La norma ISO 31000 es la norma internacional de referencia para la gestión de riesgos.

Establece los principios, el marco y el proceso para la gestión de riesgos en cualquier tipo de organización, incluyendo empresas, gobiernos y organizaciones sin fines de lucro.

La norma ISO 31000 tiene como objetivo ayudar a las organizaciones a identificar, evaluar y gestionar los riesgos a los que se enfrentan, con el fin de proteger su reputación, sus activos, sus empleados y sus clientes. La gestión de riesgos es un proceso continuo que involucra la identificación, evaluación y mitigación de los riesgos.

La norma ISO 31000 se basa en los siguientes principios:

1. Integración: la gestión de riesgos debe ser un proceso integrado en todas las actividades de la organización.

2. Estructura: la gestión de riesgos debe ser estructurada y sistemática.

3. Personalización: la gestión de riesgos debe ser adaptada a las necesidades y objetivos de la organización.

4. Inclusión: la gestión de riesgos debe involucrar a todas las partes interesadas relevantes en la organización.

5. Evaluación continua: la gestión de riesgos debe ser un proceso continuo que se evalúa y mejora regularmente.

La norma ISO 31000 establece un marco para la gestión de riesgos que se compone de los siguientes elementos:

1. Contexto: identificación del contexto y establecimiento del marco de gestión de riesgos.

2. Evaluación de riesgos: identificación, análisis y evaluación de riesgos.

3. Tratamiento de riesgos: selección y aplicación de medidas para modificar el riesgo.

4. Comunicación y consulta: intercambio de información y consulta con las partes interesadas relevantes.

5. Monitoreo y revisión: monitoreo y revisión continua del marco de gestión de riesgos.

La aplicación de la norma ISO 31000 puede ayudar a las organizaciones a tomar decisiones más informadas, a reducir la incertidumbre y a proteger su reputación y activos a largo plazo.

La gestión de riesgos en sistemas ISO/IATF resulta un paso adelante en la comprensión de los sistemas, no solo como entes aislados de un contexto que pude presentar riesgos a la operación.

Es difícil para las organizaciones trascender el deseo de «simplemente hacerlo como siempre lo hemos hecho». Muchas organizaciones todavía dependen de métodos informales y no estructurados. Además, existen amplias variaciones en los enfoques para la gestión de decisiones, sistemas y herramientas.

Hoy en día, lograr el éxito de la organización se ha vuelto más complejo en casi todas las industrias y sectores. Los gerentes enfrentan desafíos como cumplir sus metas a tiempo y dentro del presupuesto, distribuir los fondos de manera eficiente y equitativa y desarrollar programas o proyectos de manera que protejan los entornos físicos y sociales.

El éxito de la organización se logra al tomar buenas decisiones basadas con una plataforma de políticas y procedimientos sólidos que abordan la gestión y ejecución de las acciones cotidianas de la empresa. Los impulsores clave para lograr esto son la identificación de prioridades, la obtención de recursos, la entrega del programa y la calendarización realista.

Para un enfoque más estructurado para la toma de decisiones, las organizaciones deben considerar el proceso de toma de decisiones basado en riesgos (TDBR).

Definiendo riesgo

El riesgo es la combinación de la frecuencia (f) y la consecuencia (c), que a menudo se expresan como un producto (f x c).

La frecuencia de un riesgo a menudo se expresa como eventos por año. Pero hay otras bases utilizadas para expresar la frecuencia de un evento, como eventos por tonelada de material movido o defectos por artículo producido. Si han ocurrido muchos eventos, la frecuencia puede determinarse a partir de datos pasados. Sin embargo, las organizaciones generalmente se enfocan en resultados no deseados con graves consecuencias y, por lo general, no tienen muchos datos registrados sobre dichos resultados. Para estos eventos, la frecuencia se puede calcular mediante el uso de modelos de evaluación de riesgos, como árboles de fallas o árboles de eventos.

La consecuencia se mide por la magnitud de sus efectos. La consecuencia puede expresarse como el número de personas heridas, el área afectada, la duración de un corte, la demora en una misión, la pérdida de dinero. Si se han producido muchos eventos, se pueden estimar las consecuencias utilizando datos históricos de eventos similares. Para eventos raros, se puede usar un modelado detallado de los efectos de un evento, como los resultados de incendios, explosiones o emisiones de gases tóxicos.

El uso de Frecuencia x Consecuencia para calcular el riesgo de un resultado no deseado le permite comparar los riesgos y potenciales de diferentes operaciones para los resultados no deseados. Esta comparación también le permite darle una mayor prioridad al riesgo si conduce a eventos de alta consecuencia.

Por ejemplo, el resultado no deseado A tiene una frecuencia de una ocurrencia en 100 años y una consecuencia financiera de $ 10,000. El resultado no deseado B tiene una frecuencia de una ocurrencia en 10,000 años y una consecuencia de $ 1 millón. El riesgo de cualquiera de los resultados no deseados es de $ 100 por año, pero podría estar más preocupado por el resultado no deseado B en función de la gravedad de su consecuencia. De esta forma siempre se sugiere colocar más elementos que ayuden a una organización gestionar de mejor manera sus riesgos, solo con frecuencia y consecuencia no se está abordando de manera amplia y completa las situaciones para tomar decisiones de mitigación.

Conclusión

Cualquier operación tiene riesgo. Una vez que se conocen estos riesgos, puede tomar medidas para reducirlos o eliminarlos. Sin embargo, algunos riesgos simplemente se aceptan como un costo de hacer negocios. Los riesgos restantes, conocidos como riesgos residuales, deben compararse con los criterios de aceptación de riesgos de una organización.