La norma ISO 9001, como la serie de normas ISO que desarrollan las diferentes disciplinas de los sistemas de gestión, introduce un enfoque basado en el riesgo como un principio fundamental para la gestión de la calidad. En este marco, la gestión de riesgos es un proceso en sí mismo. Las organizaciones deben identificar, evaluar y tratar los riesgos y oportunidades que puedan afectar la calidad de sus productos o servicios. Para ello, se deberán identificar todos los riesgos derivados de los objetivos, de las oportunidades, de los procesos, así como los derivados del sistema de getsión de gestíón en sí.
En este artículo os quiero presentar los pasos clave para implementar un análisis de riesgos de un sistema de gestión conforme a la norma, con ejemplos y herramientas que faciliten su desarrollo.
1. Identificación del contexto y partes interesadas
El primer paso es comprender el contexto de la organización, tanto interno como externo, y definir quiénes son las partes interesadas. Esto permite tener una visión clara de los factores que pueden influir en el desempeño del sistema de gestión de calidad (SGC). Estos factores incluyen aspectos políticos, económicos, sociales, tecnológicos, legales y ambientales.
Ejemplo de contexto de la organización: Una empresa identifica una oportunidad de negocio al expandirse a nuevos países abriendo sucursales. Para evaluar la viabilidad de esta expansión, es fundamental llevar a cabo un análisis exhaustivo que identifique los posibles riesgos involucrados en el proceso. Esto incluye evaluar la importancia de cada riesgo asociado con las acciones previstas, así como considerar medidas extraordinarias que podrían ser necesarias para mitigar dichos riesgos, tomando en cuenta los costos que estas acciones adicionales puedan generar.
Ejemplo partes interesadas. Un laboratorio de ensayos clínicos puede enfrentar regulaciones estrictas en cuanto a la ejecución de los diferentes ensayos. Una parte interesada clave sería la autoridad reguladora, cuyas decisiones podrían generar riesgos si no se cumplen los estándares y podría retirarles la licencia de actividades.
Herramientas útiles:
- Análisis DAFO: Identifica los factores de debilidad, amenazas, fortalezas y oportunidades.
Una vez definidos el contexto de la organización y las partes interesadas, es necesario identificar todos los riesgos asociados a los factores previamente analizados. Esto implica evaluar cómo cada uno de estos factores puede influir en los objetivos de la organización, asegurando que se contemplen todos los posibles riesgos que podrían afectar su desempeño.
2. Identificación de los riesgos y oportunidades
Una vez comprendido el contexto, el siguiente paso es identificar los riesgos y oportunidades. Los riesgos son eventos que, si se materializan, pueden afectar negativamente el logro de los objetivos del SGC, mientras que las oportunidades son situaciones que pueden favorecer a la organización.
Ejemplo práctico de riesgo. Un riesgo para una empresa de transporte podría ser un aumento en los precios del combustible, lo que afectaría sus márgenes de ganancia.
Ejemplo práctico de oportunidades. Se podría considerar la posibilidad de adoptar vehículos eléctricos para reducir costos a largo plazo.
Herramientas útiles:
- Lluvia de ideas o "brainstorming": Involucra a diversos miembros de la organización para identificar riesgos desde diferentes perspectivas.
- Diagrama de Ishikawa o diagrama causa-efecto: Ayuda a identificar las causas raíz de posibles riesgos en procesos específicos.
3. Evaluación de riesgos
Después de la identificación, se procede a evaluar los riesgos en términos de su probabilidad de ocurrencia y su impacto en la organización. Esto permite priorizar los riesgos que requieren mayor atención. Una técnica comúnmente utilizada es el cálculo del "nivel de riesgo", que se obtiene multiplicando la probabilidad por el impacto. Posteriormente se elaboran unas tablas de clasificación de los resultados donde puede clasificarse según su grado de significancia, aplicando unos criterios definidos por la organización.
Ejemplo: Supongamos que en una empresa de software, el riesgo de fallos en un servidor crítico se evalúa con una alta probabilidad y un impacto muy alto. Esto indicaría que es un riesgo prioritario a gestionar.
Herramientas útiles:
- Matriz consecuencia y probabilidad. es una técnica para evaluar y priorizar riesgos en función de la probabilidad de ocurrencia y las consecuencias asociadas. Esta herramienta es efectiva para la toma de decisiones sobre la gestión de riesgos, debido a que se puede obtener información de la significancia o criticidad del riesgo que se está evaluando
- Análisis FMEA (Failure Mode and Effects Analysis): Identifica los posibles modos de falla y sus efectos en los procesos o productos.
4. Tratamiento de riesgos
Una vez evaluados, se deben planificar las acciones para tratar los riesgos identificados. Las estrategias pueden incluir evitar el riesgo, mitigar su impacto, transferirlo a otra parte (por ejemplo, mediante seguros) o aceptarlo si se considera bajo. Las oportunidades, por su parte, deben explotarse para mejorar el rendimiento del Sistema de Gestión.
Ejemplo práctico: La empresa de transporte puede optar por firmar contratos a largo plazo con proveedores de combustible para mitigar el riesgo de fluctuación en los precios.
Herramientas útiles:
- Planes de acción. Definen las medidas específicas que la organización tomará para gestionar cada riesgo. Estas medidas, que son acciones concretas, deben planificarse, asignar un responsable que las lleve a cabo y que haga el seguimiento. Además se deberá estimar el coste asociado y los recursos necesarios para que se pueda realizar en el plazo de tiempo estimado.
- Análisis Coste-Beneficio. Ayuda a decidir si vale la pena implementar una acción basada en su costo y el beneficio asociado a la mitigación del riesgo.
5. Monitoreo y revisión
El análisis de riesgos es un proceso cíclico y continuo. Es fundamental que la organización supervise de manera continua los riesgos, revise su efectividad y ajuste las estrategias si es necesario. Los cambios en el entorno empresarial, nuevas regulaciones o incidentes imprevistos pueden generar nuevos riesgos o modificar los existentes. Por ese motivo es necesario realizar la identificación de los riesgos de forma periódica, normalmente se realiza de forma anual.
Después que se hayan implementado las medidas de mitigación de los riesgos, se deberá volver a evaluar para asegurarse que el riesgo a disminuido, en el caso que no se produzca el resultado esperado, se deberán establecer nuevas acciones que permitan disminuir ese riesgo.
Ejemplo: Si la empresa de software introduce nuevos servidores o tecnología, deberá revisar su evaluación de riesgos y ajustar las medidas de prevención si es necesario.
Herramientas útiles:
- Indicadores clave de rendimiento (KPI): Miden la efectividad de las acciones implementadas, mediante la medición de ratios que permiten evaluar el funcionamiento de un determinado proceso. Por ejemplo, número de reclamaciones de clientes respecto al número de pedidos realizados por los mismos.
- Auditorías: Verifican si el tratamiento de los riesgos se está llevando a cabo según lo planificado.
- Auditorías: Verifican si el tratamiento de los riesgos se está llevando a cabo según lo planificado.
En la siguiente tabla se puede observar un pequeño resumen de lo explicado en este artículo:
En este artículo, os he mencionado algunas herramientas que se pueden utilizar en cada uno de los pasos, pero existen muchísimas. Os facilito un enlace a un listado de herramientas que se pueden aplicar en el análisis de riesgos de los sistemas de gestión: Listado de técnicas y herramientas para la Gestión de Riesgos según ISO/IEC 31010.
0 comments:
Publicar un comentario