ISO 31000.

Una norma genérica, no un sistema de gestión

ISO 31000 es la referencia internacional para gestionar el riesgo de cualquier tipo, en cualquier organización. Es deliberadamente genérica. Los mismos principios, el mismo marco de referencia y el mismo proceso se aplican tanto si el riesgo en cuestión es financiero, operativo, estratégico, de seguridad, ambiental o cibernético. Esa amplitud es precisamente el objetivo. Una decisión de compra, la entrada en un nuevo mercado y una exposición a un ransomware pueden evaluarse todas con el mismo vocabulario y la misma lógica, lo que permite a un consejo de administración comparar riesgos que de otro modo quedarían en silos separados con valoraciones incompatibles.

El malentendido más frecuente es tratar ISO 31000 como ISO 27001 o ISO 22301. No es una norma de requisitos y no es certificable. No existe ningún sistema de gestión ISO 31000 que auditar ni ninguna cualificación de Auditor Líder ISO 31000, por mucho que algunos catálogos de formación lo anuncien. La norma ofrece directrices que adaptar, no requisitos a los que conformarse. Las organizaciones la integran en su forma de operar actual, en lugar de añadir un sistema certificado independiente.

Principios, marco de referencia y proceso

ISO 31000 se construye sobre tres partes conectadas que los profesionales aprenden a mantener diferenciadas. Los principios establecen cómo es una buena gestión del riesgo: está integrada en la organización, estructurada, adaptada al contexto, inclusiva con las partes interesadas, dinámica, basada en la mejor información disponible y orientada a crear y proteger valor. El marco de referencia trata del liderazgo y la gobernanza, de cómo se ordena, se diseña, se implementa, se evalúa y se mejora la gestión del riesgo a lo largo del tiempo para que realmente arraigue. El proceso es el motor operativo que se ejecuta de forma repetida.

1. Establecer el contexto. Definir el alcance, los objetivos y el entorno interno y externo en el que vive el riesgo.
2. La identificación, el análisis y la evaluación del riesgo, que juntos forman la apreciación del riesgo.
3. El tratamiento del riesgo. Elegir cómo modificar el riesgo y, después, implementar y verificar los controles.
4. La comunicación, la consulta, el seguimiento y la revisión, que envuelven todo el ciclo y lo mantienen actualizado.

Cómo se relaciona con normas vecinas

ISO 31000 es la norma matriz. ISO 27005 aplica la misma lógica de proceso al riesgo de seguridad de la información y se alinea con un sistema de gestión de seguridad de la información ISO 27001. EBIOS Risk Manager, el método francés publicado por ANSSI, es una forma concreta y guiada por escenarios de realizar una apreciación del riesgo de seguridad que se corresponde con las mismas etapas. Ninguno de estos contradice ISO 31000; la especializan. Un risk manager que comprende el proceso genérico puede moverse entre ellos sin volver a aprender los fundamentos, razón por la cual la norma se enseña primero.

El vocabulario se comparte a través de la Guía ISO 73, el documento complementario que define los términos de la gestión del riesgo para que «probabilidad», «consecuencia» y «tratamiento del riesgo» signifiquen lo mismo en todos los documentos y equipos. Acordar pronto esas definiciones evita las discusiones sobre valoración que descarrilan muchos talleres de riesgo.

Qué hacen realmente los profesionales con ella

En la práctica, ISO 31000 da forma al registro de riesgos, a los talleres de apreciación y a la línea de reporte hacia la dirección. Un risk manager la utiliza para justificar por qué un riesgo se asigna, se valora y se trata de determinada manera, y para demostrar que el enfoque es coherente en lugar de improvisado caso por caso. Como la norma no es certificable, la forma reconocida de demostrar competencia es a través de una credencial personal. El itinerario de PECB recorre Foundation, luego Risk Manager y luego Lead Risk Manager, avanzando desde el conocimiento de los conceptos hasta liderar un programa de gestión del riesgo en toda una organización.