iso 31000

ISO 31000:2009.
Herramienta para evaluar la
gestión de riesgos
Cr Carlos Serra CISA CGEIT
Datasec Uruguay

www.isaca.org.uy

Agenda
• ¿Qué es el riesgo?
• ¿Qué riesgo asume al no
pensar en sus riesgos
organizacionales?
• ¿Cómo lo ayuda la ISO
31000:2009 para evaluar su
gestión de riesgos?
• Algunos temas del día a día

www.isaca.org.uy

4.2

Mandato y compromiso

“Laintroducción de la gestión del riesgo y el
aseguramiento de su eficacia continua requieren un
compromiso fuerte y sostenido de la dirección de la
organización, así como el establecimiento de una
planificación estratégica y rigurosa para conseguir el
compromiso a todos los niveles …”
ISO 31000:2009

www.isaca.org.uy

www.isaca.org.uy

• “Sorprendentemente ese caso no parece haberfigurado como un riesgo de que las líneas
aéreas y muchas otras compañías para
garantizar la gestión. Aparte de las compañías
aéreas, el cierre del espacio aéreo europeo ha
dejado huella en todo, desde el turismo a la flor
y los productores de verduras frescas en África,
los fabricantes de prendas de vestir en
Bangladesh y los fabricantes de componentes
electrónicos en el Lejano Oriente” KevinW. Knight
www.isaca.org.uy

Objetivo: Vender, producir, hacer

www.isaca.org.uy

A veces los eventos ocurren…

www.isaca.org.uy

•
•
•
•
•
•
•
•
•
•
•
•
•
•

Riesgo crediticio
Riesgo operacional
Riesgo tecnológico
Riesgo estratégico
Riesgo legal
Riesgo de mercado
Riesgo de liquidez
Riesgo de cumplimiento
No satisfacer los requisitos del cliente
PeligrosAmbientales
Riesgo de Seguridad Alimenticia
Peligro para el ser humano
Riesgo reputacional
…

www.isaca.org.uy

¿Por qué no analizar sus riesgos?
•
•
•
•
•
•
•
•
•
•

No aporta valor…
Si pensamos en todo lo malo, no hacemos nada
Hay suficientes controles.
Acá pensamos en metas, no en riesgos.
Aceptamos que es común que fallen los sistemas
tecnológicos.
!No hay tiempo paraevaluar los riesgos, necesito
vender!
Acá nunca pasó nada.
No tenemos los procesos definidos.
Gestionar los riesgos no me va a ayudar a vender más.
Si ocurre algo ,ya lo arreglaremos.

www.isaca.org.uy

Conceptos de la Norma ISO
31000:2009
(Y de la ISO GUIA 73 y la ISO
31010:2009)

www.isaca.org.uy

INTRODUCCION
• “Mientras todas las organizaciones gestionan el
riesgo a diferentesniveles, esta norma internacional
establece un conjunto de principios que se deben
satisfacer para que la gestión del riesgo sea eficaz. ..
recomienda que las organizaciones desarrollen,
implementen y mejoren de manera continuada un
marco de trabajo cuyo objetivo sea integrar el proceso
de gestión del riesgo en los procesos de gobierno, de
estrategia y de planificación, de gestión, y deelaboración de informes, así como en las políticas,
los valores y en la cultura de toda la organización.”

www.isaca.org.uy

1. OBJETO Y CAMPO DE APLICACIÓN

• “Esta norma internacional proporciona los
principios y las directrices genéricas sobre
la gestión del riesgo.
• Puede utilizarse por cualquier empresa
pública, privada o social, asociación,
grupo o individuo. Por tanto, no esespecífica de una industria o sector
concreto.”
www.isaca.org.uy

Interesados:
“a) Responsables de desarrollar la política de gestión del
riesgo dentro de su organización;
b) Encargados de asegurar que el riesgo se gestiona de
manera eficaz dentro de la organización, considerada en
su totalidad o en un área, un proyecto o una actividad
específicos;
c) Los que necesitan evaluar la eficaciade una
organización en materia de gestión del riesgo; y
d) Los que desarrollan normas, guías, procedimientos y
códigos de buenas prácticas que, en su totalidad o en
parte, establecen cómo se debe tratar el riesgo dentro
del contexto específico de estos documentos.”
www.isaca.org.uy

¿Qué es riesgo?
• Es “el efecto de la incertidumbre en la
consecución de los objetivos” ISO 31000:2009...