Gestión de riesgos

Las oportunidades aparecieron por primera vez en investigaciones académicas o libros de gestión en la década de 1990. El primer borrador del Cuerpo de Conocimientos de Gestión de Proyectos (PMBoK) de 1987 no menciona las oportunidades en absoluto.

La escuela moderna de gestión de proyectos reconoce la importancia de las oportunidades. Las oportunidades se han incluido en la literatura sobre gestión de proyectos desde la década de 1990, por ejemplo en el PMBoK, y se convirtieron en una parte significativa de la gestión de riesgos de proyectos en la década de 2000, ^{[ 17 ]} cuando también comenzaron a aparecer artículos titulados "gestión de oportunidades" en las búsquedas bibliográficas. De este modo, la gestión de oportunidades se convirtió en una parte importante de la gestión de riesgos.

La teoría moderna de gestión de riesgos abarca todo tipo de eventos externos, tanto positivos como negativos. Los riesgos positivos se denominan oportunidades . Al igual que los riesgos, las oportunidades tienen estrategias de mitigación específicas: explotarlas, compartirlas, potenciarlas o ignorarlas.

En la práctica, los riesgos se consideran "generalmente negativos". La investigación y la práctica relacionadas con el riesgo se centran significativamente más en las amenazas que en las oportunidades. Esto puede dar lugar a fenómenos negativos como la fijación en el objetivo . ^{[ 18 ]}

En su mayor parte, estos métodos constan de los siguientes elementos, realizados, más o menos, en el siguiente orden:

1. Identificar las amenazas .
2. Evaluar la vulnerabilidad de los activos críticos ante amenazas específicas.
3. Determinar el riesgo (es decir, la probabilidad esperada y las consecuencias de ataques específicos a activos específicos).
4. Identificar maneras de reducir esos riesgos.
5. Priorizar las medidas de reducción de riesgos.

El área de conocimiento de gestión de riesgos, tal como la define el Cuerpo de Conocimientos de Gestión de Proyectos (PMBoK), consta de los siguientes procesos:

1. Planificar la gestión de riesgos : definir cómo llevar a cabo las actividades de gestión de riesgos.
2. Identificar riesgos : identificar los riesgos individuales del proyecto, así como sus fuentes.
3. Realizar un análisis cualitativo de riesgos : priorizar los riesgos de cada proyecto evaluando su probabilidad e impacto.
4. Realizar un análisis cuantitativo de riesgos : análisis numérico de los efectos.
5. Planificar las respuestas ante los riesgos : desarrollar opciones, seleccionar estrategias y acciones.
6. Implementar respuestas a riesgos : implementar planes de respuesta a riesgos acordados. En la 4.ª edición de PMBoK, este proceso se incluyó como una actividad en el proceso de Monitoreo y Control, pero posteriormente se separó como un proceso distinto en la 6.ª edición de PMBoK. ^{[ 19 ]}
7. Monitorear riesgos : monitorear la implementación. Este proceso se conocía como Monitorear y Controlar en la anterior edición de PMBoK 4.ª, cuando también incluía el proceso de " Implementar respuestas a los riesgos ".

La Organización Internacional de Normalización (ISO) identifica los siguientes principios para la gestión de riesgos: ^{[ 5 ]}

• Crear valor : los recursos invertidos en mitigar el riesgo deben ser menores que las consecuencias de la inacción.
• Formar parte integral de los procesos organizacionales.
• Participa en el proceso de toma de decisiones .
• Abordar explícitamente la incertidumbre y las suposiciones.
• Utilice un proceso sistemático y estructurado.
• Utilice la mejor información disponible.
• Sé flexible.
• Ten en cuenta los factores humanos.
• Sé transparente e inclusivo.
• Sea dinámico, iterativo y receptivo al cambio.
• Ser capaz de mejorar y perfeccionar continuamente.
• Reevaluación continua.

Benoit Mandelbrot distinguió entre riesgo "leve" y riesgo "salvaje" y argumentó que la evaluación y gestión del riesgo deben ser fundamentalmente diferentes para ambos tipos de riesgo. ^{[ 20 ]} El riesgo leve sigue distribuciones de probabilidad normales o casi normales , está sujeto a regresión a la media y a la ley de los grandes números , y por lo tanto es relativamente predecible. El riesgo salvaje sigue distribuciones de cola pesada , por ejemplo, distribuciones de Pareto o de ley de potencias , está sujeto a regresión a la cola (media o varianza infinitas, lo que invalida o hace ineficaz la ley de los grandes números), y por lo tanto es difícil o imposible de predecir. Un error común en la evaluación y gestión del riesgo es subestimar la naturaleza salvaje del riesgo, asumiendo que el riesgo es leve cuando en realidad es salvaje, lo cual debe evitarse si la evaluación y gestión del riesgo pretenden ser válidas y fiables, según Mandelbrot.

Esto implica:

1. observar el contexto (el entorno de la organización)
   • el alcance social de la gestión de riesgos
   • la identidad y los objetivos de las partes interesadas
   • la base sobre la cual se evaluarán los riesgos, las limitaciones.
2. definir un marco para la actividad y una agenda para la identificación
3. desarrollar un análisis de los riesgos que implica el proceso
4. mitigación o solución de riesgos utilizando los recursos tecnológicos, humanos y organizativos disponibles

Tras establecer el contexto, el siguiente paso en el proceso de gestión de riesgos consiste en identificar los riesgos potenciales. Los riesgos se refieren a eventos que, al desencadenarse, generan problemas o beneficios. Por lo tanto, la identificación de riesgos puede comenzar con las fuentes de los problemas y las de la competencia (beneficios) o con las consecuencias de los problemas.

• Análisis de fuentes ^{[ 21 ]} – Las fuentes de riesgo pueden ser internas o externas al sistema que es el objetivo de la gestión de riesgos (utilice mitigación en lugar de gestión, ya que por su propia definición el riesgo se ocupa de factores de toma de decisiones que no se pueden gestionar).

Algunos ejemplos de fuentes de riesgo son: las partes interesadas de un proyecto, los empleados de una empresa o las condiciones meteorológicas sobre un aeropuerto.

• Análisis del problema : Los riesgos están relacionados con las amenazas identificadas. Por ejemplo: la amenaza de perder dinero, la amenaza de uso indebido de información confidencial o la amenaza de errores humanos, accidentes y víctimas. Las amenazas pueden afectar a diversas entidades, principalmente a los accionistas, los clientes y los organismos legislativos, como el gobierno.

Cuando se conoce la causa o el problema, se pueden investigar los eventos que la causa puede desencadenar o los eventos que pueden conducir al problema. Por ejemplo: la retirada de las partes interesadas durante un proyecto puede poner en peligro su financiación; los empleados pueden robar información confidencial incluso dentro de una red cerrada; un rayo que impacta una aeronave durante el despegue puede causar la muerte inmediata de todas las personas a bordo.

El método elegido para identificar riesgos puede depender de la cultura, las prácticas del sector y el cumplimiento normativo. Los métodos de identificación se basan en plantillas o en el desarrollo de plantillas para identificar la fuente, el problema o el evento. Los métodos comunes de identificación de riesgos son:

• Identificación de riesgos basada en objetivos : Las organizaciones y los equipos de proyecto tienen objetivos. Cualquier evento que pueda impedir que se alcance un objetivo se identifica como un riesgo.
• Identificación de riesgos basada en escenarios: En el análisis de escenarios se crean diferentes escenarios. Estos pueden ser las alternativas para alcanzar un objetivo o un análisis de la interacción de fuerzas en, por ejemplo, un mercado o una batalla. Cualquier evento que desencadene un escenario alternativo no deseado se identifica como riesgo. Consulte Estudios de Futuro para conocer la metodología utilizada por los futurólogos .
• Identificación de riesgos basada en taxonomía: La taxonomía en la identificación de riesgos basada en taxonomía consiste en un desglose de las posibles fuentes de riesgo. Con base en la taxonomía y el conocimiento de las mejores prácticas, se elabora un cuestionario. Las respuestas a las preguntas revelan los riesgos. ^{[ 22 ]}
• Verificación de riesgos comunes ^{[ 23 ]} – En varias industrias, se dispone de listas con riesgos conocidos. Cada riesgo de la lista puede verificarse para determinar su aplicabilidad a una situación particular. ^{[ 24 ]}
• El análisis de riesgos ^{[ 25 ]} – Este método combina los enfoques anteriores al enumerar los recursos en riesgo, las amenazas a dichos recursos, los factores que pueden aumentar o disminuir el riesgo y las consecuencias que se desean evitar. La creación de una matriz bajo estos encabezados permite una variedad de enfoques. Se puede comenzar con los recursos y considerar las amenazas a las que están expuestos y las consecuencias de cada una. Alternativamente, se puede comenzar con las amenazas y examinar qué recursos se verían afectados, o bien, se puede comenzar con las consecuencias y determinar qué combinación de amenazas y recursos estaría involucrada para producirlas.

Una vez identificados los riesgos, deben evaluarse en cuanto a la gravedad potencial de su impacto (generalmente un impacto negativo, como daños o pérdidas) y la probabilidad de ocurrencia. ^{[ 26 ]} Estas cantidades pueden ser fáciles de medir, como el valor de un edificio perdido, o imposibles de conocer con certeza en el caso de un evento improbable, cuya probabilidad de ocurrencia se desconoce. Por lo tanto, en el proceso de evaluación es fundamental tomar las decisiones mejor fundamentadas para priorizar adecuadamente la implementación del plan de gestión de riesgos .

Incluso una mejora positiva a corto plazo puede tener impactos negativos a largo plazo. Tomemos el ejemplo de la autopista de peaje. Se amplía una carretera para permitir un mayor tráfico. Una mayor capacidad de tráfico conlleva un mayor desarrollo en las zonas aledañas. Con el tiempo, el tráfico aumenta hasta llenar la capacidad disponible. Por lo tanto, las autopistas de peaje necesitan ampliarse en ciclos aparentemente interminables. Existen muchos otros ejemplos de ingeniería donde la capacidad ampliada (para cualquier función) pronto se ve saturada por el aumento de la demanda. Dado que la expansión tiene un coste, el crecimiento resultante podría volverse insostenible sin previsión ni gestión.

La dificultad fundamental en la evaluación de riesgos radica en determinar la tasa de ocurrencia, ya que la información estadística no está disponible para todo tipo de incidentes pasados ​​y es particularmente escasa en el caso de eventos catastróficos, simplemente por su infrecuencia. Además, evaluar la gravedad de las consecuencias (impacto) suele ser bastante difícil para los activos intangibles. La valoración de activos es otra cuestión que debe abordarse. Por lo tanto, las opiniones de expertos y las estadísticas disponibles son las principales fuentes de información. Sin embargo, la evaluación de riesgos debe proporcionar a los altos ejecutivos de la organización información que permita comprender fácilmente los riesgos principales y priorizar las decisiones de gestión de riesgos dentro de los objetivos generales de la empresa. Por consiguiente, se han propuesto diversas teorías e intentos para cuantificar los riesgos. Existen numerosas fórmulas diferentes para la cuantificación de riesgos, pero quizás la más aceptada sea: "La tasa (o probabilidad) de ocurrencia multiplicada por el impacto del evento es igual a la magnitud del riesgo".

La planificación de la gestión de riesgos utiliza cuatro técnicas esenciales. En la técnica de aceptación, la empresa asume riesgos intencionadamente sin protección financiera, con la esperanza de que las posibles ganancias superen las pérdidas potenciales. El enfoque de transferencia protege a la empresa de las pérdidas transfiriendo los riesgos a un tercero, frecuentemente a cambio de una comisión, mientras que el tercero se beneficia del proyecto. Al optar por no participar en proyectos de alto riesgo, la estrategia de evitación evita pérdidas, pero también renuncia a oportunidades. Por último, el enfoque de reducción disminuye los riesgos mediante la implementación de estrategias como los seguros, que brindan protección para diversas clases de activos y garantizan el reembolso en caso de pérdidas. ^{[ 27 ]}

Una vez identificados y evaluados los riesgos, todas las técnicas para gestionarlos se engloban en una o más de estas cuatro categorías principales: ^{[ 28 ]}

• Evitación (eliminar, retirarse o no involucrarse)
• Reducción (optimizar – mitigar)
• Compartir (transferencia – subcontratar o asegurar)
• Retención (aceptación y presupuesto)

Es posible que no se pueda aplicar de forma óptima estas estrategias de control de riesgos . Algunas de ellas pueden implicar concesiones que no sean aceptables para la organización o la persona que toma las decisiones de gestión de riesgos. Otra fuente, del Departamento de Defensa de EE. UU. (véase el enlace), la Universidad de Adquisiciones de Defensa , denomina a estas categorías ACAT, por Evitar, Controlar, Aceptar o Transferir. Este uso del acrónimo ACAT recuerda a otra categoría ACAT (de Adquisición) utilizada en las adquisiciones de la industria de defensa estadounidense, en la que la gestión de riesgos ocupa un lugar destacado en la toma de decisiones y la planificación.

Al igual que los riesgos, las oportunidades tienen estrategias de mitigación específicas: explotar, compartir, potenciar, ignorar.

Seleccione los controles o contramedidas adecuados para mitigar cada riesgo. La mitigación de riesgos debe ser aprobada por el nivel de gestión correspondiente. Por ejemplo, un riesgo relacionado con la imagen de la organización debe contar con el respaldo de la alta dirección, mientras que la gerencia de TI tendría la autoridad para decidir sobre los riesgos de virus informáticos.

El plan de gestión de riesgos debe proponer controles de seguridad aplicables y eficaces para gestionar los riesgos. Por ejemplo, un alto riesgo de virus informáticos detectado podría mitigarse mediante la adquisición e implementación de software antivirus. Un buen plan de gestión de riesgos debe incluir un cronograma para la implementación de los controles y las personas responsables de dichas acciones. Existen cuatro pasos básicos en un plan de gestión de riesgos: evaluación de amenazas, evaluación de vulnerabilidades, evaluación de impacto y desarrollo de una estrategia de mitigación de riesgos. ^{[ 33 ]}

Según la norma ISO/IEC 27001 , la etapa inmediatamente posterior a la finalización de la fase de evaluación de riesgos consiste en la elaboración de un Plan de Tratamiento de Riesgos, que debe documentar las decisiones sobre cómo abordar cada uno de los riesgos identificados. La mitigación de riesgos suele implicar la selección de controles de seguridad , que deben documentarse en una Declaración de Aplicabilidad, la cual identifica qué objetivos y controles específicos de la norma se han seleccionado y por qué.

La implementación implica ejecutar todos los métodos planificados para mitigar los efectos de los riesgos. Esto incluye la adquisición de pólizas de seguro para los riesgos que se hayan decidido transferir a una aseguradora, evitar todos los riesgos que puedan evitarse sin comprometer los objetivos de la entidad, reducir otros riesgos y retener el resto.

Los planes iniciales de gestión de riesgos nunca serán perfectos. La práctica, la experiencia y los resultados reales de las pérdidas requerirán modificaciones en el plan y aportarán información que permitirá tomar decisiones diferentes para afrontar los riesgos a los que nos enfrentamos.

Los resultados del análisis de riesgos y los planes de gestión deben actualizarse periódicamente. Hay dos razones principales para ello:

1. evaluar si los controles de seguridad previamente seleccionados siguen siendo aplicables y efectivos
2. evaluar los posibles cambios en el nivel de riesgo del entorno empresarial. Por ejemplo, los riesgos de la información son un buen ejemplo de un entorno empresarial que cambia rápidamente.

La gestión de riesgos empresariales (ERM) define el riesgo como aquellos eventos o circunstancias posibles que pueden tener influencias negativas en la empresa en cuestión, donde el impacto puede ser en la propia existencia, los recursos (humanos y de capital), los productos y servicios, o los clientes de la empresa, así como impactos externos en la sociedad, los mercados o el medio ambiente. Existen varios marcos definidos en este ámbito, donde cada riesgo probable puede tener un plan preformulado para abordar sus posibles consecuencias (para garantizar la contingencia si el riesgo se convierte en un pasivo ). Los gerentes, por lo tanto, analizan y monitorean tanto el entorno interno como el externo al que se enfrenta la empresa, abordando el riesgo empresarial en general y cualquier impacto en el logro de los objetivos estratégicos de la empresa . La ERM, por lo tanto, se superpone con varias otras disciplinas —gestión de riesgos operacionales , gestión de riesgos financieros , etc.— pero se diferencia por su enfoque estratégico y a largo plazo. ^{[ 34 ]} Los sistemas ERM generalmente se centran en salvaguardar la reputación, reconociendo su importante papel en las estrategias integrales de gestión de riesgos. ^{[ 35 ]}

En lo que respecta a las finanzas , la gestión de riesgos se refiere a las técnicas y prácticas para medir, monitorear y controlar el riesgo de mercado y de crédito (y el riesgo operativo ) en el balance de una empresa , debido a la exposición crediticia y comercial de un banco, o al valor de la cartera de un gestor de fondos ; para una descripción general, consulte Finanzas § Gestión de riesgos . 

• Una medida tradicional en el sector bancario es el valor en riesgo (VaR), que representa la posible pérdida derivada de eventos adversos de crédito y mercado. Los bancos buscan cubrir estos riesgos y mantienen capital de riesgo sobre su posición neta. El marco de Basilea III rige los requisitos de capital regulatorio paralelos , incluyendo el riesgo operacional.
• Los gestores de fondos emplean diversas estrategias para proteger el valor de sus fondos, teniendo en cuenta su mandato y su índice de referencia .
• Las empresas no financieras se centran en el riesgo empresarial en general, solapándose con la gestión del riesgo empresarial : es decir, aquellos eventos y sucesos que podrían afectar negativamente al flujo de caja o a la rentabilidad y, por lo tanto, provocar una pérdida de valor empresarial o una caída del precio de las acciones .

El concepto de "gestión de riesgos contractuales" enfatiza el uso de técnicas de gestión de riesgos en la ejecución de contratos, es decir, la gestión de los riesgos que se aceptan al celebrar un contrato. El académico noruego Petri Keskitalo define la "gestión de riesgos contractuales" como "un método de contratación práctico, proactivo y sistemático que utiliza la planificación y la gobernanza de contratos para gestionar los riesgos relacionados con las actividades comerciales". ^{[ 36 ]} En un artículo de Samuel Greengard publicado en 2010, se mencionan dos casos legales estadounidenses que enfatizan la importancia de tener una estrategia para abordar el riesgo: ^{[ 37 ]}

• UDC v. CH2M Hill , que trata sobre el riesgo para un asesor profesional que firma una cláusula de indemnización que incluye la aceptación de un deber de defensa , quien por lo tanto puede asumir los costos legales de defender a un cliente sujeto a una reclamación de un tercero, ^{[ 38 ]}
• Witt v. La Gorce Country Club, que trata sobre la efectividad de una cláusula de limitación de responsabilidad , que en ciertas jurisdicciones puede considerarse ineficaz. ^{[ 39 ]}

Greengard recomienda utilizar en la medida de lo posible un lenguaje contractual estándar de la industria para reducir al máximo el riesgo y basarse en cláusulas que se hayan utilizado y que hayan sido objeto de una interpretación judicial establecida durante varios años. ^{[ 37 ]}

La gestión del riesgo aduanero se ocupa de los riesgos que surgen en el contexto del comercio internacional y que afectan a la seguridad, incluido el riesgo de que las drogas ilícitas y los productos falsificados crucen las fronteras y el riesgo de que los envíos y su contenido se declaren incorrectamente. ^{[ 40 ]} La Unión Europea ha adoptado un Marco de Gestión del Riesgo Aduanero (MRGA) aplicable en toda la Unión y en todos sus Estados miembros , cuyos objetivos incluyen establecer un nivel común de protección del control aduanero y un equilibrio entre los objetivos de un control aduanero seguro y la facilitación del comercio legítimo. ^{[ 41 ]} Dos acontecimientos que impulsaron a la Comisión Europea a revisar la política de gestión del riesgo aduanero en 2012-13 fueron los atentados del 11 de septiembre de 2001 y el complot de 2010 para colocar bombas en aviones transatlánticos que involucraban paquetes enviados desde Yemen a Estados Unidos , al que la Comisión se refirió como «el incidente de octubre de 2010 (Yemen)». ^{[ 42 ]}

ESRM es un enfoque de gestión de programas de seguridad que vincula las actividades de seguridad con la misión y los objetivos comerciales de una empresa mediante métodos de gestión de riesgos. El rol del líder de seguridad en ESRM es gestionar los riesgos de daño a los activos de la empresa en colaboración con los líderes empresariales cuyos activos están expuestos a dichos riesgos. ESRM implica educar a los líderes empresariales sobre los impactos reales de los riesgos identificados, presentar estrategias potenciales para mitigar esos impactos y, posteriormente, implementar la opción elegida por la empresa de acuerdo con los niveles aceptados de tolerancia al riesgo empresarial ^{[ 43 ].}

Para los dispositivos médicos , la gestión de riesgos es un proceso para identificar, evaluar y mitigar los riesgos asociados con daños a las personas y daños a la propiedad o al medio ambiente ^{[ 44 ]} . La gestión de riesgos es parte integral del diseño y desarrollo de dispositivos médicos, los procesos de producción y la evaluación de la experiencia de campo, y es aplicable a todo tipo de dispositivos médicos. La mayoría de los organismos reguladores, como la FDA de EE. UU ., exigen evidencia de su aplicación. La Organización Internacional de Normalización (ISO) describe la gestión de riesgos para dispositivos médicos en la norma ISO 14971:2019 , Dispositivos médicos: Aplicación de la gestión de riesgos a dispositivos médicos, una norma de seguridad de productos. La norma proporciona un marco de proceso y los requisitos asociados para las responsabilidades de gestión, el análisis y la evaluación de riesgos, los controles de riesgos y la gestión de riesgos del ciclo de vida. La guía sobre la aplicación de la norma está disponible a través de ISO/TR 24971:2020.

La versión europea de la norma de gestión de riesgos se actualizó en 2009 y nuevamente en 2012 para hacer referencia a la revisión de 2007 de la Directiva de Dispositivos Médicos (MDD) y la Directiva de Dispositivos Médicos Implantables Activos (AIMDD), así como a la Directiva de Dispositivos Médicos para Diagnóstico In Vitro (IVDD). Los requisitos de la norma EN 14971:2012 son prácticamente idénticos a los de la norma ISO 14971:2007. Las diferencias incluyen tres anexos Z (informativos) que hacen referencia a la nueva MDD, AIMDD e IVDD. Estos anexos indican desviaciones de contenido que incluyen el requisito de reducir los riesgos en la medida de lo posible y el requisito de mitigarlos mediante el diseño y no mediante el etiquetado del dispositivo médico (es decir, el etiquetado ya no puede utilizarse para mitigar el riesgo).

Las técnicas típicas de análisis y evaluación de riesgos adoptadas por la industria de dispositivos médicos incluyen el análisis de peligros , el análisis de árbol de fallas (FTA), el análisis de modos y efectos de fallas (FMEA), el estudio de peligros y operabilidad ( HAZOP ) y el análisis de trazabilidad de riesgos para garantizar que los controles de riesgo se implementen y sean efectivos (es decir, el seguimiento de los riesgos identificados con los requisitos del producto, las especificaciones de diseño, los resultados de verificación y validación, etc.). El análisis FTA requiere software de diagramación. El análisis FMEA se puede realizar utilizando una hoja de cálculo . También existen soluciones integradas de gestión de riesgos para dispositivos médicos.

Mediante un borrador de guía, la FDA ha introducido un nuevo método denominado "Caso de Garantía de Seguridad" para el análisis de la seguridad de los dispositivos médicos. El caso de garantía de seguridad es un razonamiento argumentativo estructurado sobre sistemas, apropiado para científicos e ingenieros, respaldado por un conjunto de evidencias, que proporciona un argumento convincente, comprensible y válido de que un sistema es seguro para una aplicación determinada en un entorno determinado. Con esta guía, se espera un caso de garantía de seguridad para dispositivos críticos para la seguridad (por ejemplo, dispositivos de infusión) como parte de la solicitud de autorización previa a la comercialización, por ejemplo, 510(k). En 2013, la FDA presentó otro borrador de guía que exigía a los fabricantes de dispositivos médicos que presentaran información sobre el análisis de riesgos de ciberseguridad.

La gestión de riesgos del proyecto debe considerarse en las diferentes fases de adquisición. Al inicio de un proyecto, el avance de los desarrollos técnicos o las amenazas que presentan los proyectos de la competencia pueden dar lugar a una evaluación de riesgos o amenazas y a la posterior evaluación de alternativas (véase Análisis de alternativas ). Una vez tomada la decisión y comenzado el proyecto, se pueden utilizar aplicaciones de gestión de proyectos más habituales: ^{[ 45 ] [ 46 ] [ 47 ]}

• Planificar cómo se gestionarán los riesgos en el proyecto en cuestión. Los planes deben incluir las tareas, responsabilidades, actividades y el presupuesto relacionados con la gestión de riesgos.
• Asignar un responsable de riesgos: un miembro del equipo, distinto del director del proyecto, encargado de prever posibles problemas. Una característica típica de este responsable es un sano escepticismo.
• Mantenimiento de la base de datos de riesgos del proyecto en tiempo real. Cada riesgo debe tener los siguientes atributos: fecha de inicio, título, breve descripción, probabilidad e importancia. Opcionalmente, se puede asignar una persona responsable de su resolución y establecer una fecha límite para su resolución.
• Creación de un canal anónimo para la notificación de riesgos. Cada miembro del equipo debe tener la posibilidad de informar sobre los riesgos que prevea en el proyecto.
• Elaboración de planes de mitigación para los riesgos seleccionados. El objetivo del plan de mitigación es describir cómo se gestionará este riesgo en particular: qué, cuándo, quién lo hará y cómo se llevará a cabo para evitarlo o minimizar las consecuencias si se convierte en un riesgo.
• Resumen de los riesgos previstos y afrontados, la eficacia de las actividades de mitigación y el esfuerzo dedicado a la gestión de riesgos.

Los megaproyectos (a veces también llamados "grandes programas") son proyectos de inversión a gran escala, que suelen costar más de mil millones de dólares por proyecto. Entre los megaproyectos se incluyen grandes puentes, túneles, autopistas, ferrocarriles, aeropuertos, puertos marítimos, centrales eléctricas, represas, proyectos de tratamiento de aguas residuales, sistemas de protección contra inundaciones costeras, proyectos de extracción de petróleo y gas natural, edificios públicos, sistemas de tecnología de la información, proyectos aeroespaciales y sistemas de defensa. Se ha demostrado que los megaproyectos son particularmente riesgosos en términos financieros, de seguridad y de impacto social y ambiental. Por lo tanto, la gestión de riesgos es especialmente pertinente para los megaproyectos, y se han desarrollado métodos especiales y programas de formación específicos para dicha gestión. ^{[ 48 ]}

Es importante evaluar el riesgo con respecto a desastres naturales como inundaciones , terremotos , etc. Los resultados de la evaluación del riesgo de desastres naturales son valiosos al considerar los costos de reparación futuros, las pérdidas por interrupción de negocios y otros tiempos de inactividad, los efectos en el medio ambiente, los costos de los seguros y los costos propuestos para reducir el riesgo. ^{[ 49 ] [ 50 ]} El Marco de Sendai para la Reducción del Riesgo de Desastres es un acuerdo internacional de 2015 que ha establecido metas y objetivos para la reducción del riesgo de desastres en respuesta a desastres naturales. ^{[ 51 ]} Hay conferencias internacionales periódicas sobre desastres y riesgos en Davos para tratar la gestión integral del riesgo.

Para evaluar y gestionar el riesgo de desastres naturales y otros fenómenos climáticos, se pueden utilizar diversas herramientas, como la modelización geoespacial, un componente clave de la ciencia del cambio territorial . Esta modelización requiere comprender la distribución geográfica de la población, así como calcular la probabilidad de que ocurra un desastre natural.

La gestión de riesgos para personas y propiedades en áreas silvestres y zonas naturales remotas ha evolucionado con el aumento de la participación en actividades recreativas al aire libre y la disminución de la tolerancia social a las pérdidas. Las organizaciones que ofrecen experiencias comerciales en la naturaleza ahora pueden alinearse con los estándares de consenso nacionales e internacionales para capacitación y equipo, como ANSI /NASBLA 101-2017 (navegación), ^{[ 52 ]} UIAA 152 (herramientas para escalada en hielo), ^{[ 53 ]} y la norma europea 13089:2015 + A1:2015 (equipo de montañismo). ^{[ 54 ] [ 55 ]} La Asociación para la Educación Experimental ofrece acreditación para programas de aventura en la naturaleza. ^{[ 56 ]} La Conferencia de Gestión de Riesgos en la Naturaleza proporciona acceso a las mejores prácticas, y las organizaciones especializadas ofrecen consultoría y capacitación en gestión de riesgos en la naturaleza. ^{[ 57 ]}

El texto Outdoor Safety – Risk Management for Outdoor Leaders, ^{[ 58 ]} publicado por el New Zealand Mountain Safety Council, ofrece una visión de la gestión de riesgos en zonas silvestres desde la perspectiva neozelandesa, reconociendo el valor de la legislación nacional sobre seguridad en zonas silvestres y dedicando una atención considerable a los roles del juicio y los procesos de toma de decisiones en la gestión de riesgos en zonas silvestres.

Un modelo popular para la evaluación de riesgos es el Modelo de Evaluación de Riesgos y Gestión de la Seguridad (RASM, por sus siglas en inglés), desarrollado por Rick Curtis, autor de The Backpacker's Field Manual. ^{[ 59 ]} La fórmula del Modelo RASM es: Riesgo = Probabilidad de Accidente × Gravedad de las Consecuencias. El Modelo RASM pondera el riesgo negativo (el potencial de pérdida) frente al riesgo positivo (el potencial de crecimiento).

El riesgo de TI es un riesgo relacionado con la tecnología de la información. Este término es relativamente nuevo debido a la creciente conciencia de que la seguridad de la información es solo una faceta de la multitud de riesgos relevantes para las TI y los procesos del mundo real que estas respaldan. "La ciberseguridad está estrechamente ligada al avance de la tecnología. Solo se retrasa lo suficiente como para que evolucionen incentivos como los mercados negros y se descubran nuevas vulnerabilidades. No se vislumbra un final para el avance de la tecnología, por lo que podemos esperar lo mismo de la ciberseguridad." ^{[ 60 ]}

El marco de gestión de riesgos de TI de ISACA vincula el riesgo de TI con la gestión de riesgos empresariales.

La gestión de riesgos de TI incluye la " gestión de incidentes ", un plan de acción para abordar intrusiones, robos cibernéticos, ataques de denegación de servicio, incendios, inundaciones y otros eventos relacionados con la seguridad. Según el Instituto SANS , se trata de un proceso de seis pasos: Preparación, Identificación, Contención, Erradicación, Recuperación y Lecciones Aprendidas. ^{[ 61 ]}

La gestión del riesgo operacional (GRO) consiste en la supervisión del riesgo operacional , incluyendo el riesgo de pérdidas derivadas de: procesos y sistemas internos inadecuados o fallidos; factores humanos; o eventos externos. Dada la naturaleza de las operaciones , la GRO suele ser un proceso continuo que incluye la evaluación constante del riesgo, la toma de decisiones sobre el riesgo y la implementación de controles de riesgo.

En la industria petrolera y gasística marina, la gestión del riesgo operacional se rige por el régimen de análisis de seguridad en muchos países. Las herramientas y técnicas de identificación de peligros y evaluación de riesgos se describen en la norma internacional ISO 17776:2000, y organizaciones como la IADC ( Asociación Internacional de Contratistas de Perforación ) publican directrices para la elaboración de análisis de seguridad, salud y medio ambiente (HSE) basadas en dicha norma. Además, los organismos reguladores gubernamentales suelen exigir representaciones diagramáticas de eventos peligrosos como parte de la gestión de riesgos en los análisis de seguridad; estas se conocen como diagramas de corbata de lazo (véase la teoría de redes en la evaluación de riesgos ). Esta técnica también la utilizan organizaciones y organismos reguladores en los sectores de minería, aviación, salud, defensa, industria y finanzas.

Los principios y herramientas para la gestión del riesgo de calidad se aplican cada vez más a diferentes aspectos de los sistemas de calidad farmacéutica. Estos aspectos incluyen los procesos de desarrollo, fabricación, distribución, inspección y presentación/revisión a lo largo del ciclo de vida de las sustancias farmacológicas, los productos farmacéuticos, los productos biológicos y biotecnológicos (incluido el uso de materias primas, disolventes, excipientes, materiales de envasado y etiquetado en productos farmacéuticos, biológicos y biotecnológicos). La gestión del riesgo también se aplica a la evaluación de la contaminación microbiológica en relación con los productos farmacéuticos y los entornos de fabricación en salas blancas. ^{[ 62 ]}

La gestión de riesgos de la cadena de suministro (SCRM) tiene como objetivo mantener la continuidad de la cadena de suministro ante escenarios o incidentes que puedan interrumpir la actividad normal y, por ende, la rentabilidad. Los riesgos para la cadena de suministro abarcan desde los cotidianos hasta los excepcionales, incluyendo eventos naturales impredecibles (como tsunamis y pandemias ) y productos falsificados, e involucran la calidad, la seguridad, la resiliencia y la integridad del producto. La mitigación de estos riesgos puede implicar diversos elementos del negocio, como la logística y la ciberseguridad, así como las áreas de finanzas y operaciones.

La gestión de riesgos en los viajes se centra en cómo las organizaciones evalúan los riesgos para su personal durante los viajes , especialmente cuando viajan al extranjero. En el ámbito de las normas internacionales , la ISO 31030:2021 aborda las buenas prácticas en la gestión de riesgos en los viajes. ^{[ 63 ]}

La Fundación GBTA, el brazo educativo y de investigación de la Asociación Global de Viajes de Negocios, descubrió en 2015 que la mayoría de las empresas incluidas en su investigación empleaban protocolos de gestión de riesgos de viaje destinados a garantizar la seguridad y el bienestar de sus viajeros de negocios. ^{[ 64 ]} Seis principios clave de concienciación sobre riesgos de viaje propuestos por la asociación son la preparación, la atención al entorno y a las personas, mantener un perfil bajo, adoptar una rutina impredecible, las comunicaciones y las capas de protección. ^{[ 65 ]} El seguimiento de viajeros mediante tecnologías de seguimiento y mensajería móvil se había convertido en 2015 en un aspecto ampliamente utilizado de la gestión de riesgos de viaje. ^{[ 64 ]}