Alcance y responsabilidades del Comité de Riesgos

Toda actividad empresarial implica riesgo. Crecer, endeudarse, entrar a un mercado distinto, lanzar un producto, contratar tecnología, adquirir una compañía o depender de determinado proveedor significa aceptar incertidumbre a cambio de una expectativa de valor. Pretender eliminar completamente el riesgo conduciría, en los hechos, a eliminar también una parte importante de la actividad empresarial. Por ello, la función del gobierno corporativo no consiste en convertir al consejo de administración en un órgano permanentemente conservador, sino en procurar que las decisiones relevantes se adopten entendiendo razonablemente las exposiciones que las acompañan.

El comité de riesgos aparece precisamente como un mecanismo de apoyo para alcanzar ese objetivo. Su utilidad radica en ordenar una conversación que, de otro modo, suele encontrarse dispersa entre finanzas, jurídico, auditoría, operaciones, tecnología, seguros, recursos humanos y cumplimiento. Cada área conoce una parte de la exposición, pero el consejo necesita comprender el conjunto. Administrar riesgos no equivale a elaborar una lista de amenazas; exige relacionar riesgos con estrategia, determinar responsables, establecer niveles de tolerancia y comprobar si los controles permiten mantener la exposición dentro de parámetros aceptables.

La dificultad comienza porque el término “comité de riesgos” puede sugerir una figura jurídica uniforme que toda sociedad debería constituir. No es así. La estructura debe analizarse a partir del régimen que corresponda a la entidad, su tamaño, actividad y grado de complejidad. Una empresa industrial cerrada, una institución financiera y una sociedad bursátil pueden necesitar órganos distintos aunque todas utilicen la misma expresión.

La LGSM no impone un comité de riesgos a toda sociedad anónima

La Ley General de Sociedades Mercantiles (LGSM) establece el marco general de administración de la sociedad anónima. El artículo 142 dispone que su administración estará a cargo de uno o varios mandatarios temporales y revocables y el artículo 143 señala que, cuando sean dos o más, constituirán el consejo de administración. La LGSM regula integración, funcionamiento y responsabilidades del órgano, pero no establece como obligación general para toda sociedad anónima la creación de un comité de riesgos.

Esta precisión resulta importante porque permite colocar la discusión en su sitio correcto. Una sociedad privada puede decidir que su consejo supervise directamente los riesgos sin crear un órgano separado; también puede encargar determinada profundidad de análisis a un comité de auditoría o establecer un comité específico cuando la complejidad de sus operaciones lo haga aconsejable. Ninguna de estas soluciones es automáticamente superior a las demás. El criterio debe ser funcional: ¿el consejo está recibiendo información suficiente, oportuna y comprensible para identificar las exposiciones que pueden comprometer estrategia, patrimonio o continuidad?

Crear un comité únicamente para incorporar una casilla adicional al organigrama puede producir el efecto contrario al buscado. Si no se definen facultades, información y relación con los demás órganos, el consejo puede asumir que “riesgos” atiende un problema que en realidad nadie está supervisando de manera completa. La especialización sólo mejora el gobierno cuando reduce zonas grises; cuando las multiplica, genera una peligrosa dispersión de responsabilidad.

La LMV tampoco debe utilizarse como fundamento indiscriminado

La Ley del Mercado de Valores (LMV) contiene una arquitectura de gobierno mucho más desarrollada para las sociedades comprendidas en su ámbito. En las sociedades anónimas bursátiles, el consejo se auxilia de los comités que desempeñan funciones de auditoría y prácticas societarias conforme a las disposiciones de la propia ley. Sin embargo, de ello no debe desprenderse la afirmación genérica de que la LMV exige a toda sociedad bursátil un órgano denominado específicamente “comité de riesgos” con una configuración universal.

El comité de riesgos no existe para impedir que la empresa asuma riesgos; existe para evitar que los asuma sin comprender su magnitud, sus consecuencias y la capacidad real de administrarlos.

La supervisión del riesgo atraviesa diversas atribuciones del consejo, de la administración y de los órganos intermedios, pero la obligación de contar con comités especializados de administración integral de riesgos puede derivar, con mayor precisión, de regulación sectorial específica para determinadas entidades. Por eso, antes de atribuir una obligación al régimen bursátil general, debe identificarse la clase concreta de institución y las disposiciones que la regulan. Esta distinción es especialmente importante para abogados y contadores: una buena recomendación de gobierno no necesita convertirse artificialmente en una obligación legal para adquirir valor.

La empresa privada, por tanto, puede utilizar estructuras desarrolladas en sectores regulados como referencia técnica, pero debe hacerlo voluntaria y proporcionalmente cuando no exista una disposición que la obligue. El propósito no consiste en reproducir reglamentos diseñados para intermediarios financieros dentro de una compañía manufacturera, sino en rescatar principios útiles: independencia del análisis, identificación sistemática de exposiciones, límites, monitoreo, escalamiento y responsabilidad clara.

El riesgo debe comenzar en la estrategia y no en la matriz

Uno de los errores más frecuentes consiste en iniciar la administración de riesgos construyendo una matriz de colores. Se reúnen distintas áreas, se enumeran amenazas y posteriormente cada una recibe una combinación de probabilidad e impacto. El resultado puede ser visualmente atractivo y, al mismo tiempo, estar completamente desconectado de las decisiones que realmente importan.

El proceso debería comenzar antes: ¿qué pretende lograr la sociedad y qué puede impedirlo? Si la estrategia consiste en duplicar capacidad productiva, los riesgos relevantes incluyen financiamiento, construcción, permisos, talento, demanda, cadena de suministro y ejecución. Si el objetivo consiste en transformar digitalmente el negocio, cambian las exposiciones: tecnología, datos, ciberseguridad, dependencia de proveedores, propiedad intelectual y capacidad de adopción interna. La matriz adquiere sentido cuando deriva de la estrategia; cuando se construye independientemente, termina convertida en inventario genérico de preocupaciones.

El comité debe, por ello, conocer la estrategia con suficiente profundidad. No necesita aprobarla por separado del consejo, pero sí comprender las hipótesis sobre las que descansa. Una estrategia de crecimiento extraordinariamente agresiva puede requerir un apetito de riesgo distinto de una organización concentrada en preservar capital. Sin esa conexión, el comité corre el riesgo de oponerse sistemáticamente a iniciativas que contienen incertidumbre simplemente porque su trabajo quedó definido como “reducir riesgos”. Su función correcta es ayudar al consejo a decidir qué riesgos vale la pena aceptar, cuáles deben mitigarse, cuáles transferirse y cuáles evitarse.

Apetito, tolerancia y límites: poner nombre a lo que la empresa está dispuesta a soportar

Toda organización tiene un apetito de riesgo, aunque nunca lo haya escrito. Se revela mediante decisiones. Una compañía que mantiene deuda elevada, depende de pocos clientes o invierte intensamente en proyectos de innovación ya está aceptando determinados niveles de exposición. Documentar el apetito permite transformar esas decisiones implícitas en parámetros que el consejo pueda discutir y revisar.

No resulta necesario llenar el documento de terminología compleja. El principio puede expresarse de manera práctica. ¿Cuánta deuda está dispuesta a mantener la sociedad? ¿Qué concentración máxima de clientes es razonable? ¿Qué proporción de ingresos puede depender de una sola jurisdicción? ¿Cuánto tiempo de interrupción operativa podría tolerarse? ¿Qué clase de riesgos legales o de integridad se consideran incompatibles con la conducta de la organización aunque el beneficio económico potencial sea elevado?

La diferencia entre apetito y tolerancia también puede resultar útil. El primero expresa el nivel general que la sociedad está dispuesta a asumir para cumplir objetivos; la segunda define desviaciones máximas aceptables alrededor de determinados parámetros. Los límites convierten esos conceptos en reglas operativas. Cuando se exceden, debe existir un procedimiento de escalamiento. Un límite que puede superarse indefinidamente sin consecuencia deja de ser límite y se convierte en una cifra informativa.

El comité no es propietario de todos los riesgos

Otra falla común consiste en afirmar que el comité “administra” los riesgos. En realidad, la responsabilidad operativa debe permanecer en las áreas que generan y controlan la exposición. Tesorería administra liquidez; tecnología atiende ciberseguridad; operaciones controla continuidad; jurídico supervisa determinadas contingencias; recursos humanos gestiona riesgos de talento y laborales. El comité no sustituye a ninguna de estas áreas.

Su función es revisar la arquitectura completa. Debe verificar que cada riesgo material tenga un responsable, que exista una respuesta definida, que los controles sean adecuados y que los cambios importantes sean comunicados. También debe identificar interdependencias que las áreas individuales pueden no observar. Una falla de proveedor, por ejemplo, puede ser simultáneamente un riesgo operativo, financiero, contractual y reputacional. El valor del comité consiste en construir esa visión transversal.

La administración cotidiana corresponde al director general y a su equipo. El consejo supervisa. El comité profundiza y formula recomendaciones al consejo. Mantener estas fronteras protege la rendición de cuentas. Cuando el comité empieza a diseñar controles detallados, seleccionar proveedores o resolver incidencias operativas, deja de supervisar a quienes deberían hacer ese trabajo y corre el riesgo de convertirse en una administración paralela.

La información debe privilegiar cambios, concentraciones y excepciones

Los consejos pueden quedar saturados por información de riesgo. Cientos de indicadores, semáforos y mapas provocan una paradoja: cuanto más material reciben, menos claro resulta qué merece atención. El comité debe ayudar a filtrar sin ocultar. Un reporte útil debería contestar preguntas concretas: ¿qué cambió desde la sesión anterior?, ¿qué riesgo aumentó materialmente?, ¿qué límite fue excedido?, ¿qué control dejó de funcionar?, ¿qué exposición emergente no se encontraba anteriormente en el mapa?, ¿qué plan de remediación está retrasado? La tendencia importa más que una fotografía aislada. Un riesgo amarillo durante cuatro trimestres sin respuesta puede ser más preocupante que uno rojo que apareció ayer y ya cuenta con un plan robusto.

Una organización puede sobrevivir a un riesgo que decidió asumir conscientemente; resulta mucho más vulnerable frente al riesgo que nadie reconoció, nadie midió o todos supusieron que correspondía supervisar a otra persona.

Debe evitarse también una cultura en la que todas las áreas procuren mantener sus indicadores en verde para no recibir cuestionamientos. Un semáforo rojo oportunamente identificado puede ser señal de buen gobierno; esconderlo para preservar una presentación favorable es precisamente lo contrario. El comité debe crear condiciones para que las malas noticias lleguen antes de convertirse en crisis.

Los riesgos emergentes requieren una agenda distinta

La administración integral de riesgos tradicionalmente se concentraba en exposición financiera, operativa y legal. Esa clasificación continúa siendo válida, pero resulta insuficiente frente a la velocidad con la que han aparecido riesgos tecnológicos, climáticos, geopolíticos, reputacionales y de capital humano.

El Código de Principios y Mejores Prácticas de Gobierno Corporativo (CPMPGC), edición 2025, del Consejo Coordinador Empresarial (CCE) incorpora expresamente como principio la identificación, administración, control y revelación de riesgos estratégicos, relacionándolos con sostenibilidad y resiliencia. También recomienda procesos claros para identificar, prevenir, detectar y mitigar exposiciones como ciberseguridad, continuidad del negocio, cambios regulatorios, disrupciones del modelo, cambio climático, cadena de suministro, movimientos geopolíticos, reputación, corrupción, fraude, ausencia de planes de sucesión y riesgos psicosociales, entre otros.

Este catálogo resulta útil precisamente porque obliga al comité a mirar más allá de aquello que puede expresarse inmediatamente en pesos. No todos los riesgos estratégicos tienen una valuación exacta en el momento en que aparecen. La dependencia tecnológica, el deterioro reputacional o la incapacidad para sustituir al director general pueden parecer abstractos hasta que se materializan. El gobierno debe evitar esa falsa comodidad de considerar relevante únicamente lo que ya puede contabilizarse.

El CPMPGC debe identificarse, nuevamente, como referencia de mejores prácticas y no como legislación que impone automáticamente a toda sociedad la constitución de un comité determinado. El CCE señala que el Código está diseñado para adaptarse a entidades de distinta naturaleza, tamaño y composición accionaria. Esta proporcionalidad es precisamente lo que permite utilizarlo sin convertirlo en un molde rígido.

La relación con auditoría y cumplimiento debe evitar duplicidades

Comité de riesgos y comité de auditoría suelen encontrarse cerca. En algunas empresas pueden incluso integrarse en un solo órgano. La decisión depende de complejidad y carga de trabajo. Lo importante es comprender que existen zonas de intersección: control interno, cumplimiento, fraude, información financiera, auditoría interna y determinados riesgos operativos pueden interesar a ambos.

La solución no consiste en discutir dos veces el mismo asunto. Debe existir una asignación clara. El comité de auditoría puede concentrarse en integridad de información financiera, auditoría, controles y determinados temas de cumplimiento; el de riesgos puede profundizar en exposición estratégica, apetito, límites, concentración, continuidad y riesgos emergentes. En empresas más pequeñas, un solo órgano puede atender ambas funciones si dispone de capacidades suficientes y una agenda adecuadamente diseñada.

El CPMPGC 2025 agrupa precisamente en una misma función diversos aspectos de riesgos y cumplimiento, recomendando evaluar políticas y manuales, matrices de riesgos y controles y proporcionar al consejo opiniones sobre prioridades. Ello refuerza una idea importante: la estructura del organigrama es secundaria frente a la calidad del proceso. Dos comités deficientes no son mejores que uno bien diseñado.

La composición del comité debe responder a los riesgos reales

Integrar un comité de riesgos exclusivamente con perfiles financieros puede ser insuficiente para una compañía cuyo principal riesgo es tecnológico. Del mismo modo, un órgano compuesto únicamente por abogados podría no tener las competencias necesarias para analizar liquidez, coberturas o exposición de mercado. La composición debe partir del mapa de riesgos y de las capacidades del consejo.

Esto no implica que cada especialista deba convertirse en consejero. El comité puede invitar a directivos, asesores y expertos cuando la materia lo requiera. La capacidad fundamental de sus integrantes consiste en comprender interacciones, formular preguntas y mantener juicio independiente. El especialista explica; el comité evalúa; la administración responde; el consejo decide cuando corresponda.

La presidencia es particularmente importante. Debe tener capacidad para mantener conversaciones con el director general y con responsables de riesgo sin transformar la relación en confrontación. También necesita autoridad para elevar asuntos al consejo aunque la administración considere que todavía pueden resolverse internamente. La independencia de criterio cobra aquí especial importancia porque muchos de los riesgos más peligrosos son aquellos que implican cuestionar una estrategia promovida por personas con enorme poder dentro de la organización.

Riesgo y compensación no deberían vivir en universos separados

Una empresa puede diseñar un excelente sistema de riesgos y neutralizarlo mediante incentivos económicos. Si la compensación premia crecimiento sin considerar calidad, puede fomentarse concentración excesiva de clientes; si paga únicamente por volumen de crédito, puede deteriorarse la selección; si recompensa cierres de contratos sin considerar cumplimiento, puede elevarse exposición legal o de integridad.

El comité debería revisar periódicamente si los incentivos son consistentes con el apetito de riesgo aprobado. No significa asumir la función del comité de compensaciones. Significa identificar contradicciones. El consejo necesita saber si está pidiendo prudencia mediante políticas y agresividad mediante bonos. El comportamiento de los ejecutivos suele responder con mayor rapidez al incentivo económico que al manual de riesgos.

La misma lógica se aplica a metas presupuestarias. Cuando una unidad enfrenta objetivos inalcanzables, aumenta la posibilidad de que recorte controles, difiera mantenimiento o asuma riesgos que nunca llegarán al consejo. El comité debe comprender las presiones que rodean la toma de decisiones, no limitarse a revisar exposiciones aisladas.

Continuidad y crisis: probar antes de necesitar

Uno de los riesgos que mejor demuestra la diferencia entre documento y capacidad real es la continuidad del negocio. Muchas empresas cuentan con un plan archivado que nadie ha utilizado desde que fue preparado. El comité debería preguntar cuándo se probó por última vez, qué escenarios se utilizaron, cuánto tiempo tardaron los sistemas en recuperarse y qué dependencias críticas fueron identificadas.

Los simulacros pueden abarcar ciberataques, pérdida de instalaciones, interrupción de proveedores, ausencia de ejecutivos, crisis reputacional o fallas tecnológicas. No buscan predecir exactamente la próxima crisis. Su propósito es comprobar si las responsabilidades y comunicaciones funcionan bajo presión. El CPMPGC 2025 incluye expresamente la ausencia de planes de continuidad, manejo de crisis y recuperación de información dentro de los riesgos que deben ser identificados y mitigados.

Cuando un ejercicio revela fallas, eso no constituye fracaso. El fracaso sería descubrirlas durante el evento real. La organización debe tratar el simulacro como una oportunidad de aprendizaje y exigir que las acciones correctivas se cierren.

La función del consejo permanece intacta

El comité debe evitar convertirse en una barrera detrás de la cual el consejo delegue su comprensión del riesgo. Una frase como “eso ya lo revisó el comité” no debería cerrar la conversación cuando la exposición es material. Los integrantes del consejo necesitan comprender los principales riesgos, conocer el apetito aprobado y saber qué decisiones pueden alterar sustancialmente la posición de la sociedad.

El presidente del comité debe reportar no sólo las reuniones celebradas, sino las conclusiones relevantes: cambios de exposición, límites excedidos, incertidumbres importantes, desacuerdos con la administración y recomendaciones. Un reporte demasiado técnico puede resultar tan inútil como uno demasiado superficial. Su objetivo consiste en traducir complejidad en información suficiente para tomar decisiones.

Las actas también deben conservar evidencia de los asuntos sustantivos analizados y de las recomendaciones emitidas, especialmente cuando exista una exposición extraordinaria. No se trata de redactar transcripciones, sino de demostrar que la deliberación ocurrió y que el órgano ejerció razonablemente la función para la que fue creado.

El riesgo se gobierna antes de materializarse

La verdadera calidad del comité no puede medirse por el número de matrices producidas, reuniones celebradas o indicadores revisados. Debe observarse en la capacidad de la organización para reconocer exposiciones antes de que se vuelvan incontrolables, asignar responsables, modificar decisiones cuando cambia la información y aprender de incidentes y casi incidentes.

Un comité eficaz no transforma al consejo en enemigo del riesgo. Al contrario: le permite asumirlo con mayor inteligencia. Puede apoyar decisiones agresivas cuando existe capacidad financiera, operativa y humana suficiente para absorber sus consecuencias; y puede advertir que una oportunidad aparentemente extraordinaria excede los límites que la propia sociedad decidió establecer.

Esa combinación de apertura empresarial y disciplina es fundamental. Una organización que nunca asume riesgo puede estancarse; una que lo asume sin medir puede desaparecer. El gobierno corporativo se encuentra precisamente entre ambos extremos.

El comité de riesgos alcanza su verdadero propósito cuando deja de ser el lugar donde se reportan problemas y se convierte en el espacio donde la incertidumbre se transforma en una conversación estructurada sobre estrategia, límites, responsabilidades y capacidad de respuesta. Su aportación no consiste en predecir todos los acontecimientos adversos, tarea imposible, sino en asegurar que la sociedad desarrolle suficiente conciencia y resiliencia para enfrentar aquellos que inevitablemente ocurrirán.