¿En qué se diferencia de una herramienta de GRC?

La mayoría de las herramientas de gestión de riesgos empresariales son sistemas de GRC de uso general que no entienden el riesgo en salud ni la conexión entre los eventos de seguridad operativos y el riesgo empresarial. ImprovementFlow conecta el registro, las iniciativas de mitigación, los eventos de seguridad, las auditorías y los proyectos de mejora en un único sistema de gestión operativa.

¿Qué pasa cuando un KRI cruza su umbral?

Se notifica a las personas indicadas en el momento oportuno, para que los datos inicien la conversación en lugar de esperar a que alguien lo note en un panel. Luego el patrocinador decide la respuesta.

¿Qué mostrará el informe para la junta directiva?

El riesgo residual a lo largo del tiempo de los riesgos que superan el apetito, el estado del portafolio de mitigación y los cruces de umbral de los KRI, generados en cualquier momento a partir de datos en vivo.

¿Somos demasiado pequeños para un programa estructurado de gestión de riesgos empresariales?

Es posible. Nuestra introducción dice con franqueza que una organización con una sola sede y menos de unos 75–100 empleados puede sacar más provecho de un registro sencillo con una revisión trimestral de la dirección. Le diremos si eso se ajusta mejor a su caso.

¿Y la seguridad de la información?

Todos los paquetes incluyen un servicio diseñado según los estándares de HIPAA, un acuerdo con un socio comercial (BAA) y SSO.

ImprovementFlow · Riesgo y cumplimiento

Muestre a su junta directiva que los riesgos realmente están bajando

Mantenga un registro de riesgos vivo, con puntuaciones, responsables designados y fechas de revisión. Lleve sus riesgos más grandes a iniciativas de mitigación con un patrocinador, una meta y un indicador clave de riesgo (KRI) que da la alerta cuando se cruza un umbral, todo conectado con los eventos de seguridad y los hallazgos de auditoría que le indican que un riesgo se está materializando.

Solicitar una demostración Vea cómo se gestiona un riesgo

En la pantalla de una sala de reuniones, la persona a cargo de la gestión de riesgos señala un cuadro de alto riesgo en una matriz de probabilidad e impacto codificada por colores, junto a una lista de responsables de mitigación con marcas de verificación, mientras una líder de enfermería y dos ejecutivos observan

¿Le resulta familiar?

Lo que escuchamos de los líderes de gestión de riesgos que usan los métodos habituales

Frustraciones comunes con las herramientas y soluciones improvisadas de siempre: las brechas que ImprovementFlow está diseñado para cerrar.

Nuestro registro de riesgos se desempolva una vez al año para la junta directiva.

Las puntuaciones se arrastran sin cambios, los responsables son departamentos enteros y el acta vuelve a decir «sin cambios significativos».

La junta pregunta si estamos más seguros que el año pasado. Lo único que puedo mostrarles es el mismo mapa de calor.

Los informes describen actividad (evaluaciones realizadas, iniciativas «según lo previsto») en lugar de mostrar si la exposición disminuyó.

Cuando por fin ocurrió, todos dijeron: «Conocíamos ese riesgo».

Estaba en la lista. Nadie tenía un indicador que les advirtiera que estaba empeorando.

Cómo funciona

De un nombre en el registro a un riesgo que baja de forma medible

Los mismos pasos que describen los marcos de gestión de riesgos empresariales (ERM), llevados como un programa continuo en lugar de una actualización anual de una hoja de cálculo.

1
Mantenga vivo el registro
Cada riesgo tiene una puntuación inherente, una puntuación residual, un responsable designado, una fecha de revisión y su historial de mitigación. Los riesgos con las puntuaciones más altas se revisan con más frecuencia.
2
Acuerde cuánto riesgo está dispuesto a asumir
Su apetito de riesgo está junto al registro, de modo que los riesgos que lo superan aparecen como candidatos a una mitigación activa en lugar de perderse en la lista.
3
Lance una iniciativa de mitigación
Cada iniciativa de mitigación de riesgos tiene un patrocinador responsable del resultado, un líder que dirige el trabajo, una meta de riesgo residual y al menos un KRI con un umbral definido.
4
Deje que los datos den la alerta
Cuando un KRI cruza su umbral, se notifica a las personas indicadas. Cuando un evento de seguridad o un hallazgo de auditoría indica que un riesgo se está materializando, el vínculo aparece en el registro.
5
Informe la tendencia, no la actividad
El riesgo residual a lo largo del tiempo, el estado de las iniciativas y los cruces de umbral salen directamente de los datos en vivo para el comité de riesgos y la junta directiva, en lugar de armarse a mano la semana anterior.

1
Mantenga vivo el registro
Cada riesgo tiene una puntuación inherente, una puntuación residual, un responsable designado, una fecha de revisión y su historial de mitigación. Los riesgos con las puntuaciones más altas se revisan con más frecuencia.
2
Acuerde cuánto riesgo está dispuesto a asumir
Su apetito de riesgo está junto al registro, de modo que los riesgos que lo superan aparecen como candidatos a una mitigación activa en lugar de perderse en la lista.
3
Lance una iniciativa de mitigación
Cada iniciativa de mitigación de riesgos tiene un patrocinador responsable del resultado, un líder que dirige el trabajo, una meta de riesgo residual y al menos un KRI con un umbral definido.
4
Deje que los datos den la alerta
Cuando un KRI cruza su umbral, se notifica a las personas indicadas. Cuando un evento de seguridad o un hallazgo de auditoría indica que un riesgo se está materializando, el vínculo aparece en el registro.
5
Informe la tendencia, no la actividad
El riesgo residual a lo largo del tiempo, el estado de las iniciativas y los cruces de umbral salen directamente de los datos en vivo para el comité de riesgos y la junta directiva, en lugar de armarse a mano la semana anterior.

En la práctica

Dónde están sus principales riesgos y quién los está reduciendo

El mapa de calor resume el registro. La lista de al lado es lo que el comité de riesgos realmente exige a las personas: una acción, un indicador y un nombre.

Probabilidad →

Impacto →

R1 Agresiones al personal en el servicio de urgencias
R2 Caída de los sistemas clínicos por ransomware
R3 Alta dependencia de personal de enfermería de agencia
R4 Resultados anormales de pruebas sin seguimiento
R5 Corte de energía prolongado durante un fenómeno meteorológico severo
R6 Verificación de credenciales de profesionales de salud vencida

Iniciativas de mitigación activas

R1 · Violencia laboral en urgencias
Capacitación en desescalada y control de ingreso en los accesos. KRI: agresiones reportadas por mes, con un umbral de escalamiento.
Responsable: Vicepresidencia de Enfermería (patrocinador), Dirección de Urgencias (líder)
R2 · Caída de sistemas clínicos
Procedimientos probados para operar sin cada sistema crítico durante una caída. KRI: proporción de sistemas críticos con una prueba de recuperación vigente.
Responsable: Dirección de Sistemas de Información (CIO)
R4 · Seguimiento de resultados omitido
Notificación de resultados en circuito cerrado. KRI: resultados críticos cuya recepción se confirma dentro del plazo acordado.
Responsable: Dirección Médica (CMO)

Riesgos, puntuaciones, responsables y KRI ilustrativos, no una captura de pantalla del producto. Su organización define su propio registro, su sistema de puntuación y su apetito de riesgo.

Para quién es

Algo útil para cada participante

Dirección de Riesgos (CRO) / Vicepresidencia de Riesgos: Una vista actualizada del registro, del portafolio de mitigación y de cada cruce de umbral, lista para la junta directiva.
Comité de riesgos: Reuniones en las que se aprueban planes de mitigación y se responsabiliza a los patrocinadores de alcanzar una meta de riesgo residual, en lugar de escuchar informes de avance.
Patrocinadores de mitigación: Una meta clara de la que son responsables y datos de KRI que muestran si su iniciativa está funcionando.
Líderes de mitigación: Un plan definido, un KRI sobre el cual reportar y una notificación en el momento en que se cruza un umbral.
Miembros de la junta directiva: Líneas de tendencia del riesgo residual de los riesgos que superan el apetito: dónde empezó cada uno, dónde está ahora y si va según lo previsto.

Qué cambia

De sortear el problema a trabajar para resolverlo

Hoy

Un registro en una hoja de cálculo que se actualiza una vez al año
Riesgos a cargo de «el departamento»
Mitigación descrita como «según lo previsto»
Los eventos de seguridad y las auditorías nunca llegan al registro

Con ImprovementFlow

Un registro vivo con puntuaciones, responsables y fechas de revisión
Un patrocinador y un líder designados para cada iniciativa activa
KRI con umbrales que activan el escalamiento
Eventos y hallazgos de auditoría vinculados a los riesgos que señalan

Diseñado para el riesgo en salud, no para un GRC genérico

Conectado con las operaciones: Los riesgos empresariales se vinculan con los eventos de seguridad, los hallazgos de auditoría y los proyectos de mejora que ya están en marcha en ImprovementFlow, para que el registro refleje lo que ocurre en la operación diaria.
Líneas de responsabilidad claras: La separación de roles sigue el Modelo de las Tres Líneas (gestión operativa, riesgos y cumplimiento, y auditoría), de modo que la rendición de cuentas está integrada en lugar de ser informal.
Seguro desde el primer día: Todos los paquetes incluyen un servicio diseñado según los estándares de HIPAA, un acuerdo con un socio comercial (BAA) y SSO.

Vea cómo funcionaría esto para sus equipos

Normalmente respondemos en un día hábil.

Solicitar una demostración

Primeros pasos

Sus primeros 90 días

Parta del registro que ya tiene. El primer trimestre consiste en ponerlo al día y llevar uno o dos riesgos a una mitigación activa.

Días 1–30
Revise con sus responsables ejecutivos los riesgos que ya sigue. Confirme las categorías, elimine los duplicados y agregue lo que falta.
Días 30–60
Puntúe el riesgo inherente de forma coherente, designe un responsable para cada entrada y acuerde con la dirección el umbral de apetito.
Días 60–90
Realice los primeros ciclos del comité de riesgos sobre el registro en vivo y lance una iniciativa, con KRI, para un riesgo principal que supere el apetito.

Guías

Guías de nuestra introducción a la gestión de riesgos empresariales

Guías prácticas e independientes de cualquier proveedor para crear un programa de riesgos que cambie las decisiones.

Preguntas frecuentes

Ya llevamos un registro de riesgos en una hoja de cálculo. ¿Tenemos que empezar de cero?: No. Su registro actual es el punto de partida. Las primeras semanas se dedican a confirmar puntuaciones, responsables designados y fechas de revisión con las personas responsables, para que el registro se ponga al día en lugar de rehacerse.
¿En qué se diferencia de una herramienta de GRC?: La mayoría de las herramientas de gestión de riesgos empresariales son sistemas de GRC de uso general que no entienden el riesgo en salud ni la conexión entre los eventos de seguridad operativos y el riesgo empresarial. ImprovementFlow conecta el registro, las iniciativas de mitigación, los eventos de seguridad, las auditorías y los proyectos de mejora en un único sistema de gestión operativa.
¿Qué pasa cuando un KRI cruza su umbral?: Se notifica a las personas indicadas en el momento oportuno, para que los datos inicien la conversación en lugar de esperar a que alguien lo note en un panel. Luego el patrocinador decide la respuesta.
¿Qué mostrará el informe para la junta directiva?: El riesgo residual a lo largo del tiempo de los riesgos que superan el apetito, el estado del portafolio de mitigación y los cruces de umbral de los KRI, generados en cualquier momento a partir de datos en vivo.
¿Somos demasiado pequeños para un programa estructurado de gestión de riesgos empresariales?: Es posible. Nuestra introducción dice con franqueza que una organización con una sola sede y menos de unos 75–100 empleados puede sacar más provecho de un registro sencillo con una revisión trimestral de la dirección. Le diremos si eso se ajusta mejor a su caso.
¿Y la seguridad de la información?: Todos los paquetes incluyen un servicio diseñado según los estándares de HIPAA, un acuerdo con un socio comercial (BAA) y SSO.

Contáctenos

Traiga su registro y sus cinco riesgos principales

Le mostraremos cómo se ven como un registro vivo, con apetito de riesgo, responsables y una iniciativa de mitigación que su junta directiva puede seguir desde el lanzamiento hasta la meta.