Visión general del Riesgo Organizacional
El registro corporativo de riesgos bajo ISO 31000: riesgo padre, riesgos hijos por dominio y cómo se agregan.
Qué es esta capa
El Riesgo Organizacional es el registro corporativo de riesgos de tu organización, siguiendo la ISO 31000. Se sitúa por encima de los riesgos operativos que los demás dominios ya calculan — no los sustituye. La idea es tener un lugar donde la pregunta "a qué está expuesta la empresa" tenga una única respuesta, alimentada por lo que ya se midió en cada dominio.
Riesgo padre y riesgos hijos
El registro tiene dos niveles. El riesgo organizacional, con prefijo OR, existe por el simple hecho de que la empresa existe. Debajo quedan los riesgos operativos, cada uno alimentado por un dominio ya calculado: VR para proveedor, CR para cyber, PR para privacidad (que carga la dimensión legal) y HR para riesgo humano.
Los cuatro hijos se crean automáticamente la primera vez que abres el registro. Eliminar uno no borra nada: hace un archivado reversible, y las correlaciones de ese dominio se desconectan de la consolidación. La interfaz avisa antes de hacerlo.
El identificador sigue el patrón prefijo-secuencia por organización — OR-001, VR-003 — y es único dentro de tu organización.
Cómo se calcula el padre
La consolidación del riesgo padre usa el peor caso entre los hijos, no el promedio. Es la misma elección adoptada en el resto de la plataforma: una exposición alta en un dominio no debe diluirse por tres dominios tranquilos.
Taxonomía
Cada riesgo puede clasificarse en dos ejes independientes, ambos opcionales. Categoría: humano, biológico, tecnológico, legal o imagen. Tipo de impacto: desastre (evento real, como una pandemia o un terremoto — no es recuperación de desastres de TI), continuidad (interrupción) o reputacional.
Una distinción que vale registrar: la resiliencia no es un riesgo, es una estrategia de continuidad. Entra en la plataforma como tratamiento, no como línea del registro.