Todo lo que necesitas saber de la norma ISO 31000

Norma ISO 31000

Es muy común en estos días hablar de riesgos en los diferentes sectores organizacionales, pero, su diseño e implementación tenían anteriormente una complejidad dependiendo las variaciones que día tras día surgían de acuerdo a los requerimientos normativos, clientes o procesos internos.

Y aunque inicialmente los riesgos tenían bastante mayor relevancia en el sector financiero, se fue diversificando en diferentes sectores como el de salud, manufactura, gobierno, transporte, tecnología, entre otros. Adoptando características específicas y que compartían principios fundamentales como su diseño, análisis, prevención y corrección, mejorando sustancialmente los procesos de gestión de los riesgos.

Teniendo en cuenta lo anterior y para estandarizar los procesos, la International Organization for Standardization (ISO) realiza el comité técnico (ISO/TC 262), donde diversos campos aportan ideas a nivel global para unificar criterios y de esta manera en el año 2005 desarrollar la norma ISO 31000.

Esta norma no se publica sino hasta el año 2009, con un diseño que le permitiese adaptarse fácilmente a cualquier tipo de organización. Por tanto, no existe un sector específico al cual se haya enfocado, sino que generaliza la gestión en todos los ámbitos organizacionales. Su última actualización y publicación se realizó en el año 2018.

¿Y por qué es tan valiosa la ISO 31000?

Hay que empezar comentando que esta norma no tiene un poder legal ni es regulada directamente sobre las organizaciones. Es decir, no es obligatoria. Pero quienes deciden implementarla, reconocen el impacto y sus valiosos beneficios en la cultura organizativa.

Y estas son algunas las razones o principios por lo que es tan valiosa su implementación:

1. Enfoque integral: Con la implementación de esta norma, las organizaciones pueden evaluar cualquier tipo de riesgo (Positivo o negativo) porque no solo únicamente evalúa pérdidas, también propende evaluar las oportunidades.
2. Adaptabilidad: Se puede adaptar a cualquier organización al proporcionarle un enfoque específico a sus requerimientos normativos. Incluso es de fácil integración con normas como 9001, 14001, entre otras.
3. Estructurada: Gestiona los riesgos de manera coherente e integral en todas y cada una de las operaciones de la organización.
4. Incluye partes interesadas: Ayuda a conocer la perspectiva y estado actual de las partes interesadas en el contexto relacionado a los riesgos inherentes con los que puedan estar asociados.
5. Promueve la mejora continua: Al ser este uno de sus principios fundamentales, su enfoque garantiza la gestión del cambio en la empresa. Evalúa sus amenazas y oportunidades potenciales. Además, al tener un seguimiento continuo, aprende de la experiencia identificando lo que funciona bien y lo que puede mejorar.
6. Optimiza los procesos: La ISO 31000 promueve que las organizaciones optimicen sus procesos de riesgos asegurando la utilización de los recursos de forma eficiente.
7. Es de reconocimiento global: Al ser norma internacional, su implementación genera competitividad y confianza en el mercado.
8. Facilita toma de decisiones: Al identificar los riesgos, evaluarlos y gestionarlos, la alta gerencia puede actuar en consecuencia, logrando disminuir las brechas hacia sus objetivos estratégicos.

¿Cómo garantizar una implementación exitosa?

Compromiso: Entendiendo estas ventajas organizativas y competitivas, el éxito de su implementación dependerá primero (como toda norma) del compromiso de la alta dirección. Y más concretamente a la asignación de recursos ya sean humanos, financieros y tecnológicos, pero, sobre todo, a la aceptación de los resultados como parte de aprendizaje y al compromiso con la ejecución de acciones de mitigación que las evaluaciones de los riesgos ameriten.

Contexto organizacional: Si la organización tomó la decisión de implementar la ISO 31000, se debe identificar el terreno. Es decir, definir los objetivos, incluir partes interesadas y evaluar las condiciones internas y externas que son clave en la evaluación de los riesgos y que influyen en la gestión.

Desarrollo del marco integral: Estructura un marco integral para que la gestión se alinee con los principios y se adapte a los requerimientos. Puede contemplar las políticas y procedimientos de la plataforma estratégica.

Aprendizaje: Capacitaciones al recurso y partes interesadas para que comprendan la importancia de la gestión y contribuyan en la implementación siendo conscientes de las ventajas que esto implica.

Gestión de los riesgos: Implementa ordenadamente una estructura que permita gestionar los riesgos mediante metodologías y herramientas ágiles de forma que tenga el control en todo momento. 

Las etapas de la ISO 3100

1. Identificación: Desarrolla un mecanismo para identificar los riesgos inherentes a cada proceso donde incluya las posibles causas, amenazas o vulnerabilidades.
2. Evaluación: Califica y cuantifica el estado actual de los riesgos sin ningún tipo de sesgo. Incluye la criticidad del impacto y la probabilidad de ocurrencia
3. Controle los riesgos: Implementa controles que mitiguen los riesgos identificados de acuerdo a la naturaleza del riesgo y teniendo en cuenta las causas.
4. Plan de tratamiento: Elabora un plan donde defina cómo abordará y gestionará los riesgos para reducir el impacto, eliminarlos o transferirlos. Debe tener en cuenta la evaluación de los controles para establecer cómo fortalecerlos.
5. Seguimiento continuo: El monitoreo constante es fundamental para evaluar la efectividad de los controles frente a los riesgos. Se valúa también los cambios en procesos y partes interesadas para redefinir estrategias que prevengan cualquier tipo de afectación de nuevos riesgos.

¿Cómo puedo apoyar mi gestión de riesgos?

En resumen, la norma ISO 31000 no es una herramienta ni metodología propiamente dicha y su implementación no es obligatoria. Es un marco o guía que provee a las organizaciones de unos principios y fundamentos para que implementen estrategias y metodologías para abordar la gestión de riesgos. Está diseñada para que sea implementada por cualquier tipo de organización e integrable con diversas normas de mejora continua. Con su implementación, las organizaciones buscan prevenir y/o minimizar los impactos de posibles materializaciones de riesgos, generando así, confianza en sus procesos y terceros para ser sostenibles en el mercado.

Además de los criterios anteriormente mencionados, puede implementar auditorías internas y externas, fomentar la mejora continua y ajustar el enfoque hacia los resultados. Además, incluya herramientas de tecnología como ISOTools que aportaran dinamismo a la gestión, alertas automatizadas, graficas estadísticas e informes personalizados para una toma de decisiones basadas en datos en tiempo real.