Fundamentals of Risk Management. Paul Hopkin.
Nosotros
planificamos y la realidad dispone. Existe riesgo porque existe una
probabilidad de que ocurra algo que no estaba planificado. Algunos riesgos son
extremos, puede haber una crisis sanitaria o un cambio climático. Otros son más
cercanos, como la falta de aceptación de los usuarios de un determinado cambio.
Cuando el riesgo
solo puede traer consecuencias negativas lo llamamos “peligro”, por ejemplo un
fuego o un accidente de tráfico. Los “riesgos de conformidad” legal
(“compliance”) son también a menudo considerados peligros, asumiendo que no
cumplir trae consecuencias negativas. Sin embargo, algunas organizaciones dan
la vuelta al riesgo y ven los beneficios extra que pueden derivarse de cumplir
con una conformidad.
Otro tipo de
riesgo es el “riesgo de control”. Llevar el coche al mecánico reduce la
probabilidad de avería pero no la elimina, es un riesgo de control y tiene un
nivel muy alto de incertidumbre.
Si esperamos un
retorno positivo, por ejemplo invertimos activos financieros esperando un
beneficio, o apostamos en un juego esperando una ganancia, o competimos en un
deporte de riesgo esperando orgullo, autoestima o respeto social, el riesgo es
un “riesgo de oportunidad”.
Gestionar el
riesgo supone detectar riesgos posible, evaluar posibles respuestas y tomar las
decisiones más adecuadas en cada caso. También incluye desarrollar una
estrategia completa de riesgos, monitorizarla, comunicarla a los stakeholders
involucrados y asegurar la disponibilidad de recursos necesarios, financieros y
no financieros.
Un estándar de
gestión del riesgo incluye también los procesos, recursos, etc que aseguran el
resultado, por ejemplo el British Standard BS 31100:2011, el COSO ERM o el ISO
31000.
Hay varias
motivaciones por las que una organización se embarca en el proceso formal de
gestión del riesgo:
-
Puede
ser motivada por una conformidad legal o regulatoria, o por un requisito de un
cliente;
-
También
puede ser una garantía, exigida por el Consejo de Administración para poner
controles específicos;
-
Tomar
decisiones informadas necesita entender los riesgos;
-
Un
beneficio es mejorar la eficacia y eficiencia de las operaciones;
-
Permite
la innovación y mejora de los procesos.
Según la
personalidad de cada organización, ésta puede ser aversa al riesgo o agresiva
frente al riesgo (“averse vs aggressive”). Puede aceptar y trabajar en un
entorno de incertidumbre o necesitar una plataforma estable en el tiempo. Sie
el riesgo puede definirse como la incertidumbre frente a los resultados de un
proyecto, es una variable subjetiva y la misma situación puede ser para una
organización un riesgo de alto impacto y para otra un riesgo de impacto bajo.
Una misma organización
puede tolerar o no un peligro, aceptar la exposición a un riesgo de control o
invertir en un riesgo de oportunidad. En
el caso de riesgos de seguridad y sanidad, las organizaciones deben ser intolerantes
y eliminarlos. En el caso de robo, por ejemplo, las empresas pueden asumir un
cierto nivel de robo, porque eliminarlo puede tener un coste alto poco
eficiente.
Son riesgos:
-
Coste
variable o disponibilidad de materias primas;
-
Velocidad
del cambio organizativo;
-
Fiabilidad
de los sistemas de información;
-
Protección
de datos y Propiedad Intelectual;
-
Reputación;
-
Temas
regulatorios o legales;
-
Globalización
y cambios de mercado;
-
Aumento
de expectativas de los clientes;
-
Innovación
de producto;
-
Cambios
tecnológicos.
El modelo de las
4Ts nos dice que hay cuatro aproximaciones de gestión: tolerar, tratar,
transferir y terminar.
