En febrero de 2018, la International Standards Organization (ISO) divulgó una versión actualizada de sus directrices de gestión de riesgo, la norma ISO 31000:2018. La actualización de 2018, que sustituyó a la versión anterior de 2009, suministra:
- Lenguajes actualizados y simplificados y estructuras de referencia;
- Un enfoque renovado en el papel de liderazgo que la alta gerencia debe desempeñar para garantizar que la gestión de riesgos sea totalmente integrada en todos los niveles de la organización;
- Mayor atención a la naturaleza iterativa de la gestión de riesgos, que enfatiza la noción de que las organizaciones deben evaluar su proceso de gestión de riesgos siempre a la luz de nuevas informaciones.
Una visión rápida de la ISO 31000:2018
En un mundo en donde los estándares suelen ser escritos en centenas de páginas, las 16 páginas de la ISO 31000:2018 constituyen una guía sucinta y concentrada para ayudar a las organizaciones a mejorar la manera en que administran sus riesgos. El documento, que puede ser leído en cerca de 1 hora, consiste en cuatro secciones principales:
- Las definiciones de términos llave, como riesgo, gestión de riesgo, partes interesadas, fuente de riesgo, evento, consecuencia, probabilidad y control;
- Los principios de la gestión de riesgos, o sea, que la gestión de riesgos es integrada, ejecutada por medio de un abordaje estructurado y amplio, personalizado, inclusivo, dinámico, basado en la mejor información disponible sobre factores humanos y culturales y continuamente mejorado;
- Una estructura para garantizar que la gestión de riesgos sea implementada adecuadamente, bien integrada, cuidadosamente proyectada, revisada regularmente y continuamente adaptada y mejorada; y
- Una sección sobre el proceso de gestión de riesgos, incluyendo los elementos tradicionales de identificación, análisis, evaluación y tratamiento de riesgos, reforzada por un elemento de monitorización y revisión, bien como un elemento de comunicación y consulta.
8 tópicos importantes de la ISO 31000:2018
Aunque la ISO 31000:2018 esté lejos de ser el único documento que cubre la gestión de riesgos corporativos, sería difícil encontrar un conjunto más sucinto de principios para implementar y evaluar un proceso de gestión de riesgos. Pero la brevedad no es sólo el único beneficio de este documento. Abajo están ocho de los principales tópicos de la ISO 31000:2018.
1. El “patrocinio” ejecutivo es fundamental
El documento incluye un lenguaje claro sobre la importancia de un liderazgo fuerte y compromiso con el programa de gestión de riesgo. Los ejecutivos deben garantizar que el proceso de gestión de riesgos esté totalmente integrado en todos los niveles de la organización y fuertemente alineado con los objetivos, estrategia y cultura.
2. Considere los riesgos en las decisiones de negocios
La ISO 31000:2018 también incluye un recordatorio de que los consejos son responsables por garantizar que los riesgos reciban la debida consideración cuando las decisiones están siendo tomadas, dado vez que esos riesgos pueden afectar la capacidad de la organización de agregar valor.
3. Enfatice la implementación adecuada
Los consejos también precisan garantizar que el proceso de gestión de riesgos sea implementado adecuadamente y que los controles tengan el efecto pretendido. Los directores pueden no tener el dominio adecuado para comprender totalmente el significado y el impacto que los riesgos presentan para la organización. En esos casos, ellos deben contratar a un consultor externo para proveer el contexto y garantizar que las acciones de la gerencia estén alineadas con la importancia estratégica del asunto
La gestión de riesgos no es de tamaño único
El documento tiene una clara articulación de la gestión de riesgos como un proceso cíclico, con amplio espacio para personalización y mejora. Pero, en lugar de prescribir un abordaje de tamaño único, el documento de la ISO aconsejó al alto liderazgo a personalizar sus recomendaciones para la organización – en particular, su perfil de riesgo, cultura y apetito de riesgo.
5. Sea proactivo
Aunque el documento no aborde específicamente algunos tipos de riesgos, provee una orientación poderosa para ayudar a los ejecutivos a adoptar una postura proactiva con relación al riesgo y garantizar que la gestión de riesgos sea integrada a todos los aspectos de la toma de decisiones en todos los niveles de la organización. Eso incluye continuidad de negocios, conformidad, gestión de crisis, RRHH, TI y resiliencia organizacional.
6. Estandarice su vocabulario
El documento provee un lenguaje común con definiciones simples y sin complicaciones de riesgos, eventos, consecuencias y probabilidad. Los gestores deben alinear el uso de los términos para garantizar que las comunicaciones estén ocurriendo sin el obstáculo del lenguaje complejo. Si una métrica es muy compleja, no debe ser compartida con destaque. Sin embargo, aún puede ser útil como parte de una métrica mayor que represente líneas de tendencia en la integridad y en la resiliencia global de la organización.
7. Use la mejor información disponible
Gran parte de la gestión de riesgo está centrada en la mejor información disponible, con toda la ambigüedad e imperfecciones que el término implica. En vez de buscar sólo compartir informaciones de riesgo absoluto, los gestores deben adoptar ese entendimiento nebuloso y reflejar sobre los datos que proveen para solidificar su papel como consultores eficaces para los negocios.
8. Evalúe el éxito
Las directrices también enfatizan el valor de la medición, evaluación y mejora del propio sistema de gestión de riesgo. La idea no es acertar todo en la primera vez, sino mejorar cada vez que el ciclo es concluido. Aún los datos de riesgo imperfectos pueden ser útiles, desde que sean presentados junto con una línea del tiempo mostrando una tendencia. En último análisis, los informes de riesgos deben proveer informaciones de calidad para los ejecutivos.
Independiente de que usted esté listo para implementar su primer proceso de gestión de riesgos o de mejorar uno ya existente, las directrices de la ISO 31000:2018 pueden ayudar a administrar la incerteza y, al mismo tiempo, proteger el valor de su organización.
