Riesgos, oportunidades y requisitos legales

El dolor que resuelve

El análisis de riesgos se hizo una vez, para la certificación, y desde entonces nadie lo ha vuelto a mirar.

Por qué cuesta hoy

La gestión de riesgos entró en las normas para sustituir la acción preventiva, y en la mayoría de los sistemas se quedó en una tabla que se llena una vez y se copia el año siguiente cambiando la fecha. El resultado es un ejercicio que no cambia ninguna decisión: nadie prioriza con esa tabla y nadie la revisa cuando cambia el proceso.

Un riesgo útil tiene dueño, criterio de valoración explícito y una acción enlazada cuando supera el umbral. Y tiene contexto: el mismo suceso vale distinto en una planta de alimentos que en una de estampado, porque el criterio de severidad no es el mismo. Por eso el criterio se declara por esquema y no se hereda de una plantilla genérica.

Queda una dificultad práctica: distinguir el riesgo del problema. Un problema ya ocurrió y se gestiona como no conformidad; un riesgo todavía no y se gestiona valorando y controlando. Mezclarlos llena la matriz de incidentes pasados y deja fuera lo que podría pasar, que es justo lo que la cláusula pedía anticipar. La separación es sencilla de enunciar y cuesta un par de revisiones aprenderla en la práctica.

Cómo funciona

1. Se identifica

   Por proceso y por sitio, con la fuente de la que salió: una auditoría, un incidente, un cambio o una revisión periódica.

2. Se valora con un criterio escrito

   El criterio se declara antes y se aplica igual a todos, para que la comparación entre riesgos signifique algo.

3. Se trata y se asigna

   Cada riesgo que supera el umbral recibe un plan con responsable y fecha, enlazado a los objetivos del sistema.

4. Se evalúa el cumplimiento legal

   Con su periodicidad y su evidencia: la evaluación es un registro fechado, no una afirmación.

Qué queda registrado

Cada acción deja su rastro, y el rastro es lo que se enseña el día de la auditoría:

• Cada riesgo con su proceso, su dueño y la fecha de la última valoración.
• El criterio con el que se valoró, guardado con el riesgo y no en un documento aparte.
• La valoración antes y después de los controles, para que la reducción sea comprobable.
• La acción abierta cuando el riesgo supera el umbral, con su responsable y su plazo.
• La revalorización posterior, que dice si la acción sirvió o si el riesgo sigue igual.

Qué exige la norma

Cómo se nota que funciona

• La matriz cambia cuando cambia el proceso, y no una vez al año por obligación.
• Las acciones del sistema salen de los riesgos altos y no de una lluvia de ideas.
• Se distingue el riesgo que se aceptó a conciencia del que nadie ha mirado todavía.

Los riesgos alimentan el capítulo 6 y se enlazan con los objetivos: un objetivo que no responde a un riesgo o a una oportunidad es un propósito suelto. Cuando una no conformidad se repite, su análisis de causa suele terminar en un riesgo que estaba valorado bajo, y ese enlace se ve en las dos direcciones.

Quién la usa

Responsable del sistema

Mantiene el criterio de valoración, revisa la matriz y decide qué entra en el plan de acción.

Dueño de proceso

Valora los riesgos de su proceso y responde de las acciones que se abren por encima del umbral.

Dirección

Ve el mapa de riesgos altos y en qué está el plan, sin pedir una presentación para ello.

Se empieza por los procesos que ya tienes declarados y por el criterio del esquema que te aplica. Si traes una matriz previa, se carga con sus valoraciones y sus fechas; lo que no traiga dueño se queda visible como pendiente en vez de asignarse a nadie por defecto.

Un caso concreto

Una matriz heredada tenía cuarenta riesgos, todos con la misma valoración media y ninguno con dueño. Al declarar el criterio del esquema y pedir responsable por riesgo, la mitad se quedó sin dueño porque describían situaciones generales y no riesgos de un proceso concreto. Los veinte que quedaron se revaloraron con criterio explícito y cinco salieron por encima del umbral. Esos cinco abrieron acción, y esas cinco acciones fueron el plan del semestre: menos elementos, con dueño y con fecha, en lugar de cuarenta filas que nadie leía.

Los tropiezos más frecuentes

• Valorar sin declarar el criterio, con lo que dos personas dan números distintos al mismo riesgo.
• Confundir un riesgo de proceso con una preocupación general de la empresa, que no se puede accionar.
• No revalorar después de la acción, y quedarse sin saber si el control sirvió de algo.

Cómo se mide

Se mide con el número de riesgos por encima del umbral y con cuántos de ellos bajaron tras la acción. La segunda cifra es la que dice si la gestión de riesgos está cambiando decisiones o sólo llenando una tabla.

Tres términos que conviene fijar

Criterio de valoración

La escala explícita con la que se puntúa severidad y probabilidad. Se declara por esquema, porque no significa lo mismo en cada sector.

Riesgo residual

El que queda después de aplicar los controles. Es el número que decide si hace falta acción, y el que se compara tras ejecutarla.

Oportunidad

La otra mitad de la cláusula: una circunstancia favorable que también se registra, se valora y se convierte en objetivo cuando merece la pena.

Umbral

El valor a partir del cual un riesgo deja de aceptarse y obliga a abrir acción. Se declara antes de valorar, para que la decisión no dependa del resultado que salga.

Lo que no hace

No mantiene por ti el listado de legislación aplicable: te da la estructura para identificarla, fecharla y evaluar su cumplimiento, pero el seguimiento del cambio normativo lo hace tu área legal o tu consultor. Y no calcula un nivel de riesgo con una fórmula oculta: el criterio lo declaras tú y queda a la vista.

Otras capacidades

• Control documental
• Operación de inocuidad
• Cumplimiento
• Auditorías y no conformidades
• Precios