Evaluación de La

Evaluación de la
Gestión de Riesgo
FAVA - Formación en Ambientes Virtuales de Aprendizaje

Evaluación de la
gestión de riesgo
ESTRUCTURA DE CONTENIDO
INTRODUCCIÓN..........................................................................................3
Mapa Conceptual.........................................................................................4
1. EVALUACIÓN DE LA GESTIÓN DEL RIESGO..................................................5
2. LA GERENCIA DE LA INFORMACIÓN Y EL CONOCIMIENTO EN LA TOMA DE

DECISIONES ...........................................................................................13
2.1 Gerencia de Conocimiento............................................................15
2.2 Gerencia del Conocimiento en las Pymes........................................16
2.3 Debilidades de la Pyme . .............................................................17
2.4 Condiciones que debe tener la Unidad de Gerencia del Conocimiento
para la Pyme....................................................................................18
2.5 Finalidad de la información...........................................................18
2.6 Creación del Conocimiento Organizacional......................................19
Glosario...................................................................................................21
Bibliografía...............................................................................................23
Control del documento...............................................................................24
Creative commons.....................................................................................24
FAVA - Formación en Ambientes Virtuales de Aprendizaje 2

Evaluación de la
gestión de riesgo
INTRODUCCIÓN
La Gerencia del Conocimiento, se está

constituyendo en el elemento crítico de una
estrategia de negocios, que le permitirá al
empresario acelerar la velocidad con que
maneja los nuevos retos y oportunidades en
el mercado, y, lo hace, apalancando lo más
valioso de sus recursos: El conocimiento,
la información y el talento; de ahí que,
una evaluación del riesgo se convierte en
un proceso altamente útil para identificar,
categorizar y valorar riesgos críticos,
basados en sus probabilidades de ocurrencia
y magnitud de impacto; por esto, la presente
temática, ha de encauzar la obtención de
información válida para evaluar la gestión
del riesgo y la toma de decisiones, definiendo
los criterios que la organización requiere
para tasar el alcance del riesgo; reflejando
fielmente los valores, objetivos y recursos de
la institución; visibilizando de paso, la acción
de gerenciar conocimiento de acuerdo con
la información analizada, con el objetivo de
tomar decisiones correctas.
3 FAVA - Formación en Ambientes Virtuales de Aprendizaje

Evaluación de la
gestión de riesgo
Mapa Conceptual

Evaluación de la
gestión de riesgo
1. EVALUACIÓN DE LA GESTIÓN DE RIESGO.
Éste proceso permite que la organización identifique sus amenazas y el grado de

riesgo asociado con las mismas, igualmente, permite establecer maneras de evitar
altos riesgos. Esta etapa de la gestión, se lleva a cabo antes de la creación de las
políticas para el manejo de riesgos y antes de dar inicio a cualquier proyecto en
la organización. En la medida que la empresa evoluciona en la naturaleza de las
actividades que desarrolla, y en el momento del cambio de la situación política en
la que actúa, se deben reevaluar tanto los riesgos como la adopción de estrategias
de aminoramiento y la toma de decisiones.
En el proceso de gestionar los riesgos competentemente, como lo menciona Bernal

((2016) “una de las fases más importantes es el Análisis y Evaluación. Este paso
sirve para clasificar los riesgos según su relevancia, y así poder jerarquizar cuáles
son los más relevantes, y cuáles los menos”
Esta evaluación de los riesgos se suele hacer estableciendo criterios numéricos, en

función de dos parámetros:
Impacto: Es la gravedad que tendría el riesgo en el caso de producirse. Puede ser

catastrófico, grave, moderado, leve o inocuo.
Probabilidad: Son las posibilidades de que el riesgo llegue a ocurrir. Pueden ir

desde: certeza (100%), muy probable, poco probable, improbable, e imposible
(0%). A esta escala se le puede añadir también la probabilidad de repetición: ¿El
riesgo puede suceder una vez, o varias?
Una vez asignados los valores de impacto y probabilidad, los multiplicamos para sacar
el “índice de riesgo”. A partir de esta multiplicación, tendremos un valor numérico
para cada riesgo, que nos permitirá clasificarlos en función de su relevancia.
Índice de riesgo = Impacto x Probabilidad
Los riesgos con mayor índice serán los que debamos gestionar prioritariamente,
mientras que los de menor índice los podemos obviar —Otra manera de hacer esto,
es mediante la aplicación del Análisis Modal de Fallos y Efectos (AMFE)—
De forma alternativa, si no se quiere calcular el índice de riesgo, otra opción más

sencilla es situar los riesgos en una tabla como la siguiente:

Evaluación de la
gestión de riesgo
Esto permite hacer una evaluación sencilla y rápida, donde se preste más atención
a los riesgos más relevantes (zona roja), y menos a los poco relevantes (zona
verde)”.
Según Coronado y Prieto (2015) el propósito fundamental del análisis y evaluación

de los riesgos es facilitar la toma de decisiones y fijar prioridades para el tratamiento
a través de las siguientes actividades:
• Comparar el perfil del riesgo, contra los criterios establecidos, cuando se definió
el contexto.
• Estimar la probabilidad de ocurrencia del riesgo.
• Evaluar y calificar el impacto que éste puede tener sobre a organización.
Una vez establecidos los criterios y la escala para evaluar y calificar los riesgos se
procede a obtener los valores de:
La evaluación, es responsabilidad de la Dirección de la empresa, aunque debe

consultarse a los trabajadores o a sus representantes sobre el método empleado
para realizarla; teniendo en cuenta que éste deberá ajustarse a los riesgos existentes
y al nivel de profundización requerido.

Evaluación de la
gestión de riesgo
A continuación, veamos los ochos pasos para hacer una evaluación de riesgos, que
propone Mendoza (2014) “Un enfoque utilizado en seguridad de la información
consiste en la aplicación de controles de seguridad como resultado de la evaluación y
tratamiento de riesgos. Vamos a revisar los pasos de OCTAVE Allegro (Operationally
Critical Threat, Asset, and Vulnerability Evaluation), una opción para evaluar riesgos
de seguridad en 8 pasos, desarrollada por SEI (Software Engineering Institute) y
con documentación disponible de forma gratuita.
El uso de este y otros modelos similares, es una forma preventiva de hacer frente
a los riesgos que continuamente se presentan, ya que tienen como objetivo
anticiparse a la materialización de amenazas identificadas. Para este enfoque,
el reto consiste en considerar todas aquellas amenazas que podrían afectar de
manera negativa los objetivos de una organización, haciendo un análisis de riesgos
para reducirlos hasta un nivel aceptable, utilizando para ello, por ejemplo, una
metodología como MAGERIT —metodología de análisis y gestión de riesgos de los
Sistemas de Información—
1) Establecer criterios de medición del riesgo: Este primer paso involucra a

la organización en la concreción de los riesgos que le afectan o pueden afectar; los
criterios a creados para esta evaluación son de tipo cualitativo, en donde se evalúan
los riesgos contra la misión y objetivos de la empresa en las siguientes categorías:
• Reputación/confianza del cliente
• Financiera
• Productividad
• Seguridad/salud
• Multas/penas legales
Además, hay una última que el usuario puede definir, utilizada para una preocupación
específica de la empresa.
Cada criterio debe precisar el nivel de afectación hacia la organización por cada incidente
de seguridad —ÁREA DE IMPACTO—; este incidente puede ser de impacto Alto, Medio
o Bajo, especificación que debe definir el personal encargado de generar el criterio de
medición del riesgo.

Evaluación de la
gestión de riesgo
Ejemplo de un área de impacto para los criterios de “Reputación y confianza del cliente”:
Es necesario priorizar cada área de impacto de acuerdo con el particular interés de

la organización, y, según importancia establecida por categoría, siendo la valoración
más importante equivalente a 5 y la menos importante con1.
Ejemplo:

Evaluación de la
gestión de riesgo
2) Desarrollar un perfil de activos de información: Estos corresponden a

los datos ya identificados y que le son relevantes a la organización; se debe
documentar las razones de su selección y hacer una
descripción del activo. Cada activo de información
requiere de un responsable o custodio, encargado de
definir los requisitos de seguridad para los mismos,
basado en criterios de confidencialidad, integridad y
disponibilidad, de acuerdo a su experiencia; así mismo,
es necesario para cada activo de información crear un
perfil en el que se establezca su aspecto crítico, ya
que, éste permite la fácil identificación de amenaza y
riesgo que conlleva, y la precisión de los elementos de
seguridad y protección a aplicar.
3) Identificar contenedores de activos de información: Este paso precisa los

repositorios para almacenamiento de la información, asegurando su aplicabilidad
y control. Los contenedores pueden ser de tipo técnico, físico o humano, ya que
la información puede encontrarse de diferentes maneras: formato digital, física
(escrita o impresa en papel) y como ideas o conocimiento de los miembros de la
organización.
4) Identificar áreas de preocupación: Este paso corresponde al desarrollo de

perfiles de riesgo para los activos de información (paso 2): posibilidad de materialización
de una amenaza (probabilidad) y sus consecuencias (impacto). El área de preocupación
describe el nivel real de afectación de un
activo de información, este aspecto debe
generar tantas áreas como sean necesarias
para cada uno de los activos perfilados. Se
documenta las condiciones que preocupan
a la organización identificando riesgos
evidentes, y registrando información
sobre quién podría llevar a cabo esta
amenaza (actores), los medios por los
cuales se podría ejecutar, motivos y sus
resultados. Finalmente, se documenta la
manera en la que las amenazas afectarían
los requisitos de seguridad descritos en el
segundo paso.

Evaluación de la
gestión de riesgo
5) Identificar escenarios de amenaza: en este punto las áreas de preocupación

son extendidas a escenarios de amenaza, lo que significa la identificación de otras
preocupaciones para la organización que están relacionadas con sus activos de
información críticos y que no son visibles a primera vista, como en el paso anterior.
Para lograrlo, se puede utilizar un cuestionario por cada tipo de contenedor del paso
3 (técnico, físico o humano), que contiene un conjunto de condiciones y preguntas
diseñadas para detallar la identificación de amenazas.
Otra manera de identificar condiciones de riesgo es a través de árboles de amenaza,

que son estructuras lógicas para visualizar combinaciones de eventos y que
consideran amenazas a través de medios técnicos y físicos, con actores internos
o externos, por motivos accidentales o intencionales, que pueden provocar alguna
consecuencia como la divulgación, modificación, interrupción o destrucción de un
activo de información, como se muestra en la siguiente imagen:
Otros árboles de amenaza consideran problemas técnicos como defectos de software

y hardware, fallas en sistemas o incidentes por códigos maliciosos. También, fallas
de suministro eléctrico, en telecomunicaciones, relacionados con terceros, incluso
por desastres naturales que pueden afectar los activos.
Es importante mencionar que no todas las combinaciones representan una amenaza

real en la organización, por lo que algunas pueden ser descartadas.

Evaluación de la
gestión de riesgo
6) Identificar riesgos: Ecuación de riesgo:
Riesgo = Amenaza (condición) + Impacto (consecuencia)
Se determina el impacto a la organización si se realiza

un escenario de amenaza descrito en los pasos 4 y 5,
a través de los enunciados de impacto, la descripción
detallada de la manera en que se ve afectada la
organización. Para ello se debe tomar como referencia
cada uno de los criterios definidos en el paso 1, es decir,
las áreas de impacto que preocupan a la empresa.
De manera opcional se puede definir la probabilidad

realista de la ocurrencia de la amenaza, actividad que
permite priorizar los riesgos a tratar y requiere de un conocimiento amplio sobre
los problemas de seguridad que ha padecido la organización (utilizar información
estadística como los registros de incidentes). A una probabilidad de ocurrencia
alta se asigna un valor de 3, si es media un valor de 2 y un valor de 1 para una
probabilidad baja.
7) Analizar riesgos: Se mide de forma cualitativa el grado en el que la organización

es afectada por una amenaza y se calcula puntuación para cada riesgo por activo
de información. Para ello, se comparan las áreas de impacto de cada categoría
de los criterios del paso 1, con el escenario de amenaza. Se debe calcular un
puntaje para cada escenario de amenaza generado, en este caso, se considera un
incidente de seguridad que se conoce públicamente, por lo que el valor de impacto
es alto (correspondiente a un 3). Para cada criterio puede existir más de un área de
impacto, por lo que en el cálculo se considera el impacto de mayor valor. Luego se
multiplica el valor de impacto del área con la prioridad definida en el paso 1:

Evaluación de la
gestión de riesgo
El resultado final o puntaje total, es la suma de los productos de la puntuación. El

resultado es un valor cuantitativo que puede ir de 0 a 45, a un valor más grande,
el impacto será mayor sobre los activos de la empresa.
8) Seleccionar un enfoque de mitigación: En el último paso, se deben determinar

las opciones de tratamiento de riesgos con base en los resultados del análisis,
es decir, utilizando los valores de impacto y probabilidad calculados en los pasos
anteriores. Este criterio puede variar de una organización a otra, pero en general,
se busca mitigar aquellos riesgos que resulten con un valor alto (cercano a 45) y
con una probabilidad de ocurrencia alta.
En OCTAVE Allegro se puede hacer uso de la matriz de riesgo relativo, un elemento

que permite visualizar los riesgos a tratar con base en la probabilidad y el puntaje
de riesgo. Se categorizan grupos de escenarios de amenazas para su tratamiento
con base en estos resultados, como se muestra en la siguiente imagen. Los riesgos
que pertenecen al grupo 1 deberían ser tratados con mayor prioridad:
Los enfoques de tratamiento para este método son mitigar, postergar, transferir
o aceptar. Estas opciones pueden variar de una metodología a otra, aunque
generalmente coinciden. Finalmente, es conveniente priorizar los riesgos para
identificar aquellos que deban tratarse primero.
Con este método, es posible que, a partir de criterios cualitativos, se pueda obtener
un resultado numérico, es decir un valor cuantitativo, que permite priorizar los
riesgos, con base en un puntaje y su probabilidad de ocurrencia.

Evaluación de la
gestión de riesgo
OCTAVE Allegro puede ser de mucha utilidad, ya que se enfoca

en los activos de información y ofrece opciones para crear los
escenarios de amenaza, que permiten tener un mayor alcance
para la identificación a la hora de hacer un análisis de riesgos y
prevenirlos, con base en la propensión de la organización y los
criterios que definan los tomadores de decisiones”.
2. LA GERENCIA DE LA INFORMACIÓN Y EL CONOCIMIENTO

EN LA TOMA DE DECISIONES.
En la actualidad las empresas se están preocupando por conocer a ciencia cierta lo que
saben hacer y darle el mejor uso a ese conocimiento; dado que, este último es el activo
económico más valioso dentro de la empresa; por tanto, es necesario hacer esfuerzos
por definir cómo adquirirlo, representarlo, retenerlo y administrarlo.
La gerencia del conocimiento incluye todo lo que la empresa sabe acerca de sus
productos, del mercado, de los clientes, de su equipo de trabajo y de cómo combinar
estos elementos para lograr que sea competitiva dentro de la actual economía. Desde
esta perspectiva, la gerencia de conocimiento se convierte en un proceso, una cultura y
una dinámica de la empresa, alineando y midiendo el uso del conocimiento con el logro
de objetivos y metas propuestos, y, transformando la organización en una que aprende.
Para que la gerencia del conocimiento sea efectiva se debe capturar y almacenar la
información que no está directamente accesible en función de determinados usuarios
clave, a su vez, ésta debe ser transformada en conocimiento útil, difundida por medios
digitales y hacerse disponible en su aplicación a todos los niveles organizacionales. Este
proceso es de carácter permanente y continuo.
La gerencia del conocimiento depende menos de la cantidad de información que del

número de conexiones que unen la información y las personas. El aspecto conector
del conocimiento es un factor distintivo crítico entre la gerencia del conocimiento y la
gerencia de la información; es navegar entre las personas y la información, a través
de una cadena de valor de actividades, lo que propiamente constituye una cadena del
conocimiento.
La gestión del conocimiento convoca a precisarlos, a incrementarlos y explotarlos

para ganar competitividad; estimula a comprender y compartir el conocimiento en la
empresa, entendiendo que esta actitud aumenta los niveles de rentabilidad, al crear un
nuevo valor de unidad a los integrantes de la organización y de aprovechamiento de
sus conocimientos, de modo que estén en condiciones de enfrentar desde los problemas
más simples hasta los más complejos.

Evaluación de la
gestión de riesgo
Mientras más inteligente es una empresa y más conocimiento acumula, mayor es la

posibilidad de lograr ventaja frente a los competidores del mercado. Las empresas
que aprovechan al máximo sus conocimientos no tienen que repetir tareas, ni perder
tiempo en realizarlas; están preparadas para mostrar su rentabilidad, para compartir
y para no acaparar el conocimiento en la organización, están en el camino del
aprendizaje compartido a través de las experiencias de otras empresas. Evolucionan
en un espacio propio, tienen la capacidad de conducirse con la efectividad requerida
y se desarrollan tanto dentro como fuera de la empresa.
Los objetivos de la gestión del conocimiento son:
• Incrementar las oportunidades de negocio.
• Aumentar la comunicación.
• Aumentar la competitividad presente y futura.
• Elevar el liderazgo de las empresas en su mercado.
• Elevar el rendimiento.
Su propósito principal es traducir el conocimiento en acción y éste en resultados.

Actualmente las empresas son cada vez más dependientes del conocimiento ¿a qué
se debe esto?
• Es necesario aprovechar las aptitudes de los empleados y elevar su productividad.

Hacer comprender que atraer personal calificado hará sobrevivir la empresa
ante la competencia.
• El período de vida del conocimiento es cada vez más corto.
• Las telecomunicaciones e Internet aminoran el tiempo y las distancias geográficas.
• Los productos y servicios son cada vez más sofisticados y, por consiguiente,
contienen un valioso conocimiento, no sólo en cualidad, sino también en cantidad.
Las organizaciones se distinguirán cada vez más por su cultura; aquellas que exploten
el conocimiento acumulado a la hora de innovar o resolver algún problema para
hacer las cosas bien y de forma rápida, se convertirán en empresas inteligentes.
Una organización que aprende es una organización experta en crear, en adquirir el
conocimiento y en modificar su comportamiento para reflejar nuevos conocimientos
e interpretaciones.

Evaluación de la
gestión de riesgo
2.1 La Gerencia del Conocimiento.
La gerencia del conocimiento se identifica como el apalancamiento o impulso de

la “sabiduría” del talento humano dentro de la organización, para aumentar la
capacidad de respuesta y la innovación.
La gerencia del conocimiento, se refiere a la capacidad de la organización para

movilizar sus recursos intelectuales, con el objeto de lograr que esta compita en
una época donde los elementos diferenciadores entre las empresas son cada vez
más escasos.
El conocimiento ha pasado a convertirse en el factor de producción más importante

en la sociedad de la información, y la dificultad en la gerencia de este activo radica
en que se encuentra en la compleja mente de las personas.
La gerencia del conocimiento en una organización, debe desarrollar la habilidad

para identificar, clasificar, medir y valorar el capital intelectual; es decir, canalizar
las habilidades, experiencias, aptitudes y capacidades de las personas, para
transformarlas en activos estructurales que generen valor para la empresa. Esto
es: mejores métodos de trabajo, eficiente y dinámica estructura organizacional,
comprensión y relación cercana con el entorno y mejores procesos de vinculación
del conocimiento con las tecnologías de la información.
La gerencia del conocimiento debe preocuparse por detectar los proveedores del
conocimiento; es decir, aquellos individuos que poseen conocimiento que tiene
valor para otras personas.

Evaluación de la
gestión de riesgo
En las organizaciones encontramos dos tipos de conocimiento:
Conocimiento explícito: Aquel que puede codificarse y puede transmitirse a otros

con facilidad.
Conocimiento tácito: Corresponde a la experiencia y se basa en claves generalmente

ligadas a instinto y criterios propios, lo que es diferente del conocimiento formal
explícito.
2.2 Gerencia del Conocimiento en las Pymes.
La gerencia del conocimiento es una técnica gerencial

que muchos empresarios han visto como posible salida a
la ardua dinámica de gerenciar las PYMES; sin embargo,
actualmente el factor conocimiento se ha vuelto en una
nueva fuente de ingresos para las empresas, esto ha
hecho necesario que dichas empresas adopten técnicas
apropiadas para gerenciar este recurso. La unidad de
gerencia del conocimiento para la PYME tiene una serie
de condiciones, debido a las características especiales
que presentan estas unidades productivas.
Como bien se conoce, el proceso de globalización en la actualidad, ha traído consigo

el surgimiento de las tecnologías de la información y la comunicación. Dentro de
los objetivos que esta gerencia tiene, están los de formular estrategias de alcance
organizacional para el desarrollo y aplicación del conocimiento. Como consecuencia
de este alcance, se hace necesario formular e implantar estrategias relacionadas
con el conocimiento, promover la mejora continua de los procesos de negociación,
haciendo énfasis en la generación y empleo del conocimiento. Por último, reducir
los tiempos necesarios para el desarrollo de nuevos productos, mejora de los ya
existentes y del tiempo necesario para la solución de problemas.
Hasta el momento la gerencia del conocimiento ha sido

aplicada en empresas con suficiente tamaño y poder, con
capacidad para implantar costosos proyectos dirigidos a
sacarle el valor agregado al conocimiento del recurso
humano. Sin embargo, se plantea el problema de las
PYME, que no tienen el mismo poder que las grandes
empresas, pero deben competir en el mismo mercado
de las primeras.
Considerando esta limitación, se recomienda que la PYME cree lo que se denomina

una Unidad de Gerencia del Conocimiento, que es un espacio que puede funcionar

Evaluación de la
gestión de riesgo
dentro de una empresa cuyo objetivo es el de servir como observatorio del saber
según los objetivos y fines específicos de la institución de que trate, así como,
participar activamente en el entrenamiento de personal de acuerdo con las
estrategias de la institución.
Para que la gerencia del conocimiento sea efectiva se deben tener en cuenta tanto
las debilidades como las condiciones para implementarlo.
2.3 Debilidades de la Pyme.
1) Debilidad Tecnológica: Se considera que la directiva de la empresa y el

personal técnico no están actualizados, en cuanto a los últimos avances en el área
sobre la cual se desempeña la empresa.
2) Debilidad Financiera: Frecuentemente las PYME, por falta de fortaleza

financiera, no son llamadas a concurso porque representan un riesgo considerable
para los clientes, al no poder responder a posibles contingencias.
3) Debilidad Gerencial: La directiva de la empresa no tiene la formación

gerencial adecuada para dirigir la organización con éxito. Es frecuente que un
grupo de profesionales decidan conformar una empresa, pero la dirigen de una
manera improvisada, ya que se formaron para ejercer su profesión, no para dirigir
empresas en dicha profesión.
4) Debilidad de Mercadeo/Ventas: La actividad de vender los servicios es un

trabajo que se recomienda que sea de tiempo completo, los socios de la empresa
no lo pueden asumir, ya que frecuentemente no tienen la formación adecuada.
5) Un nivel directivo débil: En muchos casos, con poca experiencia y habilidad

gerencial y dificultad para formular los planes con un sentido estratégico.
6) Dirección de la organización concentrada en pocas personas con

escasa formación específica: En consecuencia, las actuaciones directivas de la
empresa suelen ser de corto plazo y rígidas.
7) Estructuras organizativas poco formales: Trae como consecuencia

dificultades a la hora de lograr un buen nivel de eficacia y eficiencia para alcanzar:
rentabilidad, éxito y crecimiento. Deficiente calidad técnica en cuanto a los recursos
integrados en las diferentes unidades operativas.

Evaluación de la
gestión de riesgo
2.4 Condiciones que debe tener la Unidad de Gerencia del

Conocimiento para la Pyme.
1) Debe ser Económica: Debido a que la PYME carece de poder económico para
adquirir y mantener la infraestructura necesaria que tienen las grandes empresas,
la unidad de gerencia del conocimiento debe hacer su trabajo lo más y mejor que
pueda, con los menores recursos posibles.
2) Debe ser simple: Al igual que la PYME a la cual pertenece, la unidad de

gerencia del conocimiento debe tener una estructura simple. De igual forma, sus
procesos deben ser lo más sencillos posible sin sacrificar la eficacia y eficiencia.
3) Debe ser flexible: La PYME, para poder sobrevivir, frecuentemente altera su

funcionamiento regular según sus normas. La unidad de gerencia del conocimiento
debe ser capaz de trabajar de la misma forma para poder responder en esos casos.
4) Debe ser dinámica: Es necesario que la unidad de gerencia del conocimiento

sea tan dinámica como lo es la PYME a la cual pertenece.
5) Debe ser maleable: Considerando que la PYME se puede expandir o contraer

en tamaño, la unidad de gerencia del conocimiento debe ser capaz de expandirse
o contraerse (según lo haga la empresa), sin disminuir la calidad de su trabajo,
ya que se considera fundamental en los momentos de contracción económica el
sacarle el valor agregado al capital intelectual de la organización.
2.5 Finalidad de la información.
¿Por qué tengo que gastar mi tiempo en

anotar y calcular cifras que no me van a servir
para nada, si no es para calcular el impuesto
que deberé pagar, cuando tengo tanto por
hacer y que están esperando a que lo haga?
Esta es una pregunta muy común que se

hacen los hombres de pequeños negocios.
Para nadie es un secreto que la normativa
legal hace aumentar en cierta medida el
trabajo administrativo, tanto de registro de
datos como de archivo, pero es un error creer
que esa información es inútil, tiempo perdido
o un derroche de recursos. Los registros
contables no sólo sirven para demostrar la solvencia del empresario, estos datos
sirven también para conocer aspectos como:

Evaluación de la
gestión de riesgo
• Situación patrimonial y financiera de la empresa en un período dado.
• La evolución de la empresa: Esta información actualizada ayudará a tomar

decisiones más eficaces y racionales.
• La tendencia de las principales variables de la explotación de los recursos propios.
Este sistema contable para alcanzar los niveles que se esperan, debe ajustarse a las
necesidades de información de la empresa, ser manejable, de fácil interpretación y
ser exacto en el reflejo de la realidad.
El empresario que no dispone de tiempo o no tiene los suficientes conocimientos

en el área contable debe encomendar esa función a un especialista; debiendo
responderse las siguientes preguntas: ¿Se siente capacitado para atender esta
área como empresario?, ¿por qué sí o no? ¿Considera importante esta área para la
toma de decisiones empresariales?
2.6 Creación del Conocimiento Organizacional
Crear un conocimiento organizacional implica reformar la cultura de las actitudes y

procedimientos alrededor del conocimiento. La empresa que aprende, busca reformar
la manera como las personas piensan y aprenden destrezas, y no simplemente el
modo como organizan su conocimiento.
También se busca el aprendizaje en equipo, por medio del intercambio de

conocimiento entre los miembros que lo poseen. De esta forma, se puede desarrollar
un conocimiento de equipo, lográndose así que la empresa no salga tan perjudicada
cuando se pierde un empleado clave. El objetivo de la empresa que aprende es
mejorar los niveles de innovación en toda la organización.
Crear un conocimiento organizacional requiere un énfasis en el aprendizaje en

todas las áreas de la empresa, el cual entra a funcionar cuando se descubre que un

Evaluación de la
gestión de riesgo
problema o una brecha en el entendimiento grupal, requiere de nuevos mecanismos

de percepción y pensamiento. Es necesario implementar procesos de identificación
de nuevos problemas, de búsqueda de nuevas posibilidades, de cambio de las
rutas con las cuales se adaptan o enfrentan las empresas; es decir, requiere del
replanteamiento y rediseño de modelos mentales.
Como resultado, en la empresa que aprende, el gerente se dirige hacia las grandes
destrezas que poseen los empleados clave, dándoles tanta importancia como a las
destrezas básicas requeridas y necesarias en los roles de la organización.
Estas destrezas lo que buscan es valorar la mayor adaptabilidad de los conjuntos de

habilidades, tanto de individuos como del grupo; la mayor aptitud emocional para
la toma de decisiones y el manejo del cambio se fundamenta en la autonomía.
Por ejemplo, una revista de negocios utiliza la redacción en equipo para acelerar el
aprendizaje entre los nuevos periodistas. Las entrevistas y los artículos más largos
normalmente se asignan como un trabajo en equipo y no a una sola persona. Lo
anterior acelera la transferencia de las redes de conocimiento y las destrezas de los
empleados más antiguos a los recién llegados.

Evaluación de la
gestión de riesgo
GLOSARIO
Capacidad de enfrentar consecuencias adversas: Medios por los cuales la

población u organizaciones utilizan habilidades y recursos disponibles para enfrentar
consecuencias adversas que puedan conducir a un desastre. En general, esto
implica la gestión de recursos, tanto en períodos normales como durante tiempos
de crisis o condiciones adversas. El fortalecimiento de las capacidades de enfrentar
a menudo comprende una mejor resiliencia para hacer frente a los efectos de
amenazas naturales y antropogénicas.
Capital Intelectual: A medida que las empresas se vuelven más independientes

de su conocimiento interno para triunfar y crecer, su valor pasa de los activos
físicos a los activos intangibles del conocimiento. Medir este capital intelectual no
es una tarea fácil, pues en él pueden incluirse recursos tan diferentes y vagamente
definidos como el conocimiento y las destrezas de los empleados, las relaciones
con el cliente, la motivación del empleado y las infraestructuras que respaldan el
conocimiento.
Evaluación: Apreciación sistemática y objetiva de un proyecto, programa o política

en curso o concluido, de su diseño, su puesta en práctica y sus resultados. El objetivo
es determinar la pertinencia y el logro de los objetivos, así como la eficiencia, la
eficacia, el impacto y. la sostenibilidad para el desarrollo. Una evaluación deberá
proporcionar información creíble y útil, que permita incorporar las enseñanzas
aprendidas en el proceso de toma de decisiones de beneficiarios y donantes. La
evaluación también se refiere al proceso de determinar el valor o la significación
de una actividad, política o programa. Se trata de una apreciación, tan sistemática
y objetiva como sea posible, de una intervención para el desarrollo planeada, en
curso o concluida. Nota: En algunos casos, la evaluación entraña la definición de
normas adecuadas, el examen de los resultados en función de esas normas, una
apreciación de los resultados efectivos y previstos y la identificación de lecciones
pertinentes. Término conexo: revisión.
Evaluación del Riesgo: Proceso de comparar el riesgo estimado contra criterios

de riesgo dados, para determinar la importancia del riesgo. NTC-ISO /IEC 27001.
Gestión Tecnológica: Se entiende como el uso de los conocimientos, experiencias,

habilidades y destrezas en el direccionamiento empresarial para el logro de los
objetivos y de la función tecnológica de la empresa.
En ésta se integran funciones de planificación, coordinación y control proactivo de

todas las actividades que se desarrollan en la empresa, y con todos los recursos
que ella posee; abarca no solo su ambiente interno, sino que considera su entorno
como parte vital de su trabajo administrativo.

Evaluación de la
gestión de riesgo
Vulnerabilidad: Susceptibilidad o fragilidad física, económica, social, ambiental o

institucional que tiene una comunidad de ser afectada o de sufrir efectos adversos en
caso de que un evento físico peligroso se presente. Corresponde a la predisposición
a sufrir pérdidas o daños de los seres humanos y sus medios de subsistencia, así
como de sus sistemas físicos, sociales, económicos y de apoyo que pueden ser
afectados por eventos físicos peligrosos.

Evaluación de la
gestión de riesgo
BIBLIOGRAFÍA
Bernal, J. J. (6 de Enero de 2016). Gestión de Riesgos: ¿Cómo hacer una evaluación

de riesgos? ¿Cómo buscar soluciones? Recuperado el 5 de Octubre de
2016, de PDCAhome.com: https://goo.gl/WXGSKO
Coronado, Angela Mercedes; Prieto Navarrera, Lynda Patricia. (28 de Marzo de

2016). Lineamiento de Gestión del Riesgo. Recuperado el 5 de Octubre
de 2016, de Instituto Nacional de Salud: https://goo.gl/LCw4u1
FEDERACIÓN REGIONAL DE EMPRESARIOS DEL METAL DE MURCIA. (2007). Manual

de Prevención de Riesgos Laborales para Autónomos del Sector Metal de
la Región de Murcia. Recuperado el 5 de Octubre de 2016, de FREMM:
http://www.fremm.es/riesgoslaborales/autonomos/inicio.html
ifex - La Red Global. (s.f.). Cómo evaluar y afrontar riesgos. Recuperado el 5

de Octubre de 2016, de ifex.org: https://www.ifex.org/campaigns/risk_
assessment/es/
Mendoza, M. A. (30 de Septiembre de 2014). Ocho pasos para hacer una

evaluación de riesgos (parte II). Recuperado el 26 de Septiembre de
2016, de Welivesecurity.com: https://goo.gl/AKWLaj
Mendoza, M. A. (30 de Septiembre de 2014). Ocho pasos para hacer una evaluación de
riesgos -Parte I-. Recuperado el 26 de Septiembre de 2016, de Welivesecurity.
com: https://goo.gl/MNfVID

Evaluación de la
gestión de riesgo
Objeto de Aprendizaje
Evaluación de la Gestión de Riesgo
Centro de Formación Expertos temáticos
Regional Santander
Desarrollador de contenido Rosa Elvia Quintero Guasca

experto temático Luis Orlando Beltràn Vargas
Centro Industrial de Mantenimiento Integral - CIMI
Regional Santander
Líder línea de producción Santiago Lozada Garcés
Asesores pedagógicos Rosa Elvia Quintero Guasca

Luis Orlando Beltrán Vargas
Producción multimedia
Diseño Oscar Julian Marquez Sanabria
Audios Víctor Hugo Tabares Carreño
Programación Francisco José Lizcano Reyes

Evaluación de La

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Evaluación de La

Transféré par

Droits d'auteur :

Formats disponibles

Evaluación de la

FAVA - Formación en Ambientes Virtuales de Aprendizaje

1. EVALUACIÓN DE LA GESTIÓN DEL RIESGO..................................................5

2. LA GERENCIA DE LA INFORMACIÓN Y EL CONOCIMIENTO EN LA TOMA DE

2.1 Gerencia de Conocimiento............................................................15

2.2 Gerencia del Conocimiento en las Pymes........................................16

2.3 Debilidades de la Pyme . .............................................................17

2.4 Condiciones que debe tener la Unidad de Gerencia del Conocimiento

2.5 Finalidad de la información...........................................................18

2.6 Creación del Conocimiento Organizacional......................................19

Control del documento...............................................................................24

FAVA - Formación en Ambientes Virtuales de Aprendizaje 2

La Gerencia del Conocimiento, se está

3 FAVA - Formación en Ambientes Virtuales de Aprendizaje

FAVA - Formación en Ambientes Virtuales de Aprendizaje 4

1. EVALUACIÓN DE LA GESTIÓN DE RIESGO.

Éste proceso permite que la organización identifique sus amenazas y el grado de

En el proceso de gestionar los riesgos competentemente, como lo menciona Bernal

Esta evaluación de los riesgos se suele hacer estableciendo criterios numéricos, en

Impacto: Es la gravedad que tendría el riesgo en el caso de producirse. Puede ser

Probabilidad: Son las posibilidades de que el riesgo llegue a ocurrir. Pueden ir

Índice de riesgo = Impacto x Probabilidad

De forma alternativa, si no se quiere calcular el índice de riesgo, otra opción más

5 FAVA - Formación en Ambientes Virtuales de Aprendizaje

Según Coronado y Prieto (2015) el propósito fundamental del análisis y evaluación

• Estimar la probabilidad de ocurrencia del riesgo.

• Evaluar y calificar el impacto que éste puede tener sobre a organización.

La evaluación, es responsabilidad de la Dirección de la empresa, aunque debe

FAVA - Formación en Ambientes Virtuales de Aprendizaje 6

1) Establecer criterios de medición del riesgo: Este primer paso involucra a

• Reputación/confianza del cliente

7 FAVA - Formación en Ambientes Virtuales de Aprendizaje

Es necesario priorizar cada área de impacto de acuerdo con el particular interés de

FAVA - Formación en Ambientes Virtuales de Aprendizaje 8

2) Desarrollar un perfil de activos de información: Estos corresponden a

3) Identificar contenedores de activos de información: Este paso precisa los

4) Identificar áreas de preocupación: Este paso corresponde al desarrollo de

9 FAVA - Formación en Ambientes Virtuales de Aprendizaje

5) Identificar escenarios de amenaza: en este punto las áreas de preocupación

Otra manera de identificar condiciones de riesgo es a través de árboles de amenaza,

Otros árboles de amenaza consideran problemas técnicos como defectos de software

Es importante mencionar que no todas las combinaciones representan una amenaza

FAVA - Formación en Ambientes Virtuales de Aprendizaje 10

6) Identificar riesgos: Ecuación de riesgo:

Riesgo = Amenaza (condición) + Impacto (consecuencia)

Se determina el impacto a la organización si se realiza

De manera opcional se puede definir la probabilidad

7) Analizar riesgos: Se mide de forma cualitativa el grado en el que la organización

11 FAVA - Formación en Ambientes Virtuales de Aprendizaje

El resultado final o puntaje total, es la suma de los productos de la puntuación. El

8) Seleccionar un enfoque de mitigación: En el último paso, se deben determinar

En OCTAVE Allegro se puede hacer uso de la matriz de riesgo relativo, un elemento

FAVA - Formación en Ambientes Virtuales de Aprendizaje 12

OCTAVE Allegro puede ser de mucha utilidad, ya que se enfoca

2. LA GERENCIA DE LA INFORMACIÓN Y EL CONOCIMIENTO

La gerencia del conocimiento depende menos de la cantidad de información que del

La gestión del conocimiento convoca a precisarlos, a incrementarlos y explotarlos

13 FAVA - Formación en Ambientes Virtuales de Aprendizaje

Mientras más inteligente es una empresa y más conocimiento acumula, mayor es la

Los objetivos de la gestión del conocimiento son:

• Incrementar las oportunidades de negocio.

• Aumentar la competitividad presente y futura.

• Elevar el liderazgo de las empresas en su mercado.