Metodología para
COSO 2016
 Base para todos los
componentes de la gestión
del riesgo empresarial.
 La gobernanza del riesgo
establece el tono de la
entidad.
 La cultura se relaciona con
los valores éticos, los
comportamientos
deseados y la comprensión
del riesgo en la entidad. La
cultura se refleja en la
toma de decisiones.
 La gestión del riesgo
empresarial se integra en el
plan estratégico:
 Comprensión del contexto
empresarial,
 Obtener información sobre
los factores internos y
externos.
 Establecer su apetito de
riesgo.
 Los objetivos comerciales
permiten poner en práctica
la estrategia.
 La administración utiliza
información relevante.
 La organización aprovecha
los sistemas de
información para
administrar datos.
 El proceso de identificar
qué información con el fin
de aplicar las prácticas de
ISO 31000
 Establecer el contexto.
 La organización articula sus
objetivos,
 Define los parámetros para
gestionar el riesgo del
proceso.
 Establece el alcance y los
criterios del riesgo para el
resto del proceso.
 Eficacia del marco de
referencia para la gestión,
en todos los niveles de la
organización.
 Ver los diversos niveles y
en contextos específicos de
la organización.
 El marco garantiza que la
información se utilice como
base para la toma de
decisiones.
 los costos y esfuerzos
involucrados en la creación
de los registros;
 las necesidades legales y
operativas para los
registros;
 los métodos de acceso y los
medios de
almacenamiento;
monitorear riesgos
estratégicos.
Pre-Requisitos
 Selección del grupo de
trabajo.
 Sensibilización y
capacitación.
 Elaboración del pan de
trabajo.
 Recursos disponibles que
garanticen la sostenibilidad
de la metodología en el
tiempo.
 Sistema de administración
de riesgos maduros.
 Planeación estratégica.
 Identificación de riesgos
estratégicos.
 Priorización de riesgos
estratégicos.
Definición del mecanismo de
monitoreo
 Que se va a monitorear.
 Cómo monitorear.
 Información que utiliza la
empresa para monitorear
los riesgos.
Recolección de la información
 Estrategia de busqueda.
 Búsqueda de la
información.
 Organización de la
información.
 Registro de información.
 gestión de riesgos
empresariales.
 Una taxonomía de gestión
de riesgo empresarial
proporciona la base para
respaldar datos e
información de riesgo.
 La administración y otro
personal pueden identificar
qué fuentes de información
se necesitan para respaldar
los componentes de la
gestión de riesgos de la
empresa:
• Gobernanza y cultura del
riesgo.
Estrategia y Establecimiento de
objetivos.
• Identificación, evaluación y
respuesta del riesgo.
• Supervisión del rendimiento
de la gestión de riesgos
empresariales.
 Los objetivos de negocio y
los componentes de la
gestión de riesgo
empresarial pueden
cambiar con el tiempo a
medida que la entidad se
adapta a los cambios en los
entornos internos y
externos.
 Los riesgos se priorizan
según su gravedad y
teniendo en cuenta el
apetito de riesgo de la
entidad. La organización
luego selecciona las
respuestas de riesgo y
monitorea el desempeño.
 la sensibilidad de la
información.
 Las decisiones con respecto Análisis de la información
a la creación, conservación
y tratamiento de la
 Generación de informes.
información documentada
 Identificación de nuevos
deberían tener en cuenta,
indicadores claves de
pero no limitarse a su uso,
riesgo (actualización).
la sensibilidad de la
 Identificación de fallas de
información y los contextos
controles actuales.
externo e interno.
 Comparar resultados
 El informe es una parte
objetivos iniciales .
integral de la gobernanza
 Relación de indicadores
de la organización.
claves de riesgo (un solo
 La comunicación y la
indicador no es suficiente
consulta de los intereses
para analizar tendencias).
con las partes involucradas.
 Analizar tendencias de
 La comunicación y la
cambios.
consulta deberían facilitar
 Detección de
los intercambios de
oportunidades, amenazas,
información veraz,
fortalezas y debilidades.
pertinente, precisa y fácil
de entender.
 El tratamiento del Toma de decisiones
riesgo implica un
proceso cíclico de:  Presentación de la
 valoración del información a las personas
tratamiento del riesgo; que toman las decisiones
 decisión sobre si los en la organización.
niveles de riesgo  Estrategias emergentes.
residual son tolerables;  Estrategias contigententes.
 valoración de la  Eliminación de estrategias.
eficacia de dicho
tratamiento.
 Las opciones para el
tratamiento del riesgo
no necesariamente
son mutuamente
excluyentes ni
adecuadas en todas las
circunstancias.