Los riesgos no existen en el vacío, sino que siempre están asociados a los objetivos que se buscan – todas las metodologías modernas definen a los riesgos como aquellos eventos potenciales que pueden generar incertidumbre o comprometer el logro de los objetivos.
Por ejemplo, si estamos analizando como objetivo la protección de materias primas en un depósito, uno de los riesgos que vamos a tener que considerar es el incendio, pero si el objetivo es prevenir el acceso no autorizado a la información en un servidor, este no será un evento que nos preocupe. Por lo tanto, incendio, así como cualquier otro evento o peligro, solamente se debe considerar como riesgo si puede afectar directamente el logro de alguno de los objetivos que forman parte del análisis.
Los riesgos no existen en el vacío, sino que siempre están asociados a los objetivos que se buscan – todas las metodologías modernas definen a los riesgos como aquellos eventos potenciales que pueden generar incertidumbre o comprometer el logro de los objetivos.
Por ejemplo, si estamos analizando como objetivo la protección de materias primas en un depósito, uno de los riesgos que vamos a tener que considerar es el incendio, pero si el objetivo es prevenir el acceso no autorizado a la información en un servidor, este no será un evento que nos preocupe. Por lo tanto, incendio, así como cualquier otro evento o peligro, solamente se debe considerar como riesgo si puede afectar directamente el logro de alguno de los objetivos que forman parte del análisis.
Cualquier evaluación de riesgos en RiskScribe se inicia con la definición de objetivos.
En todo momento durante el uso de la plataforma y en cualquier informe generado, nunca se presenta un riesgo sin asociarlo a su objetivo correspondiente.
El primer paso de cualquier evaluación de riesgos es identificar los riesgos relevantes para los objetivos que se hayan definido.
Pueden usarse múltiples técnicas, pero en última instancia las dos fuentes más confiables típicamente serán las propias personas que ejecutan procesos o tareas vinculadas con los objetivos y marcos o guías prácticas referidas específicamente a dichos objetivos.
El primer paso de cualquier evaluación de riesgos es identificar los riesgos relevantes para los objetivos que se hayan definido.
Pueden usarse múltiples técnicas, pero en última instancia las dos fuentes más confiables típicamente serán las propias personas que ejecutan procesos o tareas vinculadas con los objetivos y marcos o guías prácticas referidas específicamente a dichos objetivos.
Esta etapa suele ser de las más difíciles especialmente cuándo recién se están implementando prácticas de Gestión de Riesgos o se está intentando diseminar las mismas por toda la organización. Más allá de la capacitación que se pueda haber recibido, la primera vez que se le solicita al responsable de un proceso o de un equipo de trabajo que identifique los riesgos para sus objetivos, la página en blanco suele ser bastante intimidante y una barrera relevante para el proceso.
RiskScribe provee tres elementos centrales para eliminar este problema:
Una vez se cuenta con una lista razonable de riesgos, el siguiente paso es evaluar cada uno de los mismos. Naturalmente, no todos los riesgos van a generar el mismo grado de preocupación y lo fundamental es poder identificar qué riesgos se consideran aceptables (lamentablemente eliminar completamente los riesgos es algo imposible), aquellos con los que se puede convivir pero que merecen un grado de atención y monitoreo adicional para garantizar que se mantienen en ese nivel y, finalmente, aquellos que se entiende que son inaceptables y deben implementarse acciones para corregirse.
Intuitivamente, hay dos dimensiones que afectan que tan preocupante puede ser un riesgo. La primera es la probabilidad, o sea, cuál es la chance real de que ese riesgo se convierta en un incidente. Por ejemplo, si nuestro objetivo es ir caminando desde nuestra casa a la oficina, dos de los riesgos en nuestra lista podrían incluir ser víctimas de un accidente de tránsito y ser víctimas de un accidente aéreo – por supuesto que el primero nos va a preocupar bastante más que el segundo y por eso es que desde niños nos enseñan a mirar para ambos lados antes de cruzar una calle, pero no necesariamente a mirar para arriba.
La segunda dimensión es el impacto, o sea, qué tan graves serán las consecuencias si el riesgo se transforma en un incidente. Siguiendo con nuestro ejemplo vial, si ahora consideramos ser víctimas de un robo, seguramente nos preocupará menos si llevamos una pequeña cantidad de efectivo que si estamos transportando algo de mayor valor como una computadora o un teléfono celular.
En una evaluación formal de riesgos se usan exactamente estas dos categorías con la única diferencia que es necesario garantizar que el análisis sea lo más objetivo posible y no dependa demasiado de la visión personal del analista. A estos efectos, es común definir tablas de probabilidad e impacto que describen lo que la organización entiende, por ejemplo, como una probabilidad alta o un impacto bajo.
Una vez se cuenta con una lista razonable de riesgos, el siguiente paso es evaluar cada uno de los mismos. Naturalmente, no todos los riesgos van a generar el mismo grado de preocupación y lo fundamental es poder identificar qué riesgos se consideran aceptables (lamentablemente eliminar completamente los riesgos es algo imposible), aquellos con los que se puede convivir pero que merecen un grado de atención y monitoreo adicional para garantizar que se mantienen en ese nivel y, finalmente, aquellos que se entiende que son inaceptables y deben implementarse acciones para corregirse.
Intuitivamente, hay dos dimensiones que afectan que tan preocupante puede ser un riesgo. La primera es la probabilidad, o sea, cuál es la chance real de que ese riesgo se convierta en un incidente. Por ejemplo, si nuestro objetivo es ir caminando desde nuestra casa a la oficina, dos de los riesgos en nuestra lista podrían incluir ser víctimas de un accidente de tránsito y ser víctimas de un accidente aéreo – por supuesto que el primero nos va a preocupar bastante más que el segundo y por eso es que desde niños nos enseñan a mirar para ambos lados antes de cruzar una calle, pero no necesariamente a mirar para arriba.
La segunda dimensión es el impacto, o sea, qué tan graves serán las consecuencias si el riesgo se transforma en un incidente. Siguiendo con nuestro ejemplo vial, si ahora consideramos ser víctimas de un robo, seguramente nos preocupará menos si llevamos una pequeña cantidad de efectivo que si estamos transportando algo de mayor valor como una computadora o un teléfono celular.
En una evaluación formal de riesgos se usan exactamente estas dos categorías con la única diferencia que es necesario garantizar que el análisis sea lo más objetivo posible y no dependa demasiado de la visión personal del analista. A estos efectos, es común definir tablas de probabilidad e impacto que describen lo que la organización entiende, por ejemplo, como una probabilidad alta o un impacto bajo.
RiskScribe hace que la evaluación de los riesgos identificadas sea tan simple como seleccionar los niveles de probabilidad e impacto estimados para cada uno de los riesgos. El analista cuenta con una asistencia continua, viendo las definiciones de la tabla de probabilidad e impacto que se esté utilizando a medida que selecciona las categorías, minimizando los errores tanto a nivel conceptual como de operación de la plataforma.
Se proveen por defecto dos tablas completas de probabilidad e impacto y con múltiples dimensiones internas (una para evaluaciones simplificadas y otra que representa un estándar típicamente utilizado en organizaciones de cualquier porte), pero además es posible definir tablas enteramente a voluntad para representar la visión específica de la organizaci ón sobre los riesgos, particularmente para organizaciones con un nivel de madurez mayor o que tienen que utilizar criterios provistos por una casa matriz, un socio de negocios o un regulador.
Un problema de evaluar los riesgos en dos dimensiones es que esto dificulta ordenarlos por nivel de preocupación – por ejemplo, ¿qué consideramos peor, un riesgo con probabilidad baja e impacto alto o uno con probabilidad alta pero un impacto menor?
A estos efectos, se define el concepto de exposición, que no es más que un valor numérico que representa el nivel de preocupación mencionado antes, como una fórmula que vincula la probabilidad e impacto.
También se define a esta altura el concepto de la exposición inherente, es decir aquella que tendría el riesgo si no estuviéramos haciendo nada al respecto, y la exposición residual que es con la que convivimos realmente y toma en cuenta todos los controles que se encuentran implementados para mitigar ese riesgo. Por ejemplo, la acción usual de mirar hacia ambos lados antes de cruzar una calle es un control que claramente reduce la probabilidad de un accidente de un nivel potencialmente alto (que dependería exclusivamente del nivel de tránsito por la calle que estamos cruzando) a un nivel muy bajo.
Una pregunta que es razonable hacerse es ¿por qué hacer este análisis por separado, si en la práctica el riesgo que nos interesa saber si es aceptable, requiere atención o es inaceptable es el residual? La respuesta es que hacer el análisis de este modo nos da información muy relevante sobre los controles que tenemos implementados. En particular, si la exposición inherente es inaceptable pero la exposición residual no lo es, eso quiere decir que los controles identificados para dicho riesgo son críticos, o sea, si esos controles fallan, el nivel de riesgo al que estamos expuestos es excesivo.
Cuando un adulto, en forma intuitiva, se asegura de que un niño haya aprendido a mirar hacia ambos lados para cruzar antes de dejarlo caminar solo por la calle, lo que está haciendo es exactamente lo mismo que una organización debería realizar con sus controles críticos: monitorear su efectividad en el tiempo.
Un problema de evaluar los riesgos en dos dimensiones es que esto dificulta ordenarlos por nivel de preocupación – por ejemplo, ¿qué consideramos peor, un riesgo con probabilidad baja e impacto alto o uno con probabilidad alta pero un impacto menor?
A estos efectos, se define el concepto de exposición, que no es más que un valor numérico que representa el nivel de preocupación mencionado antes, como una fórmula que vincula la probabilidad e impacto.
También se define a esta altura el concepto de la exposición inherente, es decir aquella que tendría el riesgo si no estuviéramos haciendo nada al respecto, y la exposición residual que es con la que convivimos realmente y toma en cuenta todos los controles que se encuentran implementados para mitigar ese riesgo. Por ejemplo, la acción usual de mirar hacia ambos lados antes de cruzar una calle es un control que claramente reduce la probabilidad de un accidente de un nivel potencialmente alto (que dependería exclusivamente del nivel de tránsito por la calle que estamos cruzando) a un nivel muy bajo.
Una pregunta que es razonable hacerse es ¿por qué hacer este análisis por separado, si en la práctica el riesgo que nos interesa saber si es aceptable, requiere atención o es inaceptable es el residual? La respuesta es que hacer el análisis de este modo nos da información muy relevante sobre los controles que tenemos implementados. En particular, si la exposición inherente es inaceptable pero la exposición residual no lo es, eso quiere decir que los controles identificados para dicho riesgo son críticos, o sea, si esos controles fallan, el nivel de riesgo al que estamos expuestos es excesivo.
Cuando un adulto, en forma intuitiva, se asegura de que un niño haya aprendido a mirar hacia ambos lados para cruzar antes de dejarlo caminar solo por la calle, lo que está haciendo es exactamente lo mismo que una organización debería realizar con sus controles críticos: monitorear su efectividad en el tiempo.
RiskScribe calcula automáticamente la exposición y el nivel de los riesgos (aceptable, atención o inaceptable) en función de los datos que se hayan incluido como parte de las tablas de probabilidad e impacto, por lo cual el analista de inmediato está viendo los niveles inherentes y residuales a medida que va realizando la evaluación.
Todos los controles que llevan desde la exposición inherente a la residual son documentados dentro de la herramienta y los controles críticos se listan en forma automática como parte del reporte generado.
A los efectos de la definición de la fórmula de exposición, RiskScribe toma el criterio de utilizar una suma ponderada de probabilidad e impacto de modo de que la organización pueda definir con toda la flexibilidad necesaria su visión sobre el riesgo. La tablas se definen visualmente lo que permite ver fácilmente qué niveles de probabilidad e impacto van a general los distintos niveles de riesgos, lo cual es fundamental para que estas tablas realmente representen una visión conceptual sobre el riesgo y no sean simplemente valores numéricos que no presentan mayor interés en si mismos.
Por ejemplo, es común ver fórmulas de exposición simétricas (probabilidad x impacto es tristemente popular en literatura de riesgos) que no reconocen que muy rara vez la probabilidad y el impacto deberían tratarse del mismo modo en un cálculo de exposición. Claramente, un riesgo con una probabilidad muy baja y un impacto muy alto (un cisne negro con el potencial de hacer un daño significativo o directamente sacar del negocio a una organización) debería generar otro nivel de preocupación que un riesgo con una probabilidad muy alta pero un impacto muy bajo (un evento que ocurre regularmente pero cuyo impacto es virtualmente imperceptible).
Las tablas provistas por defecto por RiskScribe ya toman en cuenta esto, dando un mayor peso al impacto que la probabilidad en el cálculo.
Una vez todos los riesgos han sido apropiadamente analizados, el último paso es definir acciones necesarias o deseables en función de la evaluación realizada.
En particular, cualquier riesgo que se encuentre en un nivel residual inaceptable debería ser atacado por un Plan de Acción que busque mitigarlo de alguna forma. Aquí existen distintas opciones desde evitar el riesgo (dejar de realizar las tareas que ocasionan el riesgo, aunque esto naturalmente no siempre será posible), compartirlo (a través por ejemplo de seguros o acuerdos con terceros) o lo que usualmente serán las acciones más comunes que es implementar nuevos controles preventivos (que reduzcan la probabilidad del riesgo) o de contingencia (que reduzcan su impacto en caso de convertirse en incidentes).
Más allá de los riesgos inaceptables, un Plan de Acción debería en general incluir cualquier otra acción que sea relevante en el marco de la Gestión de Riesgos, como por ejemplo establecer procedimientos de monitoreo para hacer un seguimiento de los riesgos en un nivel de atención y para verificar que los controles críticos que se hayan identificado mantengan su efectividad en el tiempo.
Una vez todos los riesgos han sido apropiadamente analizados, el último paso es definir acciones necesarias o deseables en función de la evaluación realizada.
En particular, cualquier riesgo que se encuentre en un nivel residual inaceptable debería ser atacado por un Plan de Acción que busque mitigarlo de alguna forma. Aquí existen distintas opciones desde evitar el riesgo (dejar de realizar las tareas que ocasionan el riesgo, aunque esto naturalmente no siempre será posible), compartirlo (a través por ejemplo de seguros o acuerdos con terceros) o lo que usualmente serán las acciones más comunes que es implementar nuevos controles preventivos (que reduzcan la probabilidad del riesgo) o de contingencia (que reduzcan su impacto en caso de convertirse en incidentes).
Más allá de los riesgos inaceptables, un Plan de Acción debería en general incluir cualquier otra acción que sea relevante en el marco de la Gestión de Riesgos, como por ejemplo establecer procedimientos de monitoreo para hacer un seguimiento de los riesgos en un nivel de atención y para verificar que los controles críticos que se hayan identificado mantengan su efectividad en el tiempo.
RiskScribe provee funcionalidades para agregar acciones específicas a cualquier evaluación de riesgos, definiendo tanto sus responsables como las fechas esperadas de inicio y finalización del plan.
En la descripción de los detalles de cada acción puede usarse formatos usuales para simplificar su lectura, así como incluirse links de cualquier tipo, teniendo en cuenta que la mayoría de las organizaciones ya cuentan con herramientas para definir acciones y hacer seguimiento de estas.
El reporte final que genera la plataforma tiene todos los elementos de la evaluación, incluyendo la lista de todos los objetivos, riesgos y controles con su evaluación inherente y residual, los principales riesgos ordenados por exposición, los controles críticos identificados, los criterios sobre los cuáles se realizó la evaluación y el Plan de Acción definido. Dado que este reporte se genera en formato PDF, el mismo puede distribuirse fácilmente aun entre personas que no tengan acceso directo a la plataforma o quiénes solo necesiten ver el resumen de los resultados de una evaluación de riesgos.