ISO 31000:2018 — Gestión del riesgo

ISO 31000:2018 se publicó en febrero de 2018 como revisión de la versión 2009. Su misión es entregar directrices —no requisitos— para gestionar el riesgo en cada organización, sin importar tamaño, sector o naturaleza (pública, privada, sin fines de lucro, comunitaria). Las directrices son orientaciones voluntarias; describen qué hacer y por qué, pero no cómo auditar ni cómo acreditar. Por eso, una organización no puede afirmar en un brochure que queda "acreditada bajo ISO 31000": la norma no contempla esa figura. Sí puede declarar que su sistema de gestión del riesgo sigue las directrices 31000 y respaldar la afirmación con evidencias internas.

Esta autonomía deliberada contrasta con las normas de la familia de sistemas de gestión (9001 calidad, 14001 ambiente, 45001 seguridad y salud en el trabajo), que sí admiten auditoría externa con entrega de credenciales porque su estructura sigue el Anexo SL de ISO/IEC Directivas, Parte 1. La 31000, en cambio, opera como un paraguas metodológico compatible con esas normas: si una universidad ya tiene un sistema integrado bajo 9001, puede apalancar la 31000 para profundizar la lectura del riesgo sin montar un sistema paralelo. La introducción del texto 2018 aclara que el marco "no pretende ser acreditable" y que puede integrarse con otros sistemas sin colisionar.

Otra pieza a delimitar: la 31000 no es la herramienta para auditar sistemas de gestión —esa misión la cumple ISO 19011— ni la que entrega un cuadro de mando integral —esa familia responde a marcos como Balanced Scorecard o CMI—. La 31000 dialoga con ellas, no las absorbe. En el parcial basta con mencionarlas en una línea, sin desarrollarlas, porque cada una tiene misión distinta dentro del ecosistema ISO.

Regla de oro: si una afirmación termina en "ISO 31000 acredita que…", corrige. La 31000 orienta; la auditoría externa y la entrega de credenciales corresponden a las normas con Anexo SL.

ISO 31000:2018 enuncia ocho principios que deben sostener una práctica seria de gestión del riesgo. No basta con enumerarlos: el parcial exige mostrar cómo se viven en una organización real. Aquí los traduzco a operadores de aula (universidad) o de consultorio (clínica o IPS), eligiendo cinco de los ocho para que la viñeta no se vuelva una lista seca.

Cinco principios aterrizados

Integrado. En una universidad, el riesgo de deserción no se aborda en una "oficina de riesgo" aislada: debe estar en el plan de desarrollo institucional, en el presupuesto y en los acuerdos de facultad. Si el Comité de Riesgos no conversa con el Comité Académico, el principio fracasa. El riesgo no se delega: se transversaliza. Cuando una facultad decide abrir un programa sin revisar el riesgo financiero, el sistema integrado pierde coherencia.

Estructurado y con información trazable. En una IPS, identificar el riesgo de exposición biológica del personal de enfermería exige una matriz donde aparezcan fuente, vía de transmisión, frecuencia de exposición, controles existentes y consecuencias. Sin estructura, la percepción del equipo directivo —de modo habitual más optimista que la del equipo operativo, según la literatura sobre sesgo de optimismo— domina, y el riesgo termina subestimado. La norma pide criterios explícitos, lenguaje compartido y datos auditables.

Inclusivo y con factores humanos y culturales. Aquí entra con fuerza el psicólogo organizacional. Si el clima de reporte es punitivo, los incidentes se ocultan. Un sistema de gestión del riesgo que dependa de autocumplimiento fracasa cuando la cultura local castiga el error. Por eso, levantar una cultura de reporte —no delatar, sí aprender— es condición previa para que el ciclo funcione. También lo es revisar sesgos de percepción: el personal con más años suele percibir menor riesgo porque se ha habituado; el personal nuevo lo percibe exacerbado. Ambos extremos distorsionan la lectura.

Dinámico y de mejora continua. Una clínica que evalúa el riesgo psicosocial una vez al año con una batería validada (CoPsoQ, FPSICO, Batería de Riesgo Psicosocial del Ministerio) y luego archiva el informe no gestiona: describe. El ciclo se cierra cuando el tratamiento (una intervención sobre turnos, una rotación de tareas, un protocolo de pausas activas) se monitorea, se evalúa y vuelve a alimentar la identificación del siguiente periodo. Sin retroalimentación, el sistema se oxida y deja de cumplir la norma sin que el equipo lo note.

El psicólogo aporta en dos puntos sensibles del marco 31000: en factores humanos y culturales (percepción del riesgo, cultura de reporte, sesgos) y en principio inclusivo (diseño de consultas y canales donde el equipo afectado pueda levantar alarmas sin represalia). La norma no nombra a la psicología explícitamente, pero su arquitectura le reserva un sitio claro.

La norma distingue entre marco de referencia (lo que la organización diseña para que la gestión del riesgo ocurra) y proceso (la secuencia operativa que se repite cada vez que se gestiona un riesgo particular). Separarlos es útil porque el marco se construye una vez y se revisa periódicamente, mientras el proceso se aplica tantas veces como riesgos haya en cartera.

El marco de referencia

El marco 2018 se sostiene en cinco elementos, recogidos en las cláusulas 5.1 a 5.6: mandato y compromiso del órgano de gobierno, integración del riesgo en la estrategia y los procesos, diseño del marco (alcance, criterios de riesgo, estructura de gobierno, autoridades y responsabilidades), implementación (recursos, comunicación, capacitación) y evaluación del propio marco. El primer elemento —mandato y compromiso— es donde la mayoría de las organizaciones tropieza. No se trata de firmar una política de riesgo y archivarla: se trata de que el equipo directivo asigne recursos, aparezca en los comités y respalde las decisiones incómodas que el ciclo puede arrojar (por ejemplo, paralizar un servicio porque el nivel de riesgo residual supera el apetito declarado).

El proceso

El proceso se repite en cada ciclo. ISO 31000:2018 lo presenta en seis pasos más uno transversal:

Comunicación y consulta recorre todo el ciclo: no es un paso aislado, sino un diálogo permanente con las partes interesadas. Establecimiento del contexto fija el alcance, los criterios de aceptación del riesgo y el apetito de riesgo. Identificación levanta qué puede salir mal y qué oportunidades conviene aprovechar. Análisis calcula probabilidad e impacto (o usa técnicas como bowtie, FMEA o simulación Monte Carlo). Evaluación compara contra los criterios y prioriza. Tratamiento decide entre evitar, transferir, asumir o explotar el riesgo. Y el monitoreo revisa si el tratamiento funcionó y dispara un nuevo ciclo.

Apetito y tolerancia: lo que se firma arriba

Dos términos de uso habitual en clase y que la norma diferencia con nitidez. El apetito de riesgo es el nivel de riesgo que la organización está dispuesta a buscar o retener de forma global, decidido por la alta dirección. La tolerancia es el rango aceptable de variación alrededor de los objetivos concretos, acotado por los responsables del proceso. Sin apetito declarado, todo análisis de evaluación termina discutiéndose caso a caso y el sistema pierde consistencia entre áreas.

Tabla de referencia: marco versus proceso

Truco de examen: si te preguntan "¿cuál es la diferencia entre marco y proceso en ISO 31000?", la respuesta corta es: el marco se construye, el proceso se ejecuta. El marco es estructura; el proceso es movimiento.

Tres errores se repiten en los exámenes de SIG III sobre la 31000. Vale la pena verlos uno por uno, no para memorizarlos, sino para entender qué confusión los sostiene y desde dónde corregirlos.

Una cuarta confusión, menos visible, merece señalarse: tratar al riesgo como evento aislado —una amenaza externa que llega— y olvidar la mitad del rango. La definición 2018 abarca efectos de la incertidumbre sobre los objetivos, sean amenazas u oportunidades. Una universidad que identifica como "riesgo" únicamente lo malo termina sesgando su planificación estratégica hacia la defensa y pierde el lado positivo del riesgo (captar una cohorte nueva, abrir un programa, conseguir una acreditación institucional). El ciclo de la 31000 sirve tanto para uno como para el otro polo.

Para llevar al parcial, vale ensayar la 31000 con un caso cercano a tu campo. Elige uno —riesgo biológico en una IPS, riesgo psicosocial en una universidad, riesgo reputacional en una entidad prestadora de salud— y recorre el ciclo de punta a punta. Aquí va la versión IPS, paso a paso.

Contexto

Una IPS mediana de baja complejidad, 180 trabajadores, atiende urgencias 24/7 y consulta externa. El Comité de Riesgos existe, pero solo se reúne cuando hay un accidente grave. La política de riesgo está firmada y archivada, sin recursos asignados. El área de seguridad y salud reporta al administrativo, no al director médico. El clima de reporte es bajo: el personal teme que reportar un incidente biológico acarree llamados de atención disciplinarios.

Riesgo elegido

Riesgo biológico: exposición ocupacional del personal de enfermería y médico a sangre y fluidos durante procedimientos como canalización venosa, sutura, atención de partos y manipulación de muestras. Frecuencia mensual estimada: entre 4 y 6 incidentes reportados, con una subnotificación cercana al 60% por miedo a sanciones, según la encuesta anónima levantada al inicio del ciclo.

Recorrido del proceso 31000

1. Comunicación y consulta: se levanta una mesa mensual con personal asistencial, seguridad y salud, dirección médica y un representante del área psicosocial. Se acuerda un lenguaje común y se establece que reportar no acarrea sanciones disciplinarias, sí acompañamiento. Este cambio cultural es condición para que el ciclo siguiente produzca datos veraces.
2. Establecimiento del contexto: la dirección declara un apetito de riesgo bajo para exposición biológica (tolerancia cero en accidentes con fuente confirmada VIH/VHB) y un nivel medio para pinchazos en general. Se fija alcance: urgencias, hospitalización y consulta externa. Quedan fuera, por ahora, servicios domiciliarios.
3. Identificación: el equipo levanta los escenarios: reencapuchado de agujas, procedimientos en urgencias no programadas, manipulación de muestras, limpieza de superficies contaminadas, disposición final de residuos cortopunzantes.
4. Análisis: se asigna probabilidad (escala 1 a 5) e impacto (escala 1 a 5) por escenario. El escenario "reencapuchado de agujas en urgencias" arroja probabilidad 4 e impacto 4; "limpieza de superficies contaminadas" arroja probabilidad 5 e impacto 2.
5. Evaluación: se priorizan los escenarios cuyo producto supera 12. Se descartan los de producto de 4 o menos para reasignar recursos. La cartera priorizada queda con tres riesgos críticos y cinco en observación.
6. Tratamiento: para reencapuchado se prohíbe la práctica y se instala un sistema de agujas con dispositivo de seguridad; para superficies se refuerza la capacitación y se incrementa la frecuencia de limpieza terminal. Para ambos se diseña un protocolo de seguimiento serológico a 6 meses con adherencia auditada.
7. Monitoreo y revisión: indicador mensual de incidentes reportados por área, porcentaje de subnotificación estimado por encuesta anónima anual, adherencia al protocolo de seguimiento serológico. Cada tres meses, el ciclo se vuelve a abrir con estos indicadores como insumo.

Variantes para el examen

Si te piden otro tipo de organización, los mismos pasos corren con cambios mínimos:

• Riesgo psicosocial en una universidad: contexto (modalidad híbrida, carga docente, evaluaciones acumuladas), criterios (apetito bajo para síndrome de burnout declarado), identificación (factores de riesgo psicosocial según batería validada), análisis (intensidad, duración, frecuencia), tratamiento (pausas, redistribución de carga, canales de apoyo), monitoreo (encuesta anual y grupos focales).
• Riesgo reputacional en una EPS: contexto (afiliados, medios de comunicación, Superintendencia Nacional de Salud), identificación (quejas, fallos de tutela, filtración de datos), análisis (alcance mediático por duración y veracidad), tratamiento (un solo portavoz, plan comunicacional, auditorías de datos), monitoreo (reputación en encuestas, presencia en medios, indicadores de PQRS).

Detalles que cierran el apunte

Cuatro preguntas usuales del aula, respondidas con brevedad para repasar antes del examen.