Guía para identificar y gestionar riesgos corporativos
Identificación de Riesgos corporativos
La identificación de los riesgos corporativos constituye el primer paso para poder plantear una metodología de gestión de estos riesgos acorde a cada organización.
Por lo tanto, para poder realizar la identificación de los riesgos podemos apoyarnos en los siguientes puntos de análisis.
¿Qué puede pasar?
Es decir, que eventos pueden interferir en la consecución de los objetivos planteados para la organización, para ello se requiere pleno conocimiento de los objetivos y metas, de los factores internos y externos que intervienen en la gestión misma de la organización.
¿Cuáles son las fuentes, los orígenes que pueden generar riesgos?
Para ello se tiene como base la identificación de los factores internos y externos a la organización, la idea es identificar la existencia de fortalezas, debilidades, oportunidades y amenazas en los mismos.
Como ejemplos de factores tenemos.
Internos:
Productos y /o servicios.
Cultura organizacional.
Comunicación.
Estructura organizacional.
Talento Humano.
Tecnología.
Externos:
Normatividad legal.
Cambios económicos.
Pandemias.
Proveedores.
Competencia.
Mercado.
Otras técnicas que se pueden utilizar en la identificación de riesgos son:
Estudio de los procesos: ayudan con la identificación del riesgo que se deriva de las operaciones de la organización.
Lluvia de ideas: en la que participen los empleados y manifiesten los riesgos que han identificado en su proceso.
Entrevistas: a los líderes de procesos y que estos puedan expresar las inquietudes.
Benchmarking: comparase con otras organizaciones del mismo sector y que tengan en común factores como el tamaño, el posicionamiento.
Palabras clave en la Gestión de Riesgo:
Riesgo inherente: es aquel riesgo propio por el desarrollo de la actividad.
Riesgo residual: es aquel riesgo que permanece a pesar de haber implementado medidas de control.
Controles: es una medida de protección, que busca garantizar el desarrollo de las tareas y /o actividades enmarcadas en los estándares, bajo un riesgo controlado y aceptado.
Secuencia:
I. Una vez identificados los riesgos es importante asignarles una clasificación, dicha clasificación posteriormente se orientará en los posibles controles y soluciones a los mismos, entre las clasificaciones más utilizadas tenemos: riesgos operativos, financieros, tecnológicos, estratégicos, de imagen entre otros.
Es importante también describir el riesgo, indicar cuáles son las causas que lo origina y las consecuencias que pueden generar los mismos.
II. Posteriormente asignar una escala de evaluación para el riesgo inherente, ese riesgo que existe de forma implícita por el hecho de desarrollar esa actividad, es importante realizar un análisis del mismo y asignarle un nivel para posteriormente establecer controles.
III. Determinar los controles que se van a aplicar sobre el riesgo identificado, para ello es importante tener claridad en aspectos como quién (Cargo- rol) será el responsable de llevar a cabo ese control, la periodicidad con que se debe aplicar, el tipo de control, si es un control que depende de aplicaciones informáticas, de la ejecución de una tarea por parte de una persona, si se encuentra o no documentado para garantizar la transferencia del conocimiento, que evidencias se dejan de la aplicación del mismo, si existen indicadores que midan la efectividad entre otros.
IV. Una vez se determina el o los controles para los riesgos es importante verificar la efectividad de los mismos, y posteriormente evaluar el riesgo residual y establecer las políticas de respuesta ante los mismos (Asumir, compartir, transferir).
V. Con base en los criterios anteriores y teniendo en cuenta aquellos riesgos que, aunque se han implementado controles su nivel sigue siendo el mismo, se deben establecer planes de acción enfocados para que en primera instancia estos riesgos no se materialicen o en caso de hacerlo sea posible minimizar las consecuencias negativas.
A continuación, se ilustra un ejemplo sencillo y genérico para dar una explicación práctica de los conceptos anteriores.
Identificación.
Nombre del riesgo: no alcanzar los objetivos de un proyecto porque se definió mal el alcance.
Descripción: no se logran los objetivos del proyecto ya que, al alcance ejecutado, es menor al alcance definido.
Clasificación: operativo (de gestión de proyectos)
Causas: falta de una metodología de gestión de proyectos, falta de experiencia y o conocimiento en el producto o servicio.
Consecuencias: incumplimiento de plazos de entrega, rechazo de los entregables del proyecto, sobrecostos.
Riesgo Inherente:
Basándose en una calificación que involucre probabilidad vs impacto y creando por ejemplo una matriz de 3×3 tenemos:
Riesgo inherente (antes del control): Impacto (Alto 3) * Probabilidad (Media 2) = Riesgo Alto (6)
Controles:
Descripción: Revisión detallada del alcance contratado, acta de inicio del proyecto aceptada por el cliente y firmada dónde está muy claro el alcance y exclusiones del mismo
Responsable: Director del proyecto
Periodo de aplicación: Al inicio del proyecto.
Clasificación: Manual.
Indicadores asociados: % de proyectos ejecutados de acuerdo al alcance.
Riesgo Residual (Después del control): Impacto (Alto 3) * Probabilidad (Baja 1) = Riesgo Medio (3)
Política de respuesta: Asumir el riesgo.
Plan de acción: realizar reuniones de seguimiento del proyecto, responsable: director del proyecto, fecha de ejecución: al inicio de cada fase.
Como vemos la identificación y gestión de riesgos implica un conocimiento profundo de la actividad de la organización, las interacciones que estas generan y los resultados previsibles que se derivan de las mismas.
Fuente: ISO TOOLS