Cómo crear un proceso de evaluación de riesgos
Cómo diseñar un proceso de evaluación de riesgos: acuerda criterios y apetito antes de puntuar, describe cada riesgo como causa, evento y consecuencia, puntúa inherente y residual, y aprueba la aceptación.
Cómo funciona
Escribe las escalas y el apetito de riesgo
Define los niveles de probabilidad e impacto en términos concretos —dinero, parada de servicio, daño, consecuencia regulatoria— y declara el umbral por encima del cual un riesgo debe tratarse en lugar de aceptarse. Los criterios guardados en un documento de política se recuerdan de forma aproximada, y así es como dos evaluadores llegan a puntuaciones distintas con hechos idénticos.
Identifica con quien hace el trabajo
Haz la identificación como actividad de grupo con personal operativo, complementada con el histórico de incidencias y auditorías. La identificación hecha en solitario en una mesa se pierde los riesgos que solo ven quienes ejecutan, y ninguna puntuación cuidadosa posterior compensa un riesgo que nunca llegó a escribirse.
Impón el formato causa, evento y consecuencia
Reescribe cada entrada como «X podría provocar Y, con el resultado Z». La mayoría de los registros encogen al hacerlo, porque varias entradas resultan ser el mismo riesgo descrito desde ángulos distintos, y las que sobreviven se vuelven evaluables.
Puntúa el riesgo inherente antes de acreditar los controles
Mantén las dos puntuaciones como pasos separados. Después valora por separado el diseño y la eficacia operativa de los controles, porque un control bien diseñado que nadie ejecuta no vale nada y un registro que asume lo contrario es optimista de una forma que no se ve.
Fija el nivel de aprobación de la aceptación
Escribe quién puede aceptar un riesgo en cada banda de puntuación y exige que la aceptación quede registrada contra un nombre. Esta sola regla es lo que impide que el registro se llene de riesgos aceptados por defecto porque nadie tuvo tiempo de tratarlos.
Da a cada entrada un propietario y un disparador de revisión
Un propietario del riesgo con nombre —no un departamento— y una fecha de revisión en la entrada, más disparadores por evento: una incidencia, un cambio de proveedor, un sistema nuevo, un hallazgo de auditoría. Un registro que solo se revisa una vez al año describe el año pasado.
Preguntas frecuentes
¿Cuáles son los pasos de un proceso de evaluación de riesgos?
Establecer el alcance y los criterios, identificar riesgos, describir cada uno como causa, evento y consecuencia, analizar probabilidad e impacto, evaluar la posición residual frente al apetito, seleccionar un tratamiento y asignar un propietario y una fecha de revisión. La norma ISO 31000 agrupa identificación, análisis y evaluación bajo «apreciación del riesgo», con el tratamiento a continuación. El orden es lo que hace comparables los resultados: criterios antes de puntuar, descripción antes de analizar y evaluación antes de que nadie proponga controles.
¿Qué diferencia hay entre riesgo inherente y riesgo residual?
El riesgo inherente es la exposición antes de acreditar los controles existentes; el residual es lo que queda después de ellos. Puntuar ambos hace visibles los controles: un riesgo con inherente alto y residual bajo está sujeto por algo muy concreto, y si ese algo es una comprobación manual que hace una sola persona, conviene saberlo antes de que se marche. Los registros que solo anotan la puntuación residual no pueden decirte qué controles sostienen la estructura.
¿Cuáles son las cuatro opciones de tratamiento del riesgo?
Reducir (añadir o reforzar controles), transferir (seguro, condiciones contractuales, externalización), evitar (parar o cambiar la actividad) y aceptar (asumirlo a sabiendas). Aceptar es una opción real y necesita un aprobador: la diferencia entre aceptar un riesgo e ignorarlo es una persona con nombre, con autoridad y con constancia de que lo decidió. Transferir es la opción más sobrevalorada, porque el seguro traslada la consecuencia económica y rara vez la operativa o la reputacional.
¿Con qué frecuencia hay que revisar los riesgos?
Con una cadencia fijada por la puntuación, más disparadores por evento. Anual es una base razonable para los riesgos de puntuación baja y trimestral para los que están cerca del umbral de apetito, pero los disparadores importan más: un proveedor nuevo, un cambio de sistema, una incidencia, un cambio regulatorio o un hallazgo de auditoría deberían adelantar la revisión de las entradas afectadas. Revisar solo por calendario significa que el registro es exacto el día en que se escribe y va a la deriva el resto del año.