ISO 31000: La gestión de riesgos como componente integral de la gestión empresarial

Transcripción

1 Angel Escorial Bonet Director General de Riskia, S.A. ISO 31000: La gestión de riesgos como componente integral de la gestión empresarial Sus antecedentes están en el modelo FERMA 2003 y en normas como la australiana/neo zelandesa AS/NZS 4360 En noviembre del 2009 la Organización Internacional para la Estandarización (International Organization for Standardization ISO -) publicaba la ISO 31000:2009 (Gestión de Riesgos: Principios y Directrices), con el objetivo de ayudar a las organizaciones, independientemente del tipo y tamaño que éstas posean, a gestionar sus riesgos de manera eficaz, eficiente y coherente. Esta norma se convierte en el primer estándar en establecer un marco general sobre el que desarrollar los procesos de gerencia de riesgos y consta de cinco cláusulas y un anexo. El nuevo estándar ISO proporciona los principios y directrices necesarios para la gestión de todo tipo de riesgos de una forma sistemática, transparente y creíble en cualquier ámbito y contexto. Al mismo tiempo que la nueva ISO 31000, ha salido a luz la actualización de la Guía 73:2009, Risk management vocabulary, que complementa la ISO al proporcionar una colección de términos y definiciones relacionados con la gestión de riesgos. El conjunto de normas ISO 31000, se completa con la ISO 31010:2009. Esta es una norma de apoyo que ofrece orientación sobre la selección y aplicación de técnicas sistemáticas para la evaluación de riesgos. Esta norma no establece criterios específicos para determinar la necesidad de análisis de riesgos, ni tampoco especifica el tipo de método de análisis de riesgos que se requiere para una aplicación particular. El antecedente de la ISO hay que buscarlo en los estándares de gerencia de riesgos elaborados por la Federation of European Risk Management Associations (FERMA) en el año 2003, que ya recogían la terminología establecida por aquel entonces en la Guía ISO/CEI 73:2002. Hasta la aprobación de la ISO sólo se disponía de modelos ad-hoc de uso específico para ciertas actividades: COSO, Basilea, Solvencia, UNE , así como algún otro modelo de carácter integral de Risk Management entre ellos, el mencionado modelo FERMA o la norma australiana-neo zelandesa AS/NZS 4360:2004. ERM Enterprise Risk Management Tradicionalmente, las organizaciones han tratado los riesgos mediante estrategias de reacción y soluciones puntuales. No obstante, la experiencia ha demostrado que los elementos que conforman los riesgos y los factores que determinan el impacto de sus consecuencias sobre un sistema, son los mismos que intervienen para todos los riesgos en una organización. Por ello, la tendencia moderna es utilizar un enfoque integral de manejo de los mismos conocido como Enterprise Risk Management (ERM), con el fin de evaluar, administrar y comunicar estos riesgos de una manera integral, basados en los objetivos estratégicos de la organización. El estándar recomienda que las organizaciones desarrollen, implementen y mejoren de forma continua el marco de gestión del riesgo como un componente integral del sistema de gestión. 1

2 La ISO es un documento práctico que busca asistir a las organizaciones en el desarrollo de su propia estrategia de gestión de riesgo, pero en ningún caso se trata de un estándar certificable. La ISO sirve para ayudar a las organizaciones a incrementar las oportunidades de alcanzar sus objetivos; fomentar la gestión proactiva; mejorar en la identificación de oportunidades y amenazas; cumplir con los requisitos legales y regulatorios y las normas internacionales; mejorar los informes financieros; incrementar la confianza de los accionistas; establecer una base fiable para la toma de decisiones y mejora de los controles; distribuir y utilizar con eficacia los recursos para el tratamiento de los riesgos; mejorar la eficiencia y eficacia operacional; mejorar el rendimiento en lo que a salud, seguridad y protección ambiental se refiere; mejorar las previsiones de pérdidas y la gestión de incidentes así como minimizar pérdidas y mejorar el aprendizaje organizacional. Las prácticas actuales de gestión de muchas organizaciones incluyen la gestión de riesgos como parte integral de su cultura como fuente de creación de valor. Con la ISO las organizaciones disponen de una herramienta para llevar a cabo la revisión de sus prácticas y procesos comparándolos con lo recogido en el nuevo estándar internacional. Gestión del riesgo Se define la gestión de riesgos como la coordinación de actividades para dirigir y controlar una organización en relación con el riesgo. El riesgo se define en la Guía ISO/CEI 73:2009 como el efecto de la incertidumbre sobre la consecución de los objetivos. Es relevante señalar que el efecto puede ser una desviación positiva o negativa (oportunidades o amenazas) frente al termino riesgo en su concepto tradicional que estaba únicamente ligado a las posibilidades de consecuencias negativas. El riesgo se suele expresar en términos de la combinación de las consecuencias de un suceso y de su probabilidad. Es importante referirse en este punto a la diferencia que se establece en la norma entre gerencia y gestión de riesgos. Tradicionalmente la primera hace referencia a la estructura para la gestión de riesgos, mientras que la segunda se refiere a la aplicación de esa estructura a riesgos particulares. Como la norma ha sido publicada sólo en los idiomas oficiales de ISO (inglés y francés), estamos a la espera de la traducción al español lo que, de acuerdo con fuentes de su representante en España (AENOR), será en breve. Para una mayor eficacia, la gestión de riesgos debe tener en cuenta principios como: crear valor; estar integrada en procesos de la organización; formar parte de la toma de decisiones; estar basada en la mejor información disponible: estar hecha a medida, tener en cuenta factores humanos y culturales; ser transparente y exclusiva, ser dinámica; ser iterativa y sensible el cambio; facilitar la mejora continua de la organización. La variedad, complejidad y naturaleza de los riesgos a los que se enfrenta toda organización presenta un amplio abanico de posibilidades. Precisamente para hacer frente a esta gran variedad de amenazas, la ISO propone unas pautas genéricas para gestionar los riesgos de manera sistemática y transparente. En esta línea generalista, la ISO no aporta una clasificación de los riesgos como la contemplada en el estándar de FERMA que se representa en la figura adjunta. 2

3 3

4 El diseño e implantación de este modelo de gestión de riesgos dependerá de las necesidades de cada organización, sus objetivos de negocio, el contexto en el que se desenvuelve, su estructura, procesos proyectos, servicios, etc. El enfoque recogido en la ISO está estructurado sobre la base de tres elementos claves para conseguir una gestión de riesgos efectiva: los principios para la gestión de riesgos; la estructura de soporte y el proceso de gestión de riesgos. La relación entre los tres principios: gestión, estructura y procesos queda recogido en el esquema sintético que se acompaña. El éxito de la gestión de riesgos dependerá de la efectividad de la estructura de gestión que proporcione la base y las disposiciones que permitan su integración en todos los niveles de la organización. Esta estructura no está destinada a prescribir un sistema de gestión, sino más bien a ayudar a la organización a integrar la gestión de riesgos en el sistema de gestión. Por tanto, las organizaciones deben adaptar los componentes de esta estructura a sus necesidades. La norma facilita a las organizaciones con componentes de gestión de riesgos ya implantados o que ya hayan adoptado un proceso de gestión de riesgos formal, los atributos necesarios para su revisión: -Establecimiento de metas de desempeño organizacional, medición, revisión y posterior modificación de procesos, sistemas, recursos, capacidad y habilidades. -Controles y tratamiento de riesgos exhaustivos. 4

5 -Toma de decisiones dentro de la organización, cualquiera que sea el nivel de importancia y trascendencia, implica la consideración explícita de los riesgos y la aplicación de la gestión de riesgos en la medida adecuada. -Comunicación continua con los grupos de interés (stakeholders) internos y externos, incluida la elaboración de informes completos y frecuentes del desempeño de la gestión de riesgos como parte del buen gobierno corporativo. La efectividad de la gestión de riesgos es esencial para el logro de los objetivos de la organización. Los resultados que la organización obtiene con la implantación de un modelo de gestión de riesgos son, entre otros, una mejora de los controles; repartir y utilizar de forma efectiva los recursos disponibles para la gestión de riesgos; mejorar la eficacia y eficiencia operacional; aumentar la seguridad y la salud; mejorar la prevención así como gestión de incidentes; minimizar las pérdidas y mejorar el aprendizaje organizativo. Camino por recorrer No obstante el avance que supone para la gerencia de riesgos la publicación de una norma como la ISO 31000, aún queda camino por recorrer, ya que el estándar deja algunos vacíos que deberán ser resueltos entre los que destaca su diseño no enfocado para la certificación. Además la norma no garantiza que se identifican todas las zonas de riesgo al tiempo que no ofrece taxonomías de riesgo, mapas de calor u otro tipo de plantillas para el desarrollo de la documentación y los informes de riesgo. 5