¿Qué es la norma ISO 31000? Una estrategia eficaz de gestión de riesgos
La norma ISO 31000 se desarrolló específicamente para ayudar a las organizaciones a hacer frente de forma eficaz a los acontecimientos inesperados mientras gestionan los riesgos. Además de mitigar los riesgos operativos, la ISO 31000 apoya una mayor resiliencia en todas las categorías de gestión de riesgos, incluido el grupo más complicado de gestionar de forma eficaz: las amenazas digitales.
Tanto si está pensando en implantar la norma ISO 31000 como si no está muy familiarizado con este marco, este post ofrece una visión completa de la norma.
Descubra cómo UpGuard simplifica la gestión de riesgos de los proveedores >
¿Qué es la norma ISO 31000?
ISO 31000 es una norma internacional que describe una estructura de gestión de riesgos que respalda estrategias efectivas de gestión de riesgos. La norma se divide en tres secciones:
- Principios
- Marco de referencia
- Proceso
Principios
El objetivo de todos los principios de la norma ISO 31000 es aumentar simultáneamente los aspectos de valor y protección de un sistema de gestión.
Los 11 principios de la norma ISO 31000 son los siguientes:
- La gestión de riesgos crea y protege valor: la gestión de riesgos debe respaldar el logro de objetivos y mejoras en el rendimiento en varios sectores, incluida la salud y la seguridad humanas, la ciberseguridad, el cumplimiento normativo, la protección del medio ambiente, la gobernanza y la reputación.
- La gestión de riesgos es una parte integral de todos los procesos organizativos - La gestión de riesgos no debe separarse del cuerpo principal de un sistema de gestión. Debe integrarse en los procesos de una organización para crear una cultura consciente de los riesgos. Los equipos de gestión deben abanderar este cambio cultural.
- La gestión de riesgos es sistemática, estructurada y oportuna: la gestión de riesgos debe cubrir todo el alcance del riesgo sistémico. No debe centrarse en un solo componente del negocio propenso a riesgos, como el ciclo de ventas.
- La gestión de riesgos se adapta a sus objetivos dentro del contexto de los perfiles de riesgo internos y externos.
- La gestión de riesgos es transparente e inclusiva: todas las partes interesadas y los responsables de la toma de decisiones deben participar en la tarea de garantizar que la gestión de riesgos siga siendo pertinente y esté actualizada.
- La gestión de riesgos es dinámica, iterativa y responde al cambio: un programa de gestión de riesgos no debe basarse en una plantilla rígida. Debe ser dinámico, capaz de adaptarse a los cambiantes panoramas de amenazas internas y externas.
- La gestión de riesgos se basa en la mejor información disponible: los procesos de gestión de riesgos no deben limitarse a datos históricos, comentarios de las partes interesadas, previsiones y juicios de expertos. Es esencial tener en cuenta la limitación de las fuentes de datos y la probable posibilidad de opiniones divergentes entre los expertos.
- Lagestión de riesgos debe ayudar a los equipos de liderazgo a tomar decisiones inteligentes de mitigación de riesgos al comprender qué riesgos deben priorizarse para maximizar el impacto.
- La gestión de riesgos tiene en cuenta los factores humanos y culturales: todas las actividades de gestión de riesgos deben asignarse a personas con las competencias más relevantes. Estas personas deben disponer de herramientas apropiadas para apoyar sus esfuerzos en la medida de lo posible.
- La gestion de riesgos facilita la mejora continuaria de la organizacion - Se deben desarrollar estrategias para garantizar que los esfuerzos de gestion de riesgos mejoren continuamente.
- La gestión de riesgos aborda explícitamente la incertidumbre: la gestión de riesgos debe abordar directamente la incertidumbre mediante la comprensión de su naturaleza y la búsqueda de formas de mitigarla.
Marco de referencia
El componente de marco de la norma ISO 31000 describe la estructura de un marco de gestión de riesgos, pero no de una manera prescriptiva. El objetivo es ayudar a las organizaciones a integrar la gestión de riesgos en su sistema de gestión general en función de su contexto único de exposición al riesgo. Las empresas deben implementar el marco a través de la lente de sus objetivos de gestión de riesgos, priorizando el aspecto más relevante del marco propuesto. Esta flexibilidad hace que cualquier sistema de gestión sea capaz de mapear la norma ISO 31000, lo que hace que el estándar sea independiente de la industria.
ISO 31000 puede ser implementada por cualquier industria para reducir el riesgo empresarial, independientemente del tamaño o del proceso de gestión de riesgos existente.
El factor determinante para el aspecto marco de la norma ISO 31000 es el compromiso del equipo directivo de incorporar una cultura de gestión de riesgos en todos los niveles de la organización.
Los cinco pilares fundamentales de la norma ISO 31000 son los siguientes:
- Integración: el marco de gestión de riesgos debe integrarse en todos los procesos empresariales, un cambio que sigue el impulso del equipo de gestión para un cambio cultural hacia una mayor conciencia del riesgo.
- Diseño: el diseño del marco final de gestión de riesgos debe tener en cuenta la exposición al riesgo única de la organización y su apetito por el riesgo.
- Implementación: una estrategia de implementación debe considerar los posibles obstáculos, recursos, plazos, personal clave y mecanismos para rastrear la eficacia del marco después de la implementación.
- Evaluación: los componentes de la evaluación amplían el enfoque en la medición de la eficacia del marco. Este proceso podría implicar apelar a varias fuentes de datos, como las quejas de los clientes, el número de eventos inesperados relacionados con el riesgo, etc.
- Mejora: este es el paso final del popular modelo de diseño de sistemas de gestión, Planificar, Hacer, Verificar, Actuar (PDCA). Las mejoras deben realizarse sobre la base de los conocimientos recopilados en la fase de evaluación. El objetivo de cada interacción de mejora es reducir el número de sorpresas causadas por el marco de gestión de riesgos.
El diseño del marco de riesgos debe basarse en los objetivos de negocio y en una política de gestión de riesgos dentro del contexto de riesgo único de una organización (la contextualización de los riesgos es un tema recurrente en la norma ISO 31000).
La etapa del marco establece el contexto general de la gestión de riesgos, que luego se perfecciona en la etapa del proceso, sentando las bases para obtener información más significativa a través de las evaluaciones de riesgos.
Proceso
El enfoque de proceso de la norma ISO 31000 se representa gráficamente de la siguiente manera:
Comunicación y Consulta
La primera etapa de este enfoque de proceso es la comunicación y la consulta. Cuantas más opiniones multifuncionales se escuchen, más exhaustivos serán sus esfuerzos de gestión de riesgos. Esta etapa se basa en los principios de inclusión y factor cultural de la norma ISO 31000.
Las comunicaciones no se limitan solo a las funciones internas. Las partes interesadas externas deben participar en todos los procesos de toma de decisiones. Esto fomentará la participación de las partes interesadas en todas las etapas del desarrollo del programa de gestión de riesgos, lo que respalda el objetivo principal de la etapa Marco en ISO 31000:2018.
Alcance, contexto y criterios
Lo ideal es que muchos de estos mecanismos ya estén establecidos en su sistema de gestión. El alcance de todas las actividades de gestión se realiza dentro del contexto de la organización, tal como se define en la cláusula 4.1 de la norma ISO 9001.
La inteligencia contextual es una consideración de todos los problemas internos y externos que afectan el logro de los objetivos comerciales. La contextualización se puede lograr mediante la recopilación de información de las siguientes fuentes:
- Evaluación de riesgos de factores de riesgo internos y externos
- Auditorías internas
- Declaraciones de política de la organización
- El uso de una plantilla DAFO (Fortalezas, Debilidades, Oportunidades, Amenazas)
- Documentos de estrategia
- Cuestionarios (para investigaciones de procesos internos y externos)
- Entrevistas (con partes interesadas, alta dirección, equipos multifuncionales que incluyen finanzas, recursos humanos, ingeniería, formación, etc.).
Obtenga más información sobre los cuestionarios de seguridad de UpGuard >
Los criterios utilizados para evaluar el riesgo dependen de la iniciativa y la metodología objetiva más adecuadas, tal y como se describe en el principio de creación de valor de la norma ISO 31000.
Esto podría incluir
- Objetivos estratégicos
- Objetivos operativos
- Objetivos de negocio
- Objetivos de salud y seguridad
- Objetivos de ciberseguridad
Comience por reducir su enfoque a un solo ámbito. Luego, una vez que se haya demostrado que el proceso funciona, amplíe su alcance a otras regiones.
Evaluación de riesgos
Después de definir el alcance, el contexto y los criterios, comienza el proceso de evaluación de riesgos real. Hay tres etapas principales en el ciclo de vida de la evaluación de riesgos.
- Identificación de riesgos: comprender el origen de los riesgos detectados y su clasificación (ya sea que se originen en superficies de ataque internas o externas)
- Análisis de riesgos: comprender el impacto de los riesgos identificados y los riesgos potenciales y la eficacia de sus controles de seguridad asociados.
- Evaluación de riesgos: una comparación de los riesgos descubiertos con su registro de riesgos.
- Decidir qué riesgo debe abordarse en función de un criterio de aceptación definido por su apetito de riesgo.
Obtenga más información sobre las funciones de evaluación de riesgos de proveedores de UpGuard >
Los datos de la evaluación de riesgos determinarán qué acciones deben llevarse a cabo. Los ajustes de control o las mejoras del marco serán relativos a cada escenario único de ámbito, contexto y criterios.
Las partes interesadas deben participar en la decisión de la mejor manera de responder a los conocimientos de la evaluación de riesgos.
Tratamiento de riesgos
>La etapa de tratamiento de riesgos es donde usted decide el mejor curso de acción. Estas decisiones dependerán de su apetito por el riesgo, que define el umbral entre los niveles de riesgo que se pueden aceptar y los que deben abordarse.
Se deben tener en cuenta diferentes tipos de riesgo, entre ellos:
- Riesgos estratégicos
- Riesgos de ciberseguridad
- Riesgos reputacionales
Su metodología para tratar los riesgos depende de la cultura de riesgos que desarrolle el equipo directivo. Algunas organizaciones tienen una tolerancia al riesgo muy baja, mientras que otras (como las de sectores muy reguladores como la sanidad) tienen una tolerancia al riesgo muy baja. Estas bandas de tolerancia se deciden durante el cálculo de su cuenta de riesgo. Si su apetito de riesgo ya ha sido determinado, revíselo para asegurarse de que sea lo suficientemente claro como para respaldar los estándares de gestión de riesgos de ISO 31000.
Aprende a calcular tu apetito por el riesgo >
Una matriz de riesgos es útil en la fase de tratamiento de riesgos, ya que indica qué riesgos deben priorizarse en los esfuerzos de remediación para minimizar el impacto.
En el contexto de la gestión de riesgos de proveedores, una matriz de riesgos indica qué proveedores representan el riesgo más significativo para la postura de seguridad de una organización.
Para profundizar en la gestión de riesgos de los proveedores, lea esta publicación.
Estos conocimientos, junto con la capacidad de proyectar el impacto de los
tareas de remediación, ayudar a los equipos de respuesta a optimizar sus esfuerzos de tratamiento de riesgos, apoyando los objetivos de mejora continua de ISO 3100
Otra forma de tratamiento de riesgos es externalizar la responsabilidad a un tercero. Por ejemplo, la gestión de riesgos de terceros, el proceso de gestión de los riesgos de seguridad causados por proveedores externos, podría subcontratarse a un equipo de expertos en ciberseguridad. Su organización seguirá siendo responsable del resultado de los riesgos detectados, pero sin la carga añadida de tener que gestionarlos también.
El beneficio de la reducción de los recursos internos hace que la externalización de la gestión de riesgos de terceros sea una opción muy económica para escalar las empresas.
Mire este video para obtener más información sobre el servicio de gestión de riesgos de terceros de UpGuard.
Seguimiento y revisión
La evaluación de la eficacia de su marco de riesgos implementado determinará si su programa de gestión de riesgos ISO 31000 fue o no una inversión rentable. Durante cada proceso de revisión e iteración, asegúrese de tener en cuenta el principio del factor humano y cultural: no olvide a las personas afectadas por cada iteración.
Sus objetivos de mitigación de riesgos no deben ser tan ambiciosos como para tener que esposar a sus empleados. Debe lograr el equilibrio perfecto entre la gestión de riesgos, la aceptación de riesgos y el bienestar de los empleados.
Grabación y presentación de informes
Por último, se deben registrar todas las actividades de gestión de riesgos. Esto no solo apoyará a las partes interesadas con sus decisiones estratégicas continuas basadas en el riesgo, sino que también le proporcionará una referencia para realizar un seguimiento de la madurez de sus sistemas de gestión a lo largo del ciclo de vida de implementación de ISO 31000.