Guía para la aplicación de UNE-ISO 31000:2018

Ángel Escorial Bonet, Jorge Escalera Alcázar, Sergio Simón Quintana, Julián Cid Méndez

• Éditeur: AENORediciones
• Année: 2019
• ISBN:
  9788481439861
• Édition: 1
• Sujet: Business
• Sous-sujet: Management

La Norma UNE-ISO 31000: 2018 proporciona directrices para gestionar el riesgo al que se enfrentan las organizaciones, y está dirigida a las personas que crean y protegen el valor en las mismas gestionando riesgos, tomando decisiones, estableciendo y logrando objetivos y mejorando el desempeño.Esta guía pretende facilitar la comprensión y aplicación de la norma, cuyo contenido se reproduce, a través de explicaciones y ejemplos. Su principal objetivo es aclarar al lector las definiciones, los principios, el marco de referencia y el proceso de gestión del riesgo tratados en ella.

1. Objeto y campo de aplicación

1 Objeto y campo de aplicación

Este documento proporciona directrices para gestionar el riesgo al que se enfrentan las organizaciones. La aplicación de estas directrices puede adaptarse a cualquier organización y a su contexto.

Este documento proporciona un enfoque común para gestionar cualquier tipo de riesgo y no es específico de una industria o un sector.

Este documento puede utilizarse a lo largo de la vida de la organización y puede aplicarse a cualquier actividad, incluyendo la toma de decisiones a todos los niveles.

La versión de 2018 inicia este apartado indicando que la norma proporciona directrices para gestionar el riesgo al que se enfrentan las organizaciones. Desde el mismo comienzo se adopta la idea de simplificación, reflejada en el hecho de que únicamente se recoja el concepto de directrices en el título de la norma, eliminando los principios que también aparecían en la versión de 2010.

Al simplificar y realzar el carácter de documento de directrices, se deja claro que se trata de un documento orientativo para todo tipo y tamaño de organizaciones que no implica directamente un sistema de gestión, como hacen otros conocidos estándares internacionales. Los principios eliminados aquí se mantienen como uno de los tres apartados básicos de la norma, fundamental en la gestión del riesgo pero innecesario como objeto de la misma.

En lo referente al campo de aplicación, se establece que estas directrices pueden adaptarse a cualquier organización y su contexto, independientemente de su tamaño. Es decir, se reitera el carácter transversal de la norma validando la adopción de estas directrices de gestión del riesgo en cualquier tipo de organización y en cualquier circunstancia.

Algunos usuarios potenciales podrían pensar, erróneamente, que la gestión del riesgo solo es aplicable en las multinacionales y grandes organizaciones, pero no en pymes o microempresas. Cualquier organización, incluidas las unipersonales, puede desarrollar una gestión efectiva y eficaz de sus riesgos en cualquier contexto adoptando las directrices de UNE-ISO 31000:2018.

Como beneficio de la adopción de la norma, destaca el enfoque común que supone para la gestión de cualquier tipo de riesgo en todas las organizaciones, y no para los específicos de una industria o sector. Hay estándares internacionales como ISO/IEC 27005:2018 Information technology – Security techniques – Information security risk management, o acuerdos internacionales sectoriales como Basilea en entidades bancarias y Solvencia en el mundo asegurador, que proporcionan apoyo para la gestión del riesgo en estos sectores. Incluso COSO (Committee of Sponsoring Organizations of the Treadway Commission) establece Entreprise Risk Management (ERM) para organizaciones empresariales. Pero ISO 31000 es la primera y única norma no específica de una industria o sector que se puede adoptar para organizaciones de cualquier tipo, tamaño o sector de actividad. Las directrices de ISO 31000 pueden ser adoptadas tanto por multinacionales como por pymes, empresas industriales o de servicios, organizaciones públicas o privadas, para riesgos medioambientales, laborales o de la calidad, o incluso en sistemas de gestión integrados. En otras palabras, la puede adoptar cualquier tipo de organización para cualquier tipo de riesgo.

En lo relativo al marco temporal, ISO 31000 puede adoptarse a lo largo de la vida de la organización. No solo las organizaciones maduras y estructuradas, sino también las organizaciones jóvenes e incluso las nuevas organizaciones precisan de una adecuada gestión del riesgo. Por ejemplo, en los procesos de compraventa es habitual realizar un análisis de brechas de la gestión del riesgo de la organización, independientemente de la antigüedad de la misma.

Otro error común es entender que la gestión del riesgo se ciñe a las decisiones estratégicas de las grandes organizaciones. Ya hemos resaltado que ISO 31000 se adapta a cualquier actividad, tipo y tamaño de organizaciones, pero también es importante señalar que se aplica no solo en la toma de decisiones estratégicas, sino también a nivel táctico e incluso operacional.

Para que la gestión del riesgo esté adecuadamente integrada en la organización se debe aplicar en toda toma de decisiones de la organización a todos los niveles.

2. Normas para consulta

2 Normas para consulta

El presente documento no contiene normas para consulta.

Este apartado de la norma es nuevo respecto de la versión anterior, ya que se ha introducido como consecuencia de la aplicación de la estructura de alto nivel iniciada desde 2012.

En la anterior versión se indicaban en el anexo de bibliografía las siguientes referencias:

• ISO Guide 73:2009 Risk management. Vocabulary.

• ISO/IEC 31010 Risk management. Risk assessment techniques.

En la revisión de 2018 ha desaparecido la referencia bibliográfica a la ISO Guía 73, ya que han cambiado algunos de los ocho términos definidos, así como varias de las notas a las entradas de las definiciones. Cabe señalar aquí que, dentro del ISO/TC 262, se ha constituido un grupo de trabajo con vistas a desarrollar una norma sobre terminología de gestión del riesgo: ISO 31073.

Respecto de la Norma ISO/IEC 31010, hemos de mencionar que recientemente se ha publicado una nueva versión.

3. Términos y definiciones

3 Términos y definiciones

Para los fines de este documento, se aplican los términos y definiciones siguientes.

ISO e IEC mantienen bases de datos terminológicas para su utilización en normalización en las siguientes direcciones:

– Plataforma de búsqueda en línea de ISO: disponible en http://www.iso.org/obp

– Electropedia de IEC: disponible en http://www.electropedia.org

En la revisión de 2018 se ha procedido a simplificar el amplio abanico de definiciones que se incluyeron en la versión de 2010. No obstante, en opinión de los autores esta reducción ha sido excesiva, ya que es necesario conocer, al menos, el significado de tres términos más (nivel de riesgo, criterio de riesgo y dueño del riesgo) por su relevancia en esta norma y en la aplicación práctica de la gestión del riesgo.

3.1 riesgo:

Efecto de la incertidumbre sobre los objetivos.

Nota 1 a la entrada: Un efecto es una desviación respecto a lo previsto. Puede ser positivo, negativo o ambos, y puede abordar, crear o resultar en oportunidades y amenazas.

Nota 2 a la entrada: Los objetivos pueden tener diferentes aspectos y categorías, y se pueden aplicar a diferentes niveles.

Nota 3 a la entrada: Con frecuencia, el riesgo se expresa en términos de fuentes de riesgo (3.4), eventos (3.5) potenciales, sus consecuencias (3.6) y sus probabilidades (3.7).

La definición de riesgo en las dos versiones de ISO 31000 como el “efecto de la incertidumbre sobre los objetivos” es totalmente rupturista con las acepciones que podemos encontrar en el Diccionario de la lengua española (DLE):

Del ant. riesco ‘risco’, por el peligro que suponen.

1. m. Contingencia o proximidad de un daño.

2. m. Cada una de las contingencias que pueden ser objeto de un contrato de seguro.

En...