¿Como gestionamos el riesgo residual?

La valoración del riesgo es importante para apoyar a la toma de decisiones y determinar cuándo requiera una acción de control adicional como:

• Evaluar los objetivos de seguridad, para definir el riesgo aceptable (Matriz -RAM, calibrada) frente a los costos de mitigación. Pues si este fuera tan alto como asumir, el costo del riesgo materializado.
• Mejorar las opciones para tratar los riesgos, aumentando los controles.
• Mantener los controles existentes, sí han demostrado ser suficientes para reducir el nivel de riesgo considerado aceptable.
• Identificar si la integridad de los controles críticos se ha reducido.

Las decisiones y los resultados de la valoración de riesgo residual debe ser documentado y comunicarse a los niveles apropiados de la organización.

Existe normas como las ISO 31000:2018-Gestión del riesgo, la cual solo da la directrices del que hacer para la gestión: el cómo lo deja a los criterios definidos por la empresa.

A la fecha no existe norma internacional que especifique los valores para jerarquizar los controles y calcular el riesgo residual.

Para identificar el riesgo es conveniente usar una técnica de identificación de riesgos para responder las siguientes preguntas:

¿Qué puede suceder? Es identificar la magnitud de la consecuencia o afectación si este ocurriera.

¿Como puede ocurrir? Es identificar las causas.

¿Cuándo puede suceder? Es identificar la probabilidad de ocurrencia.

 La valoración de riesgo residual es muy sencilla, basta con estimar la probabilidad de ocurrencia y las consecuencias, dado que no es una ciencia exacta. Es importante recordar los siguientes criterios:

Riesgo inherente (RI)- Es el riesgo presente en cualquier escenario donde no se ha hecho intentos de mitigación y no se han aplicado controles u otras medidas para reducir el riesgo desde niveles iniciales a niveles aceptables por la organización.

Riesgo Residual(RR) - es el riesgo restante después de haber realizado esfuerzos para reducir el riesgo inherente.

Consecuencias : se basa en el daño de lo que podrá o podría ocurrir.

Probabilidad : se basa en la efectividad y suficiencia de las medidas de control y la información de casos ocurridos anteriormente en condiciones similares.

Sugerencia de los criterios de probabilidad para Jerarquizar los controles de riesgos.
Valor-Control
5-Ninguno
4-Bajo : Confiabilidad con modos comunes de debilidad
3-Medio:Confiables
2-Alto : No es asunto de confiabilidad
1-Destacado: Extremandamente confiable

Susceptibilidad (%)
Ocurrencia (50%) ver *Atributo
Líneas de defensa (10%).
Integridad mecánica(10%) Equipos, SIS, ESD.
Administración de cambios (10%).
Disponibilidad procedimientos (10%)
Experiencia, comportamiento de operadores, mecánicos, supervisores y contratistas (10%)

*Atributo

Valor
5 Probable : Ocurre varias veces en la instalación.
4 Poco Probable- sucede varias veces al año.
3 Muy Improbable-ha ocurrido en el negocio.
2 Improbable- ha ocurrido en la industria similar
1 Extremadamente improbable - Nunca ha ocurrido

Severidad
5 Fatalidad (es).
4 Pérdida de contención con impacto en la comunidad o planta.
3 Accidentes con días perdidos, tratamientos médicos o trabajo restringido y derrames menores.
2 Accidentes con primeros auxilios, pérdida de producción por más de una hora operación.
1 Accidente registrable.

Ejemplo: RI= 5 ( Explosión nuclear con fatalidades), Ocurrencia=2 (Chernóbil), Líneas Defensa= 4 (paro de bombas de agua de enfriamiento al reactor sin estar frío), Integridad mecánica reactor=1 (cero fugas de radioactividad), Procedimientos =1(documentados y entendidos), Experiencia=1 ( operadores alto nivel escolaridad y experiencia).

Riesgo Residual (RR)=Riesgo Inherente(RI)- Impacto de los controles de riesgo.
RR=5- 2(0.5)+ 4(0.10)+1(0.10)+1(0.10)+1(.10)=5-1.7= 3.3 (Riesgo residual=Severo).

Conclusión,

La toma de decisiones sobre el nivel de riesgo residual corresponde a la alta dirección, ya que ella es la responsable de la conducción de la organización, de su viabilidad y de la toma de decisiones estratégicas como el nivel de riesgos a los que quedará expuesta. Para ello tendrá que:

1. Identificar los KPI's de seguridad y su cumplimiento.
2. Determinar si la jerarquización de los controles de riesgo son suficientes.
3. Reconcer los riesgos existentes.
4. Definir el apetito de riesgo y reflejarlo en la matriz RAM
5. Identificar las opciones disponibles para los costos de mitigación de los riesgos residuales inaceptables.

Acrónimo

RAM  Risk Assessment Management.

ESD   Emergency shoutdown device.

SIS     Safety instrumented system.

KPI's  Key Performance Indicators.