Según un estudio de..., en 2024 solo 12% de las empresas del S&P 500 contaban con un comité de riesgos formal y específico en su consejo de administración. Foro sobre Gobierno Corporativo de la Facultad de Derecho de Harvard.
Para un gestor, este número es incómodo porque expone una brecha que las hojas de cálculo y los comités trimestrales aislados no resuelven por sí solos.
Es por eso que tantos ejecutivos llegan a este artículo buscando entender cómo obtener la certificación ISO 31000.
Mas aquí está el primer punto que debe quedar claro antes de cualquier decisión: a diferencia de la ISO 9001 o de la ISO 27001, la ISO 31000 no es una norma certificable en el sentido tradicional.
Al final de esta guía, sabrá exactamente cuáles son los caminos reales de certificación disponibles, cuánto tiempo e inversión requiere cada uno, y cómo estructurar la gestión de riesgo ISO 31000 antes de buscar cualquier sello.
Por qué la certificación ISO 31000 genera tanta confusión entre gestores
La norma ISO 31000:2018 es una norma de directrices, no una norma de requisitos auditables. No define una lista de “debe” (shall) que un organismo certificador pueda verificar elemento por elemento, como ocurre en los sistemas de gestión de la calidad o de la seguridad de la información.
El propio comité técnico responsable de la norma, el ISO/TC 262, fue explícito en este punto desde la revisión de 2018: el objetivo era simplificar el lenguaje y reforzar la integración de la gestión de riesgos a la gobernanza y al liderazgo, no crear un esquema de certificación de tercera parte.
Esta característica está confirmada en ella misma ISO, que describe el documento como un conjunto de principios y directrices que orientan la identificación, análisis, evaluación, tratamiento, seguimiento y comunicación de riesgos en toda la organización.
Es decir: se trata de un marco de referencia, aplicable a cualquier organización, y no de un esquema de conformidad acreditado.
En Brasil, esta misma estructura fue internalizada por la ABNT NBR ISO 31000 Gestión de Riesgos Principios y Directrices, cuya segunda edición se publicó en 2018 y cuyo contenido técnico es idéntico al de la norma internacional.
Ella es el documento de referencia que auditores, consultorías y comités de riesgo brasileños usan para evaluar la madurez de la gestión de riesgos corporativos de una empresa.
Las dos vías reales para obtener la certificación ISO 31000
Dado que la obtención de la certificación ISO 31000 implica, en la práctica, elegir entre dos vías: la certificación profesional individual y la demostración de conformidad por parte de la organización.
Ellas atienden a objetivos diferentes y raramente se sustituyen.
Vía 1: certificación profesional individual
Organismos de formación y certificación acreditados ofrecen programas de formación y examen para profesionales, con títulos como “Gestor de Riesgos ISO 31000” o “Gestor Principal de Riesgos ISO 31000”.
Estos programas certifican la persona, no a la empresa. Ellos evalúan si el profesional domina los principios, la estructura y el proceso descritos en la norma, y son especialmente relevantes para:
- Gestores de riesgos, responsables de cumplimiento normativo y auditores internos que necesiten una acreditación oficial;
- Consultores que implementan programas de gestión de riesgos en terceros;
- Miembros de comités de riesgos que informan al consejo de administración.
Camino 2: certificado organizacional de conformidad
Para la empresa como un todo, el camino equivalente es la evaluación de conformidad voluntaria (a veces llamada evaluación de brechas o certificado de conformidad), realizada por organismos de certificación o consultorías especializadas.
Este proceso no genera un “certificado ISO 31000” en el sentido acreditado, sino un informe técnico o sello de adherencia que atestigua que el sistema de gestión de riesgos de la organización está estructurado conforme a los principios de la norma.
| Criterio | Certificación individual | Certificado organizacional |
| Qué se evalúa | Conocimiento del profesional | Madurez de los procesos de la empresa |
| Emitido por | Organismos de formación acreditados | Entidades de certificación o consultorías especializadas |
| Vida útil típica | 2 a 3 años, con recertificación | Revisión periódica recomendada (de 12 a 24 meses) |
| Uso más habitual | Credencial de carrera | Ventaja competitiva, debida diligencia, solicitudes de propuestas |
| Requisito previo | Curso + examen | Implementación previa de la gestión de riesgos |
Paso a paso práctico: cómo implementar la norma antes de la certificación
Antes de cualquier evaluación externa, la empresa necesita demostrar que aplica la ABNT NBR ISO 31000 Gestión de Riesgos Principios y Directrices en la rutina de decisión, y no solo en el papel.
Este es el trabajo que efectivamente antecede a la certificación ISO 31000, ya sea individual o organizacional.
1. Obtenga el compromiso formal de la liderazgo
La norma trata el liderazgo y el compromiso como una condición previa, no como una etapa opcional. Sin el patrocinio explícito de la alta dirección, la gestión de riesgos tiende a quedar aislada en un área de cumplimiento sin autoridad real sobre las decisiones estratégicas.
2. Mapee el contexto interno y externo
Antes de enumerar riesgos, es necesario comprender el entorno regulatorio, competitivo y operativo en el que opera la organización, lo que la norma denomina “alcance, contexto y criterios”.
Empresas que omiten esta etapa tienden a producir matrices de riesgo genéricas, desconectadas de la realidad del negocio.
3. Estructure el proceso de evaluación de riesgos
Este es el núcleo técnico de la gestión de riesgo ISO 31000: identificación, análisis y evaluación sistemática de amenazas y oportunidades, siempre vinculadas a los objetivos estratégicos de la organización, y no a una lista suelta de “cosas que pueden salir mal”.
4. Trate, controle y comunique continuamente
La norma es explícita: la gestión de riesgos no es un proyecto con fecha de finalización, es un ciclo continuo de tratamiento, seguimiento y comunicación con las partes interesadas.
¿Quieres entender cómo estructurar esta etapa en la práctica? Consulta también nuestra guía sobre el ciclo completo de gestión de riesgos en proyectos, que detalla cada fase con ejemplos aplicados.
5. Documente evidencias de mejora continua
Auditores y certificadoras, ya sea por la vía individual u organizacional, buscan evidencias: actas de comité, planes de acción ejecutados, indicadores de riesgo monitoreados a lo largo del tiempo.
Esto es lo que diferencia a una empresa que “conoce” la norma de una que efectivamente la practica.
Cuánto tiempo e inversión exige la certificación ISO 31000
No existe un número único, el plazo depende de la madurez de partida de la organización. Como referencia de mercado, los gestores deben considerar tres franjas de inversión de tiempo:
- Empresas con GRC ya estructurado: 3 a 6 meses para adecuación formal y documentación de evidencias;
- Empresas con controles internos fragmentados: 6 a 12 meses, incluyendo mapeo de procesos y capacitación de equipos;
- Empresas sin proceso formal de gestión de riesgos: 12 a 18 meses, empezando por el compromiso de la liderazgo y por la definición de apetito al riesgo.
Según informe Estado de supervisión de riesgos, producido anualmente por AICPA y CIMA en colaboración con la Iniciativa de ERM de la Universidad Estatal de Carolina del Norte, la mayoría de las organizaciones todavía trata la gestión de riesgos de forma reactiva. .
Este diagnóstico es reforzado por investigación global de McKinsey & Company sobre gobernanza, riesgos y cumplimiento, que muestra mayor madurez de GRC concentrada en empresas de mayor tamaño, con estructuras de gobernanza más consolidadas.
Esto refuerza un punto central: la certificación ISO 31000, ya sea individual o organizacional, tiende a ser más rápida y barata cuando la empresa ya trata el riesgo como disciplina de gestión, y no como reacción a crisis.
Vale la pena recordar que la ISO 31000:2018 sigue siendo la edición vigente de la norma, sin una nueva revisión publicada desde entonces. Es decir, es la referencia correcta para cualquier evaluación de conformidad realizada hoy.
Errores comunes que retrasan la certificación ISO 31000
- Tratar la norma como lista de cumplimiento, sin conectar la gestión de riesgos a los objetivos estratégicos, lo que la vuelve irrelevante para el nivel ejecutivo;
- Delegar la iniciativa enteramente al área de riesgos o cumplimiento, sin participación visible de la dirección ejecutiva en las decisiones;
- Mantener controles en hojas de cálculo dispersas, lo que impide la trazabilidad y dificulta cualquier evaluación de conformidad, ya sea interna o externa;
- Confundir apetito por el riesgo con aversión al riesgo, tomando decisiones estratégicas en nombre de una “seguridad” que la propia norma no recomienda;
- No medir el rendimiento de la madurez en riesgo, perdiendo el argumento más fuerte para sostener la inversión continua en la disciplina.
Estos errores aparecen con frecuencia en empresas que ya corren el riesgo de proyectos e iniciativas fracasarán por falta de gobernanza.
Qué hacen diferente las organizaciones maduras en la gestión de riesgos
Empresas que tratan el riesgo como disciplina estratégica comparten una característica estructural: conectan el ciclo de identificación y tratamiento de riesgos directamente con la planificación estratégica, en vez de mantenerlo en un sistema paralelo de cumplimiento.
Un ejemplo ilustrativo: en la encuesta global de líderes de cadena de suministro de McKinsey & Company, las empresas más resilientes vienen capturando una ventaja de crecimiento consistente sobre competidores menos preparados para disrupciones.
Este tipo de integración también explica la brecha de gobernanza mencionada al inicio de este artículo: cuando el riesgo no tiene un asiento formal en el consejo, tiende a ser tratado como una agenda operativa, y no como insumo estratégico.
Cómo la tecnología acelera el viaje hacia la certificación ISO 31000
Las organizaciones que logran obtener la certificación ISO 31000 comparten una característica estructural: reemplazan los controles fragmentados en hojas de cálculo por un entorno único, donde la matriz de riesgo, los planes de mitigación, las pruebas de control y las auditorías conviven en el mismo flujo de datos.
Esta centralización no es un detalle operativo. Es lo que hace posible presentar, en una evaluación de conformidad, evidencias consistentes y trazables de que la gestión de riesgos se practica continuamente.
Es exactamente esa la arquitectura detrás del Actio Gestión de Riesgosun módulo que estructura la identificación, clasificación y tratamiento de riesgos alineado con la ISO 31000, el COSO y las directrices del PMI, con matriz de riesgo en tiempo real, planes de acción rastreables y pista de evidencias lista para auditoría; sin depender de hojas de cálculo paralelas o retrabajo manual antes de cada evaluación.
Si su empresa ya usa más de un marco de referencia, vea también cómo integrar ISO 31000 y COSO en la práctica sin duplicar esfuerzo entre los equipos.
Si su empresa ya trabaja con programas de cumplimiento más amplios, también vale la pena conectar este recorrido con el artículo sobre auditoría como herramienta estratégica de gestión y al uso de software ESG para estructurar la gobernanza a escala, ya que los tres temas convergen cada vez más hacia el mismo entorno de datos.
El camino real hacia la certificación ISO 31000
Saber cómo obtener la certificación ISO 31000 empieza por abandonar la expectativa de un sello único y estandarizado, como existe en otras normas ISO.
En la práctica, existen dos caminos y ambos exigen que la gestión de riesgos ya esté implementada, documentada y monitoreada continuamente.
Esto significa que el trabajo más importante no es la certificación en sí, sino la construcción de una cultura estructurada de gestión de riesgo ISO 31000, capaz de generar evidencias reales de madurez: con liderazgo comprometido, procesos documentados y datos centralizados, los mismos elementos que sustentan cualquier evaluación externa, hoy o de aquí a cinco años.
Si su empresa está comenzando este viaje, conozca el Gestión de Riesgos de Actio y vea cómo centralizar la identificación, la matriz de riesgo y los planes de mitigación en un único entorno, alineado con la ISO 31000 desde el primer registro de riesgo.
