Un mapa aporta valor cuando orienta qué hacer, quién debe actuar y cómo comprobar si el control está funcionando.
Qué aporta ISO 31000
ISO 31000 ofrece directrices para gestionar el riesgo y puede orientar la integración del proceso en la organización. Es una referencia de directrices, no una norma de requisitos para certificar un sistema. El alcance y los criterios deben adaptarse a la empresa y al propósito de la decisión.
Cómo definir el riesgo con claridad
Describe un evento o situación, sus causas relevantes y sus consecuencias sobre un objetivo. Evita etiquetas demasiado amplias como “riesgo operativo” sin explicar qué podría ocurrir. Distingue el riesgo del problema que ya sucedió y del control que se propone aplicar.
Una secuencia útil para trabajar
- Define el objetivo, el alcance y el contexto.
- Acuerda criterios de análisis y aceptación.
- Identifica y analiza los riesgos con información disponible.
- Evalúa los controles y prioriza el tratamiento.
- Asigna acciones y revisa cambios, resultados y riesgos remanentes.
Cómo comprobar un control
Una descripción de control debe indicar quién actúa, qué hace, cuándo y con qué evidencia. Revisa tanto su diseño como su aplicación. Un control bien redactado que no se ejecuta no aporta la misma protección que uno operativo. Documenta la incertidumbre cuando falten datos para valorar el riesgo.
Ejemplo de aplicación
Para el riesgo de entregar pedidos fuera de plazo, “mejorar la comunicación” resulta difícil de comprobar. Un control más concreto puede definir la revisión diaria de pedidos críticos, el responsable de escalar desvíos y el registro de decisiones.
Preguntas frecuentes
¿Una matriz de colores es suficiente?
Los colores resumen una valoración. Deben respaldarse con criterios, información y decisiones de tratamiento que permitan entender y gestionar el riesgo.
¿Quién debe participar?
Conviene involucrar a quienes conocen el proceso y a quienes tienen autoridad para decidir sobre sus controles y recursos. La responsabilidad debe quedar definida.
Fuentes oficiales para consultar
Orientación general para preparar decisiones de gestión. La aplicabilidad debe verificarse con las fuentes oficiales y las condiciones de cada organización.