Norma ISO 31000 versión 2009: Gestión de Riesgos – Principios y Guías

Traducción libre NO OFICIAL – NO Comercial, Solo con fines informativos Hoja No 1

NORMA INTERNACIONAL

ISO 31000
Primera edición - Noviembre 15 de 2009

Gestión de Riesgos - Principios y Guías

Risk Management - Principles and guides

Introducción

Las organizaciones de todos los tipos y tamaños de cara a factores internos y externos y las
influencias que lo hacen incierto si, y cuándo van a alcanzar sus objetivos. El efecto que esto tiene
en la incertidumbre de una organización y sus objetivos es "de riesgo".

Todas las actividades de una organización que implican un riesgo. Organizaciones de gestión de
riesgos mediante la identificación de él, analizar y luego evaluar si el riesgo debe ser modificado por
el tratamiento del riesgo, a fin de satisfacer sus criterios de riesgo.

A lo largo de este proceso, comunicación y consulta con las partes interesadas y supervisar y
examinar el riesgo de y los controles que están modificando el riesgo con el fin de garantizar que no
se requiere el tratamiento del riesgo. Esto Norma Internacional describe este proceso sistemático y
lógico en detalle.

Si bien todas las organizaciones de gestión de riesgos en cierta medida, esta norma internacional
establece una serie de principios que deben ser satisfechos para que sea la gestión eficaz del riesgo.
Esta Norma Internacional recomienda que las organizaciones deben desarrollar, aplicar y mejorar
continuamente un marco cuyo objetivo es, para integrar el proceso de gestión de riesgos en la
gobernanza general de la organización, planificación y estrategia, de gestión, procesos de
información, las políticas, valores y cultura.

La gestión de riesgos puede aplicarse a toda una organización, en sus áreas y niveles, en cualquier
momento, así en cuanto a funciones específicas, proyectos y actividades. Aunque la práctica de la
gestión del riesgo ha sido desarrollada con el tiempo y en muchos sectores, a fin de satisfacer las
diversas necesidades, la adopción de procesos coherentes dentro de un marco global puede ayudar
a garantizar que el riesgo se gestiona de manera eficaz, eficiente y coherente en toda la
organización. El enfoque genérico descrito en esta norma establece los principios y directrices para
la gestión de cualquier forma de riesgo de manera sistemática, transparente y creíble y en cualquier
ámbito y contexto.

Cada sector específico o la aplicación de la gestión del riesgo trae consigo las necesidades
individuales, el público, la percepción y criterios. Por lo tanto, una característica clave de esta norma
internacional es la inclusión al "establecer el contexto" como una actividad al comienzo de este
proceso genérico de gestión de riesgos. Establecer el contexto capturará los objetivos de la
organización, el entorno en el que persigue estos objetivos, las partes interesadas y la diversidad de
criterios de riesgo - todo lo cual ayudará a revelar y evaluar la naturaleza y complejidad de sus
riesgos.

La relación entre los principios de la gestión del riesgo, el marco en el que se produce el riesgo y el
proceso de gestión descrito en esta norma internacional se muestran en la Figura 1.

Cuando se implementa y mantiene de acuerdo con esta norma internacional, la gestión del riesgo
le permite a una organización, por ejemplo:

􀛛 aumentar la probabilidad de lograr los objetivos;

􀛛 fomentar la gestión proactiva;
􀛛 ser conscientes de la necesidad de identificar y tratar los riesgos en toda la organización;
􀛛 mejorar la identificación de las oportunidades y amenazas;
􀛛 cumplir con las exigencias legales y reglamentarias y las normas internacionales;
􀛛 mejorar la información obligatoria y voluntaria;
􀛛 mejorar la gobernanza;
􀛛 mejorar la confianza de los interesados y la confianza;
􀛛 establecer una base confiable para la toma de decisiones y la planificación;
􀛛 mejorar los controles;
􀛛 asignar y utilizar eficazmente los recursos para el tratamiento del riesgo;
􀛛 mejorar la eficacia operacional y la eficiencia;
􀛛 mejorar la salud y de seguridad, así como la protección del medio ambiente;
􀛛 mejorar la prevención de pérdidas y gestión de incidentes;
􀛛 minimizar las pérdidas;
􀛛 mejorar el aprendizaje de la organización, y
􀛛 mejorar la resistencia de la organización.
Esta norma está destinada a satisfacer las necesidades de una amplia gama de partes interesadas,
incluyendo:
a) los responsables de la formulación de políticas de gestión del riesgo dentro de su organización;
b) los responsables de asegurar que el riesgo se gestiona eficazmente dentro de la organización
como un todo o dentro de un área específica, el proyecto o actividad;
c) los que necesitan para evaluar la eficacia de una organización en la gestión de riesgos, y
d) los desarrolladores de los estándares, guías, procedimientos y códigos de prácticas que, en todo
o en parte, establecen el modo en que el riesgo ha de ser gestionado en el contexto específico de
estos documentos.

Las prácticas actuales de gestión y los procesos de muchas organizaciones incluyen los componentes
de riesgo de gestión, y muchas organizaciones ya han adoptado un proceso formal de gestión de
riesgo para particulares tipos de riesgo o circunstancias. En tales casos, una organización puede
decidir llevar a cabo una revisión crítica de sus prácticas y procesos existentes a la luz de esta norma
internacional.

En esta norma internacional, las expresiones "gestión de riesgos" y "gestión del riesgo" son
utilizados. En términos generales, "la gestión de riesgos" se refiere a la arquitectura (principios,
marcos y procesos) para la gestión de los riesgos de manera efectiva, mientras que "la gestión del
riesgo" se refiere a la aplicación de esta arquitectura a determinados riesgos.
1.- Ámbito de aplicación
Esta norma internacional proporciona principios y directrices de carácter genérico sobre la gestión
de riesgos.

Esta Norma Internacional puede ser utilizado por cualquier institución pública, privada o empresa
de la comunidad, grupo o individuales. Por lo tanto, esta Norma Internacional no es específica de
cualquier industria o sector.
NOTA Para mayor comodidad, todos los diferentes usuarios de esta norma internacional se
denominan con el término general de "Organización".

Esta Norma Internacional puede ser aplicada en toda la vida de una organización, y para una amplia
gama de las actividades, incluidas las estrategias y las decisiones, operaciones, procesos, funciones,
proyectos, productos, servicios y los activos.

Esta Norma Internacional se pueden aplicar a cualquier tipo de riesgo, cualquiera que sea su
naturaleza, si el hecho positivo o consecuencias negativas.

Aunque esta norma internacional proporciona directrices genéricas, no es la intención de promover

la uniformidad de riesgo la gestión de las organizaciones. El diseño y ejecución de planes de gestión
de riesgos y Marcos tendrá que tomar en cuenta las diferentes necesidades de una organización
específica, sus objetivos particulares, contexto, estructura, operaciones, procesos, funciones,
proyectos, productos, servicios o activos específicos y prácticas empleadas.

Se pretende que esta Norma Internacional se utilizará para armonizar los procesos de gestión de
riesgos en los actuales y las normas futuras. Proporciona un enfoque común en apoyo de las normas
relativas a riesgos específicos y / o sectores, y no sustituyen a las normas.

Esta Norma Internacional no se destine a los fines de la certificación.

2 Definiciones

Riesgo

Efecto de la incertidumbre sobre los objetivos de

NOTA 1 Un efecto es una desviación de lo esperado - positivos y / o negativos. En los

Objetivos.

NOTA 2 puede tener diferentes aspectos (como la salud financiera, y la seguridad, y los
objetivos medioambientales) y puede aplicar en diferentes niveles (como estratégica, en
toda la organización, proyecto, producto y proceso).

NOTA 3: El riesgo se caracteriza a menudo por referencia a los eventos potenciales (2,17)
y Consecuencias (2,18), o una combinación de estos.

NOTA 4 El riesgo se expresa a menudo en términos de una combinación de las

consecuencias de un evento (incluidos los cambios en las circunstancias) y la probabilidad
asociada (2,19) de ocurrencia.
NOTA 5 La incertidumbre es el estado, incluso parcial, de la deficiencia de la información
relacionada con la comprensión o conocimiento de una caso, su consecuencia, o la
probabilidad.

3.- Marco de gestión de riesgos

Conjunto de componentes que proporcionan las bases y modalidades de organización para diseñar,
implementar y controlar (2,28), la revisión y mejora continua de la gestión del riesgo (2,2) en toda
la organización.

NOTA 1 Las bases incluyen la política, objetivos, mandato y compromiso con la gestión del
riesgo (2,1).

NOTA 2 Los acuerdos incluyen planes de organización, relaciones, responsabilidades,

recursos, procesos y actividades.

Nota 3: El marco de gestión de riesgo está incrustado dentro de la organización global

estratégica y operativa las políticas y prácticas.

Actitud ante el riesgo

Enfoque de la organización para evaluar y, eventualmente, seguir, mantener, adoptar o alejarse del
riesgo (2,1).

Plan de gestión de riesgos

Régimen en el marco de la gestión del riesgo (2,3) especificando el planteamiento, la gestión de

componentes y los recursos que se aplicarán a la gestión del riesgo (2,1)

NOTA 1: Los componentes de gestión suelen incluir los procedimientos, prácticas, la

asignación de responsabilidades, la secuencia de y el calendario de actividades.

NOTA 2 El plan de gestión de riesgo se puede aplicar a un determinado producto, proceso

y proyecto, y parte o la totalidad de la organización.

Proceso de gestión de riesgos

La aplicación sistemática de políticas de gestión, procedimientos y prácticas para las actividades de

comunicación, consultoría, se establece el contexto, y la identificación, análisis, evaluación,
tratamiento, seguimiento (2,28) y la revisión de riesgo (2,1).

Establecer el contexto

La definición de los parámetros internos y externos que deben tenerse en cuenta en la gestión de
riesgos, y el establecimiento del ámbito de aplicación y criterios de riesgo (2,22) para la política de
gestión del riesgo (2,4).
Contexto externo

Entorno externo en el que la organización busca alcanzar sus objetivos

NOTA contexto externo puede incluir:

- Lo cultural, social, político, jurídico, reglamentario, financiero, tecnológico,
económico, natural y competitivo, ya sea internacional, nacional, regional o local;
- Factores claves y las tendencias con repercusiones en los objetivos de la
organización,
- y las relaciones con, y las percepciones.

Contexto interno

Ambiente interno en el que la organización busca alcanzar sus objetivos

NOTA contexto interno puede incluir:

􀛛 Gobernanza, la estructura organizativa, las funciones y responsabilidades;

􀛛 Las políticas, los objetivos y las estrategias que están en marcha para alcanzarlos;
􀛛 La capacidad, entendida en términos de recursos y conocimientos (capital, por ejemplo,
tiempo, Personas, procesos, sistemas y tecnologías);
􀛛 Los sistemas de información, flujos de información y la toma de decisiones (tanto formales
como informales);
􀛛 Relaciones con, y las percepciones y los valores de, grupos de interés internos;
􀛛 Cultura de la organización;
􀛛 Normas, directrices y modelos adoptados por la organización, y
􀛛 La forma y el alcance de las relaciones contractuales.

Comunicación y consulta

Procesos continuos e iterativos que una organización lleva a cabo para proporcionar, compartir y
obtener información y para entablar un diálogo con las partes interesadas (2,13) en relación con la
gestión del riesgo (2,1)

NOTA 1 La información puede referirse a la existencia, naturaleza, la forma, la probabilidad

(2,19), la importancia, la evaluación, la aceptación y el tratamiento de la gestión del riesgo.

NOTA 2 La consulta es un proceso bidireccional de la comunicación informada entre una

organización y sus grupos de interés sobre un tema antes de tomar una decisión o
determinar una dirección sobre esta cuestión. La consulta es:

􀛛 Un proceso que repercute en una decisión por la influencia en lugar de poder, y

􀛛 Una aportación a la toma de decisiones, no toma conjunta de decisiones.

Interesados (Stackholder) Persona u organización que pueden afectar, ser afectados por, o
sienten que se encuentran afectados por una decisión o actividad. NOTA A: la toma de decisiones
puede ser una de las partes interesadas.
La identificación de riesgos

Proceso de encontrar, reconocer y describir los riesgos (2,1)

Nota 1: Identificación de riesgos implica la identificación de las fuentes de riesgo (2,16),

eventos (2,17), sus causas y sus posibles consecuencias (2,18).

NOTA 2 de identificación de riesgos puede incluir datos históricos, el análisis teórico, y

opiniones de expertos, y de Stakeholder (2,13) necesidades.

Fuente de riesgo

Elemento que por sí sola o en combinación tiene el potencial intrínseco para dar lugar a riesgo (2,1).
NOTA: Una fuente de riesgo puede ser tangible o intangible.

Evento

La aparición o cambio de un conjunto particular de circunstancias

NOTA 1: Un evento puede ser uno o más casos, y puede tener varias causas.
NOTA 2: Un evento puede consistir en algo que no sucede.
NOTA 3: Un evento a veces puede ser contemplado como un "incidente" o "accidente".
NOTA 4 Un evento sin consecuencias (2,18) también puede ser contemplado como una
"cerca de la señorita", "incidente", "cerca de Hit" o "cerca de llamada ".

Probabilidad

Posibilidad de que suceda algo

NOTA :1 En la terminología de la gestión de riesgos, la palabra "riesgo" se utiliza para

referirse a la posibilidad de que ocurra algo, si se define, mide, o determinar de forma
objetiva o subjetiva, cualitativa o cuantitativamente, y se describen utilizando términos
generales o las matemáticas (como una probabilidad o frecuencia durante un período de
tiempo determinado).

NOTA 2: El término Inglés "riesgo" no tiene un equivalente directo en algunas lenguas, en

cambio, el equivalente del término "probabilidad" se utiliza a menudo. Sin embargo, en
inglés, "probabilidad" es a menudo de una interpretación restrictiva como un término
matemático. Por lo tanto, en la terminología de la gestión de riesgos, "probabilidad" se utiliza
con la intención de que deben tener la misma amplia interpretación del término
"probabilidad" tiene en muchos idiomas distintos Inglés.

El tratamiento del riesgo

El proceso para modificar el riesgo (2,1)

Nota 1: el tratamiento del riesgo puede incluir:

􀛛 evitar el riesgo al decidir no iniciar o continuar con la actividad que da lugar al riesgo;
􀛛 tomando o aumentar el riesgo con el fin de perseguir una oportunidad;
􀛛 la eliminación de la fuente de riesgo (2,16);
􀛛 cambiar la probabilidad (2,19);
􀛛 cambiando las consecuencias (2,18);
􀛛 compartir el riesgo con la otra parte o partes (incluidos los contratos y la financiación de
riesgo), y
􀛛 mantener el riesgo de decisiones informada.

NOTA 2: tratamientos de riesgo que lidiar con las consecuencias negativas se refieren a
veces como "reducción del riesgo", "riesgo de eliminación "," prevención de riesgos "y"
reducción de riesgos ».

NOTA 3: tratamiento de los riesgos puede crear nuevos riesgos o modificar los riesgos
existentes.

Seguimiento

Control continuo, supervisar, observar críticamente o de determinar el estado a fin de determinar

el cambio del nivel de rendimiento requerido o esperado Seguimiento NOTA puede ser aplicado a
un marco de gestión del riesgo (2,3), el proceso de gestión del riesgo (2,8), el riesgo de (2,1) o el
control (2,26).

Revisar

Actividad emprendida para determinar la conveniencia, la idoneidad y la eficacia de la materia

objeto de lograr objetivos establecidos

NOTA: revisión puede ser aplicada a un marco de gestión del riesgo (2,3), el proceso de
gestión del riesgo (2,8), el riesgo (2,1) o el control (2,26).

Principios

Para la gestión de riesgo para ser eficaz, una organización en todos los niveles deben cumplir con
los principios de abajo.

a) La gestión del riesgo crea y protege el valor.

La gestión del riesgo contribuye a la consecución de los objetivos y demostrables de mejora de la

rendimiento, por ejemplo, la salud humana y la seguridad, la seguridad, jurídica y el cumplimiento
regulatorio, público la aceptación, la protección del medio ambiente, la calidad del producto,
gestión de proyectos, la eficiencia en las operaciones, la gobernanza y la reputación.

b) Es una parte integral de todos los procesos de la organización.

La gestión de riesgos no es una actividad aislada, separada de las principales actividades y procesos
de la organización. La gestión de riesgos es parte de las responsabilidades de gestión y como parte
integrante de todos los procesos de la organización, incluida la planificación estratégica y de todos
los proyectos y la gestión del cambio de procesos.

c) La gestión de riesgos es parte de la toma de decisiones.

La gestión de riesgos ayuda a quienes toman las decisiones tomar decisiones, priorizar acciones y
distinguir entre cursos alternativos de acción.

d) Aborda explícitamente la incertidumbre.

La gestión de riesgos tiene en cuenta explícitamente la incertidumbre, la naturaleza de esa

incertidumbre, y cómo se puede dirigida.

e) La gestión del riesgo es sistemática, estructurada y oportuna.

Un enfoque sistemático, oportuno y estructurado para la gestión del riesgo contribuye a la eficiencia
y para resultados consistentes, comparables y fiables.

f) Se basa en la mejor información disponible.

Las entradas para el proceso de gestión de riesgo se basan en fuentes de información como los datos
históricos, la experiencia, información de los interesados, la observación, pronósticos y opiniones
de expertos. Sin embargo, la decisión los responsables deben informarse, y debe tener en cuenta
las limitaciones de los datos o de modelos utilizados o la posibilidad de divergencia entre los
expertos.

g) La gestión del riesgo es la medida.

La gestión del riesgo se alinea con el contexto externo e interno de la organización y perfil de riesgo.

h) La gestión del riesgo tiene los factores humanos y culturales en cuenta.

La gestión del riesgo reconoce las capacidades, las percepciones y las intenciones de las personas
internas y externas que pueden facilitar u obstaculizar el logro de los objetivos de la organización.

i) La gestión del riesgo sea transparente e inclusivo.

Adecuado y la oportuna participación de los interesados y, en particular, los tomadores de

decisiones en todos los niveles de la organización, asegura que la gestión del riesgo sigue siendo
pertinente y actualizada. También permite la participación de las partes interesadas estén
debidamente representados y que sus opiniones sean tenidas en cuenta en la determinación del
riesgo criterios.

j) La gestión de riesgos es dinámico, interactivo y de respuesta al cambio.

La gestión de riesgos continuamente sentidos y responde a los cambios. Como los acontecimientos
externos e internos ocurren, el contexto y el cambio de conocimiento, seguimiento y revisión de los
riesgos de tener lugar, surgen nuevos riesgos, algunos el cambio, y otras desaparecen.
 k) La gestión de riesgos facilita la mejora continua de la organización.

Las organizaciones deben desarrollar y aplicar estrategias para mejorar su madurez de gestión de
riesgos junto con todos los demás aspectos de su organización.

El Anexo A establece un mayor asesoramiento para las organizaciones que deseen gestionar el
riesgo con mayor eficacia.

4.- Estructura de la Guía.

4.1 General

El éxito de la gestión del riesgo dependerá de la eficacia del marco de gestión que proporciona las
bases y disposiciones que incrustarlo en toda la organización en todos los niveles. El marco ayuda
en la gestión de los riesgos de manera efectiva a través de la aplicación del proceso de gestión del
riesgo (ver punto 5) en la diferentes niveles y dentro de contextos específicos de la organización. El
marco garantiza que la información sobre los riesgos derivados del proceso de gestión de riesgo está
adecuadamente informada y se utiliza como base para la decisión de toma de decisiones y la
rendición de cuentas en todos los niveles pertinentes de organización. Esta cláusula se describen los
componentes necesarios del marco para la gestión del riesgo y la manera en que se interrelacionan
de manera iterativa, como se muestra en la Figura 2.

Este marco no tiene por objeto establecer un sistema de gestión, sino más bien para ayudar a la
organización a la integrar la gestión de riesgos en su sistema de gestión global. Por lo tanto, las
organizaciones deben adaptar las componentes del marco de sus necesidades específicas.
Si las prácticas de gestión existentes en la organización y procesos incluyen componentes de la
gestión de riesgos o si la organización ya ha adoptado un proceso formal de gestión de riesgo para
determinados tipos de riesgo o de situaciones, entonces estos deben ser revisados y evaluados
críticamente en contra de esta norma internacional, incluida la los atributos que figuran en el anexo
A, a fin de determinar su adecuación y eficacia.

Mandato y el compromiso

La introducción de la gestión del riesgo y asegurar su eficacia permanente, requiere fuerte y

sostenido compromiso por parte de la gestión de la organización, así como la planificación
estratégica y rigurosa para alcanzar

Compromiso en todos los niveles. La dirección debería:

􀛛 definir y aprobar la política de gestión de riesgos;

􀛛 garantizar que están alineados la cultura de la organización y la política de gestión de riesgos;
􀛛 determinar los indicadores de gestión de riesgo de incumplimiento que se alinean con los
indicadores de rendimiento de la organización;
􀛛 alinear los objetivos de gestión del riesgo con los objetivos y estrategias de la organización;
􀛛 garantizar el cumplimiento legal y reglamentario;
- asignar responsabilidades y las responsabilidades en los niveles apropiados dentro de la
organización;
􀛛 garantizar que los recursos necesarios destinados a la gestión de riesgos;
􀛛 comunicar los beneficios de la gestión de riesgos a todos los interesados,
􀛛 garantizar que el marco para la gestión del riesgo sigue siendo apropiado.

Diseño de marco para la gestión del riesgo

Comprensión de la organización y su contexto

Antes de iniciar el diseño y la aplicación del marco para la gestión de riesgos, es importante evaluar
y entender tanto el contexto externo e interno de la organización, ya que estos pueden reducir
significativamente en el diseño del marco.

Evaluación de contexto externo de la organización puede incluir, pero no se limita a:

a) la física social y cultural, política, jurídica, reglamentaria, financiera, tecnológica, económica, y

entorno competitivo, ya sea internacional, nacional, regional o local;
b) factores clave y las tendencias con repercusiones en los objetivos de la organización, y la
c) las relaciones con los y las percepciones y los valores de, los interesados externos.

Evaluación de contexto interno de la organización puede incluir, pero no se limita a:

􀛛 Gobernanza, la estructura organizativa, las funciones y responsabilidades;
􀛛 Las políticas, los objetivos y las estrategias que están en marcha para alcanzarlos;
􀛛 Capacidades, entendida en términos de recursos y conocimientos (capital, por ejemplo, tiempo,
personas, procesos, sistemas y tecnologías);
􀛛 Los sistemas de información, flujos de información y la toma de decisiones (tanto formales como
informales);
􀛛 relaciones con, y las percepciones y los valores de, grupos de interés internos;
􀛛 Cultura de la organización;
􀛛 Normas, directrices y modelos adoptados por la organización, y
􀛛 La forma y el alcance de las relaciones contractuales.

El establecimiento de la política de gestión de riesgos

La política de gestión de riesgos debe exponer claramente los objetivos de la organización y su

compromiso, el riesgo de la gestión y, normalmente, aborda los siguientes temas:

􀛛 Fundamento de la organización para la gestión de riesgos;

􀛛 Vínculos entre los objetivos de la organización y las políticas y la política de gestión de riesgos;
􀛛 La rendición de cuentas y responsabilidades de la gestión de riesgos;
􀛛 La forma en que los intereses en conflicto son tratados
Compromiso de hacer de los recursos necesarios para ayudar a los responsables y los responsables
de la gestión del riesgo;
􀛛 La forma en que los resultados de la gestión de riesgo serán medidos y reportado, y
􀛛 El compromiso de revisar y mejorar la política de gestión del riesgo y el marco periódicamente y
en respuesta a un suceso o cambio en las circunstancias.

La política de gestión de riesgos debe ser comunicada apropiadamente.

Rendición de cuentas

La organización debe garantizar que haya rendición de cuentas, la autoridad y las competencias
adecuadas para la gestión del riesgo, incluyendo la implementación y el mantenimiento del proceso
de gestión del riesgo y garantizar la adecuación, eficacia y eficiencia de los controles. Esto puede ser
facilitado por:

􀛛 La identificación de los propietarios de los riesgos que tienen la responsabilidad y la autoridad

para gestionar los riesgos;
􀛛 Identificar quién es responsable de la elaboración, aplicación y mantenimiento del marco para la
gestión del riesgo;
􀛛 Otras responsabilidades de identificación de las personas en todos los niveles en la organización
para la gestión del riesgo proceso;
􀛛 La medición del desempeño que se establece y externos y / o presentación de informes internos
y los procesos de escalada; y
􀛛 Garantizar niveles adecuados de reconocimiento.

Integración en los procesos de organización

Gestión de riesgos debe estar integrada en todas las prácticas de la organización y los procesos de
una manera que es pertinente, eficaz y eficiente. El proceso de gestión de riesgos debe formar parte
de, y no separada de, los procesos de organización.

En particular, la gestión del riesgo debe ser incorporada a la política desarrollo empresarial y
planificación estratégica y revisión, y los procesos de gestión del cambio.

No debería ser una organización en todo el plan de gestión de riesgos para garantizar que la política
de gestión de riesgos es en práctica y que la gestión del riesgo está integrada en todas las prácticas
de la organización y los procesos.

El plan de gestión de riesgo puede ser integrado en otros planes de organización, tales como un plan
estratégico.

Recursos

La organización debe asignar los recursos adecuados para la gestión de riesgos. Se debe considerar
lo siguiente:

􀛛 Las personas, habilidades, experiencia y competencia;

􀛛 Los recursos necesarios para cada paso del proceso de gestión de riesgos;
􀛛 Procesos de la organización, métodos y herramientas que se utilizarán para la gestión de riesgos;
􀛛 Los procesos y procedimientos documentados;
􀛛 La información y los sistemas de gestión del conocimiento, y los programas de formación.

El establecimiento de mecanismos de comunicación interna y la presentación

de informes

La organización debe establecer la comunicación interna y mecanismos de información a fin de

apoyar y de fomentar la rendición de cuentas y la titularidad de riesgo. Estos mecanismos deberían
garantizar que:

􀛛 Componentes clave del marco de gestión de riesgos, y cualquier modificación posterior, se

comunicada apropiadamente;
􀛛 hay informes internos adecuados sobre el marco, su eficacia y los resultados;
􀛛 la información pertinente derivada de la aplicación de la gestión de riesgo es en los niveles
adecuados y los tiempos,
􀛛 hay procesos de consulta con las partes internas.

Estos mecanismos deberían, en su caso, incluyen los procesos para consolidar la información de
riesgo de una variedad de fuentes, y puede tener en cuenta la sensibilidad de la información.

Establecimiento de mecanismos para la comunicación externa y la

presentación de informes
La organización debe desarrollar e implementar un plan de cómo va a comunicarse con los externos
las partes interesadas. Esto implica:

􀛛 Involucrar a los interesados externos adecuados y garantizar un intercambio eficaz de

información;
􀛛 Presentación de informes externos para cumplir con los requisitos legales, reglamentarios y de
gobierno;
􀛛 Proporcionar retroalimentación y presentación de informes sobre la comunicación y de consulta;
- Comunicación utilizando 􀛛 para construir la confianza en la organización, y
􀛛 La comunicación con las partes interesadas en el caso de una crisis o de emergencia.

Estos mecanismos deberían, en su caso, incluyen los procesos para consolidar la información de
riesgo de una variedad de fuentes, y puede tener en cuenta la sensibilidad de la información.

La aplicación de la gestión de riesgos

Aplicación del marco para la gestión del riesgo

En el marco de la aplicación de la organización para la gestión de riesgos, la organización debería:

􀛛 Definir el momento oportuno y la estrategia para la aplicación del marco;

􀛛 Aplicar la política de gestión de riesgos y el proceso de los procesos de organización;
􀛛 Cumplir con los requisitos legales y reglamentarios;
􀛛 Garantizar que la toma de decisiones, incluyendo el desarrollo y establecimiento de objetivos,
está alineado con el los resultados de los procesos de gestión de riesgos;
􀛛 Celebrar sesiones de información y formación, y
􀛛 Comunicación y consulta con las partes interesadas para asegurarse de que su marco de gestión
del riesgo sigue siendo adecuado.

La implementación del proceso de gestión de riesgos

La gestión del riesgo, debe aplicarse a garantizar que el proceso de gestión del riesgo descrito en la
cláusula 5, se aplica a través de un plan de gestión de riesgos en todos los niveles y funciones
pertinentes de la organización como parte de sus prácticas y procesos.

Seguimiento y revisión del marco

Con el fin de garantizar que la gestión de riesgos es eficaz y sigue apoyando el desempeño
organizacional, la organización debe:

􀛛 Riesgo de medir el rendimiento con indicadores de gestión, que son periódicamente revisados
para pertinencia;
􀛛 Periódicamente medir los progresos realizados en contra, y la desviación del plan, la gestión de
riesgos;
􀛛 Revisar periódicamente si el marco de la gestión de riesgos, la política y el plan que siguen siendo
pertinentes, teniendo en cuenta contexto externo e interno de las organizaciones;
􀛛 Informe sobre el riesgo, el progreso con el plan de gestión de riesgos y lo bien que la política de
gestión de riesgo se está seguido,
􀛛 Revisar la eficacia del marco de gestión de riesgos.

La mejora continua del marco

Basándose en los resultados de la vigilancia y opiniones, las decisiones deben tomarse sobre la
forma en la gestión del riesgo marco, la política y el plan puede ser mejorado. Estas decisiones deben
conducir a mejoras en la organización de gestión del riesgo y su cultura de gestión del riesgo.

Proceso General

El proceso de gestión del riesgo debe ser:

􀛛 Una parte integral de la gestión,

􀛛 Arraigados en la cultura y las prácticas,
􀛛 Adaptados a los procesos de negocio de la organización.

Comprende las actividades descritas de 5,2 a 5,6. El proceso de gestión de riesgos se muestra en la
Figura 3.

Comunicación y consulta

Comunicación y consulta con las partes interesadas externas e internas debería tener lugar durante
todas las etapas del proceso de gestión de riesgos. Por lo tanto, los planes de comunicación y
consulta deben desarrollarse en una etapa temprana. Estos deben abordar las cuestiones
relacionadas con el riesgo en sí mismo, sus causas, sus consecuencias (si se conoce), y las medidas
que se adoptadas para tratarla. La comunicación interna y externa efectiva y la consulta debe
llevarse a cabo para garantizar la que los responsables de la aplicación del proceso de gestión del
riesgo y las partes interesadas a entender la base en la que se toman las decisiones, y las razones
por las medidas son necesarias en particular.

Un enfoque de equipo de consulta podrá:

􀛛 ayudar a establecer el contexto adecuado;
􀛛 garantizar que los intereses de las partes interesadas sean entendidas y consideradas;
􀛛 ayudar a garantizar que los riesgos están adecuadamente identificados;
􀛛 traer diferentes áreas de conocimiento para analizar juntos los riesgos;
􀛛 garantizar que los diferentes puntos de vista están debidamente considerados en la definición de
criterios de riesgo y en la evaluación de riesgos;
􀛛 respaldo seguro y el apoyo a un plan de tratamiento;
- mejorar la gestión del cambio apropiados durante el proceso de gestión de riesgos,
􀛛 desarrollar una comunicación externa e interna y un plan de consulta.

Comunicación y consulta con los interesados es importante, ya que emitir juicios sobre el riesgo
sobre la base de sus percepciones de riesgo. Estas percepciones pueden variar debido a diferencias
en los valores, necesidades, suposiciones, conceptos y preocupaciones de los interesados. En sus
puntos de vista puede tener un impacto significativo sobre las decisiones adoptadas, las
percepciones de las partes interesadas deben ser identificados, registrados, y tener en cuenta en la
toma de decisiones proceso.

Comunicación y consulta debería facilitar veraz, relevante, precisa y comprensible intercambios de

la información, teniendo en cuenta aspectos de confidencialidad y la integridad personal.

Establecer el contexto

General

Al establecer el contexto, la organización se articula sus objetivos, define el exterior e interior los
parámetros que deben tenerse en cuenta en la gestión de riesgos, y establece el ámbito de
aplicación y criterios de riesgo para el proceso restante. Si bien muchos de estos parámetros son
similares a los considerados en el diseño de los riesgos marco de gestión (ver 4.3.1), al establecer el
contexto para el proceso de gestión del riesgo, que es necesario considerar en mayor detalle y en
particular cómo se relacionan con el ámbito de los riesgos particulares proceso de gestión.

Establecer el contexto externo

El contexto externo es el entorno externo en el que la organización busca alcanzar sus objetivos.
Comprender el contexto externo es importante para garantizar que los objetivos y preocupaciones
de los exteriores los interesados se consideran en el desarrollo de criterios de riesgo. Se basa en la
organización-contexto más amplia, pero con detalles específicos de los requisitos legales y
reglamentarios, las Percepciones de los interesados y otros aspectos de los riesgos de específicas
para el ámbito de aplicación del proceso de gestión de riesgos.
El contexto externo puede incluir, pero no limitado a:

􀛛 Natural social y cultural, político, jurídico, reglamentario, financiero, tecnológico, económico, y

entorno competitivo, ya sea internacional, nacional, regional o local;
􀛛 Factores clave y las tendencias con repercusiones en los objetivos de la organización, y
􀛛 Las relaciones con las percepciones y los valores de los interesados externos.

Establecer el contexto interno

El contexto interno es el ambiente interno en el que la organización busca alcanzar sus objetivos.
El proceso de gestión de riesgos debe estar alineado con la cultura de la organización, procesos,
estructura y estrategia.

Contexto interno es cualquier cosa dentro de la organización que puede influir en la manera en la
que una organización va a gestionar el riesgo. Debe establecerse debido a que:

a) la gestión del riesgo tiene lugar en el contexto de los objetivos de la organización;

b) los objetivos y criterios de un determinado proyecto, proceso o actividad debe ser considerada a
la luz de objetivos de la organización como un todo, y
c) algunas organizaciones no reconocen las oportunidades para lograr su proyecto estratégico, de
negocios o los objetivos, y esto afecta el compromiso institucional en curso, la credibilidad,
confianza y valor.

Es necesario comprender el contexto interno. Esto puede incluir, pero no limitado a:

􀛛 Gobernanza, la estructura organizativa, las funciones y responsabilidades;

􀛛 Las políticas, los objetivos y las estrategias que están en marcha para alcanzarlos;
􀛛 Capacidades, entendida en términos de recursos y conocimientos (capital, por ejemplo, tiempo,
personas, procesos, sistemas y tecnologías);
􀛛 Las relaciones con los y las percepciones y los valores de los grupos de interés internos;
􀛛 Cultura de la organización;
􀛛 Los sistemas de información, flujos de información y la toma de decisiones (tanto formales como
informales);
􀛛 Normas, directrices y modelos adoptados por la organización, y
􀛛 La forma y el alcance de las relaciones contractuales.

Establecer el contexto del proceso de gestión de riesgos

Los objetivos, estrategias, alcance y los parámetros de las actividades de la organización, o las partes
de la organización en el proceso de gestión de riesgo que se está aplicando, deben ser establecidos.
La gestión de riesgo debe llevarse a cabo con plena consideración de la necesidad de justificar los
recursos utilizados en la realización de gestión de riesgos. Los recursos necesarios, las
responsabilidades y autoridades, y los registros que deben mantenerse también ser especificado.

El contexto del proceso de gestión del riesgo puede variar de acuerdo a las necesidades de una
organización.
Puede implicar, pero no se limita a:

􀛛 la definición de las metas y objetivos de las actividades de gestión de riesgos;

􀛛 para la definición de responsabilidades y en el proceso de gestión de riesgos;
􀛛 la definición del alcance, así como la profundidad y amplitud de las actividades de gestión de
riesgos que deben llevarse a cabo, incluyendo las inclusiones y exclusiones específicas;
􀛛 la definición de la actividad, proceso, función, proyecto, producto, servicio o activo en términos
de tiempo y lugar;
􀛛 la definición de las relaciones entre un determinado proyecto, proceso o actividad y otros
proyectos, procesos o las actividades de la organización;
􀛛 la definición de las metodologías de evaluación de riesgos;
􀛛 definir la forma y el rendimiento, se evalúa la eficacia en la gestión de riesgo;
􀛛 identificar y especificar las decisiones que tienen que ser hechas, y
􀛛 la identificación, la especificación o la elaboración de los estudios necesarios, su alcance y
objetivos, y los recursos necesarios para tales estudios.

La atención a estos y otros factores pertinentes deberían ayudar a asegurar que el enfoque de
gestión de riesgos adoptados es adecuado a las circunstancias, a la organización y los riesgos que
afectan a la consecución de sus objetivos.

Definición de criterios de riesgo

La organización debe definir los criterios que se utilizarán para evaluar la importancia del riesgo. Los
criterios deben reflejan los valores de la organización, objetivos y recursos. Algunos criterios pueden
ser impuestos por, o deriva de, los requisitos legales y reglamentarios y otros requisitos que la
organización suscriba. Los criterios de riesgo deben ser coherentes con la política de gestión de la
organización de riesgo (ver 4.3.2), se definió al principio de cualquier proceso de gestión del riesgo
y revisarse continuamente.

Al definir los criterios de riesgo, factores a considerar deben incluir los siguientes:
􀛛 La naturaleza y los tipos de causas y consecuencias que pueden ocurrir y cómo se mide;
􀛛 Cómo será definida la probabilidad;
􀛛 El plazo (s) de la probabilidad y / o consecuencia (s);
􀛛 Cómo es el nivel de riesgo que se determine;
􀛛 Las opiniones de los interesados;
􀛛 El nivel en que se convierte en riesgo aceptable o tolerable, y
􀛛 Si las combinaciones de los múltiples riesgos que deben tenerse en cuenta y, en caso afirmativo,
cómo y qué combinaciones deben ser consideradas.

La evaluación de riesgos

General
Evaluación de riesgos es el proceso general de identificación de riesgos, análisis de riesgos y
evaluación de riesgos.

NOTA ISO / IEC 31010 proporciona orientación sobre las técnicas de evaluación de riesgos.

Identificación de riesgos

La organización debe identificar las fuentes de riesgo, zonas de impactos, los acontecimientos
(incluyendo los cambios en las circunstancias) y sus causas y sus posibles consecuencias.

El objetivo de este paso es generar una lista completa de los riesgos basados en los acontecimientos
que puedan crear, mejorar, prevenir, degradar, acelerar o retrasar la consecución de los objetivos.
Es importante identificar los riesgos asociados a que no ejercen una oportunidad. La identificación
completa es fundamental, porque el riesgo que no se identifique en esta etapa no podrá ser incluido
en el análisis posterior.

La identificación debe incluir los riesgos o no su fuente se encuentra bajo el control de la

organización, incluso aunque la fuente de riesgo o causa no puede ser evidente. La identificación de
riesgos debe incluir el examen de los efectos en cadena de consecuencias particulares, incluidos los
de cascada y los efectos acumulativos.

También debe considerar una amplia gama de consecuencias, incluso si la fuente de riesgo o causa
no puede ser evidente.

Así como la identificación de lo que podría suceder, es necesario considerar las posibles causas y
situaciones que muestran lo que consecuencias pueden ocurrir. Todas las causas y consecuencias
importantes deben ser consideradas.

La organización debe aplicar herramientas de identificación de riesgos y técnicas que se adaptan a

sus objetivos y capacidades, y de los riesgos que enfrentan. Pertinente y la información actualizada
es importante en la identificación de riesgos. Esto debe incluir información de antecedentes
adecuada que sea posible. Las personas con los conocimientos adecuados deberían de participar en
la identificación de riesgos.

El análisis de riesgos

El análisis de riesgos implica el desarrollo de la comprensión de los riesgos. El análisis de riesgos

proporciona una entrada a los riesgos, la evaluación y las decisiones sobre si los riesgos necesitan
ser tratados, y en el tratamiento del riesgo más adecuadas estrategias y métodos. El análisis de
riesgos también puede aportar su contribución en la toma de decisiones en las elecciones deben ser
realizados y las opciones de participación de los diferentes tipos y niveles de riesgo.
El análisis de riesgos implica la consideración de las causas y las fuentes de riesgo, sus positivos y
negativos de consecuencias y la probabilidad de que esas consecuencias pueden ocurrir. Factores
que afectan a las consecuencias y los riesgos debe ser identificado.

El riesgo es analizado mediante la determinación de las consecuencias y la probabilidad, y otros los

atributos de los riesgos.
Un evento puede tener múltiples consecuencias y puede afectar a múltiples objetivos. Existentes
los controles y su eficacia y eficiencia también debe tenerse en cuenta.

La forma en que las consecuencias y la probabilidad se expresan y la forma en que se combinan para
determinar un nivel de riesgo debe reflejar el tipo de riesgo, la información disponible y de la
finalidad para la que la salida de la evaluación de riesgos se va a utilizar. Todo ello debe ser
coherente con los criterios de riesgo. También es importante a considerar la interdependencia de
los diferentes riesgos y sus fuentes.

La confianza en la determinación del nivel de riesgo y su sensibilidad a las condiciones previas y las
hipótesis deben ser considerados en el análisis, y comunicarse eficazmente a los tomadores de
decisiones y, en su caso, las partes interesadas.

Factores tales como la divergencia de opinión entre los expertos, la incertidumbre, la disponibilidad,
calidad, cantidad y la continuidad de la relevancia de la información, o limitaciones sobre la
modelización debería ser declarada, y se pueden resaltar.

El análisis de riesgos puede llevarse a cabo con diferentes grados de detalle, dependiendo del riesgo,
el objetivo de la el análisis y la información, datos y recursos disponibles.

Análisis pueden ser cualitativos, cuantitativos o semi - cuantitativos, o una combinación de estos,
dependiendo de las circunstancias.

Consecuencias y la probabilidad puede ser determinada por la modelización de los resultados de un

evento o serie de eventos, o por extrapolación de los estudios experimentales o de los datos
disponibles. Las consecuencias pueden ser expresadas en términos de efectos tangibles e
intangibles.

En algunos casos, más de un valor numérico o descriptor es para especificar las consecuencias y la
probabilidad para distintos momentos, lugares, grupos o situaciones.

Evaluación de riesgos

El propósito de la evaluación de riesgos es ayudar en la toma de decisiones, basada en los resultados

de análisis de riesgos, sobre riesgos que necesitan tratamiento y la prioridad para la aplicación del
tratamiento.

Evaluación de los riesgos que supone la comparación del nivel de riesgo identificado durante el
proceso de análisis con criterios de riesgo establecida cuando se considera el contexto. Basándose
en esta comparación, la necesidad de que el tratamiento puede ser considerado.
Las decisiones deben tener en cuenta el contexto más amplio del riesgo y de incluir la consideración
de la tolerancia de los riesgos asumidos por otras partes de la organización que se beneficia de los
riesgos. Las decisiones deben tomarse de conformidad con los requisitos legales, reglamentarios y
otros.
En algunas circunstancias, la evaluación del riesgo puede llevar a una decisión de proceder a su
posterior análisis. El riesgo de evaluación también puede dar lugar no a una decisión de tratar el
riesgo de cualquier otra forma de mantener los controles existentes. Esta decisión se verá influida
por la actitud de riesgo de la organización y los criterios de riesgo que han sido.

El tratamiento del riesgo

General

El tratamiento del riesgo consiste en seleccionar una o más opciones de modificación de los riesgos,
y la aplicación de esas opciones. Una vez en marcha, los tratamientos de proporcionar o modificar
los controles.

El tratamiento del riesgo implica un proceso cíclico de:

􀛛 la evaluación de un tratamiento del riesgo;

􀛛 decidir si los niveles de riesgo residual son tolerables;
􀛛 si no son tolerables, generando un nuevo tratamiento del riesgo,
􀛛 la evaluación de la eficacia de ese tratamiento.

Las opciones de tratamiento de los riesgos no son necesariamente excluyentes o apropiadas en

todas las circunstancias.

Las opciones pueden incluir lo siguiente:

a) evitar el riesgo al decidir no iniciar o continuar con la actividad que da lugar al riesgo;
b) tomar o aumentar el riesgo con el fin de perseguir una oportunidad;
c) eliminar la fuente de riesgo;
d) los cambios en la probabilidad;
e) cambiar las consecuencias;
f) la distribución del riesgo con la otra parte o partes (incluidos los contratos y la financiación de
riesgo), y
g) mantener el riesgo por decisión informada.

Selección de opciones de tratamiento del riesgo

Selección de la opción de tratamiento más adecuado de riesgos consiste en equilibrar los costes y
los esfuerzos de la aplicación contra los beneficios obtenidos, con respecto a los requisitos legales,
reglamentarios y otros, tales como la responsabilidad social y la protección del medio ambiente
natural. Decisiones, también debería tener en cuenta riesgos que pueden justificar el tratamiento
de riesgo que no se justifica por motivos económicos, por ejemplo, grave (alta negativo
consecuencia), pero raras (riesgo bajo) los riesgos.
Un número de opciones de tratamiento pueden ser consideradas y aplicadas de forma individual o
en combinación. La organización que normalmente se pueden beneficiar de la adopción de una
combinación de opciones de tratamiento.

Cuando la selección de las opciones de tratamiento de riesgos, la organización debe considerar los
valores y percepciones de los las partes interesadas y los medios más adecuados para comunicarse
con ellos. Cuando las opciones de tratamiento del riesgo puede impacto sobre el riesgo en otras
partes de la organización o con los interesados, estos deben participar en la decisión.

Aunque igual de eficaces, algunos tratamientos de riesgo pueden ser más aceptables para algunos
grupos de interés que a otros. El plan de tratamiento debe identificar claramente el orden de
prioridad en que los tratamientos individuales de riesgo deben ser práctica.

El tratamiento del riesgo en sí mismo puede presentar riesgos. Un riesgo significativo puede ser el
fracaso o la ineficacia de los riesgos medidas de tratamiento.

La vigilancia debe ser una parte integral del plan de tratamiento del riesgo de dar garantías de que
las medidas siguen siendo eficaces.

El tratamiento del riesgo también puede introducir riesgos secundarios que deben ser evaluados,
tratados, controlados y revisados.

Estos riesgos secundarios deben ser incorporados en el plan de tratamiento igual que el riesgo
original y no se trata como un nuevo riesgo. El vínculo entre los dos riesgos deben ser identificados
y mantenidos.

Preparación y ejecución de planes de tratamiento del riesgo

El objetivo de los planes de tratamiento del riesgo es documentar cómo las opciones de tratamiento
elegido se llevarán a cabo.

La información proporcionada en los planes de tratamiento debe incluir:

􀛛 Las razones para la selección de opciones de tratamiento, incluyendo los beneficios esperados que
se pueden obtener;
􀛛 Los que son responsables de aprobar el plan y los responsables de la ejecución del plan;
􀛛 Acciones propuestas;
Las necesidades de recursos 􀛛 incluidas las contingencias;
􀛛 Medidas de rendimiento y limitaciones;
􀛛 Presentación de informes y los requisitos de control, y
􀛛 Calendario y horario.

Los planes de tratamiento deben ser integrados con los procesos de gestión de la organización y
discutido con partes interesadas pertinentes.
Los tomadores de decisiones y otras partes interesadas deben ser conscientes de la naturaleza y el
alcance del riesgo residual después de la el tratamiento del riesgo. El riesgo residual debe ser
documentado y sometidos a la supervisión, revisión y, cuando su caso, el tratamiento adicional.
Seguimiento y revisión

El seguimiento y la revisión debería ser una parte planificada del proceso de gestión del riesgo y la
participación regular control o vigilancia. Puede ser periódica o ad hoc.

Las responsabilidades de supervisión y revisión deben estar claramente definidas.

El control de la organización y los procesos de revisión deben abarcar todos los aspectos de la
gestión del riesgo, proceso a los fines de:

􀛛 Asegurar que los controles son eficaces y eficientes tanto en el diseño y funcionamiento;
􀛛 La obtención de más información para mejorar la evaluación de riesgos;
􀛛 Analizar y aprender las lecciones de los acontecimientos (incluyendo conatos de accidentes), los
cambios, las tendencias, éxitos y los fracasos;
􀛛 La detección de los cambios en el contexto externo e interno, incluidos los cambios en los criterios
de riesgo y el riesgo en sí mismo que puede requerir una revisión de los tratamientos de riesgos y
prioridades, y
􀛛 La identificación de riesgos emergentes.

El progreso en la aplicación de los planes de tratamiento del riesgo proporciona una medida de
rendimiento. Los resultados pueden ser incorporados en la gestión del rendimiento global de la
organización, la medición interna y externa y las actividades de presentación de informes.

Los resultados del monitoreo y la revisión deben ser registrados y externamente e internamente
informó en su caso, y también debe ser utilizado como insumo para la revisión del marco de gestión
del riesgo (ver 4.5).

Registro del proceso de gestión de riesgos

Las actividades de gestión de riesgos debe ser rastreable. En el proceso de gestión de riesgos,
proporcionar los registros de Fundación para la Mejora de los métodos y herramientas, así como en
el proceso global.

Las decisiones relativas a la creación de registros deben tener en cuenta:

􀛛 Necesidades de la organización para el aprendizaje continuo;

􀛛 Los beneficios de la reutilización de la información a efectos de gestión;
􀛛 Costes y esfuerzos involucrados en la creación y el mantenimiento de registros;
􀛛 Necesidades legales, reglamentarios y operativos de los registros;
􀛛 Método de acceso, la facilidad de recuperabilidad y medios de almacenamiento;
􀛛 Período de retención, y
􀛛 La sensibilidad de la información.

Atributos de la mejor gestión del riesgo

General
Todas las organizaciones deberían tratar en el nivel adecuado de rendimiento de su marco de
gestión del riesgo en de acuerdo con la criticidad de las decisiones que se deben hacer. La lista de
atributos a continuación representa un alto nivel de actuación en la gestión de riesgos. Para ayudar
a las organizaciones para medir su propio desempeño en contra de estos criterios, algunos
indicadores tangibles se dan para cada atributo.

Entre los principales resultados

A.2.1 La organización tiene un conocimiento actual, correcto y completo de sus riesgos.
A.2.2 La organización de los riesgos están dentro de sus criterios de riesgo.

Atributos

Mejora continúa

Se hace hincapié en la mejora continua en la gestión del riesgo mediante el establecimiento de la

organización, metas de desempeño, la medición, la revisión y la posterior modificación de procesos,
sistemas, recursos, capacidad y habilidades.

Esto puede ser indicado por la existencia de objetivos de rendimiento explícito contra el que la
organización y Performance Manager individuo, se mide. El desempeño de la organización puede
ser publicado y comunicado. Normalmente, habrá al menos una revisión anual de rendimiento y, a
continuación una revisión de procesos, y la fijación de objetivos de rendimiento revisadas para el
período siguiente.
.
Esta evaluación de riesgos de gestión del rendimiento es una parte integral del desempeño de la
organización general de evaluación y medición del sistema para los departamentos y los individuos.

Plena responsabilidad por los riesgos

La gestión del riesgo mejorada incluye amplia, totalmente definido y aceptada plenamente la
responsabilidad de los riesgos, los controles y las tareas de tratamiento de riesgos. Las personas
designadas aceptan plenamente la responsabilidad, estén debidamente calificados y disponer de
recursos suficientes para verificar los controles, los riesgos de vigilar, mejorar los controles y
comunicarse de manera efectiva sobre los riesgos y su gestión a las partes interesadas externas e
internas.

Esto puede ser indicado por todos los miembros de una organización está plenamente consciente
de los riesgos, los controles y tareas para que son responsables. Normalmente, esto se hará constar
en el trabajo / descripciones de puestos, bases de datos o de sistemas de información. La definición
de las funciones de gestión de riesgos, responsabilidades y obligaciones debe ser parte de los
programas de inducción de toda la organización.

La organización garantiza que quienes sean responsables están equipados para cumplir esa función,
proporcionándoles con la autoridad, el tiempo, formación, recursos y competencias suficientes para
asumir sus responsabilidades.
Aplicación de la gestión de riesgos en todas las decisiones

Toda toma de decisiones dentro de la organización, cualquiera que sea el nivel de importancia y
trascendencia, implica la consideración explícita de los riesgos y la aplicación de la gestión de riesgos
en cierta medida adecuada.

Esto puede ser indicada por los registros de las reuniones y decisiones para mostrar que las
discusiones explícitas sobre los riesgos se lugar. Además, debería ser posible para ver que todos los
componentes de la gestión de riesgos están representados dentro de procesos clave para la toma
de decisiones en la organización, por ejemplo, para las decisiones sobre la asignación de capital, en
las principales los proyectos y en la reestructuración y los cambios organizacionales. Por
estas razones, el riesgo de una base sólida es visto dentro de la organización como proporcionar la
base para una gobernanza eficaz.