La ISO 31000 es la norma internacional de referencia para gestionar el riesgo en una organización. A diferencia de la ISO 9001 o la ISO 14001, no es una norma de requisitos ni se certifica: da directrices. Por eso su valor no está en un certificado sino en algo más útil, un lenguaje común para que el riesgo de calidad, el de seguridad, el financiero y el de cumplimiento se identifiquen y se valoren con el mismo método. Hace parte del frente de sistemas de gestión y se conecta directamente con el programa de cumplimiento.
La edición de referencia es la de 2018. ISO revisa sus normas periódicamente y su comité técnico ha estudiado una nueva revisión, así que antes de citarla en un documento conviene confirmar la edición vigente en el catálogo de ISO o de ICONTEC.
Qué es la ISO 31000 y para qué sirve
La norma define el riesgo como el efecto de la incertidumbre sobre los objetivos. La definición tiene dos consecuencias prácticas. La primera: un riesgo siempre se refiere a un objetivo, y si la empresa no tiene objetivos claros, su matriz de riesgos es una lista de temores. La segunda: el efecto puede ser negativo o positivo, y por eso la gestión del riesgo también busca oportunidades, no solo amenazas.
La ISO 31000 se organiza en tres bloques: principios, marco y proceso.
Los ocho principios de la ISO 31000
| Principio | Qué significa en la práctica |
|---|---|
| Integrada | La gestión del riesgo es parte de las decisiones de la dirección y de los procesos, no un área aparte |
| Estructurada y exhaustiva | Un método común, con resultados comparables entre áreas |
| Adaptada | Ajustada al tamaño, el sector y los objetivos de la empresa |
| Inclusiva | Participan quienes conocen el riesgo, incluidas las partes interesadas |
| Dinámica | Los riesgos cambian y la valoración se actualiza |
| Mejor información disponible | Datos históricos y actuales, con sus limitaciones reconocidas |
| Factores humanos y culturales | El comportamiento de las personas cambia el riesgo real |
| Mejora continua | La gestión del riesgo mejora con la experiencia y el aprendizaje |
¿Su sistema de gestión existe en papel pero no en la operación? Un consultor de Tagline revisa su caso, sin costo.
Conversar por WhatsAppEl marco: cómo se integra en la empresa
El marco describe cómo la dirección hace que la gestión del riesgo funcione: liderazgo y compromiso en el centro, rodeado de integración, diseño, implementación, valoración y mejora. En términos sencillos: la dirección define el apetito de riesgo y los criterios, asigna responsables y recursos, integra la valoración en los procesos que ya existen —planeación, compras, proyectos— y revisa periódicamente si el marco sirve. Sin esa parte, el proceso queda como un ejercicio del área de calidad que la gerencia no mira.
El proceso de gestión del riesgo, paso a paso
- Alcance, contexto y criterios. Qué proceso o proyecto se analiza, qué objetivos persigue y con qué escalas de probabilidad e impacto se va a calificar.
- Identificación del riesgo. Qué puede pasar, por qué y con qué consecuencias. Las fuentes más útiles son los incidentes previos, las quejas, las auditorías y la gente que hace el trabajo.
- Análisis del riesgo. Probabilidad y consecuencia, considerando los controles que ya existen.
- Evaluación del riesgo. Comparar el resultado con los criterios para decidir qué se trata primero.
- Tratamiento del riesgo. Evitar, reducir, compartir o aceptar, con responsable, plazo y control nuevo cuando corresponde.
- Seguimiento, revisión, comunicación y registro. Actividades permanentes que acompañan a todas las demás: verificar que los controles funcionan, informar a quien decide y dejar evidencia.
Ejemplo: cómo se redacta un riesgo que se puede gestionar
La diferencia entre una matriz útil y una lista de temores está en la redacción. Compare:
- Mal redactado: «Riesgo de proveedores».
- Bien redactado: «Por depender de un único proveedor de empaque (causa), puede haber un desabastecimiento de más de cinco días (evento) que detenga la línea de envasado e incumpla entregas a dos clientes clave (consecuencia), afectando el objetivo de cumplimiento de entregas del 95 %».
La segunda versión dice qué controlar —la dependencia de un solo proveedor—, permite calificar probabilidad e impacto con datos —cuántas veces ha fallado, cuánto cuesta un día de línea parada— y sugiere el tratamiento: homologar un segundo proveedor o mantener un inventario de seguridad. Además, está ligada a un objetivo, que es lo que exige la definición de riesgo de la norma.
La ISO 31000 en el contexto colombiano
En Colombia varias obligaciones legales piden gestionar riesgos con método, y la ISO 31000 sirve como marco común para cumplirlas sin duplicar trabajo:
- SG-SST. El artículo 2.2.4.6.15 del Decreto 1072 de 2015 obliga a identificar peligros y evaluar y valorar los riesgos con una metodología sistemática; su forma práctica es la matriz de peligros con la GTC 45.
- SAGRILAFT. Las empresas obligadas por el Capítulo X de la Circular Básica Jurídica de la Superintendencia de Sociedades deben contar con una «Matriz de Riesgo LA/FT/FPADM u otro mecanismo equivalente» para medir y auditar la evolución de ese riesgo (Circular Externa 100-000016 de 2020, numeral 5).
- Sistemas ISO. La ISO 9001 y la ISO 14001 piden abordar riesgos y oportunidades en la planificación; la ISO 31000 es la guía más usada para hacerlo.
El error común es tener tres matrices con tres escalas distintas —una de seguridad, una de calidad, una de lavado de activos— que nadie puede comparar. Un marco común permite que la dirección vea en una sola mesa qué riesgos de la empresa son los más altos, vengan de donde vengan.
Cómo armar una matriz de riesgos que sirva
- Una escala de probabilidad y otra de impacto, de cinco niveles cada una, con descripciones concretas para la empresa —no «alto, medio, bajo» a secas—.
- Cada riesgo redactado como causa, evento y consecuencia, ligado a un objetivo o un proceso.
- Controles existentes evaluados por su eficacia real, no por su existencia en un documento.
- Riesgo residual calculado y decisión de tratamiento con responsable y fecha.
- Revisión al menos anual, y siempre que cambie un proceso o haya un evento.
En Tagline construimos el marco y la matriz de riesgos integrada con el sistema de gestión y con las obligaciones de cumplimiento que le apliquen a la empresa. No emitimos certificados ISO 31000: la norma no es certificable. El siguiente paso para medir si los tratamientos funcionan son los indicadores de gestión.