TL;DR: Gestión de riesgos empresariales (GRE) es el proceso de identificar, analizar, evaluar, controlar y monitorear los eventos que pueden afectar los objetivos de una organización, bajo la supervisión del consejo de administración, la junta directiva o el directorio y sus comités. Esta guía cubre la diferencia entre la GRE y el ERM, los tipos de riesgos, los marcos COSO ERM 2017 e ISO 31000, la matriz 5x5 con un ejemplo numérico, el papel del consejo en el apetito de riesgo, los 6 pasos de implementación y el papel del software.

Tomar decisiones con visión de futuro exige mirar amenazas, no solo resultados. De acuerdo con Cosinte, institución especializada en gestión del riesgo en Colombia, el 15% de pérdidas o fracasos en las empresas de Latinoamérica se debe a la falta de Análisis y Gestión de Riesgos Empresariales.

Ese porcentaje gana peso con los cambios tecnológicos, económicos y laborales recientes, que aumentan la cantidad de Riesgos Empresariales por analizar y gestionar.

¿Cuáles son esos riesgos? ¿Cómo evaluarlos? ¿Qué áreas deben involucrarse y cómo gestionarlos o mitigarlos? Si eres gestor o gerente de riesgos, aquí encontrarás herramientas para simplificar tu trabajo y ahorrar tiempo; si eres consejero o empresario, esta guía te ayudará a entender a profundidad la gestión de riesgo empresarial.

¿Qué es el riesgo empresarial?

El riesgo empresarial se refiere a estrategias o acciones que pueden provocar efectos negativos dentro de una empresa, e incluso, provocar pérdidas. En el marco empresarial, un riesgo puede derivarse de la incertidumbre o falta de planeación que puede surgir de algún objetivo o proyecto.

Sus características más comunes es que están asociados con toda actividad empresarial, son complejos y no siempre pueden tener una solución inmediata, también, su impacto puede ser significativo y, sobre todo, pueden llegar a obstaculizar, dificultar y postergar procesos y/o resultados, con pérdidas financieras, legales, operativas y reputacionales a la organización.

Un ejemplo claro (y que veremos en el apartado de tipos) es el riesgo reputacional o de marca, que en los últimos años ha tomado relevancia, pues los consumidores se involucran cada vez más en las responsabilidades sociales y ambientales que las empresas difunden; la falta de acciones en estos ámbitos comunica un mensaje erróneo, lo que influye en las decisiones de consumo de tus clientes.

Por eso, es importante conocer los tipos de riesgos que podrían darse en tu empresa y analizar lo que actualmente se está haciendo para la prevención o buena planeación interna en cada caso.

¿Qué es la gestión de riesgos empresariales (GRE)?

Gestión de riesgos empresariales, también conocida como GRE, es la disciplina que estudia, analiza y pone en práctica la identificación, prevención, control y vigilancia de las consecuencias de los eventos empresariales; por evento se entiende cualquier decisión, estrategia o plan de acción implementado o por implementar dentro de una organización.

Una referencia útil para precisar el concepto: la norma ISO 31000:2018 define el riesgo como el efecto de la incertidumbre sobre los objetivos, una definición que abarca tanto amenazas como oportunidades. Además, gestionar riesgos es decidir con criterio qué incertidumbres conviene asumir para cumplir los objetivos del negocio.

La GRE es una manera de cuantificar y evaluar la eficacia del control interno realizada por auditores internos; involucra un proceso encabezado por el consejo de administración, la junta directiva o el directorio, según el país la administración directiva, gerencias, entre otros puestos que lideran las acciones principales de una empresa.

La GRE se considera una pieza central y un beneficio directo del gobierno corporativo de una empresa, pues implementa orden y control para garantizar resultados en distintas escalas: directivas, administrativas y operativas.

Este sistema de control es aplicable a todas las áreas de la empresa, por lo que exige atención y planeación de quienes lo trazan (usualmente el comité de riesgos, con apoyo directo del departamento de cumplimiento).

La gestión de riesgo empresarial puede traer grandes beneficios para todo tipo de empresas sin importar su tamaño o sector.

Pues como dice José Luis Plana, Head Commercial Risk de Aon para América Latina, haciendo referencia sobre la situación actual del tejido empresarial en Latinoamérica: "El mundo es cada vez más volátil y la importancia de una mejor toma de decisiones nunca ha sido mayor".

Por eso es importante comprender la importancia y los beneficios que la gestión de riesgo empresarial trae consigo al ser implementada en una organización.

¿En qué se diferencia la gestión de riesgos y la gestión empresarial del riesgo (ERM)?

La diferencia central está en el alcance: la gestión de riesgos tradicional trabaja riesgos por área o por proyecto, mientras que la gestión empresarial del riesgo (Enterprise Risk Management, ERM) gestiona la cartera completa de riesgos de la organización, integrada a la estrategia y al desempeño.

Comparación práctica de ambos enfoques:

• Gestión de riesgos tradicional: cada área identifica y controla sus propias amenazas (finanzas, operaciones, TI), con foco reactivo en pérdidas; el resultado son listas aisladas que nadie consolida.
• Gestión empresarial del riesgo (ERM): una sola vista de todos los riesgos de la organización, conectada a la definición de estrategia y de objetivos; incluye oportunidades, no solo amenazas, y usa un lenguaje común para comparar riesgos entre áreas.
• En la práctica, el ERM responde preguntas que la gestión por área no puede: qué riesgos concentrados pueden caer al mismo tiempo, cuál combinación de riesgo y retorno conviene al portafolio del negocio y dónde el consejo debe fijar límites.

El marco COSO ERM 2017 formalizó este giro al pasar de un enfoque de control a uno de estrategia y desempeño, como se ve en la sección sobre marcos de referencia.

¿Qué tipos de riesgos empresariales existen?

Riesgos externos e internos

Considerando los riesgos externos o internos, estos se pueden clasificar de la siguiente manera:

Riesgo sistémico: en relación con el sistema económico en conjunto, es decir, el mercado de acuerdo con la actividad empresarial Por ejemplo, una crisis económica del país en el que se esté desarrollando la compañía.

Riesgo no sistémico: por otra parte, nos encontramos con los riesgos internos o denominado no sistémico, el cual se caracteriza por la gestión interna en la organización. Porejemplo una mala inversión o un manejo financiero erróneo.

Considerando parte de riesgos externos o sistémicos, podemos encontrar:

Riesgo financiero

Como su nombre lo describe, consiste en algún tipo de riesgo relacionado con la gestión financiera de la empresa. Se divide en riesgo de mercado, riesgo de liquidez, riesgo de crédito y riesgo operacional.

Riesgo político

Este riesgo se relaciona al entorno o cambios políticos del país en el que la empresa se desarrolle. Puede involucrar cambios o medidas por parte de las autoridades, tales como alza de impuestos o inclusive guerras.

Riesgo legal

Está estrechamente ligado al riesgo político, pues se refiere al marco normativo en el que opera la empresa. Puede surgir, por ejemplo, por las normas de comercialización y tributación de productos.

Riesgo ambiental

Se refiere a situaciones ambientales que limitan el crecimiento o el desarrollo de la empresa. Un ejemplo claro fue la pandemia: una situación difícil de controlar que muchas empresas no previeron y que provocó pérdidas de tal magnitud que cambió incluso la modalidad laboral, de la presencialidad al trabajo remoto.

Además, de acuerdo con Danielle Fugere, presidenta y consejera de la fundación As You Sow, el cambio climático podría costar hasta 100 billones de dólares a las empresas si no toman acción. Por ello, la transición hacia operaciones sostenibles pronto será una necesidad ineludible.

Riesgo reputacional

Cualquier empresa está expuesta al riesgo reputacional, hoy uno de los más comunes para las compañías por el peso de las redes sociales y la mayor exigencia de los consumidores, con caídas fuertes de ventas como consecuencia.

Este tipo de riesgo consiste en cualquier tipo de daño, ya sea social, político, legal o económico, que dañe directamente la reputación de la empresa, provocando que los consumidores pierdan confianza en la empresa o marca.

Aunque parezcan ser riesgos fáciles de predecir, la realidad es que hasta un pequeño error puede originar un problema a escala empresarial, por lo que no debemos subestimar su posibilidad. Afortunadamente, existen herramientas y diversas estrategias para prevenir, solucionar o mitigar los riesgos empresariales que te contaremos a continuación.

¿Por qué es importante la gestión de riesgos empresariales?

Solo se puede gestionar lo que conoces, es decir, la información está a nuestro favor cuando necesitamos comprender cada situación. Así, el conocimiento completo de una situación nos permitirá potencializar la herramienta que nutrirá los procesos internos y la planeación de estrategias en tu empresa.

Uno de los errores más comunes al momento de considerar los riesgos empresariales en el aspecto general de la organización, es creer que esta gestión solo debe enfocarse en aquellas áreas externas o más "productivas". Un claro ejemplo es el área de ventas, que al tratarse del equipo cuyo principal objetivo es generar ganancias directas para la empresa, se suele pensar que los riesgos más importantes y urgentes solo deben de enfocarse en esta área. Sin embargo, sería como si un arquitecto solo enfocara su atención en la fachada de un edificio, claro que será la fachada la primera característica en la que el comprador se fijará, pero, no es la único importante.

Imagina que cada área de tu empresa es un pilar del edificio: cada uno sostiene la estructura. Por ello, la gestión de riesgo empresarial debe estar presente en cada pilar, es decir, en cada área que integra tu organización.

La importancia de la GRE está también en los beneficios que ofrece, ya que prevenir y disminuir riesgos no es el único motivo para adoptar esta metodología.

Beneficios de la gestión de riesgo empresarial

Implementar una adecuada Gestión de Riesgos puede traer importantes beneficios como:

• Reducción de costos, que también evita pérdidas que pongan en riesgo la continuidad del negocio
• Brindar seguridad al talento y a clientes, esto en consecuencia provocará un aumento de satisfacción de clientes y colaboradores, con permanencia y lealtad
• Incremento de productividad. Al implementar la GRE, las organizaciones inician un camino hacia la adaptación constante de modelos tecnológicos de trabajo que simplifican y aumentan resultados
• Alcance de objetivos organizacionales
• Disminución de siniestros o pérdidas inesperadas y no planificadas
• Cumplimientos regulatorios

Implementar una GRE también facilita otras iniciativas, como la mejora y digitalización de procesos, el fortalecimiento de la cultura de control y la gestión de reportes a la alta dirección: aumenta la transparencia, mejora los procesos y permite identificar errores para corregirlos rápido. Por eso la junta directiva, el consejo de administración o el directorio debe estar involucrada en el desarrollo y la ejecución.

"Un riesgo que en la actualidad no es un foco rojo se podría convertir en uno en cuestión de días o incluso horas, debido a las variaciones económicas, ambientales, geopolíticas, sociales, regulatorias, tecnológicas o incluso sanitarias como en el panorama actual", asegura Jesús Luna, socio Líder de Asesoría en Auditoría Interna y Gestión de Riesgo Empresarial de KPMG.

Considerando esto, aunque Latinoamérica parece pintar un panorama difícil para las empresas, las estadísticas señalan que aún son muchas las compañías, las que no han adoptado una Gestión de Riesgo Empresarial. ¿Tu empresa es una de ellas?

Conoce a continuación la situación actual de las empresas de Latam con respecto a los riesgos a nivel internacional, ¿podría esto afectar la relación o interés por parte de los inversionistas?

¿Cuáles son los principales riesgos empresariales en Latinoamérica?

De acuerdo con el Estudio de Gestión de Riesgos en Latinoamérica en 2022 realizado por Pirani, institución tecnológica de Gestión de Riesgos, solo el 43% de las empresas encuestadas consideran importante contar con un área dedicada al cumplimiento, seguimiento y análisis de Gestión de Riesgos.

Mientras que el 41,7% considera que, aunque es un área relevante, no todos los colaboradores comprenden la función de un área dedicada a la gestión y análisis de riesgos, por lo que podría dar lugar a que muchos datos e informes no sean reportados con su debida correspondencia.

El 13% restante de las empresas considera que contar con un área dedicada a esta materia no es tan importante y confiesan no entender su función del todo.

Aunque después de la crisis sanitaria muchas empresas parecen empezar a prestar atención en este ámbito, continúa siendo un porcentaje alto el que señala que aún debemos dedicar tiempo, esfuerzo y atención en difundir y concientizar a los colaboradores en cuanto a la cultura en gestión de riesgos, pues se requiere de la participación de cada área para el cumplimiento de objetivos en esta materia.

Sobre todo, considerando que actualmente las empresas de Latinoamérica enfrentan diversos riesgos que, en caso de no ser contemplados, podría afectar directamente sus resultados.

Los principales riesgos identificados en Latinoamérica abarcan numerosos aspectos tanto económicos como políticos, pues no debemos olvidar que actualmente estamos viviendo transiciones relevantes que podrían cambiar el rumbo para el mundo empresarial en cada país.

Por lo tanto, estos son los riesgos para los que toda empresa en Latinoamérica necesita estar preparada en la actualidad:

• Cambios regulatorios y cumplimientos normativos
• Continuidad de negocio, considerando que el 70% de las pymes en Latinoamérica son empresas familiares que no han implementado un gobierno corporativo que facilite el plan de transición, expansión y desarrollo en sus empresas.
• Ciberseguridad: durante el 2021, se vio un incremento del 4% en ciberataques a las empresas de acuerdo con el índice de Inteligencia de Amenazas X-Force de IBM Security. Brasil, México y Perú, fueron los países con mayor aumento de ciberataques en la región.
• Fraude y delitos financieros; la integración de Compliance, Transparencia y Políticas anticorrupción son algunas de las medidas que las empresas están implementando para enfrentarse a este riesgo
• Riesgos de terceros: incertidumbre macroeconómica y geopolítica
• Digitalización y tecnologías emergentes
• Reputación y relación con stakeholders
• Gestión de talento: es importante considerar que conforme las necesidades de la sociedad se van transformando, también debemos prestar atención a las necesidades de nuestros colaboradores para asegurar permanencia, productividad y un bajo índice de rotación de personal. Iniciativas de responsabilidad social, cada vez cobran mayor importancia en la toma de decisión de los talentos.

Cambio climático y sostenibilidad, por último, pero no el menos importante. Según el informe del Banco Mundial "Consolidar la recuperación: aprovechando las oportunidades del crecimiento verde" (2022), América Latina y el Caribe perdió en las últimas dos décadas un 1,7% de su PIB anual a causa de desastres naturales relacionados con el clima (Banco Mundial). Por lo que los especialistas señalan que las empresas deben identificar con urgencia los riesgos que el cambio climático podría provocar en sus organizaciones, invitando al sector empresarial a la transición sostenible.

Puedes informarte más sobre el tema en el artículo sobre qué es ESG y por qué es tendencia en las empresas.

¿Qué son los marcos COSO ERM 2017 e ISO 31000?

Son las dos referencias canónicas de la gestión empresarial del riesgo: COSO ERM para conectar el riesgo con la estrategia y el desempeño, e ISO 31000 para estructurar el proceso de gestión en cualquier organización, sin importar tamaño ni sector.

COSO ERM 2017. El marco "Enterprise Risk Management: Integrating with Strategy and Performance", publicado por COSO en 2017, actualizó la versión de 2004 y redefinió la disciplina: pasó de un enfoque de control interno a integrar el riesgo en la formulación de la estrategia y en la gestión del desempeño. Su estructura tiene 5 componentes y 20 principios:

• Gobierno y cultura: rol supervisor del Consejo, estructura organizacional y cultura del riesgo
• Estrategia y establecimiento de objetivos: análisis del entorno, definición de apetito de riesgo y evaluación de riesgos en la formulación de la estrategia
• Desempeño: identificación, evaluación de severidad, priorización e implementación de respuestas al riesgo
• Revisión y evaluación: evaluación del cambio de riesgos y del desempeño de la gestión
• Información, comunicación y reporte: datos de calidad y reportes al consejo y a los stakeholders

ISO 31000:2018. La norma internacional de gestión del riesgo (ISO 31000:2018), publicada por ISO en 2018, se organiza en tres bloques (principios, marco y proceso) y tiene dos rasgos prácticos: no es certificable, porque entrega directrices y no requisitos, y aplica a cualquier tipo de organización. Su principio central es la creación y protección de valor, con liderazgo explícito de la alta dirección y responsables de supervisión que deben asegurar que los riesgos se consideren al fijar los objetivos.

¿Cuál usar? Ninguno incluye al otro. Muchas compañías latinoamericanas adoptan ISO 31000 para diseñar el proceso de gestión y COSO ERM para conectar ese proceso con la estrategia y el trabajo del consejo.

¿Cómo se elabora una matriz de riesgos (probabilidad x impacto)?

Una matriz de riesgos cruza la probabilidad de ocurrencia de cada riesgo con el impacto que tendría sobre los objetivos, y así prioriza cuáles exigen acción inmediata y cuáles pueden esperar.

La matriz y el mapa de riesgos no son lo mismo, la matriz prioriza cada riesgo cruzando probabilidad e impacto, mientras que el mapa de riesgos muestra dónde se ubica cada uno en la organización, por área, proceso u objetivo. La matriz responde qué atender primero; el mapa de riesgos, quién es el dueño de cada riesgo y dónde se concentra la exposición.

La matriz de riesgo trabaja con dos informaciones centrales, el impacto de riesgo y su probabilidad. Estos dos pilares, cuando son entrelazados, presentan una escala de prioridad de manera que tendrás una visión bastante clara de cuáles riesgos requieren de una acción inmediata (tienen mayor probabilidad y presentan una gravedad mayor) y cuáles riesgos pueden ser tratados sin tanta urgencia (tienen menos probabilidad de ocurrir y no representan un impacto significativo).

La matriz de riesgo puede ser presentada en formatos variados, en este material, utilizaremos una matriz 5×5. Esto significa que se presenta 5 niveles diferentes de probabilidad e impacto.

Ejemplo numérico paso a paso. En la matriz 5x5, cada riesgo recibe una puntuación de 1 a 5 en probabilidad y de 1 a 5 en impacto; el nivel de riesgo es la multiplicación de ambas (rango de 1 a 25):

• Riesgo A: ciberataque de ransomware: probabilidad 4 (probable) x impacto 5 (catastrófico) = nivel 20, riesgo crítico.
• Riesgo B: demora de un proveedor clave: probabilidad 2 (poco probable) x impacto 3 (moderado) = nivel 6, prioridad media.
• Riesgo C: multa por reporte regulatorio tardío: probabilidad 3 (posible) x impacto 2 (menor) = nivel 6, prioridad media.

Clasificación por nivel, con el umbral que define la acción:

• Verde (1 a 5): baja prioridad, se monitorea.
• Naranja (6 a 12): prioridad media, pide controles.
• Rojo (13 a 25): crítico, exige acción inmediata y seguimiento cercano.

Con la clasificación lista, cada riesgo recibe una de cuatro respuestas: evitar (eliminar la actividad que lo genera), mitigar (reducir probabilidad o impacto), transferir (pasar la exposición a un tercero, como un seguro) o aceptar (asumirlo de forma consciente dentro del apetito de riesgo). Cada respuesta necesita un responsable y un plazo; sin eso, la matriz describe el riesgo pero no lo gestiona.

Para profundizar con un modelo listo, consulta nuestro artículo completo sobre la matriz de riesgos.

Y porque sabemos lo importante que es la identificación de riesgos empresariales, en Atlas Governance, expertos en el tema crearon el contenido que te ayudará a trazar tu matriz de riesgos. Solo necesitas hacer clic en la imagen para descargar el Manual y Modelo de Matriz de Riesgo para Juntas Directivas y Comités.

¿Qué otros métodos y herramientas de gestión de riesgo existen?

Además de la matriz, cuatro métodos son habituales en las empresas de la región. Al elegir, considera tus procesos internos y los riesgos actuales de tu sector; recuerda que puedes combinar dos herramientas para no dejar fuera detalles importantes. Si tu último análisis tiene más de 3 años, este es el momento de actualizarlo, porque la GRE exige revisión constante.

Análisis preliminar de riesgos

Este método fue una de las primeras tácticas utilizadas en las empresas para simplificar aquellos análisis complejos, usando las experiencias previas como un elemento importante para el mejoramiento de procesos.

Este es utilizado en la fase de desarrollo de implementación o instalación de estrategias o proyectos. Abreviado como APR, se encarga de realizar un análisis cualitativo para concluir a una revisión inicial del tema o proyecto.

Para ello, es importante contar con toda la información detallada.

La información se distribuirá de la siguiente manera:

Análisis detallado, en donde se deben describir los acontecimientos sin excluir pasos básicos previos

Reconocimiento de los peligros que se han dado anteriormente en los procesos. Aquí es importante mencionar cada detalle sin excluir ninguna etapa, incluso aquellas que parezcan muy simples o básicas deben ser consideradas. En este apartado, deberán identificar los peligros que estén vinculados a alguna de las tareas o etapas realizadas;

Estimación del peligro. Este apartado se enfoca en cuantificar y calificar el peligro que podría impactar a las personas, equipos o medio ambiente

Desarrollar e implementar las Medidas de Control. Como el título lo menciona, aquí se identificarán y analizarán las medidas o estrategias que ayudarán a controlar o mitigar los riesgos o peligros identificados anteriormente

Constituir responsabilidades. Aquí se identificarán a las personas responsables de cada área involucrada en la supervisión y asesoramiento de riesgos

Aceptación del Documento. Finalmente, en esta etapa se debe aprobar el plan, análisis y los métodos considerados para cada riesgo

Método SWOT o FODA

Uno de los métodos más conocidos y utilizados en diversos ámbitos (en inglés, SWOT: Strengths, Weaknesses, Opportunities y Threats), pues no solo se utiliza para gestión empresarial, es comúnmente utilizado también en área de marketing.

Esta herramienta resulta muy útil al considerar los elementos globales que envuelven cada proyecto, incluyendo aspectos externos como la publicidad y canales de comunicación.

El método SWOT (FODA en español) se integra de 4 elementos: Fortalezas, Debilidades, Oportunidades y Amenazas.

En la sección de fortalezas, debemos identificar las iniciativas o procesos que funcionan bien y que inclusive podrían compararse con la competencia externa. Puedes hacer las siguientes preguntas para identificar fácilmente esas fortalezas:

¿Qué es lo que hacemos bien?

• ¿Qué hace que nuestra empresa sea especial?
• ¿Qué es lo que le gusta de nuestra organización a la audiencia objetivo?

El siguiente paso ahora consiste en identificar las debilidades internas que no funcionan como es debido. Esto también ayudará a que identifiques con mayor facilidad las mejorías que deberán realizar para obtener los resultados esperados.

En este apartado podrás guiarte de algunas preguntas como:

• ¿Qué iniciativas no funcionan bien y por qué?

¿Qué se podría mejorar?

• ¿Qué recursos podrían favorecer el rendimiento?

. Una vez identificadas las fortalezas y debilidades, es momento de analizar las oportunidades, lo que te ayudará a mejorar la posición de tu empresa frente a la competencia. Por ejemplo, fortalecer la comunicación interna puede ser una oportunidad para una empresa con alta rotación de personal.

Para esta sección podrás guiarte con preguntas como:

• ¿Qué recursos podemos usar para mejorar las áreas en las que tenemos debilidades?
• ¿Hay brechas de mercado en nuestros servicios?
• ¿Cuáles son nuestras metas para este año?

Finalmente concluiremos la recopilación de información con las amenazas, en donde intentaremos identificar los riesgos o peligros que podrían impactar negativamente o causar problemas en nuestro proyecto.

Las preguntas que pueden ayudarte son:

• ¿Qué cambios en el sector son preocupantes?
• ¿Qué nuevas tendencias del mercado se vislumbran?
• ¿En qué áreas nos supera la competencia?

Las preguntas sugeridas en cada criterio son un apoyo para definir un punto de partida que luego debe ser especificado a mayor detalle de acuerdo al proyecto empresarial analizado. Recuerda que las respuestas a cada pregunta no son lo único que debes tomar en cuenta como parte del análisis.

Método AMEF

Análisis del Modo y Efecto de Fallas (AMEF), consiste en un análisis para identificar, clasificar y eliminar anticipadamente las fallas de un proyecto empresarial.

Este puede ser utilizado como herramienta predictiva para detectar fallas en el diseño de un nuevo producto o servicio, procesos de producción y sistemas tecnológicos, identificando probabilidades de defectos o riesgos en cuanto al funcionamiento.

Sus principales ventajas: permiten conocer el producto, proceso o sistema a profundidad y evaluar el nivel de gravedad de cada riesgo relacionado, también identificar las posibles fallas y los indicadores que ayuden a minimizar los riesgos.

¿Cómo se implementa el AMEF?

Este se dividirá por etapas:

• Diseño (de producto, servicio o procesos)
• Mantenimiento preventivo o programas de mantenimiento a implementar
• Etapa de documentación de procesos y productos;
• Etapa de recopilación de información;
• Finalmente concluir en el llenado del formato o plantilla.

El formato o plantilla registra la función del proceso, la falla potencial, el efecto potencial de la falla (consecuencia), la severidad (nivel de impacto o gravedad), las causas potenciales de la falla y la ocurrencia.

Árbol de decisiones

Este diagrama puede ser utilizado también para el análisis de decisiones complejas, aunque también resulta ser una herramienta bastante útil para la identificación de riesgos, pues nos permite conocer los posibles resultados de una serie de decisiones relacionadas, comparando los posibles resultados.

Comienza con una problemática central que luego se irá ramificando de acuerdo con las posibilidades, que a su vez se ramifica en los posibles resultados. Al integrarse por estos elementos, nos facilita y plantea las perspectivas desde diferentes acciones, cuantificando los resultados que debemos esperar.

A continuación, encontrarás un ejemplo de cómo se estructura un árbol de decisiones.

¿Qué papel juegan el gobierno corporativo y el consejo en la gestión de riesgos?

El gobierno corporativo es un conjunto de prácticas reguladas para facilitar la organización de una empresa, estas prácticas se enfocan en mejorar el involucramiento, la transparencia y la comunicación desde donde se dirige la compañía, conocido en Colombia como la junta directiva, en México como consejo de administración y en países como Chile y Perú como directorio.

Para profundizar en el órgano de gobierno corporativo, consulta nuestro artículo sobre el consejo de administración de una empresa.

Uno de los principales principios y beneficios de implementar el gobierno corporativo en tu compañía, es que te permitirá tener una visión transparente en cuanto a los riesgos a los que podría estar expuestos la organización, pero ¿cómo funciona esta relación entre la GRE y el gobierno corporativo?

Un gobierno corporativo se divide en tres órganos: accionistas, comités, junta directiva, consejo de administración o el directorio, que es el máximo órgano de gobierno corporativo.

Este, debe integrarse por miembros con conocimientos relevantes, respetando una independencia y autonomía en cuanto a decisiones estratégicas, cumplir con cierta experiencia en la industria o sector y la diversidad de perspectivas para generar desafíos, discusiones y toma de decisiones objetivas de manera efectiva.

Será el consejo de administración, la junta directiva o el directorio, el órgano de gobierno corporativo encargado de gestionar un programa en la materia de gestión de riesgos, el cual será analizado y complementado por el comité de compliance o comité de riesgos e implementado por la alta dirección, quienes deben considerar los objetivos a corto, mediano y largo plazo para evaluar las amenazas internas o externas que podrían impedir el logro de metas.

La gestión de riesgos empresariales se verá facilitada gracias al sistema de control interno implementado por el máximo órgano de gobierno corporativo. Esto no significa que no podrás implementar una GRE en tu empresa en caso de no contar con un gobierno corporativo estructurado, pero es importante entender que el contar con un gobierno corporativo simplificaría la implementación de controles internos en tu compañía y a su vez, la implementación de la gestión de riesgo empresarial.

Un gobierno corporativo fundamenta la distribución de decisiones con la finalidad de contar con conclusiones basadas desde diferentes perspectivas, además, elcontrol Interno es un claro ejemplo de esto, pues las estrategias y políticas definidas deben ser aprobadas por el máximo órgano de gobierno corporativo y considerar las recomendaciones del comité de auditoría y comité de riesgos.

La junta directiva también se va a encargar de garantizar la independencia de estos comités para el correcto seguimiento de los procesos y políticas establecidas y es el órgano responsable de tener conocimiento y dar seguimiento a los informes realizados en estos temas.

Las responsabilidades y compromisos directos de la junta directiva con la gestión de riesgos empresariales son:

Establecer y aprobar las políticas de riesgo y el manual de riesgo operativo;

• Dar seguimiento al cumplimiento de esta política y manual, así como en sus respectivas actualizaciones;
• Establecer las medidas relativas al perfil de riesgo operativo;
• Involucrase en la evaluación periódica del comité de riesgos;
• Proveer los recursos necesarios para implementar y mantener en funcionamiento, de forma efectiva y eficiente la gestión de riesgos empresarial.

Todo esto deberá ser cumplido para posibilitar el funcionamiento y la eficacia de la GRE, por lo que es importante que, quienes integran tu gobierno corporativo se pregunten:

• ¿Cómo será la medición de efectividad de la GRE?

• ¿Cómo se generarán los reportes y cómo serán divididas las clasificaciones de riesgos? ¿Por áreas?

• ¿Cómo se realizará el monitoreo de cumplimiento de objetivos?

• ¿De qué manera se apoyará al desarrollo de estándares internacionales?

¿Qué es el apetito de riesgo y quién lo define?

Apetito de riesgo es la cantidad y el tipo de riesgo que una organización está dispuesta a perseguir o retener, según la definición recogida en la familia ISO 31000. Definirlo es decisión del consejo de administración, la junta directiva o el directorio, según el país, no de la gerencia,por ende, es el límite que separa los riesgos aceptables para la estrategia de los que exigen respuesta, y funciona como el criterio contra el cual el comité de riesgos fija los límites de tolerancia por área.

En la práctica, el apetito se traduce en una declaración aprobada por el consejo que responde preguntas concretas:

• ¿Qué monto máximo de pérdida aceptamos por eventos operativos en un año?
• ¿Qué riesgos no asumimos en ninguna circunstancia (fraude, corrupción, incumplimiento de leyes anticorrupción)?
• ¿Hasta qué punto aceptamos riesgos estratégicos para crecer en nuevos mercados?

Preguntas de revisión para el consejo, alineadas con ISO 31000:2018 y el componente de gobierno y cultura de COSO ERM: ¿los riesgos se consideraron al fijar los objetivos? ¿Entendemos los riesgos que enfrenta la organización? ¿Los sistemas para gestionarlos operan de forma efectiva?

Ahora bien, tu siguiente duda quizás sea sobre el desarrollo del o de los comités necesarios para asegurar el cumplimiento y la eficacia de la GRE, para ello, los miembros de la junta directiva son quienes realizarán la selección de los consejeros o directores es que integrarán cada comité, con la finalidad de encontrar a los profesionales adecuados en cada materia y tema, con experiencia y suficientes conocimientos para cumplir con la toma de decisiones necesaria para el beneficio de la compañía.

Sin embargo, a continuación, descubriremos cómo se integran estos comités y, sobre todo, lo que necesitan saber para asegurar su función y compromiso.

El comité de riesgos y la GRE

Contar con un área dedicada a la identificación de riesgos puede marcar una gran diferencia en los resultados y el bienestar de tu compañía. Es por ello que el comité de riesgos es considerado como uno de los principales para el buen funcionamiento de tu empresa y como una de las buenas prácticas de gobierno corporativo.

Este órgano de gobierno corporativo se encarga de estudiar, identificar y analizar las amenazas internas y externas con la finalidad de diseñar un sistema de prevención y respuestas para todas las áreas de una empresa.

Este, usualmente se integra por tres o cuatro miembros:

Un gerente de riesgos, quien se encarga de salvaguardar el patrimonio de la empresa, poniendo en marcha los acuerdos del comité de riesgos, este cargo también facilita la comunicación entre las áreas administrativas y el comité.

El comité también puede integrarse por un representante de finanzas y uno de auditoría interna, con la finalidad de contar con las opiniones y las decisiones adecuadas para el análisis completo de riesgos.

También es importante considerar la participación de miembros independientes, que bien, podrían nutrir desde la perspectiva de otras áreas o materias.

Las principales funciones de este comité se pueden resumir en:

• El desarrollo de planes de contingencia, desde el cómo prevenir alguna de las amenazas identificadas, hasta el procedimiento de respuesta en caso de que se presente alguna amenaza;
• Fomentar, reforzar y difundir la cultura de prevención de riesgos en toda la compañía;
• Tomar a consideración la información de todas las áreas que integran a la organización.
• Definir límites de tolerancia para prevenir escenarios de alto riesgo;
• Dar seguimiento y cumplir con la frecuente revisión de estos límites establecidos, con la finalidad de mantener actualizado el desarrollo y los planes de contingencia;
• Supervisar las acciones de prevención y el cumplimiento de sus objetivos, es decir, se encargará de evaluar que las respectivas áreas o departamentos estén cumpliendo con las normativas o acciones necesarias con la finalidad de prevenir o evitar un riesgo;
• Asegurarse que sea cumplido el plan de contingencia en caso de que se presente alguna amenaza y dar la asesoría o acompañamiento adecuado a las áreas para mitigar, solucionar o eliminar dicho riesgo;
• Procurar que la visión, la misión y os objetivos estratégicos de la compañía sean afines a las medidas dispuestas para mitigar contingencias;
• Cumplir con los informes correspondientes que deben ser reportados con la junta directiva, el consejo de administración o el directorio;
• Determinar los riesgos que puede asumir cada área de la empresa.

Ahora sabemos que el trabajo de cada área o comité no son acciones aisladas, requiere de la participación e involucramiento de otras áreas expertas que puedan nutrir la información o planes desarrollados. En este caso, el departamento de cumplimiento o compliance y el comité de auditoría representará un papel importante en el tema.

Cumplimiento o compliance en la gestión de riesgo empresarial

Existe una estrecha relación entre compliance y la GRE. En algunas empresas, el área de cumplimiento o compliance y el comité de riesgos pueden ser áreas separadas, principalmente cuando el comité de riesgo está integrado por diversas áreas del negocio.

Sin embargo, desde el área de compliance también debe existir atención en el manejo de riesgos de la empresa y conocimiento general en cuanto a las herramientas de prevención y mitigación

Pues la principal función y objetivo de esta área se enfoca en el cumplimiento normativo interno. En cuanto a sus compromisos enfocados en la gestión de riesgo empresarial, se encargará de verificar todo el proceso preventivo de manera minuciosa: es decir, desde la verificación de listas de tareas operativas hasta el cumplimiento general del plan de riesgos.

El departamento de compliance, está liderado por el oficial de cumplimiento, quien usualmente se caracteriza por ser un profesional con conocimientos especializados en diversas áreas para asegurar el cumplimiento de las normas internas y externas de la empresa.

Por ello, esta área también será un aliado para el cumplimiento de la GRE.

Comité de auditoría en la gestión de riesgo empresarial

Aunque bien, los auditores internos no serán los responsables o encargados de establecer un nivel de riesgos de acuerdo con el área o situación, estarán bastante involucrados en el desarrollo de la GRE.

Pues serán los auditores internos quienes se encarguen de proporcionar aseguramiento y validez para el consejo de administración, la junta directiva o el directorio y la alta dirección, cumpliendo y asesorando en el análisis de riesgos establecidos para asegurar que estos serán o son manejados apropiadamente respetando el sistema de control interno que rige en la compañía.

Las responsabilidades del comité de auditoría relacionadas con la GRE se resumen en:

• Proporcionar aseguramiento y eficacia en el diseño de procesos de GRE;
• Asegurar una evaluación correcta;
• Evaluar los procesos de gestión de riesgos;
• Evaluar los informes sobre el estado de los principales riesgos y controles, así como el informarlo a la junta directiva y proporcionar su debida asesoría;
• Cumplir con la revisión periódica de GRE;
• Participar y facilitar la identificación y evaluación de riesgos;
• Informar, comunicar y explicar cada proceso a las áreas correspondientes para una buena respuesta ante los riesgos;
• Mantener y defender el desarrollo de la GRE, de esta manera, cada área contribuye de manera importante en el cumplimiento y buena ejecución de la gestión de riesgo empresarial en tu organización.

Para el trabajo de supervisión, nuestras técnicas de auditoría y gestión de riesgos para directores y consejeros ofrecen una guía dedicada.

¿Cómo implementar la gestión de riesgos empresariales paso a paso?

Son 6 pasos, en este orden: definir el contexto, identificar los riesgos, evaluarlos con la matriz, definir respuestas, asignar responsables y monitorear. Cada uno con un resultado concreto:

• Paso 1: definir el contexto y los objetivos. Describe el contexto externo (mercado, regulación, país) e interno (procesos, tecnología, talento) y fija los objetivos del negocio; los riesgos solo tienen sentido respecto a un objetivo, como plantea ISO 31000:2018. Resultado: criterios de riesgo aprobados.
• Paso 2: identificar los riesgos. Reúne a los responsables de cada área y lista todos los riesgos posibles de cada objetivo, sin filtrar; cuanto más libre sea la conversación, menos puntos ciegos quedan. Resultado: un registro de riesgos inicial.
• Paso 3: evaluar y priorizar con la matriz. Puntúa cada riesgo en probabilidad e impacto (1 a 5), multiplica y clasifica por nivel; compara el resultado contra el apetito de riesgo definido por el consejo. Resultado: la matriz de riesgos priorizada.
• Paso 4: definir respuestas y controles. Para cada riesgo prioritario elige evitar, mitigar, transferir o aceptar, con responsables, plazos y controles concretos. Resultado: el plan de tratamiento de riesgos.
• Paso 5: asignar responsables. Formaliza el comité de riesgos, sus reportes al consejo y los límites de tolerancia por área, como se describió en la sección de gobierno corporativo. Resultado: responsables y flujo de reporte definidos.
• Paso 6: monitorear, reportar y actualizar. Sigue indicadores clave de riesgo (KRI), define alertas y revisa la matriz al menos una vez al año o ante cambios relevantes de contexto. Resultado: la GRE como proceso vivo, no como documento de cajón.

Para el riesgo financiero en particular, nuestra guía sobre el directorio y la gestión de riesgos financieros detalla las cinco etapas específicas de ese ámbito.

¿Cómo ayuda el software en la gestión de riesgos?

Excel deja de alcanzar cuando la matriz tiene decenas de riesgos, varios responsables y fechas de revisión distintas: las versiones se duplican, nadie sabe cuál es la vigente y no queda evidencia de quién cambió qué.

Las plataformas de gobierno corporativo con módulo de riesgos resuelven eso con:

• Matriz y mapa de riesgos digitales: registro central, actualización en un solo lugar y vista por área, proceso u objetivo;
• Seguimiento con responsables y plazos: cada plan de tratamiento tiene dueño y fecha, con estado visible para el comité;
• Alertas e indicadores (KRI): aviso automático cuando un indicador cruza el umbral de tolerancia, antes de que el riesgo se materialice;
• Tableros para el consejo: reportes listos para la reunión, sin armar presentaciones a mano en cada ciclo;
• Audit trail: registro de auditoría que evidencia quién creó, modificó o aprobó cada riesgo y cada control, con fecha; clave para comités de auditoría y para demostrar diligencia ante reguladores e inversionistas.

Al evaluar herramientas de esta categoría, conviene revisar criterios como seguridad de la información, experiencia del proveedor con consejos y comités, y capacidad de integrar la gestión de riesgos con las otras prácticas de gobierno corporativo; nuestra guía sobre cómo elegir un software de gobierno corporativo detalla el proceso.

Atlas GOV, la plataforma de gobierno corporativo de Atlas Governance, opera ese flujo completo con audit trail; Atlas Governance acompaña hoy a más de 750 organizaciones y 30 mil profesionales en 16 países, con certificación ISO 27001 en seguridad de la información.

Ahora que conoces la importancia y los motivos para implementar una Gestión de Riesgo Empresarial en tu organización, ha llegado el momento de tomar acción y mejorar las prácticas y resultados que podrían cambiar el rumbo y acelerar el desarrollo de tu compañía.

Si toda esta información te ayudó, te invitamos a consultar los demás artículos de nuestro blog, en donde estamos seguros que encontrarás más consejos, estrategias y tendencias para continuar mejorando los resultados de tu organización en el sector empresarial de Latinoamérica.

Preguntas frecuentes sobre gestión de riesgos empresariales

¿Qué es la gestión de riesgos empresariales y para qué sirve?

Gestión de riesgos empresariales (GRE) es el proceso de identificar, analizar, evaluar, controlar y monitorear los eventos que pueden afectar los objetivos de una organización. Sirve para anticipar pérdidas financieras, legales, operativas y reputacionales, priorizar respuestas con criterios comunes y dar al consejo de administración, la junta directiva o el directorio visibilidad sobre los riesgos de la estrategia.

¿Cuál es la diferencia entre gestión de riesgos y ERM?

La gestión de riesgos tradicional trabaja riesgos por área o proyecto, con foco reactivo en pérdidas. El ERM (gestión empresarial del riesgo) gestiona la cartera completa de riesgos de la organización, integrada a la estrategia y al desempeño, incluye oportunidades y no solo amenazas, y depende del apetito de riesgo definido por el consejo.

¿Qué es el apetito de riesgo y quién lo define?

Apetito de riesgo es la cantidad y el tipo de riesgo que una organización está dispuesta a perseguir o retener (definición de la familia ISO 31000). Lo define el consejo de administración, la junta directiva o el directorio y se traduce en límites de tolerancia por área, que el comité de riesgos supervisa.

¿Qué marco conviene usar: COSO ERM o ISO 31000?

No compiten entre sí. ISO 31000:2018 entrega directrices (no certificables) para diseñar el proceso de gestión en cualquier organización; COSO ERM 2017 conecta ese proceso con la estrategia, el desempeño y el trabajo del consejo, con 5 componentes y 20 principios, además, muchas empresas usan ambos en conjunto.

¿Cómo se calcula el nivel de un riesgo en la matriz 5x5?

Se puntúa la probabilidad de 1 a 5 y el impacto de 1 a 5, y se multiplican ambos valores: el nivel va de 1 a 25. De 1 a 5 es prioridad baja (se monitorea), de 6 a 12 prioridad media (pide controles) y de 13 a 25 crítico (exige acción inmediata).

¿Cada cuánto se actualiza la matriz de riesgos?

Al menos una vez al año y siempre que cambie el contexto: nueva regulación, entrada a otro mercado, incidente relevante o cambio de estrategia. La GRE es un proceso continuo; una matriz sin revisar pierde valor como herramienta de decisión.