ISO 31000:2018

Antes de decidir a dónde nos llevarán los cambios, usted debe

saber en dónde se encuentra.
(Contexto interno/externo

Objetivos de la organización
Las partes interesadas
¿Qué sabe usted?
¿Qué no sabe?
¿Qué necesita saber?)

Riesgo: efecto de la incertidumbre sobre los objetivos (definición de la ISO 31000:2018)

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018

El enfoque global de la ISO 31000 NO es un sistema de gestión;

es una parte INTEGRAL de la gestión de una organización

La ISO 31000 no es prescriptiva, sin requisitos para certificación; y su

base es la realidad de la organización:
- Su contexto interno/externo
- Sus objetivos
- Sus prácticas existentes
- Su desempeño

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
Desde la versión 2009…
La segmentación de la gestión de riesgos ha perjudicado el progreso en
las organizaciones.
Cada vez más, la alta dirección busca una comprensión global de su
organización y su entorno.
Las organizaciones deben optimizar los diferentes sistemas de gestión e
integrarlos más en la gestión general de la organización.
El enfoque basado en riesgos de las versiones del 2015 de la ISO 9001 y
la 14001, al igual que la ISO 45001, darán lugar a un enfoque global.
El riesgo (“el efecto que la incertidumbre tiene sobre los objetivos”)
tiene en cuenta tanto las oportunidades como las amenazas.
La gestión de riesgos debe iniciar lo más PRONTO posible.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
La versión del 2018 está inspirada en las expectativas y las necesidades
de los usuarios finales.
El lenguaje es simple y claro, a fin de explicar un enfoque global que se
centra en la razón fundamental por la cual se realiza la gestión de
riesgos.
- La creación y la protección del valor, al controlar el
cumplimiento de los objetivos y el desempeño de la organización.
La fuerza del enfoque global radica en integrar la gestión de riesgos en
la gestión, la gobernanza, la estrategia, las actividades operacionales de
la organización, etc.; y de igual manera involucra a las diferentes partes
interesadas internos y externos.
Es evidente que la ISO 31000:2018 es un proceso de aprendizaje para
que la organización refuerce su desempeño y resiliencia.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018

Los principios

Saber a dónde quiere llegar con la gestión de riesgos.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018

El marco de referencia

Los medios para lograr los objetivos de la gestión de riesgos.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018

El proceso

Lo que se debe hacer para tener éxito.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
El riesgo hace parte de cada una de las decisiones que tomamos, cada
una de nuestras acciones y los resultados de toda empresa humana.

¿Hay alguna elección?

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
“La verdadera historia”
Los expertos del Grupo de trabajo 2 del TC 262
Resolución de conflictos entre los profesionales de seguridad y los
profesionales de finanzas.
Emancipación de las prácticas de los sistemas de gestión y sus requisitos.
Reconocer que la ISO 31000 es una guía para la inteligencia de los usuarios
finales sobre las mejores prácticas de gestión de riesgos.
Simplicidad y sentido común para la gestión global de riesgos
Armonización de todas las actividades en la gestión global de riesgos.
El resultado: un grupo abierto, creativo, consciente de, y preocupado por las
necesidades de los usuarios finales.
Río de Janeiro Moscú Amán San Francisco
ISO 31000:2018
Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa
ISO 31000:2018
ISO 31000:2018
 ISO 31000:2018
El enfoque basado en riesgos de los sistemas de gestión

ISO 9001:2015

ISO 14001:2015

ISO 45001

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
El enfoque basado en riesgos de los sistemas de gestión
y
los principios de la ISO 31000:2018
¿El enfoque basado en riesgos de su sistema de gestión está integrado de manera
eficaz en su organización?
¿Está claramente estructurado y es integral para todos las partes interesadas?
¿Es inclusivo, involucrando a las partes interesadas apropiados en el momento
correcto?
¿Utiliza la mejor información disponible?
¿Se tiene en cuenta la influencia de los factores humanos y culturales?

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
El enfoque basado en riesgos de los sistemas de gestión
y
el marco de referencia de la ISO 31000:2018
El liderazgo y el compromiso en el enfoque basado en el riesgo son fundamentales en el
marco.
Todos los elementos del marco de referencia son una parte integral de la gestión de una
organización.
El diseño de los elementos del marco de referencia está determinado por la comprensión
de la gestión de la organización, su contexto y sus objetivos.
La gestión de riesgos es una responsabilidad fundamental en todos los sistemas de
gestión.
El marco de referencia determina la asignación de recursos y la comunicación para la
gestión de riesgos de la organización.
El enfoque basado en riesgos de la ISO 31000:2018 evalúa y adapta continuamente la
gestión de riesgos.
Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa
 ISO 31000:2018
El enfoque basado en riesgos de los sistemas de gestión
y
el proceso de la ISO 31000:2018
El proceso establece el contexto,
define los criterios de los riesgos,
realiza una evaluación estructurada de los riesgos,
identifica el tratamiento apropiado para los riesgos.
para mejorar el desempeño del sistema de gestión y de la organización en el alcance
de sus objetivos

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018

Gobernanza de una organización

➢ La ISO 31000:2018 reitera la importancia de comprender el contexto
interno/externo al momento de establecer los objetivos.
➢ El tratamiento explícito de la incertidumbre y sus efectos en dichos
objetivos fortalece la toma de decisiones informada.
➢ El relacionamiento las partes interesadas internos/externos abre
camino al recibimiento de aportes cruciales en esta toma de
decisiones informada.
➢ La integración de la gestión global de riesgos en la gestión de la
organización consolida y optimiza los múltiples objetivos y recursos
de la misma.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
Gobernanza de una organización
➢ Al asociar la creación y protección de valor, la gobernanza establece
un desempeño organizacional en una base sostenible.
➢ Los principios y el marco de la ISO 31000:2018 implican que la
gobernanza puede valorar mejor las buenas prácticas en su
organización y el potencial de progreso por medio de una gestión de
riesgos mejorada.
➢ El enfoque iterativo de la ISO 31000:2018 permite que, en conjunto,
la gobernanza y la organización respondan en el momento
apropiado a los cambios en el contexto y a los objetivos, y que no
tengan restricciones con base en la lógica organizacional, con
periodos de inactividad innecesarios.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
Continuidad del negocio
➢ El enfoque global de la ISO 31000 agrupa los problemas en riesgos
emergentes, riesgos estratégicos, riesgos financieros, riesgos
operacionales, resiliencia, etc., y proporciona los aportes más
importantes para establecer la capacidad de continuidad del
negocio de una organización.
➢ El hecho de que la gestión global de riesgos haga seguimiento del
contexto interno/externo continuamente cambiante en relación con
los objetivos de la organización, permite que la información y la
disponibilidad de los recursos sean proporcionadas de manera
automática, a fin de mantener actualizada la gestión de la
continuidad del negocio.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
Continuidad del negocio
➢ Debido a que la ISO 31000 trabaja de manera explícita con los riesgos
como una propiedad emergente de una organización, esta norma
refuerza la capacidad de adaptación (incluidas las situaciones
extremas que amenazan la existencia) de una organización en su
totalidad (partes interesadas, estructura, organización, recursos,
etc.).
➢ El proceso de gestión de riesgos en la ISO 31000 tiene el potencial de
generar muchas opciones de tratamiento de los riesgos, lo que abre
el campo para iniciar la planeación de la continuidad del negocio y las
actividades en todos los niveles y etapas de la estrategia y las
operaciones de la organización.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
Sostenibilidad
➢ Puesto que la ISO 31000 es una parte integral de la gestión de una organización,
la gestión global de riesgos se mantiene en las actividades cotidianas de la
organización, utilizando los recursos que ya han sido movilizados para establecer y
lograr los objetivos de la organización.
➢ El principio de crear y proteger el valor establece una meta clara para la gestión
global de riesgos que, a su vez, requiere una comprensión clara del contexto
interno y externo de la organización para determinar sus objetivos y la estrategia,
a fin de lograrlos, así como una consideración de las contribuciones e impactos de
las diferentes partes interesadas.
➢ La ISO 31000 se basa en las propiedades de resiliencia de una organización, y el
enfoque iterativo mantiene su relevancia con respecto a los problemas del mundo
real, lo cual constituye el sentido subyacente de la sostenibilidad de una
organización, la sociedad de la cual esta depende y el mundo natural que
proporciona las condiciones materiales para lograr todos los objetivos.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
El futuro de la familia de normas ISO 31000
➢ La ISO 31010 es una norma de buenas prácticas elaborada por
expertos de ISO e IEC, y se encarga de estudiar las técnicas de gestión
de riesgos, principalmente en las áreas de análisis de peligros y
confiabilidad en los sistemas.
➢ Un grupo de terminología continúa trabajando en los conceptos y el
lenguaje utilizados en la gestión de riesgos.
➢ Un Manual para ayudar en la aplicación de la ISO 31000:2018.
➢ Los grupos de trabajo están desarrollando los documentos de buenas
prácticas en áreas específicas de gestión de riesgos:
➢ Riesgos legales, riesgos en viajes, riesgos emergentes, etc.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31010:2018

➢ 4.2 Características del riesgo.

La ISO 31010 presenta varias de las diferentes visiones del riesgo, mientras
que, en contraste, la ISO 31000 ofrece una visión general del riesgo que refleja
la apreciación humana básica del efecto que la incertidumbre tiene sobre los
objetivos.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31010:2018

➢ Todas las técnicas de evaluación de riesgos que se presentan en esta

norma incluyen experiencia, conocimiento y habilidades para
aplicarlos correctamente, a fin de mejorar la gestión de riesgos en las
áreas específicas donde dichas técnicas hayan sido utilizadas y
probadas para su validez.
➢ Adaptar una técnica a una nueva área requiere una revisión crítica
previa y un seguimiento planeado con criterios previamente
establecidos para verificar si el usuario de la técnica mejora los
resultados de gestión de riesgos en esta área.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31010:2018
Se utilizan las técnicas:

➢ en casos donde se requiera una mayor comprensión acerca de qué

riesgos existen o acerca de un riesgo en particular;

➢ en una decisión en la que se deba comparar u optimizar un rango de

opciones, cada una de las cuales implica riesgos;

➢ en un proceso de gestión de riesgos en el que se generen acciones

para tratar los riesgos.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31010:2018
➢ La gestión de riesgos depende de la complejidad y novedad de la
situación y del nivel de conocimiento y comprensión relevantes.
1.
➢ El caso más sencillo
➢ nada nuevo o inusual en una situación,
➢ se comprende bien el riesgo,
➢ no hay implicaciones o consecuencias graves para las partes
interesadas.
por lo tanto, se decidirán las medidas de acuerdo con las reglas y los
procedimientos establecidos y con las evaluaciones de riesgo
previas.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31010:2018
2.
➢ Problemas nuevos, complejos o desafiantes, alta incertidumbre y
poca experiencia.
➢ Las técnicas de análisis convencionales pueden no ser útiles o
significativas.
➢ Las partes interesadas tienen puntos de vista muy diferentes.
➢ Puede ser necesario utilizar varios métodos.

Las técnicas descritas en esta norma se pueden aplicar principalmente

en situaciones que estén en medio de estos dos extremos donde la
complejidad sea moderada y haya algo de información disponible en la
cual se pueda basar la evaluación.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31010:2018
➢ La definición de riesgo en la ISO 31000 (“el efecto de la
incertidumbre sobre los objetivos”) determina la manera en la que se
deben considerar las técnicas de evaluación en la ISO 31010 (muchas
técnicas han sido utilizadas desde mucho antes de la ISO 31000,
donde el concepto de riesgo estaba enfocado en eventos no
deseados).

➢ El concepto de incertidumbre es complejo pero, en general, la

ISO 31010 lo atribuye a la variabilidad intrínseca de los fenómenos o
a la falta de conocimiento.

➢ En muchas de las técnicas se caracteriza el riesgo.

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa
 ISO 31010:2018

Planificación de las actividades de evaluación

Gestión de la información

Aplicación de las técnicas de evaluación de riesgos

Verificación y validación de los resultados

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
Técnicas de identificación

➢ Listas de verificación, clasificaciones y taxonomías.

➢ Análisis modal de fallos y efectos (AMFE) y Análisis modal de fallos,
efectos y su criticidad (AMFEC).
➢ Análisis funcional de operatividad (AFO).
➢ Análisis del escenario.
➢ Técnica estructurada what if (SWIFT, por sus siglas en inglés).

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
Análisis de las fuentes y las causas de riesgos
➢ Enfoque a partir de la cindínica.
➢ Método Ishikawa (espina de pescado).

Técnicas para analizar los controles

➢ Análisis bow tie.
➢ Análisis de peligros y puntos de control críticos (APPCC).
➢ Análisis de capas de protección (LOPA, por sus siglas en inglés).

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
Técnicas para comprender consecuencias,
probabilidades y riesgos
➢ Análisis bayesiano.
➢ Redes bayesianas.
➢ Análisis de impacto al negocio (BIA, por sus siglas en inglés).
➢ Análisis de árbol de sucesos (ETA, por sus siglas en inglés).
➢ Análisis de árbol de fallas (FTA, por sus siglas en inglés).
➢ Análisis de causa y efecto (CCA, por sus siglas en inglés).
➢ Análisis de confiabilidad humana (HRA, por sus siglas en inglés).

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa

 ISO 31000:2018
Técnicas para comprender consecuencias, probabilidades y riesgos
➢ Análisis de Markov.
➢ Simulación de Monte Carlo.
➢ Evaluación de riesgo toxicológico.
➢ Valor en riesgo (VaR, por sus siglas en inglés).
➢ Valor en riesgo condicional (CVaR, por sus siglas en inglés) o pérdida
esperada (ES, por sus siglas en inglés).
➢ Técnicas para analizar dependencias e interacciones.
➢ Mapeo de causas.
➢ Análisis de impacto cruzado.
Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa
 ISO 31000:2018

¡Muchas gracias!
Merci,
Thanks!
¿Preguntas?

Steve O’BRIEN, experto en la ISO TC 262 2018 y jefe de la delegación francesa