Procedimiento para la Gestión de Riesgos

Introducción

Según la ISO 31000 sobre gestión del
riesgo: " Las organizaciones de todo tipo y tamaño
enfrentan factores e influencias, internas y externas, que crean
incertidumbre sobre si ellas lograrán o no sus objetivos.
El efecto que esta incertidumbre tiene en los objetivos de una
organización es el "riesgo".

"Todas las actividades de una organización
implican riesgo. Las organizaciones gestionan el riesgo mediante
su identificación y análisis y luego evaluando si
el riesgo se debería modificar por medio del tratamiento
del riesgo con el fin de satisfacer los criterios del riesgo. A
través de este proceso, las organizaciones se comunican y
consultan con las partes involucradas, monitorean y revisan el
riesgo y los controles que lo están modificando con el fin
de garantizar que no se requiere tratamiento adicional del
riesgo".

Es importante insertar la gestión de riesgos
dentro de los procesos y en los procesos globales de estrategia y
planificación, de políticas, valores y cultura de
la organización.

En términos generales, la "gestión del
riesgo" se refiere a la arquitectura (principios, marco y
procesos) para la gestión eficaz del riesgo, mientras que
"gestionar el riesgo" se refiere a la aplicación de esa
arquitectura a riesgos particulares.

La gestión de riegos
permite:

• aumentar la probabilidad de alcanzar los
  objetivos;

• fomentar la gestión proactiva;

• ser consciente de la necesidad de identificar y
  tratar los riesgos en toda la organización;

• cumplir con los requisitos legales y reglamentarios
  pertinentes y con las normas internacionales;

• mejorar la confianza y honestidad de las partes
  involucradas,

• establecer una base confiable para la toma de
  decisiones y la planificación;

• mejorar los controles;

• asignar y usar eficazmente los recursos para el
  tratamiento del riesgo;

• mejorar la eficacia y la eficiencia
  operativa;

• incrementar el desempeño de la salud y la
  seguridad, así como la protección
  ambiental;

• mejorar la prevención de pérdidas y la
  gestión de incidentes;

• minimizar las pérdidas;

• mejorar el aprendizaje organizacional; y

• mejorar la flexibilidad organizacional.

Los principios que rigen la gestión de
riesgos son:

• Flexibilidad: Todo puede modificarse
  organizadamente, para lograr la mejora.

• Enfoque estratégico: Se parte de la
  determinación de los objetivos estratégicos y
  de las estrategias para lograr su cumplimiento.

• Proactividad: Prever los acontecimientos que pueden
  suceder y prepararse para enfrentarlos.

• Alineación con el marco regulatorio:
  Necesidad e importancia del conocimiento y control del
  cumplimiento de las leyes.

• Enfoque sistémico: Identificar, entender y
  gestionar los procesos interrelacionados como un
  sistema,

• Enfoque a la gestión: La organización
  enfocada a los resultados

Principales términos y definiciones a
tener en cuenta:

• Peligro: Circunstancia, evento o fenómeno,
  interno o externo que pudiera poner en situación de
  riesgo el cumplimiento de los objetivos.

• Riesgo: El efecto de la incertidumbre en el
  cumplimiento de los objetivos. Los riesgos son eventos
  futuros inciertos que podrían influir en el logro de
  los objetivos de una organización, incluyendo los
  objetivos estratégicos, de operación,
  financieros y de cumplimiento.

• Problema: deficiencia o incapacidad de la
  organización que la hace sensible al
  peligro.

• Manifestación: Impacto de la
  concreción del riesgo que lo hace
  perceptible

• Área: Nivel de la organización donde
  se concretan los procesos

• Vulnerabilidad: Exposición del sistema a los
  efectos del riesgo. Deficiencia o incapacidad de la
  organización que la hace sensible al
  peligro.

Elementos del riesgo

• Probabilidad – Frecuencia estimada o conocida, con
  la que podría ocurrir el hecho incierto.

• Impacto (consecuencia, severidad) – Resultado que el
  hecho incierto podría ocasionar.

Desarrollo

Objetivos del procedimiento

• Implementar un procedimiento para identificar,
  clasificar y gestionar los riesgos, que permita su
  mitigación o eliminación y el cumplimiento
  efectivo de los objetivos, que garanticen cumplir la
  misión y alcanzar la visión de cualquier etapa
  de un proyecto.

• Establecer los pasos a seguir para garantizar la
  gestión de riesgos

Entre las principales etapas del procedimiento
tenemos:

• 1. Exploración y ajuste

• 2. Identificación de riesgos

• 3. Evaluación de riesgos

• 4. Clasificación de riesgos

• 5. Análisis de condiciones

• 6. Definición de objetivos de
  control

• 7. Elaboración del plan de acciones de
  prevención y control de riesgos

• 8. Análisis de costo de
  prevención y control- pérdida
  estimada

• 9. Monitoreo de la eficacia del plan de
  prevención y control de riesgos.

• 1. Exploración y
  ajuste.

Durante esta etapa se realiza una primera
aproximación a la organización objeto de estudio
cuyo objetivo es sentar las bases para la efectiva
aplicación de la procedimiento.

Esta se realiza en dos momentos:

• Análisis de la organización: Se
  establecen los objetivos a alcanzar con el uso del
  procedimiento y se caracteriza la organización objeto
  de análisis: historia, misión, estructura,
  objetivos, marco regulatorio aplicable, entre
  otros.

• Ajuste del procedimiento a la organización. A
  partir de la información recopilada durante el
  análisis se procede a determinar el período de
  tiempo para el cual se determinarán los riesgos, y
  para clasificar la severidad cuantificable en base a la
  pérdida estimada, se definen los valores
  mínimos y máximos para lo cual se podrá
  utilizar la siguiente tabla. La severidad cuantificable y los
  máximos y mínimos dependen de las condiciones
  propias de la empresa y se definen por el grupo de trabajo
  atendiendo al capital de trabajo, o el monto de al
  inversión, entre otras.

Tabla 1

2. Identificación de riesgos.

La identificación de riesgos se define por cada
proceso, teniendo en cuenta los objetivos y las actividades
vinculadas a estos. Durante esta etapa se define:

• a. Los peligros que afectan el
  objetivo

• b. Problemas de la organización que la
  hacen vulnerable al peligro

• c. Los riesgos asociados a cada objetivo que
  pueden atentar contra su cumplimiento.

• d. Manifestaciones del riesgo

Para la identificación de los riesgos podemos
realizar los siguientes registros

Tabla 2

Para la identificación de riesgos, se
deben realizar varias acciones, que incluyen: la
definición del personal que va a formar parte del grupo de
trabajo, la elaboración de un cronograma de trabajo, que
debe tener como primer paso la capacitación del personal
que va a participar en la gestión de los riesgos y en el
conocimiento de esta procedimiento.

Entre las técnicas a utilizar por este
grupo de trabajo para la identificación de los riesgos
están: Tormenta de ideas, revisión de
documentación, identificación de causas mediante
diagramas, matriz DAFO, trabajo en grupo, lista de control y
entrevistas entre otras.

• 3. Evaluación del
  riesgo.

No es más que la valoración de la magnitud
del riesgo que acecha el cumplimiento de los objetivos de la
organización.

Para la evaluación de algunas de las variables se
utilizará un sistema de escala de 1 a 5 , que se
interpreta como sigue:

• 1. Mínimo

• 2. Bajo

• 3. Medio

• 4. Alto

• 5. Máximo

El objetivo de la evaluación de riesgos es tomar
decisiones, basadas en los resultados del análisis de
riesgo, acerca de los riesgos que requieren tratamiento y sus
prioridades. La evaluación de riesgo involucra comparar el
nivel de riesgo detectado durante el proceso de análisis
con los criterios de riesgo previamente establecidos.
Deberían considerarse los objetivos de la
organización y la gama de oportunidades que podrían
resultar del riesgo. Cuando deba realizarse una selección
entre distintas opciones, el mayor potencial de pérdidas
debería asociarse con los mayores beneficios potenciales y
la selección apropiada dependerá del contexto de la
organización.

Las decisiones deberían tomar en cuenta al amplio
contexto del riesgo e incluir consideraciones a la tolerancia a
los riesgos por parte de terceras partes distintas de la
organización que se benefician del mismo. Los riesgos
bajos y mínimos podrían ser aceptados con un
tratamiento futuro mínimo. Los mismos deberían ser
monitoreados y revisados periódicamente para asegurar que
se mantienen igual. Si los riesgos no son bajos o mínimos,
los mismos deberían ser tratados utilizando una o
más de las opciones. En algunas circunstancias, la
evaluación de riesgos podría conducir a la
decisión de llevar a cabo un mayor
análisis.

•  3.1 Cálculo de la
  severidad.

La severidad ( S) no es más que el nivel de
afectación máximo ante un peligro en un
período de tiempo y está compuesta por la severidad
cuantificable ( SC) y la severidad no cuantificable( SNC),
determinándose a través de la
expresión:

El peso específico de ambas severidades
está dado por la prioridad que le asigne la
organización a una u otra.

3.1.1. Cálculo de la Severidad
cuantificable.

La severidad cuantificable ( SC), expresa el nivel de
afectación máximo que pudiera ocasionar un peligro
en un período de tiempo. Para su cálculo se
necesita determinar la pérdida máxima (PM), la cual
está constituida por el costo asociado a los daños
máximos de un peligro(C) y la frecuencia (F) con la cual
pudiera presentarse este en el período objeto de
análisis. Ello se resume en la
expresión:

PM = C* F

Como es evidente, la pérdida estimada se expresa
en términos de unidades monetarias, sin embargo, la
severidad cuantificable se expresa en una escala de 1 a 5, donde
1 es la severidad mínima y 5 la máxima. Para la
conversión se emplearán los rangos establecidos en
la tabla 1.

3.1.2. Cálculo de la severidad no
cuantificable.

La severidad no cuantificable (SNC) se define como la
severidad que siendo de interés de la organización
es de difícil medición en unidades monetarias. Se
puede evaluar en una escala de 1 a 5, donde 1 representa la
mínima severidad y 5 la máxima.

Una vez determinadas ambas severidades se realiza la
suma ponderada que permite obtener la severidad del peligro, como
se determinó anteriormente.

3.2 Cálculo de la
vulnerabilidad

La vulnerabilidad representa cual sensible es la
organización al enfrentamiento del peligro, y está
muy ligada a las debilidades de esta y su magnitud está en
función también de las amenazas.

La vulnerabilidad (V) se determina a partir de tres
capacidades de la organización:

• Detección (D): Detectar oportunamente los
  peligros que pueden ponerla en situación de
  riesgos.

• Acción (A): Accionar efectivamente sobre los
  problemas.

• Recuperación (P): Recuperarse efectivamente
  de los efectos causados por la concreción de los
  riesgos, o sea las manifestaciones.

El cálculo de la vulnerabilidad se puede realizar
a través de la expresión:

V = 1/5 * ( 6- ( D + A + P) / 3
)

La vulnerabilidad se expresa en valores entre 0 y 1 para
que constituya un factor de mitigación de la severidad del
peligro. Donde 0 significa que ninguna vulnerabilidad al peligro
y 1 totalmente expuesto al peligro.

Se calcula a través de una media de los valores
de las capacidades, invirtiendo su sentido, ya que a mayor
capacidad menor vulnerabilidad, y convirtiendo la escala de 1 a 5
en una de 0 a 1.

En el caso de que para un mismo peligro existan varios
problemas o varias manifestaciones se propone la suma ponderada
de las capacidades respectivas por cada uno de los elementos. Por
ejemplo

3.3. Calculo del nivel de riesgos

El cálculo del nivel de riesgos (R) resulta el
último paso de la etapa de evaluación de los
riesgos y se realiza a partir de la relación entre
severidad (S) y vulnerabilidad (V) del peligro tal como se
muestra en la relación:

R = S * V R Con valores entre 0 –
5

Cuando existe más de un peligro asociado a un
riesgo entonces se aplica la suma ponderada de los S * V de cada
peligro, considerando como criterio el nivel de incidencia del
peligro en el riesgo.

• 4. Clasificación de los
  riesgos.

Los riesgos deben ser clasificados según su
origen en internos y externos. Además de esta se usa otra
clasificación según el nivel de riesgos
determinado.

El objetivo de esta etapa es establecer la prioridad en
el manejo del riesgo a partir de su clasificación. Para
ello se han establecido cinco niveles:

4-5 – Máximo

3-4 – Alto

2-3 – Medio

1-2 – Bajo

Luego de clasificados los riesgos se hace una
valoración general del estado actual de los riesgos.
Según el criterio de la organización pueden ser
descartados del análisis posterior los riesgos
mínimos y bajos, por considerarlos de poca
incidencia.

Existen diferentes tipos de riesgos, entre los
que se encuentran:

• Riesgos externos impredecibles

• Peligros naturales, como tormentas,
  inundaciones.

• Evento al azar, como sabotajes,
  vandalismos.

• Cambios reguladores, como standard de diseño,
  de producción, de ambiente

• Influencia del gobierno

• Riesgos externos predecibles

• Condiciones del mercado, como suministro, precio,
  demanda, competencia

• Condiciones operacionales, como gastos

• Fluctuaciones de moneda

• Tendencias inflacionarias

• Cambios en los impuestos

• Influencia cultural

• Condiciones de mercados para productos y
  servicios

• Condiciones ambientales

• Riesgos internos técnicos

• Condiciones heredadas

• Cambios en la tecnología

• Manejo inapropiado de nueva
  tecnología.

• Riesgos internos no
  técnicos

• Alcance pobre de definición y
  control

• Problemas de planificación

• Pobre trabajo en equipo

• Estimados y tiempos de duración no
  reales

• Retrasos en la aprobación de fondos y
  diseños

• Gerencia no efectiva de proyectos

• Recursos inadecuados

• Carencia de fondos propios

• Relaciones adversas

• Riegos de ejecución

• Condiciones ambientales

• Baja efectividad en la
  contratación

• Condiciones adversas de labor, costos y
  productividad

• Pobre relación con el proveedor.

• Riesgos legales

• Licencias patentes

• Riesgos contractuales

• Riesgos ambientales

5. Análisis de condiciones.

Se determinan las capacidades que con mayor frecuencia o
incidencia determinan las vulnerabilidades del sistema en general
y a partir de estas pueden definirse con mayor facilidad los
objetivos de control.

Para cada riesgo se determinará cuales son las
capacidades más afectadas, o sea las de menor valor. Los
resultados de este análisis constituyen la base del plan
de acciones de prevención y control de riesgos de forma
tal que las acciones de este estén encaminadas a resolver
las causas de las vulnerabilidades.

6. Definición de objetivos de
control.

Los objetivos de control son el resultado o
propósito que se desea alcanzar con la aplicación
de este procedimiento de control, los que deben verificar los
riesgos identificados y estar en función de la
política y estrategia de la organización. Estos
marcan las estrategias a seguir para minimizar uno o más
riesgos y deben estar enfocados en primer lugar a mitigar los
riesgos máximos y altos a través de la
acción sobre cualquiera de los elementos que integran el
nivel de riesgos, o sea ya sea minimizando la severidad, la
vulnerabilidad o ambas.

Elaboración del plan de acciones de
prevención y control de riesgos

Las acciones de prevención permiten actuar sobre
la detección del peligro y el accionar sobre los problemas
para disminuir la vulnerabilidad, pero se hace necesario incluir
acciones para corregir y recuperarse ante las manifestaciones de
peligros que no pueden ser evitados. Es por eso que en esta etapa
además de acciones de prevención se incluyen de
control de riesgos. Esto hace que el análisis de riesgo se
integre con las normas ISO 9000 de Gestión de la Calidad,
ISO 14000 de Gestión de Medio Ambiente, NC 18000 de
Seguridad y Salud en el Trabajo y NC 3000 de Gestión
Integrada de Capital Humano y el Sistema de Control interno que
establece la Resolución 60/11 de la contraloría
General de la República. O sea que el plan de
prevención de riesgos debe incluir también las
acciones para prepararnos contra fenómenos naturales y de
organización del trabajo, como la seguridad y salud en el
trabajo, entre otros.

A partir de de los resultados obtenidos en el
análisis de condiciones se procede a definir las medidas a
aplicar para reducir los problemas y / o las causas de las
vulnerabilidades y poder eliminar o mitigar los
riesgos.

Para una mejor elaboración del plan de
prevención de riesgos, se debe precisar los siguientes
términos:

• Posible manifestación negativa

Acción u omisión con o sin
intención, que cometida por un sujeto propio o ajeno a la
entidad, lesiona un punto vulnerable de la misma, constituyendo
en esencia el modo de operar, la forma mediante la cual se
expresa una indisciplina, ilegalidad o manifestación de
corrupción administrativa.

• Medidas a tomar en el Plan de Prevención de
  Riesgos

Acciones concertadas que se emprenden de forma colegiada
por la administración y el colectivo laboral, dirigidas a
eliminar o disminuir al máximo posible, las causas y
condiciones que propician la comisión de indisciplinas,
ilegalidades o manifestaciones de corrupción
administrativa. No deben reproducir funciones u orientaciones
metodológicas ya establecidas; cuando se identifiquen
peligros por el incumplimiento o violación de
éstas, las acciones deben estar dirigidas a su
verificación, comprobación y evaluación, con
métodos participativos. Las medidas no deben expresarse en
forma de aspiraciones o anhelos, sino en acciones concretas y
medibles, que respondan al cómo lograr lo plasmado con
anterioridad.

Tabla 4. Plan de prevención de riesgos

Finalmente, se debe incluir el presupuesto o costo
asociado para el cumplimiento de las medidas a
aplicar.

8. Análisis de costo de prevención y
pérdida estimada.

La perdida estimada puede hacerse:

PE por riesgo = CE * F

PE es pérdida estimada

CE costo estimado y se obtiene de la suma del costo de
todas las acciones asociadas a mitigarlo o eliminarlo y su
división entre la pérdida estimada de su
manifestación.

F frecuencia estimada de ocurrencia

Costo de prevención / pérdida estimada,
debe ser menor que 1.

En caso de que el costo de prevención sea mayor
que la pérdida estimada, queda a decisión de la
organización la eliminación del riesgo y se propone
entonces la reelaboración de las acciones de
prevención y los objetivos de control, en busca de
alternativas más económicas.

El consecuente análisis de beneficio-costo
ayuda a la toma de decisiones, en la cual se valoran y comparan
los costos, financieros y económicos, contra los
beneficios generados. Una medida de gestión de riesgos
será aceptada siempre que el beneficio valorado supere al
costo.

Monitoreo de la
eficacia del proceso de gestión de
riesgos

Es necesario monitorear la eficacia de todos los pasos
del proceso de gestión de riesgos. Este es un paso
importante para la mejora continua.

En resumen consideramos los riesgos como toda
posibilidad de ocurrencia de aquella situación que pueda
entorpecer el normal desarrollo de las funciones de la entidad y
le impidan el logro de sus objetivos, de aquí, la
importancia de esta herramienta que le permita a las empresas
hacer un manejo adecuado de los riesgos desde la
planeación y contribuir así al logro de los
objetivos.

Los riesgos y la eficacia de las medidas de tratamiento
necesitan ser monitoreados para asegurar que las circunstancias
cambiantes no alteren las prioridades.

La auto evaluación del control provee un medio
para la revisión continua de los riesgos y de sus
controles.

Es esencial la revisión sobre la marcha para
asegurar que el plan de gestión de riesgos se mantenga
relevante. Los factores que podrían afectar la
probabilidad y consecuencia de un resultado podrían
cambiar, como también los factores que afectan la
conveniencia o costo de las opciones de tratamiento. Es en
consecuencia necesario repetir el ciclo de gestión de
riesgos regularmente.

La revisión es una parte integral de los planes
de tratamiento de la gestión de riesgos. El progreso real
respecto de los planes de tratamiento de los riesgos provee una
medida importante de desempeño y deberían ser
incorporados en el sistema de información, medición
y administración de desempeño de la
organización.

Conclusiones

Este trabajo pretende establecer un procedimiento para
la determinación de los riesgos por objetivos, con el fin
de lograr la gestión de los riesgos que inciden sobre el
cumplimiento de los objetivos trazados y de la misión de
la organización.

Recomendaciones

La organización debe prepararse previamente en el
conocimiento de algunas técnicas de dirección
elementales como la definición de objetivos de trabajo, y
conceptos básicos como peligros, vulnerabilidades y
riesgos, entre otros.

Bibliografía

• 1. Resolución 60/2011 de la
  contraloría general de la República

• 2. NC ISO 9001: 2008 Sistema de Gestión
  de la Calidad

• 3. ISO 31000:2009 Gestión del
  riesgo.

Autor:

Clara Beatriz Bello Robaina