En Gestión de la calidad y administración de riesgos mencionamos los pasos que establece la norma AS/NZS 4360:1999 sobre la Administración de Riesgos, lo cual ampliaremos con mayor detalle a continuación. Los pasos son los siguientes:
Paso 1: Respaldo de la alta gerencia
Similar a lo establecido dentro de todas las filosofías y normas de gestión, inclusive en el desarrollo del Balanced Scorecard, es importante el respaldo decidido de la alta Gerencia, la cual se debe responsabilizar por mantener esta nueva filosofía y ser ejemplo de la toma de conciencia sobre ‘la administración de riesgos’. En toda organización sin el respaldo de la alta gerencia, es preferible no emprender ningún proyecto de esta naturaleza. En el sector público es obligatorio, indiferentemente del apoyo superior, aunque siempre es conveniente.
Paso 2: Desarrollar la política y estructura organizacional
Igual que ISO 9000 e ISO 14000, se requiere desarrollar y documentar una política corporativa para administrar los riesgos, endosada por el ejecutivo de la organización e implementada en toda la organización.
Los aspectos recomendados son:
- Definir los objetivos a partir de la política y cómo administrar los riesgos;
- Al igual que en las otras normas es importante establecer los vínculos entre la política y el plan estratégico / corporativo de la organización;
- El alcance, o el rango de aspectos a los cuales se aplica la política;
- Una guía de lo que puede ser considerado como riesgo aceptable;
- Definición de quién es responsable de administrar riesgos;
- Establecer el apoyo disponible para asistir a los responsables de administrar riesgos;
- Nivel de documentación requerido; y
- Plan para revisar el desempeño organizacional en relación con la política, algo similar a las auditorias internas de ISO. De una u otra forma se debe aplicar el círculo de Mejora Continua de Planear, Hacer, Verificar y Actuar.
Paso 3: Comunicar la política
Asegurar que la administración de riesgos se convierte en una parte integral de los procesos de Planificación Estratégica y de la cultura de la organización.
La norma recomienda los siguientes aspectos:
- Constituir un equipo responsable por la comunicación interna de la política;
- Fortalecer la toma de conciencia acerca de la administración de riesgos;
- Comunicar en toda la organización los alcances de la administración de riesgos;
- Desarrollar una cultura de administración de riesgos, y desarrollar competencias en el personal a través de la formación (educación y capacitación);
- Establecer esquemas apropiados de reconocimiento, recompensas y sanciones, punto que no siempre compartimos por no creer en los castigos y recompensas.
Paso 4: Administrar riesgos a nivel organizacional
Desarrollar y establecer un programa para administrar riesgos a nivel de toda la organización.
El proceso de administración de riesgos debe estar integrado con los procesos de planificación estratégica y gestión de la organización.
Para esto la norma recomienda:
- Analizar el contexto dentro del cual se encuentra la organización y de la administración de riesgos;
- Identificar los riesgos potenciales para la organización;
- Analizar y evaluar estos riesgos mediante la utilización del AMEF (Análisis de Modo y Efectos de Falla);
- Definir las estrategias con las cuales se dará tratamiento al riesgo detectado;
- Establecer mecanismos para revisar los planes de acción; y
- Establecer las estrategias para procurar la toma de conciencia, la adquisición de experciencia, la capacitación y la educación.
Paso 5: Administrar riesgos a nivel de programa, proyecto y equipo
Desarrollar y establecer un programa para administrar los riesgos para cada área de la organizacion, programa, proyecto o actividad de equipo. En este particular es conveniente seguir lo establecido bajo la norma ISO 14000 para la Gestión Ambiental en los programas de gestión ambiental.
Paso 6: Monitorear y revisar
Desarrollar y aplicar mecanismos para asegurar revisiones de los riesgos sobre la marcha, algo similar a las auditorías de los sistemas de gestión ISO.
La gerencia de forma planificada debe revisar la efectividad del sistema de control de riesgos.
