Tras el ataque de COVID-19, ¿Alguien duda que la gestión de riesgos es relevante?
El concepto de riesgo aparece cada vez con mayor frecuencia en el lenguaje empresarial. Las versiones más recientes de normas sobradamente conocidas como la ISO9001 o ISO14001 han incorporado explícitamente el pensamiento basado en riesgos, en estos casos el riesgo de la no calidad o el riesgo derivado de no controlar el impacto ambiental. La idea es gestionar para prevenir, mitigar y superar riesgos.
Desde el punto de vista organizativo, el riesgo se puede entender como la consecuencia negativa que tienen determinados sucesos o eventos no deseados sobre el logro de los objetivos. Una nevada (suceso) puede ocasionar la interrupción del suministro (riesgo), que puede tener efectos muy negativos sobre la operativa de la organización. No obstante, en la práctica hablamos del riesgo de una nevada o del riesgo de una interrupción del suministro, si distinguir entre causa y efecto.
Para gestionar riesgos es fundamental (1) identificar y priorizar los riesgos, (2) diseñar estrategias de mitigación de riesgos -estrategias de prevención- y (3) establecer planes de contingencia para los casos en que tengan lugar –estrategias de recuperación-.
En lo que respecta a la priorización de riesgos, hay dos dimensiones que debemos considerar: la probabilidad de ocurrencia, ligada al suceso que lo produce, y su severidad o gravedad, ligado propio riesgo. En este sentido, según el contexto, no es igualmente probable una nevada, un terremoto, un fallo de calidad por parte de un proveedor, un ciberataque o una subida inesperada de precio del petróleo. De la misma forma, no es igualmente grave el incremento de los costes de la producción, que la interrupción de la misma, que el daño sufrido por una máquina, o que la integridad física de un empleado. Teniendo en cuenta estas dos dimensiones, deberíamos preguntarnos ¿tenemos claros los riesgos más relevantes a los que se enfrenta nuestra organización?
En cuanto a la mitigación de riesgos, se trata de diseñar medidas enfocadas bien a reducir la probabilidad de un riesgo o bien a reducir su severidad en caso de producirse. Por ejemplo, con una buena decisión de localización podemos reducir la probabilidad de nevadas o terremotos, con una buena selección de proveedores podemos reducir el riesgo de errores en el suministro, o con unos buenos protocolos de seguridad podemos reducir el riesgo de ataques informáticos. Por otra parte, mantener cierto stock de seguridad puede hacer que las consecuencias de una nevada sean menos severas, utilizar varios proveedores por producto puede reducir el problema de recibir un cargamento defectuoso, o la realización de copias de seguridad de la información puede hacer que las consecuencias de un ciberataque sean menos graves. La pregunta que tendríamos que hacernos al respecto sería ¿qué estrategias estoy desarrollando para prevenir o mitigar los riesgos que he identificado como relevantes?
Finalmente, aunque nos esforcemos en mitigarlos, los riesgos aparecen y generan situaciones inesperadas y de incertidumbre, siendo deseable un retorno lo más rápido posible a la normalidad. En este sentido, conviene desarrollar protocolos y estrategias de recuperación que nos permitan acelerar este proceso. No todas las organizaciones retornan igual al su situación habitual tras, por ejemplo, una huelga, una gran avería, un incendio o un accidente laboral. No sólo entran en juego aspectos técnicos, sino también organizativos y psicológicos. La pregunta en este caso sería ¿estamos preparados/entrenados para retornar a la operativa habitual tras disrupciones o alteraciones derivadas de los riesgos identificados como relevantes?
En cierto que incluso las organizaciones más avanzadas en la gestión de riesgos se han visto sorprendidas por la pandemia ocasionada por el COVID-19. Sin duda un riesgo que habrían estimado como poco probable a pesar de su severidad. No obstante, seguro que parten de un lugar más ventajoso en la parrilla de salida de esta carrera y mostrarán mayor resiliencia.
