Cómo realizar una evaluación de riesgos

Una evaluación de riesgos es un proceso estructurado para identificar los riesgos que pueden afectar a sus objetivos, valorar su gravedad y decidir qué hacer al respecto. El proceso central es el mismo independientemente de si se evalúa la ciberseguridad, la seguridad laboral, el riesgo de un proyecto o el riesgo empresarial.

El estándar mundial para la gestión de riesgos es ISO 31000:2018. Describe un proceso genérico (identificar, analizar, evaluar, tratar y monitorizar) que funciona para cualquier organización y cualquier tipo de riesgo. No es certificable, pero es la referencia sobre la que se construyen otros estándares (ISO 27001, NIS2, DORA).

En Suecia, la gestión sistemática del entorno de trabajo (SAM) está regulada por las normativas de la Autoridad Sueca de Entorno de Trabajo AFS 2001:1. El empleador está obligado a investigar, evaluar, tratar y hacer seguimiento del entorno de trabajo de forma continua, no como un proyecto puntual, sino como un ciclo permanente.

La evaluación de riesgos debe ser por escrito (cuando la empresa tenga más de diez empleados), revisarse al menos anualmente y siempre antes de cambios sustanciales: nuevos equipos, nueva organización, nuevas tareas, traslados o adquisiciones que afecten al trabajo.

• Investigar

  Mapear las condiciones de trabajo. Las rondas de seguridad, las encuestas a empleados, las estadísticas de bajas laborales y los registros de incidentes son fuentes habituales.

• Evaluar

  Valorar cada riesgo identificado según su probabilidad y gravedad. Deben cubrirse los riesgos físicos, ergonómicos, químicos, biológicos, psicosociales y organizacionales.

• Tratar

  Plan de acción escrito con la medida, el responsable, el plazo y el seguimiento. Todo aquello que no se subsane de inmediato debe incorporarse al plan.

• Hacer seguimiento

  Verificar que las acciones se llevaron a cabo y tuvieron el efecto previsto. Revisar la evaluación ante cualquier cambio o, como mínimo, anualmente.

La participación del delegado de prevención es obligatoria. Si la empresa cuenta con un delegado de prevención, debe ser incluido en la evaluación (Ley del Entorno de Trabajo de Suecia, cap. 6 § 4). La documentación debe estar disponible para su inspección por parte de la Autoridad de Entorno de Trabajo.

Los riesgos laborales y los riesgos de seguridad de la información se solapan con frecuencia (p. ej., estrés durante incidentes, requisitos del GDPR sobre la vigilancia en el lugar de trabajo). Una evaluación integrada ahorra tiempo, pero requiere experiencia multifuncional.

• Respaldo de la dirección

  Una evaluación de riesgos sin el apoyo de la dirección se convierte en un documento que nunca se lee. Asegúrese de que alguien en la dirección sea responsable del proceso. Una política de gestión de riesgos de una página firmada por el director general es suficiente.

• Definir el alcance

  ¿Qué se va a evaluar? ¿La empresa entera, un área específica, un proyecto, un proceso concreto (p. ej., el tratamiento de datos personales)?

• Definir la tolerancia al riesgo

  ¿Qué riesgos está dispuesto a aceptar? ¿Cuáles requieren acción? Establezca tres o cuatro niveles (p. ej., puntuación 1–3 = aceptar, 4–7 = vigilar, 8–14 = plan de acción, 15–25 = acción inmediata).

• Reunir a las personas adecuadas

  Una evaluación de riesgos realizada por una sola persona refleja la opinión de una sola persona. Invite a entre 3 y 6 personas clave con perspectivas diferentes: operaciones, finanzas, TI y gestión de clientes.

Este es el paso más importante. Un riesgo no detectado es más peligroso que uno mal valorado.

Algunas técnicas para la identificación de riesgos:

• Lluvia de ideas estructurada

  Reúna al grupo y recorra área por área del negocio. Pregunte: «¿qué puede salir mal aquí?»

• Sugerencias de IA como punto de partida

  Herramientas como RiskNote utilizan inteligencia artificial para sugerir 5 riesgos relevantes para el sector por análisis. Útil para detectar riesgos que nunca se habían considerado.

• Revisar incidentes anteriores

  ¿Qué ha salido mal antes? ¿En su organización, en la competencia, en el sector?

• Consultar listas estándar

  ISO 27005 incluye catálogos de riesgos típicos de seguridad de la información. Las normativas de seguridad laboral recogen ejemplos de riesgos en el lugar de trabajo. Úselos como listas de verificación.

• Revisión de procesos

  Recorra un proceso crítico (p. ej., facturación, contratación, operaciones de sistemas) paso a paso y pregunte: «¿qué puede salir mal aquí?»

Para cada riesgo identificado, evalúe la probabilidad y las consecuencias. La práctica estándar es una matriz 5×5 (probabilidad 1–5 × consecuencia 1–5 = puntuación 1–25).

Lo fundamental es aplicar la escala de forma coherente. Defina cada nivel desde el principio para que todos los evaluadores partan del mismo criterio.

• Probabilidad 1–5

  1 = rara (una vez cada 10 años), 3 = posible (una vez cada 2–3 años), 5 = casi segura (varias veces al año).

• Consecuencia 1–5

  1 = insignificante (se gestiona en las operaciones habituales), 3 = moderada (requiere intervención de la dirección), 5 = catastrófica (amenaza existencial).

• Evaluar en grupo

  La valoración de una sola persona es subjetiva. En grupo se obtiene matiz y consenso.

• Documentar el razonamiento

  Escriba una línea explicando por qué se eligió un determinado valor de P y C. Facilita la revisión posterior.

Una vez que cada riesgo tiene una puntuación, compárela con su tolerancia al riesgo. Los riesgos críticos (p. ej., puntuación 15–25) requieren un plan de acción inmediato. Los riesgos altos (8–14) necesitan una respuesta estructurada. Los medios y bajos pueden monitorizarse.

Preste atención a los cisnes negros, riesgos de baja probabilidad pero consecuencias catastróficas (P=1, C=5 da una puntuación de 5, que parece baja pero puede ser existencial). Aplique juicio cualitativo, no solo la puntuación numérica.

• Aceptar

  El riesgo está dentro de la tolerancia. Documente y continúe.

• Reducir (mitigar)

  Adopte medidas para reducir la probabilidad o las consecuencias. Es la opción más habitual. Documente la acción, el responsable y el plazo.

• Transferir

  Seguros, externalización o cláusulas contractuales que trasladen el riesgo. Nota: algunos riesgos (p. ej., reputacionales) no pueden transferirse.

• Evitar

  Descartar la actividad que genera el riesgo. En ocasiones es la única opción razonable.

Los riesgos evolucionan. Aparecen nuevos, los antiguos dejan de ser relevantes y las acciones modifican el panorama. Una evaluación de riesgos es perecedera.

Práctica recomendada: revisión trimestral para riesgos operacionales, anual para riesgos estratégicos. Los riesgos de proyecto se actualizan por sprint o reunión de seguimiento. Ante cambios importantes (nuevo proveedor, cambio normativo, migración de sistemas), siempre se debe iniciar una nueva ronda.