Guía para la aplicación de UNE-ISO 31000:2018

Este libro está dirigido a cualquier organización implicada en la gestión del riesgo y que pretenda seguir las directrices que proporciona la norma en cuanto a la toma de decisiones, el establecimiento y logro de los objetivos o la mejora del desempeño.

De forma práctica ayuda al lector a la comprensión de las definiciones, el marco de referencia y el proceso de gestión del riesgo.

Índice

Presentación . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .9

Sobre la norma ISO 31000 y sus antecedentes . . . . . . . . . . . . . . . . 9

Sobre este libro . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11

Introducción . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13

1 Objeto y campo de aplicación . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19

2 Normas para consulta . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21

3 Términos y definiciones . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23

4 Principios . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33

5 Marco de referencia . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43

5.1 Generalidades . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43

5.2 Liderazgo y compromiso . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47

5.3 Integración . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57

5.4 Diseño . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59

5.4.1 Comprensión de la organización y de su contexto . . . . . . . . . . . . 59

5.4.2 Articulación del compromiso con la gestión del riesgo . . . . . . . . . 72

5.4.3 Asignación de roles, autoridades, responsabilidades y obligación de rendir cuentas en la organización . . . . . . . . . . . . . . . . . . . . . . 83

5.4.4 Asignación de recursos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85

5.4.5 Establecimiento de la comunicación y la consulta . . . . . . . . . . . . 90

5.5 Implementación . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94

5.6 Valoración . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 98

5.7 Mejora . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 100

5.7.1 Adaptación . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 100

5.7.2 Mejora continua . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 100

6 Proceso . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 105

6.1 Generalidades . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 105

6.2 Comunicación y consulta . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111

6.3 Alcance, contexto y criterios . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117

6.3.1 Generalidades . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117

6.3.2 Definición del alcance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118

6.3.3. Contextos externo e interno . . . . . . . . . . . . . . . . . . . . . . . . . . . 125

6.3.4 Definición de los criterios del riesgo . . . . . . . . . . . . . . . . . . . . . 131

6.4 Evaluación del riesgo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 135

6.4.1 Generalidades . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 135

6.4.2 Identificación del riesgo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147

6.4.3 Análisis de riesgo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152

6.4.4 Valoración del riesgo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 168

6.5 Tratamiento del riesgo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 170

6.5.1 Generalidades . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 170

6.5.2 Selección de las opciones para el tratamiento del riesgo . . . . . . 172

6.5.3 Preparación e implementación de los planes de tratamiento del riesgo . . . . . .  175

6.6 Seguimiento y revisión . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 178

6.7 Registro e informe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 179

Bibliografía . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 183

Sobre los autores . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 185

Presentación

Sobre la norma ISO 31000 y sus antecedentes La gestión del riesgo es una actividad crítica para que las organizaciones puedan alcanzar sus objetivos y viene efectuándose desde hace varias décadas desde distintas áreas (seguridad e higiene, medio ambiente, auditoría interna, tecnologías de la información, seguros…).

Diversos modelos de gestión del riesgo sectoriales, como Solvencia en las compañías de seguros, Basilea para la banca o COSO en el campo empresarial, han tenido sucesivas versiones desde la segunda mitad del siglo XX. Pero la normalización internacional de esta área de la gestión no ha iniciado su desarrollo hasta el siglo XXI.

El primer paso dado en este sentido por la Organización Internacional de Normalización (ISO, International Organization for Standardization) en colaboración con la Comisión Electrotécnica Internacional (IEC, International Electrotechnical Commission), fue consensuar entre todos los expertos una terminología común para la buena comprensión de los conceptos relacionados con el riesgo. Para ello, ISO publicó una guía terminológica (ISO Guía 73:2002).

Asimismo, la publicación de la norma australiano-neozelandesa AZ-NZS 4360:2004 fue un aliciente para que ISO crease un comité técnico en cuyo seno se consensuó la primera norma internacional de gestión del riesgo aplicable a cualquier tipo de organización (pública o privada) y de cualquier tamaño: la Norma ISO 31000:2009. A esto se sumó la publicación de una nueva versión de la ISO Guía 73 con una terminología mucho más amplia que la anterior, y de la norma ISO/IEC 31010:2009 Gestión del riesgo. Técnicas de apreciación del riesgo.

Posteriormente, el comité técnico de ISO siguió trabajando en la normalización del riesgo al desarrollar una guía de implementación de la Norma ISO 31000, que dio lugar a la Norma ISO 31004.

Todas estas normas han sido adoptadas y publicadas por la Asociación Española de Normalización, UNE, desde donde los expertos nacionales del comité técnico CTN 307 Gestión de riesgos han participado activamente en los trabajos del comité internacional de ISO.

Tras la publicación en 2012 del Anexo SL del suplemento de ISO consolidado de las Directivas ISO/IEC, Parte 1, donde se desarrolló la Estructura de Alto Nivel o HLS (siglas en inglés de High Level Structure), y en el cual se establece como obligatorio para la elaboración de normas que se definan requisitos de sistemas de gestión independientemente de su ámbito de aplicación, la Norma ISO 31000 cobra una especial relevancia, ya que todas las normas ISO que definan sistemas de gestión tienen que incluir la consideración del riesgo.

Finalmente, en 2014 ISO decidió revisar la Norma ISO 31000, tarea que culminó con su publicación en 2018, consensuada por expertos de más de 70 países, en el seno del comité técnico internacional de normalización ISO/TC 262 Risk Management. Actualmente esta norma es la referencia mundial sobre gestión del riesgo, con amplia aplicación para todas las partes interesadas, ya que sirve de base para la consideración del riesgo en más de 60 normas ISO de sistemas de gestión. Esta norma no supone un sistema de gestión: es una guía de directrices; no obstante, da soporte al tratamiento de la incertidumbre en los sistemas de gestión de la organización.

Su traducción al español, consensuada por representantes de los países de habla hispana, fue realizada en el seno del Comité Técnico ISO/TC 262 por el grupo de trabajo Spanish Translations Task Force (STTF), cuya secretaría técnica fue desempeñada por España a través de UNE y cuya presidencia fue desempeñada por México.

Las ventajas de contar con una traducción unificada al español de la versión de 2018 son innegables después de haber contado con distintas traducciones de la versión anterior en muchos de los países hispanohablantes.

La adopción a nivel nacional de la norma se ha realizado en UNE a través del comité técnico nacional CTN 307 Gestión del riesgo, dando lugar a la Norma UNE-ISO 31000:2018.

Los principales cambios en esta versión de la norma, aparte del cambio de su título son:

• Revisión de los principios de la gestión del riesgo, que son los criterios clave para su éxito.

• Se destaca el liderazgo de la alta dirección y la integración de la gestión del riesgo, comenzando con la gobernanza de la organización.

• Mayor énfasis en la naturaleza iterativa de la gestión del riesgo, señalando que las nuevas experiencias, el conocimiento y el análisis pueden llevar a una revisión de los elementos del proceso, las acciones y los controles en cada etapa del proceso.

• Simplificación del contenido, centrándose en mantener un modelo de sistemas abiertos para adaptarse a múltiples necesidades y contextos.

Sobre este libro

Esta guía pretende facilitar la comprensión y aplicación de la norma, cuyo contenido se reproduce, a través de explicaciones y ejemplos, ya que al ser una guía de directrices aplicable a cualquier tipo de organización y de cualquier tamaño, puede ser en ocasiones demasiado genérica. Es por ello que nuestro principal objetivo ha sido aclarar al lector las definiciones, los principios, el marco de referencia y el proceso de gestión del riesgo tratados en ella.

Este libro no sustituye ni interpreta lo redactado en la norma, simplemente pretende servir de ayuda a quienes quieran abordar la gestión de riesgos. Por tanto, ante cualquier duda o discrepancia, debe prevalecer siempre lo establecido en la norma.

Esperamos que todo ello sea de utilidad al lector. Con ese fin la hemos redactado.