Organizaciones de todos los tipos y tamaños se enfrentan a factores e influencias internas y externas que hacen incierto saber si y cuando conseguirán sus objetivos. La incidencia que esta incertidumbre tiene sobre la consecución de los objetivos de una organización constituye el «riesgo».
Todas las actividades de una organización implican riesgos. Las organizaciones gestionan el riesgo identificándolo, analizándolo y evaluando después si el riesgo se debería modificar mediante un tratamiento que satisfaga sus criterios de riesgo. A lo largo de todo este proceso, las organizaciones comunican y consultan a las partes interesadas y realizan seguimiento y revisan el riesgo y los controles que lo modifican para asegurar que no es necesario un tratamiento adicional del riesgo.
Mientras todas las organizaciones gestionan el riesgo a diferentes niveles, esta norma internacional establece una serie de principios que se deben satisfacer para que la gestión del riesgo sea eficaz. Esta norma internacional recomienda que las organizaciones desarrollen, implementen y mejoren de manera continuada un marco de trabajo cuyo objetivo sea integrar el proceso de gestión del riesgo en los procesos de gobierno, de estrategia y de planificación, de gestión, y de elaboración de informes, así como en las políticas, los valores y en la cultura de toda la organización.
La gestión del riesgo se puede aplicar a la totalidad de una organización, a todas sus áreas y niveles principales, en todo momento, así como a las funciones, los proyectos y las actividades especificas.
Aunque la practica de la gestión del riesgo se ha desarrollado a lo largo del tiempo y en numerosos sectores con objeto de satisfacer diversas necesidades, la adopción de procesos coherentes dentro de un marco de trabajo exhaustivo puede contribuir a asegurar que el riesgo se gestiona de una manera eficaz, eficiente y coherente en el seno de la organización. El enfoque genérico que se describe en esta norma internacional proporciona los principios y las directrices para gestionar cualquier forma de riesgo de una manera sistemática, transparente y fiable, dentro de cualquier alcance y de cualquier contexto.
Cada sector o aplicación específicos de gestión del riesgo implica necesidades, audiencias, percepciones y criterios individuales. Por ello, uno de los puntos clave de esta norma internacional consiste en la inclusión del «establecimiento del contexto» como una actividad al comienzo de este proceso de gestión del riesgo genérico. El establecimiento del contexto permitirá captar los objetivos de la organización, el entorno en el que se persiguen estos objetivos, las partes interesadas y la diversidad de los criterios de riesgo. Todos estos elementos contribuirán a revelar y evaluar la naturaleza y complejidad de sus riesgos.