Puesto
Gestión de riesgos
¿Cómo sabéis que vuestro registro de riesgos describe la empresa de hoy? Si lo actualizasteis por última vez en la revisión anterior con la dirección, describe la empresa de hace un año.
Conversación inicial
Cuatro preguntas por las que empezaríamos
¿Cómo sabéis que el registro de riesgos está vigente?
Si el único momento de actualización es un taller anual, entre talleres el registro es un documento histórico.
¿Cuándo se decide una acción para reducir un riesgo?
En una revisión, o cuando el riesgo ya se ha materializado. Esa distinción decide si la función de riesgos tiene sentido.
¿Qué queda de un taller de riesgos cuando sus participantes se van?
Si es una lista sin motivación y sin acciones asignadas, el taller siguiente empieza de cero.
¿Qué tipo de suceso se repite más a menudo?
Los sucesos que ya han ocurrido son la fuente de conocimiento sobre riesgo más barata, siempre que alguien los reúna.
Nos quedamos con llevar el registro, vosotros con la evaluación del riesgo
Recoger señales, mantener el registro, perseguir las acciones y preparar los informes se pueden quitar del escritorio. Juzgar la probabilidad y el impacto se queda con una persona.
- El registro se actualiza con señales, no solo con talleres. - Sucesos, reclamaciones, averías y hallazgos de auditoría alimentan la imagen del riesgo entre revisiones.
- Un riesgo tiene una acción y un responsable asignados. - Una entrada sin acción se ve como una entrada sin acción, no como una línea de una tabla.
- La evaluación sigue siendo subjetiva, pero deja de ser injustificada. - Registramos sobre qué descansa la evaluación, para que en la revisión siguiente se pueda cuestionar o confirmar.
Alcance
Qué se puede quitar de la gestión de riesgos
Dieciocho tareas de ejemplo. Cada una tiene un punto de aprobación humana. Abajo una selección, y el alcance lo ajustamos a vuestro modelo de riesgos.
Identificación de riesgos
- Recoger señales de sucesos, auditorías y reclamaciones
- Una entrada nueva propuesta para el registro (decisión: el especialista)
- Enlazar un riesgo con un proceso y un responsable
- Señalar las áreas sin riesgos identificados
Evaluación y prioridades
- Un registro de evaluaciones con la motivación y la fecha
- Comparar una evaluación con el historial de sucesos de esa área
- Una señal sobre un riesgo evaluado hace mucho y nunca verificado
- Riesgos expuestos por prioridad (decisión: el especialista)
Acciones de mitigación
- Asignar una acción a un riesgo con fecha y responsable
- Señalar los riesgos sin acción asignada
- Un recordatorio sobre una acción que se acerca a su fecha
- Juzgar si una acción cambió el nivel de riesgo (valoración: el especialista)
Monitorización de señales
- Indicadores de alerta temprana por riesgo
- Una señal cuando se cruza un valor umbral
- Sucesos que pueden indicar materialización, expuestos
El informe para la dirección
- Un borrador de informe a partir del registro y las acciones (aprobación: el especialista)
- Los cambios del registro desde la revisión anterior
- Los riesgos que necesitan una decisión de la dirección, expuestos
Un día de trabajo
Hoy
- Actualizáis el registro antes de una revisión, recogiendo los datos por correo
- Las evaluaciones descansan sobre un taller de hace un año, sin motivación registrada
- Perseguís con recordatorios las acciones asignadas a riesgos
- No sabéis qué riesgos no tienen acción alguna
- Los sucesos de la empresa no llegan al registro
- Montáis el informe de dirección a mano durante varios días
Con asistencia de IA
- El registro se alimenta de señales de sucesos y hallazgos
- Una evaluación tiene su motivación y su fecha registradas, así que se puede verificar
- Las acciones tienen responsable, fecha y recordatorio
- Los riesgos sin acción están señalados
- Los sucesos de la empresa están resumidos por tipo
- El informe sale del registro y vosotros aportáis las conclusiones
- Un registro vigente
el registro describe la empresa de hoy
las señales lo alimentan entre revisiones
- Riesgos enlazados con acciones
menos entradas sin respuesta alguna
una acción que falta se ve como ausente
- Señales antes de la materialización
un riesgo que se materializa puede verse antes
los indicadores de umbral están monitorizados
- Una base para las decisiones de la dirección
la revisión va de los cambios y no de reconstruir la lista
el informe sale del registro sobre la marcha
Empezamos por enlazar riesgos con acciones, porque es lo que más rápido muestra dónde el registro está muerto.
- Paso 1
Un registro con responsables y acciones
Cada riesgo con un proceso, un responsable y una acción, o con la ausencia de acción puesta de manifiesto.
- Paso 2
Señales de sucesos
Sucesos, reclamaciones, averías y hallazgos de auditoría alimentando el registro.
- Paso 3
Indicadores de alerta temprana
Umbrales y señales para los riesgos que se pueden medir.
- Paso 4
El informe para la dirección
Los cambios desde la última revisión y los riesgos que necesitan decisión. Al final, porque requiere un registro vivo.
Preguntas frecuentes
Preguntas que surgen en la primera reunión
¿En qué se diferencia esto de la auditoría interna y del cumplimiento?
La auditoría comprueba si se está haciendo lo acordado. El cumplimiento vigila la conformidad con las obligaciones. El riesgo trata de qué puede pasar aunque no haya pasado todavía, y por eso es el único de los tres que funciona sin evidencia dura.
¿Sobrevivirá este puesto si el registro se actualiza solo?
El registro se actualiza con señales, pero juzgar la probabilidad y el impacto es un criterio, y ese criterio es este puesto. Nos quedamos con la recogida, la persecución de acciones y el montaje del informe para una revisión. Un especialista que no dedica dos semanas a preparar material trabaja sobre los riesgos que nadie ha nombrado todavía.
¿Esto entra en el ámbito del Reglamento de IA?
La gestión de riesgos no es un uso de alto riesgo. El único punto que requiere cuidado es que las señales sobre sucesos no sumen una evaluación de las personas responsables de áreas: llevamos el registro por proceso y no por persona.
¿Os queda alguna pregunta que no esté aquí? Reservad una llamada
Siguiente paso
¿Cuántas entradas de vuestro registro de riesgos no tienen acción asignada?
Os enseñaremos cómo es la gestión de riesgos cuando el registro se alimenta de sucesos y una evaluación tiene su motivación registrada.