Generalidades

Esta pagina describe cómo se pueden seleccionar las técnicas para la apreciación del riesgo. Los anexos listan y describen una gama de herramientas y técnicas que se pueden utilizar para realizar una apreciación del riesgo o para ayudar en el proceso de apreciación del riesgo. Algunas veces puede ser necesario emplear más de un método de apreciación.

Selección

La apreciación del riesgo se puede realizar con diferentes grados de profundidad y de detalle, y utilizando uno o varios métodos que varían desde simples a complejos. La forma de la apreciación y de sus resultados debería ser consecuente con los criterios de riesgo desarrollados como parte del establecimiento del contexto. El anexo A muestra la relación conceptual entre las amplias categorías de técnicas de apreciación del riesgo y los factores presentes en una situación de riesgo dada, y proporciona ejemplos ilustrativos de cómo las organizaciones pueden seleccionar las técnicas apropiadas de apreciación del riesgo para una situación particular.

En términos generales, las técnicas adecuadas deberían tener las siguientes características:

• deberían ser justificables y apropiadas a la situación u organización que se está considerando;

• deberían proporcionar resultados de una forma que mejoren la comprensión de la naturaleza del riesgo y de cómo se puede tratar;
• deberían poderse utilizar de una manera que sea trazable, reproducible y verificable.

Se deberían dar las razones para la elección de técnicas, en cuanto a la importancia y a la idoneidad. Cuando se integran los resultados procedentes de estudios diferentes, las técnicas utilizadas y los resultados deberían ser comparables. 

Una vez que se ha tomado la decisión de realizar una apreciación del riesgo, y se han definido los objetivos y el campo de aplicación, las técnicas se deberían seleccionar en base a factores aplicables tales como:

• los objetivos del estudio. Los objetivos de la apreciación del riesgo tendrán una repercusión directa sobre las técnicas utilizadas. Por ejemplo, si se está realizando un estudio comparativo entre diferentes opciones, puede ser aceptable utilizar modelos de consecuencias menos detalladas para partes del sistema que no se vean afectadas por las diferencias;

• las necesidades de las personas que han de tomar decisiones. En algunos casos se necesita un alto nivel de detalle para tomar una buena decisión, mientras que en otros es suficiente una comprensión más general;

• el tipo y la gama de riesgos que se analizan;

• la posible magnitud de las consecuencias. La decisión sobre la profundidad con que se ha de realizar la apreciación del riesgo debería reflejar la percepción inicial de las consecuencias (aunque es posible que se tenga que modificar una vez que se haya completado la evaluación preliminar); 

• el grado de conocimientos técnicos, y de recursos humanos y de otros tipos que se necesitan. Un método sencillo, bien aplicado, puede proporcionar mejores resultados que un procedimiento más sofisticado pero aplicado deficientemente, en la medida en que cumpla los objetivos y campo de aplicación de la apreciación del riesgo. Por lo general, el esfuerzo que se ponga en la apreciación debería ser consecuente con el nivel potencial del riesgo que se está analizando; 

• la disponibilidad de información y de datos. Algunas técnicas requieren más información y datos que otras;
• la necesidad de modificación/actualización de la apreciación del riesgo. En un futuro puede ser necesario modificar/actualizar la apreciación del riesgo, y a este respecto, algunas técnicas son más fáciles de modificar que otras; 

• todos los requisitos contractuales y reglamentarios.

En la selección de un enfoque para la apreciación del riesgo influyen diversos factores, tales como la disponibilidad de recursos, la naturaleza y el grado de incertidumbre de los datos y de la información disponibles, y la complejidad de la aplicación.

Disponibilidad

Los recursos y las capacidades que pueden afectar a la elección de técnicas de apreciación del riesgo, incluyen:

• la capacidad y aptitud en cuanto a experiencia profesional del equipo de personas que ha de realizar la apreciación del riesgo;

• las limitaciones en tiempo y en otros recursos dentro de la organización;

• el presupuesto disponible si se requieren recursos externos.

Naturaleza y grado de la incertidumbre

La naturaleza y el grado de la incertidumbre requieren una correcta comprensión de la calidad, cantidad e integridad de la información disponible relativa al riesgo que se está considerando. Esto incluye la amplitud de la información disponible sobre el riesgo, sus orígenes y sus causas, así como sus consecuencias para la consecución de los objetivos. La incertidumbre se puede deber a la deficiente calidad de los datos o a la falta de datos esenciales y fiables. Por ejemplo, los métodos de recopilación de datos pueden cambiar la forma en que las organizaciones aplican tales métodos puede cambiar, o las organizaciones pueden utilizar un método de recopilación de datos que no sea eficaz o que los datos recopilados no correspondan al riesgo identificado.

La incertidumbre también puede ser inherente al contexto externo e interno de la organización. Los datos disponibles no siempre proporcionan una base fiable para la predicción del futuro. Para tipos de riesgos únicos, es posible que los datos históricos no estén disponibles o las distintas partes interesadas puedan tener diferentes interpretaciones de los datos disponibles. La apreciación del riesgo llevada a cabo debe comprender el tipo y la naturaleza de la incertidumbre y apreciar las implicaciones de la fiabilidad de los resultados de la apreciación del riesgo. Estos resultados se deberían comunicar siempre a las personas que han de tomar decisiones.

Complejidad

Los riesgos pueden ser complejos por sí mismos, como por ejemplo, en sistemas complejos donde se necesita disponer de la apreciación del riesgo en todo el sistema, en vez de tratar cada componente por separado e ignorando las interacciones. En otros casos, el tratamiento de un riesgo único puede tener implicaciones por sí mismo y puede impactar en otras actividades. Los impactos resultantes y las dependencias del riesgo deben ser comprendidos para asegurar que la gestión de un riesgo, no crea por sí misma una situación intolerable. La comprensión de la complejidad de un riesgo único o de un conjunto de riesgos de una organización es crucial para la selección del método o de las técnicas apropiadas para la apreciación del riesgo.

Aplicación

Se puede considerar que muchas actividades, proyectos y productos tienen un ciclo de vida que comienza a partir del concepto y la definición iniciales y continúa con su realización hasta que se lleva a cabo su terminación final, que podría incluir la retirada de servicio y el desmontaje y enajenación del hardware. 

La apreciación del riesgo se puede aplicar en todas las etapas del ciclo de vida, y normalmente se aplica muchas veces con diferentes niveles de detalle para ayudar en la toma de decisiones en cada fase.

Las fases del ciclo de vida tienen requisitos diferentes y necesitan técnicas diferentes. Por ejemplo, durante la fase de concepto y definición, cuando se identifica una oportunidad, la apreciación del riesgo se puede utilizar para decidir si se procede o no. 

Cuando existen varias opciones disponibles, la apreciación del riesgo se puede utilizar en la evaluación de conceptos alternativos para ayudar a decidir cuál de ellos proporciona el mejor balance entre los riesgos positivos y negativos.

Durante la fase de diseño y desarrollo, la apreciación del riesgo contribuye a:

• asegurar que los riesgos del sistema son tolerables;

• el proceso de mejora del diseño;

• los estudios de eficacia de los costes;

• la identificación de los riesgos que impactan en las fases siguientes del ciclo de vida.

A medida que avanza la actividad, la apreciación del riesgo se puede utilizar para proporcionar información que ayude a desarrollar procedimientos para condiciones normales y de emergencia.

Tipos

Las técnicas de apreciación del riesgo se pueden clasificar de varias maneras para ayudar a comprender sus cualidades relativas de solidez y de debilidad. A efectos ilustrativos, las tablas del anexo A relacionan algunas técnicas posibles y sus categorías.

Además, cada una de las técnicas se desarrolla en el anexo B según la naturaleza de la apreciación que proporcionan, y se dan directrices para su aplicabilidad para determinadas situaciones.

La primera clasificación muestra cómo se aplican las técnicas en cada etapa del proceso de apreciación del riesgo, como sigue:

• identificación del riesgo;

• análisis del riesgo – análisis de las consecuencias;

• análisis del riesgo – estimación de la probabilidad cualitativa, semicuantitativa o cuantitativa;

• análisis del riesgo – evaluación de la eficacia de todos los controles existentes;

• análisis del riesgo – estimación del nivel de riesgo;

• evaluación del riesgo.

Para cada etapa del proceso de apreciación del riesgo, la aplicación del método se describe como muy aplicable, aplicable o no aplicable (véase la tabla A.1).

Factores

A continuación se describen los atributos de los métodos, en función de:

• la complejidad del problema y de los métodos que se necesitan para analizarlo;

• la naturaleza y el grado de incertidumbre de la apreciación del riesgo, basados en la cantidad de información disponible y que se requiere para satisfacer los objetivos;

• la amplitud de los recursos requeridos en función del tiempo y del nivel de conocimientos técnicos, de las necesidades de datos o de los costes;

• si el método puede proporcionar un resultado cuantitativo.

En la tabla A.2 se relacionan ejemplos de tipos de métodos de apreciación del riesgo disponibles, donde cada método se clasifica como alto, medio, o bajo en función de estos atributos.