Gestió del risc en ITIL v4

Elaboració pròpia: la font és de pagament i no es reprodueix

Enunciat oficial. Gestió del risc en ITIL v4.

1. Concepte

Risc: esdeveniment possible que podria causar dany o pèrdua, o dificultar l'assoliment dels objectius. També es pot definir com la incertesa del resultat, i pot ser positiu (oportunitat) o negatiu (amenaça).

Gestió de riscos (pràctica d'ITIL 4) — propòsit: assegurar que l'organització comprèn i tracta els riscos de manera eficaç, com a element essencial per garantir la sostenibilitat de l'organització i la cocreació de valor amb els clients.

Termes:

• Apetit al risc (risk appetite): quantitat i tipus de risc que una organització està disposada a assumir per assolir els seus objectius.
• Tolerància al risc: desviació acceptable respecte de l'apetit, per a un risc concret.
• Llindar de risc (risk threshold): nivell a partir del qual cal actuar o escalar.
• Risc inherent: el que existeix abans d'aplicar controls. Risc residual: el que queda després dels controls. Risc secundari: el que apareix com a conseqüència d'una resposta.
• Propietari del risc: qui respon de la seva gestió. Cada risc n'ha de tenir un, i ha de ser una persona, no un departament.

2. El procés

Aquest és, essencialment, el procés de la ISO 31000 (gestió del risc) que ITIL 4 adopta.

1. Establir el context: abast, criteris de risc, apetit, parts interessades.
2. Identificació: pluges d'idees, entrevistes, llistes de verificació, anàlisi de dependències, revisió d'incidents i problemes previs, anàlisi DAFO (Debilitats, Amenaces, Fortaleses, Oportunitats), PESTLE (Polític, Econòmic, Social, Tecnològic, Legal, Ambiental), escenaris.
3. Anàlisi: determinar probabilitat i impacte. Pot ser qualitativa (escales alta/mitjana/baixa, matrius de colors), semiquantitativa (escales numèriques) o quantitativa (valor monetari esperat, ALE (Annualized Loss Expectancy, pèrdua anual esperada) = SLE (Single Loss Expectancy, pèrdua per incident) × ARO (Annualized Rate of Occurrence, freqüència anual), simulació de Monte Carlo).
4. Avaluació: comparar el nivell de risc amb els criteris i prioritzar; decidir quins es tracten.
5. Tractament: aplicar una de les estratègies.
6. Monitoratge i revisió: reavaluar periòdicament, verificar l'eficàcia dels controls i actualitzar el registre.

Registre de riscos (risk register): per a cada risc, descripció, categoria, causa, probabilitat, impacte, nivell, propietari, controls actuals, resposta prevista, risc residual, indicadors i estat.

Matriu de probabilitat i impacte: quadrícula 3×3 o 5×5 que classifica els riscos en zones (baix, moderat, alt, crític). És l'eina d'avaluació qualitativa més usada.

3. Estratègies de tractament

Per a amenaces:

Per a oportunitats: explotar, millorar, compartir, acceptar i escalar.

Tipus de controls: preventius (eviten que passi), detectius (avisen que ha passat), correctius (redueixen l'impacte un cop passat) i dissuasius. Es classifiquen també en tècnics, organitzatius i físics.

4. On viu el risc dins d'ITIL 4

La gestió de riscos no és un procés aïllat: travessa tot el Sistema de Valor del Servei.

• Governança: l'òrgan de govern fixa l'apetit al risc i el monitora → tema 15.
• Principis guia: «progressar iterativament amb retroalimentació» és, de fet, una estratègia de reducció de risc; «pensar i treballar holísticament» evita els riscos de les optimitzacions locals.
• Cadena de valor: cada activitat genera i tracta riscos.
• Altres pràctiques que incorporen risc:
• Control de canvis: avaluació de risc de cada canvi → tema 19.
• Gestió de la seguretat de la informació: risc de confidencialitat, integritat i disponibilitat → tema 66.
• Gestió de la continuïtat del servei: risc de discontinuïtat, amb BIA (Business Impact Analysis, anàlisi d'impacte de negoci) i anàlisi de riscos → tema 58.
• Gestió de proveïdors: risc de tercers i de cadena de subministrament.
• Gestió de la disponibilitat i de la capacitat: risc de saturació i d'indisponibilitat → tema 21.
• Gestió de projectes → tema 11.
• Gestió d'incidents i problemes: materialització del risc i eliminació de causes → tema 18.

5. Marcs de referència del risc

• ISO 31000 — Gestió del risc. Directrius. No és certificable. Aporta principis, marc de referència i procés. Els seus principis: creació i protecció de valor, integrada, estructurada i exhaustiva, adaptada, inclusiva, dinàmica, millor informació disponible, factors humans i culturals, i millora contínua.
• ISO / IEC (International Electrotechnical Commission) 27005 — gestió de riscos de seguretat de la informació, aplicada al SGSI (Sistema de Gestió de la Seguretat de la Informació) de la ISO/IEC 27001.
• MAGERIT v3 — metodologia d'anàlisi i gestió de riscos dels sistemes d'informació de l'Administració espanyola, elaborada pel Consell Superior d'Administració Electrònica (el nom no és un acrònim estricte de lletra per lletra, és el nom propi de la metodologia). Identifica actius, amenaces, vulnerabilitats, salvaguardes, impacte i risc, i distingeix impacte i risc potencial (sense salvaguardes) de residual (amb salvaguardes). L'eina de suport és PILAR, del CCN (Centre Criptològic Nacional) — tampoc un acrònim de lletra per lletra.
• ENS: exigeix anàlisi i gestió de riscos com a primer principi bàsic (art. 6) i com a requisit mínim (art. 12: «gestió de la seguretat basada en els riscos»). La categorització del sistema i la selecció de mesures dels annexos deriven de l'anàlisi de riscos → tema 66.
• COSO (Committee of Sponsoring Organizations of the Treadway Commission) ERM (Enterprise Risk Management) — marc de gestió del risc empresarial.
• NIST (National Institute of Standards and Technology) RMF (Risk Management Framework) i NIST SP (Special Publication) 800-30 — gestió de riscos de seguretat.
• FAIR (Factor Analysis of Information Risk) — quantificació econòmica del risc d'informació.

Frontera amb PMBOK. Aquests són marcs de risc; no és aquí on es desenvolupa el PMBOK (Project Management Body of Knowledge), que és el marc de gestió de projectes del PMI (Project Management Institute). El risc de projecte —amb la mateixa distinció amenaça/oportunitat i termes com apetit o tolerància— es regeix per aquell marc i es desenvolupa a tic/pmbok-rendimiento-riesgos-y-cierre; aquí només el risc de servei que gestiona ITIL (Information Technology Infrastructure Library).

6. Risc i compliment

• El risc de compliment (compliance) és la possibilitat de sancions, pèrdues o dany reputacional per incompliment normatiu. A l'Administració és especialment rellevant: protecció de dades, ENS, contractació, transparència, accessibilitat.
• Programa de compliance vs sistema de gestió de compliance → tema 15: el primer és el conjunt de mesures i controls; el segon és l'estructura certificable, cíclica i documentada (ISO 37301) que el conté i el manté.
• Canal d'alertes: mecanisme confidencial de comunicació d'incompliments, amb prohibició de represàlies, obligatori per la Llei 2/2023 → tema comú 18.
• Tres línies: gestió operativa i controls · funcions de risc i compliment · auditoria interna independent.

7. Riscos típics d'un servei TIC

Categories de risc d'un servei TIC (Tecnologies de la Informació i la Comunicació), amb exemples típics:

Mesures transversals més rendibles: còpies de seguretat provades i immutables (ENS i tema 57), autenticació multifactor, mínim privilegi, gestió de vulnerabilitats i pedaços, segmentació de xarxa, documentació i formació, i plans de continuïtat provats.

Claus d'examen

• No confonguis el risc de projecte amb el risc de servei. Una pregunta que parla del «risc general del projecte i els riscos individuals», o d'una «resposta als riscos» que ha de «reduir al mínim les amenaces i maximitzar les oportunitats», és PMBOK (planificació de la resposta als riscos), no ITIL (TS-TIC 2021, específic, p. 55). Aquí es gestiona el risc de servei.
• Programa de compliance ≠ sistema de gestió de compliance. El programa és el conjunt de mesures i controls; el sistema és l'estructura certificable i documentada (ISO 37301) que el conté (TS-TIC 2025, pràctica, p. 24).
• El canal d'alertes serveix per comunicar possibles incompliments de manera segura i confidencial, no per recollir suggeriments ni per informar de canvis normatius (TS-TIC 2025, pràctica, p. 29).
• Apetit no és tolerància: l'apetit és quant risc es vol assumir en general; la tolerància és la desviació acceptable per a un risc concret.

Per recordar

• Risc = esdeveniment possible que pot causar dany o dificultar l'assoliment d'objectius; pot ser amenaça o oportunitat.
• Apetit = quant risc es vol assumir; tolerància = desviació acceptable; llindar = quan cal actuar.
• Inherent → controls → residual. Les respostes poden generar riscos secundaris.
• Procés (ISO 31000): context, identificació, anàlisi, avaluació, tractament, monitoratge, amb comunicació contínua.
• Estratègies: evitar, reduir, transferir, acceptar, escalar. La responsabilitat última no es transfereix mai.
• Controls: preventius, detectius, correctius i dissuasius.
• MAGERIT és la metodologia de l'Administració espanyola; l'eina és PILAR; distingeix risc potencial i residual.
• L'ENS exigeix la gestió de la seguretat basada en els riscos com a principi bàsic.
• Cada risc ha de tenir un propietari que sigui una persona.