Análisis de riesgo

Para comenzar a hablar de lo que es un análisis de riesgo debemos dejar claras un par de palabras:

• Gestión: Acción o tramite que se lleva a cabo para conseguir o resolver algo.
• Análisis: Examen detallado para conocer las características de una empresa, casa, material, etc.
• Vulnerabilidad: Que puede ser vulnerado o dañado física o moralmente.
• Vulnerable: Posibilidad de que se produzca un contratiempo o desgracia.
• Prevalencia: Ocurrencia de delitos registrados (sin embargo, se toman en cuenta ocurrencias que no son propiamente delitos, pero sí una problemática en el lugar que buscas proteger)
• Evaluación: Valoración de… (es posible evaluar lo que estés dispuesto a mejorar, cambiar o en este caso proteger)
• Severidad: Rigor excesivo al juzgar las faltas y debilidades de los demás o las propias.
• Probabilidad: Cálculo matemático de las posibilidades que existen de que una cosa se cumpla o suceda al azar.

Empecemos ahora por el principio.

          Una empresa es un ente vivo y dinámico, cientos o miles de pequeñas cosas sucediendo en todo momento, está enferma, pocas personas saben y algunas no creen que lo está o prefieren ignorarlo, por lo que es necesario diagnosticar sus problemas y buscar cómo solucionarlos o preferentemente prevenirlos.

¿Por qué es necesario?

Al realizar un análisis exhaustivo de la empresa estas mostrándole a todos los involucrados y desde diferentes perspectivas la enfermedad que la está atacando, usas esta herramienta (análisis de riesgo) para identificar riesgos, vulnerabilidades y posibles situaciones que en caso de ocurrir pueden interrumpir la continuidad de la empresa, generar un retraso en la producción, daño al personal o destruir la imagen de la empresa. Esto no implica que haya un método definitivo para realizar el análisis, puedes tomar el que más te guste, inclusive, sin conocimiento de ninguno de los métodos establecidos para realizarlo podrías comenzar con una marcha exploratoria para generar ideas de mejora (pero lo vemos un poco más tarde)

¿Para qué sirve?

Para recolectar en un solo documento las vulnerabilidades y riesgos que puedan causar un detrimento, cualquiera que esté sea.

Hay distintos métodos para realizar un análisis de riesgo:

• Marcha exploratoria: Aun cuando fue una herramienta creada para auditar la seguridad de mujeres y niños en Canadá a inicio de los noventas, esta herramienta te permite analizar desde diferentes perspectivas las vulnerabilidades de la empresa, debe ser vista desde múltiples ángulos por lo que se debe involucrar distintos departamentos y generar una lluvia de ideas para la mejora, una especie de Seis Sombreros para Pensar de Edward De Bono, donde sólo será necesaria una libreta para tomar apuntes de los hallazgos y responsables de resolver los mismos.
• Checklist: Puedes iniciar desde un punto básico, si en la empresa no se ha realizado un análisis de riesgo anteriormente, inclusive si hay uno, toma en cuenta preguntas básicas que buscarías resolver con un sistema basado en un simple archivo de Excel, preguntas cerradas y cuantificables, como ejemplo.
  
• ¿Hay un responsable de la seguridad física?
• Si þ No ã
• ¿Hay políticas, procedimientos, normas, estándares de Seguridad?
• Si þ No ã
• ¿Se evalúan continuamente?
• Si þ No ã
• ¿Las prácticas de la empresa reflejan las políticas, procedimientos, normas, estándares de Seguridad?
• Si þ No ã
• ¿Mencionan el compromiso organizacional para la continuidad de estos?
• Si þ No ã
• ¿Hay un responsable por la seguridad electrónica?
• Si þ No ã
• ¿Quién es el responsable de la continuidad en caso de que un riesgo se materialice?
• Si þ No ã
• ¿Hay un listado de números de emergencia?
• Si þ No ã
• ¿Se evalúan las amenazas externas y hay políticas para mitigar la incidencia?
• Si þ No ã
• Etcétera
• Si þ Si þ
• FMEA (Failure Mode and Effects Analysis)
• Método de ingeniería para identificar posibles fallas y determinar qué puede suceder si se materializan, llegando a la raíz y con esto, prevenir que sucedan. Creado por la NASA y del cual hablaremos a profundidad próximamente (así como el resto de métodos que sigo describiendo)
• PRA (Probabilistic Risk Assessment)
• Evaluación Probabilística del Riesgo, es un método usado para determinar la probabilidad de que un riesgo se materialice arrojando datos numéricos.
• Método Mosler
• Método CARVER
• Método Delphi
• 5 por qué
• ¿Qué pasaría si…? (What if?)
• Matriz de evaluación de riesgos (RAM)
• Diagrama de Ishikawa
• FODA
• Entre otros, muchos otros.

 Con esto dicho, eliges uno de los métodos, realizas un análisis desde tu enfoque de Seguridad y listo, tienes tu análisis de Riesgo.

¿Ahora qué?

Ya tienes el método, lo llevaste a cabo, lo pusiste en un papel, pero ¿qué debes hacer?

Arreglar todo tu solo es imposible. Tu trabajo es gestionar los riesgos, cuáles tienen mayor probabilidad de materializarse, cuáles generan un mayor impacto en caso de ocurrir, cuáles son más sencillos de mitigar, cuáles vas a aceptar, etcétera. Posterior a la introspección, es hora de analizar qué se debe hacer primero, cómo, quién estará involucrado y por qué, cuáles son las responsabilidades de quienes se hallan en esta labor y esto sólo puede llevarse a cabo proponiendo contramedidas para mitigar los riesgos hallados durante la exploración de la empresa, lo que hiciste fue diagnosticar, pero como la analogía más utilizada en estos casos, un diagnostico no es nada si no se medica al paciente o se propone y materializa alguna especie de tratamiento, la enfermedad seguirá, se propagará y en algunos casos, terminará matando al enfermo.

Con lo que eres el responsable de gestionar que se lleven a cabo las actividades descritas para que se reduzcan los riesgos hallados, realizando juntas entre los distintos departamentos, definiendo responsables de cada riesgo, involucrando a los administrativos con datos duros de lo que pudiese materializarse, dejando saber a todos los involucrados que están invirtiendo en Seguridad, no están gastando. Porque siempre es más barato prevenir que arreglar-recuperarte después de un riesgo materializado.

Tan sencillo que un bebé puede enseñarnos un método de tres pasos de análisis de riesgo (aquí el vídeo original):

Paso 1

Paso 2

Paso 3

El objetivo de todo lo realizado es coordinar las actividades de forma multifuncional para controlar, dirigir, mitigar, aceptar o eliminar los riesgos de la organización.