METODOLOGIA DE GESTION DE RIESGOS por Gustavo Ramos

Metodología de Gestión de Riesgos Gustavo Ramos D. – Consultoría en Gestión de Procesos El Proceso de Gestión de Riesgos La Gestión de Riesgos es un proceso estructurado, sistemático y continuo implementado en toda la organización para identificar, evaluar, medir y reportar amenazas y oportunidades que puedan afectar el logro de sus objetivos. Este proceso considera la participación de todos los miembros de la organización en el aseguramiento de sus riesgos, recayendo sobre las Gerencias la responsabilidad principal del mismo. ISO 31.000 Según explicó Kevin W. Knight, quien estuvo a cargo del grupo de trabajo de 150 personas que desarrolló este estándar, "Todas las organizaciones, no importa si son grandes o pequeñas, se enfrentan a factores internos y externos que le quitan certeza a la posibilidad de alcanzar sus objetivos. Este efecto de falta de certeza es el "riesgo" y es inherente a todas las actividades." La nueva norma, denominada ISO 31000:2009, Risk management - Principies and guidelines, de la International Organization for Standardization (ISO) tiene como objetivo ayudar a las organizaciones de todo tipo y tamaño a gestionar el riesgo con efectividad. Si bien todas las organizaciones gestionan el riesgo en cierta medida, la norma ISO 31000:2009 establece una serie de principios que deben ser satisfechos para hacer una gestión eficaz del riesgo. Esta Norma Internacional recomienda que las organizaciones desarrollen, implementen y mejoren continuamente un marco de trabajo o estructura de soporte (framework) cuyo objetivo es integrar el proceso de gestión de riesgos en el gobierno corporativo de la organización, planificación y estrategia, gestión, procesos de información, políticas, valores y cultura. La norma ISO 31000:2009 puede ser utilizada por cualquier entidad pública, privada, organización sin fines de lucro, asociación, grupo o individuo. Además, la ISO 31000:2009 no es específica a alguna industria o sector. La norma ISO 31000:2009 se puede aplicar a cualquier tipo de riesgo, cualquiera sea su naturaleza, causa u origen, tanto que sus consecuencias sean positivas como negativas para la organización. El nuevo estándar ISO provee de los principios, el marco de trabajo (framework) y un proceso destinado a gestionar cualquier tipo de riesgo en una manera transparente, sistemática y creíble dentro de cualquier alcance o contexto.

Gestión de Riesgos

Página 1

Metodología de Gestión de Riesgos Gustavo Ramos D. – Consultoría en Gestión de Procesos Fases El Proceso de Gestión de Riesgos se compone de las siguientes siete fases: 1. 2. 3. 4. 5. 6. 7.

Fase de Establecimiento del Contexto Fase de Identificación de los Riesgos y Oportunidades Fase de Análisis de los Riesgos Fase de Evaluación de los Riesgos Fase Plan de Tratamiento de Riesgos Fase de Seguimiento y Monitoreo Fase de Comunicación y Consulta

La siguiente figura presenta en forma esquemática las fases consideradas en la gestión de riesgo:

Gestión de Riesgos

Página 2

Metodología de Gestión de Riesgos Gustavo Ramos D. – Consultoría en Gestión de Procesos Fase de Establecimiento del Contexto Consiste en determinar los contextos estratégicos, organizacionales y de gestión en los que tendrá lugar el Proceso de Gestión de Riesgos. Para ello, deben establecerse los criterios de evaluación de riesgos y definirse la estructura de análisis, roles y responsabilidades. Fase de Identificación de los Riesgos y Oportunidades Consiste en identificar los riesgos que podrían impedir, o retardar el cumplimiento de los objetivos estratégicos y operativos de la organización, así como las oportunidades que puedan contribuir al logro de los mismos. Fase de Análisis de los Riesgos Consiste en el desarrollo de un análisis que debe considerar las probabilidades y consecuencias potenciales de la materialización de los riesgos (impacto), para efecto de determinar el nivel de severidad del riesgo según la definición de la organización. Adicionalmente, se deben identificar y analizar los controles mitigantes existentes. Una vez establecidas todas las actividades, se deben identificar las fuentes o factores que intervienen en la manifestación del riesgo y su severidad, es decir los llamados “factores de riesgo” o “riesgos inherentes”. El riesgo inherente es intrínseco a toda actividad, surge de la exposición y la incertidumbre de probables eventos o cambios en las condiciones del negocio o de la economía que puedan impactar una actividad. Los factores o riesgos inherentes pueden no tener el mismo impacto sobre el riesgo agregado, siendo algunos más relevantes que otros, por lo que surge la necesidad de ponderar y priorizar los riesgos primarios. Fase de Evaluación de los Riesgos Consiste en comparar los niveles de riesgo detectados con los criterios de riesgo preestablecidos. Además, se deben ordenar y priorizar, mediante un ranking, los riesgos analizados. En esta fase se determina la “probabilidad” de que el riesgo ocurra y luego un cálculo de los efectos potenciales sobre el capital o las utilidades de la entidad. La valorización del riesgo implica un análisis conjunto de la probabilidad de ocurrencia y el efecto en los resultados; puede efectuarse en términos cualitativos o cuantitativos, dependiendo de la importancia o disponibilidad de información; en términos de costo y complejidad la evaluación cualitativa es la más sencilla y económica.

Gestión de Riesgos

Página 3

Metodología de Gestión de Riesgos Gustavo Ramos D. – Consultoría en Gestión de Procesos TABLA 1 - A PROBABILIDAD DE QUE OCURRA EL(LOS) RIESGOS(S) IDENTIFICADO(S) Clasificación

Probabilidad de ocurrencia

Puntaje

BAJA

El riesgo/incidente potencial se ha presentado una vez o nunca en el área, en el período de un año.

3

MEDIA

El riesgo/incidente potencial se ha presentado 2 a 11 veces en el área, en el período de un año.

5

ALTA

El riesgo/incidente potencial se ha presentado 12 o más veces en el área, en el período de un año.

9

TABLA 1 - B PROBABILIDAD DE QUE OCURRA EL(LOS) RIESGOS(S) IDENTIFICADO(S) Probabilidad de ocurrencia

Puntaje

MUY IMPROBABLE

1

IMPROBABLE

2

MODERADO

3

PROBABLE

4

CERTEZA

5

Gestión de Riesgos

Página 4

Metodología de Gestión de Riesgos Gustavo Ramos D. – Consultoría en Gestión de Procesos TABLA 2 SEVERIDAD Clasificación

Severidad o Gravedad

Puntaje

LEVE

IMPACTO < X UF

4

MODERADO

UF X =< IMPACTO =< XX UF

6

ALTO

UF XY =< IMPACTO =< XZ UF

8

EXTREMO

IMPACTO > XZ UF

10

La valorización consiste en asignar a los riesgos calificaciones dentro de un rango, que podría ser por ejemplo de 1 a 5 (insignificante, baja, media, moderada o alta), dependiendo de la combinación entre impacto y probabilidad. En la siguiente gráfica se puede observar un ejemplo de esquema de valorización de riesgo en función de la probabilidad e impacto de tipo numérico con escala: Tabla 3: Evaluación y Clasificación del Riesgo Severidad LIGERAMENTE DAÑINO (4)

DAÑINO (6)

EXTREMADAMENTE DAÑINO (8)

12 a 20 Riesgo Bajo 12 a 20 Riesgo Bajo

12 a 20 Riesgo Bajo 24 a 36 Riesgo Moderado

24 a 36 Riesgo Moderado

24 a 36 Riesgo Moderado

40 a 54 Riesgo Importante

Probabilidad BAJA (3) MEDIA (5) ALTA (9)

Gestión de Riesgos

40 a 54 Riesgo Importante 60 a 72 Riesgo Crítico

Página 5

Metodología de Gestión de Riesgos Gustavo Ramos D. – Consultoría en Gestión de Procesos TABLA 3 – MATRIZ DE RIESGO

La matriz de riesgo es una herramienta de control y de gestión normalmente utilizada para identificar las actividades (procesos, proyectos o productos) más importantes de una empresa, el tipo y nivel de riesgos inherentes a estas actividades y los factores exógenos y endógenos relacionados con estos riesgos (factores de riesgo). Igualmente, una matriz de riesgo permite evaluar la efectividad de una adecuada gestión y administración de los riesgos que pudieran impactar los resultados y por ende al logro de los objetivos de una organización. La matriz debe ser una herramienta flexible que documente los procesos y evalúe de manera integral el riesgo de una institución, a partir de los cuales se realiza un diagnóstico objetivo de la situación global de riesgo de una entidad. Exige la participación activa de las unidades de negocios, operativas y funcionales en la definición de la estrategia institucional de riesgo de la empresa. Una efectiva matriz de riesgo permite hacer comparaciones objetivas entre proyectos, áreas, productos, procesos o actividades. Todo ello constituye un soporte conceptual y funcional de un efectivo Sistema Integral de Gestión de Riesgo.

Gestión de Riesgos

Página 6

Metodología de Gestión de Riesgos Gustavo Ramos D. – Consultoría en Gestión de Procesos Fase Plan de Tratamiento de Riesgos Consiste en definir el tratamiento y/o monitoreo, de los riesgos de acuerdo al ranking y al nivel de riesgo preestablecido por la organización, desarrollando e implementando estrategias y planes de acción específicos que mantengan el riesgo dentro de los niveles aceptados por la organización. Una vez que los riesgos han sido valorizados se procede a evaluar la “calidad de la gestión”, a fin de determinar cuán eficaces son los controles establecidos por la empresa para mitigar los riesgos identificados. En la medida que los controles sean más eficientes y la gestión de riesgos pro-activa, el indicador de riesgo inherente neto tiende a disminuir. Por ejemplo una escala de valoración de efectividad de los controles podría ajustarse a un rango similar al siguiente:

Riesgo Residual Finalmente, se calcula el “riesgo neto o residual”, que resulta de la relación entre el grado de manifestación de los riesgos inherentes y la gestión de mitigación de riesgos establecida por la administración. A partir del análisis y determinación del riesgo residual los administradores pueden tomar decisiones como la de continuar o abandonar la actividad dependiendo del nivel de riesgos; fortalecer controles o implantar nuevos controles; o finalmente, podrían tomar posiciones de cobertura, contratando por ejemplo pólizas de seguro. Esta decisión está delimitada a un análisis de costo beneficio y riesgo. En el siguiente cuadro se muestra un ejemplo para calcular el riesgo neto o residual utilizando escalas numéricas de posición de riesgo:

Gestión de Riesgos

Página 7

Metodología de Gestión de Riesgos Gustavo Ramos D. – Consultoría en Gestión de Procesos

Fase de Seguimiento y Monitoreo Consiste en definir y utilizar mecanismos para monitorear y revisar el desempeño del Proceso de Gestión de Riesgos, dando cuenta de la evolución del nivel del riesgo en procesos críticos para la administración. Fase de Comunicación y Consulta Consiste en definir y utilizar mecanismos para comunicar y consultar a los interesados, internos y externos a la organización, los resultados de cada etapa del Proceso de Gestión de Riesgos, con el objetivo de permitir la adopción oportuna de decisiones respecto de los riesgos con mayores desviaciones en relación a los niveles aceptados.

Gestión de Riesgos

Página 8

Metodología de Gestión de Riesgos Gustavo Ramos D. – Consultoría en Gestión de Procesos Funciones y Roles Las funciones y roles de los principales actores en el proceso de gestión de riesgos al interior de las organizaciones, deben ser definidos desde los Directorios, con apoyo del Consejo de Auditoría/Riesgo. Destacan entre los actores de este proceso las áreas de Auditoría, las Gerencias de línea, los Comités de Riesgos, los Encargados de Riesgos y los Asesores/Auditores Externos.

Plan de Entregas

Gestión de Riesgos

Página 9