¿Qué características debes buscar en un software ERM?

Características de un Software ERM

Un software ERM, Enterprise Risk Management, por sus siglas en inglés, es un programa de gestión de riesgos empresariales. El estándar NIST.IR.8286 define al ERM como un enfoque eficaz de toda la agencia para abordar el espectro completo de los riesgos significativos de la organización al comprender el impacto combinado de los riesgos como una cartera interrelacionada, en lugar de abordar los riesgos solo dentro de los silos.

Si atendemos a las características que debe tener un Software ERM, podemos decir que requiere tener las herramientas que asistan a las personas para que estas puedan plasmar o visualizar los riesgos que está analizando. Cuando decidimos tener un software que nos ayude en nuestra labor, nos referimos a las características de un Software ERM más importantes. Lo primero que necesitamos es que sea flexible y se ajuste a la metodología de gestión de riesgos de la empresa.

Flexibilidad respecto a la metodología de Gestión de Riesgos

Una de las recomendaciones respecto es que se formalice esta metodología antes de automatizarla. Luego, cuando se automatiza, ese sistema tiene que ser suficientemente flexible. Esto implica, por ejemplo, considerar si se cuenta con cartera de riesgos, propietarios de riesgos, matrices de riesgos que pueden ser de 3×3, 4×4, 5×5…

Registro y gestión colaborativa de riesgos

Otra de las características de un Software ERM que son claves para su efectividad. El sistema debería permitir la posibilidad de registrar los riesgos de forma colaborativa, puesto que los riesgos no vienen de una sola área dentro de la organización, sino de la colaboración de varias. Y, finalmente, esto conforma una base de datos que se puede denominar como “base de datos de conocimientos”.

Flexibilidad en la parametrización del Análisis de Riesgos

Sería ideal poder hacer los análisis de riesgos bajo las mismas variables que utiliza la organización. Es decir, que el software permita parametrizar en cuanto a probabilidad y consecuencias: alta, medio o baja; y también en cuanto a las consecuencias: alta, media o baja. Eso le permitiría a la organización expresar los niveles de riesgo según lo que está establecido dentro de la organización.

Normalmente esto se representa con mapas de calor, estos tienen que estar relacionados con el sistema. El software debería brindar la posibilidad de hacer modificaciones sobre ese mapa de calor, porque eventualmente, por las características de los riesgos emergentes, puede ser que se altere la forma de esos mapas.

Acorde con el apetito de riesgo de la organización

También sería deseable que el software estuviese en concordancia con las políticas de riesgo de la organización, sobre todo con lo que en el mundo de las organizaciones se denomina “apetito por el riesgo”. La definición de apetito por el riesgo en la matriz de riesgo debe ser fácilmente visualizable en un sistema automatizado y este debe dar alertas a los operadores para que se sepa si se está dentro o fuera del apetito por el riesgo

Gestión integral de controles de riesgo

Perimir gestionar los controles como un proceso sería un elemento invaluable dentro de nuestro software. Los controles suelen ser actividades consecutivas que se pueden relacionar como un proceso, y si el sistema permite que funcione por medio de flujogramas, por ejemplo, del tipo BPM, ayudaría a que ese control se implemente de forma sistemática y utilizando workflows, que van a hacer que tenga como entrada la necesidad de control y la salida de los procesos controlados. Específicamente, un riesgo controlado.

Planes de tratamiento de riesgos ilimitados

Como sabemos que no todos los controles están implementados, se deben planificar en el tiempo por medio de planes de tratamiento de riesgos, pues el sistema también debería tener un portafolio de planes de tratamiento de riesgos, que es similar a un portafolio de proyectos de poca o mediana envergadura, que le permita a la organización establecer el conjunto de acciones y compromisos que permitirían concretar ese plan de tratamiento de riesgos, y, en consecuencia, bien sea para aceptar, mitigar o transferir el riesgo, se pueden incorporar como controles dentro de la organización.

se portafolio ayudaría a la organización a gestionar todas las acciones de forma más ágil y a que tenga señalizaciones que permitan saber el estado de esos planes de tratamiento de riesgos.

Sistema de reporte de riesgos fiable y potente (Business Intelligence)

Finalmente, este sistema debería tener la posibilidad de generar reportes, tanto de tipo dashboard, que nos permitan hacer comparaciones ágiles, por ejemplo, entre periodos, áreas y sucursales, y que también genere reportes que permitan entregarlos a las partes interesadas de forma rápida y precisa, de manera que se puedan tomar decisiones a tiempo. Lo que se busca cuando se está haciendo un ERM no es gestionar los riesgos, pues la gestión de riesgos no es el propósito, el objetivo es poder tomar decisiones sabiendo a qué riesgos nos enfrentamos, y este sistema lo que tendría que hacer es ayudar a quienes toman decisiones a utilizar esa información de forma ágil e intuitiva, esta es la característica más relevante de un software de ERM.

En resumen, un buen software ERM debería servir para:

• Identificar y comprender los principales riesgos que enfrenta una empresa,
• determinar la mejor manera de abordar esos riesgos, y
• garantizar que se tomen las medidas necesarias.

Software GRCTools para la Gestión de Riesgos Corporativos

La implementación de un Sistema de Gestión de Riesgos Corporativos permite que con una serie de pasos se realicen tareas de identificar los riesgos. Para ello se deben tener en cuenta la estructura organizacional, la actividad económica, los recursos, actualizaciones internas, los agentes externos como los tecnológicos etc.

Determinado esto se debe hacer la evaluación de los riesgos, para ello, el Software de Gestión de Riesgos Corporativos de GRCTools es especialmente indicado ya que facilita la configuración de las matrices y la alineación con toda la organización. Los recursos empleados para llevar a cabo una gestión de riesgos eficiente se verán reducidos al mínimo, mejorando además el rendimiento del sistema.