ISO 31000 (Gestión de riesgos)
La norma ISO 31000 no es una norma de certificación; nadie obtiene la «certificación ISO 31000». Se trata de un conjunto de principios y un marco de referencia sobre cómo una organización debe abordar y gestionar cualquier tipo de riesgo, no solo el riesgo cibernético. De hecho, ahí radica su valor: le proporciona una estructura común para abordar el riesgo —identificarlo, analizarlo, evaluarlo, gestionarlo y supervisarlo a lo largo del tiempo— que funciona independientemente de si el riesgo es un ciberataque, una interrupción de la cadena de suministro, un cambio normativo o una adquisición fallida.
La mayoría de las organizaciones ya cuentan con algo parecido a una gestión de riesgos: una hoja de cálculo en algún lugar denominada «registro de riesgos», que se actualiza de forma esporádica y que, en realidad, nadie fuera del equipo de cumplimiento lee antes de tomar una decisión. La norma ISO 31000 es lo que se necesita para convertir eso en algo que el equipo directivo utilice realmente: un proceso integrado en la forma en que se toman las decisiones, no un documento que existe para satisfacer a un auditor.
A quién va dirigido
Organizaciones que necesitan un marco de riesgos creíble y estructurado —ya sea porque el consejo de administración lo exige, porque un organismo regulador o un cliente espera contar con uno, o simplemente porque la dirección se ha dado cuenta de que las decisiones sobre riesgos se están tomando basándose en corazonadas y desea que eso cese—. También constituye una base útil para marcos más específicos: un proceso de gestión de riesgos sólido, al estilo de la norma ISO 31000, facilita el trabajo con el NIST CSF, el CMMC o el SOC 2, ya que no es necesario desarrollar un enfoque de gestión de riesgos desde cero cada vez que surge un nuevo requisito.
Cómo lo abordaría yo
No creo en los marcos de gestión de riesgos que solo existen sobre el papel y en ningún otro sitio, por lo que construyo el proceso en torno a cómo toma realmente las decisiones su organización: quién debe intervenir, qué información necesita consultar y con qué frecuencia debe actualizarse para mantener su fiabilidad. Esto implica establecer criterios de riesgo reales y específicos para su negocio, en lugar de etiquetas genéricas de gravedad; crear un proceso de identificación y análisis de riesgos que cuente con la participación de las personas que realmente se enfrentan al riesgo en el día a día; y poner en marcha un sistema de seguimiento que detecte cuándo ha cambiado la probabilidad o el impacto de un riesgo, en lugar de revisarlo una vez al año por pura costumbre. La prueba de si esto ha funcionado no es una auditoría impecable, sino si, dentro de seis meses, alguien que tome una decisión real recurre efectivamente al marco de trabajo en lugar de eludirlo.
Si su gestión de riesgos le parece más un trámite burocrático que una herramienta, Contacte conmigo y solucionemos eso.