GESTIÓN DEL RIESGO

NTC ISO 31001

 ESTABLECER EL CONTEXTO
•El contexto interno
•El contexto externo
•El contexto de la gestión del riesgo
•Criterios de desarrollo
•Definición de la estructura

IDENTIFICAR EL RIESGO
•¿Qué puede suceder?
•¿Dónde y cuándo?
COMUNICACIÓN Y CONSULTA

•¿Cómo y porqué?

MONITOREO Y REVISION
ANALIZAR LOS RIESGOS
Identificación de los controles existentes
Determinar Determinar
las la
consecuencias posibilidad

Determinar el nivel del riesgo

EVALUAR LOS RIESGOS

Evaluar los riesgos
Comparación contra criterios
Establecer prioridades

Tratamiento de los No
Riesgos
Si

TRATAR EL RIESGO
•Identificar opciones
•Evaluar opciones
•Preparar e implementar planes de tratamiento
•Analizar y evaluar el riesgo residual
PROBABILIDAD:
Se define como la posibilidad de
ocurrencia del riesgo. Lo medimos
con criterios de frecuencia.
CATEGORIA PROBABILIDAD

Alta Muy factible que el hecho

se presente
Media Es factible que el hecho se
presente
Baja Es poco factible que el
hecho se presente
IMPACTO:
Son las consecuencias que puede ocasionar
a la institución la materialización del riesgo
CATEGORIA IMPACTO

Catastrófica, Alto Impacto sobre la

Grave institución
Moderado Medio impacto o efecto
sobre la Institución
Leve Leve impacto o efecto
sobre la Institución
Probabilidad Valor

ALTA
3 15 30 60
Zona de riesgo Zona de riesgo Importante Zona de riesgo
moderado Reducir el riesgo inaceptable
Evitar el riesgo Evitar el riesgo Evitar el riesgo
Compartir o transferir el Reducir el riesgo
riesgo Compartir o
transferir

MEDIA
2 10 20 40
Zona de riesgo Zona de riesgo moderado Zona de riesgo
tolerable Reducir el riesgo importante
Asumir el riesgo Evitar el riego Reducir el riesgo
Reducir el riesgo Compartir o transferir el Evitar el riego
riesgo Compartir o
transferir
BAJA
1 5 10 20
Zona de riesgo Zona de riesgo tolerable Zona de riesgo

Evaluación del Riesgo en la

Aceptable
Asumir el riesgo
Reducir el riesgo
Compartir o transferir
moderado
Reducir el riesgo

Institución Compartir o
transferir

Impacto Leve Moderado Catastrófica

Valor 5 10 20
  POLITICAS DE ADMINISTRACIÓN DEL RIESGO
 Cualquier esfuerzo que emprenda la organización en cuanto a la valoración del riesgo llega a ser vano, si no culmina en
un adecuado manejo y control del mismo, mediante la implementación de acciones, tales como políticas de
administración y gerencia, estándares, procesos, procedimientos, cambios físicos, entre otros, que hagan parte de un
plan de manejo.
 Para el manejo del riesgo se pueden tomar en cuenta las siguientes opciones, las cuales se pueden considerar de
manera independiente, interrelacionada, o en conjunto:

 ♦ Evitar el riesgo: Es siempre la primera alternativa a considerar. Se logra

cuando al interior de los procesos se generan cambios sustanciales por
mejoramiento, rediseño o eliminación, resultado de unos adecuados controles y
acciones emprendidas. Un ejemplo de esto puede ser el control de calidad, el
manejo de los insumos, el mantenimiento preventivo de los equipos, el desarrollo
tecnológico.
 ♦ Reducir el riesgo: Si el riesgo no puede ser evitado porque crea grandes
dificultades operacionales, el siguiente paso es reducirlo al más bajo nivel posible.
La reducción del riesgo es probablemente el método más sencillo y económico para
superar las debilidades antes de aplicar medidas más costosas y difíciles.
 ♦ Dispersar y atomizar el riesgo: Se logra mediante la distribución o
localización del riesgo en diversos lugares. Es así, por ejemplo, como la información
importante se puede duplicar y almacenar en lugares diferentes con ubicaciones
seguras, en vez de concentrarla en un solo lugar. Ejemplo de ello es el
procedimiento utilizado por la oficina de sistemas para la salvaguarda de la
información generada diariamente en los sistemas de información.
 ♦ Transferir el riesgo: Hace referencia a buscar respaldo y compartir con otro
parte del riesgo, por ejemplo, las pólizas de seguros.
 ♦ Asumir el riesgo: Luego que el riesgo ha sido reducido o transferido puede
quedar un riesgo residual que se mantiene. En este caso la alta Dirección
simplemente acepta la perdida residual y elabora planes de contingencia para su
manejo.