender las
características de la amenaza y su naturaleza, lo que
requiere considerar la probabilidad de ocurrencia
del evento, el escenario, el posible impacto y los
escenarios en los que se puede dar.
El análisis, dentro de la evaluación de riesgos según ISO
31000:2018, puede efectuarse con diferentes niveles
de detalle.

6 Proceso
Por supuesto, la complejidad depende del
propósito del análisis y la calidad de la
información disponible.

6 Proceso
El análisis del riesgo debería considerar factores tales como:
• la probabilidad de los eventos y de las
consecuencias;
• la naturaleza y la magnitud de las consecuencias;
• la complejidad y la interconexión;
• los factores relacionados con el tiempo y la
volatilidad;
• la eficacia de los controles existentes;
• los niveles de sensibilidad y de confianza.

6 Proceso
El análisis de riesgos puede afectase por causa
de la diferencia de opiniones entre las partes
interesadas, los sesgos, las diferencia entre las
percepciones del riesgo, e, incluso, por
suposiciones infundadas que conducen a
exclusiones que limitan el efecto final del
análisis.

6 Proceso
• Los eventos de alta incertidumbre pueden ser
difíciles de cuantificar. Esto puede ser una
cuestión importante cuando se analizan
eventos con consecuencias severas. En tales
casos, el uso de una combinación de técnicas
generalmente proporciona una visión más
amplia.

6 Proceso
• El análisis del riesgo proporciona una entrada para
la valoración del riesgo, para las decisiones sobre la
manera de tratar los riesgos y si es necesario hacerlo
y sobre la estrategia y los métodos más apropiados
de tratamiento del riesgo. Los resultados
proporcionan un entendimiento profundo para
tomar decisiones, cuando se está eligiendo entre
distintas alternativas, y las opciones implican
diferentes tipos y niveles de riesgo.

6 Proceso
6.4.4 Valoración del
riesgo

6 Proceso
6.4.4 Valoración del riesgo
El propósito de la valoración del riesgo es apoyar a la
toma de decisiones. La valoración del riesgo implica
comparar los resultados del análisis del riesgo con
los criterios del riesgo establecidos para determinar
cuándo se requiere una acción adicional. Esto puede
conducir a una decisión de:

6 Proceso
• no hacer nada más;
• considerar opciones para el tratamiento del riesgo;
• realizar un análisis adicional para comprender mejor
el riesgo;
• mantener los controles existentes;
• reconsiderar los objetivos.

6 Proceso
• Las decisiones deberían tener en cuenta un contexto
más amplio y las consecuencias reales y percibidas
por las partes interesadas externas e internas.
• Los resultados de la valoración del riesgo se deberían
registrar, comunicar y luego validar a los niveles
apropiados de la organización.

6 Proceso
• 6.5 Tratamiento del
riesgo
El propósito del
tratamiento del riesgo
es seleccionar e
implementar opciones
para abordar el riesgo.

6 Proceso
• 6.5 Tratamiento del riesgo
El tratamiento del riesgo implica un proceso iterativo de:
• formular y seleccionar opciones para el tratamiento
del riesgo;
• planificar e implementar el tratamiento del riesgo;
• evaluar la eficacia de ese tratamiento;
• decidir si el riesgo residual es aceptable;
• si no es aceptable, efectuar tratamiento adicional.

6 Proceso
• 6.5.2 Selección de las opciones para el tratamiento
del riesgo
La selección de las opciones de tratamiento de riesgo
que resulten más efectivas, requiere poner en una
balanza los beneficios potenciales derivados de la
efectividad de la acción propuesta, por un lado, y el
costo, el esfuerzo y las desventajas que
eventualmente pudiesen surgir como consecuencia
de la implementación.

6 Proceso
del riesgo
Las opciones de tratamiento de riesgos según ISO
31000:2018 no son excluyentes entre sí. Tampoco
resultan eficaces en todas las circunstancias. Éstas
pueden incluir una o varias de las siguientes
acciones:

6 Proceso
• 6.5.2 Selección de las opciones para el tratamiento del
riesgo
• Eliminar el riesgo prescindiendo del proceso, la actividad o las
circunstancias que lo generan.
• Asumir el riesgo, aún aumentándolo, con el fin de
incrementar una posible oportunidad.
• Tomar acciones para disminuir la probabilidad del riesgo.
• Implementar acciones que disminuyan el impacto negativo
del riesgo.
• Compartir el riesgo (cláusulas en contratos o comprar pólizas
de seguros)
• Retener el riesgo con base en información confiable.

6 Proceso
• 6.5.2 Selección de las opciones para el tratamiento del
riesgo
• Las variables con base en las cuales se realiza el tratamiento
de riesgos van más allá de las consideraciones económicas. Es
preciso tener en cuenta las opiniones de las partes
interesadas, las obligaciones y los objetivos de negocio de la
organización.
• El tratamiento de riesgos aunque se diseñe e implemente en
forma cuidadosa, puede no ofrecer los resultados esperados
para la organización o para algunas partes interesadas. Por
ello, el seguimiento y la revisión deben formar parte integral
del proceso de tratamiento de riesgos a fin de garantizar que
las acciones implementadas sigan siempre siendo efectivas.

6 Proceso
del riesgo
En el proceso de tratamiento de riesgos, es posible que
aparezcan amenazas para las que no tengamos
opciones disponibles. Cuando las opciones de
tratamiento no modifican en forma sustancial el
riesgo, este debe registrarse y mantenerse en
observación permanente.

6 Proceso
• 6.5.3 Preparación e implementación de los planes de
tratamiento del riesgo
• La razón para implementar planes de tratamiento de riesgos
es definir y especificar la forma en que se adoptarán las
opciones elegidas, para que todas las partes interesadas las
entiendan y sea posible monitorear el progreso del plan.
• El plan de tratamiento de riesgos debe identificar con
claridad el orden en que se deben implementar las acciones,
y la forma en que se integrará con los procesos de gestión de
la organización, todo ello de acuerdo con las necesidades de
las partes interesadas.

6 Proceso
• 6.5.3 Preparación e implementación de los planes
de tratamiento del riesgo
La información provista en el plan de tratamiento de
riesgos debe incluir:
• Justificación para la elección de las opciones de
tratamiento, incluyendo beneficios esperados.
• Quiénes son los responsables de aprobar e
implementar el plan.

6 Proceso
• 6.5.3 Preparación e implementación de los planes
de tratamiento del riesgo
• Las acciones de tratamiento propuestas.
• Recursos requeridos, incluyendo los necesarios en
caso de contingencia.
• Mediciones de rendimiento del plan.
• Limitaciones del plan.
• Acciones de monitoreo requeridas.
• Plazos esperados para que se completen las acciones

6 Proceso
• 6.6 Seguimiento y
revisión
El propósito del
seguimiento y la
revisión es asegurar y
mejorar la calidad y la
eficacia del diseño, la
implementación y los
resultados del proceso.

6 Proceso
• 6.6 Seguimiento y revisión
El seguimiento continuo y la revisión periódica del proceso de la
gestión del riesgo y sus resultados debería ser una parte
planificada del proceso de la gestión del riesgo, con
responsabilidades claramente definidas.
• El seguimiento y la revisión deberían tener lugar en todas
etapas del proceso.
• El seguimiento y la revisión incluyen planificar, recopilar y
analizar información, registrar resultados y proporcionar
retroalimentación.
• Los resultados del seguimiento y la revisión deberían
incorporarse a todas las actividades de la gestión del
desempeño, de medición y de informe de la organización.

6 Proceso
• 6.7 Registro e informe
El proceso de la gestión del riesgo y sus resultados se deberían
documentar e informar a través de los mecanismos
apropiados. El registro e informe pretenden:
• comunicar las actividades de la gestión del riesgo y sus
resultados a lo largo de la organización;
• proporcionar información para la toma de decisiones;
• mejorar las actividades de la gestión del riesgo;
• asistir la interacción con las partes interesadas, incluyendo a
las personas que tienen la responsabilidad y la obligación de
rendir cuentas de las actividades de la gestión del riesgo.

6 Proceso
• 6.7 Registro e informe
El informe es una parte integral de la gobernanza de la
organización y debería mejorar la calidad del diálogo con las
partes interesadas, y apoyar a la alta dirección y a los órganos
de supervisión a cumplir sus responsabilidades. Los factores a
considerar en el informe incluyen, pero no se limitan a:
• las diferentes partes interesadas, sus necesidades y requisitos
específicos de información;
• el costo, la frecuencia y los tiempos del informe;
• el método del informe;
• la pertinencia de la información con respecto a los objetivos
de la organización y la toma de decisiones.

ISO 31000 2018 Gestion de Riesgos

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à ISO 31000 2018 Gestion de Riesgos

Similaire à ISO 31000 2018 Gestion de Riesgos (20)

Plus de Primala Sistema de Gestion

Plus de Primala Sistema de Gestion (20)

Dernier

Dernier (10)

ISO 31000 2018 Gestion de Riesgos