Administracion Del Riesgo

ADMINISTRACION DEL RIESGO
ESTANDAR AS/NZ 4360:1999
1. Alcance, aplicación y definiciones.
1.1. Alcance.
Este estándar provee una guía general para el establecimiento y la implantación de

procesos de administración del riesgo, que dentro de su contexto involucran
identificación, análisis, evaluación, tratamiento, comunicación y monitoreo sobre el
terreno de los riesgos.
1.2 Aplicación.
La administración del riesgo es reconocida como práctica integral de una buena

gerencia. Se trata de un proceso interactivo que contiene pasos, que corresponden a
una secuencia de desarrollo continuo, capacitación e implantación de toma de
decisiones.
Administración del riesgo es un término aplicado a un método lógico y sistemático que

establece el contexto, identificación, análisis, evaluación, tratamiento, monitoreo y
comunicación sobre los riesgos asociados con una determinada actividad, función o
proceso, con el fin de capacitar a las organizaciones para minimizar sus pérdidas y
maximizar sus ventajas. Administración del riesgo es algo como identificar
oportunidades y reducir pérdidas.
Este estándar puede ser aplicado a la totalidad de escenarios en el ciclo de vida de

una actividad, funciones, proyectos, productos o ventajas El mayor beneficio es
generalmente obtenido por los procesos de administración del riesgo en sus
comienzos. Frecuentemente un número de diferentes estudios están fuera de curso
sobre diferentes escenarios de un proyecto.
NOTA: Este estándar puede ser aplicado a un amplio rango de actividades u

operaciones bien del sector público o del sector privado, en empresas comunitarias o
grupos. Ejemplos están dados en el apéndice A.
1.3 Definiciones.
Para el propósito de estándar se aplican las siguientes definiciones.
1.3.1 Consecuencia
El resultado de un evento expresado en forma cualitativa o cuantitativa, que

genera pérdida, daño, desventaja o ganancia. Estos pueden ser un rango de
posibles resultados asociados con el evento.
1.3.2 Costo
De una actividad, tanto directos como indirectos, involucran un impacto negativo,

esto se refiere a dinero, tiempo, trabajo, desorganización, renombre, políticas y
pérdidas intangibles.
1.3.3 Evento
Un incidente o suceso, el cual ocurre en un determinado lugar durante un

determinado intervalo de tiempo.
1.3.4 Árbol de análisis de causas.
Es una técnica que describe en forma ordenada y secuencial los resultados que
pueden originarse de un suceso inicial.
1.3.5 Método de error y análisis de efectos (FMEA)
Es un procedimiento mediante el cual los errores en un sistema técnico son

analizados.
El FMEA puede ser entendido como una manera de identificar los errores, efectos
y análisis crítico (FMECA) En este sistema cada falla identificada es clasificada
según su posibilidad de ocurrencia y la gravedad de sus consecuencias.
1.3.6 Árbol de análisis de fallas
Es un método de ingeniería de sistemas que representa la combinación lógica de

varios estados sistematizados y posibles causas que pueden contribuir a un hecho
específico. (Busca el evento mayor).
1.3.7 Frecuencia
Es una medida sobre el porcentaje de ocurrencia de un evento expresado en

número de ocurrencias o veces que se da un evento. Ver también posibilidad y
probabilidad.
1.3.8 Causa/Amenaza
El origen de un daño potencial o una situación que potencialmente cause pérdidas.
1.3.9 Posibilidad
Se usa como una descripción cualitativa de la probabilidad o la frecuencia.
1.3.10 Pérdida
Una consecuencia negativa, financiera o de cualquier otra índole.
1.3.11 Monitoreo
Para el chequeo, supervisión, observación crítica o el registro del desarrollo de una

actividad, acción o sistema sobre una base regular en orden a identificar cambios.
Página 2/37
1.3.12 Organización
Una compañía, firma, empresa o asociación, o entidad de tipo legal o de cualquier

índole, esto es incorporada o no al sector público o privado, que tiene su propia
función y administración.
1.3.13 Probabilidad
La posibilidad que un evento específico o resultado se dé, medido por el

porcentaje de eventos específicos o resultados dentro de un número total de
posibles eventos. Probabilidad expresada entre los números 0 y 1, en donde cero
indica que es imposible que el hecho ocurra y 1 indica que el evento es cierto, que
se va a dar.
1.3.14 Riesgo residual
Se refiere al margen o residuo de riesgo que puede darse a pesar de las medidas
(controles) tomadas para el manejo del riesgo.
1.3.15 Riesgo
La posibilidad que algo suceda y que tenga un impacto sobre los objetivos. Esto
está medido en términos de consecuencias y posibilidad de ocurrencia.
1.3.16 Aceptación del riesgo
Es la decisión informada de aceptar las consecuencias y la posibilidad de un

riesgo en particular.
1.3.17 Análisis del riesgo
El uso sistemático de evaluar la información para determinar con qué frecuencia

un determinado evento puede ocurrir y la magnitud de sus consecuencias.
1.3.18 Valoración del riesgo.
El conjunto de procesos para analizar el riesgo y evaluar su riesgo, ver Figura

3.1.
1.3.19 Evitar el riesgo.
Decisión informada de no involucrarse en una situación de riesgo.
1.3.20 Control
Se refiere a la parte de la administración de riesgo, que involucra la implantación

de políticas, estándar, procedimientos y cambios físicos para eliminar o minimizar
los riesgos adversos.
1.3.21 Ingeniería de riesgos
Página 3/37
Es la aplicación de principios de ingeniería y métodos para la administración del

riesgo.
1.3.22 Evaluación del riesgo
Los procesos utilizados para determinar prioridades en la administración del riesgo

por la comparación de niveles de riesgo frente a estándares determinados, niveles
objeto del riesgo u aplicación de otro criterio.
1.3.23 Financiando el riesgo
Los métodos aplicados para fondear el manejo del riesgo y las consecuencias
financieras del riesgo.
NOTA: En algunas industrias riesgo financiero solamente hace relación a las
consecuencias económicas del riesgo.
1.3.24 Identificación del riesgo.
Proceso para determinar que está sucediendo, por qué y cómo.
1.3.25 Administración del riesgo
La cultura, los procesos y las estructuras que están dirigidas hacia una efectiva
administración de oportunidades potenciales y efectos adversos.
1.3.26 Procesos de administración del riesgo
La aplicación sistemática de políticas de administración, procedimientos y práctica

para las actividades de establecer el contexto, identificarlo, analizarlo, evaluarlo,
tratarlo, monitorearlo y comunicarlo el riesgo.
1.3.27 Reducción del riesgo
La aplicación selectiva de técnicas apropiadas y principios gerenciales para reducir

cada posibilidad de ocurrencia de un evento o de sus consecuencias o de ambos.
1.3.28 Conservación (retención) del riesgo
Intencionalmente o no conservar la responsabilidad por pérdidas o carga financiera

por pérdidas al interior de la empresa.
1.3.29 Transferir el riesgo
Transferir total o parcialmente la responsabilidad o el peso de la pérdida a otro

lugar a través de legislación. Contratos u otra forma de seguro. Transferir el riesgo
puede también hacer referencia a mover físicamente el riesgo o parte del mismo a
otro sitio.
1.3.30 Tratamiento del riesgo (Administración del riesgo)
Página 4/37
Seleccionar e implantar las opciones apropiadas para tratar con el riesgo.
1.3.31 Análisis de sensibilidad
Examinar cómo los resultados del cálculo de un modelo varían cuando los
supuestos individuales son modificados.
1.3.32 Stakeholders (Objetos del riesgo, los que toman el riesgo)
Son las personas y las organizaciones quienes pueden ser afectadas, son
afectadas por, o perciben que ellos mismos pueden ser afectados por una decisión
o actividad.
Nota: El término stakeholder está incluido en la parte correspondiente definida en

ISO 14050:1998 y en ISO 14004:1996.
2 REQUERIMIENTOS PARA LA ADMINISTRACIÓN DEL RIESGO
2.1 Propósito
El propósito de esta sección es describir el proceso formal para establecer un

sistemático programa de administración del riesgo.
El desarrollo de una política organizacional de administración del riesgo y

mecanismos de soporte es necesario para proveer una estructura que lleve
acabo un programa detallado de administración del riesgo a los niveles de la
organización.
2.2 Política de administración del riesgo.
Los ejecutivos de la compañía deben definir y documentar las políticas de

administración del riesgo, incluyendo sus objetivos, y su compromiso para ello. La
política de administración del riesgo debe ser una estrategia relevante dentro del
contexto de metas de la empresa, un objetivo y la naturaleza del negocio. La alta
gerencia debe asegurarse que esta política es entendida, implantada y mantenida
por todos los niveles de la organización.
2.3 Planeación y Recursos.
2.3.1 Compromiso de la Gerencia
La organización debe asegurar que:
Página 5/37
a) El sistema de administración del riesgo se establece, implanta y mantiene

de acuerdo con estos estándares; y
b) El desempeño del sistema de administración del riesgo es reportada a la
gerencia de la organización para su revisión y como base de su desarrollo.
2.3.2 Responsabilidad y autoridad
La responsabilidad, autoridad y las interrelaciones del personal que ejecuta y

verifica el manejo del riesgo debe estar definido y documentado, especialmente
para aquellas personas que necesitan autonomía y autoridad para atender uno o
más de los siguientes asuntos:
a) Iniciar acción para prevenir o reducir los efectos negativos del riesgo;
b) Tratamiento futuro de los controles sobre el riesgo, hasta que este se
considere aceptable.
c) Identificar y registrar cualquier problema relacionado con el tratamiento del
riesgo.
d) Iniciar, recomendar o proveer soluciones a través de los canales
designados;
e) Verificar la implantación de soluciones; y
f) Comunicar y efectuar consultas tanto internas como externas cuando esto
sea apropiado.
2.3.3 Recursos
La organización debe identificar y proveer los recursos adecuados, incluyendo la

asignación de personal calificado para el manejo, atención del trabajo, y
verificación de las actividades que incluyen revisión interna.
2.4 Programa de implantación
Se requiere un número de pasos para la implementación de un sistema efectivo de

administración del riesgo dentro de la organización. Se muestran unos ejemplos en
el apéndice B(No está dentro de las fotocopias). Depende de administración del
riesgo en conjunto, de la filosofía global, su cultura y estructura, requerirá de
combinar u omitir ciertos pasos. No obstante, todos los pasos deberán ser
considerados.
2.5 Revisión gerencial
Los ejecutivos de la organización deberán asegurar que una revisión del sistema
de administración del riesgo se lleva a cabo en específicos intervalos de tiempo,
suficientes para asegurar que este continua siendo conveniente y efectivo y
satisface los requerimientos de estos estándares, y las políticas y objetivos
establecidos de la empresa. (Ver cláusula 2.2.). Se deben dejar registros de cada
una de estas revisiones.
3. VISION GENERAL DE LA ADMINISTRACION DEL RIESGO
Página 6/37
3.1 General
La administración del riesgo hace parte integral de los procesos gerenciales. La

administración del riesgo es un proceso multifacético, sus aspectos para ser bien
atendidos requieren la conformación de un equipo multidisciplinario. Es un proceso
interactivo en continuo desarrollo.
3.2 Elementos principales.
Los elementos principales que conforman el proceso de administración del riesgo,

que se muestran en la figura 3.1, son los siguientes:
a) Establecer el Contexto
Establecimiento de la estrategia, la administración del riesgo organizacional

dentro de la cual el resto de procesos tienen lugar. Debe establecerse el
criterio contra el cual el riesgo debe ser evaluado y definir la estructura del
análisis.
b) Identificación del riesgo
Identificar que, como y porqué se pueden originar hechos como base para
posterior análisis.
c) Análisis de los riesgos
Determinar la existencia de controles y analizar los riesgos en términos de

consecuencia y probabilidad en el contexto de dichos controles. En el
análisis se debe considerar el grado de la potencial consecuencia y que
tan probable es que tal consecuencia se dé. Consecuencia y probabilidad
deben ser combinados para lograr un estimado del nivel del riesgo.
d) Evaluación del riesgo
Comparar el nivel estimado del riesgo contra un criterio preestablecido.

Estos riesgos permitidos deben ser clasificados así como también se
identifican las prioridades de la gerencia. Si el nivel establecido del riesgo
es bajo, entonces el riesgo se puede considerar dentro de una categoría
aceptable y tratarlo puede ser no necesario.
e) Tratamiento del riesgo
Aceptar y monitorear los riesgos de bajas prioridades. Para otros riesgos,

desarrollar e implantar un plan específico de administración el cual
involucra consideraciones sobre la inversión requerida.
f) Monitoreo y revisión
Monitorear y revisar la aplicación del sistema de administración del riesgo y

los cambios que pueden de manera considerable afectarlo.
Página 7/37
g) Comunicación y consulta.
Comunicarse y consultar tanto con los stakeholder internos como externos

lo apropiado de los procesos de administración del riesgo en cada
escenario, y lo concernientes a estos procesos como un todo.
La administración del riesgo puede ser aplicada en los diferentes niveles en la

organización. Esta puede ser aplicada tanto en el nivel estratégico como en el nivel
operacional. Puede ser aplicada a proyectos específicos, para asesorar en la toma
de decisiones sobre determinadas áreas de riesgo.
La administración del riesgo es un proceso interactivo que contribuye al

desarrollo organizacional. Con cada ciclo, los criterios de riesgo pueden ser
fortalecidos para lograr progresivamente un mejor nivel de administración
del riesgo.
Para cada escenario deben mantenerse registros adecuados, suficientes para

satisfacer una auditoría independiente.
Establecer el contexto
Comunicar y consultar
Identificar riesgos
Monitoreo y revisión
Analizar riesgos
Evaluar riesgos
Tratar los riesgos
Figura 3.1 Vista general de la Administración del riesgo
4. Procesos de la Administración del Riesgo
4.1 Establecer el contexto.
Los detalles sobre los procesos de la Administración del riesgo se muestran en la

figura 4.1. Los procesos se suceden dentro de la estructura de la estrategia de la
organización, organizacional y contexto de administración del riesgo. Estas
necesidades deben ser establecidas para definir los parámetros dentro de los
cuales los riesgos deben ser administrados y para proveer lineamientos para tomar
decisiones dentro de los estudios de administración del riesgo mas detallados.
Esto fija el ámbito para el resto de procesos de administración del riesgo.
Página 8/37
4.1.2 Establecimiento del contexto estratégico
Define las relaciones entre la organización y su medio ambiente,

identificando las fortalezas, debilidades, oportunidades y comportamiento
de la organización. Este contexto incluye los aspectos financieros,
operativos, competitivos, políticas (percepción imagen ante el público),
sociedad, clientes, cultura y aspectos legales del funcionamiento de la
organización.
Identificar a los stakeholder internos y externos, considerar sus objetivos,

tener en cuenta sus percepciones u establecer unas políticas de
comunicación con estas partes.
Nota: El apéndice C contiene una lista de estos potenciales stakeholder.
Este paso esta enfocado al medio ambiente de las operaciones de la

organización. Las empresas deben buscar los elementos cruciales y
determinantes que soportan o afectan estas habilidades para manejar las
etapas del riesgo.
El análisis estratégico de ser atendido. Esta labor debe ser asignada a

ejecutivos de nivel, fijar los parámetros básicos y suministrar la asesoría
mas detallada en los procesos de manejo del riesgo. Aquí se debe cerrar
la relación entre la misión o los objetivos estratégicos de la organización y
el manejo de los riesgos a los cuales está expuesta.
4.1.3 Establecimiento del contexto organizacional.
Antes de comenzar el estudio del manejo del riesgo, es necesario entender

la organización y sus capacidades, así como también sus metas y objetivos
y las estrategias que tiene para lograrlos.
Es importante por las siguientes razones:
a) El manejo del riesgo esta ubicado dentro del contexto completo de

las metas, objetivos y estrategias de la organización.
b) Fallas que afectan los objetivos de la organización o una actividad
específica, un proyecto que ha sido considerado es una situación de
riesgo que debe ser manejada.
c) La política organizacional y metas ayudan a definir el criterio con el
cual se decide que riesgo es aceptable o no y forma las bases de
opciones para tratarlo.
4.1.4 Establecimiento de contexto de la administración del riesgo.
Deben establecerse las metas, objetivos, estrategias, ámbito y parámetros

de una actividad, o parte de la organización que aplica procesos de
administración del riesgo. Los procesos deben corresponder
completamente a las necesidades del balance de costos, utilidades y
Página 9/37
oportunidades. Los recursos requeridos y los registros que deben

mantenerse también deben ser especificados.
Determinar el ámbito y los límites en los cuales se aplican los procesos

para el manejo del riesgo incluye:
a) Definir el proyecto o actividad y establecer sus metas y objetivos.

b) Definir el alcance del proyecto el tiempo asociado y su ubicación.
c) Identificar los estudios necesarios y su alcance, objetivos y recursos
requeridos. Las fuentes genéricas del riesgo y las áreas de impacto
puede servir de guía para esto.
Nota: Para ver fuentes genéricos del riesgo y las áreas de impacto,
referirse al Apéndice D.
d) Definir la extensión y comprensión de las actividades de riesgo a ser
manejadas.
Asuntos específicos que deben ser discutidos aquí, incluyen lo

siguiente:
i.) Los roles y responsabilidades de las diferentes partes de la

organización que intervienen en el tratamiento del riesgo.
ii.) Relación entre el proyecto y los demás proyectos o partes de
la organización.
4.1.5 Desarrollo del criterio para la evaluación del riesgo.
En este punto se decide el criterio contra el cual el riesgo debe ser

evaluado. Decisiones concernientes a la aceptación del riesgo y su manejo
pueden estar basadas en aspectos operativos, técnicos, financieros,
legales, sociales, humanos u otro tipo de criterio. Esto frecuentemente
depende de la política interna de la organización, metas, objetivos y el
interés de los stakeholder.
Aunque el criterio de riesgo es desarrollado como parte de establecer el

contexto de administración del riesgo, estos deben a futuro desarrollarse y
en la medida en que los riesgos particulares son identificados y las técnicas
de análisis de riesgo son seleccionados, por ejemplo: el criterio de riesgo
debe corresponder a un tipo de riesgo y la forma con la cual el nivel del
riesgo es expresado.
Página 10/37
Establecer el contexto
• El contexto estratégico
• El contexto organizacional
• El contexto de la administración
del riesgo.
• Desarrollo del criterio
• Decidir la estructura
Identificar el riesgo
• Qué está sucediendo?
• Cómo está sucediendo?
Análisis del riesgo

Determinar la existencia de controles
Determinar Determinar
probabilidad consecuencia
Comunicación y consulta
Estimar nivel del riesgo

Monitoreo y Revisión
Evaluación del riesgo

• Criterio contra el que se compara
• Fijar prioridades de riesgo
Tomar Si
Riesgos
Riesgos Evaluados
No
Tratamiento del riesgo

• Identificar opciones de tratamiento
• Evaluar opciones de tratamiento
• FSeleccionar opción
• Preparar plan de tratamiento
• Implantar plan
Página 11/37
Figura 4.1 Procesos de Administración del riesgo
4.1.6 Definir la estructura
Esto incluye descomponer la actividad o proyecto en sus elementos. Estos

elementos proveen una estructura lógica para ser identificada y analizada
lo que ayuda a asegurar que los riesgos significativos no son ignorados. La
estructura escogida depende de la naturaleza del riesgo y del alcance
del proyecto o actividad.
4.2 Identificación del Riesgo.
4.2.1 General
Este paso busca identificar el riesgo ha ser administrado. Comprender,

identificar y usar un buen sistema estructurado de los procesos es crítico,
porque un riesgo potencial no identificado en este escenario quedará
excluido de análisis futuros. La identificación debe incluir todos los riesgos
estén estos o no bajo el control de la organización.
4.2.2 Qué puede estar sucediendo
El propósito es generar una lista que contenga todos los eventos que
puedan afectar cada elemento de la estructura mencionada en la cláusula
4.1.6. Se considera entonces aquí con mas detalle identificar qué puede
estar sucediendo.
Nota: El apéndice D provee información sobre las fuentes en general de los

riesgos y sus áreas de impacto.
4.2.3 Cómo y por qué puede estar sucediendo
Estamos identificando una lista de eventos, esto es necesario para

considerar las posibles causas y escenarios. Hay varia maneras para que
los eventos puedan iniciarse. Esto es importante para que ninguna causa
no significativas sean omitidas.
4.2.4 Herramientas y técnicas
Aproximaciones usadas para identificar riesgos incluyen listas de chequeo,

juicios basados en la experiencia y registros, flujogramas, ingenio (malicia)
análisis sistemático, análisis del escenario y técnicas de ingeniería de
sistemas.
El acercamiento utilizado dependerá de la naturaleza de la actividad bajo

revisión y de los tipos de riesgo.
Página 12/37
4.3 Análisis del riesgo.
4.3.1 General.
El objetivo del análisis es separar los riesgos menores aceptados de los

riesgos mas representativos, y proveer información para asesorar en la
evaluación y tratamiento del riesgo. El análisis de riesgo involucra la
consideración del origen del riesgo, sus consecuencias y la probabilidad de
que estas consecuencias puedan ocurrir. Factores tales como el efecto de
las consecuencias y la probabilidad de ocurrencia deben ser identificados.
El riesgo es analizado por la mezcla de estimar consecuencia y
probabilidad en el contexto de medición de los controles existentes.
Un Análisis preliminar puede llevarse a cabo en forma similar para

impactos bajos de los riesgos que están excluidos del estudio detallado.
Podrán excluirse riesgos cuando sea posible, deben sin embargo ser
listados para demostrar lo completo del análisis de riesgos.
4.3.2 Determinando los controles existentes.
Identificar el manejo existente, la técnica y el procedimiento utilizado para

controlar el riesgo y evaluar sus fortalezas y debilidades. Herramientas
usadas en 4.2.4 pueden resultar apropiadas, así como enfoques tales
como la inspecciones y técnicas de autoevaluación del control (CSA).
4.3.3 Consecuencia y probabilidad
La magnitud de la consecuencia de un hecho, si puede este ocurrir, y la

probabilidad que el hecho esté asociado a consecuencias, son evaluadas
en el contexto de los controles existentes. Consecuencias y probabilidad
son evaluadas para determinar el nivel del riesgo. Las consecuencias y la
probabilidad pueden ser determinadas mediante análisis estadísticos y
cálculos. Se evalúan alternativamente hechos históricos, estimativos
subjetivos pueden resultar de opiniones individuales o de grupo sobre la
credibilidad de que un posible hecho tenga ocurrencia.
Para evitar bases subjetivas lo mejor es basarse en la información

disponible sus Fuentes y deben utilizarse técnicas de análisis de las
consecuencias y probabilidad. Como fuentes de información pueden
incluirse las siguientes:
a) Registros históricos
b) Experiencias significativas
c) Práctica de la industria y experiencia
d) Literatura publicada relevante
e) Pruebas de mercadeo e investigación de maercados
f) Experimentos y prototipos
g) Economía, ingeniería y otros modelos
h) Opiniones de especialistas y expertos
Página 13/37
Técnicas incluidas
i) Entrevistas estructuradas con expertos en el área de interés

ii) Conformar equipos multidisciplinarios de expertos
iii) Evaluaciones individuales usando cuestionarios
iv) Usar el computador y otros modelos, y
v) Usar árboles de error y árboles de eventos
Cada vez que sea posible, la confianza requerida sobre estimativos de

niveles de riesgo deben ser incluidos.
4.3.4 Tipos de análisis.
El análisis del riesgo corresponderá a diferentes grados de exactitud,

dependiendo de la información del riesgo y la disponibilidad de datos, El
análisis puede ser cualitativo, semi-cuantitativo, cuantitativo o una
combinación de estos, dependiendo de las circunstancias. El orden de
complejidad y el costo de estos análisis irá ascendiendo en este orden.
Cualitativo, semi-cuantitativo y cuantitativo. En la práctica, el análisis
cualitativo es frecuentemente utilizado inicialmente para obtener un
indicador general del nivel del riesgo. Mas tarde se hace necesario un
análisis que corresponda mas a una verificación cuantitativa. En detalle, los
tipos de análisis son los siguientes:
a) Análisis cualitativo
Este análisis utiliza formas descriptivas para presentar la

magnitud de consecuencias potenciales y la posibilidad de
que estas se presenten. Estas escalas pueden ser
adaptadas o ajustadas a las circunstancias, y diferentes
descripciones se pueden usar para diferentes riesgos.
Nota: Las tablas E1 y E2 del apéndice E muestran unos

ejemplos simples de escalas cualitativas o descriptivas por
probabilidad y consecuencias. La tabla E3 es un ejemplo de
una matriz en la cual los riesgos han sido designados según
prioridad y combinando su probabilidad y consecuencias.
Estas tablas deben elaborarse según las necesidades
particulares de cada organización o el concepto particular del
riesgo evaluado.
Análisis cualitativos usados:
1) Como una actividad de preselección inicial para identificar

riesgos que requieren un análisis mas detallado.
2) Cuando el nivel del riesgo no justifica el tiempo y el esfuerzo

requerido para un análisis mas completo.
3) Cuando los datos numéricos disponibles son inadecuados

para un análisis cuantitativo.
Página 14/37
b) Análisis semi-cuantitativo
En este análisis a las escalas cualitativas como las descritas

anteriormente le son asignados valores. Los números u
ordenamiento dado a los niveles de riesgo no soportan no
son tomados de manera exacta frente a la magnitud real,
consecuencias o probabilidad. El ordenamiento admite que
existan posibles cambios dependiendo del sistema de
evaluación utilizado y la forma de asignar el orden a los
mismos. El objetivo es producir una lista mas detallada y
mejorada llevando a cabo un análisis cuantitativo no se
sugiere una evaluación real hasta intentar un análisis
cuantitativo.
Debe tenerse mucho cuidado con este análisis semi-

cuantitativo, por cuanto las cifras escogidas pueden ser
inapropiadas y llevar a errores e inconsistencias. Este
análisis puede no diferenciar apropiadamente entre los
diferentes riesgos particularmente cuando cada
consecuencia o probabilidad es extrema.
Algunas veces es apropiado considerar que la posibilidad

esta compuesta de dos elementos, generalmente referida a
la FRECUENCIA DE EXPOSICIÓN y la PROBABILIDAD.
Frecuencia de exposición es la extensión en la cual una

fuente de riesgo existe y probabilidad ees la operación que
cuando esa fuente de riesgo existe, se den las
consecuencias. Debe tenerse cuidado al realizar este
ejercicio en situaciones en donde la relación entre estos dos
elementos no es completamente independiente por ejemplo
cuando existe una fuerte relación entres frecuencia de
exposición y probabilidad.
Este acercamiento puede ser aplicado en análisis

semicuantitativos y cuantitativos.
c) Análisis Cuantitativo
El análisis cuantitativo utiliza valores numéricos (Porcentaje

que se utilizan en análisis cualitativos, semicuantitativos) en
ambos casos consecuencias y probabilidad se usan datos de
diversos orígenes. (Tal como se describe en los literales a
hasta h del numeral 4.3.3. La calidad del análisis cuantitativo
depende de lo exactas y completas que estén las cifras
utilizadas.
Las consecuencias pueden ser estimadas mediante modelos

con resultados de eventos o grupo de eventos, o por
extrapolación de estudios experimentales o datos históricos.
Página 15/37
Las consecuencias pueden ser presentadas en términos

monetarios, tecnológicos o criterios humanos, o cualquier
otro criterio mencionado en el punto 4.1.5 En algunos casos
mas de un valor numérico es necesario para presentar
consecuencias en diferentes momentos, lugares, grupos o
situaciones.
La posibilidad es generalmente expresada como una

probabilidad, una frecuencia o la combinación de exposición
y probabilidad.
La forma en la cual la posibilidad y consecuencias son

expresadas y las formas por las cuales ellos se combinan
para proveer el nivel de riesgo, puede variar de acuerdo al
tipo de riesgo y del contexto a nivel del riesgo es utilizado.
Nota: Algunos ejemplos de riesgos expresados

cuantitativamente se dan en el Apéndice F.
4.3.5 Análisis de sensibilidad
Así las cosas algunos de los estimativos efectuados en un análisis

cuantitativo son imprecisos, debiéndose efectuar un análisis de
sensibilidad, probando los efectos ante cambios en supuestos o premisas y
datos.
4.4 Evaluación del riesgo
La evaluación del riesgo incluye comparar los niveles de riesgo encontrado

durante los procesos de análisis con los criterios de riesgo previamente
establecidos.
El análisis del riesgo y los criterios contra el cual es comparado en una evaluación
de riesgo debe ser considerado sobre las mismas bases. De esta forma la
evaluación cualitativa involucra comparaciones de niveles cualitativos del riesgo
contra criterios cualitativos y evaluaciones cuantitativas involucra comparaciones
de niveles numéricos contra criterios de riesgo los cuales deben estar expresados
en números específicos, tales como fallas, frecuencia de valores monetarios.
La fuerza de la evaluación del riesgo esta en la lista de priorización de riesgos para

futuras acciones.
El objetivo de la organización y la cantidad de oportunidades pueden resultar de

tomar el riesgo que debía ser considerado.
Las decisiones deberán tomarse tomando en cuenta todo el contexto del riesgo e
incluyendo consideraciones de la tolerabilidad del riesgo soportado por las partes
de la organización y los beneficios que ella pretende.
Si el resultado es tomar un riesgo considerado bajo o el riesgo es aceptado ellos

aceptan que el tratamiento futuro será mínimo. Riesgos bajos y aceptados deben
Página 16/37
ser monitoreados y periódicamente revisados para asegurar que ellos se

mantienen en niveles aceptables,
Si el riesgo no es considerado bajo o no está en la categoría de aceptable ,

deberán usar uno o mas de los tratamientos indicados en el punto 4.5.
4.4 Tratamiento del riesgo
El tratamiento del riesgo implica identificar el rango de opciones para

tratamiento del riesgo, valorando esas opciones, preparando panes de
tratamiento del riesgo e implantándolos.
4.5.1 Identificando opciones para el tratamiento del riesgo
La figura 4.2 ilustra el proceso para el tratamiento del riesgo.

Opciones que no son necesariamente excluyentes o apropiadas
para todas las circunstancias, se incluye lo siguiente.
a) Evitar que el riesgo por una determinación no sea atendido

para un determinado proceso cuando el riesgo es probable
que se presente en tal actividad. (Cuando esto es
practicable).
Puede ocurrir que evitar el riesgo se efectúe de una manera

inapropiada porque exista una actitud de aversión al riesgo,
lo cual esta una tendencia de muchas personas
(frecuentemente por el sistema interno de la organización)
Evitar de manera inadecuada un riesgo puede incrementar la
importancia de otros riesgos.
Aversión al riesgo resulta en:
1) Decisiones de evitar o ignorar riesgos indiferentes por la

información disponible y los costos incurridos en el
tratamiento de dicho riesgo
2) Error en el tratamiento del riesgo
3) Escoger una salida crítica y/o decisiones superiores de

otras partes
4) Aplazar decisiones las cuales la organización no puede

evitar, o
5) Seleccionar una opción porque esta representa una

pérdida potencial indiferente o beneficios.
b) Reducir la probabilidad de la ocurrencia.

Nota: Ejemplos son mostrados en el apéndice G
c) Reducir las consecuencias.
d) Nota: Ejemplos mostrados en el apéndice G
Página 17/37
Evaluar y clasificar el riesgo
Riesgo
aceptable Aceptado
No
Identificar
Opciones
Comunicar y consultar (Numeral 4.7)
Monitoreo y revisión (Numeral 4.6)

tratamiento Reduce Reduce Transfiere total o Evita
Probabilidad consecuencias parcialmente
Considerar viabilidad costos y beneficios
Recomendar estrategias de tratamiento
Valorar
Opciones Seleccionar estrategia de tratamiento
Tratamiento
Preparar
Planes Preparar plan de tratamiento
Tratamiento
Implantar
Planes Reduce Reduce Transfiere total o Evita
Probabilidad consecuencias parcialmente
Tratamiento
Riesgo
aceptable
Residual
e) Transferir el riesgo
Página 18/37
Hace referencia a buscar respaldo y compartir con otro parte

del riesgo. Se utilizan mecanismos tales como contratos,
pólizas de seguros y estructuras organizacionales cuyos
equipos toman el riesgo o parte del mismo.
Se traslada el riesgo a otra parte, o físicamente se traslada a

otro lugar, se reducirá el riesgo para la organización original,
pero puede que no disminuya el nivel total del riesgo para la
sociedad.
Cuando el riesgo es trasladado total o parcialmente, la

organización que transfiere el riesgo adquiere un nuevo
riesgo, esto es que la organización a la cual se ha transferido
el riesgo no lo maneje efectivamente.
f) Mantener el riesgo (Retener)
Luego de que el riesgo ha sido reducido o transferido,

entonces puede quedar un riesgo residual el cual se
mantiene. Se deben elaborar planes para manejar en el lugar
las consecuencias de estos riesgos que pueden ocurrir, esto
incluye identificar el medio de financiamiento del riesgo. Los
riesgos también pueden mantenerse por defecto, por
ejemplo cuando una falla es identificada y/o transferida
apropiadamente o manejado de otra manera el riesgo.
Reducir las consecuencias y posibilidad puede hacer

referencia también a lo indicado por el control. Los controles
incluyen determinar el beneficio relativo o nuevo control que
avisa sobre la efectividad de un control existente. Los
controles pueden incluir políticas de eficiencia,
procedimientos o cambios físicos.
4.5.2 Valorando las opciones para tratamiento del riesgo.
Las opciones deben ser valoradas teniendo en cuenta que tanto

logran la reducción del riesgo, y lo extenso de beneficios adicionales
o crear oportunidades, teniendo en cuenta los criterios desarrollados
en el numeral 4.1.5. Un número de opciones puede ser considerado
y aplicado individualmente o en forma combinada.
Seleccionar la opción mas apropiada involucra balancear el costo

de implantación de cada opción contra el benefició derivado de la
misma. En general, el costo de manejo de un riesgo necesita ser
medido con el beneficio obtenido.
Cuando se puede obtener una gran reducción del riesgo con relativo
bajo costo, tal opción debe ser implantada. La implantación de una
futura opción puede resultar no económica y se hace necesario
Página 19/37
hacer el ejercicio de determinar si tal opción es justificable. Esto es

ilustrado en la figura 4.3
Las decisiones deben tomarse teniendo en cuenta el necesario

cuidado considerando lo poco frecuente pero severo del riesgo, que
garantice una medida de reducción del riesgo que no sea
justificable o fundamental desde un punto estrictamente económico.
n general si el impacto de tomar un riesgo es bajo, este se debe

tomar independientemente de cualquier otra consideración.
Si el nivel del riesgo es alto, entonces es necesario aceptar el riesgo

sobre la base de una valoración del costo de tratar el riesgo, y los
costos de corregir las potenciales consecuencias frente a las
oportunidades que ofrece tomar el riesgo.
Nivel del riesgo(Valor del riesgo)
Implementar
Medidas
De reducción
Usar criterio
Antieconómico
0 Costo de reducir el riesgo($)
Figura 4.3 Costo de las medidas de reducción del

riesgo
En muchos casos es improbable que una sola opción para tratar el

riesgo sea la completa solución a un problema en particular.
Frecuentemente la organización se beneficiará sustancialmente por
la combinación de opciones tales que reduzcan la posibilidad del
riesgo, reduciendo sus consecuencias, y trasladando o manteniendo
un riesgo residual. Un ejemplo es el efectivo uso de contratos y
soportar el financiamiento del riesgo mediante un programa de
reducción de riesgo.
Página 20/37
Cuando el costo acumulado para implementar el tratamiento de

todos los riesgos excede los presupuestos determinados, el plan
deberá identificar claramente el orden de prioridades con cual los
tratamientos a los riesgos deben ser aplicados. El orden de
prioridades puede establecerse mediante el uso de varias técnicas,
incluido Risk Rankin (clasificación de riesgos) y el análisis de costo
beneficio. Tratamientos de los riesgos los cuales no pueden ser
implantados dentro de los limites del presupuesto determinado,
debe evaluarse la posibilidad de recursos financieros futuros o, si
por alguna razón uno o todos los tratamientos remanentes se
consideran importante, en ese caso debe asegurarse financiamiento
adicional.
El tratamiento del riesgo debe considerar cómo el riesgo es

percibido por las partes afectadas y cual es la forma mas apropiada
comunicar tales circunstancias a todas las partes.
4.5.3 Preparando planes de tratamiento.
Los planes deben documentarse sobre como se escogió la opción

que va a ser implantada.
El plan de tratamiento debe identificar responsabilidades,

programas, resultados esperados del tratamiento, presupuesto,
medidas para verificar el cumplimiento y procesos de revisión a
fijarse en el lugar.
Nota: Para detalles referirse a la parte H5, apéndice H.
El plan debe contener también el mecanismo de implantación de la

opción frente a al criterio de cumplimiento, responsables individuales
y otros objetivos, y como monitorear las partes críticas de la
implantación (señales o indicadores).
4.5.3 Implementando planes de tratamiento.
Ideal, responsabilizar por el tratamiento del riesgo en donde este

nace por los mas capaces para aplicar el control. Las
responsabilidades deben ser acordadas por las partes en menor
tiempo posible.
El éxito de la implantación de un plan de tratamiento requiere un

sistema gerencial efectivo el cual especifique el método elegido,
asignación de responsabilidades y actividades individuales a
ejecutar, y monitores frente al criterio especificado.
Si después del tratamiento existe un riesgo residual, debe tomarse

una decisión sobre de qué manera se retiene el riesgo o se si repite
el proceso de tratamiento del riesgo.
4.6 Monitoreo y revisión.
Página 21/37
Es necesario monitorear los riesgos, la efectividad del plan de tratamiento,

estrategias y sistemas de administración los cuales coloquen por encima la
implantación del control. Riesgos y eficiencia de las medidas de control son
necesarias para monitorear que cambios en las circunstancias no alteren
las prioridades del riesgo. Pocos riesgos se mantienen estáticos.
Revisiones sobre la marcha son esenciales para asegurar que el plan de

tratamiento permanece relevante. Factores tales que puedan afectar la
posibilidad y consecuencias de un resultado pueden cambiar, tanto como
cambian los factores que afectan las conveniencias o el costo de varias
opciones de tratamiento. La revisión hace parte integral del plan gerencias
para tratamiento del riesgo.
4.7 Comunicación y consulta.
Comunicar y consultar es una tema importante a considerar en cada paso

del proceso de administración del riesgo. Es importante desarrollar un plan
de comunicación tanto para la parte interna como externa de los clientes en
los escenarios del proceso. Este plan debe dirigirse a temas relacionados
con el mismo riesgo y el proceso para tratarlo.
Comunicar y consultar involucra dos vías de dialogo entre los tomadores

del riesgo con fortalezas enfocadas a consultar lo mas importante en un
sentido del flujo de información sobre las decisiones tomadas por otros
sujetos de riesgo.
Una comunicación interna y externa efectiva, es importante para asegurar

que los responsables por implantar el manejo del riesgo han entendido el
interés concedido, las bases con las cuáles las decisiones se han tomado y
en particular el por qué de las acciones requeridas.
Percepciones sobre el riesgo pueden variar debido a la diferencia de

supuestos y conceptos y las necesidades, temas e importancia de cómo las
diferentes partes sujetas al riesgo relatan el riesgo y los asuntos bajo
discusión. Los funcionarios probablemente hacen juicios de la aceptabilidad
del riesgo basados en sus propias percepciones del riesgo.
Entonces los funcionarios pueden tener un impacto significativo en la

decisión tomada, esto es importante para su percepción del riesgo, como
es que ellos perciben los beneficios, efectúan la identificación y
documentación y las razones entendidas por ellos para entenderlo y
dirigirlo.
5. DOCUMENTACION
5.1 General
Página 22/37
Cada escenario del proceso de administración del riesgo debe ser

documentado. La documentación deberá incluir presunciones, métodos,
datos de origen y resultados.
5.2 Razones para documentar.
Las siguientes son las razones para documentar:
a) Para demostrar que los procedimientos se condujeron

apropiadamente.
b) Para proveer evidencia de una aproximación sistemática a la
identificación del riesgo y su análisis.
c) Para mantener un registro de riesgos y para el desarrollo de la base
de datos de conocimientos de la organización.
d) Para demostrar que las decisiones tomadas sobre la administración
del riesgo son apropiadas y por ende su subsecuente implantación.
e) Para suministrar un mecanismo y herramienta contable.
f) Para facilitar las labores de revisión y monitoreo
g) Para proveer un entrenamiento de auditoría: y
h) Para compartir y comunicar información.
Decisiones relacionadas con la extensión de los documentos

involucran costos y beneficios y deben tomarse teniendo en cuenta
estos factores.
Guía: Para asistir y dar alguna guía sobre la documentación

apropiada, se proveen ejemplos en el apéndice H, Estos ejemplos
están indicados cono los mas importantes para comprender.
..........................
Página 23/37
APENDICE A:
.........................
xii) detección del fuego/ prevención del fuego
xiii) Operaciones cambio extranjero
xiv) Prevención fraude, detección y manejo.
xv) Salud humanos, animales y plantas
xvi) Sistemas de información / redes de cómputo.
xvii) Inversiones;
xviii) Compendio legal.
xix) Salud ocupacional y seguridad
xx) Operaciones y sistemas de mantenimiento
xxi) Proyectos de la gerencia
xxii) Riesgos públicos y posibilidad general
xxiii) Administración contratos proveedores
xxiv) Asesoramientos profesionales
xxv) Reputación y asuntos de imagen
xxvi) Seguridad
xxvii) Transporte incluye, aire, mar, carretera, ferrocarril
xxviii) Impuestos y financiación.
Página 24/37
APENDICE B
PASOS EN EL DESARROLLO E IMPLANTACIÓN DEL PROGRAMA DE

ADMINISTRACIÓN DEL RIESGO.
PASO 1: Soporte a Gerencia Senior
Desarrollar una filosofía gerencias de la organización sobre el riesgo y una

conciencia de riesgo en el ámbito de la gerencia senior. Esto permite
facilitar el entrenamiento, educación e información de los ejecutivos.
• El soporte sobre el terreno en las organizaciones por parte del

presidente es necesario.
• Un ejecutivo senior o campeón similar (en un equipo) necesita
patrocinar la iniciativa
• Todos los ejecutivos deben dar completo soporte.
PASO 2 DESARROLLO DE UNA POLITICA ORGANIZACIONAL.
Desarrollar y documentar una política corporativa y una estructura para el

manejo del riesgo debe asignarse a los ejecutivos de la organización e
implantarse a través de la organización. L apolítica debe incluir información
tal como:
• Objetivos de la política y razonabilidad del manejo del riesgo.

• El campo entre la política y la estrategia de la organización / plan
corporativo.
• La extensión, o rango de asuntos para los cuales aplica la política.
• Guía de qué puede ser considera cono riesgo aceptable.
• Quién es el responsable del manejo del riesgo.
• El soporte / la experiencia disponible para asistir esta responsabilidad
para manejo de riesgos.
• El nivel de documentación requerida; y
• El plan de revisión organizacional en atención a la ejecución de la
política.
PASO 3: COMUNICAR LA POLÍTICA
Desarrollar, establecer e implantar una infraestructura de ajustes (arreglos

– acciones) para asegurar que el manejo del riesgo se convierta en parte
integral de la planeación, procesos gerenciales y en general cultura de la
organización. Esto puede incluir:
• Establecer un equipo compuesto por personal de gerentes senior para

que sean responsables de la comunicación interna sobre las políticas.
• Aumentar la conciencia acerca del manejo del riesgo
• Comunicar/ diálogos a través de la organización acerca de la
administración del riesgo y las políticas de la organización.
Página 25/37
• Adquirir habilidades para el manejo del riesgo, por ejemplo controles, y

desarrollo de habilidades del staff a través de educación y
entrenamiento.
• Asegurar niveles apropiados de reconocimiento, recompensas y
sanciones; y
• Establecimiento de procedimientos de ejecución gerencial.
PASO 4: MANEJO DE RIESGOS A NIVEL ORGANIZACIONAL
Desarrollar y establecer un programa de manejo de riesgos a nivel

organizacional a través de la aplicación de sistemas de administración del
riesgo delineados en la sección 2. El proceso de manejo del riesgo debe
estar integrado con la planeación estratégica y los procesos gerenciales de
la organización. Esto implica documentar:
• La organización y el contexto del riesgo

• Los riesgos identificados por la organización.
• El análisis y evaluación de estos riesgos
• Las estrategias para su tratamiento
• Los mecanismos para revisión del plan; y
• Las estrategias para aumentar la conciencia adquirir habilidades,
entrenar y educar.
PASO 5: MANEJO PROGRAMA DE RIESGOS, PROYECTO Y NIVEL

DEL EQUIPO
Desarrollar y establecer un programa para el manejo de riesgos por cada

sub-área de la organización, programas, proyectos o equipo activo a través
de aplicación procesos de administración del riesgo delineados en la
sección 4. El proceso de manejo del riesgo debe estar integrado con los
otros planes y actividades gerenciales. Los procesos seguidos, las
decisiones tomadas y los planes de acción deben ser documentados.
PASO 6: MONITOR Y REVISIÓN
Desarrollar y aplicar mecanismos para asegurar revisiones sobre el terreno

de los riesgos. Esto asegurará que la implantación y la política de
administración del riesgo permanezcan relevantes, así las circunstancias
estén cambiadas todo el tiempo y la revisión de decisiones previas es
fundamental. Los riesgos no son estáticos. La efectividad del proceso de
manejo del riesgo deberá ser también monitoreado y revisado.
Página 26/37
APENDICE C. TOMADORES DEL RIESGO (STAKEHOLDERS)
Stakeholder son los individuos quienes están, o perciben por si mismos, los
efectos por las decisiones o actividades. En ellos se pueden incluir:
• Los individuos dentro de la organización, tales como empleados,

gerentes, ejecutivos y voluntarios.
• Quienes toman decisiones
• La Competencia
• Grupos de empleados
• Sindicato
• Instituciones financieras
• Compañías de seguros
• Organizaciones reguladoras estatales que tienen autoridad sobre
las actividades.
• Políticos ( a todo nivel del gobierno) quienes pueden un electorado
o portafolio interesante.
• Organizaciones no gubernamentales tales cono grupos
ambientales y grupos de interés público
• Clientes
• Suministradores, proveedores de servicios y contratistas de la
actividad.
• El medio, quienes son potenciales stkeholders como un buen
conductor de información para otros stakeholders.
• Individuos o grupos quienes están interesados en asuntos
relacionado con el objetivo
• Comunidades locales; y
• Sociedad en general.
Pasado el tiempo, la mezcla de stakeholders puede cambiar,

Nuevos stakeholder pueden aparecer y esto incluye nuevas
consideraciones, también otros pueden omitirse, a través de no
estar involucrados en los procesos, Consecuentemente, el proceso
de análisis de stakeholder debe ser continuo y, también deberá
ser parte integral del proceso de administración del riesgo.
El nivel asignado a un stakeholder puede cambian en respuesta a

nueva información, a cambios de cada stakeholder o por que
nueva información crece para nuevas necesidades asuntos o
relaciones. Nótese también que diferentes stakeholders pueden
tener diferente opinión y diferentes nivel de conocimiento en
relación con determinado asunto.
Página 27/37
APÉNDICE D
ORIGENES GENÉRICOS DEL RIESGO Y SUS ÁREAS DE IMPACTO
D1 GENERAL
Identificando los orígenes de los riesgos y sus áreas de impacto se proporciona

una estructura para identificación de riesgos y análisis. Porque potencialmente son
muchos los orígenes e impactos, desarrollando una lista general enfocada a las
actividades de riesgo se contribuye a una gerencia efectiva.
Orígenes generales de riesgo y área de impacto sol seleccionada de acuerdo con

su importancia en relación con la actividad estudiada. (Ver numeral 4.1.4 y 4.2.2.)
Componentes de cada categoría general se puede conformar a través del estudio
del riesgo.
D2 ORIGENES DEL RIESGO
Cada origen del riesgo tiene un número de componentes, uno de los cuales
determina el nivel del riesgo. Algunos componentes pueden esta bajo el control de
la organización siendo estudiado, alguno otros pueden estar por fuera de control.
Ambos tipos necesitan ser considerados cuando estamos identificando el riesgo.
Orígenes generales del riesgo incluyen:
a) Relaciones comerciales y legales

Entre la organización y otras organizaciones, por ejemplo proveedores,
subcontratistas, comisionistas.
b) Circunstancias económicas
De la organización, del país, internacionales o también factores que
contribuyen a estas circunstancias ejemplo cambio en tasas de interés.
c) Comportamiento humano
Tanto del personal involucrado en la empresa como del que no lo está.
d) Eventos naturales.
e) Circunstancias políticas
Incluye cambios legislativos y factores que pueden influenciar en otros

orígenes del riesgo.
f) Tecnología y temas técnicos.
Tanto internos como externos a la organización
g) Actividades de gerencia y control
h) Actividades individuales
Página 28/37
D3 ÁREAS DE IMPACTO
El análisis del riesgo puede concentrarse en los impactos de un área solamente o

en una variedad posible de áreas de impacto.
Areas de impacto incluyen las siguientes:
a) Ventajas base de recursos
De la organización, incluyendo el personal
b) Fuentes y derechos
c) Costos
De las actividades, tanto directos como indirectos.
d) Gente
e) Comunidad
f) Marca
g) Cronograma y programación de actividades
h) Medio ambiente
i) Intangibles
Tales como la reputación, prestigio, calidad de vida
j) Desempeño organizacional.
D4 IDENTIFICACION DEL RIESGO
Un método de sintetizar la forma como se originan los riesgos en una

organización en mediante el uso de una plantilla de identificación de riesgos
como la clase mostrada en la tabla D1. Las entradas pueden hacerse con
cada marca que muestre en dónde ocurre el riesgo, o con notas
descriptivas mas detalladas.
D5 OTRAS CLASIFICACIONES DEL RIESGO
Diferentes disciplinas frecuentemente categorizan los origines de los

riesgos de otras formas, usando sus términos de riesgo o exposición al
riesgo. Estas clasificaciones pueden estar incluidas en los orígenes del
riesgo listados en D2. Ejemplo son los siguientes:
a) Enfermedad profesional
Página 29/37
Por ejemplo que afectan a los seres humanos, a los animales o a las
plantas
b) Económicos
Ejemplo fluctuación del cambio, tasas de interés, parte del mercado
c) Medio ambiente
Ruido, contaminación, polución.
d) Financieros
Riesgos contractuales, robo de fondos, fraude, multas.
e) Humanos
Disturbios, despilfarros, huelgas, sabotajes, errores.
f) Riesgos naturales
Condiciones climatológicas, terremotos, incendios, plagas, actividad

volcánica.
g) Salud ocupacional y seguridad
Medidas de seguridad inadecuadas, administración de seguridad

pobre.
h) Responsabilidad del producto
Errores de diseño, bajos controles de calidad, inadecuadas pruebas.
i) Responsabilidad profesional
Asesorías erradas, negligencia, errores de diseño.
j) Daños a la propiedad.
Fuego, inundaciones, terremotos, contaminación, error humano
k) Responsabilidad pública
Acceso del público, salidas y seguridad
l) Seguridad
Medidas para el efectivo, vandalismo, robo, hurto de información,

accesos ilegales.
m) Tecnología
Página 30/37
Innovación, obsolescencia, fortaleza de sistema y seguridad.

(explosions se emplea como posibilidad de caídas del
sistema o daños graves).
Tabla D1 Ejemplo de una plantilla de identificación del riesgo.
Area de impacto
Orígenes del riesgo Seleccionar lo que sea aplicable del parágrafo D3
Relaciones comerciales y legales

Económicos
Desempeño humano
Eventos Naturales
Circunstancias políticas
Tecnología/ Asuntos técnicos
Manejo de actividades y control
Actividades individuales
Nota: Los orígenes de los riesgos y las áreas de impacto deben ser adaptadas de
acuerdo con cada organización o actividad.
Página 31/37
APENDICE E
EJEMPLOS DE DEFINICIÓN DE RIESGO Y CLASIFICACIÓN
Tabla E1 Medidas cualitativas de las consecuencias o impacto
Nivel Descripción Ejemplo detallado de la

descripción
1 Insignificante No hay daño, pérdida financiera baja
2 Menor Primer tratamiento de ayuda, se realiza

inmediatamente, genera perdidas financiera
bajas.
3 Moderado Requiere tratamiento médico en el sitio, con
asistencia fuera del sitio, perdidas financieras
medias.
4 Mayor Daños mayores, pérdidas de capacidad de
producción, alivio fuera del sitio sin efectos
perjudiciales, pérdidas financieras mayores.
5 Catastrófico Muerte, liberación fuera del sitio con efectos
perjudiciales, pérdidas financieras enormes.
Nota: Las medidas deben reflejar las necesidades y naturaleza de la organización y de la

actividad bajo estudio.
Tabla E2 Medidas cualitativas de probabilidad
Nivel Descriptor Descripción

A Casi seguro La expectativa de ocurrencia se da en la mayoría de
circunstancias
B Probable Probabilidad de ocurrencia en la mayoría de las
circunstancias
C Posible Ocurre en la mitad de los casos
D Improbable Puede ocurrir algunas veces
E Raro Puede ocurrir solo bajo circunstancias excepcionales
Nota: Esta tabla debe elaborarse a la medida de las necesidades de la organización

individual.
Página 32/37
Tabla E3 Riesgo cualitativo Análisis de matriz - nivel de riesgo
Consecuencias
Posibilidad Insignificante Menor Moderado Mayor Catastrófico
1 2 3 4 5
A Casi seguro H H E E E
B Probable M H H E E
C Moderado L M H E E
D Improbable L L M H E
E Raro L L M H H
Nota: El número de categorías debe reflejar las necesidades del estudio.
Convenciones
E: Riesgo extremo, se requiere acción inmediata

H: Riesgo alto requiere atención de la gerencia senior
M: Riesgo moderado, la gerencia responsable debe efectuar especificaciones
L: Riesgo bajo, se maneja según procedimientos de rutina
Página 33/37
APÉNDICE F. EJEMPLOS DE EXPRESIONES CUANTITATIVAS DEL

RIESGO
F1 Riesgo de pérdida financiera o ganancia.
Las pérdidas financieras (o ganancias) multiplicadas por la frecuencia anual de las

pérdidas (o ganancias) dado el valor esperado en dólares por año.
F2 Riesgo por fatalidades
El riesgo por fatalidades de una actividad puede ser calculado como:
Número de muertes por año en la actividad

Exposición de la población
F3 Desastres naturales o humanos
Las consecuencias pueden ser especificadas utilizando simulaciones

computarizadas y estimados de probabilidades de datos históricos, árboles
de error u otro sistema técnico de ingeniería.
F4 Riesgos de salud
Los riesgos que afectan la salud son generalmente expresados en la

siguiente forma:
a) El número de casos de afecciones a la salud en una población

expuesta comparado con el total de la población. Por ejemplo cinco
nuevos casos en una población expuesta de 100.000 persona es un
-5
riesgo de 5 x 10 por persona expuesta, por año.
b) La rata o probabilidades de muerte antes de un año determinado, con y

sin la exposición al riesgo.
c) El número de fatalidades para el año 70 que son esperadas por el

resultado de una exposición, dividida por el numero de personas
expuestas.
Riesgos de salud pueden ser derivados de datos epidemiológicos(encuesta

poblacionales o fatalidades por enfermedad) o de información experimental
basada en estudios de animales.
Nota: Mejor que calcular el valor promedio de un riesgo, la distribución de

posibles valores puede ser calculada reemplazando el valor promedio de
las variables en los resultados dependan por la distribución apropiada de
valores
Página 34/37
APÉNDICE G. IDENTIFICANDO OPCIONES PARA EL TRATAMIENTO

DEL RIESGO.
G1 Acciones para reducir o controlar la posibilidad
Estas pueden ser:
i) Auditoría y correspondientes programas.

ii) Condiciones contractuales.
iii) Revisiones formales de requerimientos, especificaciones, diseños,
ingeniería y operaciones.
iv) Inspecciones y procedimientos de control.
v) Inversiones y manejo de portafolio.
vi) Manejo de proyectos.
vii) Mantenimiento preventivo
viii) Control de calidad, manejo y standards.
ix) Recursos y desarrollo, desarrollo tecnológico.
x) Entrenamiento estructurado y otros programas.
xi) Supervisión.
xii) Pruebas – testeo.
xiii) Acuerdos organizacionales; y
xiv) Controles técnicos.
G2 Procedimientos para reducir o controlar consecuencias
Estos incluyen:
j) Planes de contingencia
ii) Acuerdos contractuales
iii) Condiciones de contratos
iv) Futuros diseños
v) Planes de recuperación de desastres
vi) Ingeniería y barreras estructurales
vii) Planes para control del fraude
viii) Minimización de exposición a orígenes del riesgo
ix) Planeamiento del portafolio
x) Políticas de precios y controles
xi) Separación o relocalización de una actividad y recursos
xii) Relaciones públicas; y
xiii) Ex gratia payments.
Página 35/37
APÉNDICE H. DOCUMENTACION DE LA ADMINISTRACIÓN DEL

RIESGO.
H1 GENERAL
Para un manejo adecuado del riesgo, se requiere documentación

apropiada. Esto puede ser suficiente para satisfacer una auditoría
independiente. Decisiones relacionadas con la extensión de la
documentación pueden incluir costos y beneficios y deben tomarse
teniendo en cuenta los factores indicados en el numeral 5.2. La política
para el manejo del riesgo debe establecer definiciones sobre las
necesidades de documentación.
Para cada escenario del proceso, la documentación debe incluir:
a) Objetivos
b) Origen de la información
c) Premisas, presunciones y
d) Decisiones
Este apéndice H incluye un ejemplo de registro del riesgo, y un

programa de manejo y plan de acción. Planes para áreas de alto riesgo
deben requerir de mas detalle y especificaciones.
H2 POLÍTICA
En el apéndice B se presentan ejemplo de políticas que pueden ser

establecidas por la organización.
H3 CUMPLIMIENTO Y ESTADO DE LA DEBIDA DILIGENCIA
En algunas circunstancias el cumplimiento y estado de la debida diligencia

puede ser requerida, tal como para formalizar el reconocimiento formal de
responsabilidades por parte de los ejecutivos para cumplir con las políticas
de administración del riesgo y procedimientos.
H4 REGISTRO DEL RIESGO. (Estos ejemplos están solamente indicados).
Para cada riesgo identificado, el registro del riesgo debe indicar:
a) Origen
b) Naturaleza
c) Controles existentes;
d) Consecuencias y probabilidad
e) Valoración del riesgo inicial; y
f) Vulnerabilidad a factores internos y externos
Referirse al siguiente ejemplo proforma como una guía.
Página 36/37
H5 PROGRAMA DE MANEJO DEL RIESGO Y PLAN DE ACCIÓN
Una administración del riesgo y la documentación del plan de acción con el

manejo con controles a ser adoptados debe listar y contener la siguiente
información:
a) Quién es el responsable por la implantación del plan
b) Qué recursos son utilizados
c) Asignación de presupuesto
d) Cronograma de implantación
e) Detalles de los mecanismos y frecuencias de la revisión del
cumplimiento con el plan de manejo.
H6 Monitores y documentos de auditoria
Los monitores y los registros de auditoría deben documentar:
a) Detalles sobre los mecanismos y frecuencia de las revisiones del

riesgo y procesos manejo del riesgo como un todo.
b) Los resultados de la auditoría y procedimientos de auditoría
c) Detalles de cómo las recomendaciones de la revisión han sido
atendidas e implantadas.
Nota: (Traducción libre de GIT Ltda. con la colaboración del Doctor Pedro Orlando Gil Gallo)
Marzo de 2001.
Página 37/37

Administracion Del Riesgo

Încărcat de

Informații document

Descriere originală:

Drepturi de autor

Formate disponibile

Partajați acest document

Partajați sau inserați document

Opțiuni de partajare

Vi se pare util acest document?

Este necorespunzător acest conținut?

Drepturi de autor:

Formate disponibile

Administracion Del Riesgo

Încărcat de

Drepturi de autor:

Formate disponibile

ADMINISTRACION DEL RIESGO

ESTANDAR AS/NZ 4360:1999

1. Alcance, aplicación y definiciones.

Este estándar provee una guía general para el establecimiento y la implantación de

La administración del riesgo es reconocida como práctica integral de una buena

Administración del riesgo es un término aplicado a un método lógico y sistemático que

Este estándar puede ser aplicado a la totalidad de escenarios en el ciclo de vida de

NOTA: Este estándar puede ser aplicado a un amplio rango de actividades u

Para el propósito de estándar se aplican las siguientes definiciones.

El resultado de un evento expresado en forma cualitativa o cuantitativa, que

De una actividad, tanto directos como indirectos, involucran un impacto negativo,

Un incidente o suceso, el cual ocurre en un determinado lugar durante un

1.3.4 Árbol de análisis de causas.

1.3.5 Método de error y análisis de efectos (FMEA)

Es un procedimiento mediante el cual los errores en un sistema técnico son

1.3.6 Árbol de análisis de fallas

Es un método de ingeniería de sistemas que representa la combinación lógica de

Es una medida sobre el porcentaje de ocurrencia de un evento expresado en

El origen de un daño potencial o una situación que potencialmente cause pérdidas.

Se usa como una descripción cualitativa de la probabilidad o la frecuencia.

Una consecuencia negativa, financiera o de cualquier otra índole.

Para el chequeo, supervisión, observación crítica o el registro del desarrollo de una

Una compañía, firma, empresa o asociación, o entidad de tipo legal o de cualquier

La posibilidad que un evento específico o resultado se dé, medido por el

1.3.14 Riesgo residual

1.3.16 Aceptación del riesgo

Es la decisión informada de aceptar las consecuencias y la posibilidad de un

1.3.17 Análisis del riesgo

El uso sistemático de evaluar la información para determinar con qué frecuencia

1.3.18 Valoración del riesgo.

El conjunto de procesos para analizar el riesgo y evaluar su riesgo, ver Figura

1.3.19 Evitar el riesgo.

Decisión informada de no involucrarse en una situación de riesgo.

Se refiere a la parte de la administración de riesgo, que involucra la implantación

1.3.21 Ingeniería de riesgos

Es la aplicación de principios de ingeniería y métodos para la administración del

1.3.22 Evaluación del riesgo

Los procesos utilizados para determinar prioridades en la administración del riesgo

1.3.23 Financiando el riesgo

1.3.24 Identificación del riesgo.

Proceso para determinar que está sucediendo, por qué y cómo.

1.3.25 Administración del riesgo

1.3.26 Procesos de administración del riesgo

La aplicación sistemática de políticas de administración, procedimientos y práctica

1.3.27 Reducción del riesgo

La aplicación selectiva de técnicas apropiadas y principios gerenciales para reducir

1.3.28 Conservación (retención) del riesgo

Intencionalmente o no conservar la responsabilidad por pérdidas o carga financiera

1.3.29 Transferir el riesgo

Transferir total o parcialmente la responsabilidad o el peso de la pérdida a otro

1.3.30 Tratamiento del riesgo (Administración del riesgo)

Seleccionar e implantar las opciones apropiadas para tratar con el riesgo.

1.3.31 Análisis de sensibilidad

1.3.32 Stakeholders (Objetos del riesgo, los que toman el riesgo)

Nota: El término stakeholder está incluido en la parte correspondiente definida en

2 REQUERIMIENTOS PARA LA ADMINISTRACIÓN DEL RIESGO

El propósito de esta sección es describir el proceso formal para establecer un

El desarrollo de una política organizacional de administración del riesgo y

2.2 Política de administración del riesgo.

Los ejecutivos de la compañía deben definir y documentar las políticas de

2.3 Planeación y Recursos.

2.3.1 Compromiso de la Gerencia

La organización debe asegurar que: