Los eventos disruptivos no hacen diferencia entre grandes o pequeñas empresas. El cambio climático, los ciberataques, la tensión geopolítica o los recientes problemas en la cadena de suministro pueden anular la capacidad operativa de cualquier organización que no haya trabajado en mitigar riesgos de forma efectiva.

Crear un equipo profesional para mitigar riesgos y dotarlo con los recursos tecnológicos y de formación que necesitarán para hacer un buen trabajo es una inversión que aportará beneficios a la organización, un interesante ROI y un marco de seguridad competitivo.

Qué significa mitigar riesgos

Mitigar riesgos es el proceso mediante el cual profesionales especializados identifican amenazas y las evalúan. Tras ello, asignan a cada una un valor de acuerdo con la gravedad o la probabilidad de ocurrencia, las priorizan y diseñan estrategias de respuesta para eliminarlas o para modificar su capacidad lesiva.

Mitigar riesgos implica diseñar procesos, utilizar metodologías y recursos físicos y tecnológicos. Se consigue así llegar a diferentes áreas como legal, financiera, seguridad en el trabajo, gestión ambiental, y, por supuesto, mantener un radar activo sobre amenazas potenciales de orden meteorológico, sísmico, social, político o macroeconómico, entre otros.

Mitigar riesgos es importante porque la organización puede anticiparse a la ocurrencia de eventos que pueden paralizar las operaciones. La mitigación de riesgos tiene entre sus premisas garantizar la continuidad del negocio en condiciones aceptables, aun en las peores circunstancias.

Cuáles son los beneficios de mitigar riesgos

Por supuesto, una actividad que tiene como propósito diseñar acciones para proteger a la organización del impacto negativo de una amenaza solo puede ser positiva. En cualquier caso, es posible mencionar algunos de los muchos beneficios específicos:

• Proteger los activos de la organización, que pueden ser tangibles o intangibles, como la reputación o los derechos intelectuales, entre otros.
• Asegurar el cumplimiento en áreas sensibles como seguridad y salud en el trabajo, seguridad de la información, gestión ambiental, etc.
• Proteger y mejorar la reputación. Las organizaciones que protegen a sus clientes, a sus proveedores, sus empleados o los miembros de su comunidad agregan valor a su marca.
• Tomar mejores decisiones, ya que se cuenta con una comprensión integral de lo que puede salir mal y de las oportunidades que es posible aprovechar.
• Aumentar la resiliencia, al contar con planes de recuperación y de respuesta a emergencias.
• Ahorrar dinero y tiempo: las organizaciones que trabajan en la prevención sistemática de riesgos reducen costes, evitan sanciones o multas y disminuyen el valor de sus pólizas de seguro.
• Obtener confianza de las partes interesadas, empezando por los clientes, los inversionistas, los empleados y los organismos reguladores.
• Ganar ventajas competitivas al identificar y explotar oportunidades que pasan desapercibidas para las empresas que no gestionan riesgos.

¿Qué estrategias implementar para mitigar riesgos?

El objetivo de la gestión de riesgos es disminuir a niveles aceptables la exposición de la organización a eventos negativos. No siempre se trata de mitigar riesgos, la gestión profesional ofrece varias opciones interesantes. Lo importante decidir es cuál es la apropiada de acuerdo con la amenaza que se considera:

1. Eliminar

Se trata de eliminar los factores, los elementos o las circunstancias que originan el riesgo desde la raíz. En ocasiones, eliminar un riesgo implica limitar la capacidad operativa de la organización. En otros momentos, eliminar el riesgo puede ser más costoso que lo que significaría la ocurrencia del evento negativo.

2. Mitigar

Es la palabra que se utiliza para generalizar la gestión por una razón: es en esta estrategia donde encajan la mayoría de los riesgos. Cuando se instalan equipos para apagar incendios, se señalizan algunas áreas o se dota a algunos empleados de equipos de protección personal, por citar algunos ejemplos, se está minimizando el impacto, pero no se está eliminado.

3. Trasladar o compartir

Es lo que se hace cuando se toma una póliza de seguro que cubre el riesgo o cuando se entrega al proceso o la actividad que genera el riesgo a un tercero.

4. Aceptar o retener

Cuando la gravedad no es muy alta y la probabilidad tampoco lo es, es posible operar aceptando el riesgo, tomando algunas medidas para mitigarlo. Se toman en este caso algunas acciones propias mencionadas en el segundo apartado, el de mitigar.

Descubre la importancia de mitigar riesgos y aprende cómo puede mejorar la #GestiónRiesgos en tu organización #RiskManager #ISO31000
Compartir en X

Cómo mitigar riesgos de acuerdo con la industria

La gestión de riesgos sigue diferentes caminos cuando se trata de industrias igualmente diversas. La personalización desempeña un rol muy importante y es necesario que los profesionales encargados así lo entiendan.

Las herramientas tecnológicas que utilicen para la gestión de riesgos necesitan también un grado de ductilidad y configuración para adaptarse a los requisitos de diferentes industrias. Algunos casos, a continuación:

Cuáles son las tendencias en la gestión de riesgos para 2025

La mitigación de riesgos esenciales es un campo profesional reconocido y definido, que está en constante evolución. Los profesionales modernos se apoyan en la tecnología para implementar técnicas novedosas y para poner a prueba metodologías que aún no han sido difundidas a nivel global. A continuación, algunas de las tendencias se impondrán en el área de gestión de riesgos:

• Incorporación de la tecnología: la gestión de riesgos estará vinculada de forma ineludible a la tecnología. El procesamiento de datos, la automatización e incluso, el uso de Inteligencia Artificial, serán elementos esenciales para el logro de objetivos.
• Protección contra ciberataques: 2025 será un año en el que la ciberseguridad se posicionará como un campo definido y específico dentro de la gestión de riesgos.
• Alineación con la estrategia de negocios: los equipos de gestión de riesgos entenderán que la estrategia de negocios de la organización tiene prevalencia. Sin ella, no tiene sentido gestionar riesgos.
• Criterios ESG: las consideraciones sobre aspectos ambientales, sociales y de gobernanza, tendrán impacto sobre la gestión de riesgos, con sus implicaciones en el cumplimiento.
• Inmediatez de la gestión: para 2025 se espera que los equipos de gestión de riesgos puedan actuar de manera inmediata, sobre la marcha, lo que no impide que se esfuercen para ser proactivos y preventivos.
• La formación será activo de alto valor: atrás quedarán las épocas en la que los encargados de la gestión de riesgos eran los empleados con mayor experiencia en la organización, que habían aprendido el oficio de forma empírica o imitando a su antecesor. La formación profesional, moderna y apoyada por la tecnología ocupará el primer lugar.

Diplomado en Risk Manager

El Diplomado en Risk Manager es uno de los programas dentro del área de Gestión de Riesgos de la Escuela Europea de Excelencia. Los alumnos que participan en él trabajan sobre tres pilares: las técnicas modernas de análisis y evaluación de riesgos, el uso de un sistema de gestión de riesgos basado en el estándar ISO 31000 y la auditoría de la gestión de riesgos. Por supuesto, todo ello alienado con el uso de la tecnología.

Los alumnos que superan la formación obtienen la Certificación de Diplomado en Risk Manager, pero también Certificado de Auditor de Riesgo. Dos ventajas añadidas: puedes iniciar el programa de inmediato y optar a una de las becas de la Escuela Europea de Excelencia. Puedes solicitar más información aquí.

La entrada Mitigar riesgos: qué es y por qué es importante se publicó primero en Escuela Europea de Excelencia.

Las estrategias para la gestión de riesgos son, por ello, esenciales para el crecimiento de la organización. Siempre es mejor tenerlas y no necesitarlas, que necesitarlas y no tenerlas.

En un mundo cada más tecnológico y globalizado, las amenazas y eventualidades se diversifican y es necesario saber cómo enfrentarse a ellas con éxito. A continuación, repasamos nueve estrategias para la gestión de riesgos esenciales probadas y utilizadas por organizaciones exitosas.

Cuáles son las 9 estrategias para la gestión de riesgos esenciales

Las estrategias para la gestión de riesgos que se enumeran a continuación se han diseñado para funcionar en todas las áreas o encajar dentro de una gestión integral. El objetivo esencial es hacer de la organización una entidad fuerte, resiliente, con capacidad para alcanzar elevados niveles de seguridad.

1. Identificar riesgos antes de que causen daño

Adelantarse a las amenazas siempre será la estrategia más efectiva. Identificar riesgos emergentes o en etapa embrionaria aumenta las probabilidades de éxito y disminuye costes de gestión, además de que contribuye a crear una cultura de prevención sostenible. Para hacerlo, los especialistas acuden a diversas técnicas:

• Lluvia de ideas: es la más utilizada. Es un tanto informal y no obedece a ninguna regla en particular. Se trata de reunir personas con conocimiento del área sobre la que se trabaja para que especulen sobre posibles escenarios de riesgos.
• Análisis DAFO: es una metodología utilizada para identificar riesgos, pero también oportunidades, fortalezas y debilidades. Es una evaluación sobre áreas específicas que busca amenazas internas o externas de cualquier tipo.
• Revisión de evaluaciones de riesgos anteriores en las que se mencionan eventos o circunstancias que, en ese momento se descartaron, pero podrían cobrar vigencia.
• Experiencia de empresas de la misma industria resultan muy valiosas para la organización, que puede aprovechar sus acciones y estrategias para la gestión de riesgos.

2. Evaluar y analizar los riesgos

Todos los riesgos no son iguales y su clasificación se hace con base en información de calidad y metodologías probadas. Estas metodologías buscan establecer dos criterios básicos: la probabilidad de ocurrencia y la gravedad del impacto. En ambos casos existen métodos que expresan los resultados en términos diferentes:

• Evaluación cualitativa: los resultados de una evaluación cualitativa se expresan en descripciones para dimensionar el nivel de probabilidad de que ocurra un riesgo o su gravedad. La simbología puede ser un tanto más abierta: muy bajo, bajo, medio bajo, medio, medio alto, alto o muy alto.
• Evaluación cuantitativa: expresa los resultados en números que se obtienen con base en la aplicación de algoritmos o modelos matemáticos y estadísticos. Los resultados suelen ser indiscutibles y más acertados.

3. Priorizar los riesgos

Pocas organizaciones destinan recursos suficientes para prestar la misma atención a todas las eventualidades identificadas. El análisis de riesgos se hace para obtener un listado priorizado que permita asignar recursos a la gestión de los eventos que están en la parte alta de la lista, los que tienen alta probabilidad de ocurrencia y alto impacto negativo.

Con el avance de la gestión, los riesgos de la cabeza de la lista salen de ella porque han sido tratados, mientras que los otros suben. Es un modelo cíclico que hace que, eventualmente, todos los riesgos sean abordados.

4. Planificar las acciones de gestión

Es una fase clave en el desarrollo de las estrategias para la gestión de riesgos. Es el momento en el que se diseña un plan de gestión que busca, en primera instancia, eliminar el riesgo. Esas estrategias se mueven en cuatro ejes principales:

• Eliminar el riesgo: es el gran objetivo, aunque no siempre sea posible. A veces porque el coste puede ser superior al que causaría la eventualidad, otras porque el riesgo no es tratable, no existe acción alguna que lo pueda eliminar.
• Mitigar el riesgo: es la segunda opción. Ante la imposibilidad de eliminar una amenaza, se buscan mecanismos para la mitigación de riesgos esenciales y, así, minimizar el impacto negativo. Los terremotos son riesgos inevitables, pero existen decenas de acciones que pueden minimizar el impacto negativo.
• Transferir el riesgo: una de las formas de hacerlo es tercerizando o subcontratando el proceso o la actividad que genera el riesgo, para que sea el tercero o el contratista el que lo asuma. Otra forma es contratar una póliza de seguros que cubra los efectos económicos consecuencia de la materialización del riesgo.
• Aceptar o tolerar el riesgo: es lo que se hace generalmente con los riesgos operativos. Los riesgos que se retienen o aceptan son susceptibles de recibir acciones para disminuir la probabilidad de ocurrencia o mitigar los efectos, en caso de que ocurra.

5. Implementar controles de riesgo

Algunas de las acciones mencionadas en esas estrategias para la gestión de riesgos esenciales se clasifican como controles de riesgo. Estos actúan como barreras de protección, como escudos o salvaguardas. El objetivo esencial es reducir la probabilidad o reducir el impacto. Se clasifican de acuerdo con el tipo de amenaza sobre la que actuarán:

• Financieros: exigir garantías eficaces para los préstamos, auditar a los socios o inversores, implementar indicadores de riesgo o contratar seguros para perdidas de fondos.
• Operacionales: controles internos para monitorear procesos, auditar áreas, implementar procedimientos o protocolos de acción, etc.
• De información o ciberseguridad: creación de perfiles con privilegios de acceso, prohibición de uso de dispositivos ajenos a la organización o establecimiento de protocolos de uso y acceso, entre otros.
• De la cadena de suministro: gestionar riesgos de proveedores específicos, aumentar la lista de proveedores, planificar líneas de suministro alternativas, ejercer debida diligencia sobre los proveedores, etc.

Implementa estas 9 estrategias para la #GestiónRiesgos esenciales. Aprovecha la guía completa que compartimos aquí #RiskManager #ISO31000
Compartir en X

6. Revisar y monitorear la gestión

Las estrategias para la gestión de riesgos pueden fallar o tener problemas. Esto es admisible, siempre que exista una estructura que permita advertirlo y adoptar las acciones correspondientes. Monitoreo y seguimiento continuos aseguran que la gestión alcance los objetivos propuestos.

Entre otras, las organizaciones utilizan auditorías, inspecciones, revisiones, pruebas de estrés, verificación de indicadores o KPIs para comprobar la eficacia de las anteriores estrategias para la gestión de riesgos y de los controles implementados.

7. Documentar, comunicar e informar

Las estrategias para la gestión de riesgos no estarían completas si no se documentan ni se comunican a todos los interesados. Tampoco lo estarían si no se producen los informes para tomar decisiones y los que conformarán la memoria histórica necesaria para facilitar el trabajo en el futuro y evitar cometer los mismos errores.

Es necesario comunicar información relacionada con riesgos a todos los afectados, directores de área involucrados o personas que tengan que participar en la implementación de una acción de gestión o un control. Los informes se destinan, en primera instancia, a la Alta Dirección, pero también los pueden recibir los encargados de áreas como seguridad y salud en el trabajo, seguridad de la información o cumplimiento.

8. Alinear la gestión con las obligaciones de cumplimiento

Todo lo que se haga para diseñar e implementar estrategias para la gestión de riesgos necesita ajustarse al marco regulatorio y legal bajo el que opera la organización. Algunas regulaciones son estatales, otras son internacionales, locales o propias de la industria. Lo importante es identificar todas las obligaciones y establecer si alguno de los controles o de las estrategias adoptadas traspasa el marco regulatorio.

9. Crear una cultura de gestión de riesgos

El éxito de las estrategias para la gestión de riesgos está directamente relacionado con el trabajo de las personas para implementarlas y ejecutarlas. Es la cultura empresarial el elemento que hace que los trabajadores acojan de forma proactiva esas estrategias.

La cultura es el resultado de varios elementos clave: liderazgo de la Alta Dirección, asignar funciones de manera estratégica, premiar a los que se esfuerzan y crear políticas claras y contundentes.

Para finalizar, las organizaciones que han implementado sistemas de gestión de riesgos automatizados encuentran mejores oportunidades para que sus estrategias en este campo alcancen los objetivos propuestos. Pero es necesario algo más, profesionales que cuenten con una formación adecuada.

Diplomado en Risk Manager

El Diplomado en Risk Manager es un programa de la Escuela Europea de Excelencia diseñado para formar a profesionales en el área de gestión de riesgos. Para ello, ofrece a los alumnos herramientas metodológicas, tecnológicas y técnicas que les permitan asumir el liderazgo de esta área en cualquier tipo de organización.

Los alumnos de este diplomado adquieren, además, la capacidad de implementar y auditar sistemas de gestión de riesgos basados en el estándar ISO 31000. Puedes iniciar ya tu formación, el programa está abierto. Pero antes, comprueba si eres candidato a una de las becas que ofrece la Escuela Europea de Excelencia. Puedes pedir más información aquí.

La entrada 9 Estrategias para la gestión de riesgos esenciales – Guía completa se publicó primero en Escuela Europea de Excelencia.

Las vulnerabilidades operativas, estratégicas o de cualquier clase amenazan a todas las organizaciones. La exposición general es un argumento más para elaborar un plan de gestión de riesgos que entregue un modelo seguro de trabajo para un proyecto específico o para la actividad de la organización.

Para elaborar un plan de gestión de riesgos es necesario entender en qué consiste esta tarea, qué objetivos se busca alcanzar, qué se necesita y, por supuesto, una guía para obtener el plan efectivo que necesita la organización. En todas estas cuestiones nos fijamos a continuación.

¿Qué es un plan de gestión de riesgos?

El plan de gestión de riesgos es un documento que contiene las acciones y eventos concatenados y en orden cronológico que se desarrollan para identificar, evaluar, clasificar, priorizar, tratar y revisar los riesgos que pueden impactar a la organización.

Elaborar un plan de gestión de riesgos no es muy diferente a diseñar otros planes estratégicos, como pueden ser los comerciales o financieros. Sin embargo, el enfoque, los elementos necesarios para emprender la tarea y la estructura del documento son particulares.

¿Por qué es necesario elaborar un plan de gestión de riesgos?

Como todos los proyectos importantes, la planificación es esencial para el éxito. Elaborar un plan de gestión de riesgos, en primer lugar, permite obtener información sobre cuánto costará y en qué momentos será necesario asignar los recursos.

Por otra parte, el plan es una demostración de que la empresa no improvisa. Asume una estrategia proactiva pensando en el futuro y no en los hechos del día a día. El plan de gestión de riesgos es importante además por otras razones:

• Identificar riesgos y amenazas con suficiente antelación.
• Priorizar los riesgos según el impacto y la probabilidad, formulando estrategias para atender lo más urgente.
• Mejorar la capacidad de operación de la organización, al crear un marco de seguridad y confianza.
• Obtener una bitácora de trabajo que permita monitorear, revisar y comprobar el logro de objetivos.
• Mejorar la confianza entre reguladores, clientes, socios comerciales y otras partes interesadas.
• Crear una metodología sistemática, susceptible de mejorar de forma continua, para el tratamiento de todos los riesgos.

¿Qué elementos comprende un plan de gestión de riesgos?

Para elaborar un plan de gestión de riesgos es preciso armar cuatro grandes bloques de información, que son los elementos clave del documento. Estos cuatro elementos son los siguientes:

1. Identificación de riesgos

Es el apartado en el que se buscan e individualizan los diferentes riesgos. Un riesgo, por definición, es cualquier factor, elemento, circunstancia o condición que tiene la capacidad para impedir el logro de un objetivo u ocasionar un impacto negativo relevante. La identificación de riesgos hace uso de diversas metodologías que se prevén desde el mismo plan de gestión.

2. Evaluación de riesgos

La evaluación de riesgos comprende dos tareas: categorizar la amenaza (estratégica, operacional, financiera, etc.) y asignar una puntuación que permita priorizar unas sobre otras de acuerdo con el impacto negativo o la probabilidad de que ocurra.

3. Tratamiento de los riesgos

Es el capítulo dedicado al diseño de estrategias para gestionar el riesgo. El plan, como un marco de acción, plantea los tipos de estrategias: eliminar, mitigar, transferir o compartir y aceptar.

4. Revisión y monitoreo

La gestión de riesgos es dinámica y cíclica. El modelo PDCA (planear, hacer, verificar y actuar) lleva a la mejora continua de la gestión y permite ajustar las estrategias de acuerdo con la evolución de las vulnerabilidades.

Necesitas una guía para elaborar un plan de #GestiónDeRiesgos en tu organización. Aprovecha esta guía paso a paso.
Compartir en X

¿Qué pasos seguir para elaborar un plan de gestión de riesgos?

Los elementos que forman parte del plan definen el paso a paso necesario para elaborar un plan de gestión de riesgos. El proceso, en detalle, sería el siguiente:

1. Establecer el contexto

El contexto, interno y externo, delimita el área en la que se identificarán los riesgos. Muchas amenazas aparecen en esta etapa de planificación. El contexto también permite identificar las partes interesadas, así como sus expectativas, necesidades o la forma en que pueden verse afectadas si un riesgo se materializa.

2. Identificar los riesgos

En esta parte del plan se emplean diferentes herramientas y modelos para identificar las amenazas: lluvias de ideas, análisis DAFO, árbol de fallos, los cinco porqués, etc. También se recurre a entrevistas con empleados y otras partes interesadas, a registros históricos, documentos sobre otras industrias del mismo sector, literatura especializada o informes de una plataforma para la digitalización de la gestión de riesgos.

3. Evaluar los riesgos

La evaluación se desarrolla en dos fases: clasificación y priorización. La clasificación, a su vez, utiliza dos criterios: el tipo de riesgo y la gravedad de acuerdo con el impacto o la probabilidad de que suceda.

La priorización de la asignación de lugar en una lista de acuerdo con la relevancia del riesgo obtenida en la etapa de clasificación. Los riesgos con mayor probabilidad de ocurrencia y mayor gravedad serán los primeros en atenderse y los primeros en recibir recursos para su gestión.

4. Diseñar estrategias de gestión

El siguiente paso en el plan es diseñar las estrategias para tratar el riesgo, que sabemos se limitan a cuatro opciones: eliminar, mitigar, trasladar o compartir y aceptar.

En esta parte del plan, no obstante, se solicitan los detalles de la estrategia, con las acciones y tareas concretas, los objetivos que se espera obtener, los mecanismos de verificación y el modo de implementación.

5. Asignar roles y responsabilidades

Con una lista de tareas y actividades para realizar, lo que sigue en el plan es asignar las responsabilidades a las personas indicadas. En algunos casos, la responsabilidad será asumida por el equipo de gestión de riesgos. En otros, será el responsable del activo afectado o del proceso que será modificado, eliminado o sustituido.

Al elaborar un plan de gestión de riesgos es importante dejar un espacio para especificar los medios por los que se comunicará a las personas indicadas todo lo relacionado con la responsabilidad asignada, así como los objetivos que se busca alcanzar y la forma en la que se monitoreará el avance.

6. Comunicar y documentar

Casi al final del plan de gestión de riesgos se deja un espacio para describir los canales de comunicación que se utilizarán para informar a las partes interesadas en el interior y exterior de la organización.

Muchos eventos y tareas que se incluyen en el plan necesitan ser documentados y conservados para garantizar la memoria histórica de la gestión. Es este el momento oportuno para definir quién lo hará, cómo lo hará y qué recursos requerirá.

En cuanto a documentación y almacenamiento seguro de la información, el uso de software para automatización y digitalización de la Gestión de Riesgos es clave, un recurso que cada día se emplea con más asiduidad en organizaciones en todo el mundo.

7. Revisar el plan y actualizarlo

La gestión de riesgos, reiteramos, es cíclica y dinámica. Elaborar un plan de gestión de riesgos es una tarea que se repetirá muchas veces, tantas como sea necesario. El plan se ajustará o modificará de acuerdo con el resultado de la gestión y de la evolución de los riesgos y del contexto de la organización.

¿A qué desafíos se enfrenta al elaborar un plan de gestión de riesgos?

Obtener una guía para elaborar un plan de gestión de riesgos es ya un importante avance. Pueden, no obstante, surgir algunos problemas:

• Ignorar algunos tipos de riesgos que no son cotidianos o son poco conocidos. Es el caso de los riesgos emergentes o los denominados cisnes negros.
• No considerar el factor humano, que es sin duda origen de la mayoría de los riesgos en todas las áreas.
• Crear un plan inamovible para un largo periodo de tiempo, que no admita modificaciones y que no pueda ser revisado.
• No consultar a las partes interesadas, conformando un silo de información en el que solo están los profesionales de gestión de riesgos.
• No obtener el apoyo de la Alta Dirección, lo cual conlleva la falta de recursos. La Alta Dirección no avalará un proyecto que no fue discutido y presentado antes de su implementación.
• Prescindir de la tecnología, acudiendo a modelos y herramientas en papel o, cuando mucho, hojas de cálculo.
• Olvidar la formación como elemento indispensable para elaborar un plan de gestión de riesgos y para la gestión en general. Profesionales formados y capacitados en el área producen una gestión efectiva.

Diplomado en Risk Manager

La gestión de riesgos contemporánea utiliza modelos, herramientas y matrices actuales. Pero también utiliza tecnología y estándares de gestión acordes con la sofisticación que requiere una tarea como esta en el siglo XXI.

El Diplomado en Risk Manager es el programa de la Escuela Europea de Excelencia diseñado para formar profesionales competentes, que cumplan con los requerimientos mencionados. Se trata de un completo y ambicioso programa creado para formar expertos en el área, pero también auditores certificados de Sistemas de Gestión de Riesgos. Puedes iniciar ya mismo tu formación o comprobar si puedes optar a una beca para tomar este programa.

La entrada Elaborar un plan de gestión de riesgos: guía paso a paso se publicó primero en Escuela Europea de Excelencia.

Hallar la causa raíz, sabemos, es la única forma de eliminar el problema y garantizar la no repetición. El análisis de árbol de fallos, además de encontrar la causa raíz de un evento negativo entrega una representación gráfica de la secuencia de eventos que desencadenaron la ocurrencia de un hecho que tuvo impacto negativo.

Por supuesto, el análisis de árbol de fallos no se realiza sólo para obtener la información y archivarla para la historia. El propósito es diseñar las acciones que permitan eliminar el problema desde su origen, y desde cada una de las secuencias o ramificaciones que surjan del análisis.

¿En qué consiste el análisis de árbol de fallos?

El análisis de árbol de fallos es una reconstrucción gráfica, utilizando la figura típica de un árbol, en la que en la copa o la parte más alta se ubica el problema que origina el uso de la metodología.

Hacia abajo, en posición análoga a las ramas del teórico árbol, aparecen los incidentes, eventos, circunstancias, factores o elementos que tuvieron o pudieron tener incidencia directa en la ocurrencia del problema.

El follaje del árbol se despliega hacia abajo con otras causales indirectas para el problema principal, pero asociadas a las ubicadas en el nivel inmediato superior. En la última capa del árbol hacia abajo se encuentra la causa o las causas que originan el problema y sus secuencias, y que de ser eliminadas evitan la repetición.

El análisis de árbol de fallos arroja una perspectiva gráfica muy interesante, que permite visualizar interacciones que no es posible percibir en el resultado de otras metodologías utilizadas en Gestión de Riesgos. Es por eso una herramienta de uso generalizado en industrias de alto riesgo.

¿Cómo realizar un análisis de árbol de fallos en tres pasos?

Antes de iniciar la construcción del análisis de árbol de fallos es importante asegurar la fuente de información. El análisis, a diferencia de otras metodologías utilizadas en Gestión de Riesgos se basa en hechos reales, información, documentos, registros y datos relacionados directamente con el evento estudiado.

La transparencia, accesibilidad e inmediatez de la información serán factores determinantes para el éxito de la tarea. Por eso, las organizaciones que han iniciado procesos de Transformación Digital y han automatizado sus Sistemas de Gestión, encuentran mejores oportunidades para aprovechar los resultados del análisis de árbol de fallos.

Con estas aclaraciones en mente, el análisis inicia con:

1. Recopilación de información

La recopilación de información es la primera actividad que desarrolla el equipo encargado de realizar el análisis. Esto implica emprender un rastreo detallado, siguiendo un orden cronológico, de todos los eventos y personas que incidieron en la ocurrencia del evento.

La calidad y utilidad de la información es directamente proporcional a la rapidez con que se recolecte. Algunos datos provienen de entrevistas de testigos o de afectados directos del suceso, especialmente cuando se trata de accidentes laborales, por ejemplo.

La línea de investigación conduce a la identificación de los datos e informes que serán relevantes para el análisis. La mentalidad del equipo debe enfocarse a pensar siempre en los eventos subsiguientes, que a su vez desencadenan otros acontecimientos.

Antes de pasar a la siguiente fase, es importante que el equipo construya una línea de tiempo con base en la información recolectada hasta el momento. En la mayoría de los casos, esto permite identificar vacíos o agujeros que es preciso llenar antes de iniciar la construcción definitiva del análisis de árbol de fallos.

2. Construir el árbol

Los equipos de Gestión de Riesgos experimentados disponen de un formato base para realizar el análisis de árbol de fallos. En la práctica es cuestión de colocar cada pieza de información recopilada en el primer paso, en el lugar correspondiente, iniciando por el incidente, accidente, falla o evento negativo y sus consecuencias inmediatas.

Cada cuadro incluye el título del evento o condición, y una descripción detallada de él. Es importante que todos los eventos, y sub-eventos se incorporen en estricto orden cronológico descendente. Las relaciones o interacciones deben señalarse. Es importante aclarar que este tipo de interacción puede darse en sentido descendente o lateral.

De forma natural, el esquema adquiere forma de árbol, lo que da el nombre del análisis. La representación visual, aún antes de concluir, entrega una comprensión integral del problema y sus consecuencias adyacentes que resulta de gran utilidad para la resolución y para la prevención de futuros riesgos.

3. Diseñar e implementar acciones correctivas

La acción correctiva es el resultado final del análisis de árbol de fallos, y el que justifica la tarea. La prioridad está, por supuesto, en la resolución del problema evaluado eliminando la causa raíz.

Sin embargo, una de las grandes ventajas que ofrece esta metodología es la posibilidad de identificar riesgos no tratados, en la visualización de eventos secundarios o en la interacción de un evento con otro.

El análisis de árbol de fallos es una metodología que retroalimenta la Gestión de Riesgos de la organización. Los resultados se reciclan en las evaluaciones de riesgos, las acciones correctivas diseñadas son evaluadas bajo otras perspectivas y el equipo de Gestión de Riesgos corrige fallas de proceso que llevaron a ignorar los riesgos hallados en al árbol de fallos.

Aprovecha esta útil guía para elaborar un análisis de árbol de fallos que mejorará la efectividad de tu sistema de #PrevenciónRiesgos #RiskManager
Compartir en X

Ejemplo práctico de un análisis de árbol de fallos

A modo de ejemplo, supondremos que un proceso productivo se detiene a causa del cese de funcionamiento repentino de un motor eléctrico. La falla hace que se pierda una importante cantidad de material utilizado en el proceso productivo, y que alguna máquina se averíe como consecuencia de la interrupción no prevista.

Evento principal: suspensión de funcionamiento de un motor eléctrico.

Causas inmediatas y sus sub-eventos:

• Sobrecarga eléctrica.
  • Desconocimiento de las especificaciones técnicas del motor.
  • Instrucciones equivocadas del jefe de producción.
  • Error de operación.
• Interrupción del suministro de energía.
  • Sobrecarga eléctrica en otra área de la organización.
  • Suspensión no avisada para realizar trabajos de mantenimiento
  • Apagado accidental por parte de un trabajador.
• Falla de un componente del motor.
  • Falta de mantenimiento adecuado.
  • Deficiencia en el mantenimiento suministrado.
  • Falla de fábrica.
• Falla humana de operación.
  • Falta de capacitación o competencia para realizar una tarea.
  • Fallas de comunicación.

Con base en estos eventos y sub-eventos, se recopila la información. En este caso las entrevistas serán la mejor fuente de información. Los resultados de programas de capacitación, las evaluaciones de competencias de los empleados involucrados, los informes técnicos, el historial de mantenimiento del motor, serán, entre otros, informes para construir el árbol.

Las acciones correctivas se deducen con facilidad desde el enunciado de cada uno de los eventos y sus derivaciones. Las fallas de capacitación o fallas humanas aparecen de forma recurrente en este tipo de evaluaciones.

La formación en Gestión de Riesgos es un activo de alto valor para cualquier organización. Un programa de formación integral y de gran reconocimiento en el área, a nivel internacional, es el que ocupa nuestro apartado final.

Diplomado en Risk Manager

La formación con base en el Diplomado en Risk Manager permite a los profesionales que la toman obtener una comprensión integral profunda de la Gestión de Riesgos, basada en metodologías tradicionales y otras innovadoras basadas en la tecnología y la Transformación Digital.

El profesional que toma este programa es un experto en el área que propone ideas innovadoras, y que está al tanto de todas las teorías, sistemas y técnicas modernas para prevenir riesgos y proteger a su organización.

El programa entrega titulación como Experto en Gestión de Riesgos, pero también como auditor de Sistemas de Gestión de Riesgos. La formación se imparte en modalidad 100% e-learning y el campus virtual pone en contacto al estudiante con alumnos y docentes de diversas nacionalidades. Una gran oportunidad profesional te espera: tómala aquí.

La entrada Cómo realizar un análisis de árbol de fallos para mejorar la prevención de riesgos se publicó primero en Escuela Europea de Excelencia.

Por supuesto, sería muy bueno tan solo eliminar todos los riesgos desde su misma causa raíz. Es claro, sin embargo, que esto no es posible. Los equipos de Gestión de Riesgos excelentes logran tasas altas de eliminación. Pero siempre será necesario contar con diferentes estrategias de respuesta al riesgo.

Elegir una entre varias estrategias de respuesta al riesgo depende del tipo de riesgo, el impacto negativo, la probabilidad de ocurrencia, la posible oportunidad que represente y, finalmente, el apetito de riesgo de la organización.

Finalmente, antes de entrar a desglosar cada una de las estrategias de respuesta al riesgo que hoy proponemos, se advierte que estas opciones son susceptibles de ser reevaluadas y modificadas en cualquier momento, debido a cambios en el comportamiento o las características del riesgo tratado.

¿Cuáles son las estrategias de respuesta al riesgo que se pueden tomar después de la evaluación?

Las estrategias de respuesta al riesgo que se explican a continuación son adoptadas generalmente a nivel internacional, dentro del procedimiento de gestión de todo tipo de riesgos. Los profesionales experimentados en el área de riesgos las conocen y dominan su aplicación.

La Transformación Digital entrega herramientas que facilitan el trabajo de los expertos en riesgos. Sistemas de Gestión automatizados y digitalizados proveen información en tiempo real, que facilita la elección de las estrategias de respuesta al riesgo que mejor contendrá una amenaza. Estas son las opciones:

1. Eliminar el riesgo

Es la primera opción y la que se esperaría que acogiera todas las amenazas de una organización. Sabemos que no será así, pero es importante tratar de encajar el mayor número de riesgos en esta estrategia.

Eliminar o evitar un riesgo significa desaparecer desde el origen cualquier factor, elemento, condición o circunstancia que desencadena la amenaza. La eliminación, generalmente, implica eliminar algo: un proceso, un componente, un material, un proveedor…

La eliminación puede generar nuevos riesgos u obstaculizar las estrategias comerciales de la organización. Puede significar que la organización deje de aprovechar importantes oportunidades. Todo esto necesita análisis y evaluación antes de elegir la eliminación entre las estrategias de respuesta al riesgo.

2. Mitigar el riesgo

Mitigar, reducir, minimizar, son entre otros sinónimos utilizados de forma recurrente en Gestión de Riesgos. La reducción se explica en dos sentidos: se puede reducir la probabilidad de que el riesgo ocurra o se puede mitigar el impacto negativo en el evento de que el riesgo se presente.

La reducción tiene un coste que es preciso comparar con el grado de mitigación que se obtendrá en la realidad. Invertir recursos cuantiosos, para llegar a un nivel de reducción del 20% apenas, no tendría mucho sentido.

El uso de Equipos de Protección Personal, por ejemplo, es una acción que disminuye el impacto negativo de una potencial amenaza causada por el uso de una máquina, un material corrosivo, una sustancia tóxica, entre otros. Es un buen ejemplo de reducción sensata y racional.

3. Transferir el riesgo

Transferir el riesgo significa trasladar el impacto negativo a un tercero. Si un proceso es la causa raíz de un riesgo, y ese proceso no se puede eliminar, entonces resulta sensato pensar en subcontratarlo para que otra organización u otras personas se expongan a la amenaza.

Los contratos de seguros son otra forma de transferir un riesgo. De hecho, son la forma más extendida y conocida para hacerlo. No obstante, es importante advertir que este tipo de transferencia apenas traslada el impacto financiero negativo.

Un seguro puede absorber el coste de una sanción, de una multa o de la indemnización que una organización tenga que pagar. Pero el impacto reputacional que el riesgo genera no es transferible.

Aprovecha estas cinco estrategias de respuesta al riesgo, que puedes considerar después de la evaluación de riesgos en tu organización #GestiónRiesgos #RiskManager
Compartir en X

4. Aceptar el riesgo

La aceptación del riesgo es una opción adecuada para eventos que no tienen un alto poder lesivo o cuya ocurrencia es poco probable. Usualmente, se decide aceptar un riesgo así, porque el coste de la eliminación es muy alto en comparación con la probabilidad o el impacto negativo.

Aceptar el riesgo significa no tomar ninguna acción concreta para tratarlo. Una razón para hacerlo es la incapacidad del Equipo para gestionar y la seguridad de que otras personas, en cualquier lugar del mundo, trabajan para reducir o eliminar el riesgo. El cambio climático es un buen ejemplo de ello.

5. Asumir el riesgo

Asumir puede parecer lo mismo que aceptar. Sin embargo, dentro del glosario utilizado por los profesionales en Gestión de Riesgos hay una diferencia importante: la aceptación es una estrategia pasiva que implica ignorar el riesgo y no hacer nada sobre él. Asumir, por el contrario, requiere que se tome una posición activa frente a la amenaza.

Asumir involucra algo de reducción. Cuando se asume un riesgo se diseñan planes de acción y se toman medidas que no eliminan ni reducen probabilidad o impacto. Pero sí ayudan a conservar un nivel aceptable de operabilidad aun cuando el riesgo ocurra.

Asumir es la opción para elegir, entre las estrategias de respuesta al riesgo, cuando la amenaza es de tipo operativo y cuando asocia una interesante oportunidad. El mejor ejemplo es el de las entidades financieras. Este tipo de organizaciones necesita prestar dinero, aunque ello represente un riesgo evidente. El riesgo se asume porque hay una oportunidad asociada, porque ninguna de las anteriores estrategias es viable y porque es, al final, la razón para que exista la entidad.

Diplomado en Risk Manager

El Diplomado en Risk Manager es el programa de la Escuela Europea de Excelencia responsable de la formación de profesionales expertos en Gestión de Riesgos. La formación entregada en este programa cuenta con varios valores agregados: el intercambio de conocimiento y experiencia con docentes y estudiantes de diversas nacionalidades es uno de los más relevantes.

Los estudiantes de este Diplomado también son auditores certificados de Sistemas de Gestión de Riesgos. De hecho, tiene la posibilidad de obtener el Certificado ERCA, que les permitirá trabajar en cualquier país de la Unión Europea o de América Latina. ¿Necesitas más argumentos? Encuéntralos aquí.

La entrada 5 Estrategias de respuesta al riesgo a considerar después de evaluar los riesgos se publicó primero en Escuela Europea de Excelencia.

El riesgo operativo es el que amenaza la capacidad de una organización para realizar la tarea para la que fue creada, como consecuencia de un error humano, un proceso defectuoso u otros factores internos que tendrían que estar bajo el control de la organización.

El riesgo operativo también puede aparecer asociado a un evento externo: innovación tecnológica, cambio regulatorio o incluso, condiciones climáticas o atmosféricas. En este caso, es la incapacidad de la organización para adaptarse la que genera el impacto negativo.

El riesgo operativo, como se infiere de lo expuesto, es complejo. Igualmente, lo es la forma de enfrentarlo. Por eso es importante aprender a identificarlo, establecer sus orígenes, conocer estrategias útiles para tratarlo y, de paso, algunos ejemplos prácticos que ocurren en la cotidianidad de cualquier organización.

¿Cómo identificar el riesgo operativo?

La clave para identificar un riesgo operativo es buscar dos características esenciales:

• El riesgo aparece como consecuencia de la actividad de la organización.
• El impacto directo genera dificultad o imposibilidad para operar.

Existe un impacto residual que pueden afectar finanzas, reputación o cumplimiento regulatorio. Pero también se puede mencionar, para completar el perfil de este tipo de riesgo, la posibilidad que tienen de mimetizarse y ocultarse en actividades cotidianas. Por eso es importante saber siempre dónde buscar riesgos operativos.

¿Dónde buscar el riesgo operativo?

Los riesgos operativos son vulnerabilidades cotidianas que surgen en el día a día de la organización. Son imprevistos, pero no imprevisibles. Es importante buscar en el lugar adecuado. Algunos puntos de origen habitual para riesgos operativos son:

1. Errores humanos

El error humano es causa inmediata de riesgos operativos, pero usualmente no es la causa raíz. Brechas de capacitación, falta de debida diligencia en los procesos de contratación o deficiencias en el área de Recursos Humanos suelen ser causa raíz de un problema que termina generando riesgos operativos.

2. Área de IT

El área de IT y, en general, todos los sistemas tecnológicos albergan amenazas que tienen la capacidad de interrumpir la operación de una organización. Con un grado adicional de impacto negativo: afectan la reputación.

3. Procesos defectuosos

Los procesos que presentan fallas no detectadas son fuente de riesgos operativos que provocan importantes pérdidas de dinero. Pueden afectar la reputación e implicar sanciones por incumplimiento. Estos procesos tendrían que ser detectados en auditorías internas, pero no siempre es así.

4. Contexto externo

Los eventos externos, que no están bajo el control de la organización, también generan riesgos operativos. Un terremoto, una inundación o un fenómeno de agitación social tienen la capacidad para detener, provisional o definitivamente, la operación de la organización.

¿Cómo tratar el riesgo operativo?

La gestión del riesgo operativo no difiere mucho de la gestión general y habitual de riesgos. Si se buscan los riesgos con las características anotadas al inicio de este texto, y se hace un rastreo por las fuentes usuales, igualmente anotada, lo que sigue es avanzar con los siguientes pasos:

1. Establecer alcance y objetivos

El primer paso es delimitar la tarea. La evaluación puede ser para un área, para una ubicación o exclusivamente para una línea de producto o un proyecto en particular.

2. Identificar las amenazas

Se utilizan las técnicas habituales: lluvia de ideas y análisis FODA suelen ser las más utilizadas. Cuando se trata de riesgo operativo, la revisión de la memoria histórica de la organización y la interacción con otras empresas de la misma industria resulta muy útil.

3. Establecer probabilidad e impacto

Las dos variables que indican la relevancia de un riesgo, probabilidad e impacto, también se evalúan aquí. Por supuesto, el uso de matrices de riesgo es lo recomendado. Las organizaciones que han implementado procesos de Transformación Digital, cuentan con Sistemas de Gestión automatizados, que proveen información inmediata y funcionalidades para realizar estas evaluaciones con la requerida celeridad.

4. Definir el apetito de riesgo

El apetito de riesgo con respecto a los riesgos operativos no tiene que ser el mismo que se fijó para otro tipo de amenazas o para el riesgo en general. Este es un análisis que considera, entre otros factores, las oportunidades. Contar con profesionales expertos en Gestión de Riesgos es la clave en este paso.

5. Categorizar los riesgos

De acuerdo con los criterios de impacto, probabilidad y la posibilidad de ser aceptados. Clasificar los riesgos así facilita la asignación de recursos y asegura que los esfuerzos se enfoquen en lo que realmente es inminente.

6. Elegir estrategia de gestión

Con una lista de riesgos ordenada desde el más preocupante hasta el que menos interés merece, lo que sigue es diseñar las estrategias de tratamiento, que necesariamente encajan en alguna de estas categorías:

• Eliminar el riesgo.
• Mitigar el riesgo.
• Compartir el riesgo.
• Trasladar el riesgo.
• Tolerar el riesgo, con estrategias para minimizar el impacto.

7. Monitorear el resultado de la gestión y reiniciar el ciclo

La gestión de riesgos se desarrolla con base en el modelo PDCA. Esto significa que, una vez implementadas las estrategias de gestión, se evalúa su rendimiento, se identifican fallas, se corrigen y se implementan nuevas medidas para reiniciar el ciclo.

---

Encuentra aquí la guía definitiva para la gestión del #RiesgoOperativo, estrategias y algunos ejemplos prácticos para mejorar los resultados.
Compartir en X

---

¿Qué ejemplos del mundo real existen de riesgo operativo?

Muchas organizaciones desestiman el riesgo operativo por considerarlo inmaterial y poco probable, para ellas. En otras organizaciones, se piensa que alguien, dentro de la gestión de riesgos generales, se ocupará de esos temas.

Una de estas opciones pude corresponder a los ejemplos que mencionamos a continuación, y que estuvieron en los titulares de los diarios por mucho tiempo. Aportamos un ejemplo para cada una de las áreas que hemos definido como usuales generadoras de riesgo operativo.

Ejemplo de riesgo por error humano

Este caso afectó a Equifax, una organización norteamericana multinacional, que se especializa en informes de crédito, siendo una de las tres más grandes de los Estados Unidos. Como es natural, debido al objetivo comercial de la organización, la cantidad de datos y registros confidenciales que se tratan allí es descomunal.

Pues en septiembre de 2017, esta organización sufrió una infracción de seguridad de la información que expuso la información confidencial de más de 150 millones de personas. La investigación reveló como causa raíz del problema, la negligencia de un equipo de IT para realizar una tarea urgente: parchear una vulnerabilidad identificada. Coste inicial del riesgo: 425 millones de dólares.

Ejemplo de riesgo por fallas tecnológicas

El riesgo operativo tecnológico se diferencia del anterior, porque no implica un error humano o la negligencia de un empleado. El ataque masivo de ransomware, conocido como WannaCry, ocurrió en 2017 y afectó a empresas de todo el mundo. El ataque adquirió connotación de epidemia, afectando principalmente a los usuarios del Sistema Operativo Windows. Los delincuentes, que secuestraron información y sitios web, solicitaron rescate en criptomonedas. Las cifras totales no han sido establecidas aún.

Ejemplo de riesgo por procesos defectuosos

JP Morgan Chase puede ser el banco más grande e importante de América. Sin embargo, su operación en el Reino Unido parece no haber sido evaluada con la suficiente minuciosidad. Lo que se conoció como el incidente de la ballena de Londres, tuvo un coste de más de 6.000 millones de dólares para el gigante americano de las finanzas. El problema se adjudicó a procesos deficientes de gestión de riesgos.

Ejemplo de riesgo por eventos externos

Finaliza este interesante recuento con un evento que aún está en la memoria de muchas personas: el desastre nuclear en la planta de Fukushima, Japón, en 2011. Este caso presenta dos líneas de acción del riesgo: la primera nos muestra que el desastre ocurre por causa de un terremoto, que por supuesto, no está bajo el control de la planta nuclear. El segundo, el efecto dominó que se produce en la cadena de suministro, iniciando con las empresas que consumían energía de la planta.

Diplomado en Risk Manager

Antes, los profesionales en Gestión de Riesgos eran intuitivos, basados en la experiencia y en lo que su olfato les indicaba. Hoy en día, los responsables del área de Risk Management son profesionales expertos, que utilizan la tecnología, la estadística, el registro histórico y las técnicas y modelos de evaluación más avanzados.

Todo esto lo adquieren en el Diplomado en Risk Manager de la Escuela Europea de Excelencia. Pero, además, adquieren la capacidad y la habilidad para auditar Sistemas de Gestión de Riesgos. Y lo pueden hacer en Europa o en América Latina si así lo desean. Aprende cómo hacerlo aquí.

La entrada Guía completa para la gestión del riesgo operativo: estrategias y ejemplos del mundo real se publicó primero en Escuela Europea de Excelencia.

Convertir el riesgo en oportunidad parece un acto de prestidigitación que pocos pueden crear en la realidad. Sin embargo, los profesionales en Gestión de Riesgos saben que es posible. Más que posible, necesario.

No todos los riesgos se pueden evitar. Entonces, ¿por qué no pensar en dar la vuelta a las circunstancias y convertir lo ‘malo’ en algo positivo? Es lo que se hace al convertir el riesgo en oportunidad.

Las organizaciones que lo logran encuentran una ventaja competitiva muy interesante. Para hacerlo, los equipos de Gestión de Riesgos necesitan vender la propuesta a la Alta Dirección.

Se trata de cambiar el enfoque. En adelante no bastará con identificar las amenazas, implementar controles y minimizar el impacto o la probabilidad. Hay que convertir el riesgo en oportunidad. Tras cada impacto negativo hay un beneficio y es preciso encontrarlo y potenciarlo.

¿La organización está preparada para convertir el riesgo en oportunidad?

La Gestión de Riesgos en algunas empresas tiende a convertirse en un coste y en un lastre para el crecimiento. Esto se debe a que los equipos de gestión de riesgos no están preparados para asumir un enfoque que priorice convertir el riesgo en oportunidad frente a otras opciones clásicas, más cautelosas, como compartir, eliminar o minimizar.

Por supuesto, la tarea requiere profesionales el área de Gestión de Riesgos preparados para pensar y actuar así. Una señal inequívoca de que se está ante un analista de riesgos listo para convertir el riesgo en oportunidad es la capacidad que este tenga para saber si su organización está igualmente lista para cambiar la forma en que ve los riesgos.

Es un poco más fácil de lo que parece. Cinco preguntas bastan para obtener la respuesta:

1. ¿El enfoque de la Gestión de Riesgos es preventivo y proactivo o reactivo y retardado?

Existen organizaciones en las que la Gestión de Riesgos se desarrolla como un juego de azar. Se predicen eventos, pero no se trabaja en la prevención y en la anticipación, sino que se preparan para enfrentar las consecuencias, tratando de minimizar el daño.

Por supuesto, esto implica emplear recursos en la misma Gestión, y en las acciones reactivas posteriores. Estos equipos de riesgos y, las organizaciones a las que sirven, tendrán que trabajar mucho más duro si quieren convertir el riesgo en oportunidad y adoptarlo como cultura y como un enfoque sistemático.

2. ¿Existe cultura de Riesgo y concientización en todas las áreas de la organización?

Convertir el riesgo en oportunidad es una tarea que requiere que todas las áreas de la organización estén alineadas con los objetivos de la Gestión de Riesgos. No siempre es así. En muchas empresas, la comprensión real de las amenazas, y de los posibles beneficios que entrañan, se limita a la Alta Dirección y a los profesionales encargados de la Gestión de Riesgos.

Cuando todos en la organización, en todas las áreas, están alerta ante posibles amenazas, y afinan competencias para evaluar impactos positivos ocultos, las estrategias diseñadas para aprovechar beneficios tienen mejores oportunidades para funcionar.

Si esto ocurre, es posible afirmar que la organización tiene cultura de riesgo y que el grado concientización en todas las áreas es alto. Los dos son ingredientes esenciales para lograr revertir los riesgos y convertirlos en beneficios.

---

Descubre si tu organización está lista para convertir el riesgo en oportunidad con estas cinco interesantes preguntas #RiskManager #GestiónRiesgos
Compartir en X

---

3. ¿La Gestión de Riesgos es sistemática, continua e integral?

Los directores de área, los supervisores o incluso, algunos miembros de la Alta Dirección, suelen pensar en la Gestión de Riesgos como algo que se realiza una vez en la vida, o, cuando mucho, una vez al año.

Si ya se hizo, todo va bien. Ni siquiera se considera si se tomaron en cuenta las acciones recomendadas, o si estas de verdad funcionaron. Esto significa que la Gestión de Riesgos no cuenta con la necesaria continuidad, y que no es un trabajo realizado con enfoque holístico y sistemático.

Convertir el riesgo en oportunidad necesita monitoreo continuo y un enfoque integral. En un escenario así será muy difícil obtener una comprensión real del riesgo, y mucho menos de las oportunidades.

4. ¿La Gestión prioriza el riesgo interno sobre el externo?

Para algunos equipos de Gestión de Riesgos la amenaza interna, inmediata, cercana, resulta mucho más preocupante que la externa, que se percibe como lejana y poco preocupante.

Parece la actitud del avestruz cuando sumerge la cabeza en la arena. Ignorar el mundo exterior entraña dos dificultades: se dejan de atender problemas que tienen un alto poder lesivo, y, por otra parte, se ignoran circunstancias que tienen la posibilidad de modificar el entorno interno y, con ello, visibilizar oportunidades interesantes.

5. ¿Hay personas dedicadas a la Gestión de Riesgos?

Las organizaciones de tamaño medio o grande suelen tener equipos dedicados a la Gestión de Riesgos. De hecho, estos equipos trabajan a tiempo completo en esa función, para eso son contratados.

Es apenas lógico que empresas pequeñas o emprendimientos que recién dan sus primeros pasos no puedan darse el lujo de contar con equipos dedicados. Pero esto no significa que no asignen responsabilidades compartidas a empleados de diversas áreas.

Por supuesto, es importante que estos empleados sean las personas indicadas. Asignarles la responsabilidad no hace que sean los adecuados. Suministrar la formación que les aporte habilidades y competencias necesarias para ser un excelente Risk Manager, es uno de los elementos esenciales.

Diplomado Risk Manager

El Diplomado Risk Manager es el programa líder en formación en el área de Gestión de Riesgos de la Escuela Europea de Excelencia. Es el resultado de años de investigación y desarrollo para entregar a los alumnos de este programa las técnicas y teorías que hoy son tendencia en el mundo corporativo moderno en el área de Gestión de Riesgos.

Los alumnos de este Diplomado, además de convertirse en expertos analistas de riesgos, son auditores certificados que, si así lo desean, pueden aplicar para obtener el Certificado ERCA. Conoce un universo profesional sin límites iniciando aquí.

La entrada Convertir el riesgo en oportunidad: cinco preguntas para formular se publicó primero en Escuela Europea de Excelencia.

No se trata de un relevo generacional de profesionales expertos en Gestión de Riesgos. Es preciso entender que los riesgos son dinámicos, volátiles, móviles… En la medida que evoluciona la sociedad y la economía, surgen nuevas tendencias de mercados, cambian los mapas geopolíticos, el riesgo empresarial también cambia. Y con él, la visión que tienen sobre él los encargados de prevenirlos y tratarlos.

¿Cuáles son las principales diferencias entre el enfoque moderno y el tradicional con respecto al riesgo empresarial?

El objetivo no es establecer una visión correcta y otra equivocada. Por el contrario, una primera conclusión podría ser que es importante conocer diferentes enfoques sobre gestión del riesgo empresarial, porque son perspectivas complementarias que no aparecen por generación espontánea: son el fruto de la experiencia y el estudio de muchos profesionales ante situaciones reales.

Con esta aclaración previa, diez diferencias de percepción sobre la gestión del riesgo empresarial, entre el enfoque moderno y el tradicional son:

1. Coste financiero vs coste reputacional

Todos los riesgos pueden tener un impacto negativo financiero. En el caso del riesgo financiero la probabilidad de pérdida de dinero es mucho más alta. El enfoque tradicional apunta a reparar el daño financiero por anticipado.

Y lo hace compartiendo el riesgo o transfiriéndolo. Esto implica contratar seguros o tercerizar procesos como primer escudo de defensa. Nada creativo, pero en cierto modo efectivo. Esto no significa que se dejen de implementar controles o protocolos de seguridad, especialmente en el área de Seguridad de la Información. Pero estas acciones son secundarias ya que se cree que el objetivo esencial es garantizar la compensación económica.

El enfoque moderno entiende la gestión del riesgo empresarial como una forma de promover el logro de objetivos comerciales en la organización. El impacto sobre la reputación, inevitable en el riesgo empresarial, es por ejemplo una preocupación de primer orden para profesionales que asumen un enfoque moderno de la gestión.

Por otra parte, el enfoque moderno se preocupa también de las oportunidades que ofrece el riesgo. Para ello evalúa el apetito de riesgo y compara el impacto negativo con el positivo antes de tomar decisiones de fondo.

2. Prevención vs reacción

La capacidad de reacción ante la ocurrencia de un riesgo es para la gestión tradicional un objetivo de alto valor. Los profesionales que trabajan bajo este enfoque piensan que los riesgos son inevitables. Tarde o temprano ocurrirán y lo mejor es estar preparados para enfrentarlos disminuyendo el impacto y garantizando un mínimo de capacidad de operación.

Pero no solo se piensa en que el riesgo empresarial va a ocurrir tarde o temprano. La visión es hacia atrás. Hacia los eventos ocurridos con anterioridad, sus consecuencias reales y la forma en que se enfrentaron en su momento.

La gestión moderna es proactiva y se adelanta siempre a los acontecimientos. En cierto modo es mucho más fácil hacerlo ya que se cuenta con las herramientas adecuadas: plataformas que automatizan los Sistemas de Gestión y entregan informes predictivos que surgen del análisis de grandes cantidades de datos y registros en muy poco tiempo.

3. Gestión para satisfacer regulaciones vs gestión para la toma de decisiones

La evaluación de riesgos es un requisito de algunos organismos reguladores. También la solicitan los estándares de gestión, las compañías de seguros, algunos clientes y los bancos o inversores.

Satisfacer esos requerimientos es importante dentro del enfoque tradicional. Este tipo de evaluaciones suelen ser inocuas, cuando no adaptadas a los intereses de quien la solicita. Por ello, poco útil para tomar decisiones hacia el futuro.

La visión moderna de la gestión de riesgos empresariales es otra: se trata de alcanzar objetivos y producir información útil para la toma de decisiones. Si la Alta Dirección cuenta con un plan de protección frente a las amenazas, que proporciona un marco de seguridad confiable, tomara decisiones informadas que llevarán al crecimiento de la organización y a la mejora continua de sus indicadores.

4. Rigidez vs flexibilidad

El riesgo empresarial es dinámico. Frente a eso, los modelos estáticos y rígidos que propone el modelo tradicional poco efecto surten. La gestión moderna es dinámica como las amenazas que enfrenta.

Por supuesto, los Sistemas de Gestión modernos no pueden ser únicos e inmodificables. El tratamiento del riesgo empresarial requiere creatividad, diseño de estrategias innovadoras, actuar sobre la marcha y tomar las mejores decisiones con base en informes y evaluaciones inmediatas.

5. Enfoque en contexto interno vs enfoque en el contexto externo

El riesgo empresarial por definición tiene mayor relación con el contexto externo de la organización. La gestión tradicional tiende a ignorar lo que sucede fuera de las instalaciones de la organización. Así, es poco probable que las evaluaciones cuenten con la eficacia mínima requerida.

Por supuesto, también hay condiciones internas para revisar, que tienen la capacidad de generar riesgos empresariales. Pero, es un hecho, las mayores amenazas están fuera de la organización.

La gestión moderna es integral y holística. Considera lo que pasa a toda la industria y lo que ocurre en la ciudad, en el país y en el mundo, buscando los riesgos, pero también las oportunidades.

Evalúa las diferencias entre el enfoque moderno y el tradicional en la #GestiónRiesgos empresariales. Aprende las 10 diferencias más relevantes #RiskManager #ISO31000
Compartir en X

6. Riesgos aislados vs riesgos interconectados

El enfoque tradicional aborda los riesgos uno por uno. La gestión moderna crea un mapa de procesos, con sus riesgos asociados, que permite observar la relación, la dependencia y la interacción entre cada uno de ellos.

Por supuesto, el primero es un enfoque que parece atractivo por su nivel de profundidad y detalle. El segundo, no obstante, es práctico, global y permite ver un panorama completo en toda su dimensión.

Hay un nivel intermedio: algunos profesionales dividen la gestión de riesgos por áreas: calidad, seguridad de la información, cumplimiento, seguridad en el trabajo… Esto es mejor que lo primero, por supuesto. Pero no deja de producir innecesarios y perjudiciales silos de información.

7. Gestión local vs gestión universal

Relacionado con la diferencia mencionada en el ítem anterior, el enfoque tradicional tiende hacia lo local, lo limitado, lo cercano. Por eso la gestión es departamental, por ubicaciones, por niveles, pero nunca general o universal.

Esto no seria tan ineficaz si por lo menos existiese comunicación e interacción entre los diferentes equipos de riesgos. Pero, además de la duplicación de esfuerzos, se produce un trabajo que ignora los progresos o las experiencias negativas de los vecinos, que pueden estar trabajando en oficinas contiguas, sin contacto ni comunicación.

La gestión moderna no tiene límites. Puede incluso aprovechar la experiencia de una organización en Tailandia, encontrándose la propia en España.

8. Evaluación basada en el impacto vs evaluación basada en impacto y probabilidad

Los riesgos se evalúan sobre dos ejes: impacto y probabilidad. Es la conjunción de estas dos variables la que entrega indicadores confiables para categorizar los eventos que pueden impedir el logro de objetivos.

El impacto o gravedad, no obstante, es mucho más convincente que la probabilidad de ocurrencia. Esta es una diferencia importante entre el enfoque tradicional y el moderno. Los profesionales tradicionales realizan evaluaciones en una sola dimensión, que es la de la gravedad.

Los profesionales modernos realizan estudios integrales que consideran impacto y probabilidad. Esto permite realizar presupuestos muy cercanos a la realidad, y no desperdiciar recursos.

9. Técnicas y modelos establecidos vs creatividad y habilidades sociales

La gestión de riesgos no es una ciencia. Pero si se apoya en ciencias como la matemática o la estadística. Por eso, adoptar modelos estandarizados, rígidos, basados en técnicas que han funcionado en otras organizaciones, puede no ser la mejor alternativa a la hora de tratar el riesgo empresarial.

El enfoque moderno utiliza habilidades sociales y requiere profesionales dotados de creatividad, empatía con sus compañeros, que se apoyan en tecnologías innovadoras. La gestión moderna planifica de acuerdo con el reto. La tradicional sigue un mismo libreto siempre.

10. Gestión repetitiva vs gestión innovadora

La gestión tradicional se basa en prácticas y modelos creados hace muchos años. Se realizan de forma instintiva y mecánica, incluso sin tener objetivos precisos. La gestión moderna es intuitiva, innovadora, emprende cada proyecto como algo absolutamente nuevo y único.

Diplomado Risk Manager

El riesgo empresarial es una de las áreas de estudio que profundizan los alumnos del Diplomado en Risk Manager. Dentro de la gestión moderna este es uno de los programas más completos e innovadores.

Los alumnos del Diplomado interactúan con docentes con reconocimiento internacional, y con alumnos de diferentes nacionalidades. Adquieren así mismo las competencias y las habilidades para auditar Sistemas de Gestión de Riesgos. Empieza una carrera interesante y muy redituable ahora. El primer paso es este.

La entrada Gestión del riesgo empresarial: 10 diferencias entre el enfoque moderno y el tradicional se publicó primero en Escuela Europea de Excelencia.

Por supuesto, la reducción de riesgos es parte del enfoque tradicional. Algunos empresarios muy avezados podrán creer que un alto nivel de riesgo implica recompensas atractivas, si se logra sobrevivir al impacto de las probables amenazas.

Esto tiene que ver con el apetito de riesgo de la organización. La reducción de riesgos, no obstante, es un propósito siempre recomendable. La razón es clara: la seguridad genera crecimiento y el crecimiento aumenta la rentabilidad.

¿Cómo generar reducción de riesgos empresariales sin dejar de aprovechar las oportunidades?

Ante la disyuntiva, lo prudente es crear estrategias flexibles, dinámicas y creativas para producir la necesaria reducción de riesgos, sin dejar de aprovechar oportunidades evidentes.

El objetivo es minimizar la exposición al riesgo, siempre estando atentos a interesantes oportunidades que requieran un compromiso admisible y gestionable para la organización. Estas cuatro estrategias resultarán muy útiles:

1. Establecer si vale la pena correr el riesgo

La reducción de riesgos empresariales plantea un dilema para los profesionales encargados de la gestión. Eliminar o reducir riesgos empresariales es un objetivo que plantea otro problema implícito: paralizar la producción o ralentizarla.

Ante la duda, el criterio que debe inclinar la balanza tiene que ser la calificación del riesgo. Aunque parezca contradictorio, los riesgos pueden ser buenos o malos. Los buenos, son los que conllevan atractivas oportunidades, a la vez que presentan impactos negativos que se pueden calcular y controlar.

Los malos son los que apenas son especulativos y no se dispone de información confiable y suficiente para tomar decisiones. Usualmente los lanzamientos de nuevos productos o la entrada a mercados inexplorados son decisiones que representan riesgos empresariales.

La calificación, de acuerdo con los parámetros expuestos, es la que determinará si se asume el riesgo o se opta por la reducción de riesgos empresariales. El apetito de riesgo, e incluso, la cultura de riesgo de la organización, son las consideraciones que llevan a la decisión final.

La cultura de riesgo tiene que ver con el entusiasmo o rechazo que muestre el equipo de trabajo frente al riesgo. Por supuesto, si la organización cuenta con empleados preparados y deseosos de correr riesgos, y el riesgo ha sido calificado como bueno o por lo menos aceptable, la decisión es clara. Lo contrario sugiere que lo mejor es elegir la reducción de riesgos empresariales.

2. Realizar una evaluación total y panorámica de los riesgos empresariales

Algunos profesionales limitan la tarea de reducción de riesgos empresariales al interior de las instalaciones de la empresa. Los riesgos empresariales o comerciales, sin embargo, están dentro y fuera de la organización.

Por supuesto los internos son más fáciles de identificar, evaluar y controlar. Los externos suelen ser de grandes proporciones y usualmente afectan por igual a todas las industrias del mismo sector.

Los riesgos empresariales externos se ajustan en cuatro preocupaciones: políticas, económicas, sociales y tecnológicas. El análisis PEST es la herramienta indicada para obtener una evaluación que permite identificar los riesgos empresariales externos de la organización.

Los resultados del análisis PEST facilitan la planificación y la toma de decisiones. De hecho, es en esta clase de riesgos en donde mejores oportunidades se encuentran.

Aprende qué estrategias seguir para para minimizar las amenazas y conseguir la reducción de riesgos empresariales #RiskManager #GestiónRiesgos
Compartir en X

3. Anticiparse a los acontecimientos

La gestión de riesgos proactiva es la que logra contener amenazas antes de que generen su impacto negativo. La reducción de riesgos empresariales, sin embargo, requiere aún mayor capacidad de anticipación.

El objetivo es la reducción de riesgos empresariales, sin sacrificar el beneficio que implica aprovechar oportunidades. Si esto es lo que se busca, es preciso contar con el tiempo suficiente para clasificar los riesgos, revisar dentro y fuera de la organización, realizar análisis como PEST, y obtener la información necesaria para la toma de las mejores decisiones.

La capacidad que tenga el equipo de gestión de riesgos para anticiparse a los acontecimientos será definitiva para minimizar riesgos y aprovechar al máximo las oportunidades.

La gestión de riesgos proactiva es un propósito de equipos que trabajan hoy sobre los problemas que tendrán impacto en un tiempo prudencial posterior.

4. Aprovechar las oportunidades

Parece redundante, pues es el titular de esta sección. Sin embargo, la recomendación aquí es asumir la búsqueda y el aprovechamiento de oportunidades como un enfoque sistemático en la gestión.

Algunos beneficios están ocultos tras una pila de amenazas. También se encuentran oportunidades que, en apariencia, no representan ningún riesgo. El profesional en gestión de riesgos tiene que buscar las dos caras de la moneda en todos los eventos que evalúa.

Los Sistemas de Gestión de Riesgos automatizados y digitalizados ofrecen información, mapas de calor, datos y registros que facilitan el trabajo de los profesionales en esta área. La formación es el elemento decisivo para la aplicación de cada una de estas estrategias.

Diplomado en Risk Manager

La Gestión de Riesgos moderna incorpora técnicas, conceptos y herramientas de análisis y evaluación modernas, basadas en la tecnología y en la globalización. El Diplomado Risk Manager es un programa de formación que, además de poner todo esto en manos de los estudiantes, los contacta con docentes y profesionales en todo el mundo, entregando así una visión avanzada de la Gestión actual.

Este Diplomado forma profesionales expertos en Gestión de Riesgos. Pero también auditores certificados de Sistemas de Gestión de Riesgos. Es una oportunidad para impulsar sin límites tu carrera hacia el futuro. Aprovéchala ahora.

La entrada Reducción de riesgos empresariales: 4 estrategias para minimizar las amenazas se publicó primero en Escuela Europea de Excelencia.