Desempaquetando ISO 31010: Técnicas Efectivas de Evaluación de Riesgos
La ISO 31010 es un documento complementario a la norma de gestión de riesgos ISO 31000. Fue desarrollado para apoyar el proceso de evaluación de riesgos en ISO 31000, describiendo diferentes técnicas de evaluación de riesgos para ampliar el alcance de los métodos de evaluación de riesgos de una organización.
Esta publicación ofrece una visión completa de la norma ISO/IEC 31010, destacando el potencial de la norma para aumentar la eficacia de las estrategias de gestión de riesgos.
Descubra cómo UpGuard optimiza la gestión de riesgos de los proveedores >
¿Qué es la norma ISO 31010?
La ISO 31010 es una norma internacional para las técnicas de evaluación de riesgos. Es una norma de apoyo a la ISO 31000, desarrollada para ayudar a las organizaciones a mejorar la calidad de los procesos de gestión de riesgos al implementar la ISO 31000.
Lea esta publicación para obtener una descripción general de la norma ISO 31000 >
La norma ISO 31010 mantiene los objetivos de personalización de la norma ISO 31000, por lo que es aplicable a la mayoría de los contextos de gestión de riesgos.
Las metodologías de evaluación de riesgos descritas en la norma ISO 31010 están destinadas a respaldar la toma de decisiones en tiempos de incertidumbre a la hora de gestionar el riesgo, como la información sobre riesgos recopilada de fuentes poco fiables.
Cómo utilizar la norma ISO 31010
Para proporcionar el mayor valor posible como recurso de apoyo a la norma ISO 31000, la norma ISO 31010 describe una guía de implementación para incorporar sus técnicas de evaluación dentro del marco de gestión de riesgos de la norma ISO 31000. Esta guía de implementación describe los pros y los contras de cada técnica propuesta para ayudar a las partes interesadas a elegir la mejor opción para sus requisitos.
Las técnicas de la norma ISO 31010 podrían utilizarse en los procesos de gestión de riesgos o como herramienta para comparar la eficacia de diferentes opciones de gestión de riesgos.
La guía de implementación de la norma ISO 31010 consta de 5 partes:
- Planificación de la evaluación: orientación para comprender el contexto de la evaluación de riesgos. Esto incluye la definición de los objetivos de la evaluación de riesgos, la recopilación de conocimientos especializados de múltiples fuentes, como las pymes, y el establecimiento de criterios generales de medición de riesgos para identificar diferentes niveles de riesgos.
- Gestión de la información: orientación para recopilar información de múltiples fuentes y reconocer discrepancias para identificar y segregar fuentes confiables.
- Técnicas de evaluación: orientación sobre cómo seguir las técnicas de riesgo propuestas en el contexto de las fuentes de riesgo identificadas. También apoya el esfuerzo de evaluar la eficacia del control de seguridad existente.
- Revisión de análisis: orientación sobre la verificación de la exactitud de los resultados de la evaluación de riesgos en comparación con los modelos de riesgo establecidos. Este proceso implica comprender la probabilidad de ocurrencia de todas las incertidumbres que podrían influir en los resultados de los resultados.
- Aplicación de resultados: la influencia de los resultados de la evaluación de riesgos en la toma de decisiones en función de un criterio que describe niveles de riesgo aceptables.
Las técnicas presentadas en la norma ISO 31010 no solo son aplicables en el componente de evaluación de riesgos de la norma ISO 31000. Pueden respaldar todos los componentes del proceso de gestión de riesgos de ISO 31000.
El siguiente gráfico indica qué técnicas de ISO 31010 son aplicables en cada etapa del proceso de ISO 31000. La lista de técnicas correspondientes a cada número se describe en la siguiente sección de esta publicación.
Las 10 técnicas de evaluación de riesgos de la norma ISO 31010
Estas técnicas se corresponden con un componente específico del proceso del marco de gestión de riesgos descrito en la norma ISO 31000 (véase el gráfico anterior), y la mayoría se concentra en el componente de evaluación de riesgos. Estas técnicas se definen en los Anexos A y B de la norma ISO 31010, y la mayoría se centran en el componente de evaluación de riesgos del proceso
1. Técnicas para recopilar información y opiniones de las partes interesadas y expertos en la materia (PYME)
1.1 - Lluvia de ideas
Dado que la lluvia de ideas no requiere referencia a las bases de datos de registro de riesgos, mitigación o modo de error, es una técnica valiosa cuando los responsables de la toma de decisiones identifican los riesgos asociados con las nuevas tecnologías antes de considerar cualquier dato de alto riesgo.
La lluvia de ideas es más efectiva para generar ideas. Es más eficaz cuando va seguido de otras técnicas de recopilación de información.
1.2 - Técnica Delphi
La técnica Delphi consiste en colaborar con un panel de expertos para recopilar sus opiniones sobre los conocimientos de riesgo, como la probabilidad de que ocurran riesgos particulares, la criticidad de riesgos específicos, el tratamiento de riesgos, los ciclos de vida probables de diferentes tipos de riesgos, etc.
El proceso consiste en proporcionar a cada experto respuestas a las preguntas en varias rondas. Las pymes no están en la misma sala durante este proceso. Reciben sus preguntas en línea y las responden de forma anónima, evitando que otras opiniones influyan en las respuestas en curso.
Después de cada ronda, un facilitador resume las respuestas y las comparte con el grupo para obtener comentarios colaborativos. A continuación, cada experto recibe información sobre sus sugerencias de otros miembros del panel y se le da la oportunidad de perfeccionar su respuesta en función de los comentarios. El proceso continúa hasta que se llega a un consenso de opiniones.
Como se indica en el gráfico anterior, la Técnica Delphi se puede aplicar en la mayoría de los ciclos de vida de los procesos de la norma ISO 31000 a la hora de estimar la probabilidad de eventos y los efectos de la incertidumbre. Esta técnica es especialmente útil cuando se requiere el juicio de expertos para escenarios complejos.
La Técnica Delphi es beneficiosa para recopilar sistemáticamente opiniones de expertos.
Mira este video para obtener una descripción general de la Técnica Delphi:
1.3 - Técnica de Grupo Nominal
La Técnica del Grupo Nominal tiene como objetivo lograr un consenso sobre un problema considerando diversas opiniones. Es similar a una lluvia de ideas, pero las opiniones de cada persona se recopilan en privado en lugar de en un entorno grupal.
A continuación, cada idea se comparte con el grupo, que vota por las que más le gustan. Las ideas se pueden discutir para mayor claridad, pero no se debaten ni se desacreditan.
La Técnica del Grupo Nominal es una excelente opción para involucrar a los miembros más tranquilos del grupo en la toma de decisiones.
1.4 - Técnica de Entrevistas Estructuradas o Semiestructuradas
Hay dos métodos para la técnica de entrevista: estructurado y semiestructurado. Con el enfoque estructurado, las preguntas tienen un orden predeterminado para garantizar la coherencia en todas las entrevistas. Con el enfoque semiestructurado, después de completar un conjunto de preguntas básicas, se le hace al entrevistado un conjunto de preguntas de seguimiento basadas en sus respuestas.
Las vistas integradas son muy útiles para recopilar información detallada sobre los riesgos específicos del contexto.
1.5 - Técnica de encuesta
Un método de recopilación de datos muy popular. Se envían encuestas basadas en iniciativas específicas de gestión de riesgos a las PYME. Las encuestas también pueden proporcionar información útil de expertos sobre los métodos ideales de análisis de riesgos y una comprensión general de los riesgos que se consultan.
Las encuestas son muy efectivas para recopilar grandes cantidades de información contextualizada sobre el método de evaluación de riesgos de una gran audiencia.
2. Técnicas para identificar riesgos
2.1 - Listas de verificación, clasificaciones y taxonomías
Las listas de verificación ofrecen un enfoque estructurado para la identificación de riesgos al esbozar una lista de incertidumbres que deben abordarse durante una auditoría de riesgos. Las listas de verificación proporcionan la base para un análisis de riesgos más complejo, como el análisis de escenarios, el análisis de peligros y el análisis de causa raíz.
Al proporcionar datos fundamentales del índice de riesgo, los resultados de la lista de verificación ofrecen los pasos de apoyo iniciales hacia la alineación con los estándares de identificación de riesgos de la cláusula 6.1 de la norma ISO 9001.
Las listas de verificación deben basarse en la experiencia de las pymes y en la información de los modelos que respalden la identificación de riesgos y controles.
2.2 - Análisis de Modos y Efectos de Falla (FMEA) y Análisis de Efectos y Criticidad de Modos de Falla (FMECA)
>FMEA (Análisis de Modos de Falla y Efectos) y su variante FMECA (Análisis de Modos de Fallo, Efectos y Criticidad) son métodos sistemáticos para identificar posibles modos de falla dentro de los procesos.
Estas metodologías tienen como objetivo ofrecer información sobre cómo podría fallar un proceso en particular y los impactos de este fallo. Sobre la base de estos conocimientos, los modos de error críticos se pueden priorizar en las medidas de mitigación.
Hay cuatro componentes principales de la metodología de análisis del modo de falla:
- Planneng - Se establecen el alcance, las métricas y los objetivos del análisis.
- Rendimiento: el análisis se realiza para identificar los modos de falla y su impacto en otros procesos.
- Documentación: se documentan los resultados y las medidas preventivas recomendadas.
- Mantenimiento: la documentación de análisis se mantiene actualizada de acuerdo con los nuevos cambios en las condiciones.
El análisis del modo de falla se puede aplicar en todos los dominios de la organización para mejorar la confiabilidad y la seguridad de los procesos.
2.3 - Estudios de Riesgos y Operatividad (HAZOP)
Los estudios de riesgos y operatividad ofrecen un enfoque sistemático para identificar riesgos y problemas operativos en función de los criterios de riesgo.
Aunque HAZOP es un enfoque sistemático para identificar problemas de peligros y operatividad, puede requerir muchos recursos y experiencia para ejecutarse bien.
2.4 - Análisis de escenarios
Una variedad de técnicas para determinar resultados plausibles a través de modelos predictivos. El análisis de escenarios implica explorar los riesgos asociados con los posibles resultados de los escenarios.
El análisis de escenarios es un enfoque estructurado para explorar los riesgos asociados con los resultados futuros.
2.4 - Técnica Estructurada What If (SWIFT)
SWIFT es un método de identificación de riesgos de alto nivel que emplea una lluvia de ideas estructurada (véase la técnica 1.1). Esta técnica combina palabras guía predeterminadas (como tiempo y cantidad) con frases como "¿qué pasaría si...? " y "cómo podría" identificar riesgos a nivel de sistema o subsistema.
SWIFT podría utilizarse junto con métodos ascendentes, como FMEA y HAZOP.
3. Técnicas para determinar las fuentes, las causas y los impulsores de los riesgos
3.1 - Enfoque cindínico
El Enfoque Cindínico (traducido como la ciencia del peligro) explora las opiniones divergentes entre las partes interesadas (disonancias) e identifica ambigüedades entre las fuentes de riesgo y los impulsores (déficits).
3.2 - Análisis de Ishikawa
El análisis de Ishikawa (espina de pescado) es un esfuerzo de equipo para comprender las posibles causas de eventos deseables e indeseables. Estos eventos se representan en un diagrama similar a una espina de pescado, donde los factores potenciales se organizan en amplias categorías de causas: humanas, técnicas, organizativas, etc.
3.3 - Análisis de Causa Raíz
El análisis de causa raíz (RCA) tiene como objetivo identificar la causa de los riesgos derivados de varias fuentes potenciales, incluidas las técnicas del proceso de diseño y las características organizativas, el error humano y los eventos externos de proveedores externos.
Una matriz de riesgos podría ayudar a validar el mapeo de posibles causas de proveedores externos.
Obtenga una prueba gratuita de UpGuard >
4. Técnicas para controles de análisis
4.1 - Análisis de la pajarita
Una representación gráfica de los eventos hace que se mapeen sus respectivas consecuencias. A veces considerado como un árbol de fallas simplificado, un diagrama de pajarita indica los controles que impactan la probabilidad y las consecuencias de los eventos
Mire este video para obtener una descripción general de un análisis de pajarita.
4.2 - Análisis de Peligros y Puntos Críticos de Control (HACCP)
El APPCC es útil para garantizar que los riesgos detectados se aborden con controles de supervisión durante toda la duración de un proceso en lugar de después de que finalice.
La gestión de la superficie de ataque podría respaldar los esfuerzos de HACCP, ya que esta disciplina supervisa continuamente las interrupciones de la postura de seguridad en tiempo real causadas por los riesgos de seguridad emergentes.
Aprenda a elegir el software de visibilidad de la superficie de ataque >
Mire este video para obtener una descripción general de las funciones de administración de la superficie de ataque de UpGuard.
Obtenga una prueba gratuita de UpGuard >
4.3 - Análisis de capas de protección (LOPA)
LOPA evalúa el impacto de los controles de seguridad en la reducción de los niveles generales de riesgo. Una solución de clasificación de seguridad podría ser útil en un análisis de este tipo, ya que cuantifica la posición de seguridad, los impactos, la asignación de los riesgos de seguridad y los esfuerzos de corrección.
Obtenga más información sobre las calificaciones de seguridad de UpGuard >
5. Técnicas para comprender las consecuencias y la probabilidad.
Estas técnicas descubren una visión profunda de los riesgos de impacto al considerar el contexto de cada escenario de riesgo.
El apéndice de técnicas de esta categoría incluye:
- 5.1 - Análisis bayesiano
- 5.2 - Redes bayesianas y diagramas de influencia
- 5.3 - Análisis de Impacto en el Negocio (BIA)
- 5.4 - Análisis de Causa y Consecuencia (CCA)
- 5.5 - Análisis de árbol de eventos (ETA)
- 5.6 - Análisis del árbol de fallas
- 5.7 - Análisis de Confiabilidad Humana (HRA)
- 5.8 - Análisis de Markov
- 5.9 - Simulaciones de Monte Carlo
- 5.10 - Análisis de Impacto Privado (PIA)
6. Técnicas de análisis de dependencias e interacciones
Estas técnicas descubren las relaciones entre los eventos, los riesgos y sus respectivos controles a través de métodos de mapeo.
La lista de técnicas de esta categoría incluye:
- 6.1 - Mapeo casual
- 6.2 - Análisis de Impacto Cruzado
7. Técnicas para la medición de riesgos
Estas técnicas miden el impacto más amplio del riesgo en diferentes sistemas.
La lista de técnicas de esta categoría incluye:
- 7.1 - Evaluaciones de riesgos toxicológicos
- 7.2 - Valor en Riesgo (VaR)
- 7.3 - Valor condicional en riesgo (CVaR)
- 7.4 - Análisis de impacto en materia de protección de datos
8. Técnicas para evaluar la importancia del riesgo
Una vez que se ha medido el impacto del riesgo, estas técnicas ayudan a determinar cómo se debe gestionar cada riesgo en función de su gravedad. Estas técnicas deben aplicarse a través de la lente de su perfil de riesgo definido e incluyen los siguientes métodos:
La lista de técnicas de esta categoría incluye:
- 8.1 - Diagramas de número de frecuencia (F-N)
- 8.2 - Gráficos de Pareto
- 8.3 - Mantenimiento centrado en la fiabilidad (RCM)
- 8.4 - Índices de riesgo
9. Técnicas para seleccionar entre opciones
Estas técnicas apoyan la toma de decisiones cuando se enfrentan a múltiples opciones de tratamiento de riesgo. Estas decisiones se toman en el contexto de un apetito de riesgo predefinido, lo que ayuda a los equipos de seguridad a decidir qué riesgos se pueden aceptar y cuáles requieren tratamiento para comprimirse dentro de los niveles de tolerancia.
La lista de técnicas de esta categoría incluye:
- 9.1 - Análisis costo-beneficio (ACB)
- 9.2 - Análisis del árbol de decisión
- 9.3 - Teoría de juegos
- 9.4 - Análisis de criterios múltiples
10. Técnicas de registro y presentación de informes
Estas técnicas mantienen el índice de riesgo actualizado y registran todos los esfuerzos de mitigación de riesgos. El rastro documental de mitigación de riesgos resultante permite a los equipos de seguridad realizar un seguimiento de la mejora de sus estrategias generales de seguimiento y gestión de información de riesgos.
La lista de técnicas de esta categoría incluye:
- 10.1 - Mantenimiento de un registro de riesgos actualizado
- 10.2 - Curva en S
- 10.3 - Análisis de pajarita.
Las partes interesadas también deben mantenerse informadas sobre el rendimiento de su programa de gestión de riesgos. Esto se logra de manera más eficiente con los informes de ciberseguridad.
UpGuard ofrece una gama de plantillas de informes ejecutivos editables para adaptarse a los diferentes objetivos de comunicación del programa de riesgos.
- Biblioteca de plantillas de informes ejecutivos de UpGuard.
Cuando la junta necesita actualizarse sobre los esfuerzos de su programa de gestión de riesgos, el informe de resumen de la junta de UpGuard se puede exportar instantáneamente a diapositivas editables de PowerPoint, lo que agiliza todo el proceso de preparación de la reunión de la junta.
