¿Qué entiende ISO 31000 por marco de gestión de riesgos?

ISO 31000 distingue entre un marco de gestión de riesgos y un proceso de gestión de riesgos. El marco es la configuración organizativa que hace utilizable y repetible la gestión de riesgos. Cubre cómo el liderazgo se compromete con la gestión de riesgos, cómo se asignan las responsabilidades y cómo la organización se asegura de que el trabajo de riesgo apoye la toma de decisiones en lugar de convertirse en una actividad aislada.

Un marco práctico conecta la política y la gobernanza con la forma en que se realiza el trabajo. El liderazgo y el compromiso importan porque las decisiones de riesgo a menudo requieren priorización, compensaciones y rendición de cuentas clara. Sin dirección visible, las actividades de riesgo pueden fragmentarse en registros desconectados y métodos de puntuación incoherentes entre equipos.

El marco también define cómo la organización establece alcance, contexto y criterios para las decisiones de riesgo. El contexto incluye factores internos y externos que afectan a los objetivos. Los criterios incluyen cómo se define el riesgo, qué umbrales se utilizan y cómo se comparan las evaluaciones. Cuando los criterios no son claros, las evaluaciones se vuelven subjetivas y difíciles de defender.

Una vez establecido, el marco apoya el proceso de gestión de riesgos: identificación, análisis, evaluación y tratamiento. También apoya el registro y la notificación, el seguimiento y la revisión, y la comunicación y la consulta. Estos elementos aseguran que las decisiones de riesgo sean trazables y puedan mejorarse a lo largo del tiempo.

La agenda del curso refleja esta separación cubriendo los principios y el marco de ISO 31000 al inicio, para luego pasar al inicio del proceso, los pasos de evaluación y, finalmente, el registro, el seguimiento y la consulta. Esa estructura ayuda a los participantes a entender que un proceso por sí solo no basta: la organización necesita un entorno operativo que permita un trabajo de riesgo coherente.