Passos administratius en la gestió de riscos
La gestió de riscos és una sèrie de processos dissenyats per identificar, avaluar, controlar i monitoritzar els riscos per minimitzar el seu impacte en una organització. A la pràctica, l'èxit de la gestió de riscos no només es determina per anàlisis tècniques com ara càlculs de probabilitat o models d'impacte, sinó també per la força administrativa: com una organització desenvolupa polítiques, documenta els passos, assigna rols i garanteix un seguiment coherent.
Aquest article tracta els passos administratius implicats en la gestió sistemàtica de riscos. Aquests passos es poden aplicar a diversos tipus d'organitzacions (empreses, agències governamentals, escoles, hospitals i fins i tot organitzacions sense ànim de lucre), ja que l'administració de riscos posa èmfasi fonamentalment en l'ordre dels processos i la responsabilitat.
1. Establir el context i els objectius de la gestió de riscos
El primer pas administratiu és establir el context. L'organització ha de definir el motiu de la gestió de riscos, el seu abast i els objectius que pretén assolir. Aquest context és crucial perquè totes les parts entenguin quins riscos hi ha i per a què serveix el procés.
Administrativament, els resultats d'aquesta etapa solen constar en documents com ara:
– Declaració d'objectius i abast de la gestió de riscos
– Límits del procés (unitats de treball, ubicacions, projectes o activitats específiques)
– Criteris d'èxit relacionats amb el risc i indicadors de rendiment
Sense un context clar, el procés de gestió de riscos és vulnerable i pot convertir-se en una llista de verificació de formalitat, no en una eina de presa de decisions.
2. Desenvolupament de polítiques i marcs de risc
Un cop establerts els objectius, l'organització ha de desenvolupar una política de gestió de riscos. Aquesta política serveix com a principal paraigua que guia tots els procediments derivats. La política també aclareix el compromís del lideratge, la cultura de risc que s'ha de construir i els principis que s'han de complir.
Administrativament, les polítiques i els marcs de risc solen incloure:
– Principis de gestió de riscos (per exemple, prudència, transparència, sostenibilitat)
– Estructura organitzativa i línies de reporting de riscos
– Definició de termes i categories de risc
– Relació de la política de riscos amb els SOP o altres sistemes de gestió (qualitat, K3, seguretat de la informació, auditoria interna)
Els documents de política haurien de ser fàcilment accessibles i difosos, i revisats periòdicament per tal que continuïn sent rellevants.
3. Establir rols, responsabilitats i autoritats
La gestió de riscos serà eficaç si els rols de cada part són clars. Les organitzacions han de determinar qui és el propietari del risc, qui el supervisa, qui aprova les accions de mitigació i qui garanteix la presentació d'informes.
Generalment, les funcions assignades inclouen:
– Alta direcció: estableix la direcció, aprova polítiques, proporciona recursos
– Unitat de gestió de riscos o secretaria: coordina processos, prepara informes, facilita avaluacions
– Titular del risc: la part directament responsable dels riscos en la seva àrea de treball
– Auditor intern/comitè de riscos: realitza revisions independents i fa recomanacions
Aquesta determinació s'hauria de fer constar en un decret, un organigrama, una matriu RACI (Responsable, Rendible per comptes, Consultat, Informat) o altres documents de governança.
4. Realitzar una identificació estructurada de riscos
La identificació de riscos és el procés d'identificar esdeveniments o condicions que podrien dificultar l'assoliment dels objectius. Administrativament, la identificació s'ha de dur a terme mitjançant mètodes coherents per tal que els resultats es puguin comparar entre unitats i períodes.
Els mètodes d'identificació més utilitzats inclouen:
– Pluja d'idees dirigida amb unitats de treball
– Entrevistes i qüestionaris
– Anàlisi de processos de negoci i SOP
– Avaluació de les incidències/queixes que s'han produït
– Anàlisi de l'entorn intern i extern
Els resultats de la identificació s'han de registrar en un registre de riscos que inclogui una descripció del risc, la font del risc, la zona afectada i la part responsable.
5. Avaluar el risc: probabilitat, impacte i nivell de prioritat
Un cop registrats els riscos, el pas següent és l'avaluació de riscos. Administrativament, les organitzacions han de definir uns criteris d'avaluació clars (per exemple, una escala d'1 a 5 per a la probabilitat i l'impacte) per evitar que l'avaluació sigui purament subjectiva.
Els documents que normalment es preparen en aquesta fase inclouen:
– Matriu de riscos
– Criteris de risc i definició de cada nivell
– Notes d'avaluació de riscos per element del registre de riscos
El resultat clau és un mapa de prioritats: quins riscos cal abordar immediatament, quins es poden controlar i quins són acceptables.
6. Determinació de l'estratègia de tractament de riscos
La gestió de riscos és un conjunt de decisions i accions per reduir la probabilitat o l'impacte, o per gestionar les conseqüències. Generalment, les estratègies de gestió de riscos inclouen:
– Evitar el risc: aturar les activitats que desencadenen riscos
– Reduir el risc (mitigar): millorar els controls, els procediments o els sistemes
– Transferència de risc: assegurances, externalització o certs contractes
– Acceptar el risc (acceptar): acceptar amb supervisió i plans d'emergència
Una bona administració requereix que es registri cada decisió de tractament, juntament amb la justificació, el cost, el termini i la part responsable. Això normalment s'esbossa en un pla de tractament de riscos, que inclou terminis, indicadors i recursos necessaris.
7. Recopilar documents de suport i estandarditzar procediments
Sovint, els controls de riscos fallen no perquè la idea sigui dolenta, sinó perquè no estan estandarditzats. Per tant, les organitzacions han d'assegurar-se que les mesures de mitigació escollides es tradueixin en documents operatius clars.
Exemples de documents justificatius:
– SOP nou o SOP revisat
– Instruccions de treball
– Formularis d'inspecció, llistes de control i llibres de registre
– Estàndards mínims de servei o estàndards de qualitat
– Clàusules contractuals amb tercers
Aquesta estandardització ajuda a garantir que els controls de risc no depenguin dels individus, sinó que estiguin integrats en el sistema.
8. Comunicació, socialització i formació
La gestió de riscos també inclou una comunicació interna eficaç. Els riscos no pertanyen a una sola divisió; molts riscos són interfuncionals. Per tant, els resultats de la identificació, la priorització i els plans de mitigació s'han de comunicar a les parts pertinents.
Activitats administratives comunes realitzades:
– Socialització de polítiques i procediments de risc
– Formació en l'ús de registres de riscos i matrius d'avaluació
– Sessions informatives periòdiques sobre els principals riscos de l'organització
– Comunicació d'incidents i lliçons apreses
L'objectiu és construir una cultura conscient del risc, on la denúncia de problemes es vegi com un esforç de millora, no com un error que s'ha d'encobrir.
9. Seguiment, avaluació i informes periòdics
El risc és dinàmic. Per tant, cal supervisar la gestió del risc. Aquesta etapa requereix una administració eficient dels informes: qui informa, quan i en quin format.
El seguiment pot incloure:
– Estat d'implementació de la mitigació (completa, en curs, tardana)
– Canvis en el nivell de risc després de la implementació dels controls
– L'aparició de nous riscos a causa de canvis en l'entorn o en el projecte
– Tendències d'incidents, queixes o fallades del sistema
Els informes es poden fer mensualment, trimestralment o segons calgui. Idealment, els informes haurien de destacar els riscos prioritaris, els obstacles, les recomanacions i les decisions que el lideratge ha de prendre.
10. Auditoria, revisió per part de la direcció i millora contínua
El pas final és garantir que el sistema general de gestió de riscos continuï millorant. Les auditories internes o les avaluacions independents serveixen per avaluar el compliment de les polítiques i l'eficàcia dels controls. A més, les revisions de la direcció garanteixen la participació del lideratge en les decisions estratègiques relacionades amb el risc.
La millora contínua normalment es fa mitjançant:
– Ajustar les polítiques i els criteris de risc
– Millorar el procés d'identificació i avaluació per tal que sigui més precís
– Integrar la gestió de riscos amb la planificació i el pressupost
– Adopció de tecnologia (quadre de control de riscos, sistema d'informes digital)
Amb aquest cicle de millora, l'administració de riscos no s'atura com un document, sinó que esdevé un mecanisme d'aprenentatge organitzatiu.
Tancament
Els passos administratius en la gestió de riscos són la base d'un procés de gestió de riscos coherent, responsable i amb impacte. Des de l'establiment del context i el desenvolupament de polítiques i l'assignació de rols fins al seguiment i l'auditoria, tots estan interconnectats i requereixen una documentació precisa.
Les organitzacions amb fortes habilitats de gestió de riscos estaran més ben preparades per afrontar la incertesa, respondran més ràpidament al canvi i podran mantenir un rendiment sostenible. En definitiva, la gestió de riscos no consisteix simplement a evitar problemes, sinó a construir un sistema de treball més madur, segur i escalable.
