Cómo identificar, analizar y tratar riesgos con un método simple, qué son el riesgo inherente y el residual, y cómo armar tu primera matriz de riesgos.
Un riesgo no es un problema: es algo que podría pasar y afectar tus objetivos. Gestionarlo es decidir de antemano qué vas a hacer, en vez de improvisar cuando ya pasó.
La definición que cambia la forma de pensar
La ISO 31000 define el riesgo como el efecto de la incertidumbre sobre los objetivos. Ese efecto puede ser negativo, pero también positivo: una oportunidad.
El proceso en tres pasos (más uno)
- Identificar: ¿qué podría pasar, por qué y con qué consecuencia? Escríbelo como "Por [causa], puede ocurrir [evento], lo que generaría [consecuencia]".
- Analizar: estimar probabilidad e impacto. Su combinación da el nivel del riesgo.
- Valorar: comparar con el apetito de riesgo para decidir cuáles tratar primero.
- Tratar, con seguimiento y comunicación durante todo el proceso.
Las cuatro respuestas al riesgo
- Evitar: dejar de hacer la actividad.
- Mitigar: reducir probabilidad o impacto (un sistema contra incendios, respaldos, capacitación).
- Transferir: pasar el impacto económico a otro (un seguro, un contrato).
- Aceptar: decidir conscientemente no hacer nada, porque el riesgo es bajo o tratarlo cuesta más.
Inherente y residual
El riesgo inherente es el que existe antes de los controles. El residual es el que queda después. Si el residual sigue por encima de lo aceptable, hacen falta más controles.
Controles preventivos y detectivos
Los preventivos evitan que el riesgo ocurra (segregación de funciones, contraseñas). Los detectivos lo descubren cuando ocurre (alarmas, conciliaciones, revisión de registros). Una buena gestión combina ambos.
Continuidad del negocio: RTO y RPO
Para los riesgos que pueden detener la operación: el RTO es cuánto tiempo puedes estar sin el servicio; el RPO, cuántos datos puedes perder medidos en tiempo. Un análisis de impacto (BIA) te ayuda a fijarlos.
Tu primera matriz
Una tabla con: riesgo, causa, consecuencia, probabilidad, impacto, nivel inherente, controles, nivel residual, tratamiento, dueño y fecha de revisión. Sin un dueño, el riesgo queda huérfano.
Sigue practicando
Esta guía acompaña las preguntas de Riesgos del Reto TI del día. Profundiza en el Curso Gestión de Riesgos, gratis y en vivo.
Equipo Industria Ingenieros
Clases con profesionales, preguntas en el chat y certificado verificable con QR y blockchain.