Evaluación de riesgos

Las evaluaciones de riesgo pueden realizarse en casos individuales , incluso en las interacciones entre pacientes y médicos. ^{[ 5 ]} En sentido estricto, la evaluación del riesgo químico es la evaluación del riesgo para la salud de un individuo en respuesta a exposiciones ambientales. ^{[ 6 ]}

Los métodos de comunicación de estadísticas a un individuo, tanto a través de palabras como de números, influyen en la interpretación que hace el individuo de los beneficios y los daños. Por ejemplo, comunicar a un individuo una tasa de mortalidad puede interpretarse como menos benigna que la tasa de supervivencia correspondiente . ^{[ 5 ]} Una revisión sistemática de 2017 de pacientes y médicos encontró que la sobreestimación de los beneficios y la subestimación de los riesgos ocurrían con más frecuencia que la alternativa de subestimación/sobreestimación. ^{[ 5 ] [ 7 ]} Una revisión sistemática de 2024 de la Colaboración Cochrane sugiere que las "ayudas para la toma de decisiones bien documentadas" ayudan a reducir los efectos de dicha tendencia o sesgo . ^{[ 5 ] [ 8 ]} Las ayudas para la toma de decisiones pueden ayudar a los individuos

1. llegar a una decisión sobre su atención basada en información basada en evidencia que se alinee con sus valores. ^{[ 8 ]}
2. comprender los riesgos con mayor claridad
3. tomar un papel activo en la toma de decisiones médicas. ^{[ 8 ]}

En personas que tuvieron resultados adversos del tratamiento, la revisión sistemática no encontró diferencias en el arrepentimiento por la decisión entre quienes usaron ayudas para la toma de decisiones y quienes recibieron el tratamiento estándar habitual sin dichas ayudas. ^{[ 8 ]}

La percepción del riesgo de un individuo puede verse afectada por factores psicológicos, ideológicos, religiosos o subjetivos, que influyen en la racionalidad del proceso. ^{[ 5 ]} Los individuos tienden a ser menos racionales cuando los riesgos y las exposiciones les afectan a ellos mismos en comparación con los de los demás. ^{[ 5 ]} También existe una tendencia a subestimar los riesgos que son voluntarios o en los que el individuo se percibe a sí mismo como si tuviera el control, como fumar. ^{[ 5 ]}

La evaluación de riesgos también puede realizarse a una escala mucho mayor , dentro de la teoría de sistemas ; por ejemplo, evaluando los riesgos de un ecosistema, un sistema mecánico, electrónico, nuclear y biológico interactivo y complejo, o un huracán (un sistema meteorológico y geográfico complejo). Los sistemas pueden definirse como lineales o no lineales (o complejos). Los sistemas lineales son predecibles y relativamente fáciles de comprender ante un cambio en la entrada, mientras que los sistemas no lineales son impredecibles cuando se modifican las entradas. ^{[ 9 ]} Por lo tanto, las evaluaciones de riesgos de sistemas no lineales o complejos tienden a ser más difíciles.

En la ingeniería de sistemas complejos , las evaluaciones de riesgo sofisticadas se realizan con frecuencia dentro de la ingeniería de seguridad y la ingeniería de confiabilidad cuando se trata de amenazas a la vida, el medio ambiente natural o el funcionamiento de las máquinas. Las industrias agrícola, nuclear, aeroespacial, petrolera, química, ferroviaria y militar tienen una larga trayectoria en la evaluación de riesgos. [ ^{10 ] Asimismo} , las industrias médica, hospitalaria, de servicios sociales ^{[ 11 ]} y alimentaria controlan los riesgos y realizan evaluaciones de riesgo de forma continua. Los métodos de evaluación de riesgos pueden variar entre industrias y según se trate de decisiones financieras generales o de evaluaciones de riesgos ambientales, ecológicos o de salud pública. ^{[ 10 ]}

Benoit Mandelbrot distinguió entre riesgo "leve" y riesgo "extremo" y argumentó que la evaluación y la gestión del riesgo deben ser fundamentalmente diferentes para ambos tipos de riesgo. ^{[ 12 ]} El riesgo leve sigue distribuciones de probabilidad normales o casi normales , está sujeto a regresión a la media y a la ley de los grandes números , y por lo tanto es relativamente predecible. El riesgo extremo sigue distribuciones de cola pesada , por ejemplo, distribuciones de Pareto o de ley de potencias , está sujeto a regresión a la cola (media o varianza infinitas, lo que invalida o hace ineficaz la ley de los grandes números), y por lo tanto es difícil o imposible de predecir. Un error común en la evaluación y gestión del riesgo es subestimar la naturaleza extrema del riesgo, asumiendo que el riesgo es leve cuando en realidad es extremo, lo cual debe evitarse para que la evaluación y gestión del riesgo sean válidas y fiables, según Mandelbrot.

Para ver el proceso de gestión de riesgos expresado matemáticamente, se puede definir el riesgo esperado como la suma de los riesgos individuales,${\displaystyle R_{i}}$, que puede calcularse como el producto de las pérdidas potenciales,${\displaystyle L_{i}}$y sus probabilidades,${\displaystyle p(L_{i})}$:

${\displaystyle R_{i}=L_{i}p(L_{i})\,\!}$

${\displaystyle R_{exp}=\sum _{i}L_{i}p(L_{i})\,\!}$

Aunque para algunos riesgos${\displaystyle R_{i},R_{j}}$, podríamos tener${\displaystyle R_{i}=R_{j}}$, si la probabilidad${\displaystyle p(L_{j})}$es pequeño en comparación con${\displaystyle p(L_{i})}$, su estimación podría basarse únicamente en un número menor de eventos previos y, por lo tanto, ser más incierta. Por otro lado, dado que${\displaystyle R_{i}=R_{j}}$,${\displaystyle L_{j}}$debe ser mayor que${\displaystyle L_{i}}$Por lo tanto, las decisiones basadas en esta incertidumbre tendrían mayores consecuencias y, en consecuencia, justificarían un enfoque diferente.

Esto cobra importancia cuando consideramos la varianza del riesgo.

${\displaystyle R_{var}=\sum _{i}L_{i}^{2}p(L_{i})-\left(\sum _{i}R_{i}\right)^{2}}$

como un gran${\displaystyle L_{i}}$cambia el valor.

Las decisiones financieras, como los seguros, expresan la pérdida en términos de cantidades monetarias. Cuando la evaluación de riesgos se utiliza para decisiones de salud pública o medioambientales, la pérdida se puede cuantificar en una métrica común, como la moneda de un país o alguna medida numérica de la calidad de vida de un lugar. Para las decisiones de salud pública y medioambientales, la pérdida es simplemente una descripción verbal del resultado, como el aumento de la incidencia de cáncer o la incidencia de defectos congénitos. En ese caso, el "riesgo" se expresa como

${\displaystyle R_{i}=p(L_{i})\,\!}$

Si la estimación del riesgo considera la cantidad de individuos expuestos, se denomina "riesgo poblacional" y se expresa en unidades de aumento esperado de casos por período de tiempo. Si la estimación del riesgo no considera la cantidad de individuos expuestos, se denomina "riesgo individual" y se expresa en unidades de tasa de incidencia por período de tiempo. Los riesgos poblacionales son más útiles para el análisis de costo-beneficio; los riesgos individuales son más útiles para evaluar si los riesgos para los individuos son "aceptables".

En la evaluación cuantitativa de riesgos, la expectativa de pérdida anualizada (ALE, por sus siglas en inglés) puede utilizarse para justificar el costo de implementar contramedidas para proteger un activo. Esta se calcula multiplicando la expectativa de pérdida única (SLE, por sus siglas en inglés), que representa la pérdida de valor derivada de un único incidente de seguridad, por la tasa de ocurrencia anualizada (ARO, por sus siglas en inglés), que estima la frecuencia con la que una amenaza lograría explotar una vulnerabilidad.

Sin embargo, se ha cuestionado la utilidad de la evaluación cuantitativa de riesgos. Barry Commoner , Brian Wynne y otros críticos han expresado su preocupación por la tendencia de la evaluación de riesgos a ser excesivamente cuantitativa y reduccionista. Por ejemplo, argumentan que las evaluaciones de riesgos ignoran las diferencias cualitativas entre los riesgos. Algunos afirman que las evaluaciones pueden omitir información importante no cuantificable o inaccesible, como las variaciones entre las clases de personas expuestas a peligros o la amplificación social. ^{[ 13 ]} Además, Commoner ^{[ 14 ]} y O'Brien ^{[ 15 ]} sostienen que los enfoques cuantitativos desvían la atención de las medidas de precaución o prevención. ^{[ 16 ]} Otros, como Nassim Nicholas Taleb, consideran a los gestores de riesgos poco más que "usuarios ciegos" de herramientas y métodos estadísticos. ^{[ 17 ]}

La ingeniería de riesgos es fundamental en la fase de evaluación, donde los riesgos no solo se identifican, sino que se analizan, cuantifican y modelan rigurosamente. En el contexto de los sistemas financieros, particularmente el riesgo crediticio, la ingeniería de riesgos implica comprender el comportamiento dinámico de parámetros de riesgo como la probabilidad de incumplimiento, la exposición en caso de incumplimiento y la pérdida en caso de incumplimiento. ^{[ 18 ]} Estos no se tratan como cifras aisladas, sino como componentes interconectados que responden a cambios sistémicos e idiosincrásicos. A medida que los riesgos individuales se agregan en carteras o sistemas más grandes, los ingenieros de riesgos emplean modelos estadísticos y técnicas de simulación para descubrir dependencias y posibles efectos en cascada. Esta visión a nivel de sistema permite modelar escenarios de estrés y eventos raros de alto impacto, lo que algunos denominan "riesgo salvaje". También respalda el diseño de estructuras robustas capaces de absorber choques y prevenir el colapso sistémico. ^{[ 19 ]} Los marcos regulatorios agregan otra capa al proceso de evaluación, exigiendo que los esfuerzos de ingeniería de riesgos no solo reflejen la complejidad del mundo real, sino que también se alineen con las restricciones institucionales.

El proceso de evaluación de riesgos puede ser algo informal a nivel individual, evaluando riesgos económicos y familiares, ^{[ 20 ] [ 21 ]} o un proceso estratégico y sofisticado a nivel organizacional. Sin embargo, en ambos casos, la capacidad de anticipar eventos futuros y crear estrategias efectivas para mitigarlos cuando se consideren inaceptables es vital.

A nivel individual, identificar los objetivos y los riesgos, sopesar su importancia y elaborar planes puede ser todo lo necesario.

A nivel organizacional, pueden ser necesarias políticas estratégicas más elaboradas, que especifiquen niveles de riesgo aceptables (tolerancia al riesgo/cultura empresarial), procedimientos estándar a seguir dentro de la organización, prioridades de riesgos a mitigar y asignación de recursos para dicha mitigación. ^{[ 22 ] : 10}

A nivel estratégico corporativo, la dirección involucrada en el proyecto elabora evaluaciones de riesgos a nivel de proyecto, con la ayuda de expertos disponibles, como parte del proceso de planificación, y establece sistemas para asegurar que se implementen las acciones necesarias para mitigar los riesgos evaluados. A nivel dinámico, la organización puede requerir que el personal directamente involucrado en la implementación de métodos de reducción de riesgos aborde peligros imprevistos en tiempo real. Las decisiones tácticas tomadas a este nivel deben revisarse después de la operación para obtener retroalimentación sobre la efectividad tanto de los procedimientos planificados como de las decisiones alternativas tomadas en respuesta a contingencias.

Los libros de texto de alrededor de 2013 y anteriores distinguen entre los términos análisis de riesgo y evaluación de riesgo. ^{[ 1 ]} Cuando el análisis de riesgo y la evaluación de riesgo se realizan al mismo tiempo, se denomina evaluación de riesgo. ^{[ 1 ]}

Un análisis de riesgos incluye los siguientes cuatro pasos: ^{[ 1 ]}

• Es necesario establecer el contexto, que limita el alcance (límites de uso) de los riesgos a considerar. Asimismo, es preciso identificar las partes o los bienes que podrían verse afectados por la amenaza.
• La identificación de peligros consiste en identificar los peligros visibles e implícitos y determinar la naturaleza cualitativa de las posibles consecuencias adversas de cada peligro. Sin una posible consecuencia adversa, no existe peligro.
• Análisis de frecuencia Si una consecuencia depende de la dosis, es decir, de la cantidad de exposición, debe establecerse la relación entre la dosis y la gravedad de la consecuencia, y el riesgo depende de la dosis probable, que puede depender de la concentración o amplitud y la duración o frecuencia de la exposición. Este es el caso general para muchos riesgos para la salud donde el mecanismo de lesión es la toxicidad o la lesión repetitiva, particularmente cuando el efecto es acumulativo .
• Análisis de consecuencias. En otros riesgos, las consecuencias pueden ocurrir o no, y su gravedad puede variar enormemente incluso cuando las condiciones desencadenantes son las mismas. Esto es típico de muchos riesgos biológicos, así como de una amplia gama de riesgos para la seguridad. La exposición a un patógeno puede o no provocar una infección real, y las consecuencias de la infección también pueden ser variables. Del mismo modo, una caída desde el mismo lugar puede provocar lesiones leves o la muerte, dependiendo de detalles impredecibles. En estos casos, es necesario estimar las consecuencias razonablemente probables y la probabilidad de ocurrencia asociada.

Una evaluación de riesgos implica emitir juicios sobre la tolerabilidad de los riesgos identificados, lo que lleva a su aceptación.

A partir de 2023, la evaluación del riesgo químico sigue estos cuatro pasos: ^{[ 6 ]}

• caracterización de riesgos
• evaluación de la exposición
• modelado de dosis-respuesta
• caracterización del riesgo.

Existe una enorme variabilidad en la relación dosis-respuesta entre una sustancia química y el resultado en la salud humana en subgrupos particularmente susceptibles, como mujeres embarazadas, fetos en desarrollo, niños hasta la adolescencia, personas con bajo nivel socioeconómico, personas con enfermedades preexistentes, discapacidades, susceptibilidad genética y personas con otras exposiciones ambientales . ^{[ 6 ]} Riesgo dependiente de la dosis

1. El análisis de dosis-respuesta consiste en determinar la relación entre la dosis y el tipo de respuesta adversa y/o la probabilidad o incidencia del efecto (evaluación de la dosis-respuesta). La complejidad de este paso en muchos contextos se deriva principalmente de la necesidad de extrapolar los resultados de animales de experimentación (p. ej. , ratones , ratas ) a humanos, y/o de dosis altas a bajas, incluyendo desde altos niveles agudos ocupacionales hasta bajos niveles crónicos ambientales. Además, las diferencias entre individuos debido a la genética u otros factores implican que el riesgo puede ser mayor para grupos particulares, denominados poblaciones susceptibles. Una alternativa a la estimación de la dosis-respuesta es determinar una concentración que probablemente no produzca efectos observables, es decir, una concentración sin efecto . Al desarrollar dicha dosis, para tener en cuenta los efectos en gran medida desconocidos de las extrapolaciones de animales a humanos, la mayor variabilidad en humanos o la falta de datos, a menudo se adopta un enfoque prudente al incluir factores de seguridad o incertidumbre en la estimación de la dosis "segura", típicamente un factor de 10 por cada paso desconocido.
2. La cuantificación de la exposición tiene como objetivo determinar la cantidad de un contaminante (dosis) que recibirán los individuos y las poblaciones, ya sea por contacto (p. ej., concentración en el aire ambiente) o por ingesta (p. ej., dosis diaria ingerida a través del agua potable). Esto se logra examinando los resultados de la evaluación de la exposición . Dado que diferentes lugares, estilos de vida y otros factores probablemente influyen en la cantidad de contaminante que se recibe, en este paso se genera un rango o distribución de valores posibles. Se presta especial atención a la determinación de la exposición de la(s) población(es) susceptible(s).

Los resultados de estos pasos se combinan para obtener una estimación del riesgo. Debido a las diferentes susceptibilidades y exposiciones, este riesgo variará dentro de una población. Generalmente, se incluye un análisis de incertidumbre en la evaluación de riesgos para la salud.

Numerosos recursos proporcionan información sobre los riesgos para la salud humana:

La Biblioteca Nacional de Medicina proporciona herramientas de información sobre evaluación y regulación de riesgos para un público diverso. ^{[ 23 ]} Estas incluyen:

• TOXNET (bases de datos sobre sustancias químicas peligrosas, salud ambiental y emisiones tóxicas), ^{[ 24 ]}
• la base de datos de productos domésticos (efectos potenciales para la salud de los productos químicos en más de 10.000 productos domésticos comunes), ^{[ 25 ]}
• TOXMAP (mapas de los datos del programa Superfund y del Inventario de Liberación de Sustancias Tóxicas de la Agencia de Protección Ambiental de los Estados Unidos ).

La Agencia de Protección Ambiental de los Estados Unidos proporciona información básica sobre evaluaciones de riesgos para la salud ambiental para el público en general para una amplia variedad de posibles exposiciones ambientales. ^{[ 26 ]}

La Agencia de Protección Ambiental (EPA) comenzó a utilizar activamente métodos de evaluación de riesgos para proteger el agua potable en los Estados Unidos tras la aprobación de la Ley de Agua Potable Segura de 1974. Dicha ley exigía a la Academia Nacional de Ciencias (NAS) realizar un estudio sobre cuestiones relacionadas con el agua potable, y en su informe, la NAS describió algunas metodologías para realizar evaluaciones de riesgos de sustancias químicas sospechosas de ser cancerígenas, recomendaciones que altos funcionarios de la EPA han descrito como quizás la parte más importante del estudio. ^{[ 27 ]}

Considerando el aumento de la comida chatarra y su toxicidad, la FDA exigió en 1973 que los compuestos cancerígenos no estuvieran presentes en la carne en concentraciones que causaran un riesgo de cáncer mayor a 1 en un millón a lo largo de la vida. La Agencia de Protección Ambiental de los Estados Unidos proporciona amplia información sobre evaluaciones de riesgo ecológico y ambiental para el público a través de su portal de evaluación de riesgos. ^{[ 28 ]} El Convenio de Estocolmo sobre contaminantes orgánicos persistentes (COP) respalda un marco de riesgo cualitativo para la protección de la salud pública frente a sustancias químicas que muestran persistencia ambiental y biológica, bioacumulación , toxicidad (PBT) y transporte a larga distancia; la mayoría de las sustancias químicas globales que cumplen este criterio han sido evaluadas cuantitativamente con anterioridad por agencias de salud nacionales e internacionales. ^{[ 29 ]}

Para los efectos sobre la salud que no son cancerígenos, se utilizan los términos dosis de referencia (RfD) o concentración de referencia (RfC) para describir el nivel seguro de exposición de forma dicotómica. Una forma más reciente de comunicar el riesgo es la evaluación probabilística del riesgo . ^{[ 30 ]}

En el contexto de la salud pública , la evaluación de riesgos es el proceso de caracterizar la naturaleza y la probabilidad de un efecto nocivo para individuos o poblaciones derivado de determinadas actividades humanas. La evaluación de riesgos para la salud puede ser principalmente cualitativa o incluir estimaciones estadísticas de probabilidades para poblaciones específicas. En la mayoría de los países, el uso de determinados productos químicos o el funcionamiento de determinadas instalaciones (por ejemplo, centrales eléctricas, plantas de fabricación) no está permitido a menos que se demuestre que no aumentan el riesgo de muerte o enfermedad por encima de un umbral específico. Por ejemplo, la Administración de Alimentos y Medicamentos de Estados Unidos (FDA) regula la seguridad alimentaria mediante la evaluación de riesgos, mientras que la EFSA hace lo mismo en la UE. ^{[ 33 ]}

Una evaluación de riesgos laborales es una valoración del peligro potencial que un riesgo puede representar para una persona en un entorno laboral. La evaluación tiene en cuenta los posibles escenarios, además de la probabilidad de su ocurrencia y sus consecuencias. ^{[ 34 ]} Los seis tipos de riesgos que se deben considerar son: seguridad (aquellos que pueden causar lesiones), químicos , biológicos , físicos , psicosociales (aquellos que causan estrés y acoso) y ergonómicos (aquellos que pueden causar trastornos musculoesqueléticos ). ^{[ 35 ]} Para evaluar adecuadamente los riesgos, se deben realizar dos pasos. En primer lugar, se debe llevar a cabo una " evaluación de la exposición ", que mide la probabilidad de contacto del trabajador y el nivel de contacto. En segundo lugar, se debe realizar una "caracterización del riesgo", que mide la probabilidad y la gravedad de los posibles riesgos para la salud. ^{[ 36 ]}

La importancia de las evaluaciones de riesgo para gestionar las consecuencias del cambio y la variabilidad climática se recuerda en los marcos mundiales para la reducción del riesgo de desastres , adoptados por los países miembros de las Naciones Unidas al término de las Conferencias Mundiales celebradas en Kobe (2005) y Sendai (2015). El Marco de Sendai para la Reducción del Riesgo de Desastres pone de relieve la escala local y fomenta un enfoque holístico del riesgo, que debe considerar todos los peligros a los que está expuesta una comunidad, la integración del conocimiento técnico-científico con el conocimiento local y la inclusión del concepto de riesgo en los planes locales para lograr una reducción significativa de los desastres para 2030. Llevar estos principios a la práctica diaria supone un reto para muchos países. El sistema de seguimiento del Marco de Sendai pone de manifiesto el escaso conocimiento sobre el progreso alcanzado entre 2015 y 2019 en la reducción del riesgo de desastres a nivel local. ^{[ 37 ]}

Para las auditorías realizadas por una firma de auditoría externa , la evaluación de riesgos es una etapa crucial antes de aceptar un encargo de auditoría. Según la NIA 315 Comprensión de la entidad y su entorno y evaluación de los riesgos de incorrección material , "el auditor debe realizar procedimientos de evaluación de riesgos para obtener una comprensión de la entidad y su entorno, incluido su control interno". Evidencia relacionada con la evaluación de riesgos del auditor de una incorrección material en los estados financieros del cliente. Luego, el auditor obtiene evidencia inicial sobre las clases de transacciones en el cliente y la efectividad operativa de los controles internos del cliente. El riesgo de auditoría se define como el riesgo de que el auditor emita una opinión limpia sin salvedades sobre los estados financieros, cuando de hecho los estados financieros están materialmente incorregidos y, por lo tanto, no califican para una opinión limpia sin salvedades. Como fórmula, el riesgo de auditoría es el producto de otros dos riesgos: riesgo de incorrección material y riesgo de detección. Esta fórmula se puede desglosar aún más de la siguiente manera: riesgo inherente × riesgo de control × riesgo de detección .

Los bancos y otras instituciones financieras realizan evaluaciones de riesgo antes de otorgar préstamos a consumidores y empresas. La Ley de Pequeñas Empresas, Emprendimiento y Empleo del Reino Unido de 2015 reconoció que a muchas pequeñas empresas se les denegaban préstamos bancarios porque sus actividades comerciales no se ajustaban a los perfiles de riesgo de las grandes instituciones financieras, y estableció disposiciones legislativas para que la información crediticia estuviera disponible para otros prestamistas, permitiéndoles así realizar también evaluaciones de riesgo precisas. ^{[ 43 ]}

En la gestión de proyectos , la evaluación de riesgos es parte integral del plan de gestión de riesgos, que estudia la probabilidad, el impacto y el efecto de cada riesgo conocido en el proyecto, así como las medidas correctivas a tomar en caso de que ocurra un incidente derivado de un riesgo. ^{[ 44 ]} En este ámbito, son de especial importancia los códigos de buenas prácticas pertinentes que se aplican en la jurisdicción específica. Comprender el marco normativo que debe cumplir la gestión de riesgos es fundamental para formular prácticas de evaluación de riesgos seguras y conformes a la normativa.

En las industrias de alto riesgo, la evaluación de riesgos suele ser realizada por profesionales multidisciplinarios en seguridad de procesos y gestión de riesgos, como IRESC Global, que aplican métodos sistemáticos para identificar y controlar eventos de baja probabilidad y altas consecuencias, como incendios, explosiones y fugas de materiales peligrosos en sistemas industriales complejos.

Su trabajo integra las disciplinas de ingeniería, seguridad de sistemas, factores humanos y fiabilidad, utilizando habitualmente técnicas estructuradas como el análisis de riesgos de procesos (PHA) y los estudios de riesgos y operabilidad (HAZOP) para evaluar y reducir los riesgos relacionados con los procesos.

La evaluación de riesgos en tecnología de la información puede realizarse mediante un enfoque cualitativo o cuantitativo, siguiendo diferentes metodologías. Una diferencia importante en las evaluaciones de riesgos en seguridad de la información radica en la modificación del modelo de amenazas para tener en cuenta que cualquier sistema adversario conectado a Internet tiene acceso para amenazar a cualquier otro sistema conectado. ^{[ 45 ]} Por lo tanto, es posible que sea necesario modificar las evaluaciones de riesgos para considerar las amenazas de todos los adversarios, en lugar de solo aquellos con acceso razonable, como se hace en otros campos.

Definición del NIST: Proceso de identificación de riesgos para las operaciones de la organización (incluidas la misión, las funciones, la imagen y la reputación), los activos de la organización, las personas, otras organizaciones y la nación, derivados del funcionamiento de un sistema de información. Parte de la gestión de riesgos incorpora análisis de amenazas y vulnerabilidades y considera las medidas de mitigación proporcionadas por los controles de seguridad planificados o implementados. ^{[ 46 ]}

Existen diversas metodologías y marcos de evaluación de riesgos disponibles, entre los que se incluyen el Marco de Gestión de Riesgos del NIST (RMF), ^{[ 47 ]} los Objetivos de Control para la Información y Tecnologías Relacionadas (COBIT), ^{[ 48 ]} el Análisis de Factores de Riesgo de la Información (FAIR), ^{[ 49 ]} la Evaluación de Amenazas, Activos y Vulnerabilidades Críticas Operacionales (OCTAVE), ^{[ 50 ]} el Método de Evaluación de Riesgos del Centro para la Seguridad en Internet (CIS RAM), ^{[ 51 ]} y el Estándar de Análisis de Riesgos del Deber de Diligencia (DoCRA), ^{[ 52 ]} que ayuda a definir la seguridad "razonable".

El proceso de Evaluación de Amenazas y Riesgos (TRA, por sus siglas en inglés) forma parte de la gestión de riesgos y se refiere a los riesgos relacionados con las ciberamenazas . El proceso TRA identifica los ciberriesgos, evalúa su gravedad y puede recomendar medidas para reducirlos a un nivel aceptable.

Existen diferentes metodologías para realizar TRA (por ejemplo, Metodología TRA Armonizada ^{[ 53 ]} ), todas utilizan los siguientes elementos: ^{[ 54 ] [ 55 ] [ 56 ]} identificación de activos (qué se debe proteger), identificación y evaluación de las amenazas y vulnerabilidades para los activos identificados, determinación de la explotabilidad de las vulnerabilidades, determinación de los niveles de riesgo asociados con las vulnerabilidades (cuáles son las implicaciones si los activos se dañan o se pierden) y recomendación de un programa de mitigación de riesgos.

Los megaproyectos (a veces también llamados "grandes programas") son proyectos de inversión a gran escala, que suelen costar más de 1.000 millones de dólares estadounidenses por proyecto. Incluyen puentes, túneles, autopistas, ferrocarriles, aeropuertos, puertos marítimos, centrales eléctricas, represas, proyectos de tratamiento de aguas residuales, protección contra inundaciones costeras, proyectos de extracción de petróleo y gas natural , edificios públicos, sistemas de tecnología de la información, proyectos aeroespaciales y sistemas de defensa. Se ha demostrado que los megaproyectos son particularmente riesgosos en términos financieros, de seguridad y de impacto social y ambiental .

Los estudios han demostrado que las primeras etapas del ciclo de desarrollo de sistemas, como los requisitos y las especificaciones de diseño, son especialmente propensas a errores. Este efecto es particularmente notorio en proyectos que involucran a múltiples partes interesadas con diferentes puntos de vista. Los procesos de software evolutivos ofrecen un enfoque iterativo para la ingeniería de requisitos que permite mitigar los problemas de incertidumbre, ambigüedad e inconsistencia inherentes al desarrollo de software.

En julio de 2010, las compañías navieras acordaron utilizar procedimientos estandarizados para evaluar el riesgo en las operaciones clave a bordo de los buques. Estos procedimientos se implementaron como parte del Código Internacional de Gestión de la Seguridad enmendado . ^{[ 57 ]}

La evaluación formal de riesgos es un componente obligatorio de la mayoría de las planificaciones de buceo profesional , pero el formato y la metodología pueden variar. Las consecuencias de un incidente debido a un peligro identificado generalmente se eligen de un pequeño número de categorías estandarizadas, y la probabilidad se estima en base a datos estadísticos en las raras ocasiones en que están disponibles, y en una estimación basada en la mejor aproximación basada en la experiencia personal y la política de la empresa en la mayoría de los casos. A menudo se utiliza una matriz de riesgos simple para transformar estos datos en un nivel de riesgo, generalmente expresado como inaceptable, marginal o aceptable. Si es inaceptable, se deben tomar medidas para reducir el riesgo a un nivel aceptable, y el resultado de la evaluación de riesgos debe ser aceptado por las partes afectadas antes de que comience una inmersión. Niveles de riesgo más altos pueden ser aceptables en circunstancias especiales, como operaciones militares o de búsqueda y rescate cuando existe la posibilidad de recuperar a un superviviente. Los supervisores de buceo están capacitados en los procedimientos de identificación de peligros y evaluación de riesgos , y es parte de su responsabilidad de planificación y operación. Se deben considerar tanto los peligros para la salud como para la seguridad. Se pueden identificar varias etapas. Se realiza una evaluación de riesgos como parte de la planificación del proyecto de buceo, una evaluación de riesgos in situ que tiene en cuenta las condiciones específicas del día, y una evaluación de riesgos dinámica que se lleva a cabo de forma continua durante la operación por los miembros del equipo de buceo, en particular el supervisor y el buzo trabajador. ^{[ 58 ] [ 59 ]}

En el buceo recreativo , el nivel de evaluación de riesgos que se espera del buceador es relativamente básico y se incluye en las comprobaciones previas a la inmersión . Las agencias de certificación de buceadores han desarrollado varias reglas mnemotécnicas para recordar al buceador que preste atención al riesgo, pero la formación es rudimentaria. Se espera que los proveedores de servicios de buceo ofrezcan un mayor nivel de atención a sus clientes, y que los instructores y divemasters evalúen el riesgo en nombre de sus clientes y les adviertan sobre los peligros específicos del sitio y la competencia considerada apropiada para la inmersión planificada. Se espera que los buceadores técnicos realicen una evaluación de riesgos más exhaustiva, pero como tomarán una decisión informada sobre una actividad recreativa, el nivel de riesgo aceptable puede ser considerablemente mayor que el permitido para los buceadores profesionales bajo la dirección de un empleador. ^{[ 60 ] [ 61 ]}

En las actividades al aire libre, incluyendo la educación comercial al aire libre, las expediciones en la naturaleza y la recreación al aire libre , la evaluación de riesgos se refiere al análisis de la probabilidad y magnitud de resultados desfavorables como lesiones, enfermedades o daños a la propiedad debido a causas ambientales y relacionadas, en comparación con el desarrollo humano u otros beneficios de la actividad al aire libre. Esto es de particular importancia ya que los programas escolares y otros sopesan los beneficios de la participación de jóvenes y adultos en diversas actividades de aprendizaje al aire libre frente a los peligros inherentes y otros peligros presentes en esas actividades. Las escuelas, las entidades corporativas que buscan experiencias de formación de equipos, los padres/tutores y otros que consideran experiencias al aire libre esperan o requieren ^{[ 62 ]} que las organizaciones evalúen los peligros y riesgos de diferentes actividades al aire libre, como la navegación, el tiro al blanco, la caza, el montañismo o el campamento, y seleccionen actividades con perfiles de riesgo aceptables.

Las organizaciones de educación al aire libre, aventuras en la naturaleza y otras organizaciones relacionadas con actividades al aire libre deberían, y en algunas jurisdicciones están obligadas a, realizar evaluaciones de riesgos antes de ofrecer programas con fines comerciales. ^{[ 63 ] [ 64 ] [ 65 ]}

A dichas organizaciones se les brinda orientación sobre cómo realizar sus evaluaciones de riesgos. ^{[ 66 ]}

Las evaluaciones de riesgos para actividades guiadas al aire libre constituyen solo un componente de un plan integral de gestión de riesgos, ya que muchas evaluaciones de riesgos utilizan un pensamiento lineal básico que no emplea prácticas de gestión de riesgos más modernas que utilizan la teoría de sistemas sociotécnicos complejos. ^{[ 67 ] [ 68 ]}

La Evaluación de Riesgos Ambientales (ERA) tiene como objetivo evaluar los efectos de los factores de estrés, generalmente químicos, en el medio ambiente local. Un riesgo es una evaluación integrada de la probabilidad y la gravedad de un evento no deseado. En la ERA, el evento no deseado a menudo depende del químico de interés y del escenario de evaluación de riesgos. ^{[ 69 ]} Este evento no deseado suele ser un efecto perjudicial en organismos, poblaciones o ecosistemas . Las ERA actuales suelen comparar una exposición con un nivel sin efecto, como la relación Concentración Ambiental Prevista/ Concentración Sin Efecto Prevista (PEC/PNEC) en Europa. Aunque este tipo de relación es útil y se usa a menudo con fines regulatorios, solo es una indicación de un umbral aparente superado. ^{[ 70 ]} Se están desarrollando nuevos enfoques en la ERA para cuantificar este riesgo y comunicarlo eficazmente tanto a los gestores como al público en general. ^{[ 69 ]}

La evaluación del riesgo ecológico se complica por el hecho de que existen muchos factores de estrés no químicos que influyen sustancialmente en los ecosistemas, las comunidades y las plantas y animales individuales, así como en los paisajes y las regiones. ^{[ 71 ] [ 72 ]} Definir el evento no deseado (adverso) es un juicio político o de políticas públicas, lo que complica aún más la aplicación de las herramientas tradicionales de análisis de riesgos a los sistemas ecológicos. Gran parte del debate político en torno a la evaluación del riesgo ecológico se centra en definir con precisión qué es un evento adverso. ^{[ 73 ]}

Las evaluaciones de riesgo de biodiversidad evalúan los riesgos para la diversidad biológica , especialmente el riesgo de extinción de especies o el riesgo de colapso de ecosistemas . Las unidades de evaluación son las entidades biológicas (especies, subespecies o poblaciones ) o ecológicas ( hábitats , ecosistemas , etc.), y los riesgos suelen estar relacionados con acciones e intervenciones humanas (amenazas y presiones). Diversas instituciones académicas o gubernamentales y grupos de trabajo han propuesto protocolos regionales y nacionales, ^{[ 74 ]} pero se han adoptado ampliamente estándares globales como la Lista Roja de Especies Amenazadas y la Lista Roja de Ecosistemas de la UICN , y se reconocen o proponen como indicadores oficiales de progreso hacia metas y objetivos de política internacional, como las Metas de Aichi y los Objetivos de Desarrollo Sostenible . ^{[ 75 ] [ 76 ]}

Las evaluaciones de riesgo se utilizan en numerosas etapas del proceso legal y se desarrollan para medir una amplia variedad de elementos, como tasas de reincidencia, posibles problemas previos al juicio, libertad condicional/libertad vigilada, e identificar posibles intervenciones para los acusados. ^{[ 77 ]} Los psicólogos clínicos, los psicólogos forenses y otros profesionales son responsables de realizar las evaluaciones de riesgo. ^{[ 77 ] [ 78 ] [ 79 ]} Dependiendo de la herramienta de evaluación de riesgo, los profesionales deben recopilar diversa información de antecedentes sobre el acusado o la persona evaluada. Esta información incluye sus antecedentes penales (si corresponde) y otros registros (es decir, datos demográficos, educación, situación laboral, historial médico), a los que se puede acceder mediante una entrevista directa con el acusado o los registros en el archivo. ^{[ 77 ]}

En la etapa previa al juicio, una herramienta de evaluación de riesgos ampliamente utilizada es la Evaluación de Seguridad Pública (PSA), ^{[ 80 ]} que predice la incomparecencia ante el tribunal, la probabilidad de una nueva detención por delitos durante la libertad provisional y la probabilidad de una nueva detención por delitos violentos durante la libertad provisional. Se observan y se tienen en cuenta múltiples elementos según el aspecto de la PSA en el que se centre, y, como en todas las demás evaluaciones de riesgo actuariales, a cada elemento se le asigna una ponderación para obtener una puntuación final. ^{[ 77 ]} Se puede acceder en línea a información detallada, como la transparencia sobre los elementos que considera la PSA y cómo se distribuyen las puntuaciones. ^{[ 81 ]}

Para los acusados ​​que han estado encarcelados, las evaluaciones de riesgo se utilizan para determinar su probabilidad de reincidencia y fundamentar las decisiones sobre la duración de la sentencia. Las evaluaciones de riesgo también ayudan a los funcionarios de libertad condicional/libertad vigilada a determinar el nivel de supervisión al que debe someterse un recluso en libertad vigilada y qué intervenciones podrían implementarse para mejorar su situación de riesgo. ^{[ 78 ]} El Perfil de Gestión de Delincuentes Correccionales para Sanciones Alternativas (COMPAS) es una evaluación de riesgo diseñada para medir el riesgo de liberación previa al juicio, el riesgo general de reincidencia y el riesgo de reincidencia violenta. La información detallada sobre la puntuación y los algoritmos de COMPAS no es accesible al público en general.

Las evaluaciones de riesgos de seguridad de la maquinaria se armonizan en el desarrollo de maquinaria diseñada para cumplir con la Directiva de Maquinaria utilizando el marco establecido en la norma ISO 12100. ^{[ 82 ] [ 83 ]}