Administración integral de riesgos
Administrar riesgos no significa eliminarlos. El consejo debe comprender cuáles acepta la empresa, cuáles limita y cuáles evita, vinculando estrategia, controles, información y capacidad financiera con decisiones empresariales conscientes.
Toda actividad empresarial implica asumir incertidumbre. Lanzar un producto, otorgar crédito, contratar deuda, adquirir una compañía, concentrarse en un cliente, desarrollar tecnología o ingresar a un mercado supone aceptar la posibilidad de que los resultados sean distintos de los esperados. Por ello, la administración integral de riesgos no debe entenderse como una disciplina destinada a impedir que ocurran acontecimientos adversos, sino como un proceso para identificar qué exposiciones acompañan a la estrategia, determinar cuáles resultan aceptables y establecer mecanismos para mantenerlas dentro de límites razonables. Una empresa que no asume riesgos difícilmente crece; una que los asume sin comprenderlos puede comprometer su continuidad.
El consejo ocupa una posición particularmente importante porque debe observar los riesgos de manera conjunta. Cada área tiende a analizar su propia exposición: finanzas examina liquidez y deuda; jurídico, contingencias y contratos; tecnología, sistemas y ciberseguridad; operaciones, proveedores y continuidad; comercial, clientes y mercados. Sin una visión agregada, la organización puede aceptar individualmente decisiones razonables que, combinadas, produzcan una concentración excesiva. La función del gobierno corporativo consiste precisamente en conectar estrategia y riesgo antes de que las decisiones aisladas terminen formando una exposición que nadie decidió asumir conscientemente.
El riesgo debe comenzar en la estrategia
Un error frecuente consiste en elaborar el mapa de riesgos después de aprobar el plan estratégico, como si ambas actividades fueran independientes. El análisis debería ocurrir simultáneamente.
Si la estrategia contempla crecer mediante adquisiciones, deben analizarse riesgos de valuación, financiamiento, integración y ejecución. Si pretende expandirse geográficamente, aparecen exposiciones comerciales, operativas, fiscales, laborales y regulatorias. Si depende de digitalización, la continuidad tecnológica adquiere mayor importancia.
El riesgo no es un anexo de la estrategia; constituye la incertidumbre inherente a su ejecución.
El consejo debería preguntar qué tendría que ocurrir para que el plan no alcance sus objetivos y cuáles de esas circunstancias pueden ser administradas. Esta conversación suele resultar más útil que comenzar con un catálogo genérico de amenazas.
La LGSM no impone una metodología universal de administración de riesgos
La Ley General de Sociedades Mercantiles (LGSM) regula la administración, vigilancia y responsabilidades correspondientes a las sociedades dentro de su ámbito, pero no establece para toda sociedad anónima una metodología uniforme denominada administración integral de riesgos ni exige utilizar un modelo específico de matrices, colores o puntuaciones.
Esta precisión resulta importante porque determinados instrumentos de gestión pueden convertirse erróneamente en supuestos requisitos legales universales.
Una empresa que pretende eliminar todo riesgo termina eliminando también buena parte de sus oportunidades; gobernar consiste en distinguir los riesgos que crean valor de aquellos que pueden destruirlo.
La estructura debe ser proporcional a la organización. Una empresa relativamente sencilla puede administrar sus principales exposiciones mediante procesos menos complejos que un grupo diversificado con operaciones extensas.
Lo indispensable es que los órganos responsables cuenten con información suficiente para comprender riesgos materiales y adoptar las decisiones que correspondan dentro de sus facultades.
El apetito de riesgo debe traducirse a decisiones concretas
El concepto de apetito de riesgo suele expresarse mediante declaraciones generales: “tenemos bajo apetito para riesgos regulatorios” o “aceptamos riesgos moderados para crecer”. Estas formulaciones pueden orientar, pero necesitan convertirse en parámetros observables.
En materia financiera pueden existir límites de endeudamiento, liquidez mínima o concentración. En clientes pueden definirse exposiciones máximas. En tecnología pueden establecerse tiempos máximos de recuperación para sistemas críticos.
No todos los límites necesitan ser numéricos. Algunas conductas pueden encontrarse fuera del riesgo aceptable independientemente del beneficio económico esperado.
La utilidad aparece cuando un proyecto que excede los parámetros requiere una decisión distinta: mitigación, autorización superior, modificación o rechazo.
Si superar el apetito declarado no produce ninguna consecuencia, la organización no tiene realmente un apetito de riesgo; tiene únicamente una descripción aspiracional.
Riesgo inherente y riesgo residual no deben confundirse
El riesgo inherente representa la exposición antes de considerar determinados controles; el residual refleja aquello que permanece después de aplicar las medidas existentes.
Esta distinción permite evitar una falsa sensación de seguridad. Un proceso puede involucrar un riesgo inherentemente elevado y conservarlo en niveles razonables gracias a controles robustos. Otro puede parecer menos amenazante y permanecer excesivamente expuesto porque los controles son deficientes.
El consejo necesita concentrarse particularmente en el riesgo residual y en aquellos casos donde los mecanismos de mitigación son esenciales para mantener la exposición dentro de parámetros aceptables.
También debe conocer si los controles realmente funcionan. Reducir la puntuación de un riesgo en una matriz simplemente porque existe una política escrita puede producir una valoración artificial.
Las matrices ayudan, pero también pueden ocultar
Los mapas de calor son herramientas populares porque permiten representar riesgos mediante colores. Su simplicidad facilita la comunicación, pero puede producir conclusiones engañosas cuando se convierte en sustituto del análisis.
Asignar valores de probabilidad e impacto implica juicios. Dos personas pueden evaluar de manera diferente el mismo riesgo, especialmente cuando existe poca información histórica.
Además, acontecimientos de probabilidad reducida y consecuencias extraordinarias pueden perder atención si la metodología favorece riesgos frecuentes.
El consejo debería utilizar las matrices como punto de entrada y no como conclusión. Detrás de cada color debe existir una explicación comprensible sobre escenario, controles y posibles consecuencias.
Un riesgo “verde” no significa inexistente. Significa que, bajo los supuestos utilizados, se considera dentro de los parámetros definidos.
Los riesgos no son independientes
Una dificultad importante aparece cuando varios riesgos se materializan simultáneamente o uno provoca otro. Un incidente tecnológico puede interrumpir ventas, deteriorar liquidez, generar reclamaciones y afectar reputación. La pérdida de un cliente puede producir presión financiera y decisiones apresuradas de reducción de costos que incrementen riesgos operativos.
Por ello, la administración integral debe analizar correlaciones y concentraciones.
Los escenarios resultan especialmente útiles. En lugar de preguntar únicamente cuál es la probabilidad de perder al principal cliente, puede preguntarse qué ocurriría si esa pérdida coincidiera con un vencimiento importante de deuda.
La combinación puede revelar una vulnerabilidad que ninguno de los riesgos mostraba aisladamente.
La concentración suele permanecer oculta detrás del crecimiento
Las empresas exitosas pueden desarrollar dependencias precisamente como consecuencia de aquello que las hizo crecer. Un cliente extraordinariamente rentable aumenta su participación en ingresos; un proveedor eficiente concentra compras; un ejecutivo excepcional acumula decisiones; una plataforma tecnológica se vuelve indispensable.
Mientras la relación funciona, la concentración parece una ventaja. El riesgo aparece cuando se intenta sustituirla.
El consejo debería recibir información sobre concentraciones materiales en clientes, proveedores, financiamiento, talento, tecnología y otros recursos críticos.
No toda concentración debe eliminarse. Diversificar puede tener costos y reducir eficiencia. Lo importante es que la exposición sea conocida y aceptada conscientemente.
Los riesgos emergentes necesitan un espacio distinto
Los sistemas tradicionales funcionan mejor con riesgos conocidos. Sin embargo, las amenazas más importantes pueden encontrarse todavía en etapas donde resulta difícil estimar probabilidad o impacto.
Cambios tecnológicos, nuevas formas de fraude, modificaciones en comportamiento de consumidores o alteraciones geopolíticas pueden evolucionar rápidamente. El consejo debería disponer de un espacio para discutir riesgos emergentes sin exigir que todos sean incorporados inmediatamente a una matriz cuantificada.
La finalidad es observar señales y preparar escenarios. Esperar a tener suficiente evidencia estadística puede significar reconocer el riesgo demasiado tarde. La inteligencia artificial ofrece un ejemplo claro: determinadas exposiciones actuales difícilmente habrían ocupado un lugar relevante en mapas elaborados pocos años antes.
Los indicadores deben advertir antes del resultado
Un buen sistema utiliza indicadores que permitan detectar deterioro antes de que el riesgo se materialice completamente.
En liquidez puede observarse disponibilidad, cobranza o utilización de líneas. En talento, rotación de posiciones críticas. En proveedores, tiempos de entrega o dependencia creciente. En ciberseguridad, vulnerabilidades relevantes pendientes de atención.
Los indicadores deben relacionarse con umbrales que produzcan acciones o escalamiento. Un tablero con decenas de métricas sin responsables ni consecuencias puede generar información sin gobierno.
El consejo necesita un número manejable de indicadores relacionados con exposiciones verdaderamente materiales.
Alguien debe ser propietario de cada riesgo
Expresiones como “el riesgo es responsabilidad de todos” contienen una verdad cultural, pero pueden producir ambigüedad administrativa. Cada riesgo material debería tener un responsable suficientemente claro.
El propietario no necesariamente controla todas las causas, pero coordina evaluación, mitigación y reporte. Debe conocer los indicadores y comunicar cambios relevantes.
El apetito de riesgo sólo tiene utilidad cuando modifica decisiones: si todos los proyectos reciben aprobación independientemente de la exposición que generan, la declaración corporativa es apenas una frase sin consecuencias.
La función especializada de riesgos, cuando existe, no debería convertirse automáticamente en propietaria de todas las exposiciones. Su papel puede consistir en metodología, coordinación y desafío, mientras las áreas operativas administran riesgos derivados de sus actividades.
Si el área de riesgos termina administrando aquello que posteriormente debe evaluar, puede debilitarse su capacidad crítica.
El consejo supervisa riesgos; la administración los gestiona
Esta separación debe conservarse. El consejo establece orientación, cuestiona exposiciones materiales y supervisa que exista un sistema adecuado. La administración toma innumerables decisiones diarias para mantener riesgos dentro de parámetros.
Cuando el consejo intenta administrar cada exposición, puede desplazar responsabilidades y ralentizar la operación. Cuando se limita a recibir un mapa anual, puede estar supervisando demasiado poco.
La frecuencia debe depender de la naturaleza de los riesgos. Liquidez durante una situación financiera difícil puede requerir seguimiento frecuente; otros asuntos pueden revisarse trimestralmente o cuando exista un cambio relevante.
El órgano debe recibir información con suficiente anticipación para actuar, no únicamente explicaciones después de la materialización.
La LMV profundiza las responsabilidades en los regímenes donde resulta aplicable
La Ley del Mercado de Valores (LMV) contiene disposiciones específicas para las sociedades comprendidas en sus distintos regímenes y atribuye funciones al consejo, dirección general y comités en materias relacionadas con control interno, información y administración de riesgos.
Cuando resulte aplicable, el diseño debe responder a esas obligaciones concretas y no limitarse a prácticas voluntarias. En sociedades fuera de ese ámbito, algunos principios pueden utilizarse como referencia siempre que se adapten a tamaño y características.
La sofisticación del sistema no debe convertirse en finalidad. El objetivo continúa siendo mejorar la calidad de las decisiones.
El Código coloca los riesgos dentro de la responsabilidad del consejo
El Código de Principios y Mejores Prácticas de Gobierno Corporativo (Código) reconoce la administración integral de riesgos como una materia relevante dentro de las responsabilidades del consejo y de los órganos intermedios que lo apoyan.
La recomendación resulta especialmente valiosa porque vincula riesgo con estrategia, control interno y generación de información.
El consejo debe conocer los riesgos importantes, pero también la capacidad de la organización para enfrentarlos. Dos empresas con una exposición similar pueden tener vulnerabilidades muy distintas si una cuenta con mayor liquidez, sistemas redundantes o capacidad operativa. Por ello, el análisis debe considerar tanto amenazas como resiliencia.
La remuneración puede modificar el apetito real de riesgo
Una organización puede declarar prudencia y, simultáneamente, pagar incentivos que premian crecimiento sin considerar pérdidas futuras. En ese caso, el sistema de remuneración puede establecer un apetito de riesgo distinto del aprobado formalmente.
Los indicadores utilizados para compensación deben analizarse desde esta perspectiva. Bonificar exclusivamente volumen de ventas puede incentivar crédito deficiente; premiar reducción extrema de costos puede deteriorar controles; recompensar rentabilidad inmediata puede desalentar inversiones necesarias.
El consejo debería preguntarse qué comportamiento racional produce el esquema de incentivos. Las personas responden no sólo a políticas, sino a aquello que la organización remunera.
El riesgo también puede aceptarse
No toda exposición requiere mitigación. Algunas pueden aceptarse conscientemente porque el costo de reducirlas supera el beneficio esperado o porque son inherentes a una oportunidad estratégica.
La aceptación debe corresponder al nivel con facultades suficientes según materialidad. También debe quedar claro qué significa aceptar: no implica olvidar el riesgo, sino reconocerlo y mantener seguimiento cuando resulte necesario.
En determinados casos pueden utilizarse seguros, contratos, coberturas o diversificación. Estas herramientas transfieren o reducen partes de la exposición, pero rara vez la eliminan completamente.
Una póliza puede cubrir pérdidas económicas y no recuperar reputación; una cláusula contractual puede asignar responsabilidad y no garantizar que el proveedor tenga capacidad para responder.
La crisis revela si el sistema de riesgos era real
Después de un acontecimiento adverso suele escucharse que “nadie podía preverlo”. En ocasiones es cierto. En otras, el escenario había sido identificado, pero nunca recibió seguimiento o los controles se consideraron suficientes sin haber sido probados.
Después de un incidente relevante conviene revisar el sistema: ¿el riesgo estaba identificado?, ¿cómo fue evaluado?, ¿qué controles existían?, ¿qué indicadores pudieron advertirlo?, ¿por qué la respuesta fue o no suficiente?
El objetivo no consiste en demostrar retrospectivamente que alguien debió predecir exactamente lo ocurrido. Consiste en mejorar la capacidad institucional para reconocer escenarios similares.
Una buena administración de riesgos no convierte a la empresa en adivina; la convierte en una organización menos sorprendida por aquello que razonablemente podía imaginar.
Riesgo y oportunidad pertenecen a la misma conversación
El consejo no debería convertirse en el órgano que sistemáticamente pregunta qué puede salir mal mientras la dirección es la única que habla de crecimiento. Esa división crea una falsa oposición entre estrategia y control.
Cada oportunidad contiene riesgos y determinados riesgos pueden abrir oportunidades. La entrada de un competidor puede obligar a innovar; una nueva tecnología puede reducir costos mientras introduce dependencias; una adquisición puede transformar el negocio y simultáneamente elevar endeudamiento.
El análisis maduro pregunta ambas cosas: qué valor podemos crear y qué exposición debemos aceptar para crearlo.
La finalidad no es seleccionar siempre la alternativa más segura. Es seleccionar aquella cuyo riesgo resulte comprensible y compatible con la capacidad de la empresa.
De la matriz a la decisión
El éxito de un sistema de riesgos no debe medirse por la cantidad de páginas de su informe anual. Su verdadero resultado aparece en las decisiones.
Si un proyecto se modifica porque excedía la capacidad financiera, el sistema funcionó. Si se diversifica un proveedor porque la dependencia era excesiva, funcionó. Si el consejo rechaza una operación porque la rentabilidad no compensa la exposición, funcionó. También funciona cuando decide conscientemente aceptar un riesgo porque la oportunidad lo justifica.
El fracaso ocurre cuando el mapa existe, pero las decisiones continúan adoptándose como si no existiera.
La pregunta esencial para el consejo es sencilla: ¿sabemos cuáles son las exposiciones que podrían comprometer nuestros objetivos y hemos decidido conscientemente cuáles estamos dispuestos a asumir?
Responderla exige algo más que identificar amenazas. Requiere relacionar estrategia, capital, controles, incentivos y capacidad de recuperación.
El buen gobierno no promete una empresa sin riesgos. Promete algo mucho más útil: una empresa que conoce los riesgos que está tomando, comprende por qué los toma y sabe cuándo ha llegado el momento de dejar de tomarlos.
Sobre el autor
Mtro. Benjamín Serna Liogol
Sigue leyendo
