Serie ISO 31000

Serie ISO 31000

ISO 31000: Principios y directrices genéricas sobre gestión de riesgos para todos los sectores.

Ofrece una guía más clara, breve y concisa que ayuda a las organizaciones a utilizar principios de gestión de riesgos para mejorar la planificación y tomar mejores decisiones, estableciendo a su vez una referencia en lo relativo al riesgo para los estándares de ISO que dan lugar a otros sistemas de gestión, tales como ISO 9001:2015 (Calidad), 14001:2015 (Medio Ambiente), 45001:2018 (Salud y Seguridad en el Trabajo), 50001:2018 (Energía), etc., los que, tras la aprobación por parte de ISO de la estructura de alto nivel (HLS) en 2012 para todos los estándares ISO y sus revisiones, tienen que incluir una consideración del riesgo.

Además de la propia definición del concepto de Riesgo, en el contexto de la Norma ISO 31000:2018 para gestión de riesgos, es muy importante tomar en consideración estos otros conceptos relacionados:

• Comunicación y consulta: La comunicación y la consulta es un diálogo entre una organización y sus partes interesadas. Este diálogo es a la vez continuo, un proceso bidireccional, que implica compartir y recibir información sobre la gestión de riesgos, aunque no implica una toma de decisiones conjunta. Una vez concluida la comunicación y consulta, las decisiones se toman y las instrucciones son establecidas por la organización, no por las partes interesadas.
• Consecuencia: Una consecuencia es el resultado de un evento y tiene un efecto en los objetivos. Un solo evento puede generar un rango de consecuencias que pueden tener efectos positivos y negativos sobre los objetivos. Las consecuencias iniciales también pueden escalar a través de efectos en cascada y efectos acumulativos.
• Contexto: Establecer el contexto significa definir aspectos externos e internos, parámetros que las organizaciones deben tener en cuenta cuando gestionan el riesgo. El contexto externo de una organización incluye sus partes interesadas externas, su entorno local, nacional e internacional, así como cualquier otro factor externo que influya en sus objetivos. El contexto interno de una organización incluye sus partes interesadas internas, su enfoque de la gobernanza, sus relaciones contractuales y sus capacidades, cultura y estándares.
• Control: Un control es cualquier medida o acción que modifica o regula el riesgo, como por ejemplo incluir cualquier política, procedimiento, práctica, proceso, tecnología, técnica, método,
  o dispositivo que modifique o regule el riesgo.
• Evento: Un evento puede ser una ocurrencia, varias ocurrencias o incluso una no ocurrencia (cuando algo no sucede como debería haber ocurrido). También puede ser un cambio en las circunstancias. Los eventos siempre tienen causas y suelen tener consecuencias.
• Gobernanza: La gobernanza incluye la estructura de la organización, políticas, objetivos, roles, responsabilidades, y el proceso de toma de decisiones.
• Nivel de riesgo: El nivel de riesgo es su magnitud. Se estima considerando y combinando consecuencias y probabilidades. Se puede asignar un nivel de riesgo a un solo riesgo o a una combinación de riesgos. Las categorías comunes de riesgo incluyen las siguientes: riesgo extremo, riesgo alto, riesgo moderado y riesgo bajo. Por supuesto, cada organización debe definir cada categoría para asegurar que todos los involucrados están usando la misma terminología de la misma manera.
• Probabilidad: es la posibilidad de que algo pueda suceder. La probabilidad puede ser definida, determinada y medida objetiva o subjetivamente, y puede expresarse de forma cualitativa o cuantitativa.
• Riesgo residual: El riesgo residual es el riesgo que queda después de haber implementado un tratamiento de riesgo. Es el riesgo restante después de que se haya reducido el riesgo, se haya eliminado la fuente del riesgo, se modificaron las consecuencias o las probabilidades, se transfirió el riesgo, o fue retenido el riesgo.
• Análisis de riesgo: El análisis de riesgos es un proceso que se utiliza para comprender la naturaleza, las fuentes, y las causas de los riesgos que se han identificado y para estimar el nivel de
  riesgo. También se utiliza para estudiar los impactos y consecuencias y para examinar los controles que existen actualmente. El nivel de detalle del análisis de riesgo dependerá del riesgo, el propósito del análisis, y la información y los recursos disponibles.
• Evaluación de riesgos: Es un proceso que se utiliza para comparar el análisis de riesgos, con respecto a criterios de riesgo para determinar si un nivel especificado de riesgo es aceptable o tolerable.
• Actitud de riesgo: La actitud de riesgo de una organización define su enfoque general del riesgo. La actitud de riesgo de la organización influye en cómo los riesgos son evaluados y abordados, y afecta también si los riesgos son o no tomados, tolerados, retenidos, compartidos, reducidos, o evitados, y si los tratamientos son o no implementados o pospuestos.
• Criterios de riesgo: Los criterios de riesgo son términos de referencia y se utilizan para evaluar la importancia de los riesgos de una organización. Se utilizan para determinar si un nivel específico de riesgo es aceptable o tolerable. Los criterios de riesgo deben reflejar los valores, políticas y objetivos de la organización, y deben basarse en su estructura y el contexto interno, debe considerar las opiniones de los interesados ​​y debe derivarse de normas, leyes, políticas y otros requisitos.
• Gestión de riesgos: La gestión de riesgos se refiere a un conjunto coordinado de actividades y métodos que se utiliza para dirigir una organización y para controlar los muchos riesgos que pueden afectar su capacidad para lograr objetivos. El término gestión de riesgos también se refiere al programa que se utiliza para gestionar el riesgo, el cual incluye principios de gestión de riesgos, un
  marco de gestión de riesgos, y un proceso de gestión de riesgos.
• Plan de gestión de Riesgos:  El plan de gestión de riesgos de una organización describe cómo ésta pretende gestionar el riesgo. Describe los componentes de gestión, el enfoque y los recursos que se utilizan para gestionar el riesgo. Los componentes de gestión típicos incluyen procedimientos, prácticas, responsabilidades y actividades (incluyendo su secuencia y tiempo). Los planes de gestión pueden aplicarse a productos, procesos y proyectos, a toda la organización o cualquier parte de ella.
• Política de gestión de riesgos: Una declaración de política define un compromiso general, dirección o intención. Entonces, una declaración de política de gestión de riesgos expresa el compromiso de una organización a la gestión de riesgos y aclara su orientación general o intención.
• Propietario del riesgo: Un propietario de riesgo es una persona o entidad que ha recibido la autoridad para gestionar un riesgo particular y es responsable de hacerlo.
• Fuente de riesgo: Una fuente de riesgo tiene el potencial intrínseco de generar riesgo. Una fuente de riesgo es donde se origina un riesgo. Entre las fuentes potenciales de riesgo se encuentran las relaciones y obligaciones comerciales, requisitos legales, expectativas y pasivos, cambios y circunstancias económicas, aspectos tecnológicos, innovaciones y trastornos, cambios y tendencias políticas, eventos naturales, fuerzas, debilidades y tendencias humanas, y deficiencias y excesos de gestión. Todas estas cosas podrían generar un riesgo que debe ser gestionado.
• Parte interesada: Una parte interesada es una persona u organización que puede afectar o ser afectada por una decisión o una actividad. Las partes interesadas también incluyen aquellos que tienen la percepción de que una decisión o una actividad puede afectarlos. ISO 31000 2018 distingue entre grupos de interés externos e internos.

ISO 31010: Es una norma de apoyo de la norma ISO 31000, trata sobre las directrices de Gestión de riesgos, Técnicas y evaluación de riesgos.

La “ISO/IEC 31010 Gestión de riesgos. Técnicas de evaluación de riesgos” es una norma que nace en el año 2009. Si bien, diez años después, se publica una nueva versión: la ISO 3010:2019. Esta norma presenta 42 técnicas relacionadas con la gestión de riesgo en alguna de sus etapas. Respecto a la versión anterior, presenta las siguientes novedades:

...