Administración integral de riesgos no significa eliminarlos

Hablar de administración de riesgos puede conducir fácilmente a una visión defensiva del gobierno corporativo. Mapas de calor, matrices, indicadores, controles y reportes suelen concentrar la conversación en aquello que podría salir mal, como si el propósito fundamental fuera construir una organización capaz de evitar cualquier resultado adverso. Esa aproximación resulta incompleta. Toda estrategia empresarial supone aceptar incertidumbre: invertir capital, otorgar crédito, desarrollar productos, incorporar tecnología, contratar talento o ingresar a nuevos mercados implica asumir exposiciones con la expectativa de obtener un beneficio. La función del gobierno corporativo no consiste en impedir esa toma de riesgos, sino en procurar que las exposiciones relevantes sean conocidas, evaluadas y congruentes con la capacidad financiera, operativa y reputacional de la organización.

Desde esa perspectiva, el riesgo no debería aparecer ante el consejo como una conversación separada de la estrategia. Una propuesta de expansión que promete crecimiento extraordinario contiene simultáneamente riesgos financieros, operativos, regulatorios, tecnológicos y de ejecución. Analizar primero la oportunidad y meses después revisar sus riesgos fragmenta artificialmente una sola decisión. La administración integral comienza cuando el consejo deja de preguntar únicamente cuánto puede ganar la empresa y empieza a preguntar, dentro de la misma deliberación, qué tendría que ocurrir para perder, cuánto podría perder y qué capacidad posee para absorber esa consecuencia.

El riesgo comienza con los objetivos

No existe riesgo empresarial en abstracto. Existe riesgo respecto de un objetivo que puede no alcanzarse o alcanzarse bajo condiciones distintas de las esperadas. Por ello, un sistema efectivo debe partir de la estrategia y no de una lista genérica de amenazas. Si la organización pretende crecer mediante adquisiciones, los riesgos de valuación, integración y financiamiento adquirirán una importancia particular; si depende intensamente de tecnología, continuidad, ciberseguridad y disponibilidad de datos ocuparán una posición diferente.

Esta conexión permite evitar registros interminables donde aparecen cientos de riesgos con una clasificación semejante. El consejo necesita concentrarse en aquellos capaces de modificar materialmente la trayectoria de la empresa. La administración puede gestionar exposiciones más detalladas mediante sus propios mecanismos, mientras el órgano mantiene una visión suficientemente agregada para comprender dónde se encuentran las vulnerabilidades que verdaderamente pueden comprometer resultados o continuidad.

El apetito de riesgo debe traducirse a decisiones

La expresión “apetito de riesgo” puede convertirse en lenguaje corporativo sin consecuencias prácticas cuando se limita a declarar que la organización mantiene una postura conservadora, moderada o agresiva. Para ser útil, debe traducirse en parámetros comprensibles que orienten decisiones: niveles de endeudamiento, concentraciones máximas, exposiciones de crédito, dependencia de determinados clientes, límites operativos o tolerancias respecto de otras variables materiales.

No todo riesgo puede expresarse mediante una cifra. Reputación, cumplimiento o determinadas exposiciones de seguridad requieren criterios cualitativos. Aun así, el consejo debería comprender qué situaciones considera incompatibles con la manera en que pretende operar. La finalidad no consiste en diseñar límites para cada decisión cotidiana, sino en establecer fronteras suficientemente claras para que la administración conozca cuándo puede actuar y cuándo una exposición necesita ser elevada.

Tolerancia y capacidad no son equivalentes

Una empresa puede estar dispuesta a asumir determinado riesgo y, sin embargo, carecer de capacidad financiera para absorberlo. Esta diferencia adquiere especial relevancia en decisiones que podrían comprometer liquidez, solvencia o continuidad. La disposición del accionista a aceptar una exposición no modifica automáticamente la capacidad objetiva de la organización para soportar sus consecuencias.

Una empresa que pretende eliminar todo riesgo probablemente terminará eliminando también buena parte de sus oportunidades; gobernar consiste en comprender qué riesgos vale la pena asumir y bajo qué condiciones.

El consejo debe considerar escenarios adversos y comprender qué ocurriría si varias exposiciones se materializaran simultáneamente. Los riesgos raramente aparecen aislados durante una crisis. Una caída en ventas puede coincidir con restricciones de financiamiento, deterioro de cartera y pérdida de proveedores. Analizar cada riesgo individualmente puede subestimar la verdadera vulnerabilidad. La agregación y correlación entre exposiciones constituye, por ello, una parte esencial del análisis.

La matriz de riesgos es un instrumento, no el sistema

Las matrices que combinan probabilidad e impacto ayudan a ordenar información y facilitan conversaciones. Su utilidad desaparece cuando el consejo confunde el documento con la administración efectiva del riesgo. Una matriz actualizada trimestralmente puede coexistir con una organización incapaz de anticipar problemas si las calificaciones se asignan mecánicamente o las exposiciones importantes se encuentran ocultas dentro de categorías demasiado amplias.

La discusión debe concentrarse en los movimientos. ¿Qué riesgo aumentó?, ¿por qué cambió?, ¿qué controles dejaron de ser suficientes?, ¿qué exposición nueva apareció? Observar únicamente una fotografía estática limita la capacidad de anticipación. Los riesgos evolucionan con la estrategia, el entorno y las propias decisiones de la empresa; por tanto, su análisis también debe hacerlo.

El riesgo inherente y el residual deben distinguirse

Conocer la exposición antes de considerar controles permite comprender la naturaleza del riesgo; analizarla después de aplicar mitigantes permite observar aquello que la organización continúa asumiendo. Esta diferencia resulta especialmente útil para el consejo porque evita que la existencia de controles genere una falsa sensación de seguridad.

Un riesgo inherente elevado puede permanecer razonablemente administrado mediante controles robustos, mientras otro aparentemente moderado puede convertirse en significativo si los controles son débiles. El órgano no necesita revisar cada procedimiento, pero sí comprender qué mitigantes son críticos y qué ocurriría si alguno falla. Cuando toda la evaluación depende de un único control, proveedor, persona o sistema, existe una concentración que merece atención.

El propietario del riesgo debe estar claramente identificado

Un riesgo sin responsable suele convertirse en una preocupación colectiva que nadie administra concretamente. La asignación debe recaer en personas con suficiente autoridad para actuar sobre la exposición. Esto no significa que sean responsables de evitar cualquier acontecimiento adverso, sino de vigilarlo, implementar respuestas y escalar desviaciones cuando corresponda.

Las funciones de riesgos, cumplimiento o auditoría pueden proporcionar metodología y supervisión, pero no deberían convertirse automáticamente en propietarias de todas las exposiciones. El riesgo comercial corresponde principalmente a quienes toman decisiones comerciales; el operativo, a quienes administran procesos. Las funciones de control fortalecen la disciplina, pero no sustituyen la responsabilidad de la primera línea de gestión.

Los indicadores deben advertir antes de que ocurra la pérdida

Los indicadores de riesgo resultan más útiles cuando permiten detectar deterioro antes de que aparezca completamente en resultados financieros. Concentración de clientes, rotación de personal crítico, intentos de intrusión, fallas de sistemas, retrasos de proveedores o deterioro de cartera pueden anticipar problemas futuros.

El consejo no necesita recibir decenas de indicadores para cada categoría. Conviene seleccionar aquellos que verdaderamente permiten identificar cambios y establecer umbrales que provoquen acciones concretas. Un indicador que permanece permanentemente en nivel crítico sin generar respuesta termina perdiendo significado. El sistema debe conectar señal, responsable y actuación.

Riesgos emergentes requieren una conversación diferente

Algunas exposiciones cuentan con abundante información histórica; otras aparecen antes de que existan suficientes datos para cuantificarlas. Inteligencia artificial, cambios tecnológicos, nuevas formas de fraude, transformaciones regulatorias o modificaciones geopolíticas pueden presentar incertidumbres difíciles de incorporar a modelos tradicionales. Esperar hasta contar con estadísticas perfectas puede significar llegar demasiado tarde.

En estos casos, el consejo debe utilizar escenarios, conocimiento especializado y juicio. La ausencia de precisión cuantitativa no convierte el riesgo en irrelevante. Tampoco justifica reaccionar desproporcionadamente ante cualquier tendencia. La disciplina consiste en identificar señales, comprender posibles consecuencias y decidir qué información adicional debe construirse para mejorar gradualmente la respuesta.

Ciberseguridad ya no puede tratarse únicamente como asunto técnico

La dependencia de sistemas y datos ha convertido determinados incidentes tecnológicos en riesgos de continuidad, reputación, cumplimiento y patrimonio. El consejo no necesita convertirse en especialista en arquitectura informática, pero sí comprender activos críticos, principales vulnerabilidades, capacidad de respuesta y consecuencias de una interrupción significativa.

Las preguntas deben concentrarse en impacto empresarial: cuánto tiempo podría operar la organización sin determinados sistemas, qué información resulta crítica, cómo se recuperaría y quién tomaría decisiones durante un incidente. El detalle técnico corresponde a especialistas; la resiliencia y materialidad pertenecen claramente a la conversación de gobierno.

La inteligencia artificial amplía el mapa de riesgos

La incorporación de herramientas de inteligencia artificial puede producir eficiencias importantes, pero introduce exposiciones relacionadas con información confidencial, calidad de datos, propiedad intelectual, sesgos, decisiones automatizadas y dependencia de proveedores. La respuesta no debería ser prohibir indiscriminadamente su utilización, pues ello puede desplazar el uso hacia canales informales aún menos controlados.

La organización necesita identificar casos de uso, clasificar su materialidad y establecer controles proporcionales. El consejo debería recibir información cuando estas herramientas formen parte relevante de procesos críticos o de la estrategia. Como ocurre con cualquier tecnología, el nivel de supervisión debe guardar relación con el impacto potencial y no con la novedad del término.

La concentración merece atención especial

Algunos de los riesgos más importantes se encuentran escondidos dentro de relaciones aparentemente exitosas. Un cliente extraordinariamente grande puede impulsar crecimiento y simultáneamente aumentar dependencia; un proveedor eficiente puede reducir costos mientras se convierte en un punto único de falla. Lo mismo ocurre con personas, sistemas, financiamientos o mercados.

El consejo no administra diariamente los riesgos, pero sí debe comprender aquellos capaces de alterar la estrategia, comprometer la continuidad o modificar sustancialmente el valor de la organización.

El consejo debería observar las principales concentraciones y conocer qué alternativas existen. Diversificar siempre puede ser costoso o incluso imposible, pero la decisión debe ser consciente. Una concentración conocida puede administrarse; una que solamente se descubre después de perder al cliente, proveedor o ejecutivo crítico se convierte en una sorpresa que el sistema de riesgos debió haber anticipado.

Las pruebas de estrés hacen visible lo improbable

Los escenarios adversos permiten analizar consecuencias sin necesidad de asignar una probabilidad exacta. ¿Qué ocurriría si las ventas disminuyeran significativamente?, ¿si una planta dejara de operar?, ¿si el financiamiento no pudiera renovarse?, ¿si el principal proveedor interrumpiera entregas? La finalidad no consiste en predecir cuál escenario ocurrirá, sino en comprender la resiliencia.

Una prueba útil debe conducir a decisiones. Si revela que determinada situación agotaría liquidez en pocas semanas, el consejo debería conocer qué medidas preventivas existen. Realizar ejercicios de estrés y archivar sus resultados sin modificar ninguna decisión reduce su utilidad a una práctica documental.

El riesgo también debe influir en la compensación

Cuando los incentivos premian crecimiento, ventas o rentabilidad sin considerar la forma en que fueron obtenidos, pueden estimular exposiciones incompatibles con los límites aprobados. Por ello, el sistema de remuneración de los principales ejecutivos debe guardar coherencia con la administración de riesgos.

Esto no implica penalizar cualquier resultado adverso. Asumir riesgos razonables forma parte de administrar. La evaluación debe distinguir entre una decisión fundamentada cuyo resultado finalmente fue desfavorable y una conducta que excedió límites, ignoró controles o trasladó consecuencias al futuro para alcanzar objetivos de corto plazo.

Los comités ayudan, pero el pleno conserva la visión estratégica

Un órgano intermedio puede profundizar en metodologías, exposiciones y controles. Su utilidad aumenta conforme la complejidad de la organización hace difícil que el pleno examine todos los detalles. Sin embargo, el consejo no debería delegar mentalmente el riesgo al comité. La estrategia y el riesgo forman parte de una misma conversación y, por ello, el órgano completo necesita comprender las exposiciones más importantes.

El comité puede preguntar cómo se mide y controla; el pleno debe preguntarse si el riesgo asumido tiene sentido frente al valor esperado y a la capacidad de la organización. Esta diferencia preserva la especialización sin fragmentar la responsabilidad.

La LGSM y el deber de vigilancia de la administración

La Ley General de Sociedades Mercantiles (LGSM) no configura para todas las sociedades un modelo uniforme denominado expresamente “administración integral de riesgos”; sin embargo, su régimen de administración, responsabilidades y vigilancia proporciona el marco jurídico dentro del cual los administradores deben ejercer sus funciones. En la sociedad anónima, los artículos 142 y siguientes regulan aspectos esenciales de la administración, mientras que las responsabilidades deben analizarse conforme a las disposiciones aplicables, estatutos y circunstancias concretas.

Por ello, una política de riesgos constituye una herramienta de organización y supervisión, no un sustituto de las responsabilidades legales. La existencia de una matriz o comité tampoco exonera al órgano competente de analizar los asuntos que corresponden a sus facultades. La formalización del sistema debe ayudar a ejercer mejor esas responsabilidades, no utilizarse como evidencia automática de que fueron cumplidas.

La LMV contiene obligaciones específicas cuando resulte aplicable

La Ley del Mercado de Valores (LMV) establece para las sociedades comprendidas en sus distintos regímenes responsabilidades específicas del consejo y de los órganos intermedios en materias relacionadas con control, información, auditoría y riesgos. Cuando resulte aplicable, la estructura debe atender directamente las disposiciones correspondientes y las competencias asignadas a cada órgano.

Estas exigencias no deben extenderse automáticamente a sociedades fuera de dichos regímenes. No obstante, la lógica de contar con procesos formales para identificar y supervisar exposiciones relevantes puede servir como referencia para empresas que voluntariamente pretenden fortalecer su estructura, adaptándola a su dimensión y complejidad.

El Código y la administración integral de riesgos

El Código de Principios y Mejores Prácticas de Gobierno Corporativo (Código) constituye una referencia particularmente relevante en esta materia al reconocer la importancia de que el consejo participe en la identificación, análisis, administración, control y adecuada revelación de los riesgos relevantes de la sociedad, apoyándose en los órganos intermedios correspondientes.

Su aplicación práctica exige evitar dos extremos. Una empresa pequeña no necesita necesariamente replicar sistemas diseñados para organizaciones de enorme complejidad; una empresa grande tampoco debería considerar suficiente una lista anual de riesgos preparada exclusivamente para cumplir una formalidad. La estructura debe ser proporcional al negocio y suficientemente dinámica para influir en las decisiones.

La cultura determina qué tan pronto se conocen los problemas

El mejor sistema técnico puede fracasar si las personas temen comunicar malas noticias. Cuando reportar una desviación genera castigos automáticos, los problemas tienden a permanecer ocultos hasta que ya no pueden contenerse. El consejo debe observar si la cultura incentiva el escalamiento oportuno y distingue entre reconocer un riesgo y haber actuado negligentemente.

También debe evitar el extremo contrario, donde cualquier problema menor llega inmediatamente a los órganos superiores. La administración necesita criterios claros de materialidad y escalamiento. El objetivo es que la información relevante llegue suficientemente pronto sin convertir al consejo en centro de gestión de incidentes ordinarios.

El riesgo no desaparece porque esté asegurado

Los seguros constituyen herramientas valiosas para transferir determinadas consecuencias financieras, pero no eliminan la exposición subyacente. Una interrupción operativa puede encontrarse parcialmente cubierta y, aun así, generar pérdida de clientes o deterioro reputacional. Determinadas contingencias tampoco son completamente asegurables.

El consejo debería comprender qué riesgos han sido transferidos, cuáles permanecen y qué exclusiones o límites son relevantes. La transferencia financiera forma parte de la respuesta; no sustituye prevención, continuidad ni capacidad de recuperación.

La verdadera prueba ocurre antes de la crisis

Después de que un riesgo se materializa, casi siempre resulta sencillo identificar señales que parecían evidentes retrospectivamente. El valor de un sistema de riesgos se encuentra en reconocerlas cuando todavía compiten con muchas otras señales y existe tiempo para actuar. Esto exige información, metodología y una cultura que permita cuestionar supuestos.

La pregunta más útil para el consejo no es “¿tenemos una matriz de riesgos actualizada?”, sino “¿cuáles son las tres o cinco exposiciones capaces de modificar significativamente nuestra estrategia y qué estamos haciendo hoy para comprenderlas y administrarlas?” La primera pregunta verifica la existencia de un documento; la segunda examina la calidad del gobierno.

Administrar riesgos no consiste en construir una empresa incapaz de equivocarse. Tal organización no existe. Consiste en procurar que las decisiones importantes se adopten con una comprensión razonable de sus posibles consecuencias, que existan límites frente a exposiciones capaces de comprometer continuidad y que la organización pueda responder cuando aquello que parecía improbable finalmente ocurra.

El riesgo es inseparable de la creación de valor. La responsabilidad del gobierno corporativo no es eliminarlo, sino asegurar que la empresa sepa cuáles riesgos está tomando, por qué decidió asumirlos y cuánto está verdaderamente preparada para perder si las circunstancias no resultan como esperaba.