ISO 31000 convierte la planificación en una futura buena Gestión de Riesgos. Esta norma y el Risk Management debería considerarse una parte estratégica de la empresa, no aislada del resto.La finalidad es generar valor a través del cumplimiento de los objetivos estratégicos estipulados con antelación.
Identificación en Gestión de Riesgos
Hay que hacer mucho énfasis en la definición de objetivos según ISO 31000:
- Línea de negocio, procesos y subprocesos.
- Procesos críticos.
- Aspectos metodológicos.
- Riesgo inherente.
- Asignación de responsabilidad.
La identificación del riesgo se ha de llevar a cabo por un grupo multidisciplinario de expertos en la materia. En ella se ha de reconocer todas las amenazas posibles, dentro de cada uno de los procesos o ítems.
Análisis en Risk Management
El análisis se mide en función a la probabilidad del impacto que pueda ocasionar cualquier tipo de riesgo inherente a un proceso:
- Metodología acorde al grado de madurez.
- Cualitativa o cuantitativa.
- Registro de eventos o incidentes.
- Controles y su grado de efectividad.
Tras haber establecido los objetivos de priorización, se procede a la evaluación:
- Criterios de riesgo.
- Apetito al riesgo.
- Priorización de riesgos.
Tratamiento en Risk Management
Hay que tener en cuenta el riesgo y la cobertura que se va a establecer de acuerdo al apetito de riesgo establecido por la empresa:
- Planes de acción.
- Seguimiento de cumplimiento de plan de acción.
- Razonabilidad del control y/o medidas de tratamiento.
- Asignación de presupuesto.
- Indicadores de efectividad.
Comunicación y consulta en Gestión de Riesgos
Los planes de comunicación pueden ser internos o externos:
- Reportes internos o externos.
- Informar y consultar.
- Nivel y evolución indicadores de riesgo.
- Seguimientos al perfil de riesgo.
- Periodicidad.
- Mantener eficiencia.
Revisión y monitoreo
Se realiza acorde a unos indicadores establecidos previamente:
- Cumplimiento de políticas y procedimientos.
- Efectividad del sistema.
- Seguimiento al perfil de riesgo.
- Periodicidad.
- Responsabilidades.
La Gestión de Riesgos no hay que verla como una parte aislada, sino como un modelo que debe involucrar todos los procesos de la organización. ISO 31000 contribuye a la toma de decisiones.
Tomado de: https://www.ealde.es/
