Gestion de Riesgos con GRAM

Evaluación de Riesgo
con Gartner Risk
Assessment Method
(GRAM)
Ing. Edgard De Olazábal
Sub-Gerente de Desarrollo de
Soluciones TI
Trujillo, 18 Noviembre 2011

Ing. Edgard De Olazábal León

Evaluación de Riesgo con
Gartner Risk Assessment
Method (GRAM)

Agenda
Necesidad de Administrar el Riesgo
Qué es GRAM?
Los Componentes
Usos
El Proceso
Identificación de RiesgosInvolucrados en la evaluación
Método Delphi para análisis y evaluación de Riesgos
Aceptación y tratamiento del riesgo

Ing. Edgard De Olazábal León

Necesidad de Administrar el Riesgo
Ley #1 de Murphy:
Ley #2 de Murphy:
Si algo puede salir mal, Si hay la posibilidad
que varias cosas
así será
salgan mal. Aquella que
cause más daño será la
que salga mal

Ley #121 de Murphy
Si piensa que quealgo
irá mal, y no va mal,
hubiera sido
beneficioso que vaya
mal

Ley #6 de Murphy
Si percibe que hay 4
caminos en que algo
pueda ir mal, y evita
estos, una quinta vía se
e
rápidamente se creará

Identificar
el Riesgo
Evaluar
el Riesgo
Tratar
el Riesgo

Evaluación Contínua
Ing. Edgard De Olazábal León

Monitorear y
Revalorar

Diferencia entre Evaluación de Riesgo yAdministración
de Riesgo
Pasar de una evaluación específica a
evaluación y tratamiento continuo,
monitoreo y revisión de proceso
Establecer un framework común para
repetición y consistencia:
Terminología
Criterio de evaluación
Monitoreo y
Estándares
Revisión
Repositorio
de Riesgos
Plantillas

Tratamiento
del Riesgo

Ing. Edgard De Olazábal León

Establecer el
ContextoIdentificar
el Riesgo

Consulta,
Comunica
Reporta

Análisis
del Riesgo

Evaluación
del Riesgo

Por que no se hace evaluación de Riesgo?
Pasar de una evaluación específica a
evaluación y tratamiento continuo,
monitoreo y revisión de proceso
Establecer un framework común para
repetición y consistencia:
Terminología
Criterio de evaluación
Monitoreo y
Estándares
Revisión
Repositoriode Riesgos
Plantillas

Tratamiento
del Riesgo

Ing. Edgard De Olazábal León

Establecer el
Contexto

Identificar
el Riesgo

Consulta,
Comunica
Reporta

Análisis
del Riesgo

Evaluación
del Riesgo

Que es GRAM?
Metodología de evaluación de riesgo
que permite a las empresas un control
eficiente y priorizado de riesgos,
basada en estimados de probabilidad
de impactoAplica método Delphi para escenarios
Repositorio
de riesgos predefinidos
De Riesgo
Se alinea con estándares y
Monitoreo y
frameworks reconocidos para
Revisión
integración con iniciativas de
de Riesgos
administración de riesgo
Es la base para un proceso de
Administración de Riesgos TI
Planes de
Tratamiento
de Riesgo

Ing. Edgard De Olazábal León

Tratamiento
del RiesgoEstablecer el
Contexto
Identificar
el Riesgo:
Escenario
Desarrollo
Consulta,
Comunica
Reporta

Registrar
Riesgo

Criterios de
Evaluación

Descripciones
de Impacto y
Control

Evaluacióndel Riesgo:
Escenario Evaluación
usando Método Delphi

Componentes GRAM
Activos
•Información
•Aplicación
•Proceso
•Plataforma
Definiciones estándar y
plantillas

Un escenario estádesarrollado para
describir los riesgos asociados con los
activos bajo revisión

El método Delphi es seguido para evaluar
los escenarios

Tablas/Plantillas:
Activos y dueños
Amenazas
Tabla de referencia de impacto
Controles
Registro de Riesgo
Catálogo de Riesgo

La opción de tratamiento es seleccionada,
implementada y monitoreada

Criterios de Evaluación:

Tablas predefinidas y plantillasde
procesos aseguran la consistencia y
estandarización

Definición de riesgo aceptable
Declaración de materialidad
Metas estratégicas
Requerimientos de Cumplimiento
Requerimientos de stakeholders

Un criterio de evaluación común
predefinido asegura que los riesgos son
evaluados por igual

Ing. Edgard De Olazábal León

Escenario
•Amenazas
•Impactos
•Controles
•Descripción...