Los riesgos están por todas partes, pero algunos son más importantes que otros. ISO 31000 (se abre en una nueva pestaña), la norma de gestión de riesgos con mayor alcance internacional, define el riesgo como «el efecto de la incertidumbre sobre los objetivos». En cualquier empresa abundan las incertidumbres (tanto positivas como negativas), y los objetivos pueden ir desde la adquisición de una nueva impresora hasta el lanzamiento de un nuevo producto.
En esta entrada, les ofrezco unas pautas que pueden utilizar para evaluar los riesgos que realmente importan. A lo largo del proceso, destaco la importancia de la colaboración a la hora de identificar, evaluar y mitigar los riesgos. Cuando los departamentos de TI colaboran estrechamente con sus unidades de negocio, es posible comprender y abordar los riesgos.
Identificación de los riesgos asociados a los objetivos estratégicos
Las organizaciones de TI son responsables de identificar una amplia gama de riesgos, entre los que se incluyen los sistemas sin parches, las nuevas variantes de malware, las nuevas técnicas de phishing y muchos más; la lista es interminable. Si bien es importante realizar un seguimiento de estos riesgos, para evaluarlos y priorizarlos es necesario tener en cuenta su contexto. Al fin y al cabo, el riesgo que supone una única vulnerabilidad de seguridad puede variar de un sistema a otro.
Considere, por ejemplo, dos servidores de archivos a los que les faltan los últimos parches de una aplicación. Un servidor de archivos almacena los menús del almuerzo de la cafetería de los empleados. Las demás tiendas están elaborando diseños para un nuevo producto que se lanzará el próximo mes.
Es evidente que el servidor que contiene los documentos de diseño reviste una mayor importancia estratégica. Por lo tanto, sus riesgos deberían tener prioridad sobre los que afectan al servidor de archivos con los menús del almuerzo.
A partir de este ejemplo, podemos extraer una regla general: cualquier riesgo que ponga en peligro un objetivo estratégico de alto nivel tiene prioridad sobre los riesgos que solo afectan a objetivos de menor nivel.
Teniendo en cuenta esta norma, la labor de evaluación del riesgo comienza por identificar los objetivos estratégicos de su empresa. A continuación, podrá analizar la infraestructura informática que respalda los esfuerzos de su empresa por alcanzar dichos objetivos.
Considérelo como una forma de análisis de la cadena de suministro. Está analizando el flujo de datos, personas y operaciones, desde un objetivo general hasta los sistemas y procesos informáticos específicos que ayudan a la empresa a alcanzar dicho objetivo. Estos sistemas y procesos funcionan como una especie de cadena de suministro para los propios objetivos.
Por ejemplo, supongamos que su empresa tiene como objetivo general ofrecer servicios financieros fiables y de vanguardia a través de una aplicación móvil. Es evidente que el servidor web, las bases de datos y los módulos de software que dan soporte a esta aplicación móvil revisten una importancia estratégica. Cualquier riesgo que pudiera provocar la interrupción de su servicio también se consideraría importante, sobre todo si se compara con un riesgo que afecte a una aplicación interna que los clientes nunca utilizan.
En este caso, el equipo de gestión de riesgos de la empresa debería plantearse preguntas como las siguientes:
- ¿Qué sistemas y procesos contribuyen directamente a la fiabilidad y la innovación de nuestra aplicación móvil de servicios financieros?
- ¿Qué sistemas y procesos hacen posible el funcionamiento de esos sistemas y procesos?
- ¿Cuál es el sistema que permite que funcione la aplicación móvil?
Para evaluar el riesgo, identifique estas interrelaciones y analícelas según sea necesario, de acuerdo con los objetivos y las capacidades de su empresa.
No todos los sistemas y procesos de esta «cadena de suministro» tienen la misma importancia. Para evaluar los riesgos dentro de la propia cadena de suministro, asigne un valor a cada elemento (que sea relevante según la regla 80/20 ), desde el objetivo de máximo nivel hasta el sistema o proceso de apoyo de menor nivel.
Elaboración de una clasificación de riesgos
Sus objetivos estratégicos también deben compararse y evaluarse. Es poco habitual que una empresa trate a todos por igual.
Una vez que haya identificado sus objetivos principales, asigne a cada uno de ellos un valor dentro de un intervalo determinado. Por ejemplo, basándose en las conversaciones mantenidas con su equipo directivo, podría asignar a un crecimiento continuado de los ingresos con una tasa de crecimiento anual compuesto (CAGR) de al menos el 10 % un valor de 10 en una escala del 1 al 10, lo que significa que es el factor más importante.
By contrast, you might value regulatory compliance as a 7. Esto no significa que el cumplimiento normativo no sea importante para la empresa. Simplemente significa que garantizar el cumplimiento normativo es algo excelente, pero no será la máxima prioridad que prevalezca sobre cualquier otra inversión.
A continuación, identifique las personas, los procesos y las tecnologías que intervienen en el apoyo a cada objetivo estratégico. A continuación, clasifique por orden de importancia cada uno de los factores de apoyo.
Para aportar más matices, puede calcular la probabilidad de que se produzca un fallo concreto. Por ejemplo, imagine que su empresa cuenta con un servidor web que da soporte a una aplicación móvil de importancia crítica para el negocio. Es probable que la probabilidad de que ese servidor presente un rendimiento inaceptablemente lento durante un periodo de máxima actividad sea mayor que la probabilidad de que ese mismo servidor se vea afectado por un corte de suministro eléctrico que provoque la caída tanto del sistema de alimentación principal como del de reserva.
Al multiplicar la puntuación correspondiente al valor estratégico del servidor (por ejemplo, 7 sobre 10) por la probabilidad de que se produzca un riesgo concreto (por ejemplo, el 50 % o el 0.5), podrá empezar tanto a clasificar los riesgos como a identificar aquellos que requieren una actuación más inmediata.
Por ejemplo, supongamos que la probabilidad de que un servidor presente un rendimiento lento es del 40 %, mientras que la probabilidad de que un servidor sufra una caída en caso de un corte de suministro eléctrico catastrófico es solo del 2 %. Si la importancia del servidor se sitúa en 7 en una escala del 1 al 10, el valor de riesgo para el escenario de bajo rendimiento sería 7 por 0.40, lo que da como resultado 2.8. En ese caso, el valor de riesgo correspondiente al escenario de corte de suministro eléctrico sería 7 por 0.02, lo que da como resultado 0.14. El escenario de bajo rendimiento, que presenta el valor de riesgo más elevado (2.8 frente a 0.14), es, evidentemente, el riesgo al que habrá que prestar atención en primer lugar.
La importancia de colaborar en la evaluación del riesgo
Llevar a cabo este tipo de evaluación de riesgos requiere mucho trabajo y una actitud abierta para aceptar la ambigüedad, las paradojas y la incertidumbre. Consiste en recopilar información detallada sobre las personas, los procesos y las tecnologías de toda la empresa y sintetizarla para llegar a comprender qué medidas deben adoptarse.
Siendo realistas, ninguna persona ni equipo conoce de memoria todos los detalles y vulnerabilidades asociados a todos los sistemas y procesos informáticos que respaldan todos los objetivos estratégicos de la empresa. El departamento de informática tendrá que solicitar ayuda.
Mi consejo: si está evaluando los procesos y las tecnologías de un departamento, pida ayuda a ese mismo departamento. Por ejemplo, si desea comprender los riesgos relacionados con las aplicaciones del departamento de recursos humanos (RR. HH.), hable con alguien de ese departamento. Es probable que conozcan aspectos de su aplicación que el equipo de operaciones de TI desconoce.
Cuando hable con personas ajenas al departamento de informática, utilice lo menos posible la jerga técnica. Al hablar con sus compañeros del departamento de TI, no hay ningún problema en utilizar jerga técnica, como por ejemplo: «¿Están operativos sus controles?». Sin embargo, fuera del ámbito de las tecnologías de la información, es probable que ese tipo de lenguaje resulte confuso.
Cuando hablo con personas ajenas al ámbito de las tecnologías de la información, suelo expresarme en términos de potenciar lo positivo y evitar lo negativo. También les pregunto cuál es la finalidad de un proceso o de una aplicación. Analizo los objetivos de nuestro proceso de gestión de riesgos. Y les explico cómo nuestras evaluaciones de riesgos pueden ayudarles a llevar a cabo su trabajo y a alcanzar los objetivos de sus propios departamentos, al aumentar la certeza de éxito.
Otro consejo: nunca le diga a alguien cómo hacer algo sin preguntarle primero cómo cree él que debería hacerse. Si impone una solución, podría estar pasando por alto una alternativa creativa. También es posible que observe que las personas se muestren reacias a acatar una nueva política que les afecta directamente, sobre todo si no tiene en cuenta sus opiniones.
Una solución más adecuada: pida consejo a los usuarios de la empresa. De este modo, podrá proponer una solución de gestión de riesgos que probablemente cuente con su apoyo.
La gestión de riesgos es una cuestión que atañe a toda la empresa, no solo al departamento de TI.
Cuando las personas ajenas al ámbito de las tecnologías de la información se den cuenta de que confía en ellas y de que está genuinamente interesado en lo que tienen que decir, se comunicarán con usted con mayor libertad. Además, será más probable que asuman la responsabilidad de las soluciones de gestión de riesgos de (se abre en una nueva pestaña) que hayan implantado conjuntamente.
Esta colaboración continua es una de las ventajas de adoptar un enfoque «sistémico» para la gestión del riesgo mediante la integración. No solo descubrirá los detalles que necesita para evaluar los riesgos con mayor precisión, sino que también sensibilizará a las partes interesadas de la organización sobre la importancia de la evaluación y la mitigación de riesgos. Además, tendrá la oportunidad de colaborar con estas partes interesadas para desarrollar soluciones que minimicen los riesgos que ambos han identificado.
La medición de riesgos siempre depara algunas sorpresas, y algunas pueden resultar inquietantes o provocar momentos de revelación. Sin embargo, la medición del riesgo casi siempre mejora la comunicación entre departamentos. Asimismo, puede ayudar a toda la empresa a tomar mejores decisiones para reducir la incertidumbre y alcanzar los objetivos más importantes de la empresa.
Eche un vistazo a la primera entrada de esta serie, « : Medir lo que importa: alinear la medición del riesgo con los objetivos corporativos». (se abre en una nueva pestaña)
Obtenga más información sobre la solución de gestión de riesgos « » de Tanium: (se abre en una nueva pestaña),y .
