Control Interno

La gestión del riesgo es claramente un factor importante para asegurar el éxito del negocio y del proyecto. Pero ¿cómo puede decir una organización si su gestión del riesgo es suficientemente buena?. Los modelos de madurez proporcionan un marco para comparar la capacidad y los enfoques existentes con las mejores prácticas.

El primer modelo en el área de gestión de riesgo fue el Risk Maturity Model RMM o Modelo de Madurez de Riesgo, el cual fue desarrollado en 1997. En éste se describen cuatro niveles de capacidad de incrementar la gestión de riesgos, llamados Simplista, Principiante, Normalizado y Natural:

• La organización con capacidad de riesgo Simplista no es consciente de la necesidad de gestionar el riesgo, y no tiene un enfoque estructurado para enfrentarse a la incertidumbre. Los procesos de gestión son repetitivos y reactivos, con poco o ningún intento de aprender del pasado o de prepararse para las futuras amenazas u oportunidades.
• La organización con capacidad de riesgo Principiante es aquella que ya ha empezado a experimentar con la gestión de riesgo, usualmente a través de un pequeño número de individuos nominados para ello, pero no tiene en marcha un proceso formal o estructurado. Aunque se sabe consciente de los dividendos potenciales de gestionar el riesgo, la organización Principiante no tiene implementados los procesos de riesgo de forma efectiva y no consigue todos sus beneficios.
• La organización con capacidad de riesgo Normalizada, gestiona el riesgo como una práctica rutinaria en su negocio. Los procesos genéricos de riesgo están formalizados y extendidos, y los beneficios se entienden en todos los niveles de la organización, aunque puede que no se alcancen en todos los casos.
• La organización con capacidad de riesgo Natural tiene una cultura de gestión del riesgo, con un enfoque proactivo de la gestión de riesgos en todos los aspectos del negocio. La información de riesgos se utiliza de forma activa para mejorar los procesos de negocio y ganar ventaja competitiva. Se utiliza un proceso multi-nivel de riesgo integrado para gestionar tanto las oportunidades como las amenazas.

Cada nivel de madurez puede definirse utilizando cuatro atributos – cultura, proceso, experiencia y aplicación:

• En el nivel 1 “Simplista”, la cultura es la resistencia al cambio y no se reconoce la necesidad de gestionar el riesgo. No hay procesos de gestión de riesgos, no hay experiencia de utilizar la gestión de riesgos y no se aplica a los proyectos ni a los negocios.
• La cultura del Nivel 2 “Principiante” tiende a ver la gestión de riesgos como una carga adicional y no está completamente convencida de sus beneficios. Los Procesos están hechos a medida y su efectividad depende de la experiencia limitada de unos pocos individuos clave que tienen poco entrenamiento formal. La aplicación de la gestión del riesgo es inconsistente e incompleta.
• Las organizaciones de Nivel 3 tienen una gestión de riesgos “Normalizada” en su manera de operar, con una cultura que reconoce la existencia del riesgo y espera alcanzar beneficios de gestionarlo. Los procesos genéricos y formales están operativos, con los recursos necesarios disponibles, y el personal tiene la experiencia adecuada para llevar a cabo una gestión de riesgos efectiva. La aplicación es rutinaria y consistente.
• Las organizaciones de nivel 4 “Natural”, se caracterizan porque una cultura de concienciación ante el riesgo, que conduce a la organización a una gestión proactiva del riesgo, buscando aventajarse de su entorno incierto. Las mejores prácticas de procesos se implementan a todos los niveles del negocio, con una actualización regular, una retroalimentación activa y aprendizaje. Todo el personal tiene la experiencia apropiada utilizando los procesos de riesgo, y su aplicación está extendida a todas las áreas.

La gestión de riesgo es un tema de mucho interés dentro de una organización como para desempeñarla en mala forma. De allí a que se necesite evaluar y monitorear la capacidad de gestión de riesgo, comparar las prácticas internas con las mejores prácticas conocidas y extendidas, identificar las áreas de defectos que necesitan mejora, y mantenerlas en desarrollo.

Los modelos de madurez de gestión de riesgo como RMM proporcionan un marco valioso para tales evaluaciones. Pueden ayudar a las organizaciones a comparar la capacidad de gestión de riesgos, diseñar un camino estructurado para mejorar y medir el progreso hacia el objetivo de optimizar la efectividad de la gestión del riesgo.

(Traducido por PMP® Alfonso Bucero)

Por: David Hillson

Conocido mundialmente como "The Risk Doctor" o El Doctor Riesgo, Hillson es un experimentado consultor en administración del riesgo que ha trabajado en más de 40 países, incluyendo organizaciones de diferentes sectores como construcción, telecomunicaciones, transporte, TI, energía, defensa y gobierno. También goza de diferentes reconocimientos como Personalidad del Riesgo del Año por el IRM; PMI® Fellow; Honorary Fellow por la APM; Fellow de la RSA.

Fuente: http://www.liderdeproyecto.com