Cuáles son las opciones de tratamiento del riesgo

Una fábrica de componentes plásticos llegó a su auditoría con una matriz de riesgos de sesenta renglones. Cada riesgo tenía probabilidad, impacto y un nivel calculado, y varios estaban en rojo. En la columna de acción, casi todos decían lo mismo: monitorear. El auditor preguntó qué se iba a hacer con el riesgo de depender de un solo molde para el producto principal, y la respuesta fue que se estaba vigilando. Vigilar no es tratar.

Qué es el tratamiento del riesgo

En la ISO 31000 el tratamiento del riesgo es el proceso de seleccionar e implementar opciones para abordar un riesgo después de evaluarlo. La evaluación dice qué tan grande es; el tratamiento decide qué se hace con él. La ISO 9001 lo pide en 6.1.2, donde la organización debe planificar las acciones para abordar riesgos y oportunidades, integrarlas en sus procesos y evaluar su eficacia. Las acciones, dice la norma, deben ser proporcionales al impacto potencial.

Las opciones de tratamiento

• —Evitar el riesgo: decidir no iniciar o no continuar la actividad que lo genera, como rechazar un pedido con una tolerancia que el proceso no puede cumplir.
• —Eliminar la fuente: quitar la causa del riesgo, como sustituir una materia prima con variación conocida.
• —Reducir la probabilidad: agregar controles que hagan menos probable que ocurra, como un poka-yoke, mantenimiento preventivo o capacitación.
• —Reducir la consecuencia: limitar el daño si ocurre, como tener un molde de respaldo, inventario de seguridad o un plan de contingencia.
• —Compartir el riesgo: transferir parte de él a otro, mediante un seguro, un contrato o un acuerdo con el proveedor.
• —Aceptar o retener el riesgo: decidir de forma informada que el nivel es tolerable y no hacer más, dejando registro de quién lo aceptó y por qué.
• —Tomar o aumentar el riesgo: aprovechar una oportunidad que implica exponerse más, como entrar a un mercado nuevo.

Cómo se elige la opción

La elección se hace comparando el costo y el esfuerzo de cada opción contra el beneficio de reducir el riesgo, y contra el apetito de riesgo que la dirección haya definido. Un riesgo que está por encima del nivel aceptable no puede quedar en aceptar. Un riesgo bajo no justifica una inversión grande. Varias opciones pueden combinarse: el riesgo del molde único se puede reducir en probabilidad con mantenimiento preventivo y en consecuencia con un segundo molde.

El riesgo residual

Después de tratar un riesgo siempre queda algo. Ese riesgo residual se vuelve a evaluar para confirmar que quedó dentro del nivel aceptable. Si no quedó, se agrega otro tratamiento. Este paso es el que suele faltar: se registra la acción, pero no se recalcula el nivel, y la matriz sigue mostrando el mismo color aunque el control ya esté en marcha.

Errores frecuentes

• —Usar monitorear como tratamiento para riesgos altos sin ninguna acción concreta.
• —Aceptar un riesgo sin que nadie con autoridad firme esa decisión.
• —Definir acciones sin responsable ni fecha, que nunca se cierran.
• —No verificar la eficacia de las acciones, como pide la ISO 9001 en 6.1.2 y 9.1.3.

Cómo se sostiene

El tratamiento funciona cuando cada riesgo tiene su opción elegida, sus acciones con responsable y fecha, y una reevaluación del nivel residual al cerrarlas. Un Software de gestión de riesgos y oportunidades permite ligar cada acción con el riesgo que trata, dar seguimiento a su avance y recalcular el nivel cuando el control ya está implementado.

En resumen

Tratar un riesgo es decidir qué hacer con él: evitarlo, eliminar su fuente, reducir su probabilidad o su consecuencia, compartirlo, aceptarlo o tomarlo para aprovechar una oportunidad. La opción se elige contra el apetito de riesgo y el costo, se implementa con acciones concretas y se cierra solo cuando el riesgo residual queda dentro del nivel aceptable.