Las organizaciones implementan estrategias para la gestión de riesgos para proteger sus activos, su capital humano y su capacidad para operar, así como para fortalecer su estructura, prepararla para enfrentar eventos disruptivos y prevenir riesgos empresariales.
Las estrategias para la gestión de riesgos son, por ello, esenciales para el crecimiento de la organización. Siempre es mejor tenerlas y no necesitarlas, que necesitarlas y no tenerlas.
En un mundo cada más tecnológico y globalizado, las amenazas y eventualidades se diversifican y es necesario saber cómo enfrentarse a ellas con éxito. A continuación, repasamos nueve estrategias para la gestión de riesgos esenciales probadas y utilizadas por organizaciones exitosas.
Cuáles son las 9 estrategias para la gestión de riesgos esenciales
Las estrategias para la gestión de riesgos que se enumeran a continuación se han diseñado para funcionar en todas las áreas o encajar dentro de una gestión integral. El objetivo esencial es hacer de la organización una entidad fuerte, resiliente, con capacidad para alcanzar elevados niveles de seguridad.
1. Identificar riesgos antes de que causen daño
Adelantarse a las amenazas siempre será la estrategia más efectiva. Identificar riesgos emergentes o en etapa embrionaria aumenta las probabilidades de éxito y disminuye costes de gestión, además de que contribuye a crear una cultura de prevención sostenible. Para hacerlo, los especialistas acuden a diversas técnicas:
- Lluvia de ideas: es la más utilizada. Es un tanto informal y no obedece a ninguna regla en particular. Se trata de reunir personas con conocimiento del área sobre la que se trabaja para que especulen sobre posibles escenarios de riesgos.
- Análisis DAFO: es una metodología utilizada para identificar riesgos, pero también oportunidades, fortalezas y debilidades. Es una evaluación sobre áreas específicas que busca amenazas internas o externas de cualquier tipo.
- Revisión de evaluaciones de riesgos anteriores en las que se mencionan eventos o circunstancias que, en ese momento se descartaron, pero podrían cobrar vigencia.
- Experiencia de empresas de la misma industria resultan muy valiosas para la organización, que puede aprovechar sus acciones y estrategias para la gestión de riesgos.
2. Evaluar y analizar los riesgos
Todos los riesgos no son iguales y su clasificación se hace con base en información de calidad y metodologías probadas. Estas metodologías buscan establecer dos criterios básicos: la probabilidad de ocurrencia y la gravedad del impacto. En ambos casos existen métodos que expresan los resultados en términos diferentes:
- Evaluación cualitativa: los resultados de una evaluación cualitativa se expresan en descripciones para dimensionar el nivel de probabilidad de que ocurra un riesgo o su gravedad. La simbología puede ser un tanto más abierta: muy bajo, bajo, medio bajo, medio, medio alto, alto o muy alto.
- Evaluación cuantitativa: expresa los resultados en números que se obtienen con base en la aplicación de algoritmos o modelos matemáticos y estadísticos. Los resultados suelen ser indiscutibles y más acertados.
3. Priorizar los riesgos
Pocas organizaciones destinan recursos suficientes para prestar la misma atención a todas las eventualidades identificadas. El análisis de riesgos se hace para obtener un listado priorizado que permita asignar recursos a la gestión de los eventos que están en la parte alta de la lista, los que tienen alta probabilidad de ocurrencia y alto impacto negativo.
Con el avance de la gestión, los riesgos de la cabeza de la lista salen de ella porque han sido tratados, mientras que los otros suben. Es un modelo cíclico que hace que, eventualmente, todos los riesgos sean abordados.
4. Planificar las acciones de gestión
Es una fase clave en el desarrollo de las estrategias para la gestión de riesgos. Es el momento en el que se diseña un plan de gestión que busca, en primera instancia, eliminar el riesgo. Esas estrategias se mueven en cuatro ejes principales:
- Eliminar el riesgo: es el gran objetivo, aunque no siempre sea posible. A veces porque el coste puede ser superior al que causaría la eventualidad, otras porque el riesgo no es tratable, no existe acción alguna que lo pueda eliminar.
- Mitigar el riesgo: es la segunda opción. Ante la imposibilidad de eliminar una amenaza, se buscan mecanismos para la mitigación de riesgos esenciales y, así, minimizar el impacto negativo. Los terremotos son riesgos inevitables, pero existen decenas de acciones que pueden minimizar el impacto negativo.
- Transferir el riesgo: una de las formas de hacerlo es tercerizando o subcontratando el proceso o la actividad que genera el riesgo, para que sea el tercero o el contratista el que lo asuma. Otra forma es contratar una póliza de seguros que cubra los efectos económicos consecuencia de la materialización del riesgo.
- Aceptar o tolerar el riesgo: es lo que se hace generalmente con los riesgos operativos. Los riesgos que se retienen o aceptan son susceptibles de recibir acciones para disminuir la probabilidad de ocurrencia o mitigar los efectos, en caso de que ocurra.
5. Implementar controles de riesgo
Algunas de las acciones mencionadas en esas estrategias para la gestión de riesgos esenciales se clasifican como controles de riesgo. Estos actúan como barreras de protección, como escudos o salvaguardas. El objetivo esencial es reducir la probabilidad o reducir el impacto. Se clasifican de acuerdo con el tipo de amenaza sobre la que actuarán:
- Financieros: exigir garantías eficaces para los préstamos, auditar a los socios o inversores, implementar indicadores de riesgo o contratar seguros para perdidas de fondos.
- Operacionales: controles internos para monitorear procesos, auditar áreas, implementar procedimientos o protocolos de acción, etc.
- De información o ciberseguridad: creación de perfiles con privilegios de acceso, prohibición de uso de dispositivos ajenos a la organización o establecimiento de protocolos de uso y acceso, entre otros.
- De la cadena de suministro: gestionar riesgos de proveedores específicos, aumentar la lista de proveedores, planificar líneas de suministro alternativas, ejercer debida diligencia sobre los proveedores, etc.
6. Revisar y monitorear la gestión
Las estrategias para la gestión de riesgos pueden fallar o tener problemas. Esto es admisible, siempre que exista una estructura que permita advertirlo y adoptar las acciones correspondientes. Monitoreo y seguimiento continuos aseguran que la gestión alcance los objetivos propuestos.
Entre otras, las organizaciones utilizan auditorías, inspecciones, revisiones, pruebas de estrés, verificación de indicadores o KPIs para comprobar la eficacia de las anteriores estrategias para la gestión de riesgos y de los controles implementados.
7. Documentar, comunicar e informar
Las estrategias para la gestión de riesgos no estarían completas si no se documentan ni se comunican a todos los interesados. Tampoco lo estarían si no se producen los informes para tomar decisiones y los que conformarán la memoria histórica necesaria para facilitar el trabajo en el futuro y evitar cometer los mismos errores.
Es necesario comunicar información relacionada con riesgos a todos los afectados, directores de área involucrados o personas que tengan que participar en la implementación de una acción de gestión o un control. Los informes se destinan, en primera instancia, a la Alta Dirección, pero también los pueden recibir los encargados de áreas como seguridad y salud en el trabajo, seguridad de la información o cumplimiento.
8. Alinear la gestión con las obligaciones de cumplimiento
Todo lo que se haga para diseñar e implementar estrategias para la gestión de riesgos necesita ajustarse al marco regulatorio y legal bajo el que opera la organización. Algunas regulaciones son estatales, otras son internacionales, locales o propias de la industria. Lo importante es identificar todas las obligaciones y establecer si alguno de los controles o de las estrategias adoptadas traspasa el marco regulatorio.
9. Crear una cultura de gestión de riesgos
El éxito de las estrategias para la gestión de riesgos está directamente relacionado con el trabajo de las personas para implementarlas y ejecutarlas. Es la cultura empresarial el elemento que hace que los trabajadores acojan de forma proactiva esas estrategias.
La cultura es el resultado de varios elementos clave: liderazgo de la Alta Dirección, asignar funciones de manera estratégica, premiar a los que se esfuerzan y crear políticas claras y contundentes.
Para finalizar, las organizaciones que han implementado sistemas de gestión de riesgos automatizados encuentran mejores oportunidades para que sus estrategias en este campo alcancen los objetivos propuestos. Pero es necesario algo más, profesionales que cuenten con una formación adecuada.
Diplomado en Risk Manager
El Diplomado en Risk Manager es un programa de la Escuela Europea de Excelencia diseñado para formar a profesionales en el área de gestión de riesgos. Para ello, ofrece a los alumnos herramientas metodológicas, tecnológicas y técnicas que les permitan asumir el liderazgo de esta área en cualquier tipo de organización.
Los alumnos de este diplomado adquieren, además, la capacidad de implementar y auditar sistemas de gestión de riesgos basados en el estándar ISO 31000. Puedes iniciar ya tu formación, el programa está abierto. Pero antes, comprueba si eres candidato a una de las becas que ofrece la Escuela Europea de Excelencia. Puedes pedir más información aquí.
