Diagrama de flujo del proceso de evaluación de riesgos

¿Qué es diagrama de flujo del proceso de evaluación de riesgos?

La evaluación de riesgos se tuerce siempre en el mismo sitio. No en la puntuación, que es lo que preocupa a todo el mundo, sino antes: nunca se acordaron los criterios ni el apetito de riesgo, así que dos evaluadores puntúan la misma exposición de forma distinta y el registro acaba siendo una colección de opiniones en vez de una lista priorizada. Decidir primero las escalas y el umbral es lo que hace comparable todo lo que viene después.

El segundo fallo es tratar la identificación como un trámite. Un riesgo escrito como «fallo del proveedor» no se puede evaluar, porque no nombra ni la causa ni la consecuencia, y la evaluación que sigue es en realidad una discusión sobre qué quería decir esa frase. Causa, evento y consecuencia es el mínimo que hace evaluable un enunciado de riesgo, y por eso este proceso separa describir un riesgo de puntuarlo.

El diagrama de abajo va de un disparador a una entrada del registro bajo seguimiento, en cinco carriles y cinco fases. Conserva las dos estructuras que la mayoría de los procedimientos de riesgo dejan implícitas: el riesgo inherente puntuado aparte del residual, para que la aportación de los controles existentes se vea en lugar de darse por supuesta, y la aceptación dibujada como una decisión con un nivel de aprobación, y no como lo que pasa cuando nadie hace nada.

Qué cubre este diagrama de flujo

En esta plantilla

• Cinco carriles (Responsable del proceso, Propietario del riesgo, Gestor de riesgos, Expertos en la materia y Comité de riesgos) repartidos en cinco fases: Alcance y contexto, Identificación, Análisis y evaluación, Tratamiento, y Seguimiento y revisión.
• El alcance y los criterios fijados antes de puntuar ningún riesgo: qué entra en el alcance, las escalas de probabilidad e impacto, y el umbral de apetito por encima del cual un riesgo no se puede simplemente asumir.
• Identificación con las personas que hacen el trabajo, entrada en el registro de riesgos, una comprobación de duplicados que fusiona en lugar de contar dos veces, y la descripción de causa, evento y consecuencia antes de empezar a puntuar.
• Puntuación del riesgo inherente, después una evaluación explícita del diseño y la eficacia operativa de los controles existentes, y después la decisión «¿Riesgo residual dentro del apetito?», de modo que a los controles solo se les reconoce lo que de verdad hacen.
• Una decisión de tratamiento con cuatro salidas (reducir, transferir, evitar y aceptar) donde la aceptación pasa por una aprobación al nivel adecuado en vez de quedarse como el resultado por defecto.
• El bucle de cierre: una reevaluación tras el tratamiento que vuelve a la decisión de tratamiento cuando el riesgo residual sigue siendo demasiado alto, y después un propietario del riesgo con nombre y una fecha de revisión antes de que la entrada quede bajo seguimiento.

Cuándo usar esta plantilla

• Estás escribiendo o revisando un procedimiento de gestión de riesgos y necesitas una imagen de quién identifica, quién puntúa, quién trata y quién acepta.
• Las puntuaciones cambian según quién dirigió el taller, y necesitas que los criterios y el umbral de apetito se apliquen igual cada vez.
• Un auditor o un organismo de certificación ha preguntado cómo se identifican, evalúan y tratan los riesgos, y necesitas un proceso documentado y no una hoja de cálculo con puntuaciones.
• Tu registro de riesgos tiene entradas sin propietario y sin fecha de revisión, y necesitas que el proceso termine en ambas cosas.
• Estás introduciendo el pensamiento basado en riesgos para ISO 9001, ISO 27001 o ISO 31000 y quieres acordar el ciclo de evaluación antes de poblar el registro.

Cómo funciona

1. Renombra los carriles según tu gobierno

   Sustituye Responsable del proceso, Propietario del riesgo, Gestor de riesgos, Expertos en la materia y Comité de riesgos por los roles que tengas. En organizaciones pequeñas el gestor de riesgos y el comité son el mismo foro, y fusionarlos es más honesto que dejar un carril que se reúne una vez al año. Mantén al propietario del riesgo separado del gestor: uno carga con el riesgo, el otro conduce el proceso.

2. Escribe tus escalas y tu apetito en el paso de criterios

   Rellena las definiciones de probabilidad e impacto que usas de verdad, incluido qué significa cada nivel en dinero, tiempo o daño, y declara el umbral por encima del cual un riesgo debe tratarse en vez de aceptarse. Los criterios que viven en una política aparte se aproximan de memoria, que es el mecanismo por el que dos evaluadores llegan a puntuaciones distintas con los mismos hechos.

3. Fija el método de identificación y quién participa

   Decide cómo afloran los riesgos (taller, entrevistas, una lista de comprobación, el histórico de incidentes y auditorías) y quién tiene que estar en la sala. La identificación hecha por una sola persona en su mesa se pierde los riesgos que solo ven quienes hacen el trabajo, y ninguna puntuación cuidadosa posterior compensa un riesgo que nadie escribió.

4. Puntúa el riesgo inherente antes de reconocer los controles

   Mantén el inherente y el residual como pasos separados, como hace el diagrama. Puntuar solo la posición residual esconde cuánto de tu margen de seguridad depende de un único control, y deja el registro inservible en cuanto ese control cambia. Valora por separado el diseño y la eficacia operativa: un control bien diseñado que nadie ejecuta no vale nada.

5. Nombra el nivel de aprobación para aceptar un riesgo

   La aceptación es un tratamiento legítimo y el más abusado, porque también es lo que ocurre cuando nadie actúa. Escribe quién puede aceptar un riesgo en cada tramo de puntuación y exige que la aceptación quede registrada con un nombre. Esa sola regla es lo que impide que el registro se llene de riesgos aceptados por omisión.

6. Fija los disparadores de revisión y versiona el diagrama

   Elige una cadencia de revisión por tramo de puntuación y añade disparadores por evento: un incidente, un cambio de proveedor, un sistema nuevo, un hallazgo de auditoría. Anota la fecha de revisión en la entrada del registro y no en la agenda de alguien. Mantén el propio diagrama bajo control de versiones y recoge su aprobación, para que evaluadores y revisores trabajen con el mismo método acordado.

Preguntas frecuentes

¿Cuáles son los pasos de un proceso de evaluación de riesgos?

Establecer el alcance y los criterios, identificar los riesgos, describir cada uno como causa, evento y consecuencia, analizar probabilidad e impacto, evaluar la posición residual frente a tu apetito, elegir un tratamiento y fijar un propietario y una fecha de revisión. ISO 31000 agrupa los tres pasos centrales como apreciación del riesgo (identificación, análisis y evaluación) con el tratamiento a continuación. El orden es lo que hace comparables los resultados: criterios antes de puntuar, descripción antes de analizar, y evaluación antes de que nadie empiece a proponer controles.

¿Qué diferencia hay entre riesgo inherente y riesgo residual?

El riesgo inherente es la exposición antes de reconocer los controles existentes; el residual es lo que queda después de ellos. Puntuar ambos es lo que hace visibles los controles: un riesgo con inherente alto y residual bajo está sujeto por algo, y si ese algo es una única comprobación manual que hace una sola persona, conviene saberlo. Los registros que solo anotan la puntuación residual resultan tranquilizadores y no te dicen qué controles son los que aguantan el peso.

¿Cuáles son las cuatro opciones de tratamiento del riesgo?

Reducir (añadir o reforzar controles), transferir (seguro, condiciones contractuales, externalización), evitar (detener o cambiar la actividad) y aceptar (asumir el riesgo conscientemente). Aceptar es una opción real y necesita un aprobador: la diferencia entre aceptar un riesgo e ignorarlo es una persona con nombre y autoridad para cargar con él, y un registro de que lo hizo. Transferir es la opción que más se sobrevalora: el seguro traslada la consecuencia económica, rara vez la operativa o la reputacional.

¿Cada cuánto debe revisarse una evaluación de riesgos?

Con una cadencia fijada por la puntuación, más disparadores por evento. Anual es una base habitual para los riesgos de puntuación baja; trimestral o más a menudo para los que están cerca del umbral de apetito. Los disparadores importan más que el calendario: un proveedor nuevo, un cambio de sistema, un incidente, un cambio normativo o un hallazgo de auditoría deberían adelantar la revisión de las entradas afectadas. Un registro que solo se revisa según calendario es exacto el día en que se escribe y va derivando en silencio el resto del año.