Diagrama de flujo del proceso de evaluación de riesgos
Diagrama del proceso de evaluación de riesgos: alcance y criterios, identificación, valoración de probabilidad e impacto, eficacia de los controles, las cuatro opciones de tratamiento y el ciclo de revisión.
Cómo funciona
Renombra los carriles según tu gobierno
Sustituye Responsable del proceso, Propietario del riesgo, Gestor de riesgos, Expertos en la materia y Comité de riesgos por los roles que tengas. En organizaciones pequeñas el gestor de riesgos y el comité son el mismo foro, y fusionarlos es más honesto que dejar un carril que se reúne una vez al año. Mantén al propietario del riesgo separado del gestor: uno carga con el riesgo, el otro conduce el proceso.
Escribe tus escalas y tu apetito en el paso de criterios
Rellena las definiciones de probabilidad e impacto que usas de verdad, incluido qué significa cada nivel en dinero, tiempo o daño, y declara el umbral por encima del cual un riesgo debe tratarse en vez de aceptarse. Los criterios que viven en una política aparte se aproximan de memoria, que es el mecanismo por el que dos evaluadores llegan a puntuaciones distintas con los mismos hechos.
Fija el método de identificación y quién participa
Decide cómo afloran los riesgos —taller, entrevistas, una lista de comprobación, el histórico de incidentes y auditorías— y quién tiene que estar en la sala. La identificación hecha por una sola persona en su mesa se pierde los riesgos que solo ven quienes hacen el trabajo, y ninguna puntuación cuidadosa posterior compensa un riesgo que nadie escribió.
Puntúa el riesgo inherente antes de reconocer los controles
Mantén el inherente y el residual como pasos separados, como hace el diagrama. Puntuar solo la posición residual esconde cuánto de tu margen de seguridad depende de un único control, y deja el registro inservible en cuanto ese control cambia. Valora por separado el diseño y la eficacia operativa: un control bien diseñado que nadie ejecuta no vale nada.
Nombra el nivel de aprobación para aceptar un riesgo
La aceptación es un tratamiento legítimo y el más abusado, porque también es lo que ocurre cuando nadie actúa. Escribe quién puede aceptar un riesgo en cada tramo de puntuación y exige que la aceptación quede registrada con un nombre. Esa sola regla es lo que impide que el registro se llene de riesgos aceptados por omisión.
Fija los disparadores de revisión y versiona el diagrama
Elige una cadencia de revisión por tramo de puntuación y añade disparadores por evento: un incidente, un cambio de proveedor, un sistema nuevo, un hallazgo de auditoría. Anota la fecha de revisión en la entrada del registro y no en la agenda de alguien. Mantén el propio diagrama bajo control de versiones y recoge su aprobación, para que evaluadores y revisores trabajen con el mismo método acordado.
Preguntas frecuentes
¿Cuáles son los pasos de un proceso de evaluación de riesgos?
Establecer el alcance y los criterios, identificar los riesgos, describir cada uno como causa, evento y consecuencia, analizar probabilidad e impacto, evaluar la posición residual frente a tu apetito, elegir un tratamiento y fijar un propietario y una fecha de revisión. ISO 31000 agrupa los tres pasos centrales como apreciación del riesgo —identificación, análisis y evaluación— con el tratamiento a continuación. El orden es lo que hace comparables los resultados: criterios antes de puntuar, descripción antes de analizar, y evaluación antes de que nadie empiece a proponer controles.
¿Qué diferencia hay entre riesgo inherente y riesgo residual?
El riesgo inherente es la exposición antes de reconocer los controles existentes; el residual es lo que queda después de ellos. Puntuar ambos es lo que hace visibles los controles: un riesgo con inherente alto y residual bajo está sujeto por algo, y si ese algo es una única comprobación manual que hace una sola persona, conviene saberlo. Los registros que solo anotan la puntuación residual resultan tranquilizadores y no te dicen qué controles son los que aguantan el peso.
¿Cuáles son las cuatro opciones de tratamiento del riesgo?
Reducir (añadir o reforzar controles), transferir (seguro, condiciones contractuales, externalización), evitar (detener o cambiar la actividad) y aceptar (asumir el riesgo conscientemente). Aceptar es una opción real y necesita un aprobador: la diferencia entre aceptar un riesgo e ignorarlo es una persona con nombre y autoridad para cargar con él, y un registro de que lo hizo. Transferir es la opción que más se sobrevalora: el seguro traslada la consecuencia económica, rara vez la operativa o la reputacional.
¿Cada cuánto debe revisarse una evaluación de riesgos?
Con una cadencia fijada por la puntuación, más disparadores por evento. Anual es una base habitual para los riesgos de puntuación baja; trimestral o más a menudo para los que están cerca del umbral de apetito. Los disparadores importan más que el calendario: un proveedor nuevo, un cambio de sistema, un incidente, un cambio normativo o un hallazgo de auditoría deberían adelantar la revisión de las entradas afectadas. Un registro que solo se revisa según calendario es exacto el día en que se escribe y va derivando en silencio el resto del año.