Llegamos al tercero de los TIPS&TRICKS de la integración de sistemas de gestión que tiene que ver con la Planificación basada en la Gestión del Riesgo, que se materializará en nuestro Portfolio y en una serie de Programas y Proyectos que deberemos de desplegar en la organización asignando recursos y definiendo funciones y responsabilidades para llevarlos a cabo.
El concepto integrador GRC (Gobernance Risk and Compliance) sin duda nos va a ayudar en la Planificación asegurando:
- un adecuado gobierno, ya que garantiza que todas las actividades de la organización están alineadas con los Objetivos Estratégicos
- que cualquier riesgo, ya sean riesgos negativos como positivos u oportunidades, se abordan con un enfoque común, priorizando y apoyando los Objetivos Estratégicos.
Es decir tendremos muy claro cuáles son los aspectos significativos que deberemos abordar en todo momento.
- compliance de las actividades realizadas acorde a la legislación y otros requisitos aplicables
GRC tiene en cuenta la buena práctica genérica para la gestión del riesgo ISO31000, tras ello bajaremos más al detalle la gestión del riesgo, con otros métodos y normas más apropiados, acorde a las diferentes áreas de aplicación como pueden ser:
- Compliance penal
- Oportunidades y riesgos comerciales
- Gestión de aspectos significativos Ambientales
- Gestión de riesgos laborales y de Seguridad y Salud en el Trabajo (SST)
- Gestión de riesgos de la Seguridad de la Información (SI)
- Compliance laboral, mercantil, fiscal, …
- Y otras gestiones de riesgo más específicas de las actividades propias de la organización relacionadas con los productos, proyectos y servicios ofrecidos, como podría ser la gestión de riesgos de Productos Sanitarios
La gestión del riesgo en organizaciones digitales ha de profundizar en las nuevas legislaciones relacionadas con la Tecnología, cada vez más numerosas y complejas que afectan de manera transversal a todos los grupos de interés
Nota: les aconsejo estén al tanto de las publicaciones del grupo de expertos #itsm4Privacidad
Tras el análisis del riesgo, se establecen actuaciones para gestionar el riesgo en su conjunto. Serán diferentes acciones que deberemos de poner en marcha y desplegar en toda la organización, sin duda nos será muy útil las buenas prácticas PPM, Gestión del Portafolio, Programas y Proyectos para llevarlas a cabo con éxito.
Nota: les aconsejo estén al tanto de las publicaciones del grupo de expertos #itsm4PPM
En Organizaciones digitales la gestión del riesgo contemplará el diseño e implantación de:
- contramedidas relacionadas con los procesos necesarios para gestionar la tecnología basados en mejores practicas ITIL, ISO20000-1, ITAM, PMP, SCRUM, etc.…
- medidas técnicas y organizativas que garanticen la Seguridad de la Información como ISO27001 o ENS
- Y los riesgos positivos u oportunidades, casi seguro conllevaran actuaciones relacionadas con el Portfolio y la Transformación digital de la organización
También será necesario establecer un Plan de continuidad de Negocio formado por distintos protocolos para identificar todo evento, emergencia potencial o desastre no planificado y dar una respuesta a los mismos de forma unificada, para prevenir o mitigar las consecuencias de tales incidencias y considerar la continuidad de las operaciones del negocio.
«El Plan de continuidad de Negocio prioriza actuaciones acorde a la estrategia de la organización, con un claro punto de vista integrador»
En organizaciones digitales partimos de una gran ventaja y es que podemos llegar a conseguir un diseño del Plan de continuidad, con diferentes planes de contingencia que nos garanticen el 100% de disponibilidad de los servicios ofrecidos a nuestros usuarios, ya que la digitalización nos permite situar los activos de nuestro negocio de forma redundada.
No nos olvidemos de la importancia que tiene un adecuado sistema de seguimiento y control unificado del estado de riesgo de la organización. Para ello nos será muy útil los diferentes sistemas digitales que nos ofrecen presentaciones automáticas que simplifican la carga operativa de recogida de datos, evitando problemas de calidad del dato y ofreciendo mayor tiempo para el análisis y la toma de decisiones.
Y ya, por último, la dirección ha de definir claramente la estructura organizativa, funciones y responsabilidades en la gestión del riesgo, así como las Interrelaciones entre unidades, apoyando con recursos la gestión de la diversidad.
Team Leader Grupo de Expertos itsm4SIG
Comité de Estándares de itSMF España