Nuevos requerimientos asociados al Riesgo:
El nuevo texto reconoce el uso del concepto de riesgo y la necesidad de entender el riesgo en el contexto del sistema de gestión. También anima a todos a ver la acción preventiva como un concepto más amplio que simplemente la prevención de un incidente vuelva a ocurrir.
Este nuevo concepto se denomina Pensamiento Basado en Riesgo (Risk Based Thinking), aunque existe muy poca información al respecto en relación con la ISO 9001:2015, la ISO pública el documento ISO/TC 176/SC2, Document N1222, July 2014, titulado “RISK IN ISO 9001:2015” el cual indica en términos sencillos cual es el pensamiento basado en riesgo, los elementos de un enfoque basado en riesgo, siendo el objetivo del documento:
• Explicar cómo se aborda el riesgo en la norma ISO 9001.
• Explicar qué se entiende por "oportunidad" en la norma ISO 9001.
• Responder a la inquietud de que el pensamiento basado en el riesgo reemplaza el enfoque basado en procesos.
• Hacer frente a la inquietud de que la acción preventiva se ha eliminado de la norma ISO 9001.
• Para explicar en términos simples cada elemento de un enfoque basado en el riesgo
Un ejemplo sencillo:
Si quiero cruzar una calle, verifico como está el tráfico antes de cruzar, no daré un paso delante de un coche en movimiento.
El pensamiento basado en el riesgo ya es parte del enfoque basado en procesos, el documento lo sigue explicando a través de otro ejemplo:
Para cruzar la calle puedo hacerlo directamente o usar un puente peatonal cercano. ¿Qué proceso elijo, se determinará teniendo en cuenta los riesgos?
El riesgo se entiende comúnmente como negativo. En el pensamiento basado en el riesgo la oportunidad también se puede encontrar, esto
es a veces visto como el lado positivo del riesgo, sigamos con los ejemplos del documento de la ISO:
Cruzando la calle tengo la oportunidad de llegar al otro lado rápidamente, pero hay un mayor riesgo de lesiones de los coches en movimiento.
El riesgo de usar un paso peatonal es el retraso. La oportunidad de utilizar el paso peatonal son las posibilidades de no ser atropellado por un coche.
Pero la oportunidad no siempre está directamente relacionada con el riesgo, pero si con los objetivos.
Al considerar una situación, puede ser posible identificar oportunidades para mejorar, por ejemplo:
Existen otros requisitos asociados a otras normas de sistemas de gestión, además:
• Las definiciones de ISO acerca de los conceptos claves de riesgo están escritos para ser interpretados y usados por una audiencia global. Sin embargo, no pueden ser usados por personas comunes, por ello explicaremos los conceptos de riesgo y su aplicación en la ISO 9001:2015 de una manera práctica.
• ISO adopto el Pensamiento Basado en Riesgo y será la base de todos los sistemas de gestión ISO.
Es importante recalcar que las ideas expresadas en este libro han sido adaptadas para las organizaciones, usando la experiencia de consultores en Sistemas de Gestión de Calidad, y el conocimiento, habilidades y destrezas en Gestión de Riesgos.
Lo indicado en este libro debe servir como guía y base para generar buenas prácticas en relación a los riesgos.
En la actualidad están ocurriendo muchos cambios disruptivos, siendo este un término que procede del inglés disruptive y que se utiliza para nombrar a aquello que produce una ruptura brusca.
Muchas organizaciones, asociaciones y estándares están evolucionando hacia el cambio disruptivo e innovación; evaluando los cambios que están teniendo las normas se observa que la tendencia dela ISO 9001:2015 y los demás estándares ISO va hacia ese camino.
El concepto de “Innovación Disruptiva” es relativamente nuevo, fue introducido por Clayton Christensen (profesor en Harvard Business School wwww.claytonchristensen.com) en 1997 en el libro “The innovators dilema” y se refiere a como puede un producto o servicio que en sus orígenes nace como algo residual o como una simple aplicación sin muchos seguidores o usuarios convertirse en poco tiempo en el producto o servicio líder del mercado.
En los años 90 el ejército americano acuñó la expresión “entorno VUCA”, para designar el mundo para el que debían prepararse, es un acrónimo de las palabras en inglés que junta a las palabras volatilidad (Volatility), incertidumbre (Uncertainty), complejidad (Complexity) y ambigüedad (Ambiguity). VUCA es el conductor del cambio disruptivo, es lo nuevo, lo novedoso, sobre los cambios que ocurren en nuestras organizaciones , es el mundo en el cual vivimos, cambiando con mayor rapidez, siendo cada vez más impredecible, complejo y difícil de interpretar, no es la primera vez que un concepto tomado del ejército americano pasa al mundo civil un caso igual ocurrió con las normas de muestreo por atributo y variable (Normas Militar Standard), cabe destacar que las empresas están afectadas por la globalización, nuevas regulaciones, los cambios de clientes y preferencias de productos, nuevas tecnologías, no escapando a este entorno denominado VUCA.
Los sistemas de gestión tampoco escapan al concepto de VUCA, el nuevo enfoque de la Norma ISO 9001:2015, toma en consideración variables como sería el entorno, el cual es impredecible, complejo y cambiante constantemente, esto no llevaría a tomar en cuenta cómo podríamos colocar algún antídoto a tal situación para contribuir al éxito sostenido de la organización
De esta manera las organizaciones pasan a ser proactiva antes de ser reactivas, potencialmente preventivas con aquellas situaciones perjudiciales.
Los Eventos del Cisne Negro (black swan) es una metáfora que encierra el concepto de que cuando un evento es una sorpresa (para el observador) y tiene un gran impacto, después del hecho, este evento sorpresivo es racionalizado por retrospección.
La desarrolló Nassim Nicholas Taleb para explicar:
• El desproporcionado papel de alto impacto, difícil de predecir, y los eventos extraños que están fuera del ámbito de las expectativas normales de la historia, la ciencia, las finanzas y la tecnología.
• No poder calcular la probabilidad de los eventos raros consecuenciales utilizando métodos científicos (debido a la naturaleza misma de las probabilidades pequeñas).
• Los sesgos psicológicos en donde las personas individual y colectivamente se vuelven ciegas a la incertidumbre e inconscientes al rol masivo del evento extraño en los asuntos históricos.
La globalización ha incrementado la incertidumbre y la probabilidad de un Cisne Negro, siendo este un evento que tiene una consecuencia alta pero su probabilidad de ocurrencia es mínima, actualmente esto ha cambiado, muchos eventos de baja probabilidad ahora son altamente probables, ejemplo de ello es el cambio climático, los tsunamis, evola, incendios forestales, etc. Es decir, la incertidumbre pasa ser parte de nuestras vidas, eventos que ocurrían cada 100 años ahora son muy comunes que ocurran, se hablaba de calentamiento global y ahora cada año se rompe el record de altas temperaturas, el 2014 ha sido el año más caliente del siglo.
Un ejemplo de VUCA y eventos del Cisne Negro en los negocios, es que los clientes quieren y buscan cubrir sus necesidades y expectativas, y estas se van incrementando, ya no solo son los clientes y usuarios finales, sino “las partes interesadas”. La globalización ha hecho que el mundo este interconectado, en cadenas de suministros negocios, en donde se crean riesgos operacionales no esperados, y las compañías usan sus cadenas de distribución para proveer productos y servicios a través del mundo en un tiempo adecuado.
Para mantenerse a la vanguardia en estas cadenas de distribución se debe ser disruptivos dentro de la cadena de valor, por ejemplo la perdida de una fuente o un suplidor por más pequeño que sea, pudiese impactar en la compañía y afectar el producto final, por ejemplo el descubrir que se usan niños para la fabricación de partes de una empresa puede hacer que esta incurra en demandas o en su reputación.
La norma ISO 9001, indica que el pensamiento basado en riesgos es esencial para lograr un sistema de gestión de la calidad eficaz.
El concepto de pensamiento basado en riesgos ha estado implícito en ediciones anteriores de esta Norma Internacional, incluyendo, por ejemplo, llevar a cabo acciones preventivas para eliminar no conformidades potenciales, analizar cualquier conformidad que ocurra, y tomar la acción para prevenir que vuelva a ocurrir que sea apropiada para los efectos de la no conformidad.
Una organización necesita planificar e implementar acciones para abordar los riesgos y las oportunidades. Abordar los riesgos y las oportunidades establece una base para aumentar la eficacia del sistema de gestión de la calidad, alcanzar resultados mejorados y prevenir los efectos negativos.
Las oportunidades pueden surgir como resultado de una situación favorable para lograr un resultado previsto, por ejemplo, un conjunto de circunstancias que permite a la organización atraer clientes, desarrollar nuevos productos y servicios, reducir los residuos o mejorar la productividad. Las acciones para abordar las oportunidades también pueden incluir la consideración de los riesgos asociados. El riesgo es el efecto de la incertidumbre y dicha incertidumbre puede tener efectos positivos o negativos. Una desviación positiva que surge de un riesgo puede proporcionar una oportunidad.
La definición de Riesgo se puede ver también en la ISO 9000:2015.
De manera cotidiana el riesgo es la posibilidad de sufrir un daño o pérdida, de manera técnica, el riesgo es la incertidumbre (puede que sí, puede que no) de que un evento pueda afectar a determinada actividad o al resultado de una operación.
En muchas herramientas de análisis de riesgos hay dos términos muy utilizados: (1) la probabilidad de que ocurra el evento y (2) la severidad del daño si el evento se presenta, ambos calculables usando la probabilidad y estadística, datos históricos relacionados y mucho sentido común.
La incorporación del Anexo SL en la ISO 9001:2015 es un factor clave hacia el "enfoque basado en el riesgo". La incorporación de lo que fue titulado anteriormente "acción preventiva", el enfoque basado en el riesgo requiere que la organización determine los riesgos y las oportunidades, planifique sus acciones para hacer frente a estos riesgos y oportunidades, implemente las acciones en sus procesos del sistema de gestión de calidad y evaluar la eficacia de estas acciones.
En el mundo global hay una alta competencia en el mercado y cada organización tiene un grado de riesgo. Como habíamos mencionado anteriormente, el riesgo se entiende como algo negativo, pero también se pueden conseguir oportunidades del pensamiento basado en riesgo este es el lado positivo del riesgo Esto es la premisa fundamental de la ISO 9001:2015; un riesgo positivo puede estar asociado a las área en donde podemos invertir, cómo se invertirá, en qué tipo de negocios puede cubrir las expectativas basada en una lista de riesgo de inversión, esto es fundamental en los modelos de negocio y el mercado.
El riesgo positivo está enfocado en una oportunidad donde la inversión en un negocio puede garantizar un retorno sustancial por encima del interés asociado a un préstamo. La alta dirección espera que esta oportunidad se repita a escala global, generando así múltiples oportunidades de recuperación de la inversión.
Riesgo positivo puede ser una decisión estratégica, estar asociado a la evaluación de adquisiciones, inversión de capital, entre otros. También puede ser la excelencia operacional o decisiones de gestión de un proyecto, como lo consecución de recursos para asegurar completar con éxito un proyecto.
Riesgo positivo es un nuevo concepto en ISO 9001:2015 con lo cual los profesionales de calidad podrían no estar familiarizados; la mayoría de las compañías tiene evaluaciones de riesgo positivo como inversiones de capital, flujo de caja, adquisiciones, etc., decisiones que son frecuentemente tomadas en solitario por los gerentes de finanzas enfocado en proyectos particulares u oportunidad.
La organización puede enfocarse en riesgos negativos en donde necesita desarrollar controles de riesgos asociados a su lista de Riesgo. El manejo tradicional de gestión ha ido siempre alineado a riesgos negativos en donde se utilizan palabras como prevención de pérdidas.
Un inventario de riesgo es la salida de una evaluación de riesgo, es una lista priorizada de los riesgos de la organización incluyendo los de la cadena suministro
Los beneficios del desarrollo de un inventario de riesgos son los siguientes:
• Use el inventario de riesgos para determinar el cumplimiento de la ISO 9001:2015
• Identificar los riesgos de la organización
• Identificar una línea base de los riesgos a ser mitigados
Muchos profesionales de la calidad se preguntan cómo determinan el riesgo y las oportunidades y cuál es el nivel apropiado de acción para hacerles frente a ellos. Según lo estipulado en el 6.1.1 de la norma ISO / 9001: 2015:
Al planificar el sistema de gestión de la calidad, la organización debe considerar las cuestiones mencionadas en el apartado 4.1 [Comprender la organización y de su l contexto] y los requisitos mencionados en el apartado 4.2 [comprender las necesidades y expectativas de las partes interesadas] y determinar los riesgos y oportunidades que es necesario tratar con el fin de:
a) asegurar que el sistema de gestión de la calidad puede lograr su resultado(s) previsto
b) prevenir o reducir, los efectos no deseados;
c) Lograr la mejora continua
En pocas palabras, para determinar los riesgos y las oportunidades, los profesionales de la calidad deben primero determinar los objetivos de su organización antes de la dirección puede identificar eventos potenciales que afectan a su consecución.
Se deben tener en cuenta los problemas que pueden afectar a los valores, la cultura, el conocimiento y el rendimiento de su organización.
Una organización debe entonces considerar cómo estos problemas pueden afectar la capacidad de la organización para ofrecer productos y servicios que satisfagan al cliente y los legales y reglamentarios aplicables. Estas cuestiones pueden considerarse desde una perspectiva interna como estrategias para alcanzar sus políticas y objetivos y la relación de la organización con su personal y las partes
interesadas (incluidos los socios y proveedores), sino también de un contexto externo como cuestiones derivadas de política, económica, social y los cambios tecnológicos en el sector
Se puede definir el riesgo como "el efecto de la incertidumbre en un resultado esperado".
Por lo tanto:
• un efecto es una desviación de la esperada positivo o negativamente
• El riesgo también considera la probabilidad de que ocurra un evento
En las organizaciones pequeñas, puede ser suficiente proporcionar simplemente los registros apropiados del pensamiento basado en el riesgo y asegurar el control de los procesos de negocio (por ejemplo, revisiones periódicas de la documentación, de la formación y las competencias, los datos suficientes para el análisis y mejora continua).
Por el contrario, en las organizaciones grandes se pueden conseguir registros de evaluación de los riesgos y priorización de los riesgos.
Planificación y ejecución de acciones para abordar el riesgo
La planificación de acciones para hacer frente a los riesgos y las oportunidades pueden incluir: evitar los riesgos, eliminando la fuente de riesgo, el cambio de la probabilidad o consecuencias (probabilidad e impacto), compartiendo el riesgo, conservando riesgo por decisión.
Cuando se realizan las acciones de planificación para hacer frente a los riesgos, los profesionales de la calidad deben tener en cuenta el contexto de su organización. Por ejemplo, el proceso de planificación de acciones para mitigar un fallo potencial con un reactor nuclear en una planta de energía será mucho más profundo y minucioso de la planificación de acciones para mitigar el riesgo de los productos equivocados al ser ordenado para las máquinas expendedoras
En términos simples, para comprobar la eficacia de las medidas para hacer frente a los riesgos requiere que la organización se pregunte, "¿Funciona?". Existen varios métodos que una organización puede comprobar la eficacia de las medidas para hacer frente a los riesgos, incluyendo:
• Auditorías y revisiones internas
• Análisis de KPI
• Evaluaciones de proyectos
Un aspecto importante de la comprobación de la eficacia de las acciones para abordar el riesgo es tener los datos correctos disponibles para tomar decisiones.
Las empresas se encuentran en constante búsqueda de soluciones que puedan mejorar el negocio, aumentar sus operaciones y, optimizar el rendimiento del negocio. En el mercado actual, el éxito depende de desarrollar una ventaja competitiva y rentable al tiempo que se demuestra un buen gobierno corporativo. Calcular cuidadosamente los riesgos, yendo más allá de lo esperado y, crear un clima adecuado para la innovación hacen que se genere la excelencia necesaria para crear esa ventaja.
La experiencia muestra que las empresas más exitosas incorporan de manera integral las mejores prácticas en la organización, y no sólo en un área específica. Instaurar una estrategia en toda la empresa rompe antiguas barreras establecidas que separan departamentos y divisiones, lo que para muchas organizaciones podría significar un cambio significativo en su cultura corporativa.
Iniciar dicho cambio de cultura puede ser un desafío. Una transición efectiva y exitosa requiere un compromiso audaz, bien planificado y, demostrable para mejorar los sistemas y procesos críticos que impulsan el rendimiento sostenible a largo plazo y crear una puerta de entrada a la excelencia. Las organizaciones deben asegurar que el conocimiento institucional es captado, analizado, gestionado y, mejorado a fin de que puedan ser un ejemplo a seguir. Las empresas necesitan herramientas que impulsen la mejora continua, ofrezcan una visibilidad del negocio en tiempo real y, proporcionen un marco coherente para la automatización. Un software creado para tal efecto, proporciona a su equipo de riesgos una visión completa en tiempo real que se comparte con auditores, gerentes y ejecutivos, lo que facilita que se produzca una colaboración más efectiva en cuestiones que presenten un riesgo para el negocio.
Los pasos básicos para una gestión de riesgo son:
La gestión del riesgo en una organización debe ser sistemática, estructurada y oportunamente organizada, se basa en la mejor información disponible (como datos históricos), la experiencia, la retroalimentación de las partes interesadas, las observaciones, predicciones y consejos de los expertos, la misma tendrá como característica importante que es hecho a medida y considera los factores humanos y culturales.
La gestión del riesgo es transparente y no excluye a nadie, en su caso es necesario que haya comunicación y la retroalimentación entre los grupos de interés internos y externos. Por último, la gestión del riesgo es dinámica y es un proceso continuo de adaptación al cambio y a la mejora, por lo que las organizaciones tienen que comenzar a aplicarla.
Como se sabe todas las actividades de una organización están sometidas de forma permanente a una serie de amenazas, lo cual las hace altamente vulnerables, comprometiendo su estabilidad. Accidentes operacionales, enfermedades, incendios u otras catástrofes naturales, son una muestra de este panorama, sin olvidar las amenazas propias de su negocio. Las organizaciones, no importa cuál sea su actividad y tamaño, afrontan una serie de riesgos que pueden afectar a la consecución de sus objetivos.
Tradicionalmente, las organizaciones han tratado estos riesgos mediantes estrategias de reacción y soluciones puntuales. No obstante, la experiencia ha demostrado que los elementos que conforman los riesgos y los factores que determinan el impacto de sus consecuencias sobre un sistema, son los mismos que intervienen para todos los riesgos en una organización.
La gestión integral de riesgos ha ganado impulso en los últimos años, lo que ha conllevado a la aparición de “Modelos de Gestión de Riesgos”, algunos de ellos de carácter más específico, como por ejemplo: ISO 14000, ISO 22000, OHSAS, etc. y otros de carácter más global como la norma AS/NZS 4630 o la norma ISO 31000, en este caso vamos a analizar la norma ISO 31000 la cual es un documento práctico que pretende ayudar a las organizaciones en el desarrollo de su propio enfoque de la gestión del riesgo.
Si deseas más detalles de la gestión de riesgo puedes ver este artículo.
Un análisis de riesgos es algo que todos hacemos de forma automática y, a menudo de manera inconsciente para obtener el mejor resultado.
El concepto de riesgo siempre ha estado implícito en la norma ISO 9001, esta revisión 2015 hace que sea más explícito y lo incorpora en todo el sistema de gestión, logrando de esta manera:
• El pensamiento basado en el riesgo garantiza que éste se tenga en cuenta desde el principio y durante todo el enfoque de procesos.
• El pensamiento basado en el riesgo hace a la acción proactiva parte de la planificación estratégica
• El riesgo a menudo se concibe como algo negativo. Pero el pensamiento basado en el riesgo también puede ayudar a identificar oportunidades.
Uno de los cambios fundamentales en la revisión de 2015 de la norma ISO 9001 es establecer un enfoque sistemático del riesgo, en lugar de tratarlo como un componente aislado del sistema de gestión de calidad. En ediciones anteriores de la norma ISO 9001, el capítulo de acción preventiva se separaba del conjunto. Ahora el riesgo es considerado e incluido en toda la norma.
Al adoptar un enfoque basado en el riesgo, una organización se vuelve proactiva y no meramente reactiva, previniendo o reduciendo así los efectos no deseados y promoviendo la mejora continua.
Para todo tipo de organizaciones, existe la necesidad de comprender los riesgos que se están tomando al tratar de alcanzar los objetivos y el nivel deseado de recompensa.
Las organizaciones necesitan entender el nivel general de riesgo integrado dentro de sus procesos y actividades. El concepto de "riesgo" en el contexto de la norma ISO 9001 se refiere a la incertidumbre de la consecución de los objetivos del sistema; que es el de proporcionar productos y servicios que se ajusten a los requisitos de los clientes.
Mediante la comprensión de los riesgos y la exploración de las formas en que los riesgos pueden ser mitigados, la organización también se tendrá la oportunidad de impulsar el cambio y la mejora.
Asimismo, hay que recordar que el Anexo SL es el marco de todas las normas de sistemas de gestión ISO, y el "riesgo" será un tema común en todas ellas. En este contexto, puede ser de utilidad considerar adoptar un enfoque de toda la empresa para la gestión de riesgos para ayudar a la integración futura.
Según la norma ISO 9001:2015 las empresas deben demostrar la eficacia de su sistema y la aplicación del pensamiento basado en riesgos.
Una de los capítulos donde se habla de riesgo es en el contexto de la Organización. Este concepto es ahora utilizado en la ISO 9001:2015, que incluye:
• Cultura, comunicación alta dirección, RSE y otros atributos críticos.
• Gobierno corporativo, riesgo, cumplimiento del negocio, sistema de gestión, entorno del negocio en el cual la organización opera.
• Estrategias de negocio, planes, tácticas para desarrollar objetivos.
• Riesgos de calidad, productos estándares, guías, procedimientos.
• Servicios y productos, recursos asignados para lograr los objetivos d calidad, requerimientos y expectativas de partes interesadas
• Proveedores críticos para el desarrollo sustentable del negocio
El contexto es crítico para los estándares ISO porque define el tipo, extensión y nivel de control que debe ser desarrollado para mitigar los riesgos.
El contexto asegura que el marco de la gestión de riesgo es diseñado y desarrollado. Ver más detalle del Contexto de la Organización
¿En cuáles requisitos de la próxima ISO 9001:2015 está presente el riesgo?
En el Capítulo 4 se requiere que la organización determine los riesgos que pueden afectar a su habilidad para cumplir con los objetivos del sistema. Ésta reconoce que las consecuencias del riesgo no son las mismas para todas las organizaciones. Para algunas, las consecuencias de la entrega de un producto no conforme no tienen importancia; mientras que para otras pueden ser fatales. Por lo tanto, el enfoque basado en el riesgo significa tener en cuenta el riesgo tanto cuantitativo como cualitativamente, en función del contexto del negocio.
En el apartado 4.3 Alcance: el definir el alcance va hacer vital, el escenario ha cambiado para la ISO 9001:2015, de un alcance general a que la organización debe determinar los límites y la aplicabilidad del sistema de gestión de la calidad, tomando en cuenta las cuestiones externas e internas, los requisitos de las partes interesadas y los productos y servicios, para ello se debe aplicar el pensamiento basado en riesgos para proporcionar mejor claridad
En el apartado 4.4 las organizaciones necesitan determinar indicadores que permitan la efectiva operación y control de los procesos, determinar las responsabilidades y autoridades para los procesos, identificar riesgos y oportunidades para los procesos y el plan para abordar estos. Se requiere el pensamiento basado en riesgos para la eliminación de todo tipo de actividades que no añaden valor; este pensamiento estaría presente cuando realicemos la Planificación, la gestión operativa, el seguimiento medición de la gestión, la evaluación de los requisitos legales, la eficiencia energética , la seguridad de la información entre otros.
En el Capítulo 5,
En el apartado 5.1.1 se requiere que la alta dirección demuestre su liderazgo y compromiso para asegurar que los riesgos y oportunidades que puedan afectar a la conformidad de un producto o servicio sean determinados y abordados.
Se necesita un pensamiento basado en riesgos cuando se le pide a la alta dirección en el apartado 5.1.2 el enfoque al cliente, cuando hay empresas que participan en todos los segmentos de mercados (mercadeo, ventas, comercialización, gobierno, sector industrial entre otros), en tanto que algunas organizaciones pueden limitarse a uno o dos segmentos, con la nueva versión de la norma la organización debe describir claramente en su alcance el sector específico, para luego demostrar su capacidad ya que el pensamiento basado en riesgo variara de un sector a otro.
En la Capítulo 6 se requiere que la organización adopte medidas para identificar los riesgos y las oportunidades y, planifique cómo abordarlos, específicamente en el apartado 6.1.1 es un nuevo requisito, las organizaciones están obligadas a considerar su contexto al planear sus sistemas de gestión de calidad. Esto significa pensar en las cuestiones internas y externas, y los requisitos pertinentes de sus partes interesadas, y cómo esto puede afectar en su diseño de sistema de gestión de calidad. La organización debe determinar los riesgos y oportunidades que deben abordarse en su contexto determinado. Esto es con el fin de garantizar que el sistema de gestión de calidad puede alcanzar sus resultados previstos, para prevenir o reducir los efectos no deseados y para lograr la mejora. Este apartado introduce un nuevo requisito para las organizaciones al tener que determinar los riesgos y oportunidades que tienen el potencial de afectar el funcionamiento y rendimiento de su sistema de gestión de calidad, tanto positiva como negativamente. Mientras que no se indica ninguna metodología de gestión de riesgos específicos, la gestión de riesgos es una actividad debe realizarse de ahora en adelante.
Una vez que la organización ha identificado los riesgos y oportunidades que enfrenta, entonces debe determinar cómo desea abordar estos.
Hay una declaración con respecto a la proporcionalidad en el sentido de que las medidas adoptadas a las oportunidades y riesgos deben estar en consonancia con el impacto potencial del riesgo u oportunidad sobre la conformidad de los productos y/o servicios, así como la satisfacción del cliente. La nota asociada establece posibles estrategias para mitigar los riesgos y reconoce que no todos los riesgos y oportunidades necesitan acciones. Por ejemplo, la organización puede tomar una decisión informada para mantener el riesgo, en efecto no actuar más allá de identificar y evaluar el riesgo o la oportunidad. En el apartado 6.1.2 se requiere un enfoque planificado con respecto a estas acciones, con ellos inicialmente siendo integradas en el sistema de gestión de calidad antes de una evaluación posterior para determinar si la acción fue eficaz para reducir el riesgo o darse cuenta de la oportunidad.
Este nuevo requisito requiere a los profesionales de calidad aseguren que sus organizaciones aplican metodologías de gestión de riesgo robustas. Con ello identificar y evaluar los riesgos y las oportunidades relacionadas con el SGC.
Dependiendo del resultado de esta evaluación, deben ser tomadas acciones para mitigar el riesgo o aprovechar la oportunidad. La norma exige que las magnitudes de estas acciones deben ser proporcionales al riesgo u oportunidad, es decir riesgos mayores requieren acciones mayores.
Posteriormente, las organizaciones necesitan evaluar cuán eficaz fue la acción que tomaron. Las organizaciones son libres de decidir sobre el método más adecuado de gestión de riesgo a utilizar. Este capítulo está relacionada con varias otros capítulos dentro de la Norma con respecto a sus resultados (es decir, ¿cuáles son los riesgos y oportunidades para la organización, y cómo han de abordarse?). En consecuencia, las organizaciones necesitan realmente entenderla y aplicarla con eficacia.
Es claro que una evaluación errada resultará en un sistema de gestión de calidad no adecuado, y por lo tanto poco efectivo.
En el Capítulo 7 Competencia Allí se debe tener el enfoque del pensamiento basado en riesgos cuando se realiza la evaluación de la competencia.
El Capítulo 8 está enfocado en la planificación y el control operativos. Se requiere que la organización planifique, ejecute y controle sus procesos para hacer frente a las acciones que se identifican en el capítulo 6. El capítulo 8.1 requiere que la organización debe planificar, implementar y controlar aquellos procesos que han identificado previamente (ver apartado 4.4) según sea necesario a fin de cumplir con los requisitos del producto o servicio. Además, deben planificar cómo abordará los riesgos y oportunidades que pueden afectar estos procesos y, por tanto, su capacidad para alcanzar estos requisitos.
El proceso de planificación se inicia cuando la organización establece los requisitos de su producto o servicio. Una vez que esto ha sido completado, la organización debe considerar entonces sus procesos y para cada uno debe establecer los criterios para el proceso, cómo controlará el proceso, los criterios de aceptación para las salidas de cada proceso y los recursos necesarios para apoyar cada proceso.
Esto significa que las entradas (disparadores para el proceso), salidas (productos y/o servicios), y los recursos y controles (para asegurar que se alcancen los resultados requeridos) deben ser determinados. Además, lo que hace que la salida sea aceptable también tiene que ser determinado – esto puede ser objetivos, medidas, valores, KPI ' s, especificaciones y otros criterios relevantes a la salida.
En el apartado 8.4 Control de los productos y servicios suministrados externamente, se requerirá un pensamiento basado en riesgos en la relación con el cliente, el proveedor, las instituciones financieras, participación de procesos o funciones contratadas externamente entre otras.
En el Capítulo 9 se requiere que la organización supervise, mida, analice y evalúe los riesgos y oportunidades. En el apartado 9.1.1 requiere que la organización inicialmente determine lo a que necesita hacerle seguimiento y que es necesario medir. Una vez hecho esto entonces debe decidir cómo va a llevar a cabo estas actividades con el fin de asegurar que los resultados obtenidos son válidos.
La necesidad de métodos para asegurar los resultados válidos se extiende también a las actividades de evaluación y análisis de la organización. Además, la organización también debe determinar cuando el seguimiento y medición debe llevarse a cabo y en qué etapa los resultados del seguimiento y medición deben ser analizados y evaluados.
Las Organizaciones posteriormente necesitan garantizar que control y medición se lleva a cabo conforme a los requisitos que la organización se ha fijado. Deben garantizar que en el seguimiento y medición que se lleva a cabo, se retiene información documentada para evidenciar los resultados.
Finalmente, existe un requisito para las organizaciones a evaluar la calidad y la eficacia de sus sistemas de gestión de calidad.
La decisión se requerirá un pensamiento basado en riesgos, acerca de lo que se le va hacer seguimiento y lo que es importante medir, puede tener un impacto significativo en la eficacia del SGC, su implementación y sus resultados.
Inevitablemente, la decisión se basará en:
• En el grado de confianza que la organización tiene en los controles operacionales que se ha establecido para sus procesos y su efectividad (esto puede utilizar datos históricos sobre el desempeño y establecer lo que debe vigilarse y lo que se debe medir).
• El grado de confianza que la organización necesita tener en los controles operacionales que se ha establecido para sus procesos y su efectividad (esto puede utilizar la salida de enfoque de la organización para enfrentar los riesgos y oportunidades; así como las necesidades y expectativas de sus clientes y partes interesadas) inevitablemente, en ausencia de datos para cualquiera de los puntos anteriores, la organización puede tener un conjunto integral de control y actividades de medición hasta el momento en que se pueden construir suficiente información y/o datos para ayudar a la toma de decisiones futuras en relación a sus actividades de seguimiento y medición.
Un ejemplo es donde los organismos de certificación realizan visitas más frecuentes de vigilancia de las organizaciones certificadas recientemente, y una vez que la confianza se logra a través de estas visitas y sus resultados, pueden reducir la frecuencia de las visitas de vigilancia futura. En última instancia, esto es todo sobre evaluación del riesgo.
En el apartado 9.2.2 se establece una serie de requisitos relativos a cómo auditar los programas, lo que deben cubrir las auditorías, que se debería llevar a cabo en las auditorías y cómo las auditorías deben ser registrados.
Al diseñar un programa de auditoría, las organizaciones deben considerar sus objetivos de calidad, la importancia de los procesos afectados, comentarios de los clientes, cambios dentro de la organización, los riesgos y oportunidades y los resultados de auditorías previas. Cada auditoria debe tener un ámbito definido y sus propios criterios de auditoría. Las auditorías y los auditores deben ser imparciales y objetivos.
Finalmente, los resultados de las auditorías deben ser entradas gerencias pertinentes y se debe tomar la corrección necesaria o acciones correctivas en forma oportuna. La información documentada debe mantenerse para proporcionar evidencia que se ha implementado el programa de auditoría.
También debe existir información documental para proporcionar evidencia de los resultados de las auditorías.
En el Capítulo 10 se requiere la mejora de la organización respondiendo a cambios en el riesgo. Es un nuevo capitulo que establece el requisito para que las organizaciones activamente
busquen realizar mejoras y tomen las oportunidades que permitan a la organización cumplir las exigencias del cliente y mejorar la satisfacción de estos.
Cuando busquen mejorar, las organizaciones deben revisar sus procesos, mejorar sus productos y servicios y mejorar sus resultados de sistema de gestión de calidad.
La nota asociada nos recuerda que la mejora no siempre toma lugar en una base continua. A veces ocurre como resultado de la acción correctiva, a veces mediante la innovación y a veces como resultado de la reorganización.
La acción preventiva ya no existe como un concepto de la 9001 – han eliminado todas las referencias a él. En cambio, ha sido reemplazado por el pensamiento basado en el riesgo.
Este Vídeo muestra de una forma sencilla que significa el Pensamiento Basado en el Riesgo.
La ISO 9001:2015 no requiere una auditoría de riesgos formal o un documento único específico. La información debe conservarse y estar disponible en formato electrónico, audio, video, escrito o cualquier otro tipo de soporte.
La ISO 31000 (Gestión del riesgo: principios y directivas) puede ser una referencia de utilidad para las organizaciones que buscan un proceso del riesgo corporativo más formal, pero no es obligatorio. Los riesgos que afectan a las organizaciones pueden tener consecuencias en términos de rendimiento económico y reputación profesional, así como ambientales, sociales y de seguridad. Por lo tanto, la gestión efectiva del riesgo ayuda a las organizaciones a realizar un buen desempeño en un entorno de incertidumbre.
La ISO 31000 establece los principios, el marco y los procesos para la gestión del riesgo. Puede ser empleada por cualquier organización independientemente de su tamaño, actividad o sector. El uso de esta norma puede ayudar a las organizaciones a aumentar la probabilidad de alcanzar sus objetivos, mejorar la identificación de sus amenazas y oportunidades y, a asignar y usar de manera eficaz sus recursos para el tratamiento de riesgos.
La ISO 31000 proporciona una lista útil sobre cómo hacer frente a los riesgos:
• Evitar el riesgo al decidir no iniciar o continuar con la actividad que da lugar a éste
• Aceptar o aumentar el riesgo con el fin de perseguir una oportunidad
• Extracción de la fuente del riesgo
• Cambio de la probabilidad
• Cambio de las consecuencias
• Compartir el riesgo con otra parte o partes (incluyendo los contratos y la financiación del riesgo)
• Conservar el riesgo debido a una decisión informada
La norma ISO 31000 se puede aplicar a la organización pública o privada, en todos los sectores, incluyendo cualquier actividad y con cualquier tipo de riesgo pueden usar la Norma ISO 31000 como herramienta para la toma de decisiones. La Norma ISO 31000 ha sido traducida a 23 idiomas. La introducción de ISO 31000 ha permitido a las
empresas incorporar estándares y procesos de alto nivel para evaluar y limitar los riesgos en todas sus operaciones. ISO 31000 ofrece principios y directrices genéricas sobre gestión de riesgos siendo la misma una referencia mundial en sistemas de gestión de riesgos, y elegirla le pondrá a la vanguardia del mercado; además sus clientes confiarán en su toma de decisiones estratégicas.
La variedad, complejidad y naturaleza de los riesgos puede ser de muy diversa índole por lo que éste nuevo Estándar Internacional desarrollado por la ISO (International Organization for Standardization) propone unas pautas genéricas sobre cómo gestionar los riesgos de forma sistemática y transparente.
El texto de la norma ISO 31000 es breve, claro y relativamente fácil de entender. Nada en el texto es radicalmente nuevo y los principios describen las buenas prácticas que son generalmente aceptadas. El marco se basa en Deming: “Planificar, Hacer, Verificar, Actuar " y el proceso representa las mejores prácticas internacionales en la gestión de riesgos. Relación entre los principios, el marco de trabajo y el proceso de gestión. Ver figura tomada de la Norma ISO 31000.
El punto de vista de los principios es que la gestión del riesgo se centró en la creación de valor y, posteriormente, la protección de valor.
La gestión del riesgo debe ser una parte integral de los procesos organizacionales de una organización, se considerará en el proceso de toma de decisiones y tener explícitamente el factor de incertidumbre en consideración
Estos son los principios que según la ISO 31000 debe cumplir la gestión una empresa para incrementar su eficacia:
Crear Valor: lo cual permite alcanzar los objetivos de la empresa ya sea de Seguridad o de cualquier otra índole.
Estar integrada en los procesos de la organización: la gestión de Riesgos nunca debe considerarse como una práctica aislada, sino que debe formar parte de las actividades y procesos que realiza la empresa.
Está presente en el proceso de toma de decisiones: de forma que facilite la selección de las distintas alternativas.
Trata explícitamente la incertidumbre: las dificultades que se presentan a las empresas, así como los aspectos inciertos de las tomas de decisiones, deben ser tratados por la gestión de riesgos para tratar de conocer el origen de la incertidumbre y como se puede tratar.
Es sistemática y estructurada: la gestión de Riesgos contribuye a la eficiencia y por tanto a la obtención de resultados confiables.
Se basa en la mejor información de la que se dispone: la gestión de Riesgos debe realizarse teniendo en cuenta la opinión del personal especializado y con experiencia, debe basarse en la observación, en la previsión y la experiencia.
Se adapta a circunstancias locales y específicas: existe una perfecta coordinación entre las necesidades del sector concreto al que pertenece la empresa y la gestión de riesgos.
Valora los factores humanos y culturales: identifica toda percepción de las partes implicadas faciliten o entorpezcan la labor de la empresa.
Es transparente e inclusiva: la gestión de Riesgos debe basarse en la comunicación de las partes implicadas y tenerlas en cuenta a la hora de tratar los riesgos.
Es dinámica, iterativa y sensible al cambio: puede conllevar cambios en la empresa, la labor de asegurarse de que esto ocurra es responsabilidad de la organización.
Facilita la mejora continua de la organización: es fundamental que la empresa desarrolle un constante proceso de mejora continua
Es esencial que el marco del trabajo su base en un mandato y el compromiso de la alta dirección. El diseño de un marco para la gestión de riesgos en una organización se basa en una comprensión del contexto interno y externo de la organización (política, económica, social, tecnológico, legal y el contexto ambiental).
A partir de esta declaración de política debe ser desarrollada la política, definidas las responsabilidades, integrada la gestión de riesgo en los procesos organizativos de la organización, disponer de los recursos para la gestión de los riesgos identificados.
El marco debe ser monitoreado y evaluado continuamente para garantizar mejoras continuas.
3er pilar el proceso
El proceso de gestión de riesgos también comienza con una buena definición del contexto interno y externo de la organización, pero sólo con más detalle. La base del proceso consta de los siguientes pasos:
• identificación de riesgos,
• evaluación de riesgos
• tratamiento del riesgo
• y algo muy importante es que debe existir una comunicación adecuada entre actores internos y externos, y el control continuo.
Para muchas organizaciones esto no será algo muy distinto a lo que están habituadas. Para aquellas en que esto no sea así, necesitarán comenzar a utilizar un enfoque basado en el riesgo en sus procesos operativos.
Identificar los riesgos y oportunidades – Esto por supuesto depende del contexto de una organización y su deseo de asumir riesgos.
Analizar y priorizar los riesgos y oportunidades. ¿Qué resulta aceptable?, ¿qué es inaceptable? ¿Qué ventajas o desventajas tiene un procedimiento sobre otro?
Planificar acciones para hacer frente a los riesgos. ¿Cómo se puede evitar o eliminar el riesgo? ¿Cómo pueden ser mitigados los riesgos?
Implementar el plan. Tomar las medidas necesarias
Verificar la eficacia de las acciones. ¿Funciona? Auditar el enfoque, aprender de la experiencia, la mejora continua y continuar considerando oportunidades innovadoras
Los resultados de una gestión de riesgos exitosa incluyen el cumplimiento, la garantía y la mejora en la toma de decisiones. Estos resultados proporcionarán beneficios a través de mejoras en la eficiencia de las operaciones, la eficacia de las tácticas (proyectos de cambio) y la eficacia de la estrategia de la organización.
Al tener en cuenta los riesgos en toda la organización, la probabilidad de alcanzar los objetivos establecidos se mejora, la producción es más consistente y los clientes pueden estar seguros de que van a recibir el producto o servicio esperado.
Por lo tanto, el pensamiento basado en el riesgo:
• Establece una cultura proactiva de mejora
• Asegura la consistencia de la calidad de los bienes o servicios
• Mejora la confianza y satisfacción de los clientes
• Construye una base sólida de conocimientos
• Mejora proactivamente la eficiencia operativa y gobernanza
• Aumenta la confianza de las partes interesadas en el uso de técnicas de riesgo
• Permite a las organizaciones aplicar los controles del sistema de gestión para analizar el riesgo y minimizar las pérdidas
• Mejora el desempeño del sistema de gestión y la capacidad de recuperación
• Permite a las organizaciones responder al cambio de manera efectiva y proteger su negocio a medida que crecen.
Ahora que conoces el enfoque basado en riesgo en la próxima ISO 9001:2015 recomendamos a las empresas comenzar a identificar sus riesgos, evaluarlos, determinar los controles necesarios y tomar las oportunidades.
Si eres profesional del área te recomendamos lo siguiente:
- Realiza cursos de formación actualizada referente a la nueva norma, y entiende a cabalidad el pensamiento basado en riesgo, punto muy novedoso, que ya es aplicado en otras normas, sin embargo, en los temas de Calidad no ha sido manejado adecuadamente.
- Refuerza la visión de enfoque por procesos, ya que será la piedra angular del sistema de Gestión de Calidad, los resultados de los procesos apuntaran al cumplimiento de los objetivos del Sistema. La estructura de alto nivel (Anexo SL) marcará la pauta para que las organizaciones certificadas comiencen los cambios en sus sistemas de gestión existentes.
Recuerda que el pensamiento basado en el riesgo:
• No es algo nuevo
• Es algo que ya hace
• Es continuo
• Garantiza un mayor conocimiento y preparación
• Aumenta la probabilidad de alcanzar objetivos
• Reduce la probabilidad de malos resultados
• Hace de la prevención un hábito