Manual de gestión de calidad paso a paso

Cambios clave en la norma ISO 9001:2026

2026-10-28T18:10:37.742+01:00

Como cada 10 años aproximadamente la norma ISO 9001(Gestión de la Calidad) se actualiza, y ha tocado este año, concretamente la nueva versión de la norma ISO 9001:2026 se ha publicado el pasado mes de septiembre. Como cada vez que esto sucede, las empresas disponen de 3 años para actualizar su documentación y adaptarla para el cumplimiento de los requisitos de la nueva norma.

El periodo de 3 años es debido porque los certificados emitidos por los organismos acreditados tienen una validez de 3 años y por lo tanto a medida que van caducando se emiten los nuevos asociados a la nueva versión de la norma; para ello las empresas deben adaptar su sistema de gestión a los nuevos requisitos de la norma, y realizar tarnto las auditorías internas como externas asociadas a esta nueva versión de la norma para poder obtener el certificado en base a la norma ISO 9001:2026. Las empresas que deseen certificarse en esta norma por primera vez deberán elaborar la documentación del sistema, así como aplicar las metodologías necesarias para dar respuesta y evidenciar el cumplimiento de los requisitos de la norma ISO 9001:2026.

Similitudes de las versiones de la norma ISO 9001:2015 e ISO 9001:2026

- Ambas normas comparten exactamente la misma estructura de alto nivel (basada en el marco de la Estructura Armonizada o Harmonised Structure / Annex SL).

- Ambas se estructuran en los mismos 10 capítulos principales y manteniendo el ciclo PHVA de mejora continua (Planificar, Hacer, Verificar, Actuar) y el enfoque basado en procesos. Las principales diferencias se encuentran en algunos determinados requisitos en algunos apartados, con la finalidad de eliminar posibles ambiguedades, actualizar algunos requisitos a las necesidades actuales en cuanto a la sostenibilidad de las empresas y el medio ambiente. Con esta actualización de los diferentes requisitos el sistema d egetsión de calidad es más fácil su integración con los demás sistemas de gestión.

Comparación de las dos normas en cada capítulo

A continuación, se detalla cómo se comparan ambas versiones en su estructura y los cambios clave introducidos:

Del capítulo 1 al 3: la norma ISO 9001:2026 incorpora más precisión en las definiciones de los diferentes conceptos que abarca la norma y algunos nuevos para que el sistema de gestión de calidad de la empresa pueda adaptarse mejor a las realizades operativas actuales. Además en el capítulo 3 incluye un glosario autónomo de 20 conceptos estandarizados, mientras que en la ISO 9001:2015 remitía a la norma ISO 9000:2015, "Sistema de Gestión de Calidad. Fundamentos y vocabulario".

En el capítulo 4 ("Contexto de la organización") en la norma ISO 9001:2026, además de mantener el análisis de las cuestiones internas, externas (matriz DAFO) y las necesidades de las partes interesadas (presentes desde la versión de 2015), se integra formalmente la enmienda de 2024. Esta exige a las organizaciones determinar si el cambio climático es una cuestión relevante para su Sistema de Gestión de la Calidad. Para ello, las empresas suelen incorporar el factor en su evaluación de riesgos. El cambio climático en el Capítulo 4 se evalúa primero como cuestión del contexto/partes interesadas (¿nos afecta o no este factor a la calidad de nuestro producto/servicio?). De ahí puede o no pasar a la matriz de riesgos del Capítulo 6 ("Planificación").

En el capítulo 5 ("liderazgo") la norma 9001:2026, va un paso más lejos en cuanto a la obligación formal de implicar a la Alta Dirección con el Sistema de Gestión de Calidad implementado. En esta ocasión además de establecer una Política de Calidad que cumpla con los requisitos de la norma, deberá ser un protagonista activo en cuanto a la alineación entre la política y la dirección estratégica de la empresa. Por otro lado, como nuevo requisto deberá generar "información documentada" donde se evidencie que la Alta Dirección promueve la cultura de calidad y un comportamiento ético a todas las partes interesadas de la organización.

En el Capítulo 6 ("Planificación") concretamente en el apartado de riesgos y oportunidades, la práctica habitual bajo la norma ISO 9001:2015 demostraba que, al tratarse conjuntamente, las empresas solían centrarse exclusivamente en los riesgos y dejaban de lado la evaluación de las oportunidades, lo que a menudo generaba no conformidades en las auditorías. Aunque la estructura formal se mantiene, la nueva versión de la norma y sus directrices ponen un énfasis mucho mayor en tratar ambos conceptos de forma diferenciada. Esto exige a las organizaciones documentar e implementar la identificación, evaluación y el establecimiento de acciones específicas tanto para los riesgos como para las oportunidades de manera independiente, eliminando cualquier margen para omitir estas últimas. Lo que pretende la norma es que las empresas no solo establezcan acciones para mitigar los riesgos negativos o amenazas, sino que también planifiquen acciones específicas orientadas a captar y desarrollar las oportunidades que beneficien a la organización.

Tanto en la norma ISO 9001:2015 como en la ISO 9001:2026, la Política de Calidad (capítulo 5 "Liderazgo") y los Objetivos de la Calidad (capítulo 6 "Planificación") se definen y abordan exactamente en los mismos capítulos principales, ya que ambas versiones comparten la Estructura Armonizada.

En el capítulo 7 ("Apoyo y concienciación") se establecían los procedimientos que daban respuesta a los requisitos en relación a que el personal fuera conciente de la política de calidad de la empresa, de los objetivos de la misma y su contribución al Sistema de Gestión de Calidad. En la nueva versión de la norma (ISO 9001:2026), además de lo anterior, la empresa debe poder demostrar, que mediante formación y comunicados específicos, las partes interesadas son informadas e implicadas en relación a la cultura de la calidad y la conducta ética definida en el capítulo 5 "liderazgo".

En el Capítulo 8 ("Operación"), destacan dos grandes bloques: el control operativo de los procesos y la Gestión del Cambio.

En relación con los procesos operativos, tanto la versión de 2015 como la de 2026 establecen los requisitos para garantizar el control de la producción y la prestación del servicio. Para ello, exige determinar los criterios operativos y mantener la información documentada necesaria para asegurar que los procesos se ejecuten según lo planificado, garantizando la trazabilidad, veracidad y conformidad de los productos o servicios.

En cuanto a la Gestión del Cambio, aunque la versión de 2015 ya exigía que las modificaciones en el sistema se planificaran considerando sus causas y consecuencias (apartado 6.3 y 8.5.6), la versión de 2026 fortalece notablemente los requisitos operativos. Ya no basta con definir el motivo y planificar el cambio; la norma exige ahora formalizar una metodología completa que detalle cómo se planificarán, se comunicarán a las partes interesadas, se supervisarán durante su ejecución y cómo se evaluará su efectividad y se revisarán los resultados finales para asegurar que no afecten negativamente a la calidad ni al sistema.

En el Capítulo 9 ("Evaluación del desempeño"), la norma ISO 9001:2026 mantiene intacta la estructura base y los requisitos fundamentales de la versión de 2015, conservando los apartados de seguimiento y medición, auditorías internas y revisión por la dirección. Sin embargo, como novedad principal, la nueva versión exige un análisis de datos y unas revisiones directivas mucho más profundas y alineadas con los cambios estratégicos de la organización, obligando a evaluar de forma transversal el impacto de factores como la cultura de calidad y el contexto global, incluido el cambio climático, en el rendimiento real del Sistema de Gestión de la Calidad.

En el Capítulo 10 ("Mejora"), la ISO 9001:2026 preserva los principios y la sistemática clásica de 2015 frente a las no conformidades, el análisis de causas raíz y el compromiso con la mejora continua, por lo que los procedimientos de resolución de incidencias siguen siendo plenamente válidos. El cambio radica en que la nueva norma refuerza la conexión directa entre la mejora y la gestión del cambio: cuando una acción correctiva o de mejora requiere modificar un proceso, ya no basta con cerrar la desviación, sino que es obligatorio aplicar una metodología rigurosa que asegure la planificación, comunicación, supervisión y evaluación de la efectividad del cambio introducido.

En las próximas publicaciones os iré explicando con casos reales como dar respuesta y evidenciar los requisitos de la nueva norma, y por supuesto, adaptar el sistema documental existente a los nuevos requerimientos de la norma.

Tendencias Futuras en la Gestión de Calidad en base a la ISO 9001

2025-01-24T13:09:00.000+01:00

La gestión de la calidad ha sido y será un pilar fundamental en el desarrollo de gestión de las empresas, permitiendo alcanzar un aumento de la satisfacción del cliente, la mejora continua y la optimización de los procesos. A lo largo de las décadas, la norma ISO 9001 ha desempeñado un papel importante en esta evolución, adaptándose a las demandas cambiantes del mercado, la sociedad y las expectativas de las partes interesadas.

La finalidad de este artículo es ofrecer claves claras sobre hacia dónde se dirige la gestión de calidad en las empresas en el futuro cercano, identificando las principales tendencias que definirán su evolución a medio plazo y cómo estas pueden impactar en el éxito empresarial.

Antes de profundizar en estas tendencias, es importante comprender el contexto histórico y la evolución de la norma ISO 9001. Este recorrido proporciona una base para entender la dirección que está tomando la gestión de calidad y los factores que están moldeando su futuro.

Orígenes de la Gestión de Calidad

La gestión de calidad se origina en la Revolución Industrial, cuando los sistemas de fabricación masiva requirieron estandarizar procesos industriales con la finalidad de producir grandes cantidades de un mismo producto. A principios del siglo XX, autores como Frederick Taylor y W. Edwards Deming introdujeron los principios de gestión científica y control estadístico de calidad, estableciendo las bases en las que nos fundamentamos actualmente.

Con la Segunda Guerra Mundial, el concepto de la calidad se expandió al desarrollo de productos y servicios. En Japón, los métodos de Deming y Joseph Juran fueron adoptados ampliamente, lo que llevó a la creación del enfoque Kaizen y la gestión de calidad total (TQM). Estos conceptos evolucionaron hacia sistemas estructurados que podrían ser implementados globalmente, lo que finalmente dio lugar a la publicación de la primera versión de la norma ISO 9001 en 1987.

La Evolución de la Norma ISO 9001

Desde su introducción, la norma ISO 9001 ha evolucionado significativamente:

ISO 9001:1987: Enfocada principalmente en la inspección y el control de calidad, esta versión priorizaba la documentación detallada y el cumplimiento de especificaciones.

ISO 9001:1994: Introdujo la idea de acciones preventivas y correctivas, promoviendo una mayor énfasis en la prevención de defectos.

ISO 9001:2000: Marcó un cambio hacia un enfoque basado en procesos, priorizando la satisfacción del cliente y la mejora continua. También incorporó principios de liderazgo y enfoque al cliente.

ISO 9001:2008: Refinó los requisitos anteriores, clarificando aspectos técnicos y facilitando su implementación en diversos sectores.

ISO 9001:2015: La revisión más reciente adoptó la estructura de alto nivel (HLS) para alinear la norma con otros sistemas de gestión, introdujo la gestión del riesgo como elemento clave y dio mayor protagonismo al contexto organizacional y a las necesidades de las partes interesadas.

Para aquellos que están interesados en implementar la norma en su empresa, disponen de numerosos artículos en este blog (enlace al listado de artículos) o bien pueden adquirir la guía donde se les explica paso a paso como cumplir con los requisitos de la norma, además de proporcionar ejemplos y formatos para realizarlo y poder certificarse de la norma (enlace al artículo sobre el contenido del libro).

Tendencias Futuras en la Gestión de Calidad

Tras esta introducción al mundo de la calidad, a continuación, enumero y justifico los factores que ya están influyendo en la gestión de nuestra empresa y que debemos tener en cuenta. Es fundamental identificarlos, evaluarlos y cuantificar su impacto, tanto positivo como negativo, para adaptar nuestros procesos y optimizar la gestión en respuesta a los cambios que estamos experimentando, con el objetivo de mantener nuestra competitividad

La gestión de calidad está en continuo cambio y evoluciona en respuesta a la globalización, los avances tecnológicos y la creciente demanda de sostenibilidad. Algunas de las tendencias clave que creo que deben tenerse en cuenta son las siguientes:

1. Digitalización y Transformación Tecnológica

Las herramientas de inteligencia artificial (IA) y análisis de datos permiten un monitorear de forma más precisa y en tiempo real de los procesos de la empresa. Estas herramientas nos permiten una optimización de los propios procesos generando grandes mejoras y reduciendo costes a medio y largo plazo, pero requieren una gran inversión inicial que no todas las empresas pueden costearse.

Ejemplo práctico: Una fábrica utiliza sensores IoT para recopilar datos en tiempo real sobre la calidad de sus productos en la línea de producción, permitiendo ajustes inmediatos en caso de detectar fallos. En este caso, el poder autoajustarse para corregir posibles defectos durante su fabricaciones permite reducir costes, ya que se eliminan los desperdicios, se aprovecha al máximo la materia prima, no se fabrican productos defectuosos y en consecuencia el cliente no tiene retrasos en la entrega del material, aumentando su satisfacción.

2. Sostenibilidad y Responsabilidad Social

La calidad ahora también se mide en términos de impacto ambiental y social, lo que lleva a una mayor integración de los Objetivos de Desarrollo Sostenible (ODS) en los sistemas de gestión. Numerosos paises tienen en su agenda la elaboración de legislación específica sobre este tema y consecuentemente las empresas deben aplicarla según les afecte.

Ejemplo práctico: Una compañía de alimentos implementa un sistema de gestión que prioriza el uso de empaques biodegradables y la reducción del desperdicio en toda su cadena de suministro. Cada vez es más habitual la existencia de reglamentos, decretos, directivas comunitarias, ordenanzas... que regulan este aspecto.

3. Personalización y Experiencia del Cliente

Las empresas buscan adaptar sus productos y servicios a las necesidades específicas de los clientes, impulsando la colaboración y la participación activa de los usuarios finales. Aquellas empresas que sean capaces de adaptar sus productos y/o servicios a las necesidades de los clientes tienen un valor añadido que puede diferenciarlas de otras empresas similares. De hecho, este aspecto siempre ha existido, la única diferencia puede ser la incorporación de nuevas herramientas tecnológicas que puedan realizarlo de una forma más rápida y que suponga un menor coste para la empresa. Naturalmente, cuando una empresa se dedica a realizar su producto y/o servicio personalizado debe dedicar más recursos para hacerlo y, por lo tanto, el producto y/o servicio final se encarece. Si la empresa destina recursos tecnológicos para minimizar el sobrecoste, el resultado sería un producto y/o servicio personalizado casi al mismo precio que uno que no estuviera, aumentando así la satisfacción del cliente.

Ejemplo práctico: Una empresa de software utiliza IA para personalizar las interfaces y funciones de su plataforma según las preferencias individuales de cada cliente.

4. Enfoque en el Liderazgo y la Cultura Organizacional

Las organizaciones reconocen que una cultura de calidad sostenida requiere liderazgo efectivo y compromiso de todos los niveles.

Ejemplo práctico: Una empresa multinacional implementa programas de capacitación en liderazgo para sus gerentes, promoviendo una cultura de mejora continua entre sus empleados.

5. Mayor Integración de Normas

El uso de sistemas de gestión integrados (SGI) está en auge, combinando los requisitos de la norma ISO 9001 con otras como ISO 14001 (gestión ambiental), ISO 45001 (salud y seguridad en el trabajo) e ISO 27001 (seguridad de la información). Esta integración de documentos que evidencian el cumplimiento de los requisitos normativos no solo agiliza la documentación de la empresa, sino que también mejora el control de la gestión desde distintas áreas, evitando la duplicación de documentos y recursos. Además, cada vez más empresas implementan sistemas informáticos de gestión que facilitan la coordinación, el análisis y la toma de decisiones, gracias a la rápida disponibilidad de la información y el análisis de datos derivados de todos los procesos, lo que permite actuar de manera más ágil y precisa

Ejemplo práctico: Una empresa tecnológica implementa un SGI que integra ISO 9001 e ISO 27001 para garantizar la calidad de sus servicios y la seguridad de los datos de sus clientes.

6. Adopción de Tecnologías Emergentes

La cadena de bloques (blockchain) está ganando terreno como una herramienta para garantizar la trazabilidad y transparencia en las cadenas de suministro.

Ejemplo práctico: Una compañía farmacéutica utiliza blockchain para registrar cada etapa de la producción y distribución de medicamentos, asegurando su autenticidad y cumplimiento con los estándares de calidad.

7. Ciberseguridad en la Gestión de Calidad

Con el aumento de la digitalización, garantizar la seguridad de los datos se ha convertido en una prioridad. Los sistemas de gestión de calidad deben incorporar medidas para proteger la información confidencial y evitar ciberataques.

Ejemplo práctico: Una organización financiera implementa un sistema de gestión de calidad que incluye auditorías regulares de ciberseguridad y capacitación para sus empleados.

8. Globalización y Colaboración Internacional

Las empresas colaboran cada vez más estrechamente con socios globales, lo que exige la implementación de estándares de calidad unificados y adaptables a diversas culturas y legislaciones. En muchos casos, ya sea por solicitud del cliente, por la creación de una Unión Temporal de Empresas (UTE) para un proyecto conjunto, o por otras razones, se solicita a las empresas que presenten sus certificados que demuestren la implementación de un sistema de gestión determinado. Actualmente, es común que la obtención de ciertos contratos dependa de contar con estos certificados

Ejemplo práctico: Una cadena minorista colabora con proveedores de diferentes países mediante estándares de calidad armonizados, asegurando consistencia en sus productos a nivel global.

En la siguiente tabla se puede visualizar los 8 puntos, que desde mi punto de vista, van a estar presentes en la gestión de la calidad de la empresa a medio plazo:

Si consideráis importante alguno más que no está en este listado, no dudéis en añadirlo en los comentarios, vuestra opinión es importante.

Implementación de un Análisis de Riesgos en ISO 9001: Pasos Clave y Herramientas

2024-10-03T13:23:00.004+02:00

La norma ISO 9001, como la serie de normas ISO que desarrollan las diferentes disciplinas de los sistemas de gestión, introduce un enfoque basado en el riesgo como un principio fundamental para la gestión de la calidad. En este marco, la gestión de riesgos es un proceso en sí mismo. Las organizaciones deben identificar, evaluar y tratar los riesgos y oportunidades que puedan afectar la calidad de sus productos o servicios. Para ello, se deberán identificar todos los riesgos derivados de los objetivos, de las oportunidades, de los procesos, así como los derivados del sistema de getsión de gestíón en sí.

En este artículo os quiero presentar los pasos clave para implementar un análisis de riesgos de un sistema de gestión conforme a la norma, con ejemplos y herramientas que faciliten su desarrollo.

1. Identificación del contexto y partes interesadas

El primer paso es comprender el contexto de la organización, tanto interno como externo, y definir quiénes son las partes interesadas. Esto permite tener una visión clara de los factores que pueden influir en el desempeño del sistema de gestión de calidad (SGC). Estos factores incluyen aspectos políticos, económicos, sociales, tecnológicos, legales y ambientales.

Ejemplo de contexto de la organización: Una empresa identifica una oportunidad de negocio al expandirse a nuevos países abriendo sucursales. Para evaluar la viabilidad de esta expansión, es fundamental llevar a cabo un análisis exhaustivo que identifique los posibles riesgos involucrados en el proceso. Esto incluye evaluar la importancia de cada riesgo asociado con las acciones previstas, así como considerar medidas extraordinarias que podrían ser necesarias para mitigar dichos riesgos, tomando en cuenta los costos que estas acciones adicionales puedan generar.

Ejemplo partes interesadas. Un laboratorio de ensayos clínicos puede enfrentar regulaciones estrictas en cuanto a la ejecución de los diferentes ensayos. Una parte interesada clave sería la autoridad reguladora, cuyas decisiones podrían generar riesgos si no se cumplen los estándares y podría retirarles la licencia de actividades.

Herramientas útiles:

- Análisis DAFO: Identifica los factores de debilidad, amenazas, fortalezas y oportunidades.

- Análisis PESTEL: Identifica factores políticos, económicos, sociales, tecnológicos, ambientales y legales que podrían impactar a la organización.

- Matriz de las partes interesadas: Identifica y clasifica a las partes interesadas según su influencia y el interés que tengan en la empresa.

Una vez definidos el contexto de la organización y las partes interesadas, es necesario identificar todos los riesgos asociados a los factores previamente analizados. Esto implica evaluar cómo cada uno de estos factores puede influir en los objetivos de la organización, asegurando que se contemplen todos los posibles riesgos que podrían afectar su desempeño.

2. Identificación de los riesgos y oportunidades

Una vez comprendido el contexto, el siguiente paso es identificar los riesgos y oportunidades. Los riesgos son eventos que, si se materializan, pueden afectar negativamente el logro de los objetivos del SGC, mientras que las oportunidades son situaciones que pueden favorecer a la organización.

Ejemplo práctico de riesgo. Un riesgo para una empresa de transporte podría ser un aumento en los precios del combustible, lo que afectaría sus márgenes de ganancia.

Ejemplo práctico de oportunidades. Se podría considerar la posibilidad de adoptar vehículos eléctricos para reducir costos a largo plazo.

Herramientas útiles:

- Lluvia de ideas o "brainstorming": Involucra a diversos miembros de la organización para identificar riesgos desde diferentes perspectivas.

- Diagrama de Ishikawa o diagrama causa-efecto: Ayuda a identificar las causas raíz de posibles riesgos en procesos específicos.

3. Evaluación de riesgos

Después de la identificación, se procede a evaluar los riesgos en términos de su probabilidad de ocurrencia y su impacto en la organización. Esto permite priorizar los riesgos que requieren mayor atención. Una técnica comúnmente utilizada es el cálculo del "nivel de riesgo", que se obtiene multiplicando la probabilidad por el impacto. Posteriormente se elaboran unas tablas de clasificación de los resultados donde puede clasificarse según su grado de significancia, aplicando unos criterios definidos por la organización.

Ejemplo: Supongamos que en una empresa de software, el riesgo de fallos en un servidor crítico se evalúa con una alta probabilidad y un impacto muy alto. Esto indicaría que es un riesgo prioritario a gestionar.

Herramientas útiles:

- Matriz consecuencia y probabilidad. es una técnica para evaluar y priorizar riesgos en función de la probabilidad de ocurrencia y las consecuencias asociadas. Esta herramienta es efectiva para la toma de decisiones sobre la gestión de riesgos, debido a que se puede obtener información de la significancia o criticidad del riesgo que se está evaluando

- Análisis FMEA (Failure Mode and Effects Analysis): Identifica los posibles modos de falla y sus efectos en los procesos o productos.

4. Tratamiento de riesgos

Una vez evaluados, se deben planificar las acciones para tratar los riesgos identificados. Las estrategias pueden incluir evitar el riesgo, mitigar su impacto, transferirlo a otra parte (por ejemplo, mediante seguros) o aceptarlo si se considera bajo. Las oportunidades, por su parte, deben explotarse para mejorar el rendimiento del Sistema de Gestión.

Ejemplo práctico: La empresa de transporte puede optar por firmar contratos a largo plazo con proveedores de combustible para mitigar el riesgo de fluctuación en los precios.

Herramientas útiles:

- Planes de acción. Definen las medidas específicas que la organización tomará para gestionar cada riesgo. Estas medidas, que son acciones concretas, deben planificarse, asignar un responsable que las lleve a cabo y que haga el seguimiento. Además se deberá estimar el coste asociado y los recursos necesarios para que se pueda realizar en el plazo de tiempo estimado.

- Análisis Coste-Beneficio. Ayuda a decidir si vale la pena implementar una acción basada en su costo y el beneficio asociado a la mitigación del riesgo.

5. Monitoreo y revisión

El análisis de riesgos es un proceso cíclico y continuo. Es fundamental que la organización supervise de manera continua los riesgos, revise su efectividad y ajuste las estrategias si es necesario. Los cambios en el entorno empresarial, nuevas regulaciones o incidentes imprevistos pueden generar nuevos riesgos o modificar los existentes. Por ese motivo es necesario realizar la identificación de los riesgos de forma periódica, normalmente se realiza de forma anual.

Después que se hayan implementado las medidas de mitigación de los riesgos, se deberá volver a evaluar para asegurarse que el riesgo a disminuido, en el caso que no se produzca el resultado esperado, se deberán establecer nuevas acciones que permitan disminuir ese riesgo.

Ejemplo: Si la empresa de software introduce nuevos servidores o tecnología, deberá revisar su evaluación de riesgos y ajustar las medidas de prevención si es necesario.

Herramientas útiles:

- Indicadores clave de rendimiento (KPI): Miden la efectividad de las acciones implementadas, mediante la medición de ratios que permiten evaluar el funcionamiento de un determinado proceso. Por ejemplo, número de reclamaciones de clientes respecto al número de pedidos realizados por los mismos.
- Auditorías: Verifican si el tratamiento de los riesgos se está llevando a cabo según lo planificado.

En la siguiente tabla se puede observar un pequeño resumen de lo explicado en este artículo:

En este artículo, os he mencionado algunas herramientas que se pueden utilizar en cada uno de los pasos, pero existen muchísimas. Os facilito un enlace a un listado de herramientas que se pueden aplicar en el análisis de riesgos de los sistemas de gestión: Listado de técnicas y herramientas para la Gestión de Riesgos según ISO/IEC 31010.

Proceso de elaboración e implementación de la Documentación para un Sistema de Calidad según la Norma ISO 9001:2015

2024-09-02T18:27:00.004+02:00

La norma ISO 9001 establece los requisitos para un Sistema de Gestión de la Calidad (SGC) y es ampliamente utilizada por empresas de todos los tamaños y sectores. Uno de los aspectos más importantes para la implementación efectiva de un SGC es la elaboración de la documentación. Este proceso no solo sirve para cumplir con los requisitos de la norma, sino también para asegurar que la organización pueda gestionar y mejorar continuamente sus procesos.

Cuando una empresa comienza a preparar la documentación necesaria para implementar un Sistema de Gestión de Calidad basado en la norma ISO 9001, debe seguir los siguientes pasos:

1. Revisar y listar actividades. Se debe identificar cada una de las actividades realizadas en la empresa y la documentación que se genera durante la ejecución de cada tarea.

2. Agrupar por procesos. Las tareas se agrupan en actividades, y un conjunto de actividades interconectadas forma un proceso. Por lo tanto, es necesario organizar las actividades dentro de los procesos correspondientes. Generalmente, estos procesos coinciden con los distintos departamentos de la empresa; sin embargo, en algunos casos no ocurre así, lo que puede dificultar su clasificación y organización. Una forma gráfica y visual que se utiliza mucho, es la elaboración de un mapa de procesos.

3. Redactar la documentación del Sistema. Para cada proceso identificado, es necesario redactar un procedimiento que describa la metodología utilizada para llevar a cabo las tareas, así como la documentación que se genera. En algunos casos, para simplificar, no es necesario redactar un procedimiento completo, optando en su lugar por una ficha de proceso que incluya un diagrama de flujo. Para tareas muy concretas y muy complejas, a veces es necesario elaborar una instrucción de trabajo. En este caso la instrucción colgaría del procedimiento.

4. Verificar el cumplimiento de la norma. Una vez definida la estructura de la empresa y todas las actividades, se debe verificar que se cumplen los requisitos de la norma ISO 9001. Es posible que la empresa no esté cumpliendo algunos requisitos específicos de gestión, por lo que será necesario diseñar una metodología que garantice su cumplimiento, documentando cada paso para evidenciarlo. Estas tareas/procesos suelen incluir la identificación del contexto de la organización, la evaluación de riesgos asociados a la gestión y a los procesos, las acciones de mejora, el control de la documentación del sistema, y las reuniones de revisión del sistema, auditorías, entre otros.

5. Implementar y hacer seguimiento. Una vez identificados y documentados todos los procesos, se deben implementar los procedimientos establecidos y hacer un seguimiento continuo para asegurar su correcta ejecución. Es decir, verificar que los documentos que se generan de cada una de las tareas que deben desempeñarse se realizan, cumplimientan y se incluyen en el sistema documental, con los formatos aprobados. Además se deberá realizar un seguimiento del funcionamiento de los diferentes procesos de la empresa, para ello, se suelen aplicar una serie de indicadores que son herramientas de control para verificar que un proceso funciona según los parámetros etsablecidos y detectar posibles desviaciones.

En la siguiente tabla se puede visualizar cada una de las etapas descritas y la documentación que se debe generar e implementar:

Con la finalidad de ampliar y detallar el proceso descrito anteriormente, se incluye a continuación los aspectos a tener en cuenta a la hora de elaborar la documentación del sistema:

La norma ISO 9001:2015 es menos prescriptiva en cuanto a la documentación obligatoria en comparación con versiones anteriores, pero aún exige ciertos documentos clave.

Estos incluyen:

- Manual de calidad (aunque ya no es obligatorio, muchas empresas siguen manteniéndolo).

- Política de calidad.

- Los objetivos de calidad.
- Procedimientos documentados, fichas de proceso y/o diagramas de flujo necesarios para la descripción de la metodología a seguir, la planificación, la operación y el control de los procesos.
- Registros, listados y otros documentos derivados de realizar las diferentes tareas que sirven como evidencia de la conformidad de los procesos y productos.

Manual de Calidad

Como se ha mencionado anteriormente, aunque la ISO 9001:2015 no requiere explícitamente un manual de calidad, muchas organizaciones optan por mantener uno como herramienta de referencia.

Este documento suele incluir un resumen de cómo se cumplen los requisitos de la norma. Suele bastar con la redacción de un breve párrafo de cómo la empresa evidencia cada uno de los requisitos de la norma. Este documento suele anexar los siguientes documentos:

- La política de calidad.

- Los objetivos de calidad.
- El organigrama funcional y nominal de la empresa.

- El mapa de procesos de la empresa, indicando para cada uno de los procesos el procedimiento asociado, de tal manera que este documento sirva de guía para buscar en el sistema documental de la empresa.

En el caso que la empresa no disponga de Manual de calidad, sí deberá disponer de estos documentos enumerados como anexos, de igual forma otros, como por ejemplo, las exclusiones o no aplicaciones de algún requisito de la norma en particular, justificando el motivo por el cual no aplica.

Los procedimientos, fichas de proceso y/o instrucciones

Los procedimientos son esenciales para describir cómo se llevan a cabo los procesos clave dentro de la organización. La ISO 9001:2015 permite cierta flexibilidad en la manera de documentar estos procedimientos, que pueden ser descritos en:

- Documentos escritos que detallan cada paso del proceso.

- Fichas de proceso donde se incluye la información básica del proceso, habitualmente acompañada de un diagrama de flujo.
- Diagramas de flujo que representan visualmente los procesos.
- Instrucciones de trabajo (IT) que proporcionan guías más específicas para tareas individuales. Las IT son documentos detallados que guían a los empleados en la ejecución de tareas específicas. Son fundamentales para asegurar la consistencia en los procesos.

Control de Documentos y Registros

Es crucial establecer un proceso para asegurar que todos los documentos y registros sean controlados adecuadamente, por ese motivo, es un requisito de la norma que debe cumplirse y evidenciarse, mediante la aplicación de una metodología (procedimiento) y la generación de unos registros actualizados para realizar su control y seguimiento. Esto incluye:

- Revisión y aprobación de documentos antes de su emisión.
- Distribución y acceso controlado a los documentos para asegurar que estén disponibles donde se necesiten.
- Actualización y revisión periódica de los documentos.
- Almacenamiento seguro de los registros y su disposición una vez que ya no sean necesarios.

Capacitación en el uso de la documentación

La documentación solo es efectiva si los empleados saben cómo utilizarla. Por lo tanto, es importante:

- Capacitar al personal en la lectura y uso de los documentos.
- Fomentar la cultura de la documentación, haciendo énfasis en su importancia para la calidad y la mejora continua.

Acceso y modificación de los documentos

Se debe establecer una metodología que determine quién tiene acceso a qué y para qué hacer. dependiendo de las funciones del personal se deberán establecer unas restricciones al acceso de los documentos del sistema, ya sea en formato papel o digital.

Actualmente, la mayor parte de las empresas, optan por mantener su documentación en formato electrónico, con lo que se debe programar el acceso y las restricciones que tiene cada usuario, por ejemplo en:

- Sistemas de gestión documental (DMS) que permiten el control y acceso a los documentos.

- Intranets corporativas para la difusión de políticas y procedimientos.
- Bases de datos para el almacenamiento y recuperación de registros.

Para ello, debe establecerse una metodología que deberá describirse en la documentación del sistema (procedimiento)

Conclusión

La correcta elaboración y mantenimiento de la documentación es un componente clave para el éxito de un sistema de gestión de la calidad basado en la norma ISO 9001:2015. Aunque la norma ofrece flexibilidad, es esencial que cada organización desarrolle un enfoque que se adapte a sus necesidades y cultura, asegurando que los documentos no solo cumplan con los requisitos, sino que también contribuyan al logro de los objetivos de calidad y a la mejora continua.

El enfoque cindinámico (“Cyndynic approach”) aplicado a la ISO 9001

2024-05-31T16:19:00.002+02:00

Esta herramienta de Gestión de riesgos es muy útil para determinar los déficits que puede tener un determinado sistema o proceso e identificar las posibles discrepancias que pueden existir entre partes interesadas en relación al proceso o sistema a estudiar. En este artículo os explicaré en qué consiste y lo aplicaré en un entorno de Sistema de Gestión basado en la ISO 9001.

¿En qué consiste?

La Cindinámica es ciencia que estudia el peligro.

El enfoque cindinámico (“Cyndynic approach”) es la técnica que identifica las causas (fuentes) y los factores que ocasionan el riesgo que una vez que ocurren, generan una o varias consecuencias diferentes. El objetivo del enfoque cindinámico es comprender por qué, a pesar de todas las medidas de control tomadas para prevenir desastres, estos aún ocurren.

En particular, esta técnica identifica y analiza:

- Las inconsistencias, las ambigüedades, las omisiones y el desconocimiento de cualquier aspecto englobado en los cinco criterios en los que se centra el análisis de esta técnica, que son: las metas, los valores, las reglas, los datos y los modelos.

- Las divergencias entre las partes interesadas. Mediante la aplicación de este enfoque se puede analizar los aspectos en que dos o varias partes interesadas discrepan o están de acuerdo.

El análisis generalmente involucra a un equipo multidisciplinar que incluye a aquellos con experiencia operativa en la vida real y a aquellos que llevarán a cabo acciones de tratamiento para abordar las fuentes de riesgo identificadas.

Situaciones en que se aplica esta técnica:

- Para mejorar la eficiencia económica de las organizaciones.

- La técnica busca fuentes y factores sistémicos de riesgo dentro de una organización que pueden llevar a consecuencias de gran alcance.

- Para identificar factores que actúan de manera favorable o desfavorable durante la evolución del sistema hacia nuevos objetivos.

- Para validar la coherencia de cualquier proyecto y es especialmente útil en el estudio de sistemas complejos.

Proceso de aplicación de la técnica:

El enfoque cindinámico comienza recopilando información sobre:

a) El sistema de Gestión, proceso u organización que es objeto del estudio, como por ejemplo la localización, el proceso, el tiempo en que se realizan unas determinadas tareas, datos históricos del proceso, no conformidades detectadas…

b) La identificación de partes interesadas y sus objetivos relacionados con el estudio que se va a realizar.

Posteriormente se realizan entrevistas semiestructuradas para recopilar información en varios momentos sobre la opinión y experiencias de cada parte interesada, en relación con los cinco criterios del enfoque cindinámico de la siguiente manera:

- Las metas (propósito principal de la organización).

- Los valores (considerados de alta estima por la parte interesada).

- Las reglas (derechos, normas, procedimientos... que rigen sus logros).

- Los datos (en los que se basa la toma de decisiones).

- Los modelos (técnicos, organizativos, humanos... que utilizan datos en la toma de decisiones).

Debido a que la base del enfoque se realiza recopilando información de varias fuentes, éste tiene en cuenta tanto las opiniones como evidencias objetivas documentales.

Una vez obtenida esta información, se analiza la coherencia entre los objetivos a alcanzar y los cinco criterios de la cindinámica, y se elaboran tablas que enumeran las carencias y las desviaciones (discrepancias) detectadas.

Los resultados se presentan en tablas (matrices) que indican las discrepancias y carencias entre las partes interesadas.

La matriz siguiente relaciona los déficits de cada parte interesada con los cinco criterios de análisis (metas, valores, reglas, modelos y datos).

Se pueden comparar dos aspectos dependiendo de la información que se disponga y la finalidad del análisis que se necesite realizar:

- Se pueden comparar la evolución de una situación a lo largo de varios periodos de tiempo.

- Se pueden identificar las cadencias entre diferentes situaciones en un determinado periodo de tiempo.

En función de la información obtenida se configuraría la matriz que va a ser la base del estudio.

Un ejemplo de matriz sería el siguiente:

Por otro lado, si la aplicación de esta técnica tiene como finalidad la determinación de los acuerdos o discrepancias entre partes interesadas, la matriz que se debería aplicar sería la siguiente:

Las partes interesadas relevantes están representadas en ambos ejes y las diferencias de opiniones entre las partes interesadas se muestran en las celdas de la matriz. Estas tablas permiten establecer un programa para la reducción de déficits y discrepancias entre las partes interesadas.

Ejemplo de aplicación del Enfoque Cindinámico en un Sistema de Gestión ISO 9001

1. Recopilación de Información

El primer paso es recopilar información sobre la organización que está implementando el sistema de gestión de calidad ISO 9001. Esto incluye:

- Metas: mejorar la satisfacción del cliente y cumplir con los requisitos reglamentarios y del cliente.

- Valores: calidad, mejora continua, satisfacción del cliente.

- Reglas: políticas de calidad, procedimientos operativos estándar, instrucciones de trabajo.

- Datos: indicadores de desempeño, informes de auditoría, retroalimentación del cliente.

- Modelos: modelos de gestión de calidad, diagramas de flujo de procesos, técnicas de mejora continua.

2. Entrevistas Semiestructuradas

Se llevan a cabo entrevistas semiestructuradas con las partes interesadas (empleados, gerentes, clientes, proveedores) para entender:

- Estado del Conocimiento: ¿Qué tan familiarizados están con la norma ISO 9001?

- Opiniones: ¿Cómo se sienten respecto a los cambios y la implementación del sistema de gestión de calidad?

3. Identificación de inconsistencias y discrepancias

A partir de la información recopilada, se identifican:

Inconsistencias:

- Metas y Reglas. Los procedimientos operativos no alinean completamente con los objetivos de mejora continua.

- Valores y Datos. La empresa valora la calidad, pero no todos los datos relevantes se están recopilando y analizando adecuadamente.

Discrepancias:

Entre Partes Interesadas: Los empleados de producción sienten que no tienen suficiente capacitación en comparación con los estándares de calidad esperados por la gerencia.

4. Análisis de coherencia y elaboración de las tablas

Se elaboran tablas para visualizar los déficits y disonancias:

Tabla de Déficits. Muestra los déficits de cada parte interesada en relación con los cinco criterios (metas, valores, reglas, datos y modelos).

Tabla de Discrepancias entre las partes interesadas:

5. Establecimiento de un Programa de Reducción de Déficits y Discrepancias

Con las tablas elaboradas, se puede establecer un programa para abordar los hallazgos encontrados, como por ejemplo:

- Capacitación y Formación. Implementar programas de capacitación para empleados de producción sobre los procedimientos de calidad.

- Revisión de Procedimientos. Alinear los procedimientos operativos con los objetivos de mejora continua.

- Mejora en la Recolección de Datos. Asegurarse de que se recopilan y analizan todos los datos relevantes para la gestión de calidad.

- Comunicación y Feedback. Mejorar la comunicación entre la gerencia y los empleados de producción para abordar las preocupaciones y disonancias.

Herramienta de Índice de Riesgo aplicado en el Sistemas de Gestión ISO 9001

2024-05-22T14:41:00.004+02:00

En el siguiente artículo os voy a mostrar en qué consiste y cómo se aplican los índices de riesgos aplicados a un Sistema de Gestión de Calidad basado en la norma ISO 9001. Esta técnica es la más utilizada en las empresas para evaluar sus riesgos y debido a ello, también es recomendada por la norma ISO 31010:2019 sobre técnicas de evaluación del riesgo.

La técnica de los índices de riesgo nos ayuda a comprender y medir el riesgo al definir criterios específicos, asignarles puntuaciones y analizar los resultados. Esto implica comparar el valor obtenido con rangos de referencia establecidos en tablas que representan intervalos de confianza. Es como si le diéramos un puntaje a distintos aspectos del riesgo y luego los comparáramos con estándares predefinidos para evaluar la situación.

Por lo tanto, en este proceso se detectan diversos factores que se considera que influyen en la magnitud del riesgo. Estos factores se evalúan y puntúan individualmente, teniendo en cuenta su relevancia y probabilidad de incidir en la situación de riesgo. Luego, estos puntajes se combinan utilizando una ecuación diseñada para representar las complejas relaciones entre ellos. Por ejemplo, en el caso del riesgo de detección de fallas en el proceso de medición con una balanza, se podrían considerar factores como la calibración de la balanza, la capacitación del personal, la frecuencia de mantenimiento y la precisión del proceso de medición. Cada uno de estos factores se evaluaría y puntuaría individualmente, y luego se combinarían utilizando la ecuación de riesgo para obtener una comprensión integral de la situación y poder tomar decisiones informadas sobre cómo mitigar el riesgo.

En las formulaciones más simples, los factores que aumentan el nivel de riesgo se multiplican entre sí y se dividen por aquellos que disminuyen el nivel de riesgo. La elección de las escalas y la forma en que se combinan se fundamenta idealmente en evidencia empírica y datos objetivos. Tanto el diseño de la fórmula como la interpretación de los resultados, incluyendo la definición de intervalos de riesgo, quedan a discreción del diseñador de la metodología. Estos aspectos se documentan típicamente en un procedimiento dentro del sistema de gestión, asegurando una aplicación coherente y transparente de la técnica.

Es importante que las puntuaciones de cada parte del sistema sean internamente coherentes y mantengan sus relaciones correctas. Es decir, una vez se elabore la tabla con los intervalos de significancia, se deberá comprobar que los valores o intervalos escogidos se adapten a los resultados que podamos obtener utilizando la fórmula que se ha diseñado.

Las fórmulas matemáticas no se pueden aplicar a las escalas ordinales. Por lo tanto, una vez que se haya desarrollado el sistema de puntuación, el modelo debe validarse aplicándolo a un sistema que se entienda bien. Desarrollar un índice es un enfoque iterativo y se deben probar varios sistemas diferentes para combinar las puntuaciones con el fin de validar el método.

Los índices de riesgo son esencialmente un enfoque cualitativo o semi-cualitativo para clasificar y comparar riesgos. Pueden usarse para riesgos internos o externos de alcance limitado o extendido. A menudo son específicos para un tipo particular de riesgo y se utilizan para comparar diferentes situaciones donde ocurre ese riesgo. Aunque se utilizan números, esto es simplemente para permitir la manipulación. En casos donde el modelo o el sistema no es bien conocido o no puede ser representado, generalmente es mejor utilizar un enfoque más abiertamente cualitativo que no implique un nivel de precisión que es imposible utilizando escalas ordinales.

Herramientas como Análisis en Árbol de Fallas (AAF o FTA), Análisis en árbol de eventos (AAE o ETA) y el Análisis Multicriterio (MCA) son utilizadas para apoyar los datos necesarios para desarrollar esta herramienta.

Ejemplo aplicado a la gestión de riesgos en el Sistema de gestión ISO 9001:

Supongamos que una empresa manufacturera implementa un sistema de gestión de calidad basado en la norma ISO 9001. Como parte de su proceso de gestión de riesgos, la empresa decide utilizar la técnica de índices de riesgo para evaluar y priorizar los riesgos relacionados con la calidad.

Para ello, aplica el siguiente proceso:

- Identifica los riesgos. El equipo de gestión de calidad realiza una revisión exhaustiva de los procesos clave de la empresa, identificando posibles riesgos que podrían afectar la calidad del producto o servicio. Por ejemplo, se identifican varios riesgos relacionados con la calidad, como fallos en la cadena de suministro de materiales, defectos en el proceso de ensamblaje, y problemas de calibración de equipos de prueba.

- Establece los criterios de evaluación. Se establecen criterios de evaluación para cada riesgo identificado, teniendo en cuenta factores como la probabilidad de ocurrencia (de 1 a 5), el impacto en la calidad del producto/servicio (de 1 a 5), la severidad de las consecuencias (de 1 a 5) y la capacidad de detección (de 1 a 5).

- Se asignan puntuaciones. Para cada riesgo identificado, se asignan puntuaciones según los criterios establecidos. Por ejemplo, la probabilidad de ocurrencia podría ser calificada en una escala del 1 al 5, donde 1 representa una probabilidad muy baja y 5 una probabilidad muy alta. Siguiendo con el ejemplo, para el riesgo de fallos en la cadena de suministro, se podría asignar una puntuación de 4 para la probabilidad de Ocurrencia (relativamente alta), una puntuación de 3 para el Impacto en la calidad (moderado), una puntuación de 2 para la capacidad de Detección (baja) y una puntuación de 4 para la Severidad de las consecuencias (graves).

- Se calculan los índices de riesgo. Utilizando las puntuaciones asignadas, se calculan los índices de riesgo para cada riesgo individual. Esto puede hacerse multiplicando las puntuaciones asignadas o aplicando otras herramientas adicionales. Se debe idear una fórmula que sea coherente y por la que se puedan relacionar los diferentes criterios que son de aplicación para cada uno de los riesgos identificados. Siguiendo el ejemplo anterior, la fórmula podría ser la siguiente:

Índice de Riesgo (IR) = Ocurrencia x Impacto x Detección x Severidad

Si se aplica la fórmula a los datos proporcionados del ejemplo, se obtendría el siguiente valor: IR = 4 x 3 x 2 x 4 = 96.

- Comparación y priorización. Una vez calculados los índices de riesgo para todos los riesgos identificados, se comparan entre sí para determinar cuáles representan los mayores riesgos para la calidad. Los riesgos con los índices más altos se priorizan para su tratamiento y mitigación. Se debe establecer un baremo numérico en el que se agrupe por intervalos, por ejemplo, con los criterios de riesgo bajo, normal, alto o inaceptable. Por lo tanto, se deberá verificar el valor obtenido para cada uno de los riesgos evaluados, en que rango se encuentra de la tabla, y en función del resultado, determinar el tipo de significancia, priorización y tratamiento que requiere. En el caso que nos ocupa, si el riesgo de fallos en la cadena de suministro tiene el índice de riesgo más alto (96), se considera como un riesgo prioritario para la calidad y requiere acciones inmediatas de mitigación.

- Acciones de mitigación. Con base en la priorización de los riesgos, se desarrollan y aplican acciones correctivas específicas para reducir la probabilidad de ocurrencia o el impacto de los riesgos identificados en la calidad del producto/servicio. Algunas de estas medidas pueden ser las siguientes: la diversificación de proveedores, la realización de auditorías de calidad en la cadena de suministro y la creación de planes de contingencia para gestionar posibles interrupciones en la cadena de suministro.

En la siguiente tabla se puede visualizar las fases del proceso aplicados al ejemplo:

Análisis de causa-consecuencia (ACC) en la Gestión de Riesgos aplicada a los Sistemas de Gestión

2024-05-08T21:10:00.000+02:00

En este artículo se explica en qué consiste una de las herramientas propuestas por la norma ISO 31010 en relación a las técnicas recomendadas que pueden aplicarse en la Gestión de Riesgos. Además se muestra un ejemplo práctico en el contexto de los Sistemas de Gestión ambiental (ISO 14001) y de Seguridad y Salud (ISO 45001).

El análisis de causa – consecuencia se desarrolló como herramienta de confiabilidad para analizar los sistemas críticos de seguridad con la finalidad de entender donde se producían los errores en el sistema. Actualmente, su uso se ha extendido en muchas áreas. Aplicado a los Sistemas de gestión, concretamente en sistemas basados en las normas ISO 14001 e ISO 45001, un posible uso sería un sistema de respuesta ante emergencias.

Se utiliza para representar la lógica del error que ocasiona un evento crítico pudiendo añadir el análisis de las fallas secuenciales en el tiempo. Por lo que mediante su uso se pueden simular los diferentes caminos que un sistema puede tomar después de producirse un evento crítico.

El análisis de causa-consecuencia es una mezcla del análisis de árbol de fallas y análisis de árbol de eventos, anteriormente explicados. Las causas de las condiciones o las fallas se analizan por medio de árboles de fallas y permite incorporar retrasos de tiempo en el análisis de las consecuencias.

Comienza a partir de un evento crítico y analiza las consecuencias por medio de una combinación de salidas lógicas SI/NO que representan condiciones que pueden ocurrir o los errores de los sistemas diseñados para mitigar las consecuencias del evento desencadenante. Por otro lado, las diferentes alternativas pueden cuantificarse mediante la estimación de la probabilidad en que se puedan producir cada una de las consecuencias.

Fases del análisis de causa-consecuencia:

1) Definir el problema o el evento crítico. Se debe identificar y definir claramente el problema o el evento no deseado que se quiere analizar. Es importante tener una comprensión clara de lo que está ocurriendo y cómo afecta al sistema de gestión.

2) Recopilar datos y evidencia. Se deben recopilar datos relevantes sobre el problema o incidente. Esto puede incluir registros históricos de incidentes pasados, datos operativos, informes de auditoría, entrevistas con personal involucrado, etc. Es fundamental contar con información precisa y completa para realizar un análisis efectivo.

3) Identificar las causas inmediatas Se deben identificar las causas inmediatas o superficiales del problema que son las acciones o eventos directamente relacionados con el incidente. Es importante no detenerse aquí, ya que estas causas suelen ser solo síntomas de problemas más profundos.

4) Profundizar en las causas subyacentes. Se deben investigar las causas subyacentes que contribuyeron al problema. Estas pueden ser factores organizacionales, errores humanos, fallos en los procesos, deficiencias en los sistemas de gestión, etc. Se busca comprender por qué ocurrieron las causas inmediatas.

5) Identificar las causas raíz. Se identifican los factores fundamentales que dieron lugar al problema. Estas causas son las que, sí se abordan adecuadamente, pueden prevenir la recurrencia del problema. Es importante profundizar lo suficiente para llegar a las verdaderas causas subyacentes. Para ello, se pueden utilizar otras herramientas como el diagrama de causa-efecto.

6) Evaluar las consecuencias. Esto incluye tanto las consecuencias directas como las indirectas, a corto y largo plazo, en diferentes áreas del sistema de gestión. También se evalúa el impacto potencial en la organización, los clientes, el personal, la reputación, etc.

7) Desarrollar acciones correctivas y preventivas. Con base en las causas identificadas y la evaluación de las consecuencias, se desarrollan acciones correctivas y preventivas. Estas acciones están diseñadas para abordar las causas subyacentes y mitigar o eliminar el riesgo de que el problema vuelva a ocurrir en el futuro.

8) Implementar las acciones identificadas y monitorear su efectividad. Es importante realizar un seguimiento del progreso planificado de las para asegurarse de que estén teniendo el impacto deseado y que el riesgo se esté gestionando de manera efectiva.

9) Revisión y mejora continua. Se revisa regularmente el proceso de análisis de causa-consecuencia y se realizan ajustes según sea necesario para mejorar su efectividad.

A continuación se muestra un ejemplo del análisis de causa-consecuencia aplicado a una posible situación de estado de emergencias. Este ejemplo podría aplicarse tanto en un contexto de emergencia ambiental como en un contexto de seguridad y salud de los trabajadores.

A partir de este nivel, se pueden diseñar para cada una de las opciones más acciones para actuar y eliminar las causas y consecuencias que se van generando en función de los acontecimientos y efectos que se van produciendo. Como se ha comentado anteriormente, se puede cuantificar mediante probabilidades que se produzca una determinada situación.

Técnica del Grupo Nominal (TGN) en la Gestión de Riesgos aplicada a los Sistemas de Gestión

2024-04-25T17:33:00.000+02:00

En este artículo os voy a explicar en qué consiste esta técnica de gestión de Riesgos, los pasos a seguir para aplicarla, así como un par de ejemplos aplicados a los sistemas de gestión ISO 14001 e ISO 45001.

¿En qué consiste?

Esta técnica se utiliza para recoger ideas, además de ser útil también para priorizar ideas dentro de un grupo. Puede ser utilizada como alternativa a la técnica de Brainstorming.

¿Cómo se aplica?

El proceso completo es el siguiente:

1. Preparación. Definir los objetivos de la sesión. Antes de comenzar, es importante definir claramente los objetivos de la sesión de Grupo Nominal. Por ejemplo, puede ser identificar y priorizar riesgos específicos para el sistema de gestión, desarrollar estrategias de mitigación o revisar el estado actual de la gestión de riesgos.

2. Seleccionar a los participantes. Invita a un grupo de expertos y partes interesadas relevantes en el sistema de gestión específico. Se deben incluir personas con conocimientos y experiencia en el tema de gestión de riesgos y en el funcionamiento del sistema de gestión en cuestión.

3. Comienza la sesión explicando el propósito de la misma y el proceso que se seguirá. El facilitador proporciona a cada miembro del grupo una pregunta a considerar.

4. Lluvia de ideas. Se pide a los participantes que generen individualmente una lista de posibles riesgos que podrían afectar al sistema de gestión. Anima a que anoten todas las ideas que se les ocurran, sin discutir ni evaluar en esta etapa. Cada miembro escribe sus propias ideas de manera objetiva e individual.

5. Ronda de aportaciones. Una vez que todos hayan generado sus listas, pide a cada participante que comparta una idea a la vez, sin repetir ninguna. Registra todas las ideas en un lugar visible para que todos los participantes puedan verlas. Cada miembro del grupo presenta sus ideas en esta etapa, sin discutirlas. Si la dinámica del grupo hace que unas voces tengan más peso que otras, se deberán presentar al facilitador de forma anónima.

6. Discusión y clarificación. Una vez que se hayan registrado todas las ideas, permite que los participantes aclaren cualquier punto o proporcionen más detalles sobre los riesgos mencionados. Las ideas serán discutidas en grupo hasta conseguir un listado acordado.

7. Agrupación de ideas. Si hay riesgos similares o relacionados, se deben agrupar para evitar la duplicación y facilitar la posterior evaluación.

8. Evaluación y priorización. Se deben definir los criterios que se utilizarán para evaluar y priorizar los riesgos, como la probabilidad de ocurrencia, el impacto potencial y la capacidad de detección.

9. Votación. Se pide a los participantes que voten por los riesgos que consideren más significativos según los criterios establecidos. Pueden asignar una cierta cantidad de votos a cada riesgo, dependiendo de su importancia percibida.

10. Tabulación de resultados. Se recopila los resultados de la votación y calcula la puntuación total para cada riesgo.

11. Análisis de riesgos prioritarios. Se identifica los riesgos con las puntuaciones más altas y discute las posibles estrategias de gestión para mitigarlos.

12. Desarrollo de planes de mitigación. Se definen acciones específicas que se deben tomar para gestionar y controlar los riesgos identificados. Asigna responsabilidades y establece plazos para la implementación de estas acciones.

13. Seguimiento y revisión. Se define cómo se seguirá monitoreando y revisando los riesgos y las estrategias de gestión en el futuro.

14. Programar reuniones de seguimiento. Se deben programar reuniones periódicas para revisar el progreso en la implementación de las acciones y actualizar la evaluación de riesgos según sea necesario.

En la siguiente tabla se pueden visualizar las fases del proceso de forma esquemática:

Ejemplo aplicado a un Sistema de Gestión ambiental en base a la norma ISO 14001

Imaginemos que queremos aplicar esta técnica para analizar y abordar un determinado riesgo ambiental, como por ejemplo, "derrame de productos químicos peligrosos" en una empresa manufacturera.

El proceso que se seguiría aplicando la Técnica del grupo Nominal (TGN) podría ser el siguiente:

Preparación. Establecer un objetivo de la sesión como puede ser, identificar y priorizar estrategias para prevenir o mitigar los derrames de productos químicos peligrosos en el sitio de producción.

Selección de Participantes. Se invita a un grupo multidisciplinario de expertos en gestión ambiental y seguridad ocupacional, que incluye a gerentes de medio ambiente, ingenieros de seguridad, técnicos de producción y representantes del personal de operaciones. Dada la posibilidad de derrames de productos químicos con potenciales impactos adversos en el medio ambiente y la seguridad de los trabajadores, es imperativo convocar a profesionales de ambas disciplinas. Esto permitirá una evaluación integral de los riesgos desde diferentes perspectivas, facilitando así la adopción de medidas consensuadas y efectivas para prevenir incidentes, considerando todas las voces y puntos de vista presentes.

Generación de ideas. Cada participante genera individualmente una lista de posibles causas de derrames de productos químicos peligrosos, como fallos en el equipo, errores humanos, almacenamiento inadecuado, etc.

Ronda de aportaciones. Los participantes comparten una idea a la vez, sin discutir ni evaluar en esta etapa. Las ideas se registran en un pizarrón o en una hoja grande visible para todos.

Discusión y clarificación. Se da la oportunidad a los participantes para aclarar cualquier punto o proporcionar más detalles sobre las posibles causas de los derrames de productos químicos. En esta fase, cada miembro puede explicar su opinión y su punto de vista en relación a la idea que ha aportado tras la realización de su propio análisis.

Agrupación de ideas. Los riesgos similares o relacionados se agrupan juntos para facilitar la evaluación posterior. Por ejemplo, podríamos agrupar los riesgos relacionados con el almacenamiento inadecuado bajo una categoría.

Evaluación y priorización. Se deben definir los criterios que se utilizarán para evaluar y priorizar las posibles causas de los derrames, como la probabilidad de ocurrencia, el impacto potencial en el medio ambiente y la capacidad de detección.

Votación. Los participantes votan por las causas que consideran más significativas según los criterios establecidos. Pueden asignar una cierta cantidad de votos a cada causa.

Tabulación de resultados. Se recopilan y suman los resultados de la votación para cada causa, lo que proporciona una lista priorizada de las posibles causas de derrames de productos químicos peligrosos.

Análisis de causas prioritarias. Una vez que se obtiene el listado de las principales causas que pueden originar el riesgo a estudiar, es necesario enfocarse en aquellas con las puntuaciones más altas y se discute entre todos los participantes de las posibles estrategias para prevenir o mitigar los derrames asociados.

Desarrollo de planes de mitigación. Tras el intercambio de opiniones anterior, se consensua y definen acciones específicas, responsabilidades y plazos para la implementación de las estrategias identificadas, como la capacitación del personal, la mejora de los procedimientos de manipulación de químicos y la instalación de sistemas de contención.

Seguimiento y revisión. Se establece un plan para monitorear y revisar regularmente la efectividad de las estrategias implementadas y realizar ajustes según sea necesario.

Reuniones de seguimiento. Se programan reuniones periódicas para revisar el progreso en la implementación de las acciones y actualizar la evaluación de riesgos en caso de que surjan nuevos riesgos o cambios en el entorno operativo.

Ejemplo aplicado a un Sistema de Gestión de Seguridad y Salud en base a la norma ISO 45001

En este ejemplo se va a suponer que estamos abordando el riesgo de "caídas desde altura" en un entorno de construcción, el proceso que se seguiría aplicando la Técnica del grupo Nominal (TGN) podría ser el siguiente:

Objetivo de la sesión. Identificar y priorizar estrategias para prevenir o mitigar las caídas desde altura en el lugar de trabajo.

Participantes. Se convoca a un grupo de expertos en seguridad y salud ocupacional, incluyendo gerentes de seguridad, supervisores de obra, trabajadores de seguridad y representantes del personal de operaciones.

Generación de ideas. Cada participante genera individualmente una lista de posibles causas de caídas desde altura, como falta de protección en el borde, superficies resbaladizas, equipo defectuoso, falta de capacitación, etc.

Ronda de aportaciones. Los participantes comparten una idea a la vez, sin discutir ni evaluar en esta etapa. Las ideas se registran en un pizarrón o en una hoja grande visible para todos.

Discusión y clarificación. Se da la oportunidad a los participantes para aclarar cualquier punto o proporcionar más detalles sobre las posibles causas de las caídas desde altura.

Evaluación y priorización. se definen los criterios que se utilizarán para evaluar y priorizar las posibles causas de caídas, como la probabilidad de ocurrencia, el impacto potencial en la salud y seguridad de los trabajadores, y la capacidad de detección.

Votación. Los participantes votan por las causas que consideran más significativas según los criterios establecidos. Pueden asignar una cierta cantidad de votos a cada causa.

Tabulación de resultados. Se recopilan y suman los resultados de la votación para cada causa, lo que proporciona una lista priorizada de las posibles causas de caídas desde altura.

Análisis de causas prioritarias. Es necesario centrarse en las causas con las puntuaciones más altas y discutir posibles estrategias para prevenir o mitigar las caídas asociadas entre todos los miembros que forman la sesión.

Desarrollo de planes de acción. Se definen acciones específicas, responsabilidades y plazos para la implementación de las estrategias identificadas, como la instalación de barandas de protección, el uso de equipos de protección personal, la capacitación del personal, etc.

Plan de seguimiento. Se establece un plan para monitorear y revisar regularmente la efectividad de las estrategias implementadas y realizar ajustes según sea necesario.

Todo este proceso debe quedar registrado y documentado en el Sistema Documental del Sistema de Gestión, no sólo los resultados obtenidos, sino también la descripción de la metodología a seguir (procedimiento o ficha de proceso).

Toma de decisiones en la Gestión de Riesgos en los Sistemas de Gestión

2024-04-16T08:33:00.000+02:00

La toma de decisiones se produce en varios momentos a lo largo del proceso de gestión de riesgos, desde la identificación inicial de riesgos hasta la implementación de medidas de control y el monitoreo continuo del desempeño del sistema de gestión de riesgos. Es importante tomar decisiones informadas y documentadas, basadas en datos en cada etapa para garantizar una gestión efectiva de los riesgos organizacionales.

En el siguiente artículo os mencionaré el listado de los puntos en el proceso de la Gestión de Riesgos donde se suelen tomar las decisiones por parte de la Dirección, además de los factores a tener en cuenta para decidir las prioridades en la toma de decisiones.

Listado de toma de decisiones

Listado de toma de decisiones que se deben realizar durante todo el proceso de la gestión de riesgos:

- Decidir cómo se va a diseñar, elaborar e implementar el Sistema.

- Decidir y asignar al responsable y/o equipo que se va a encargar tanto de la implementación, coordinación y seguimiento de la Gestión de Riesgos.

- Aprobar la metodología a seguir, así como los métodos de evaluación y análisis de riesgos más apropiados para aplicar a la empresa. Aunque se asigne a una persona o equipo competente, la Dirección de la empresa deberá tener la última palabra y responsabilidad de aprobar cómo se va a realizar.

- Aprobar los criterios de evaluación así como los baremos de significancia para cada uno de los tipos de riesgos que se identifican en la empresa.

- Seleccionar las acciones correctoras más eficientes que estén alineadas con los objetivos en la Gestión de Riesgos, el contexto y el alcance del sistema.

- Asignar y aprobar los recursos necesarios en cada una de las etapas del proceso de la gestión de riesgos, incluyendo aquellos recursos destinados para mitigar los riesgos identificados como significativos, teniendo en cuenta la estrategia y objetivos definidos por la Dirección de la empresa.

Con la finalidad de garantizar una toma de decisiones eficaz y acertada por parte de la Dirección de la empresa, es importante establecer un canal de comunicación continuo y de confianza, en el que el Responsable del Sistema de Gestión pueda consultar y explicar los datos y resultados obtenidos procedentes de la evaluación de desempeño. De este modo la Dirección de la empresa puede disponer de toda la información necesaria, además de la opinión de los expertos en el sistema de Gestión, para tomar las decisiones acertadas lo más pronto posible.

Factores a tener en cuenta para decidir las prioridades en la toma de decisiones

La Dirección de la empresa debe ponderar las ventajas y desventajas potenciales de cada una de las opciones en las que deberá decidir considerando en todo momento las incertidumbres que comporta cada una de las opciones seleccionadas de acorde al contexto, los objetivos y alcance del sistema de Gestión de Riesgo. Para ello, deberá considerar los siguientes factores:

- En algunas ocasiones, como se ha comentado anteriormente, la toma de decisiones comporta seleccionar una entre varias opciones, donde cada una de ellas tiene asociado un grado de incertidumbre que deberá ser valorado.

- Las consecuencias esperadas.

- La efectividad de los controles.

- Las características cualitativas de los eventos o sus posibles consecuencias.

- Las opiniones y percepciones de las partes interesadas.

- Los recursos y el plazo de tiempo a invertir invertido en comparación con la mejora que se va a obtener.

- Las incertidumbres asociadas con los resultados potenciales de las opciones y estimaciones de costes y beneficios.

- Eventos y desarrollos que pueden afectar los resultados.

- La incertidumbre en torno a los juicios realizados a partir de los resultados del análisis de riesgos, incluidas consideraciones como si los objetivos y criterios continuarán sin cambios en el futuro.

- Las ganas o necesidad que tenga la organización de asumir un determinado riesgo.

- Preservar los resultados de la evaluación para uso y referencia futuros.

- Realizar el seguimiento continuo de la opción seleccionada, y realizar los cambios pertinentes en caso de detectar desviaciones respecto a la previsión.

- Permitir la verificación de la evaluación.

- Proporcionar un rastro de auditoría.

Proporcionar un Registro documentado sobre la toma de decisiones

Como todo proceso en un sistema de gestión, la toma de decisiones debe documentarse. A continuación se muestra un listado de los aspectos que se deben tener en cuenta a la hora de elaborar los documentos relacionados con la toma de decisiones. Por lo que se puede decir que los documentos deben:

- Ser identificados, trazables, entendibles y estructurados.

- Estar incluidos en el sistema documental del Sistema de Gestión de Riesgos.

- Estar completos.

- Proporcionar la profundidad técnica y detalle suficiente.

- Incorporar toda la información necesaria (estudios, documentos, información, permisos…) asociado a la viabilidad de cada una de las opciones, así como la evaluación del riesgo para cada una de las opciones a decidir.

- Poder ser utilizada de base para permitir revisar y validar las diferentes opciones y resultados.

- Ser elaborados por personas competentes y expertas en el Sistema de Gestión de Riesgos de la empresa.

En la siguiente tabla podéis encontrar un breve resumen de todos los puntos mencionados en este artículo:

La Incertidumbre y la Sensibilidad de los resultados en el análisis de riesgos de los Sistemas de Gestión

2024-03-14T10:09:00.001+01:00

En el siguiente artículo os quiero explicar en qué consisten dos de los más importantes factores que pueden afectar a la fiabilidad de los resultados en el proceso de análisis de riesgos. Estos factores son la incertidumbre y la sensibilidad de los resultados. Con la finalidad que sean dos conceptos entendibles os muestro algunos ejemplos aplicados al Sistema de Gestión de Calidad (ISO 9001).

A continuación se explican en qué consisten ambos términos:

Incertidumbre de los resultados

Se considera incertidumbre como a la falta de conocimiento completo o certeza sobre los eventos futuros y sus resultados. En el contexto de los sistemas de gestión, la incertidumbre puede manifestarse de varias maneras:

El uso de datos incompletos y poco precisos como elementos de entrada en el análisis de riesgos. El análisis se ve comprometido cuando se emplean datos incompletos o poco precisos. Esta falta de precisión puede afectar negativamente la evaluación de la probabilidad de ocurrencia y los impactos de los riesgos identificados, lo que resulta en una estimación imprecisa de su significancia y nivel de gravedad. Como consecuencia, la toma de decisiones relacionadas con las acciones para mitigar estos riesgos puede verse afectada por errores.

Dificultad de predecir posibles cambios que puedan surgir debido a la complejidad del entorno. Los sistemas de gestión operan en entornos complejos y dinámicos donde interactúan múltiples variables entre sí, lo que dificulta predecir completamente los resultados de las acciones de gestión de riesgos. En estos casos, es importante recopilar las opiniones sobre posibles situaciones que se puedan dar por parte de los trabajadores con más experiencia y con más antigüedad en la empresa. Seguramente estos perfiles pueden aportar conocimientos históricos sobre posibles situaciones que se han podido dar en la empresa y cómo se solucionaron en aquel entonces. Si se obtiene este conocimiento como punto de partida para poder identificar y analizar ciertos riesgos, es posible que las acciones de mitigación que se vayan a proponer sean adecuadas y efectivas.

El entorno externo de la empresa es cambiante y debe adaptarse a posibles cambios imprevistos que puedan surgir. Algunos ejemplos de ello son cambios en la legislación, condiciones económicas o tecnológicas. Cualquiera de estos tres aspectos, entre otros, va a requerir un análisis en profundidad, identificando los riesgos que se puedan dar y las acciones estratégicas que la empresa debe aplicar para minimizar los riesgos significativos que puedan darse. En estos casos, el análisis y la aplicación de medidas debe realizarse en cuanto se detecte que se produce este cambio imprevisto, actualizando de inmediato la evaluación de riesgos de la empresa.

Ejemplos de incertidumbre de los resultados aplicados a los Sistemas de Gestión

Ejemplo 1: Industria de la Construcción. Una empresa de construcción evalúa los riesgos asociados con un proyecto de construcción de un nuevo edificio. Entre los factores de incertidumbre se encuentran los cambios en el precio de los materiales de construcción, la disponibilidad de mano de obra cualificada y las condiciones climáticas imprevistas que podrían retrasar el proyecto.

Ejemplo 2: Sector Financiero. Un banco está evaluando los riesgos asociados con sus inversiones en el mercado de valores. La incertidumbre surge de la volatilidad del mercado, los cambios en las tasas de interés y las fluctuaciones en los precios de los activos financieros.

Ejemplo 3: Sector de Tecnología. Una empresa de tecnología evalúa los riesgos asociados con el desarrollo de un nuevo producto. La incertidumbre proviene de la competencia en el mercado, los cambios en las preferencias del consumidor y la posibilidad de retrasos en el desarrollo del producto.

Sensibilidad de los resultados

La sensibilidad de los resultados en el análisis de riesgos de los sistemas de gestión se refiere a la capacidad de los resultados del análisis de riesgos para cambiar en respuesta a variaciones en los parámetros de entrada o supuestos utilizados en el modelo. Básicamente, la sensibilidad examina cómo los cambios en ciertos factores afectan a los resultados del análisis de riesgos.

Por ejemplo, si se evalúan los riesgos asociados con la construcción de un nuevo edificio, es posible que durante el análisis se determine que el coste total del proyecto es altamente sensible a los cambios en el precio del acero. Pequeñas fluctuaciones en el precio del acero pueden tener un impacto significativo en el coste total del proyecto y, por lo tanto, en la evaluación de los riesgos económicos asociados.

Considerando lo anterior, la sensibilidad de los resultados puede:

Identificar los factores críticos o más influyentes en los resultados del análisis. Esto puede ser útil para priorizar y asignar los recursos necesarios en las acciones de mitigación asociadas a los riesgos más significativos.

Ayudar a identificar áreas donde se necesitan datos más precisos o donde el análisis debe realizarse con más precisión para reducir la incertidumbre en el proceso de evaluación de riesgos.

Ejemplos de sensibilidad de los resultados aplicados a los Sistemas de Gestión

Ejemplo 1: Industria de la Construcción. Durante el análisis de riesgos, la empresa descubre que el costo del proyecto es altamente sensible al precio del acero, que es uno de los principales materiales de construcción utilizados en el proyecto. Pequeños cambios en el precio del acero pueden tener un impacto significativo en el costo total del proyecto y en los márgenes de beneficio de la empresa.

Ejemplo 2: Sector Financiero. Durante el análisis de riesgos, el banco identifica que su cartera de inversiones es altamente sensible a los movimientos en las tasas de interés. Un aumento en las tasas de interés podría disminuir el valor de la cartera, mientras que una disminución podría aumentarlo. Esta sensibilidad influye en las decisiones de gestión de riesgos y en la diversificación de la cartera del banco.

Ejemplo 3: Sector de Tecnología. Durante el análisis de riesgos, la empresa descubre que el éxito del producto es altamente sensible a la calidad y la innovación. Pequeñas mejoras en la calidad y la innovación del producto pueden aumentar significativamente su aceptación en el mercado, mientras que cualquier falta de calidad podría llevar al fracaso del producto.

Estrategias para abordar la incertidumbre y sensibilidad:

Se pueden considerar que las tres principales estrategias que se pueden aplicar para tomar las medidas concretas y deliberadas para minimizar la incertidumbre y sensibilidad de los resultados son las siguientes:

Diversificación. La diversificación es una estrategia que implica distribuir los recursos en una variedad de opciones o categorías con el fin de reducir la exposición a cualquier riesgo específico. Por ejemplo, en un sistema de gestión financiera, una empresa puede diversificar su cartera de inversiones invirtiendo en una variedad de clases de activos, como acciones, bonos, bienes raíces y materias primas. Al hacerlo, la empresa reduce la dependencia de cualquier activo o mercado en particular, lo que ayuda a mitigar el impacto negativo de eventos imprevistos o cambios en condiciones económicas específicas. Además, en el contexto operativo de una empresa, la diversificación puede aplicarse diversificando las líneas de productos, mercados geográficos, proveedores o canales de distribución. Esto ayuda a reducir la vulnerabilidad de la empresa ante factores externos que podrían afectar negativamente su desempeño.

Seguimiento y adaptación. Las empresas pueden realizar el seguimiento de los factores de sensibilidad identificados durante el análisis de riesgos y ajustar sus estrategias según sea necesario para adaptarse a los cambios en el entorno.

Planificación de las acciones de tratamiento del riesgo. Las organizaciones pueden desarrollar planes de contingencia para abordar los posibles escenarios de riesgo identificados durante el análisis, lo que les permite responder de manera rápida y efectiva a eventos inesperados.

En la siguiente tabla se puede visualizar un pequeño resumen de lo explicado en este artículo:

Verificación y validación de los datos y resultados en la Gestión de Riesgos en los Sistemas de Gestión

2024-03-05T11:10:00.004+01:00

La verificación y validación de datos y resultados son procesos esenciales en todas las etapas de la gestión de riesgos en los sistemas de gestión. Estos procesos garantizan la precisión, confiabilidad y efectividad de las decisiones tomadas para gestionar los riesgos y proteger los intereses de la organización. En este artículo, además de explicaros en qué consisten y en qué etapas se suelen aplicar, os mostraré algunos ejemplos aplicados a los sistemas de gestión basados en las normas ISO 9001, ISO 14001 e ISO 45001

¿En qué consiste la verificación de datos y resultados en la gestión de riesgos?

La verificación implica que el análisis se ha realizado correctamente. La verificación puede incluir:

- Verificar las operaciones matemáticas que se han utilizado para la evaluación.

- Asegurarse de la precisión y exactitud de los datos y en la forma que se presentan.

- Comparar resultados con experiencias pasadas para analizar su evolución en el tiempo y poder determinar las causas y consecuencias.

- Establecer si los resultados cambian dependiendo de cómo se muestran los datos y encontrar qué aspectos pueden tener un impacto en los resultados obtenidos.

¿En qué consiste la validación de datos y resultados en la gestión de riesgos?

La validación implica comprobar que se realizó el análisis correcto para lograr los objetivos requeridos. La validación puede incluir:

- Verificar que el alcance del análisis sea apropiado para los objetivos establecidos.

- Revisar todas las suposiciones para verificar que sean creíbles y de coherentes con la información disponible.

- Verificar que se utilizaron métodos, técnicas, modelos, herramientas y datos apropiados.

- Utilizar múltiples métodos, aproximaciones y análisis de sensibilidad para probar y validar conclusiones.

¿En qué procesos se aplican las técnicas de verificación y validación de datos y resultados?

La verificación y validación de datos y resultados son procesos críticos en varias etapas de la gestión de riesgos en los sistemas de gestión. Algunos de los procesos clave en los que es necesario realizar verificación y validación son:

Identificación de riesgos. Durante la identificación de riesgos, es crucial verificar la precisión de los datos utilizados para identificar y evaluar los posibles riesgos que enfrenta una organización. Esto incluye la revisión de información histórica, análisis de datos operativos y consulta con expertos para asegurar que se están considerando todos los riesgos relevantes.

Análisis y evaluación de riesgos. En esta etapa, se realizan análisis detallados para comprender la naturaleza y el impacto de los riesgos identificados. Es esencial verificar que los métodos de análisis utilizados sean apropiados y que los resultados sean válidos y confiables. La validación implica asegurarse de que los riesgos se hayan evaluado de manera completa y precisa.

Selección y aplicación de medidas de tratamiento de riesgos. Al seleccionar y aplicar medidas para mitigar, transferir o evitar los riesgos, es necesario verificar que las medidas seleccionadas sean apropiadas para abordar los riesgos identificados. La validación implica confirmar que las medidas implementadas sean efectivas y prácticas para reducir o controlar los riesgos.

Monitoreo y revisión. Durante esta fase, se verifica continuamente la eficacia de las medidas de tratamiento de riesgos y se valida si están logrando los objetivos esperados. Esto implica revisar regularmente los datos y resultados para identificar cualquier cambio en el entorno de riesgo y ajustar las estrategias según sea necesario.

En la siguiente tabla podéis visualizar un pequeño esquema de lo anteriormente explicado:

La verificación y validación de resultados en la gestión de riesgos son cruciales para asegurar la precisión de los datos, confirmar la efectividad de las medidas implementadas, identificar áreas de mejora y demostrar conformidad con requisitos normativos. Estas prácticas no sólo garantizan la confiabilidad de la información utilizada para la toma de decisiones, sino que también permiten adaptar y mejorar continuamente el proceso de gestión de riesgos para proteger los activos y los intereses de la organización a largo plazo.

Ejemplo de Verificación y validación en base al Sistema de Gestión ISO 9001

Supongamos una empresa de fabricación de componentes electrónicos que está implementando un sistema de gestión de calidad conforme a la norma ISO 9001. Durante la fase de gestión de riesgos, la empresa identifica el riesgo de que un proveedor clave no cumpla con los estándares de calidad requeridos, lo que podría afectar la calidad de los productos finales y la satisfacción del cliente. Para verificar y validar los resultados de su proceso de gestión de riesgos, la empresa podría realizar lo siguiente:

Verificación de resultados. La empresa revisa regularmente los informes de calidad del proveedor y realiza auditorías periódicas en sus instalaciones para asegurarse de que se están cumpliendo los estándares acordados. Esto ayuda a confirmar la eficacia de las medidas de mitigación de riesgos implementadas para abordar este riesgo específico.

Validación de resultados. Además, la empresa podría comparar los datos de calidad de los productos recibidos del proveedor con los criterios de calidad establecidos en los requisitos del cliente y en las especificaciones internas de la empresa. Si los resultados cumplen con los estándares esperados, se valida la efectividad de las acciones tomadas para gestionar el riesgo del proveedor.

Ejemplo de Verificación y validación en base al Sistema de Gestión ISO 14001

Imaginemos una empresa manufacturera que ha implementado un SGA conforme a la norma ISO 14001 para gestionar sus impactos ambientales. Esta empresa ha identificado la gestión del agua como un aspecto ambiental significativo de su proceso de producción.

Proceso de verificación. La empresa verifica la cantidad de agua utilizada diariamente en su proceso de producción mediante la instalación de medidores de agua en las líneas de producción y registros de consumo. Además, realiza inspecciones periódicas para asegurarse de que no haya fugas u otros problemas que puedan provocar un uso excesivo de agua sin ser detectados.

Proceso de validación. Para validar la efectividad de las medidas implementadas para reducir el consumo de agua, la empresa realiza análisis comparativos del consumo de agua antes y después de la implementación de nuevas prácticas y tecnologías. Además, se monitorean los indicadores clave de desempeño relacionados con el consumo de agua, como la cantidad de agua utilizada por unidad de producto fabricado, para evaluar si se están logrando los objetivos de reducción del consumo de agua establecidos en el SGA.

Ejemplo de Verificación y validación en base al Sistema de Gestión ISO 45001

Supongamos una empresa de construcción que está implementando un sistema de gestión de seguridad y salud ocupacional conforme a la norma ISO 45001. Durante el proceso de identificación de riesgos, la empresa identifica el riesgo de caídas desde alturas como una de las principales preocupaciones en sus sitios de trabajo. Para verificar y validar los resultados de su proceso de gestión de riesgos, la empresa podría llevar a cabo lo siguiente:

Verificación de resultados. La empresa realiza inspecciones periódicas en los sitios de trabajo para asegurarse de que se están implementando correctamente las medidas de seguridad contra caídas, como barandillas, redes de seguridad y equipos de protección personal. Estas inspecciones ayudan a verificar si las acciones preventivas están siendo efectivas y si se están cumpliendo los procedimientos establecidos.

Validación de resultados. Además, la empresa podría revisar los registros de incidentes y accidentes para evaluar si ha habido alguna caída desde altura en los sitios de trabajo y analizar las circunstancias que llevaron a esos incidentes. Si se observa una disminución en el número de incidentes relacionados con caídas, esto valida la efectividad de las medidas preventivas implementadas y señala que la gestión de riesgos está siendo exitosa.

Documentos y registros del Sistema de Gestión de Riesgos

2024-02-27T13:12:00.002+01:00

En el siguiente artículo, mi objetivo es proporcionar una explicación estructurada sobre la documentación, registros e informes clave generados en las diversas actividades relacionadas con la gestión de riesgos en varios sistemas de gestión. Además, aprovecho la oportunidad para sugerir el contenido y la estructura que podría adoptar un informe de análisis de riesgos en este contexto.

El objetivo

El propósito de elaborar un registro y un informe de evaluación de riesgos es el de comunicar el nivel de riesgos asociados a las diversas actividades o procesos de la organización, junto con los resultados obtenidos de la evaluación efectuada. La comunicación de estos resultados se justifica por las siguientes razones:

- Facilitar la toma de decisiones. Es crucial que la dirección de la empresa disponga de información analítica sobre los riesgos identificados y evaluados. De este modo, al conocer el grado de riesgo inherente a cada posible decisión, se incrementan las posibilidades de seleccionar la más adecuada.

- Informar a las partes interesadas pertinentes sobre los riesgos asociados a las actividades de la organización y las acciones para mitigarlos. Por ejemplo, los accionistas deben estar al tanto de los resultados de la evaluación de riesgos para comprender la situación real de la empresa, así como los motivos detrás de la disminución de beneficios o el aumento de costos.

- Mediante la identificación y evaluación de los riesgos de cada actividad, se lleva a cabo un análisis que proporciona oportunidades de mejora y optimización. Esto no solo reduce el riesgo negativo potencial, sino que también mejora el proceso o la actividad en sí misma, lo que contribuye a su eficiencia y efectividad.

Metodología y frecuencia

La metodología para la elaboración de los diversos documentos vinculados a la gestión de riesgos en los sistemas de gestión debe ser claramente documentada, habitualmente en uno o varios procedimientos. Estos procedimientos deben detallar exhaustivamente cada actividad realizada, así como la información necesaria para llevar a cabo cada tarea, incluyendo los documentos generados en todo el proceso. Además, es fundamental especificar quién es el responsable de llevar a cabo cada tarea en cada caso, junto con la frecuencia con la que se registran o elaboran los diferentes documentos asociados.

Documentos y registros del Sistema de Gestión de Riesgos

Como se ha comentado anteriormente, en cada una de las actividades que se realizan para gestionar los riesgos en la organización, se generan varios documentos importantes que ayudan a identificar, evaluar, mitigar y monitorear los riesgos en una organización. A continuación, se presenta un listado de los documentos más importantes:

- Procedimientos de Gestión de Riesgos. Estos procedimientos constituyen documentos fundamentales que delinean los pasos y protocolos para la identificación, evaluación, tratamiento y monitoreo de los riesgos en la organización. En ellos, se detallan exhaustivamente las tareas a realizar, la metodología para su ejecución y el control de su desempeño. Asimismo, se especifica quién es responsable de cada tarea y qué documentos se generan en cada fase del proceso. En ocasiones, las empresas buscan simplificar estos documentos mediante la creación de esquemas o diagramas de flujo que contienen toda la información requerida; en tales casos, se sustituyen los procedimientos por fichas de proceso. El formato, identificación y codificación deberán seguir la metodología aprobada en el sistema documental de la organización.

- La Matriz de Riesgos consiste en un documento que enumera y clasifica los riesgos identificados, junto con su probabilidad de ocurrencia y el impacto potencial.

- La Evaluación de Riesgos es un informe que detalla los resultados de la evaluación de riesgos, incluyendo la metodología utilizada, los criterios de evaluación, y las conclusiones derivadas del análisis de riesgos.

- El Plan de Gestión de Riesgos consiste en la elaboración de un documento que describe las estrategias y acciones para gestionar y mitigar los riesgos identificados, incluyendo responsabilidades, plazos y recursos asignados.

- El Registro de Riesgos contiene información detallada sobre cada riesgo identificado, incluyendo su descripción, clasificación, nivel de riesgo, acciones tomadas y estado actual.

- Informes de Riesgos. Informes periódicos que proporcionan una actualización sobre el estado de los riesgos identificados, las acciones implementadas y cualquier cambio en la evaluación de riesgos.

- Protocolos de Comunicación de Riesgos son documentos que establecen cómo se comunican los riesgos identificados a las partes interesadas internas y externas, así como los protocolos para la divulgación de información relacionada con los riesgos. Habitualmente este documento se corresponde con un procedimiento incluido en el la metodología general de comunicación de la empresa.

- Análisis de Riesgos Específicos son documentos detallados que analizan riesgos específicos en áreas críticas de la organización, como seguridad laboral, seguridad informática, o impacto ambiental.

- Planes de Contingencia y Mitigación de los riesgos. Documentos que describen las acciones a seguir en caso de que ocurran eventos adversos significativos, con el objetivo de minimizar el impacto en las operaciones y la reputación de la organización.

- Revisiones y Auditorías de Riesgos. Informes y documentación relacionada con las revisiones periódicas y las auditorías internas y externas de la gestión de riesgos en la organización.

Estos son sólo algunos de los documentos clave que se generan en el contexto de la gestión de riesgos asociada a un sistema de gestión, si bien, la naturaleza y el alcance de los documentos pueden variar según las necesidades y la complejidad de la organización.

Estructura de un informe de evaluación de riesgos

Un informe de evaluación de riesgos en el contexto de los sistemas de gestión debería contener información detallada y estructurada que permita comprender claramente los riesgos identificados y evaluados. A continuación se muestra una propuesta de contenido que podría incluir un informe de evaluación de riesgos:

1. Introducción:

- Descripción del propósito del informe.

- Breve explicación del alcance y metodología utilizada en la evaluación de riesgos.

- Resumen de los hallazgos clave.

2. Contexto Organizacional:

- Descripción de la organización y su estructura.

- Identificación de los procesos, actividades o áreas evaluadas.

3. Metodología de Evaluación:

- Detalle de los métodos y herramientas empleadas para identificar y evaluar los riesgos.

- Explicación de los criterios utilizados para calificar y priorizar los riesgos.

4. Resultados de la Evaluación:

- Lista de los riesgos identificados, clasificados por categorías (por ejemplo, financieros, operacionales, legales, etc.).

- Descripción de cada riesgo, incluyendo su naturaleza, causas potenciales y posibles consecuencias.

- Asignación de niveles de probabilidad e impacto para cada riesgo evaluado.

- Determinación del nivel de riesgo residual (después de la aplicación de medidas de control o mitigación).

5. Análisis y Discusión:

- Interpretación de los resultados de la evaluación.

- Identificación de tendencias o patrones significativos en los riesgos evaluados.

- Discusión sobre las implicaciones de los riesgos identificados para la organización y sus partes interesadas.

6. Medidas de Control y Mitigación:

- Descripción de las medidas existentes para controlar o mitigar los riesgos identificados.

- Evaluación de la efectividad de las medidas actuales.

- Recomendaciones para implementar nuevas medidas de control o mejorar las existentes.

7. Responsabilidades y Cronograma:

- Asignación de responsabilidades para la gestión continua de los riesgos.

- Establecimiento de un cronograma para la implementación de medidas de control y seguimiento de los riesgos.

8. Conclusiones y Recomendaciones:

- Resumen de los principales hallazgos y conclusiones de la evaluación.

- Recomendaciones para mejorar la gestión de riesgos en la organización.

9. Anexos:

- Documentación adicional, como matrices de riesgos, registros de riesgos, análisis de causa raíz, entre otros.

Un informe bien elaborado proporciona una base sólida para la toma de decisiones y la gestión efectiva de riesgos en la organización. Es importante que el informe sea claro, conciso y fácilmente comprensible para todos los interesados involucrados en el proceso de gestión de riesgos.

Acceso y archivo

La metodología a seguir para diseñar, aprobar, realizar el seguimiento, archivar y conservar esta documentación debe seguir el mismo criterio que la demás documentación del sistema. Cabe decir que es información delicada y debe estar protegida y de acceso restringido para la mayoría de las partes interesadas. Se deberá establecer los criterios de acceso y consulta a la información asociada con esta documentación.

En la tabla siguiente se puede visualizar todos los aspectos comentados en este artículo:

En la elaboración de este artículo, me he fundamentado en los principios delineados en el apartado 6.7 "Registro e Informe" de la norma ISO 31000:2018. Dicha norma sugiere los elementos de la gestión de riesgos que deben ser documentados, así como el contenido esencial que debería incluirse en el informe que presenta los resultados de la evaluación de riesgos realizada durante un periodo específico.

Los Objetivos en la Gestión de Riesgos en los Sistemas de Gestión ISO 9001, ISO 14001 e ISO 45001

2024-02-21T10:12:00.001+01:00

Uno de los puntos de partida en la Gestión de Riesgos es fijar el alcance y los objetivos. En este artículo os explicaré en qué consisten los Objetivos y la razón de su importancia. Además os indico algunos ejemplos prácticos de Objetivos, así como de sus correspondientes indicadores de seguimiento, para cada uno de los Sistemas de Gestión basados en las normas ISO 9001 (Gestión de Calidad), ISO 14001 (Gestión Ambiental) e ISO 45001 (Seguridad y Salud).

¿En qué consisten los objetivos? ¿Para qué sirven?

Los objetivos en la gestión de riesgos aplicados a los sistemas de gestión son metas específicas y medibles que una organización establece para guiar y mejorar su capacidad para identificar, evaluar, mitigar y gestionar los riesgos de manera efectiva.

Estos objetivos están diseñados para alinear la gestión de riesgos con los objetivos estratégicos y operativos de la organización, proporcionando una dirección clara y un marco para la toma de decisiones relacionadas con la gestión de riesgos. Por lo tanto, deben ser integrados en los objetivos generales de la organización. Además, pueden incluir la reducción de la frecuencia o gravedad de los incidentes, la mejora de la cultura de seguridad, la minimización del impacto ambiental, el cumplimiento de los requisitos legales y regulatorios, la protección de la reputación de la organización y la mejora continua del sistema de gestión de riesgos.

Estas metas deben ser coherentes, alcanzables, relevantes y estar sujetas a revisión y actualización periódicas para garantizar su efectividad y relevancia continua en la gestión de riesgos.

¿Por qué son importantes los Objetivos en la Gestión de Riesgos?

Fijar unos objetivos es esencial para proporcionar claridad de propósito, enfoque y priorización, mejorar el desempeño, establecer responsabilidades y rendición de cuentas, y adaptarse al cambio. Estos objetivos proporcionan una dirección clara, permiten identificar y abordar los riesgos más relevantes, mejoran la capacidad de la organización para gestionar los riesgos de manera efectiva y fomentan la adaptabilidad y la responsabilidad en todo el proceso de gestión de riesgos.

¿Cómo deben ser? ¿Qué características deben cumplir?

Debido a su importancia, en el apartado 6.1.4 “Definir los objetivos” de la norma ISO 31010 da una serie de recomendaciones definiendo las características que deben cumplir los objetivos. Considerando estas recomendaciones, los objetivos deben ser:

Específicos para el tema de la evaluación. Los objetivos en la gestión de riesgos deben ser precisos y estar directamente relacionados con el tema o área de evaluación. Deben abordar claramente los riesgos identificados y las preocupaciones específicas dentro del ámbito de la gestión de riesgos.

Medibles cualitativa o cuantitativamente. Los objetivos deben ser susceptibles de ser medidos de manera cualitativa o cuantitativa. Esto implica que se puedan evaluar y cuantificar los avances y resultados en relación con los objetivos establecidos, facilitando la monitorización y el seguimiento de su cumplimiento.

Alcanzables dentro del alcance definido y acotando las limitaciones impuestas por el contexto. Los objetivos deben ser realistas y alcanzables dentro del contexto y los recursos disponibles. Deben tener en cuenta las limitaciones y restricciones del entorno operativo, así como los recursos disponibles para la gestión de riesgos.

Relevantes para los objetivos generales o el contexto de la organización. Los objetivos en la gestión de riesgos deben estar alineados con los objetivos generales y estratégicos de la organización. Deben contribuir directamente a la consecución de los objetivos organizacionales más amplios y ser coherentes con el contexto y la naturaleza de la organización.

Alcanzables dentro de un marco de tiempo establecido. Los objetivos deben tener plazos claros y definidos para su logro. Deben establecerse dentro de un marco de tiempo realista y acorde con las necesidades y prioridades de la organización, lo que facilita la planificación y el seguimiento del progreso.

Registrados, planificados y documentados. Los objetivos deben ser formalmente registrados, planificados y documentados en el marco de la gestión de riesgos de la organización. Esto garantiza que sean comunicados de manera efectiva, entendidos por todas las partes interesadas relevantes y seguidos de manera sistemática.

Establecer rangos de umbrales máximos y mínimos de aceptabilidad en su seguimiento, para garantizar su cumplimiento. Los objetivos deben incluir rangos de umbrales máximos y mínimos que definan los límites de aceptabilidad. Estos umbrales ayudan a establecer criterios claros para evaluar el progreso y determinar si se están cumpliendo los objetivos establecidos.

EJEMPLOS DE OBJETIVOS EN LA GESTIÓN DE RIESGOS

Objetivos en la Gestión de Riesgos del Sistema de Gestión de Calidad (ISO 9001)

A continuación se muestran unos ejemplos de objetivos en base al Sistema de Gestión de Calidad, además se incluye, para cada objetivo, un ejemplo de medición del desempeño mediante indicadores de seguimiento:

- Objetivo: Reducir la incidencia de defectos de calidad en los productos o servicios.

Indicador de seguimiento: % de productos o servicios defectuosos detectados durante el proceso de producción o prestación de servicios.

- Objetivo: Mejorar la satisfacción del cliente al garantizar la entrega oportuna de productos o servicios.

Indicador de seguimiento: % de entregas realizadas dentro del plazo acordado con el cliente.

- Objetivo: Optimizar los procesos para minimizar los riesgos de interrupciones o retrasos en la producción o prestación de servicios.

Indicador de seguimiento: Tiempo promedio de ciclo de producción o tiempo de respuesta en la prestación de servicios.

- Objetivo: Aumentar la eficiencia operativa y reducir los costes asociados con repeticiones o desperdicios.

Indicador de seguimiento: Coste de la no calidad como porcentaje de los costos totales de producción o prestación de servicios.

- Objetivo: Mejorar la capacitación y competencia del personal para reducir errores y aumentar la eficacia en la gestión de riesgos.

Indicador de seguimiento: % de empleados que han completado la formación en gestión de riesgos y calidad.

Objetivos en la Gestión de Riesgos del Sistema de Gestión Ambiental (ISO 14001)

A continuación se muestran unos ejemplos de objetivos en base al Sistema de Gestión Ambiental, además se incluye, para cada objetivo, un ejemplo de medición del desempeño mediante indicadores de seguimiento:

- Objetivo: Reducir el consumo de recursos naturales (agua, energía, materias primas) en las operaciones de la empresa.

Indicador de seguimiento: % de reducción en el consumo de recursos naturales en comparación con el año anterior.

- Objetivo: Minimizar la generación de residuos y promover su reciclaje y reutilización.

Indicador de seguimiento: % de residuos sólidos reciclados o reutilizados en relación con el total de residuos generados.

- Objetivo: Reducir las emisiones de gases de efecto invernadero y otros contaminantes atmosféricos.

Indicador de seguimiento: Toneladas de emisiones de CO2 equivalentes por unidad de producción o por período de tiempo.

- Objetivo: Prevenir la contaminación del suelo y del agua mediante la implementación de medidas de control y prevención adecuadas.

Indicador de seguimiento: Número de incidentes de contaminación del suelo o del agua reportados durante el período de seguimiento.

- Objetivo: Mejorar la conciencia y la capacitación del personal en prácticas ambientales seguras y sostenibles.

Indicador de seguimiento: % de empleados que han completado la formación en gestión ambiental y prácticas sostenibles.

Objetivos en la Gestión de Riesgos del Sistema de Gestión de Seguridad y Salud (ISO 45001)

A continuación se muestran unos ejemplos de objetivos en base al Sistema de Gestión de Seguridad y Salud, además se incluye, para cada objetivo, un ejemplo de medición del desempeño mediante indicadores de seguimiento:

- Objetivo: Reducir la frecuencia de accidentes laborales en el lugar de trabajo.

Indicador de seguimiento: Tasa de frecuencia de accidentes laborales reportados por cada 1000 empleados durante un período específico (por ejemplo, por trimestre o por año).

- Objetivo: Mejorar la identificación y mitigación de peligros y riesgos ocupacionales.

Indicador de seguimiento: % de peligros identificados y evaluados en el lugar de trabajo dentro de un período determinado, en comparación con el total de peligros potenciales identificados.

- Objetivo: Incrementar la participación del personal en la identificación y notificación de riesgos laborales.

Indicador de seguimiento: Número de reportes de peligros o riesgos presentados por el personal por mes o trimestre, en comparación con periodos anteriores.

- Objetivo: Reducir el tiempo de respuesta ante emergencias y la implementación de medidas de control.

Indicador de seguimiento: Tiempo promedio de respuesta ante emergencias desde la detección hasta la implementación de medidas correctivas o preventivas, medido en minutos u horas.

- Objetivo: Aumentar la eficacia de las evaluaciones de riesgos laborales en todos los departamentos.

Indicador de seguimiento: % de departamentos o áreas de trabajo que han completado evaluaciones de riesgos actualizadas dentro de los plazos establecidos.

En la siguiente tabla se puede visualizar los diferentes ejemplos de objetivos con sus indicadores de seguimiento para cada uno de los sistemas de gestión, explicados en este artículo:

Son sólo algunos ejemplos. Cada empresa deberá buscar sus propios objetivos, además de diseñar sus propios indicadores de seguimiento en función de la información que necesite y el propósito a seguir y medir.

Factores clave en el análisis de riesgos con ejemplos aplicados a las normas ISO 9001, ISO 14001 e ISO 45001

2024-02-14T12:02:00.002+01:00

En el siguiente artículo os quiero mostrar los principales factores clave que se deben tener en cuenta a la hora de analizar los riesgos en los sistemas de gestión. Para cada uno de los factores describiré un ejemplo práctico en base al contexto de los sistemas de gestión basados en las normas ISO, como pueden ser el sistema de gestión de calidad (ISO 9001), gestión ambiental (ISO 14001) y gestión de seguridad y salud (ISO 45001).

A continuación se presenta la tabla inicial de este artículo, que enumera los factores clave y proporciona las principales razones por las que cada uno puede considerarse esencial:

A continuación, presentaremos un ejemplo práctico de aplicación para cada uno de los factores, lo que nos permitirá comprender mejor su aplicabilidad en el contexto de los sistemas de gestión:

1. Impacto o consecuencias

Para entender mejor el concepto se va a considerar el siguiente ejemplo en base al sistema de gestión ambiental (ISO 14001):

Imaginemos una empresa de fabricación de productos químicos. Uno de los riesgos identificados en su sistema de gestión es el potencial de fugas de sustancias químicas peligrosas durante el transporte desde la planta de producción hasta los puntos de distribución.

Consecuencias asociadas a este riesgo son las siguientes:

Impacto ambiental. Una fuga de sustancias químicas puede contaminar suelos, ríos y cuerpos de agua cercanos, afectando negativamente al medio ambiente y a la biodiversidad local.

Riesgo para la salud pública: Si las sustancias químicas contaminan el aire o el agua potable, podría haber riesgos para la salud de las personas que viven en las cercanías.

Reputación de la empresa: Incidentes de este tipo pueden generar una mala reputación para la empresa, afectando su imagen de marca y la confianza de los clientes y la comunidad.

Costes financieros: La limpieza de la contaminación, las multas regulatorias y los litigios asociados con la fuga pueden resultar en costos financieros significativos para la empresa.

En este ejemplo, el riesgo de fugas de sustancias químicas está asociado con una serie de consecuencias adversas que podrían tener un impacto negativo en el medio ambiente, la salud pública, la reputación y las finanzas de la empresa. Por lo tanto, es vital para la empresa implementar medidas preventivas y de mitigación efectivas para reducir la probabilidad de que ocurran tales incidentes y para manejar adecuadamente las consecuencias si llegaran a suceder.

2. Probabilidad de ocurrencia

La probabilidad en este contexto es fundamental para entender la frecuencia o la posibilidad de ocurrencia de un evento de riesgo, lo que permite a las organizaciones anticipar y prepararse para posibles escenarios adversos. Esta evaluación de probabilidad puede basarse en datos históricos, análisis estadísticos, juicios de expertos, modelos predictivos y otros métodos de evaluación de riesgos. Además de considerar dependiendo de la información de partida disponibles y de la necesidad en profundizar en el análisis de riesgos, la estimación de la probabilidad puede ser cualitativa o cuantitativa. A continuación se muestra un ejemplo sencillo, del cálculo de la probabilidad cuantitativa:

El siguiente ejemplo se explica en el contexto de la Gestión de Calidad (ISO 9001):

Una empresa de fabricación quiere evaluar la probabilidad de que una máquina específica falle durante un mes determinado (proceso operativo). Para ello, realiza un análisis basado en la recopilación de datos históricos de la máquina durante los últimos dos años. Durante ese período, la máquina ha experimentado 5 fallos en un total de 60 meses. Ahora, para calcular la probabilidad de que la máquina falle en un mes dado, simplemente dividimos el número de veces que la máquina falló entre el total de meses analizados:

P = nº fallos/total meses

P = 5/60 = 0.0833

Por lo tanto, la probabilidad de que la máquina falle en un mes determinado es del 8.33%.

Existen numerosas técnicas para determinar la probabilidad en el análisis de riesgos, la elección de una u otra dependerá de las necesidades de la empresa, así como la disponibilidad de información y recursos que se puedan destinar a esta tarea.

3. Complejidad del evento, proceso o escenario

Para entender mejor el concepto se va a considerar el siguiente ejemplo en base al sistema de gestión de calidad (ISO 9001):

Supongamos una cadena de suministro global que involucra múltiples proveedores, centros de distribución y clientes en diferentes regiones del mundo. La complejidad de esta cadena de suministro radica en las numerosas interacciones y dependencias entre los diferentes actores y en la variedad de factores que pueden influir en su funcionamiento, como la disponibilidad de materias primas, las condiciones climáticas, los costos de transporte y las regulaciones gubernamentales.

Un riesgo potencial en esta cadena de suministro podría ser un desastre natural, como un terremoto, que afecte a una región donde se encuentran varios proveedores clave. Este evento podría interrumpir la producción y el suministro de materias primas, lo que a su vez podría afectar la capacidad de producción y la entrega de productos a los clientes finales en otras partes del mundo. La complejidad de la cadena de suministro aumenta la dificultad de anticipar y mitigar este tipo de riesgos, lo que resalta la importancia de tener en cuenta la complejidad en el análisis de riesgos aplicado a sistemas de gestión.

4. Las interrelaciones entre eventos, procesos o actividades

Para entender mejor el concepto se va a considerar el siguiente ejemplo en base al sistema de gestión de calidad (ISO 9001):

Imaginemos una compañía de fabricación que produce automóviles. Esta empresa depende de varios proveedores para suministrar piezas clave, como motores, transmisiones y sistemas de frenos. Ahora, supongamos que uno de los proveedores principales experimenta una interrupción en su cadena de suministro debido a una huelga de trabajadores.

Esta interrupción puede tener múltiples interrelaciones en el sistema de gestión de la compañía de fabricación de automóviles:

- La producción puede detenerse temporalmente, lo que afecta la entrega de vehículos a los clientes.

- Los retrasos en la entrega pueden generar insatisfacción entre los clientes, dañando la reputación de la compañía.

- Los problemas de producción también pueden tener un impacto en la cadena de suministro de otros proveedores, creando una cascada de interrupciones en toda la red.

Este ejemplo ilustra cómo las interrelaciones pueden tener efectos significativos en un sistema de gestión y subraya la importancia de considerar estas interconexiones al realizar análisis de riesgos y desarrollar estrategias de mitigación adecuadas.

5. Factores temporales y de volatilidad

Para entender mejor el concepto se va a considerar el siguiente ejemplo en base al sistema de gestión de calidad (ISO 9001):

Supongamos que un fabricante de dispositivos electrónicos depende de varios proveedores de componentes clave para ensamblar sus productos. En un mercado altamente volátil, los precios de los componentes pueden fluctuar significativamente en un corto período de tiempo debido a factores como la demanda del mercado, la disponibilidad de materias primas y los cambios en las regulaciones comerciales.

La volatilidad en los precios de los componentes puede representar un riesgo para el fabricante, ya que puede afectar los márgenes de ganancia y la viabilidad económica de sus productos. Para mitigar este riesgo, la empresa podría implementar estrategias como la diversificación de proveedores, la celebración de contratos a largo plazo con precios fijos y la vigilancia constante del mercado para anticipar cambios en los precios y tomar medidas correctivas de manera oportuna.

6. Eficacia de los controles existentes

Para entender mejor el concepto se va a considerar el siguiente ejemplo en base al sistema de gestión de calidad (ISO 9001):

Una institución financiera que tiene controles establecidos para prevenir el fraude en las transacciones realizadas por sus clientes. Estos controles incluyen medidas de verificación de identidad, monitoreo de transacciones sospechosas y capacitación del personal en detección de fraudes.

Para evaluar la eficacia de estos controles, la institución financiera puede llevar a cabo auditorías periódicas y revisiones de sus procedimientos internos. Durante estas evaluaciones, pueden descubrir que algunas medidas de verificación de identidad son obsoletas y pueden ser eludidas fácilmente por los estafadores. Además, el monitoreo de transacciones podría no estar siendo lo suficientemente proactivo para detectar actividades fraudulentas.

Con esta información, la institución financiera puede tomar medidas correctivas, como actualizar sus procedimientos de verificación de identidad y mejorar la capacidad de detección de fraudes en tiempo real. Al hacerlo, fortalecerán su sistema de gestión de riesgos y reducirán la probabilidad de que se produzcan eventos adversos relacionados con el fraude.

7. Niveles de sensibilidad y confianza

El siguiente ejemplo se basa en sistema de gestión de calidad (ISO 9001):

Una empresa de tecnología de la información gestiona datos confidenciales de clientes, incluida información financiera y personal. Los niveles de sensibilidad y confianza en este contexto podrían determinar cómo se gestionan y protegen estos datos críticos.

Los datos financieros y personales de los clientes se consideran altamente sensibles debido al riesgo de robo de identidad y fraude financiero asociado. Por lo tanto, estos datos tienen un nivel alto de sensibilidad que requiere medidas de protección más rigurosas.

La confianza del cliente en la seguridad y privacidad de sus datos es fundamental para el éxito continuo del negocio. Un incidente de seguridad que comprometa la confidencialidad de los datos podría tener consecuencias graves en términos de pérdida de clientes y daño a la reputación de la empresa.

En este ejemplo, la empresa implementa controles de acceso estrictos, cifrado de datos, monitoreo continuo y auditorías de seguridad para proteger la sensibilidad de los datos y mantener la confianza del cliente. Al considerar los niveles de sensibilidad y confianza, la empresa puede tomar decisiones informadas sobre la gestión de riesgos y garantizar la protección adecuada de los activos críticos del negocio.

8. Grado de incertidumbre

El siguiente ejemplo se basa en sistema de gestión de calidad (ISO 9001):

Una empresa de transporte que opera una flota de camiones para entregar mercancías a nivel nacional. El grado de incertidumbre en su sistema de gestión de riesgos puede aumentar durante la temporada de invierno, donde las condiciones climáticas impredecibles, como las nevadas y las tormentas, pueden afectar la seguridad y la eficiencia de las operaciones de transporte.

La incertidumbre asociada con las condiciones climáticas invernales hace que sea difícil para la empresa prever con precisión cómo afectarán estas condiciones a las rutas de entrega, los tiempos de tránsito y la disponibilidad de conductores. Como resultado, la empresa debe tomar decisiones sobre la asignación de recursos, como equipos de nieve y hielo, capacitación del personal y ajustes en las rutas, con un nivel de incertidumbre en mente.

La capacidad de la empresa para gestionar eficazmente los riesgos asociados con la incertidumbre climática invernal determinará su capacidad para mantener la continuidad del negocio y satisfacer las expectativas de los clientes. Por lo tanto, es crucial que la empresa considere el grado de incertidumbre al desarrollar estrategias de gestión de riesgos que mitiguen los impactos adversos de las condiciones climáticas cambiantes.

9. Opiniones, percepciones y valoraciones

El siguiente ejemplo se basa en sistema de Gestión de seguridad y Salud (ISO 45001):

En una empresa que busca obtener la certificación ISO 45001, se realiza un análisis de riesgos para identificar y evaluar los peligros asociados con las operaciones diarias. Durante el proceso de análisis, se llevan a cabo sesiones de consulta con los trabajadores de diferentes departamentos para recopilar sus opiniones y percepciones sobre los riesgos en sus áreas de trabajo.

Un trabajador del departamento de producción señala que la falta de mantenimiento preventivo en ciertas máquinas representa un riesgo significativo de accidentes. Su percepción se basa en observaciones directas y experiencias previas con incidentes relacionados con la maquinaria. Esta información es valorada y se incorpora al informe de análisis de riesgos, lo que lleva a la implementación de un programa de mantenimiento preventivo más riguroso para abordar este riesgo específico.

En este ejemplo, las opiniones y percepciones de los empleados contribuyen directamente a la identificación y mitigación de riesgos, lo que fortalece el sistema de gestión de seguridad y salud ocupacional de acuerdo con los requisitos de la norma ISO 45001.

10. Documentación y comunicación

El siguiente ejemplo, dependiendo cómo se enfoque puede englobarse tanto en el sistema de Gestión de Seguridad y Salud (ISO 45001) como en el de Gestión Ambiental (ISO 14001):

En una empresa de manufactura de productos químicos, se lleva a cabo un análisis de riesgos para identificar posibles peligros asociados con los procesos de producción y las sustancias químicas utilizadas. Después de completar el análisis, se genera un informe detallado que documenta los riesgos identificados, las evaluaciones de riesgos realizadas y las medidas de control recomendadas.

Este informe se comunica a todas las partes interesadas relevantes, incluidos los trabajadores de la planta, los supervisores de seguridad, los gerentes de producción y los reguladores gubernamentales. La comunicación se realiza a través de reuniones, sesiones informativas, correos electrónicos y documentos impresos.

La documentación y la comunicación efectiva de los riesgos permiten que todas las partes interesadas estén informadas y alineadas en relación con la gestión de riesgos en la empresa. Además, proporciona un punto de referencia claro para futuras evaluaciones y revisiones de riesgos, lo que contribuye a la mejora continua de los procesos de gestión de riesgos en la organización.

Análisis de escenarios como herramienta de Gestión de Riesgos aplicada a los Sistemas de Gestión

2024-02-07T15:21:00.002+01:00

El análisis de escenarios es una técnica utilizada para conocer las posibles consecuencias que puede llegar a tener la empresa considerando varios escenarios a medida que pasa el tiempo. En este artículo os explicaré en qué consiste y cómo podéis aplicarla en vuestra empresa, además de mostraros un ejemplo práctico basado en el sistema de gestión basado en la norma ISO 9001. El análisis de escenarios es una de las técnicas propuestas en la norma ISO 31010:2018 "Técnicas de Gestión de Riesgos", norma recomendada en las normas ISO de Sistemas de Gestión.

La sociedad, la legislación y las necesidades de los clientes experimentan cambios constantes con el transcurso del tiempo. En respuesta, las empresas deben mantenerse flexibles y adaptarse a estas transformaciones para satisfacer las demandas y expectativas de sus clientes. Es fundamental anticiparse a los posibles riesgos que puedan surgir y prepararse para los cambios que puedan influir en su entorno operativo. Por esta razón, es necesario realizar un análisis exhaustivo para comprender hacia dónde se dirige la empresa y qué medidas deben implementarse para estar preparados ante cualquier eventualidad. Es en este punto donde entra en juego la técnica de análisis de escenarios.

A través de este análisis, es posible visualizar diversos escenarios futuros y evaluar los riesgos asociados a cada uno de ellos. Esto permite identificar y comprender mejor las posibles amenazas y oportunidades que podrían surgir en el horizonte temporal de la empresa, desarrollando fortalezas que minimicen los riesgos asociados a estos cambios.

¿En qué consiste?

El análisis de escenarios se concibe como un conjunto de técnicas destinadas a desarrollar modelos que permitan visualizar posibles futuros. Consiste en definir un contexto posible y considerar los diversos eventos que podrían ocurrir, así como observar su evolución a lo largo del tiempo.

Dependiendo del horizonte temporal, los escenarios planteados pueden variar:

- A corto plazo, se utiliza para investigar las consecuencias de un evento que inicia una serie de sucesos que pueden comportar ciertos riesgos. Estos escenarios se pueden plantear en base a la extrapolación de eventos pasados. Por ejemplo, se puede utilizar para planificar cómo actuar ante una interrupción de funcionamiento de una línea de producción porque una máquina se ha estropeado.

- A medio o largo plazo, se requiere la creación de escenarios creíbles y realistas para nuestra empresa, seguido del análisis exhaustivo de todos los riesgos potenciales asociados a estos escenarios hipotéticos. El análisis de escenarios a largo plazo ayuda en la planificación de los cambios que puedan suceder en el futuro como puede ser cambios en la tecnología, en las preferencias de los clientes, actitudes sociales...

Como se mencionó anteriormente, el propósito de analizar diferentes escenarios es estar preparado para posibles cambios que puedan surgir en la empresa, especialmente en relación con su entorno.

Algunos de los cambios más comunes que enfrentan las empresas en el tiempo incluyen:

- Las innovaciones tecnológicas. La adopción de nuevas tecnologías, equipos o maquinaria que permitan la automatización de procesos o la fabricación de nuevos productos.

- Las decisiones futuras como la apertura de nuevas sucursales o la expansión a nivel internacional, cuyos resultados pueden variar ampliamente.

- La evolución de las necesidades y objetivos de las partes interesadas. Por ejemplo, la creación de productos que satisfagan las demandas emergentes de los clientes.

- Los cambios en el contexto externo como modificaciones en la legislación que afecta a la empresa.

- Las dinámicas internas como la necesidad de capacitación especializada del personal o la rotación del mismo.

Esta técnica NO PUEDE predecir las probabilidades de cada uno de los cambios pero SÍ QUE PUEDE considerar las consecuencias y ayudar a las empresas a estar preparadas para desarrollar acciones que puedan mitigar los riesgos ocasionados por los posibles cambios que puedan producirse con el tiempo.

¿Quién lo debe realizar?

Es importante que el equipo encargado de aplicar este análisis sea un grupo de partes interesadas con diferentes intereses y experiencia, además de un amplio conocimiento de los procesos de la empresa. Deben ser capaces de:

- Crear un escenario realista teniendo en cuenta el contexto de la organización a corto, medio y largo plazo.

- Identificar todos los riesgos asociados a ese escenario asociados al contexto, objetivos y procesos de la empresa.

- Analizar cómo podría variar la significancia de los riesgos identificados con el tiempo.

¿Qué pasos hay que seguir para realizar el análisis de escenarios?

Para aplicar el Análisis de Escenarios como herramienta de Gestión de Riesgos en los Sistemas de Gestión, se pueden seguir los siguientes pasos:

Identificar los objetivos del análisis. Es fundamental comprender qué se espera lograr con el análisis de escenarios. Esto puede incluir la identificación de riesgos potenciales, la preparación para cambios en el entorno empresarial o la evaluación de posibles oportunidades.

Definir el alcance del análisis. Determinar qué aspectos del sistema de gestión se van a analizar y qué variables se considerarán en los escenarios.

Reunir información relevante. Recopilar datos sobre el entorno empresarial, tendencias del mercado, cambios regulatorios, avances tecnológicos y cualquier otro factor que pueda influir en el sistema de gestión y sus riesgos asociados. A largo plazo, además de lo anterior, se deberá disponer de personas que dispongan de gran experiencia técnica.

Identificar los escenarios. Basándose en la información recopilada, desarrollar una serie de escenarios posibles que representen diferentes situaciones futuras que podrían afectar al sistema de gestión y a la organización en general. Se pueden utilizar conjuntos de escenarios que reflejen, el mejor caso, el peor caso y el caso esperado.

Evaluar los riesgos en cada escenario. Analizar los riesgos potenciales asociados con cada escenario identificado. Esto implica identificar las posibles amenazas, evaluar su impacto y probabilidad de ocurrencia, y determinar las medidas de control existentes o necesarias para mitigar los riesgos.

Priorizar los riesgos. Clasificar los riesgos identificados según su nivel de impacto y probabilidad, priorizando aquellos que representen las mayores amenazas para el sistema de gestión y la organización en su conjunto.

Desarrollar estrategias de respuesta. Una vez identificados y priorizados los riesgos, desarrollar estrategias de respuesta adecuadas para cada escenario. Esto puede incluir la implementación de controles adicionales, la asignación de recursos para la mitigación de riesgos o la preparación de planes de contingencia.

Monitorear y revisar. Es importante monitorear de cerca el entorno empresarial y los cambios en los escenarios identificados. Además, revisar periódicamente el análisis de escenarios y ajustar las estrategias de respuesta según sea necesario para garantizar la efectividad continua de la gestión de riesgos.

Elaboración de un informe. El informe debe contener la siguiente información:

- Introducción. Debe proporcionar un resumen del propósito del análisis de escenarios, los objetivos del informe y el alcance del estudio.

- Descripción de la metodología. Describe cómo se llevó a cabo el análisis de escenarios, incluyendo la recopilación de datos, las fuentes utilizadas, los modelos o herramientas empleadas y los criterios de selección de escenarios.

- Escenarios Considerados. Enumera y describe detalladamente cada uno de los escenarios analizados, incluyendo su plausibilidad, contexto y variables clave consideradas.

- Historias de Escenarios. Presenta una narrativa para cada escenario, describiendo cómo se desarrollaría la transición desde el presente hasta el escenario en cuestión. Se deben incluir los efectos potenciales, tanto beneficiosos como perjudiciales, y se pueden agregar detalles plausibles que enriquezcan la comprensión del escenario.

- Efectos de Políticas o Planes. Ofrece una comprensión de los posibles impactos de políticas o planes específicos en cada uno de los escenarios considerados.

- Lista de Riesgos Emergentes. Identifica y enumera los riesgos que podrían surgir en cada escenario, junto con una evaluación preliminar de su probabilidad e impacto.

- Indicadores Clave de Riesgo. En algunas aplicaciones, se pueden incluir listas de indicadores clave que podrían señalar la aparición o evolución de riesgos específicos en cada escenario.

- Conclusiones y Recomendaciones. Resume las principales conclusiones derivadas del análisis de escenarios y proporciona recomendaciones para la gestión de riesgos y la toma de decisiones estratégicas basadas en los hallazgos.

- Referencias. Incluye cualquier referencia bibliográfica o fuente de datos utilizada durante el proceso de análisis de escenarios.

- Anexos. Puede contener información adicional, como datos de entrada, resultados detallados de los modelos utilizados o cualquier otra información relevante que complemente el informe principal.

El informe debe ser claro, conciso y fácil de entender para los destinatarios, y debe proporcionar una visión completa de los escenarios considerados y sus implicaciones para la gestión de riesgos en los sistemas de gestión.

En la siguiente tabla disponéis de un breve resumen de lo descrito anteriormente:

Ejemplo de informe de análisis de escenarios de un supuesto en base a la norma ISO 9001

1. Introducción

El presente informe detalla el análisis de escenarios realizado conforme a los requisitos de la norma ISO 9001, con el objetivo de identificar posibles riesgos y oportunidades para el sistema de gestión de calidad de la empresa.

2. Metodología

El análisis de escenarios se llevó a cabo mediante la recopilación de datos históricos, entrevistas con el equipo de gestión de calidad y el uso de herramientas de modelado para simular diferentes situaciones futuras. Se seleccionaron tres escenarios principales: el mejor caso, el peor caso y el escenario esperado.

3. Escenarios Considerados

Mejor Caso: Se considera un escenario en el que la empresa experimenta un aumento significativo en la satisfacción del cliente, una reducción en los costos de producción y un aumento en la eficiencia de los procesos. Todos los indicadores de desempeño cumplen con los objetivos establecidos por la norma ISO 9001.

Peor Caso: Este escenario contempla una disminución en la satisfacción del cliente debido a problemas de calidad, un aumento en las quejas y reclamaciones, así como la pérdida de certificación ISO 9001 debido a incumplimientos graves en los procesos.

Escenario Esperado: Se prevé un escenario en el que la empresa mantiene su desempeño actual, con mejoras graduales en la eficiencia de los procesos y la satisfacción del cliente. Se enfrenta a desafíos y oportunidades típicas del entorno empresarial actual.

4. Historias de Escenarios

Mejor Caso: La empresa implementa nuevas tecnologías de vanguardia, lo que resulta en una mayor productividad y calidad. Se logran certificaciones adicionales y se expande a nuevos mercados.

Peor Caso: La empresa sufre una crisis de calidad debido a fallas en la cadena de suministro. Esto conduce a la pérdida de clientes y daña la reputación de la marca. Se requieren acciones correctivas urgentes para evitar la pérdida de la certificación ISO 9001.

Escenario Esperado: La empresa experimenta un crecimiento constante, manteniendo su enfoque en la mejora continua y la satisfacción del cliente. Se realizan ajustes en los procesos para adaptarse a los cambios del mercado.

5. Efectos de Políticas o Planes

Se identifican políticas y planes específicos para cada escenario, incluyendo acciones preventivas y correctivas, revisiones de procesos y estrategias de comunicación con los clientes y partes interesadas.

6. Lista de Riesgos Emergentes

Para cada escenario, se enumeran los riesgos potenciales que podrían surgir y se proporcionan recomendaciones para su mitigación.

7. Indicadores Clave de Riesgo

Se definen indicadores clave para monitorear la evolución de los riesgos identificados y tomar medidas preventivas según sea necesario.

8. Conclusiones y Recomendaciones

El análisis de escenarios destaca la importancia de la gestión proactiva de riesgos y la adaptabilidad del sistema de gestión de calidad. Se recomienda implementar medidas preventivas y estar preparados para abordar diferentes situaciones.

9. Referencias

Se hace referencia a la norma ISO 9001 y a fuentes de datos relevantes utilizadas durante el análisis.

10. Anexos

Se adjuntan datos adicionales, gráficos y modelos utilizados en el análisis de escenarios.

Este informe proporciona una visión detallada de los posibles futuros de la empresa y establece pautas para la gestión efectiva de riesgos y oportunidades en su sistema de gestión de calidad, conforme a los principios de la norma ISO 9001.

Asignación de recursos en la Gestión de Riesgos de los Sistemas de Gestión

2024-01-30T12:53:00.000+01:00

En este artículo os quiero explicar cada uno de los recursos que son necesarios para llevar a cabo la Gestión de Riesgos en los sistemas de gestión. también propongo algunos ejemplos aplicados a los sistemas de gestión en base a las normas ISO 14001 e ISO 45001.

La única manera en que un sistema de gestión sea eficiente y efectivo es que se destinen todos los recursos necesarios para realizar todas sus actividades y para llevar a cabo las diferentes acciones establecidas para mitigar los riesgos. Para ello la Alta Dirección debe asegurarse de las necesidades reales y de asignar los recursos que sean necesarios para que la gestión sea efectiva.

Estos recursos consisten en:

- En asignar trabajadores que dispongan habilidades, experiencia y competencias específicas de la gestión de riesgos asociados a todos los procesos de la empresa.

- Diseñar e implementar los procesos, métodos y las herramientas a utilizar para la gestión de riesgos de la empresa. Debido a que el sistema de gestión de riesgos tiene que estar integrado en cada uno de los procesos de la empresa, los responsables de área y los responsables de los sistemas de gestión deben encontrar la mejor manera posible para integrarlos. Debido a que todos los sistemas de gestión basados en las normas ISO tienen como uno de sus requisitos más importantes su Gestión de Riesgos no será una tarea muy complicada.

- Desarrollo de los procesos y procedimientos documentados. En algunos casos, el diseño de la documentación del sistema, así como la definición de los diferentes procesos se realiza de forma externa, aunque es necesario que trabajadores especialistas en las diferentes áreas lo adapten a la realidad de sus procesos. En el caso del Sistema de Gestión ambiental (ISO 14001) y el Sistema de gestión de seguridad y Salud (ISO 45001) además de los responsables de proceso (áreas) también deberán intervenir los responsables de los sistemas de gestión, ya que son los que mejor conocen cómo evidenciar el cumplimiento de los requisitos del sistema, así como la normativa y legislación que es de aplicación en cada caso.

- Proporcionar asesoramiento externo. En algunos casos, depende de la complejidad de la actividad, y tal y como se ha comentado anteriormente, es necesario que la empresa contrate algún consultor externo especialista en los sistemas de gestión a implementar, con la finalidad de acortar y consolidar una implementación del sistema que sea rápida y efectiva. En algunas ocasiones, una persona que tenga conocimiento amplio y disponga de gran experiencia en aplicar la normativa y legislación que es específica de la actividad de la empresa es vital para disminuir los riesgos asociados a la implementación del sistema de gestión y de posibles incidencias mayores que puedan surgir tras su implementación. Por ejemplo, una empresa que necesite implementar el sistema de gestión ambiental basado en la norma ISO 14001:2015, deberá conocer y saber aplicar la legislación y normativa específica ambiental que aplique a su actividad. Si esta empresa no dispone de un trabajador propio con experiencia en esta área, deberá o bien realizar una contratación de un especialista, ya sea interno o externo, para llevar a cabo esta tarea. Esta persona además de analizar si la empresa cumple o no cumple con la legislación, deberá tomar las medidas necesarias y realizar las comunicaciones pertinentes con las autoridades o administraciones que sean de aplicación.

- Proporcionar las necesidades de formación adecuadas, tanto internas como externas, para poder capacitar a los trabajadores en relación a la Gestión de Riesgos de la empresa.

- Proporcionar los recursos materiales necesarios para mitigar los riesgos identificados. En el caso de detectar que no se disponen, se deberán establecer acciones y un compromiso por parte de la Dirección para proporcionarlos. En este caso concreto, donde mejor se visualiza es en proporcionar a los trabajadores los equipos de protección individual para evitar accidentes, requisito que se deberá cumplir según la ISO 45001:2018 (Sistema de Gestión de Seguridad y Salud de los Trabajadores).

- Identificar las diferentes limitaciones de recursos y adaptar las planificaciones de acciones que requieran de estos recursos en función de su disponibilidad. Por ejemplo, todas las acciones que necesarias para tratar un determinado riesgo con la finalidad de mitigarlo o eliminarlo deben estar planificadas en un determinado tiempo. En el caso, de no disponer de los recursos necesarios el plazo de tiempo previsto aumentará y la planificación variará. La mejor manera de detectar estas incidencias, es decir, los retrasos por la falta de recursos, es la revisión periódica de las planificaciones realizadas. Las previsiones deben irse adaptando a medida que se realizan las diferentes acciones. Una de las principales herramientas que se utilizan para realizar el seguimiento de unas acciones planificadas es el Diagrama de Gantt.

- Proporcionar los recursos tecnológicos que sean necesarios. Hoy en día, la mayor parte de empresas disponen de un software de Gestión específico que ayuda a realizar la gestión y control de los diferentes sistemas de Gestión, ya sean de forma individual o integrada, de una forma más amena, sencilla y sin duplicidades. Estos programas, ya sean elaborados por la propia empresa o comprados, disponen de una serie de herramientas que permiten la entrada de datos desde los diferentes terminales por diferentes usuarios de cada uno de los procesos que se almacenan en una enorme base de datos. A parte de esta base de datos se puede realizar el seguimiento, el análisis y la elaboración de informes prácticamente de forma automática, agilizando mucho en tiempo y esfuerzo.

- Otro de los aspectos importantes, son los recursos financieros. Se requiere de dinero para costear nuevas contrataciones, capacitaciones, formación, adquisición de otro tipo de recursos como los materiales y los tecnológicos. Implementar un sistema de gestión y mantenerlo comporta un coste económico constante que la empresa debe tener en cuenta. Por su puesto, los recursos de tiempo destinado por parte de los trabajadores en actividades asociadas a la Gestión también comporta un coste económico, ya que es posible que se tenga que contratar a más trabajadores para cubrir tareas que se dejan de hacer y que se desvían para dedicarlas a la Gestión.

En la siguiente tabla se dispone de un breve resumen de lo explicado anteriormente:

¿Cómo integrar la gestión del Riesgo en el Sistemas de Gestión general de la empresa?

2024-01-24T13:34:00.002+01:00

En este artículo, os propongo algunos consejos de cómo poder integrar la Gestión de Riesgos en el Sistema de gestión Global de la empresa.

La implementación de la Gestión de Riesgos en una empresa, ayuda a que la Gestión general de la empresa sea más eficaz y efectiva debido a que se puede actuar de una forma planificada a efectos negativos que puedan producirse durante la operatividad habitual de las actividades de la empresa. En este contexto, no debemos considerar la Gestión de Riesgos como un proceso independiente de la Gestión global de la empresa, sino un apoyo para mejorar el sistema. El proceso de la gestión de riesgos debe formar parte en cada faceta de la estructura organizativa, y todos los miembros comparten la responsabilidad de manejar los riesgos.

La dirección de la organización guía la trayectoria de la entidad, sus relaciones internas y externas, así como las normas, procesos y prácticas necesarios para alcanzar sus objetivos. Las estructuras de gestión convierten la orientación de la dirección en estrategias y metas asociadas necesarias para lograr los niveles deseados de rendimiento sostenible y viabilidad a largo plazo. La asignación de responsabilidades y la supervisión de la gestión de riesgos dentro de las organizaciones son elementos esenciales de su dirección.

La incorporación de la gestión de riesgos en las organizaciones es un proceso dinámico y repetitivo, adaptándose a las necesidades y cultura de la organización. Según las recomendaciones de la norma ISO 31000:2018 "Gestión de Riesgos - Directrices" en su apartado 5.3 describe que la gestión de riesgos debe formar parte integral, no separada, del propósito, la dirección, el liderazgo y compromiso, las estrategias, metas y operaciones de las organizaciones.

En base a esta premisa, es lógico pensar que las normas de referencia ISO que definen los sistemas de gestión, como por ejemplo, ISO 9001, ISO 14001 e ISO 45001, entre otras, dispongan de un requisito común en relación a la Gestión de Riesgos. Las últimas versiones de estas normas, disponen de una estructura común, llamada de Alto Nivel, que permite que los diferentes requisitos de cada una de las normas sean integrables en un sólo Sistema Documental.

Cada una de las normas anteriores, dispone de requisitos comunes y específicos. Los requisitos comunes, como puede ser la gestión de riesgos o la identificación del contexto de la organización, entre otros, pueden integrarse fácilmente. Esta integración consiste en fusionar metodologías (procedimientos) y compartir registros.

Habitualmente, en empresas donde disponen de varios sistemas de gestión implementados, el sistema de gestión que marca la estructura documental es la norma ISO 9001, y a partir de ella se van integrando los demás sistemas de gestión, incluido el de riesgos, ya que es un proceso en sí mismo y un requisito que debe cummplirse asociado a los sistemas de gestión.

la integración consiste en elaborar un único procedimiento o ficha de proceso donde se explique en detalle la metodología a seguir, las herramientas a utilizar, los registros que se deberán cumplimentar, los responsables de llevarlo a cabo... Es decir el procedimiento deberá incluir la metodología a seguir para:

- Identificar todos los riesgos asociados a los procesos de la empresa. En el caso de disponer de diferentes sistemas de gestión (diferentes disciplinas) los riesgos e pueden clasificar según su tipología y naturaleza. Este aspecto podrá definirse en un único apartado, ya que es común a todos los sistemas de gestión y por lo tanto se explicará la metodología a seguir para identificar los diferentes riesgos indicando la procedencia de ellos, ya sea común a todos los sistemas de gestión o específica a las diferentes disciplinas de los sistemas de gestión.

- Las técnicas y herramientas que se van aplicar. Existen numerosas técnicas y herramientas que se aplican para realizar la identificación y evaluación de los riesgos de una empresa. En la norma ISO 31010:2018 se dispone de una guía de las diferentes técnicas que más se utilizan en la Gestión de Riesgos. En mi blog disponéis de la metodología de algunas de ellas. (Ver enlace). Habitualmente las empresas escogen utilizar la misma técnica para evaluar todos los riesgos independientemente de su tipología. Para actividades complejas, se pueden escoger varias técnicas, en ese caso se explicaría cada una de las metodologías a seguir para cada tipo de riesgo.

- Los criterios se van aplicar para la evaluación de los diferentes tipos de riesgos. Estos criterios pueden ser diferentes dependiendo del tipo de riesgos que se estén evaluando. Para ello, en el procedimiento se puede realizar un apartado indicando los criterios de evaluación específicos para cada uno de los tipos de riesgos que se hayan identificado. Por ejemplo, los criterios de evaluación deben ser diferentes para evaluar un aspecto que puede ocasionar un impacto ambiental, que para un riesgo asociado al proceso productivo de una empresa, como puede ser por ejemplo, el retraso en la entrega del producto debido a un parón en la fabricación.

- La evaluación de los riesgos y la determinación de su significancia. Se deberá aplicar la técnica seleccionada, aplicando los criterios de evaluación definidos así como establecer los rangos de significancia para cada uno de los riesgos. Estos rangos podrán variar dependiendo de la tipología de los riesgos identificados y tendrán que ser coherentes con el cálculo derivado de la evaluación aplicando los criterios definidos para cada tipo de riesgo.

- Planificar las acciones de mitigación de los riesgos. Para aquellos riesgos significativos se deberán establecer una serie de acciones planificadas que ayudarán a mitigar los diferentes riesgos en caso que ocurran. Una vez aplicadas estas acciones se deberá evaluar su eficacia. Esta metodología puede ser común a todos los riesgos identificados, y por lo tanto, será descrita en un único apartado en el procedimiento.

Por lo tanto, a la hora de integrar el proceso de la gestión de Riesgos en el sistema de gestión general de la empresa se deberán tener en cuenta los siguientes pasos:

A continuación se explican cada uno de ellos:

1. Comprensión de los Sistemas de Gestión existentes, como pueden ser los basados en las normas ISO 9001 (Gestión de Calidad), ISO 14001 (Gestión Ambiental) e ISO 45001 (Gestión de Seguridad y Salud). La Gestión de riesgos es un requisito que debe cumplirse para cada uno de los sistemas de gestión implementados en la empresa. Por lo tanto, será necesario para poder integrar el proceso comprender cada uno de los aspectos que se solicitan, tanto comunes como específicos, en cada una de las normas que son de aplicación. Los requerimientos comunes se podrán integrar y los específicos se tendrán que describir a parte. Por otra parte, tanto la gestión de riesgos como los sistemas de gestión implementados, deberán entender los objetivos y metas definidas en el sistema y que deben ir en la misma dirección y complementarse.

2. Considerar el Contexto Organizacional para Evaluar los Riesgos. la evaluación de riesgos debe tener en cuenta el contexto de la organización, para ello se debería tener en cuenta las recomendaciones descritas en la norma ISO 31000. Se deberán identificar los factores internos y externos que podrían afectar los objetivos de calidad, medio ambiente y seguridad.

3. Integración en la Planificación Estratégica de los objetivos. Se deberá Incorporar la gestión de riesgos en la planificación estratégica de la organización. Los riesgos identificados deberán alinearse con los objetivos estratégicos de cada sistema de gestión.

4. Desarrollo de un Marco de Gestión de Riesgos. Se deberá diseñar un marco de gestión de riesgos que sea coherente, definiendo los roles y responsabilidades, estableciendo los procesos para la identificación, evaluación y tratamiento de riesgos.

5. Identificación, evaluación y mitigación de los Riesgos y Oportunidades. Se deberá identificar los riesgos y oportunidades específicos relacionados con la calidad, medio ambiente y seguridad. Esto puede incluir eventos que podrían afectar la satisfacción del cliente, el rendimiento ambiental y la seguridad en el trabajo.

6. Documentación y Comunicación. Se realizará un procedimiento, así como los registros que sean necesarios para documentar los resultados de la evaluación de riesgos y las estrategias de tratamiento, además de asegurarse que esta información esté disponible y se comunique efectivamente a través de las diversas funciones y niveles de la organización.

7. Integración en Procesos Operativos. se deberá incorporar el proceso de la gestión de riesgos en los procesos operativos diarios. Los empleados deberán ser conscientes de los riesgos asociados con sus actividades y que se tomen medidas para mitigarlos.

8. Monitoreo y Revisión Continua. Establece sistemas de monitoreo y revisión continua para evaluar la eficacia de las medidas de mitigación de riesgos. Se deberán realizar revisiones periódicas para ajustar las estrategias de gestión de riesgos según sea necesario. Estas revisiones deberán estar documentadas, de este modo se podrá demostrar que se ha revisado.

9. Realización de Auditorías Integradas. La gestión de riesgos no se audita de forma individualizada, sino como parte de los requisitos del sistema de gestión que se esté auditando. En el caso de auditorías que se esté auditando varios sistemas de gestión a la vez y que estos estén integrados, se auditará la gestión de riesgos de forma integrada, ya que es un requisito común a las diferentes disciplinas de sistemas de gestión. Cabe decir, que para determinadas actividades que son muy complejas, y donde el la determinación del riesgo es muy significativa, se realicen auditorías específicas de la gestión del riesgo. A parte de lo anteriormente dicho, las auditorías permiten evaluar la efectividad de la gestión de riesgos y buscan oportunidades de mejora.

10. Mejora Continua. Se deberá utilizar los resultados de las evaluaciones de riesgos y auditorías para impulsar la mejora continua en todos los sistemas de gestión. se deberá ajustar los procesos y estrategias de gestión de riesgos para optimizar su eficacia.

Liderazgo y Compromiso en la Gestión de Riesgos de los Sistemas de Gestión

2024-01-17T10:50:00.001+01:00

Con la finalidad de cumplir con el requisito de Gestión de Riesgo descrito en las normas ISO en relación a los Sistemas de Gestión (ISO 9001, ISO 14001, ISO 45001...) es imprescindible que la Dirección de la empresa apoye su desarrollo, implementación, integración en el sistema, control de desempeño y mejora de dicha Gestión. En este artículo, os daré algunas pautas de cómo puede implicarse la Dirección de la empresa en la Gestión de Riesgos y de los aspectos que hay que tener en cuenta para que la gestión sea efectiva y pueda integrarse en la Gestión general de la organización.

Para ello, se utilizará de referencia las recomendaciones descritas en la norma ISO 31000:2018 "Gestión del Riesgo - Directrices" en su apartado 5.2, que establece algunos aspectos a tener en cuenta en relación al Liderazgo y compromiso.

Tanto la Dirección de la empresa como los órganos de supervisión del sistema deben asegurar que la Gestión de riesgos se integre en todas las actividades del Sistema de Gestión general de la empresa. Para ello, es necesario que evidencien que se establece que se realiza un buen liderazgo por parte de la Dirección y que ésta se compromete a realizar las acciones oportunas para que se puedan llevar a cabo todas las actividades necesarias para que la Gestión de Riesgos de la empresa sea efectiva y esté integrada. Algunas de estas evidencias podrían ser las siguientes:

- Elaborar y publicar una política que establezca los objetivos, el plan y la línea de acción para la Gestión de Riesgo. Esta política puede ser específica para la gestión de riesgos, aunque lo más habitual es que se incorpore en la política general de la empresa. Es decir, se destine un párrafo o unas pocas líneas a evidenciar el compromiso específico por parte de la Dirección en relación a la Gestión de Riesgos.

- Se deben asegurar que se destinan todos los recursos necesarios para que las actividades y acciones que deben realizarse para tener una gestión de riesgos efectiva se realicen. Es decir, destinar todos los recursos humanos, materiales y económicos que sean necesarios para llevar a cabo todas las actividades planificadas, así como las acciones correctoras correspondientes para corregir las desviaciones detectadas.

- La Dirección deberá asignar las autoridades, funciones y responsabilidades de cada uno de los trabajadores, para que se lleven a cabo todas las actividades de forma eficaz y efectiva. Se deberá, como sucede en los diferentes sistemas de gestión, definir en el procedimiento, el detalle de cada una de las tareas del proceso de Gestión de Riesgos asignado a cada puesto de trabajo. Además deberá quedar reflejado en el organigrama y en los diferentes procedimientos donde se describen cada una de las actividades asociadas a la Gestión de Riesgos.

- La Dirección debe analizar el contexto de la organización. La Dirección de la empresa debe identificar los riesgos asociados a las debilidades, amenazas y oportunidades dentro del contexto interno y externo de la organización. A partir de identificar estos aspectos, así como sus riesgos, la Dirección podrá tomar las decisiones oportunas, así como destinar los recursos necesarios, para minimizar estos riesgos. En conclusión, servirá como ayuda para tomar las decisiones oportunas para mejorar la gestión de la empresa. Para evidenciar su participación en el proceso, dejará constancia documental de ello.

- La Dirección debe identificar las motivaciones e implicación de las diferentes partes interesadas, en este caso, asociadas a la gestión de riesgos de la empresa. Por ejemplo, una parte interesada que debe identificarse y analizarse, son los bancos, ya que son los que proporcionan la financiación para que la empresa pueda funcionar. En el que caso que no exista una buena operatividad, puede ocasionar un riesgo de envergadura hacia la empresa.

- Elaboración de unos objetivos en relación a la Gestión de Riesgos. Este documento, como los demás en esta lista, pueden ser específicos de la Gestión de Riesgos, o bien incorporarlos en el documento del Sistema de Gestión general de la empresa.

- Planificación estratégica. la Dirección de la empresa debe vincular la gestión de riesgos con la planificación estratégica de la organización evidenciando cómo la gestión de riesgos contribuye al logro de los objetivos y metas. Es decir, para cada uno de los objetivos estratégicos planificados, se deberá evaluar sus riesgos y tenerlos en cuenta para garantizar que se cumple con el objetivo establecido. Por ejemplo, la empresa decide abrir una sucursal en otro país el cual se identifica un riesgo significativo en relación a su estabilidad monetaria e inflación. Cuando la empresa abra esa sucursal deberá tener en cuenta este riesgo y establecer las medidas para que eso no repercuta en los resultados esperados. Se deberá evidenciar con estudios previos, su análisis de riesgos e informes, todos ellos firmados y aprobados por la Dirección de la empresa.

- Acta de reunión de la revisión del sistema y acta de las reuniones de seguimiento. En estas reuniones se realiza un análisis completo del control y la gestión del sistema, además de tomarse las decisiones oportunas para llevar a cabo las diferentes acciones. Suele ser en la reunión de la revisión del sistema donde se realizan las planificaciones de las acciones a realizar durante un determinado tiempo (normalmente de forma anual), se asignan los recursos y se establecen los plazos. Por otro lado también se analiza el grado de cumplimiento de planificaciones pasadas, posibles incidencias o desviaciones y se establecen las pautas para corregir estas desviaciones, además de analizar la efectividad de acciones pasadas. La Dirección deberá estar presente y participar activamente de estas reuniones, dejando su evidencia mediante su firma en el acta de cada una de estas reuniones.

- Firma de aprobación por parte de la Dirección de los diferentes documentos del sistema de gestión. Una de las maneras en que se puede evidenciar el compromiso por parte de la Dirección es mediante su firma en los diferentes documentos del sistema de gestión. En el procedimiento donde se define cómo deben gestionarse y controlarse los diferentes documentos del sistema, se debe hacer mención, normalmente mediante una firma, de quien elabora, revisa y aprueba el documento. Mediante la firma de los documentos haciendo constar que es la Dirección es quien los aprueba, se garantiza la evidencia de su compromiso para cada uno de los requisitos de la norma. La aprobación por parte de la Dirección de los documentos específicos de la Gestión de Riesgos asociados a la identificación, evaluación, medición del desempeño y plan de mitigación de los riesgos debe constar mediante su firma en estos documentos.

- Elaboración de comunicados, reuniones informativas y charlas. Otra evidencia que se puede crear para asegurarse que se establece un liderazgo y compromiso por parte de la Dirección es la elaboración de comunicados y charlas. Habitualmente este recurso se aplica para corregir posibles incidencias que se detectan cuando los trabajadores, por desconocimiento o por dejadez, no aplican los procedimientos y metodologías aprobadas por la Dirección. En cualquiera de ellas se debe dejar constancia documental mediante sus firmas e identificación de quién ha realizado la charla y de cada uno de los asistentes. Por otro lado, es requisito de la norma, comunicar a las partes interesadas sobre la gestión de riesgos de la empresa, por lo que se deberá dejar constancia documental de ello.

Todas estas evidencias documentales serán revisadas y supervisadas en las diferentes auditorías, de esta manera los auditores pueden verificar el liderazgo y compromiso por parte de la Dirección, y evaluar cómo se involucra en el sistema y con los trabajadores que llevan a cabo las diferentes actividades planificadas. Por ese motivo, para la verificación de algunos requisitos, los auditores requieren que la Dirección esté presente en algunos puntos de la auditoría, y respondan directamente algunas preguntas sin la intermediación del Responsable del sistema de gestión.

En la siguiente tabla se puede visualizar un resumen de los diferentes documentos que deberá dejar constancia de su aprobación la Dirección de la empresa y que servirán de evidencia de su liderazgo y compromiso:

Estudios de Peligro y Operatividad (EPO o HAZOP) aplicados a la Gestión de Riesgos de los Sistemas de Gestión

2024-01-09T12:56:00.006+01:00

En este artículo os voy a explicar, mediante un ejemplo práctico en base al Sistema de Gestión ISO 9001, en qué consisten y cómo puede aplicarse los Estudios de Peligro y Operatividad (EPO) en a la Gestión de Riesgos de un Sistema de Gestión. Esta herramienta está incluida en las 42 técnicas y herramientas que propone la norma ISO/IEC 31010 "Gestión del riesgo. Técnicas de evaluación del riesgo".

¿En qué consiste?

Los Estudios de Peligro y Operatividad (EPO), también conocidos como HAZOP por sus siglas en inglés (Hazard and Operability Study), son un tipo específico de técnica de evaluación de riesgos.

Esta técnica se desarrolló para poder analizar sistemas de procesos químicos. Rápidamente, debido a su efectividad, se extendió a otros campos y tipos de sistemas para analizar el diseño y la operatividad de operaciones complejas. En la actualidad, se utiliza ampliamente en la revisión del diseño de software, donde se denomina PCAO (Peligros de Control y Análisis de Operatividad; o también, Peligros de Computación y Análisis de Operatividad).

En términos generales, un estudio HAZOP implica un análisis detallado de un producto, proceso, procedimiento o sistema (por lo general, un sistema técnico como una planta industrial, proceso de fabricación, instalación, etc.) para identificar y evaluar los peligros potenciales y los posibles problemas operativos. Además también puede ser útil para identificar los riesgos asociados a las personas, el equipo, el ambiente y/o los objetivos de la organización.

Este método se fundamentan en una meticulosa revisión sistemática de cada componente del sistema, sus relaciones e condiciones de funcionamiento. Este enfoque busca detectar posibles desviaciones que puedan resultar en riesgos o impactos no deseados. Se trata de una técnica cualitativa que emplea una serie de preguntas específicas para evaluar cada etapa del diseño o del proceso en sí mismo. El propósito es identificar aspectos potenciales que podrían impedir la realización efectiva de diversas tareas.

¿Cómo se aplica la técnica EPO?

Un estudio EPO se inicia:

- Durante la etapa de elaboración del diseño. En esta etapa se puede aplicar cuando se dispone de un diagrama completo del proceso pero cuando aún están permitidos cambios.

- En cada una de las fases del diseño. En este caso, se cuestionan cada una de las etapas a medida que el diseño se desarrolla.

- Durante la etapa de operación. En este caso, si se decide realizar algún cambio, puede ser más costoso que en la etapa de diseño.

La metodología EPO o HAZOP implica considerar las siguientes etapas:

1. Designación del responsable y el equipo de estudio. Se deberá designar un responsable que va a liderar el estudio y el equipo de personas que lo van a llevar a cabo. El responsable deberá garantizar que se realicen las acciones planificadas y verificar que estas se cumplan según lo establecido. El equipo designado y supervisado, debe ser multidisciplinario, incluyendo personal de diseño y operaciones, que puedan evaluar los efectos de las desviaciones detectadas. Los trabajadores designados no deberían estar involucrados directamente con el proceso, sistema o procedimiento a estudiar, ya que podrían no ser objetivos.

2. Definición de los objetivos y el alcance del estudio.

3. Elaboración de una tabla estableciendo el conjunto de claves o palabras guía para el estudio.

4. Recolección de la información necesaria para llevar a cabo el estudio EPO

La información necesaria de entrada para realizar un estudio EPO es la siguiente:

- Los objetivos y el alcance del estudio.

- Información actual del diseño, sistema, proceso o procedimiento que se revisa.

- El desempeño de las especificaciones del diseño.

- la Información necesaria para realizar el estudio son, por ejemplo, planos, hojas de especificación, diagramas de flujo, diagramas lógicos y de control del proceso, planos de distribución, procedimientos, fichas de proceso, procedimientos de respuesta ante emergencias, diagramas de la organización, descripción de las funciones, pliegos, contratos, normativa... es decir, cualquier documento que describa las soluciones y los elementos del sistema o procedimiento que se estudia.

5. Identificación de desviaciones. Se examina sistemáticamente cada elemento del sistema, considerando diferentes variables como flujo, presión, temperatura, etc., y deliberan sobre posibles desviaciones de diseño o funcionamiento estándar. Es probable que se deba dividir el sistema, proceso o procedimiento en elementos o fases más pequeñas para que el análisis se realice con más detalle y profundidad.

6. Evaluación de riesgos. Una vez identificadas las desviaciones, se analiza el riesgo asociado a cada una de ellas. Se evalúa la gravedad del posible impacto y la probabilidad de que ocurra la desviación.

7. Propuestas de mitigación. Se proponen medidas para reducir o eliminar los riesgos identificados. Estas pueden incluir cambios en el diseño, mejoras en los procesos, cambios en las operaciones o implementación de salvaguardas adicionales. Para poder evitar que se vuelvan a producir las mismas incidencias, se deberá analizar muy bien, las causas y las consecuencias de cada una de las desviaciones detectadas.

8. Evaluación de las medidas correctoras. Las medidas correctoras propuestas deberán ser planificadas, realizar un seguimiento periódico, y evaluar la efectividad de las medidas tomadas, evaluando el riesgo de nuevo si es necesario.

9. Documentar el estudio. Cada una de las etapas anteriores deberá ser documentada e incorporada en el informe final del estudio. por lo tanto, el informe final del estudio debe contener los diferentes aspectos:

- Documentación de partida y en la que se basa el estudio.

- Las actas de las reuniones del equipo. Es posible que durante todo el proceso del estudio, se realicen reuniones de equipo donde se analizan algunos resultados y documentación de referencia. Las actas de las reuniones, así como la documentación de referencia y las conclusiones consensuadas, deberán estar en el informe final.

- La palabra guía utilizada.

- Las desviaciones o incidencias detectadas.

- El análisis de las posibles causas y consecuencias de cada una de las desviaciones detectadas. Para ello, se pueden aplicar alguna de las siguientes herramientas: Control Estadístico de Procesos (CEP), Diagrama Causa-Efecto, Análisis de Árbol de Fallas (AAF), Esquema de Corbatín, Matriz de Consecuencia y probabilidad, entre otras.

- Las acciones a realizar para tratar de minimizar las desviaciones detectadas, así como los recursos destinados y su planificación.

- La evaluación del desempeño. Se deberá realizar un seguimiento a la planificación de las acciones con la finalidad de garantizar su realización.

- la evaluación de la eficacia de las medidas de mitigación realizadas.

Similitudes y diferencias entre las técnicas EPO/HAZOP y AMEF

Los Estudios de Peligro y Operatividad (EPO) y el Análisis de Modos de Falla y Efectos (AMFE) son dos herramientas fundamentales en la gestión de riesgos que comparten ciertos aspectos pero difieren en su enfoque y momento de aplicación.

El AMFE se centra en identificar los modos de falla potenciales de un proceso, sistema o procedimiento desde el inicio. Su objetivo principal es anticipar y prevenir posibles problemas al considerar las diversas formas en las que un sistema puede fallar, analizando sus causas y evaluando las consecuencias de dichos fallos. Esta metodología se inicia con la identificación de los modos de falla y luego se evalúan sus causas y efectos. Si se necesita más información y cómo aplicar esta técnica podéis consultarlo aquí.

Por otro lado, los EPO se asemejan al AMFE en su objetivo de identificar problemas potenciales en un sistema, pero se diferencian en su enfoque. En los EPO, se realiza una revisión sistemática de cada elemento del sistema, sus interacciones y condiciones de operación para detectar desviaciones que puedan generar riesgos o impactos no deseados. A diferencia del AMFE, donde se comienza con la identificación de modos de falla, en los EPO se analizan los resultados y desviaciones no deseadas en relación con las condiciones y resultados previstos, y se retrocede para identificar posibles causas y modos de falla.

La principal diferencia radica en el punto de partida de cada método: el AMEF empieza identificando los modos de falla, mientras que los EPO consideran los resultados y desviaciones no deseadas primero para luego retroceder y evaluar posibles causas y modos de falla que podrían llevar a dichas desviaciones.

Ambas metodologías son complementarias y valiosas para la gestión de riesgos, ya que proporcionan perspectivas distintas y pueden aplicarse de manera conjunta para una evaluación más completa y efectiva de los riesgos en un sistema o proceso.

Ejemplo de aplicación en un sistema de gestión de Calidad en base a la norma ISO 9001

Se supone una empresa que busca mejorar su proceso de fabricación de productos electrónicos, y decide aplicar la herramienta de Estudios de Peligro y Operatividad (EPO) como parte de su Sistema de Gestión de Calidad basado en la norma ISO 9001. Las diferentes etapas de aplicación de la técnica EPO serían las siguientes:

1. Designación del responsable y el equipo de estudio. La empresa nombra a un gerente de calidad como responsable del estudio y forma un equipo multidisciplinario que incluye ingenieros de producción, técnicos de calidad y operarios clave.

2. Definición de los objetivos y el alcance del estudio. El objetivo es identificar posibles desviaciones en el proceso de fabricación que puedan afectar la calidad del producto. El alcance se limita al proceso de ensamblaje y pruebas electrónicas.

3. Establecimiento del conjunto de claves o palabras guía para el estudio. Se definen palabras clave como "materiales", "montaje", "pruebas", "mantenimiento", etc., que guiarán la revisión detallada de cada aspecto del proceso.

A continuación se muestra una tabla para su aplicación en el ejemplo:

Aplicación de la tabla en el ejemplo:

Durante la sesión de Estudios de Peligro y Operatividad (EPO), el equipo utiliza estas palabras guía para analizar específicamente cada área del proceso de fabricación de productos electrónicos:

Materiales. Se examinan los registros de proveedores, se verifican las especificaciones técnicas y se discuten posibles problemas relacionados con la calidad de los materiales utilizados en la fabricación de componentes electrónicos.

Montaje. Se revisan los procedimientos de ensamblaje para identificar puntos críticos donde podrían ocurrir errores, como malas conexiones o alineaciones incorrectas de componentes.

Pruebas. Se evalúan los procesos de prueba para detectar posibles inconsistencias en los procedimientos o en los resultados obtenidos en diferentes etapas del proceso de fabricación.

Mantenimiento. Se analizan los registros de mantenimiento para identificar cualquier correlación entre el mantenimiento de la maquinaria utilizada en el proceso y posibles fallos en la calidad del producto final.

Estas palabras guía ayudan a estructurar el análisis, permitiendo al equipo examinar cada aspecto relevante del proceso de fabricación y detectar posibles desviaciones que podrían representar riesgos para la calidad del producto.

4. Recolección de la información necesaria. El equipo recopila datos sobre especificaciones de diseño, procedimientos de fabricación, historiales de calidad, informes de mantenimiento y retroalimentación de los operarios.

5. Identificación de desviaciones. Se lleva a cabo una sesión de estudio donde el equipo analiza cada etapa del proceso. Utilizando las palabras clave establecidas, se identifican posibles desviaciones como inconsistencias en el uso de materiales, problemas en el montaje de componentes y variaciones en los resultados de las pruebas.

6. Evaluación de riesgos. Cada desviación identificada se evalúa en términos de su impacto potencial en la calidad del producto. Se considera la probabilidad de ocurrencia y la gravedad de cada riesgo.

7. Propuestas de mitigación. Se generan ideas para abordar cada riesgo identificado. Por ejemplo, implementar controles más estrictos en el proceso de adquisición de materiales, mejorar las instrucciones de montaje o realizar capacitaciones adicionales para los operarios.

8. Evaluación de las medidas correctoras. El equipo analiza la viabilidad y efectividad de las propuestas de mitigación. Se priorizan las acciones más efectivas y factibles.

9. Documentar el estudio. Se elabora un informe detallado que incluye las desviaciones identificadas, los riesgos evaluados, las propuestas de mitigación y las medidas correctoras recomendadas. Este informe se integra al sistema de gestión de calidad de la empresa y se establece un plan para implementar las acciones correctivas.

Una mirada a los artículos publicados en 2023

2023-12-29T07:01:00.000+01:00

En este artículo quiero hacer un breve repaso a los 30 artículos publicados durante el 2023, y que espero que os resultaran de interés y ayuda; ya que esa es la principal misión de este blog.

A continuación se listan las publicaciones agrupadas por temáticas incorporando sus correspondientes enlaces:

Metodologías para realizar auditorías en los sistemas de gestión

- Auditoría remota de un Sistema de Gestión

- Herramienta de Ciclo de mejora continua (PHVA) en una auditoría

- Reunión de apertura de una auditoría
- Gestión del proceso de auditoría

- Diagrama de Gantt aplicado en la Auditoría de los Sistemas de Gestión

- Lista de verificación o Check-list en una auditoría

- Diagrama de tortuga aplicado al proceso de auditoría

- Introducción a la competencia y evaluación de los auditores

- ¿Quién debe realizar un Programa de Auditoría?

- Los objetivos de la Auditoría de los Sistemas de Gestión

Durante el primer trimestre del 2023 me he centrado en explicaros algunos conceptos y técnicas que se pueden aplicar en los procesos de Auditoría en los Sistemas de Gestión. Los ejemplos que os he mostrado en los diferentes artículos se basan en los sistemas de gestión basados en las normas ISO 9001 (Gestión de Calidad), ISO 14001 (Gestión Ambiental) e ISO 45001 (Gestión de Seguridad y Salud). Estos artículos están dirigidos tanto a los auditores como a los auditados. Por ambas partes se debe conocer muy bien cuál es el procedimiento a seguir y las diferentes estrategias de auditoría aplicar.

Por un lado, si eres un auditor que estás adquiriendo experiencia en la realización las auditorías, quizás necesites algunas pautas, en base a mi experiencia, y siguiendo las recomendaciones de la norma ISO 19011:2018, de cómo poder verificar de una forma efectiva los diferentes requisitos de las normas que definen los diferentes sistemas de gestión empresarial.

Por otro lado, desde el punto de vista del auditado, si conoce cómo va a proceder en cada momento el auditor, tendrá más capacidad de preparar el proceso y anticiparse a posibles "problemillas" que se pueda encontrar durante el proceso.

Debido al gran interés que habéis mostrado en este tema y vuestra insistente petición de obtener una guía que desarrolle las diferentes metodologías y estrategias para auditar un Sistema de Gestión Empresarial, publiqué el pasado mes de mayo un libro donde os explico paso a paso cómo podéis realizar auditorías de los sistemas de gestión.

Información sobre el libro publicado en este 2023: Descripción, formatos, índice y formas de pago

- Libro: Guía para Auditores y Auditados de los Sistemas de Gestión

Durante el segundo semestre de 2023, me he enfocado en compartir con ustedes conceptos, técnicas y herramientas fundamentales de la Gestión de Riesgos en los Sistemas de Gestión. Las normas ISO, como la 9001 (Gestión de Calidad), 14001 (Gestión Ambiental) y 45001 (Gestión de Seguridad y Salud), entre otras, establecen el requisito de manejar los riesgos y sugieren seguir las pautas delineadas en las normativas ISO 31000 e ISO 31010. La norma ISO 31010 detalla 31 técnicas y herramientas que se emplean para identificar, evaluar, analizar y mitigar los riesgos. En estos escritos, les muestro cómo aplicar estas técnicas específicamente en la gestión de riesgos dentro de diferentes sistemas de gestión mediante ejemplos prácticos reales.

Desarrollo de los Conceptos y requisitos de Gestión de Riesgos aplicada a los Sistemas de Gestión en base a la norma ISO 31000.

- Normativa relacionada con la gestión del riesgo en los sistemas de gestión

- Criterios del riesgo en un Sistema de gestión

- Definir el Alcance en la Gestión de Riesgos

- Proceso de gestión de riesgos

- Los objetivos y los principios de la gestión de riesgo en los SG

Técnicas y herramientas aplicadas en la Gestión de Riesgos de los sistemas de gestión, con ejemplos prácticos basados en las normas ISO 9001 (Gestión de Calidad), ISO 14001 (Gestión Ambiental) e ISO 45001 (Gestión de Seguridad y Salud).

- Listado de técnicas y herramientas para la Gestión de Riesgos

- Técnica Delphi

- Análisis de Causa Principal (ACP)

- La técnica estructurada "¿Qué Pasaría Si...?" (EQPS)

- Análisis en esquema de Corbatín

- Análisis de Árbol de Fallas (AAF)

- Matriz de consecuencia y probabilidad

- Listas de verificación

- Entrevistas estructuradas y semiestructuradas
- Análisis de Árbol de Eventos (AAE)

- Análisis de peligros y puntos críticos de control (APPCC)

Sistema de Gestión de Calidad en base a la norma ISO 9001:2015

- Claves para implementar los indicadores de rendimiento
- Ejemplo de Identificación y trazabilidad del proceso de fabricación

- Pasos para elaborar e implementar la documentación de SG

En la tabla siguiente se listan todos los artículos mencionados anteriormente:

Si estás interesados en la explicación de más requisitos, procedimientos y conceptos asociados a estas y otras normas, podéis consultar el índice de artículos del blog, ya que dispongo publicados más de 350 artículos que desarrollan cada aspecto de los Sistemas de Gestión. El enlace al índice de artículos es el siguiente:

- http://asesordecalidad.blogspot.com/p/indice-de-post.html

Para este año 2024, seguiré elaborando artículos para explicar algunos conceptos, procesos, herramientas y técnicas aplicadas a la gestión de riesgos en los sistemas de gestión, además de otros artículos que me solicitéis para aclarar algunas dudas.

Si tenéis alguna petición o necesidad en que publique algún artículo orientado a responder algunas dudas o bien simplemente a ampliar conocimientos ya existentes, me lo hagáis saber. Podéis poneros en contacto conmigo a través del formulario de contacto del blog, así como en las redes sociales de Linkedin y facebook. Los enlaces son los siguientes:

- Formulario de contacto (blog): http://asesordecalidad.blogspot.com/p/contacto.html

- Linkedin: https://www.linkedin.com/in/adrianagomezvilloldo/

- Facebook personal: https://www.facebook.com/profile.php?id=100013819630234

- Facebook Asesordecalidad: https://www.facebook.com/asesordecalidad

También podéis dejar comentarios en los artículos que encontráis en el blog, y os responderé lo más rápidamente posible. De este modo podéis resolver vuestras dudas, o bien aportar vuestra opinión, ayudando también a los lectores.

Finalmente os quiero agradecer a todos los que leéis o consultáis mi blog, vuestras visitas y participación, sin vosotros este proyecto no sería posible. Además, de todo corazón, os deseo unas felices fiestas y Feliz año 2024.

Comunicación y Consulta en la Gestión de Riesgos de los Sistemas de Gestión

2023-12-19T16:07:00.001+01:00

La comunicación y consulta son aspectos fundamentales para que sea efectiva tanto en la gestión de riesgos como los sistemas de gestión implementados en la organización. Por ese motivo, las normas de referencia ISO 31000 e ISO 31010 recomiendan tener en cuenta una serie de aspectos relacionados con ello. En este artículo se analizará el contenido de las normas referente a la comunicación y la consulta en la gestión de riesgos, así como se mostrará un ejemplo práctico relacionado con el sistema de gestión de calidad en base a la norma ISO 9001:2015.

En la norma ISO 31000:2018 "Gestión del riesgo. Directrices" en su apartado 6.2 hace referencia a los aspectos a tener en cuenta en relación a la Comunicación y consulta en la Gestión de riesgos.

La comunicación y consulta buscan ofrecer a todas las partes interesadas en la organización un entendimiento claro de los riesgos asociados a las diversas actividades. Esta comprensión facilita a todas las partes involucradas la comprensión de las decisiones tomadas y los motivos detrás de la implementación de acciones específicas para mitigar tales riesgos.

¿Cómo se pueden definir los conceptos de comunicación y consulta en el entorno de la Gestión de Riesgos?

La comunicación en la gestión de riesgos implica la toma de consciencia y el intercambio de información relevante sobre los riesgos entre todas las partes interesadas en la organización. Esto incluye a los directivos, empleados, clientes, proveedores, socios y cualquier otra persona o entidad que pueda verse afectada por los riesgos identificados.

La consulta implica involucrar a las partes interesadas en el proceso de gestión de riesgos y hacerlas partícipe de la toma de decisiones. Esto significa no solo informarles sobre los riesgos, sino también solicitar su opinión, experiencia y conocimientos para enriquecer la comprensión de los riesgos y las posibles estrategias para manejarlos.

Una estrecha colaboración entre los procesos de comunicación y consulta dentro del marco de gestión de riesgos fomentan un intercambio de información, siendo oportuno, relevante, preciso y de fácil comprensión. Este intercambio debe considerar la confidencialidad y la integridad de los datos, asegurando simultáneamente el respeto al derecho a la privacidad de las personas involucradas. La coordinación efectiva entre estos procesos no solo promueve la transparencia y la confianza, sino que también permite a las partes interesadas tomar decisiones informadas y contribuir significativamente a la identificación y mitigación de riesgos.

¿Cuándo debe realizarse?

La comunicación y consulta con las partes interesadas involucradas se debe realizar en todas y cada una de las etapas del proceso de la gestión del riesgo.

Los aspectos clave de la Comunicación y consulta en la Gestión de Riesgos

Algunos aspectos clave que influyen en la comunicación y consulta en una Gestión de Riesgos efectiva son los siguientes:

a) Diálogo abierto y transparente

La comunicación debe ser clara y transparente. La información sobre los riesgos, su evaluación y las decisiones tomadas para manejarlos deben ser fácilmente comprensibles para todas las partes interesadas. Para poder realizarlo, se debe fomentar un ambiente donde se promueva la comunicación abierta, permitiendo que las partes interesadas expresen sus preocupaciones, conocimientos y percepciones sobre los riesgos asociados a las actividades.

b) Consultas y participación activa

Es importante involucrar a las partes interesadas para obtener una perspectiva completa de los riesgos. Sus conocimientos y opiniones pueden ayudar a identificar riesgos que podrían pasar desapercibidos de otra manera. Aquellas personas involucradas directamente con la actividad que pueda ocasionar un riesgo, son las que mejor pueden identificarlo.

Para ello, es importante que los trabajadores no tengan miedo en comunicar a sus superiores, o incluso a la Dirección de la empresa, posibles fallas que puedan encontrarse en sus tareas diarias. Estos no deben sentirse evaluados, ni penalizados, tras la comunicación de una falla o riesgo en su tarea, sino arropados y partícipes de aplicar una posible solución a la incidencia (riesgo) identificado.

Invitar a las partes involucradas a sesiones de consulta, talleres o reuniones donde se puedan identificar conjuntamente los riesgos potenciales. Su experiencia y conocimientos específicos pueden aportar una visión más completa y detallada de los posibles riesgos.

c) Grupos de trabajo

Con la finalidad de poder garantizar que la identificación de riesgos sea efectiva, es necesario reunir a trabajadores correspondientes implicados en diferentes áreas de experiencia para cada etapa del proceso de la gestión del riesgo. Se debe asegurar que se consideren de manera apropiada los diferentes puntos de vista ante la identificación de un determinado riesgo, así como sus posibles implicaciones de cada una de las áreas. Aplicando esta estrategia se obtiene suficiente información para facilitar la identificación, evaluación, la supervisión del riesgo y la toma de decisiones.

d) Canal de comunicación adecuado

Para que los trabajadores puedan participar y comunicar abiertamente los posibles riesgos asociados a sus tareas, la comunicación ha de ser fluida y efectiva. Los superiores deben mostrar confianza y garantías que no se penalizará dicha comunicación, sino todo lo contrario, se apremiará por mostrar las deficiencias del proceso. Para ello, es importante establecer canales de comunicación efectivos que permitan a las partes interesadas expresar sus preocupaciones, recibir actualizaciones sobre los riesgos y contribuir con información relevante.

e) Acceso a información relevante

Proporcionar a las partes interesadas información adecuada y comprensible sobre las actividades y los riesgos asociados. Esto les permitirá comprender mejor el contexto en el que se desenvuelven las actividades y evaluar los posibles riesgos de manera más informada.

f) Adaptabilidad

La comunicación y consulta en la gestión de riesgos deben ser flexibles y adaptarse a las necesidades cambiantes de la organización y de las partes interesadas a lo largo del tiempo. para ello, el procedimiento donde se describa la metodología a seguir en relación a este aspecto, deberá ser revisado de forma periódica.

g) Feedback y seguimiento

Establecer mecanismos para recibir retroalimentación continua por parte de las partes interesadas. Esto ayuda a ajustar las estrategias de gestión de riesgos y garantiza que las preocupaciones y puntos de vista de las partes involucradas sean tomados en cuenta.

h) Cultura de gestión de riesgos

La organización debe establecer una comunicación y consulta abiertas entre todos los empleados independientemente su posición dentro de la organización, con la finalidad que ambas sean parte integral del proceso de toma de decisiones en relación con los riesgos.

¿Cómo hacer partícipes a las partes involucradas en las actividades que puedan generar un determinado riesgo?

Por otro lado, la referencia en relación a la Comunicación y consulta que se describe en la norma ISO 31010 "Técnicas de valoración del riesgo" hace referencia a qué aspectos se deben tener en cuenta para hacer partícipes a las partes involucradas en las actividades que puedan generar un riesgo, y estos son los siguientes:

a) Plan de comunicación. Desarrollar un plan detallado que defina cómo se compartirá la información sobre los riesgos con las partes interesadas de manera clara y oportuna.

b) Definición del contexto. Establecer el marco y entorno en el que se llevan a cabo las actividades, identificando los factores que pueden influir en la percepción y gestión de riesgos.

c) Consideración de los intereses de las partes interesadas. Evaluar y tener en cuenta las expectativas, necesidades y preocupaciones de todas las partes interesadas en relación con los riesgos asociados a las actividades.

d) Grupos de trabajo entre áreas para identificar y analizar el riesgo. Promover la colaboración entre diferentes áreas o equipos para identificar y analizar exhaustivamente los riesgos, aprovechando la diversidad de perspectivas y conocimientos.

e) Consideración de todos los puntos de vista. Asegurar que se escuchen y consideren todas las opiniones y puntos de vista relevantes al evaluar los riesgos, evitando sesgos o exclusiones.

f) Garantizar una evaluación adecuada de los riesgos. Utilizar métodos y técnicas apropiados para evaluar los riesgos de manera rigurosa y objetiva.

g) Asegurar la aprobación y asignación de recursos para el plan de tratamiento de riesgos. Obtener el respaldo y los recursos necesarios para implementar las estrategias de tratamiento de riesgos aprobadas.

En la siguiente tabla se puede visualizar de una forma esquemática los diferentes aspectos que influyen en la Comunicación y consulta para que Gestión de Riesgos sea eficiente y eficaz:

Ejemplo de Comunicación y consulta aplicado a la Gestión de riesgos de un Sistema de Gestión en base a la norma ISO 9001:2015

Supongamos una empresa alimentaria. A continuación se muestra un ejemplo de cómo se podría implementar la comunicación y consulta en la gestión de riesgos:

1. Identificación de partes interesadas

Identificación de partes interesadas clave como proveedores de materias primas, clientes, autoridades regulatorias, grupos de consumidores y personal interno involucrado en la producción de alimentos.

Encuestas, reuniones o entrevistas para entender sus expectativas, requisitos y preocupaciones con respecto a la seguridad alimentaria y la calidad.

2. Comunicación interna

Establecimiento de una metodología sobre canales de comunicación interna para informar al personal sobre los riesgos alimentarios identificados y las medidas preventivas.

Capacitación regular para el personal sobre normativas de seguridad alimentaria y procedimientos de gestión de riesgos.

3. Consulta externa

Diálogo abierto con proveedores para asegurar la calidad de las materias primas y discutir posibles riesgos asociados con ellas.

Retroalimentación continua de los clientes sobre la calidad de los productos alimentarios y posibles preocupaciones.

4. Evaluación de riesgos

Análisis de riesgos utilizando ISO 31000 e ISO 31010 para identificar peligros potenciales en la cadena de suministro, producción, almacenamiento y distribución de alimentos.

Evaluación de los riesgos en términos de contaminación microbiológica, química y física de los alimentos.

5. Estrategias de mitigación

Establecimiento de protocolos de seguridad alimentaria que incluyan medidas de control de calidad, saneamiento, trazabilidad y prevención de riesgos.

Implementación de sistemas de control de calidad rigurosos en todas las etapas de producción.

6. Monitoreo y revisión

Monitoreo constante de la calidad mediante pruebas y análisis regulares.

Revisiones periódicas del sistema de gestión de riesgos para actualizar estrategias, considerar nuevas amenazas y mejorar la seguridad alimentaria.

Análisis de peligros y puntos críticos de control (APPCC) aplicada a la Gestión de Riesgos en un Sistema de Gestión

2023-12-06T14:22:00.002+01:00

En este artículo os voy a explicar, mediante un ejemplo práctico aplicado al Sistema de Gestión ISO 9001, en qué consiste y cómo puede aplicarse el Análisis de Peligros y Puntos Críticos de Control (APPCC) aplicada a la Gestión de Riesgos en un Sistema de Gestión. Esta herramienta está incluida en las 42 técnicas y herramientas que propone la norma ISO/IEC 31010 "Gestión del riesgo. Técnicas de evaluación del riesgo".

¿En qué consiste?

El Análisis de Peligros y Puntos Críticos de Control (APPCC) es una metodología utilizada para identificar los peligros, evaluarlos y establecer controles en los procesos que se analizan para protegerlos de dichos peligros y poder así mantener el grado de calidad del producto y/o servicio requerido. Por lo tanto, su principal uso consiste en controlar los riesgos asociados con los procesos de producción.

Este análisis fue desarrollado por el programa espacial de la NASA para establecer controles sobre la producción de alimentos, con la finalidad de garantizar su calidad. En la actualidad, este análisis es ámpliamente utilizado para implementar controles en las cadenas alimentarias para evitar que se contaminen los alimentos. Además su aplicación se extiende más allá de este ámbito y se ha implementado en diversas industrias, como por ejemplo, en la indústria farmacéutica y médica.

El principal objetivo de esta herramienta es garantizar que los riesgos y peligros identificados sean minimizados mediante los controles establecidos en varios puntos de un determinado proceso, y no sólo verificando el producto final.

En el contexto de un Sistema de Gestión de Riesgos (SGR), el APPCC se convierte en una herramienta clave para identificar los riesgos específicos asociados con la producción, los procesos o las actividades de una organización.

Etapas

Su aplicación consiste en los siguientes principios:

1. Identificación de las fases del proceso. Se debe realizar un diagrama de flujo o diagrama del proceso incorporando todas las fases y/o actividades que se realizan indicando el orden correcto de ejecución.

2. Identificación de peligros y las medidas preventivas relacionadas. Una vez identificadas todas las actividades del proceso, se debe identificar cualquier elemento, material o actividad que pueda causar daño o representar un peligro para la seguridad, calidad o integridad de un producto o proceso. Además se deberán identificar las posibles medidas preventivas para poder disminuir los riesgos derivados de los peligros identificados.

3. Determinación de Puntos Críticos de Control (PCC). Una vez que se identifican los peligros, se analizan los puntos críticos de control. Éstos son etapas o actividades específicas en el proceso donde es posible aplicar medidas para prevenir, eliminar o reducir los riesgos a niveles aceptables. Habitualmente, se sitúan allí donde se suele producir el peligro o la falla en el proceso.

Por ejemplo, una empresa que hace vertidos a un río y dispone de un sistema de depuración previo al vertido, deberá establecer Puntos Críticos de Control que consisten en unas analíticas concretas (instantáneas y automatizadas) del agua antes y después de su depuración, con la finalidad de verificar que los vertidos se realizan respetando los límites legales que lo regulan.

4. Establecimiento de límites críticos. Se definen límites o criterios que indican si un proceso está bajo control en los puntos críticos identificados. Estos límites son umbrales que garantizan que el proceso se mantenga seguro y dentro de los parámetros establecidos. Siguiendo con el ejemplo anterior, los límites críticos estarían relacionados con los límites legales establecidos por la legislación ambiental. Con la finalidad de garantizar, ante una falla en el proceso, que no se sobrepasan los límites legales, se pueden establecer unos límites críticos inferiores a los establecidos legalmente.

5. Establecimiento de medidas de control. Se determinan y aplican medidas preventivas o correctivas para garantizar que los peligros se controlan dentro de los límites establecidos. Esto podría incluir controles de temperatura, procedimientos de limpieza, monitoreo de calidad, entre otros. Estas medidas suelen ir acompañadas de incorporar medios tecnológicos y automatizados en proceso a controlar. Siguiendo con el ejemplo anterior, además de sensores analíticos para determinar los diferentes parámetros a controlar, se puede incluir un botón de parada del vertido en el caso de detectar que los parámetros analizados se desvían y superan el límite crítico establecido.

6. Establecimiento de procedimientos de seguimiento o monitoreo. Se implementan sistemas para monitorear continuamente los puntos críticos de control y asegurar que se mantengan dentro de los límites establecidos. El monitoreo puede ser tanto físico como analítico.

7. Establecimiento de acciones correctivas. Se definen acciones a tomar si se detecta que un punto crítico de control está fuera de los límites establecidos. Esto puede implicar ajustes en el proceso, retirada de productos, recalibración de equipos, entre otras medidas correctivas. Por supuesto, estas acciones deberán estar planificadas y hacer un seguimiento periódico de su ejecución. Posteriormente, se deberá evaluar la eficacia de haber aplicado dichas acciones, además de volver a evaluar el riesgo para determinar si realmente se ha mitigado o reducido.

8. Establecimiento de registros y documentación.

Se lleva un registro detallado de todas las etapas del proceso APPCC para demostrar que se están siguiendo los procedimientos adecuados y para facilitar auditorías y revisiones periódicas. Al aplicar esta herramienta se deberá elaborar una planificación documentada en el que se debe incluir los siguientes aspectos:

- Los límites críticos para las medidas preventivas.

- Las actividades de control continuo para la realización del seguimiento en los diferentes Puntos Críticos de Control (PCC).

- Las acciones correctivas que se requieran en el caso de detectar desviaciones con respecto a los límites críticos.

- La descripción de las actividades de verificación y conservación de los registros relacionados con este proceso.

Como cualquier metodología que se aplique en un sistema de gestión, ésta ha de quedar registrado cómo se va a plicar, quién lo puede hacer, cómo se va a controlar y qué documentación va a generar. Para realizarlo se suele elaborar un procedimiento, instrucción técnica o ficha de proceso, que deberá estar incorporado en el sistema documental de gestión.

En la siguiente tabla se pueden visualizar las etapas del Análisis APPCC:

Ejemplo práctico aplicado a un sistema de gestión en base a la norma ISO 9001:2015

Supongamos un proceso de fabricación de productos electrónicos, específicamente, la soldadura de componentes en placas de circuito.

1. Identificación de las fases del proceso

- Recepción de componentes.
- Inspección de componentes.
- Soldadura de componentes en placas de circuito.
- Inspección post-soldadura.
- Pruebas de funcionalidad.
- Empaque y etiquetado.

2. Identificación de peligros y medidas preventivas relacionadas:

- Peligro 1: Recepción de componentes defectuosos.

Medidas preventivas asociadas al peligro 1: Establecer acuerdos con proveedores, realizar inspecciones de entrada.

- Peligro 2: Errores en la soldadura.

Medidas preventivas asociadas al peligro 2: Capacitar al personal, establecer procedimientos de soldadura, realizar inspecciones visuales.

- Peligro 3: Falla en las pruebas de funcionalidad.

Medidas preventivas asociadas al peligro 3: Establecer criterios de aceptación, realizar pruebas rigurosas.

3. Determinación de Puntos Críticos de Control (PCC):

PCC: Soldadura de componentes en placas de circuito.

4. Establecimiento de límites críticos:

Límite crítico: Temperatura y tiempo de soldadura.

5. Establecimiento de medidas de control:

- Uso de equipos de soldadura calibrados.
- Monitoreo continuo de la temperatura y tiempo de soldadura.

6. Establecimiento de procedimientos de seguimiento o monitoreo:

- Registro de parámetros de soldadura.
- Inspecciones visuales periódicas.

7. Establecimiento de acciones correctivas:

Si se detecta una soldadura defectuosa, se deben tomar medidas correctivas inmediatas, como retrabajar la soldadura o reemplazar la placa.

8. Establecimiento de registros y documentación:

Mantener registros de las inspecciones de entrada de componentes, registros de parámetros de soldadura, resultados de inspecciones post-soldadura y pruebas de funcionalidad.

Análisis de Árbol de Eventos (AAE) aplicado a la Gestión de Riesgos en los Sistemas de Gestión

2023-11-29T10:29:00.003+01:00

En este artículo os voy a explicar, mediante un ejemplo práctico aplicado al Sistema de Gestión ISO 9001, en qué consiste y cómo puede aplicarse el Análisis de Árbol de Eventos (AAE) en la Gestión de Riesgos de los Sistemas de Gestión. Esta herramienta está incluida en las 42 técnicas y herramientas que propone la norma ISO/IEC 31010 "Gestión del riesgo. Técnicas de evaluación del riesgo".

¿En qué consiste?

El Análisis de Árbol de Eventos (AAE) es una técnica utilizada en la gestión de riesgos para identificar y visualizar las secuencias de eventos que pueden conducir a un resultado no deseado y detectar una posible desviación no deseada.

Consiste en una representación gráfica de eventos que se consideran la causa de la desviación (eventos causales) en forma de árbol. Cada rama del árbol representa una posible causa de la incidencia, siendo el resultado final de cada causa el motivo que suceda un evento.

La representación gráfica en árbol puede ser cualitativa o cuantitativa. La segunda opción consiste en incorporar en el árbol la probabilidad y la frecuencia en que un determinado evento suceda.

En el contexto del sistemas de gestión de calidad (ISO 9001), el AAE puede ser aplicado para evaluar y mitigar riesgos identificando las secuencias de eventos que podrían llevar a una falla en el sistema o en un determinado proceso, a un incumplimiento de objetivos o a un impacto negativo en la organización, entre otros. En otros sistemas de gestión como el ambiental (ISO 14001) se aplicaría para de identificar, evaluar y mitigar los riesgos derivados de los aspectos ambientales que pueden generar un impacto ambiental negativo. Y, en sistemas de Seguridad y Salud de los Trabajadores (ISO 45001), para identificar, evaluar y mitigar los peligros a los que están expuestos los trabajadores que pueden ocasionar un accidente laboral.

Esta herramienta es muy útil, ya que no sólo se trata de identificar los riesgos, sino evaluar cada una de las causas que puedan ocasionar el riesgo y conocer para cada una de las causas el resultado final.

Esta metodología permite a las organizaciones visualizar de manera clara y sistemática las posibles secuencias de eventos que podrían desencadenar un resultado no deseado, lo que facilita la toma de decisiones informadas para la gestión de riesgos.

Etapas del proceso del Análisis de Árbol de Eventos (AAE)

1. Identificación del evento no deseado

- Definición del evento. Comienza por identificar el evento no deseado, es decir, aquello que se quiere prevenir o mitigar. Es decir, aquel evento que en el caso que ocurriera, podría ocasionar un determinado riesgo. Puede ser un accidente laboral, una falla en el proceso, una pérdida financiera, un análisis de oportunidad de negocio, una debilidad, un incumplimiento de un objetivo, un impacto ambiental, un incumpolimiento legislativo o normativo...

- Especificación del objetivo. Se debe establecer el objetivo que se busca proteger o salvaguardar dentro del sistema o proceso en cuestión.

2. Descomposición del evento

Se descompone el evento no deseado en una serie de eventos más pequeños y específicos que se corresponden a las posibles causas que el evento ocurra. Para cada uno de estos eventos causales se generará un posible resultado final. Por ese motivo, este tipo de análisis se representa en forma de árbol, ya que el evento principal se descompone en otros que son las posibles causas originando para cada escenario un resultado final.

Estos eventos causales deben organizarse en una secuencia lógica que muestra la relación de causa y efecto entre ellos. Esto puede hacerse mediante diagramas de causa-efecto o mediante la estructura de árbol. Por lo tanto, esta herramienta se puede utilizar de igual manera que la técnica del diagrama de causa efecto o diagrama de Ishikawa.

3. Construcción del árbol de eventos

Se crea un diagrama de árbol que muestra visualmente la relación entre los diferentes eventos. Este árbol tiene un evento inicial (el evento no deseado) en la parte superior y ramificaciones en la parte inferior que representan eventos más detallados y específicos. Estos eventos, correspondientes a las diferentes ramas del árbol, deben estar conectados jerárquicamente.

En algunos casos, también se suele realizar la representación gráfica, donde el evento inicial este situado en la parte izquierda y las ramificaciones se realicen hacia la derecha.

4. Identificación de causas y efectos

Análisis de cada rama. Se examina cada rama del árbol para identificar las causas que podrían llevar a la ocurrencia de cada evento y los efectos que estos eventos podrían tener en el sistema.

Relación causa-efecto. Se establece la relación de causa-efecto entre los eventos identificados, entendiendo cómo uno conduce al otro y cómo contribuyen al evento no deseado.

5. Evaluación de riesgos y mitigación

En el caso de realizar un análisis cuantitativo, se calcula numéricamente la probabilidad y la frecuencia de cada evento y su impacto (resultado final), indicándose en el propio árbol.

Por otro lado, también debe evaluarse su posible impacto en el objetivo o sistema.

Posteriormente, una vez que se analizan las probabilidades, se establece un plan de mitigación o contingencias de los riesgos, con la finalidad de reducir la probabilidad de ocurrencia o minimizar sus efectos. Para realizar este plan se deben establecer unas determinadas acciones, asignando unos determinados recursos, responsabilidades y plazos de ejecución. Estas acciones pueden ser estrategias pueden incluir controles preventivos, protocolos de respuesta a emergencias, mejoras en el diseño del sistema, entre otros.

Es importante, que para garantizar su cumplimiento, se realicen verificaciones periódicas para detectar posibles desviaciones y realizar las acciones correctivas que sean oportunas.

6. Verificación de la efectividad de las medidas aplicadas de mitigación

Una vez que se han aplicado las acciones de mitigación, se tendrá que volver a evaluar el riesgo para verificar que realmente se la mitigado o eliminado. En el caso de volver a evaluar y no detectar una disminución del riesgo, se tendrán que aplicar unas nuevas medidas que sí puedan hacerlo.

Ejemplo de aplicación del Análisis de Árbol de Eventos (AAE) aplicado a la Gestión de Riesgos en un Sistema de Gestión de la Calidad basado en la norma ISO 9001

Si se aplican las diferentes etapas descritas anteriormente, un ejemplo práctico podría ser el siguiente:

1. Identificación del evento no deseado. Supongamos que el evento no deseado es la entrega de productos defectuosos a los clientes.

2. Descomposición del evento. Los eventos que podrían causar el evento no deseado inicial serían los siguientes:

- Producción de productos defectuosos. La maquinaria está obsoleta o no se realiza un buen mantenimiento, produciendo fallas en la fabricación de los productos.

- Falta de inspección de calidad. No se realizan controles de verificaciones de los puntos claves del proceso.

- Uso de materias primas defectuosas.

- Fallos en la manipulación de la maquinaria y equipos. Falta de formación y capacitación de los trabajadores.

- Errores en el proceso de fabricación. La metodología es errónea o no está bien aplicada.

3. Construcción del árbol de eventos:

Con la finalidad de simplificar el diagrama, en la representación sólo se van a considerar 3 eventos causales en lugar de los 5 mostrados en el punto anterior. Estos tres eventos podrían ser:

- Producción de productos defectuosos

- Falta de inspección o puntos de verificación del proceso.

- Errores en el proceso de fabricaci

La representación gráfica del ejemplo podría ser la siguiente:

4. Identificación de causas y efectos.

Para cada uno de los efecto que puede causar el evento inicial se deben analizar sus posibles causas, y sobre las cuales se aplicarán las acciones necesarias para mitigar estos efectos. Si seguimos con el mismo ejemplo, podrían ser las siguientes:

- Producción de productos defectuosos: Falta de capacitación del personal, equipos desactualizados.

- Falta de inspección de calidad: Falta de procedimientos establecidos, falta de recursos.

- Uso de materias primas defectuosas: Falta de control de proveedores, falta de especificaciones claras.

- Fallos en la manipulación de la maquinaria y equipos. Falta de formación de los trabajadores.

- Errores en el proceso de fabricación: Procedimientos mal definidos, falta de supervisión.

Como se ha comentado en el punto anterior, para simplificar el diagrama en árbol se han considerado únicamente tres eventos causales y por lo tanto, en el diagrama sólo es incluyen las causas de los efectos representados.

5. Evaluación de riesgos y mitigación

a) Se evalúa la probabilidad de ocurrencia y el impacto de cada evento y sus causas. Incluyéndose posteriormente en el diagrama en árbol realizado.

b) Estrategias de mitigación:

- Capacitación del personal en técnicas de fabricación y control de calidad.

- Establecimiento de procedimientos de inspección y protocolos de control de calidad.

- Auditorías regulares a proveedores de materias primas.

- Capacitación del personal en el funcionamiento correcto de maquinaria y equipos.

- Revisión y actualización de procedimientos de fabricación.

6. Verificación de la efectividad de las medidas aplicadas de mitigación

Las principales acciones que se podrían realizar para verificar la verificación de las medidas aplicadas podrían ser las siguientes:

- Se implementan las medidas de mitigación definidas.

- Se monitorean los procesos para asegurar que las estrategias de mitigación están funcionando.

- Se realizan auditorías internas y revisiones periódicas para evaluar la efectividad de las medidas aplicadas.

Este enfoque permite identificar las posibles causas de productos defectuosos en el sistema de gestión de calidad, evaluar los riesgos asociados y tomar medidas específicas para mitigarlos, asegurando que se cumplan los estándares de la norma ISO 9001 y se mejore continuamente la calidad de los productos entregados a los clientes.

Entrevistas aplicadas a la gestión de Riesgos en los Sistemas de Gestión

2023-11-24T07:54:00.001+01:00

En este artículo os voy a explicar, mediante un ejemplo práctico, las entrevistas estructuradas y semiestructuradas aplicadas en la Gestión de Riesgos en los Sistemas de Gestión. Esta herramienta está incluida en las 42 técnicas y herramientas que propone la norma ISO/IEC 31010 "Gestión del riesgo. Técnicas de evaluación del riesgo".

¿En qué consisten las entrevistas estructuradas y semiestructuradas aplicadas a la gestión de riesgos?

En una entrevista estructurada, el entrevistador realiza una serie de preguntas preparadas en una hoja guía al entrevistado de forma individualizada. En función de las respuestas obtenidas, el entrevistador puede sacar conclusiones desde el punto de vista del entrevistado y puede llegar a identificar los riesgos que pueden llegar afectan a la organización. Dependiendo del tipo y orientación de preguntas que se realicen, se pueden identificar los riesgos asociados a las diferentes disciplinas de los sistemas de gestión, como por ejemplo los riesgos asociados al Sistema de Gestión de Calidad (SGC), del Sistema de Gestión Ambiental (SGA), del Sistema de Gestión de Seguridad y Salud (SGSST)...

Por lo tanto, en una entrevista estructurada, se debe seguir un enfoque detallado y planificado para recopilar información clave sobre los riesgos en los sistemas de gestión. Las preguntas deben estar bien formuladas para abordar aspectos específicos relacionados con los procesos, actividades o áreas de interés en términos de gestión de riesgos.

La estructura preestablecida en la hoja guía debe garantizar la consistencia en la obtención de datos. Las respuestas obtenidas en cada entrevista deben ser claras y fácilmente comparables entre los distintos entrevistados. Al poder comparar respuestas y contrastarlas, se puede obtener una visión organizada y detallada de los riesgos presentes, permitiendo una identificación sistemática y la posterior implementación de medidas de mitigación. Eso es posible, debido a que los entrevistados son trabajadores directamente implicados en el proceso o actividad por la que se les está preguntando, y por lo tanto, su opinión y su valoración del riesgo de cada actividad que realizan es sumamente importante. El entrevistador deberá ser capaz de obtener una valoración objetiva a partir de las respuestas de los entrevistados, ya que en más de una ocasión los entrevistados suelen contestar subjetivamente por estar implicados directamente sobre la actividad que se les está preguntando.

La entrevista semiestructurada es similar, conserva la rigurosidad en la exploración de riesgos, pero admite mayor libertad de conversación para explorar los aspectos que se van originando.

Aunque se sigue una guía de preguntas base, que pueden ser las mismas que en una entrevista estructurada, se permite una mayor libertad de conversación. Esto posibilita que el entrevistador profundice en determinadas áreas y permita a los entrevistados expresar sus perspectivas de manera más extensa. Este tipo de entrevistas es especialmente útil cuando se buscan identificar riesgos inesperados o cuando se requiere una comprensión más completa de las percepciones y experiencias de los participantes. La flexibilidad de estas entrevistas aporta una mayor recopilación de datos y mayor comprensión de los riesgos presentes en los sistemas de gestión.

En ambos casos, las preguntas deben diseñarse para obtener datos específicos sobre los riesgos presentes en un determinado proceso, proyecto o sistema.

Pasos a seguir para realizar una entrevista estructurada

Para llevar a cabo una entrevista estructurada en la gestión de riesgos, se siguen varios pasos:

1. Objetivo, alcance y planificación

- Se define el objetivo y el alcance asociado a la identificación de riesgos asociado a un proceso, actividad, proyecto o aspecto del Sistema de Gestión.

- Para realizar dicha identificación se decide utilizar la entrevista como herramienta.

- Dependiendo de la información que se necesite, se propone realizar una entrevista estructurada o bien semiestructurada (en el caso de necesitar profundizar más en riesgos ocultos).

- Se debe asignar a una persona o personas (equipo) capacitada/s en el área del riesgo que se quiera estudiar, para diseñar las preguntas que posteriormente serán la guía de la entrevista. Además serán los encargados de determinar el formato de las preguntas, asegurándose que sean claras u específicas.

- Se debe asignar el responsable de llevar a cabo la entrevista

- Se deberá de estudiar el tipo de participantes más adecuado para obtener la información necesaria.

- Se debe determinar el plazo de tiempo estimado para realizar las entrevistas, así como su coordinación con los participantes.

2. Selección de participantes

Se eligen los trabajadores clave que puedan aportar información valiosa sobre los riesgos que se están estudiando. Los trabajadores elegidos pueden ser de cualquier rango o función dentro de la empresa, como pueden ser gerentes, empleados con experiencia en el proceso o área en cuestión, expertos en seguridad, entre otros. Dependiendo de la disciplina del sistema de gestión en que se estén identificando los riesgos, los entrevistados pueden variar.

3. Elaboración de preguntas

Se diseñan las preguntas cuyo alcance debe contemplar los aspectos clave de los riesgos identificados o potenciales. Estas preguntas suelen ser estandarizadas y están diseñadas para obtener respuestas detalladas y pertinentes. Dependiendo si es una entrevista estructurada o semiestructurada la respuesta puede ser más abierta o bien, escueta sin aportar información adicional.

4. Realización de la entrevista

Se lleva a cabo la entrevista con los participantes seleccionados. Es imprescindible seguir la estructura previamente establecida en el formato de la hoja guía para asegurar la consistencia y comparabilidad de las respuestas. En la mayor parte de los casos las preguntas deben seguir un orden determinado, ya que la respuesta de una pregunta puede condicionar la siguiente.

5. Registro de información

Durante la entrevista, se registran cuidadosamente las respuestas dadas por los participantes. Esto puede hacerse mediante la toma de notas, grabación (si se cuenta con autorización previa) o cualquier otro método que asegure una documentación completa y precisa. En la mayor parte de los casos, se anotan las respuestas obtenidas en el mismo formulario donde están listadas las preguntas, teniendo el espacio asignado para ello. En las entrevistas estructuradas, el formato suele ser en formato de check-list o lista de verificación.

6. Análisis de la información

Una vez recopiladas las respuestas, se realiza un análisis detallado para identificar patrones, tendencias y áreas de alto riesgo. Esta información servirá para desarrollar estrategias de mitigación o gestión de riesgos. Este punto es imprescindible que sea realizado por una persona no sólo competente en el área o disciplina a analizar, sino también que sea un gran conocedor del comportamiento y capacidad de los entrevistados, ya que en la mayor parte de los casos, las respuestas de los trabajadores entrevistados son subjetivas y deben ser analizadas con cuidado. En la mayoría de casos, los trabajadores cuando se les pregunta sobre su tarea, es difícil que te expliquen los posibles errores que se cometen, ya que pueden pensar que se les está poniendo en duda su competencia. Por ese motivo, las preguntas nunca deben ser planteadas en esa dirección.

7. Informe y seguimiento

Se genera un informe que resume los hallazgos de la entrevista y se establecen acciones recomendadas para abordar los riesgos identificados. Además, se puede planificar un seguimiento para verificar la efectividad de las medidas tomadas.

En la siguiente tabla se pueden visualizar las 7 etapas:

Ejemplo de la aplicación de una entrevista estructurada asociada a la Gestión de Riesgos en un Sistema de Gestión de Seguridad y Salud de los trabajadores en base a la norma ISO 45001:2018

Siguiendo los pasos descritos anteriormente:

1. Objetivo, alcance y planificación

Objetivo: Identificar y evaluar los riesgos laborales presentes en el área de producción de una fábrica de manufactura.

Alcance: Se enfocará en los procesos de producción, incluyendo maquinaria, procedimientos de trabajo, capacitación del personal y medidas de seguridad existentes.

Planificación: Se establece un equipo de entrevistadores con experiencia en seguridad laboral y en los procesos de la empresa a inspeccionar. Se define una lista de aspectos clave a abordar durante las entrevistas y se prepara una hoja guía con preguntas estructuradas para cada área de interés.

2. Selección de participantes

Se eligen participantes clave para las entrevistas, como gerentes de producción, supervisores, operarios de máquinas, representantes del comité de seguridad y empleados con experiencia en áreas específicas de la producción. Para poder realizar la selección se deberá tener en cuenta, no sólo el organigrama, sino las funciones, responsabilidades y capacitaciones del personal en cada uno de los aspectos que se deban evaluar.

3. Elaboración de preguntas

Se crean preguntas específicas para cada grupo de participantes:

Ejemplos de preguntas para gerentes y supervisores:

¿Cuáles son los principales riesgos identificados en los procedimientos de seguridad?

¿Qué medidas se han implementado para mitigar riesgos en la maquinaria?

¿Cómo se lleva a cabo la formación en seguridad para el personal?

Ejemplos de preguntas para operarios de máquinas:

¿Cuáles son los riesgos más comunes en las actividades diarias?

¿Se han enfrentado a situaciones de riesgo no contempladas en los procedimientos?

¿Cómo se reportan los incidentes o riesgos identificados?

Por supuesto, si se quiere averiguar algún riesgo oculto o que se sospeche de algo, las preguntas deberán ir orientadas a obtener la información deseada. Deben ser con lenguaje claro y conciso, además de ser entendibles por el personal entrevistado. Las preguntas nunca pueden ser redactadas para que el entrevistado se sienta acosado, ya que la finalidad de esta entrevista no es evaluar al entrevistado sino identificar posibles riesgos, incidencias o fallas asociadas a una determinada actividad o tarea.

4. Realización de la entrevista

Se llevan a cabo las entrevistas con los participantes seleccionados, siguiendo la guía de preguntas estructuradas. Se hace énfasis en escuchar activamente las respuestas y profundizar en áreas de interés o preocupación. El entrevistador deberá tener la capacidad de extraer la información adecuada y en ocasiones leer entre líneas, ya que en algunas ocasiones los trabajadores pueden no expresarse con total sinceridad o adornar las respuestas, con la finalidad de no proporcionar una mala opinión sobre sus tareas o trabajos.

5. Registro de información

Durante las entrevistas, se toman notas detalladas de las respuestas proporcionadas por los participantes, destacando los riesgos identificados, las medidas de seguridad existentes y las áreas de mejora sugeridas. Dependiendo de la información que se quiera obtener las anotaciones serán más o menos detalladas. El formato del documento hoja guía, donde se anotan las preguntas y respuestas de cada una de las entrevistas lo deberá tener en cuenta.

6. Análisis de la información

Se revisan las respuestas recopiladas para identificar patrones, áreas de riesgo recurrentes y oportunidades de mejora. Una vez identificados los posibles riesgos derivados de las respuestas obtenidas por los trabajadores, se clasifican y se evalúan los riesgos según su gravedad y probabilidad.

7. Informe y seguimiento

Se elabora un informe detallado que resume los hallazgos, destaca los riesgos identificados y sugiere acciones correctivas o preventivas. Se establece un plan de seguimiento de los riesgos para implementar medidas correctivas y se programa una revisión periódica para evaluar la efectividad de las acciones tomadas.

Esta aplicación de la entrevista estructurada permite una evaluación sistemática de los riesgos laborales en un entorno de trabajo específico, conforme a los lineamientos de la norma ISO 45001:2018, facilitando la identificación y gestión proactiva de riesgos en el Sistema de Gestión de Seguridad y Salud en el Trabajo.

Listas de verificación aplicadas a la Gestión de Riesgos en los Sistemas de Gestión

2023-11-15T12:13:00.000+01:00

En este artículo os voy a explicar en qué consisten, mediante un ejemplo práctico, las listas de verificación aplicadas en la Gestión de Riesgos en los Sistemas de Gestión. Esta herramienta está incluida en las 31 técnicas y herramientas que propone la norma ISO/IEC 31010 "Gestión del riesgo. Técnicas de evaluación del riesgo".

¿En qué consiste esta herramienta?

Las listas de verificación son herramientas simples que se utilizan para asegurar que se cumplan ciertos criterios o se verifiquen que se realizan todos los pasos específicos o etapas en el proceso que se necesite controlar. En el contexto de la gestión de riesgos en los sistemas de gestión, las listas de verificación son instrumentos valiosos y efectivos que sirven para asegurarse de que se hayan tenido en cuenta y gestionado adecuadamente los riesgos identificados.

¿En qué etapas de la gestión de riesgos puede ser útil una lista de verificación?

A continuación se muestra, para cada una de las etapas del proceso de gestión de riesgos, en qué podría ser útil el uso de una lista de verificación:

1- Identificación de Riesgos. Las listas de verificación pueden ayudar en la identificación exhaustiva de posibles riesgos. Enumerar diferentes áreas de riesgo específicas y preguntas clave puede asegurar que los equipos consideren todos los posibles riesgos.

2- Análisis de Riesgos. Durante el análisis de riesgos, las listas de verificación pueden ayudar a evaluar la probabilidad y el impacto de cada riesgo identificado. Pueden incluir criterios específicos para evaluar la magnitud del riesgo.

3- Evaluación y Priorización. Las listas de verificación también pueden ser útiles para priorizar los riesgos. Preguntas como la probabilidad de ocurrencia, el impacto potencial y la capacidad de detección pueden guiar la priorización de riesgos.

4- Desarrollo de Estrategias de Gestión. Para cada riesgo identificado, las listas de verificación pueden ayudar a desarrollar estrategias de gestión. Esto puede incluir la identificación de controles existentes, la necesidad de controles adicionales, y el establecimiento de planes de respuesta al riesgo.

5- Implementación de Controles. Las listas de verificación también son útiles para asegurarse de que los controles necesarios se implementen correctamente. Pueden incluir pasos específicos a seguir para garantizar la eficacia de los controles.

6- Monitoreo y Revisión Continua. Durante la fase de monitoreo, las listas de verificación pueden utilizarse para revisar regularmente la efectividad de los controles y para identificar cualquier cambio en los riesgos que pueda requerir ajustes en las estrategias de gestión.

7- Comunicación y Documentación. Las listas de verificación también pueden ser herramientas valiosas para documentar todo el proceso de gestión de riesgos. Esto es esencial para la transparencia y la comunicación efectiva dentro de la organización y con partes interesadas externas.

Etapas en la elaboración de una lista de verificación

Para elaborar una lista de verificación para la gestión de riesgos en sistemas de gestión es importante garantizar que todos los aspectos críticos que se necesiten verificar se tengan en cuenta. Para ello, es necesario seguir una serie de pasos para crear una lista de verificación efectiva:

1. Definir el alcance. Se debe identificar claramente los límites del sistema de gestión y determinar qué procesos, actividades o áreas específicas se incluirán en la gestión de riesgos.

2. Identificar las debilidades, Amenazas, fortalezas y oportunidades. Enumera todas las fortalezas relevantes para tu sistema de gestión. Por otro lado, identifica y enumera las amenazas potenciales que podrían afectar a esas fortalezas. Por otro lado, se debe evaluar las debilidades y oportunidades asociadas con cada fortaleza y cómo podrían ser explotadas por las amenazas identificadas. Si se necesita más información se puede consultar como realizar una matriz DAFO en el siguiente artículo: Procedimiento contexto de la organización: matriz DAFO.

3. Evaluar el Impacto y Probabilidad. Se debe establecer criterios para evaluar el impacto potencial de cada riesgo, con la finalidad de determinar la probabilidad de ocurrencia de cada riesgo.

4. Establecer criterios de evaluación. Se deben definir criterios claros para evaluar y clasificar los riesgos. Se pueden utilizar escalas numéricas, categorías o cualquier otro método que sea apropiado para tu organización.

5. Desarrollar medidas de mitigación. Se debe proporcionar acciones específicas que se pueden tomar para mitigar o reducir cada riesgo identificado.

6. Asignar Responsabilidades. Se debe definir claramente quién es responsable de la gestión de cada riesgo. Además es necesario establecer un proceso para la comunicación de riesgos dentro de la organización.

7. Establecer un plan de monitoreo y revisión. Se debe definir cómo se monitorearán los riesgos a lo largo del tiempo, por lo que se deberá establecer un plan o programa de revisión de la lista de verificación para asegurar de que esté actualizada y relevante.

8. Capacitar al personal. Tanto para elaborar la lista de verificación, como para utilizarla, el personal debe estar capacitado en la identificación, evaluación y gestión de riesgos.

9. Realizar comprobaciones y actualizaciones de forma continua. Antes de aplicar la lista de verificación en situaciones prácticas se debe asegurar que esté completa y sea efectiva. Debe incluir todos las etapas y pasos que se quieran controlar del proceso, para ello es imprescindible que se ajuste y mejore continuamente. Se debe establecer un proceso para actualizar la lista de verificación a medida que evolucionan los riesgos y el sistema de gestión.

10. Integrar con otros Sistemas de Gestión. Si la organización tiene otros sistemas de gestión (por ejemplo, calidad o medio ambiente), se debe asegurar que la lista de verificación, elaborada para la gestión de riesgos, sea coherente y se integre con todos los sistemas implementados, siempre que estén integrados.

En la siguiente tabla se pueden visualizar las diferentes etapas:

Ejemplo de Lista de verificación aplicada a la gestión de riesgos de un sistema de gestión de calidad en base a la norma ISO 9001:2015

A continuación se muestra un ejemplo simplificado de una lista de verificación de gestión de riesgos aplicada a la gestión de calidad basada en la norma ISO 9001:

1. Definir el alcance:

¿Se ha identificado claramente el alcance del Sistema de Gestión de Calidad (SGC) según ISO 9001?

¿Están definidos los límites y las fronteras del SGC?

2. Identificar las fortalezas y Amenazas:

¿Se ha elaborado una lista de fortalezas asociadas con la calidad del producto y/o servicio?

¿Se han identificado amenazas potenciales que podrían afectar la calidad del producto y/o servicio?

3. Determinar las debilidades:

¿Se han evaluado las debilidades asociadas con los procesos críticos para la calidad?

¿Se han identificado debilidades en los sistemas que podrían ser explotadas por amenazas?

4. Evaluar Impacto y Probabilidad:

¿Se ha establecido una escala para evaluar el impacto potencial de los riesgos en términos de calidad?

¿Se ha evaluado la probabilidad de ocurrencia de cada riesgo?

5. Establecer criterios de evaluación:

¿Se han definido criterios claros para clasificar los riesgos en términos de impacto y probabilidad?

¿Existen umbrales que indiquen cuándo se deben tomar medidas de mitigación?

6. Desarrollar medidas de mitigación:

¿Se han definido acciones específicas para abordar cada riesgo identificado?

¿Se han establecido planes de contingencia para situaciones críticas?

7. Asignar responsabilidades:

¿Se han designado responsables para la gestión de riesgos en cada área relevante del SGC?

¿Se han definido roles y responsabilidades para la comunicación efectiva de los riesgos?

8. Establecer un Plan de Monitoreo y Revisión:

¿Se ha determinado la frecuencia de revisión de la lista de riesgos?

¿Existen indicadores clave de rendimiento para monitorear la efectividad de las medidas de mitigación?

9. Capacitar al personal:

¿Se ha proporcionado capacitación al personal sobre la identificación y gestión de riesgos?

¿El personal comprende la importancia de su papel en la gestión de riesgos?

10. Realizar comprobaciones y actualizaciones de forma continua:

¿Se ha aplicado la lista de verificación en situaciones simuladas?

¿Se ha evaluado la efectividad de las medidas de mitigación en escenarios prácticos?

11. Ajustar y Mejorar Continuamente:

¿Se ha establecido un proceso para la retroalimentación continua?

¿La lista de riesgos se actualiza según sea necesario a medida que evolucionan los riesgos?

12. Integrar con Otros Sistemas de Gestión:

¿La lista de riesgos es coherente con otros sistemas de gestión de la organización?

¿Los esfuerzos de gestión de riesgos están alineados con los objetivos globales del SGC?

El formato comúnmente utilizado para las listas de verificación es una tabla que consta de tres columnas: la primera se destina a la formulación de la pregunta, mientras que las dos siguientes contienen casillas para respuestas afirmativas y negativas, respectivamente. Esto permite que el trabajador encargado de la verificación simplemente marque la casilla correspondiente según el resultado de su evaluación. Este diseño simplificado facilita la aplicación y el seguimiento del proceso de verificación, optimizando la eficiencia y precisión en la gestión de la información. Si estáis interesados en ver un ejemplo de formato podéis consultar el siguiente artículo: Lista de verificación o check-list en una auditoría.

El trabajador que está realizando la verificación deberá basarse en la observación para comprobar la respuesta a la pregunta formulada en la lista de verificación. Esta es sin duda la gran limitación de esta herramienta, ya que en numerosas ocasiones existen problemas que no son fácilmente observables y que se pueden pasar por alto. Para evitarlo, es necesario que el personal encargado de aplicar las listas de verificación esté capacitado y tenga experiencia en ello, de esta manera será capaz de detectar posibles incidencias o desviaciones del proceso.

Este es sólo un ejemplo. Cada lista de verificación debe personalizarse según las características y necesidades específicas de la organización y su Sistema de Gestión de Calidad. Además, es importante realizar revisiones periódicas para asegurarse de que la lista de verificación esté actualizada y sea efectiva en la gestión de riesgos en curso.