Monitoreo y revisión de riesgos según ISO 31000

El monitoreo y revisión es la etapa que cierra el ciclo del proceso de gestión del riesgo según ISO 31000 y asegura que los riesgos se mantienen bajo vigilancia continua. Sin monitoreo efectivo, la evaluación de riesgos se convierte en una fotografía estática que pierde relevancia rápidamente. Los riesgos evolucionan, nuevos riesgos emergen y los tratamientos pueden perder eficacia con el tiempo.

Propósito del monitoreo

Según ISO 31000, el monitoreo y la revisión deben planificarse e implementarse para asegurar que los controles son eficaces, obtener información adicional para mejorar la evaluación de riesgos, analizar eventos y cambios para extraer lecciones, detectar cambios en el contexto y actualizar el perfil de riesgo en consecuencia.

Indicadores clave de riesgo (KRI)

Los KRI son métricas que proporcionan alertas tempranas sobre cambios en el nivel de riesgo. A diferencia de los KPI (que miden desempeño pasado), los KRI están diseñados para anticipar problemas futuros. Deben tener umbrales de alerta definidos (verde, amarillo, rojo) que activen acciones cuando se superan.

Revisiones periódicas

Las revisiones del registro de riesgos deben ser regulares y estructuradas. Una práctica efectiva incluye revisión mensual de riesgos críticos, revisión trimestral completa del registro, revisión anual profunda como input para la planificación y revisión inmediata cuando ocurren eventos significativos.

Conexión con otros sistemas

El monitoreo de riesgos se potencia cuando se conecta con el monitoreo de seguridad de la información, la auditoría interna, los indicadores de calidad, seguridad y medio ambiente.

Lee también ISO 31000, proceso de evaluación y comunicación y consulta.