La gestión del riesgo en auditorias del Código PBIP

LA GESTIÓN DEL RIESGO EN AUDITORIAS DEL CÓDIGO PBIP

Al planificar una auditoria al plan de protección, ya bien sea del buque o de la instalación portuaria es necesario considerar tres tipos de riesgos. Los riesgos relacionados con el programa de auditoría, los riesgos relacionados con el sistema de gestión de la protección y los riesgos relacionados con la organización que para este caso son el buque y la instalación portuaria.

Los riesgos relacionados con el programa de auditoría pueden afectar el logro de sus objetivos. Estos riesgos pueden ser asociados a la Planificación, Ej. Fallar en el establecimiento de los objetivos relevantes de la auditoría y determinar el alcance, numero, duración, ubicación y cronograma de las auditorías; a los Recursos, Ej. Tiempo insuficiente, equipamiento y/o entrenamiento para el desarrollo del programa de auditoría o la realización de una auditoría; a la Selección del equipo auditor, Ej. Competencia insuficiente para llevar a cabo las auditorías efectivamente a la Comunicación, Ej. Procesos/canales de comunicación externa/interna no efectivos; su Implementación, Ej. Mala coordinación de las auditorías dentro del programa, o no considerar la seguridad y confidencialidad de la información; al Control de la información documentada, Ej. Mala determinación de la información documentada requerida necesaria por los auditores y las partes interesadas relevantes, falla en la protección adecuada de los informes de auditoría para demostrar la eficacia del programa de auditoría; al Monitoreo, revisión y mejora del programa de auditoría, Ej. Fallas en el seguimiento a las salidas del programa de auditoría; y a la Disponibilidad y cooperación del auditado y la disponibilidad de la evidencia a ser revisada por medio del muestreo[1]. El líder del equipo auditor debe considerar estas situaciones de riesgo y establecer medidas para su tratamiento durante el planeamiento y desarrollo de la auditoria.

Los riesgos relacionados con el sistema de gestión de la protección interfieren con las medidas y procedimientos de protección establecidos en el plan de protección para dar tratamiento a las situaciones de amenaza valoradas en la evaluación de protección. Estos pueden estar relacionados fallas físicas, funcionales y actos maliciosos o criminales que afectan la operación de los equipos de seguridad, Ej. Sabotaje del sistema de energía eléctrica; los factores ambientales, humanos y culturales y otras relaciones internas o externas, incluidos los factores fuera del control de la organización que afectan la seguridad de la organización, Ej. Descargas eléctricas que dejan fuera de servicio el sistema de alumbrado, sistema de CCTV, redes informáticas, etc.; el diseño, instalación, mantenimiento y reposición de los equipos y sistemas de seguridad, Ej. Sistema de videovigilancia no compatibles con otras marcas; la gestión de la información, los datos, el conocimiento y la comunicación de la organización, Ej. Fuga de información confidencial del esquema de protección, conspiraciones internas del personal de seguridad y operaciones; la Información relacionada con amenazas y vulnerabilidades de seguridad y la interdependencia entre los proveedores, ej. Análisis de riesgos elaborados con información no confiable; vulnerabilidades no detectadas, eliminadas, corregidas o no controladas que facilitan el accionar delictivo; servicios de seguridad contratados que son juez y parte[2]. Los auditores deben verificar que estos riesgos se tengan identificados y que se hayan implementado medidas para su control, tratamiento y/o planes de acción.

Los riesgos relacionados con la organización[3], que para este caso son el buque y la instalación portuaria, tienen que ver con las amenazas a la protección marítima[4], tales como el terrorismo marítimo por daños o destrucción de una instalación portuaria o de un buque mediante artefactos explosivos, daños o destrucción de una instalación portuaria o de un buque mediante incendio provocado, sabotaje o vandalismo; secuestro o captura de un buque o de las personas a bordo; sabotaje o manipulación indebida de la carga, del equipo o sistemas esenciales del buque o de las provisiones del buque; intrusión, acceso o usos no autorizados, lo que incluye la presencia de polizones; la piratería marítima (para buques en altamar); el robo a mano armada (para buques en aguas jurisdiccionales de un estado); el contrabando de armas o de equipo, incluidas las armas de destrucción masiva; el contrabando de material nuclear; la utilización del buque para el transporte de quienes tengan la intención de causar un suceso que afecte a la protección marítima y su equipo; la utilización del propio buque como arma o como medio destructivo o para causar daños; los ataques desde el lado del mar mientras el buque esté atracado o fondeado; los ataques mientras el buque esté en el mar; el bloqueo de entradas al puerto, esclusas, accesos etc.; el ataque químico, biológico o nuclear; el tráfico de drogas; el contrabando de bienes; los inmigrantes ilegales; entre otros. El control de estas situaciones de riesgo, según sea el buque o la instalación portuaria, es en esencia el plan de protección del buque y el plan de protección de la instalación portuaria. Durante el desarrollo de la auditoria se debe verificar que el plan de protección siga siendo eficaz, mediante la evaluación de todas las medidas de protección y todos los procedimientos de protección comprobando que sean adecuados para dar tratamiento a las amenazas a la protección marítima valoradas en la evaluación de protección.

…………..

Si quiere inscribirse y capacitarse como auditor interno del Código PBIP y Auditor interno de la norma ISO 28000 SGS puede contactarnos al Celular/ WhatsApp +573005700816.

Para consultas académicas relacionadas con el articulo contactar al docente al Celular/ WhatsApp +573164490891

.......                                                                            

[1] Ver numeral 5.3. Determinación y evaluación de los riesgos y oportunidades del programa de auditoría de la norma ISO 18011.

[2] ISO 28000 SGS. Numeral 6.1.2. Determinación de riesgos de seguridad e identificación de oportunidades.

[3] ISO 28000 SGS. Numeral 8.3. Apreciación de riesgos y tratamiento

[4] Código PBIP, Parte B, numerales 8.9 y 15.11.