El riesgo
viene derivado de la existencia de amenazas que en ocasiones y por diferentes
circunstancias aprovechan las vulnerabilidades de los procesos / activos para
producir una degradación de las actividades de negocio.
La principal
herramienta que utilizan las organizaciones para gestionar los riesgos y
mitigarlos hasta niveles aceptables es el Control
Interno, que es un proceso diseñado con el fin de proporcionar un grado de
seguridad "razonable" para la consecución de los objetivos
corporativos, garantizando la eficiencia y eficacia de la operatividad, la fiabilidad
de la información corporativa y el cumplimiento normativo.
El conjunto de
controles que conforman el “Control Interno” y su nivel de madurez hacen
evolucionar al riesgo intrínseco (riesgo existente por la propia naturaleza de
los procesos) hacia un riesgo residual resultante tras valorar la eficacia de los
mismos. Pero para que la gestión de riesgos sea óptima, completa y con
perspectiva es totalmente clave “atacar”
el riesgo desde dos caminos complementarios cuyo enfoque es distinto:
El Plan de Tratamiento de Riesgos y las
Estrategias de Recuperación
En primer
lugar “El Plan de Tratamiento de Riesgos” (o también conocido como Programa de
Gestión de Riesgos), el cual está enfocado
por y para el riesgo e incluye el conjunto de medidas a implantar para mitigar /transferir/ asumir el riesgo hasta
niveles aceptables por la organización, actuando sobre el impacto o sobre la
probabilidad de ocurrencia. Incluye medidas normalmente a corto y medio plazo y
combina controles preventivos, detectivos y correctivos.
Sin
embargo el Plan de Tratamiento solo es capaz de gestionar los riesgos desde la perspectiva del grado de exposición y
necesita de otra naturaleza de controles denominados “Estrategias de
Recuperación”, cuya perspectiva es la
continuidad, su ejecución es siempre
reactiva (una vez se ha materializado el desastre) y la cuales tienen por
objetivo dotar de una respuesta a la organización ante un desastre que
acontece, a fin de recuperar la operativa normal cumpliendo los requerimientos
de negocio (tiempos de recuperación, productividad, cumplimientos
regulatorio…). Las Estrategias de Recuperación suelen ser muy costosas, se
implantan en plazos largos y se deben aplicar a riesgos cuyo impacto es
catastrófico y que justifica claramente la alta inversión que supone.
De
esta manera la clave para conseguir una óptima
Gestión de Riesgos será la habilidad del Responsable de Seguridad para
diseñar un plan equilibrado de controles
con perspectiva global que escale a la Alta Dirección y consiga el respaldo
total por parte de la misma.
