El consejo no debe predecir el futuro

El riesgo es inseparable de la actividad empresarial. Invertir, financiarse, desarrollar productos, contratar tecnología, entrar en nuevos mercados o adquirir otra compañía implica aceptar incertidumbre a cambio de una expectativa de valor. Por ello, una política de riesgos diseñada exclusivamente para evitar acontecimientos negativos puede entrar en contradicción con la propia estrategia. El gobierno corporativo debe adoptar una perspectiva distinta: identificar qué exposiciones son necesarias para alcanzar los objetivos, cuáles resultan incompatibles con la capacidad financiera y operativa de la organización y qué mecanismos permiten detectar oportunamente cuando el nivel asumido supera aquello que fue considerado razonable. El consejo no administra diariamente cada riesgo, pero necesita comprender aquellos capaces de afectar materialmente estrategia, patrimonio, reputación o continuidad.

Esta distinción evita convertir al órgano en una segunda administración. Corresponde a los responsables operativos gestionar riesgos dentro de sus actividades; las funciones especializadas pueden proporcionar metodología, consolidación y monitoreo; mientras el consejo debe supervisar la arquitectura general y cuestionar las exposiciones relevantes. La responsabilidad del consejo no consiste en impedir que la empresa tome riesgos, sino en procurar que los tome conscientemente, dentro de parámetros razonables y con información suficiente sobre las consecuencias posibles.

El riesgo debe comenzar en la estrategia

Una matriz construida independientemente del plan estratégico termina frecuentemente convertida en un inventario genérico: competencia, economía, regulación, tecnología y talento. Todos son asuntos importantes, pero aportan poco si no se conectan con las decisiones concretas de la empresa.

Si la estrategia contempla expansión internacional, por ejemplo, deberían analizarse exposiciones cambiarias, regulatorias, fiscales, laborales y operativas asociadas. Si depende de una transformación tecnológica, continuidad, ciberseguridad, proveedores y capacidad interna adquieren relevancia particular. La administración de riesgos debe acompañar la estrategia desde su diseño.

El apetito de riesgo necesita lenguaje empresarial

La expresión apetito de riesgo puede parecer excesivamente técnica cuando se presenta mediante fórmulas abstractas. En esencia, busca responder cuánto riesgo está dispuesta a aceptar la organización para perseguir sus objetivos.

La definición puede combinar criterios cuantitativos y cualitativos. Endeudamiento máximo, concentraciones comerciales, liquidez mínima o tolerancia a determinadas interrupciones pueden traducir la intención del consejo en parámetros observables. En otras materias, como integridad o seguridad, la tolerancia puede ser considerablemente menor.

Capacidad, apetito y límites no son equivalentes

La capacidad representa el nivel de riesgo que la empresa podría soportar antes de comprometer seriamente su viabilidad. El apetito debería ubicarse dentro de esa frontera y reflejar cuánto desea asumir. Los límites operativos traducen posteriormente esa decisión a actividades concretas.

Confundir estos conceptos puede conducir a administrar permanentemente cerca del máximo soportable. Que la empresa pueda endeudarse hasta determinado nivel no significa que deba operar habitualmente en él. Conviene preservar márgenes para acontecimientos adversos y oportunidades inesperadas.

Los riesgos necesitan responsables

Una lista donde todos son responsables suele producir el resultado contrario: nadie lo es. Cada exposición relevante debería contar con una persona o función capaz de explicar su evolución, controles y acciones.

Una empresa que pretende eliminar todo riesgo probablemente eliminará también buena parte de sus oportunidades; una que desconoce cuánto riesgo está asumiendo puede comprometer su continuidad sin advertirlo.

El responsable no necesariamente puede eliminar el riesgo. Un director comercial no controla una recesión, pero sí puede administrar concentraciones, márgenes o estrategias comerciales frente a ella. La asignación de responsabilidad debe concentrarse en aquello sobre lo cual la organización puede actuar.

El mapa de riesgos debe priorizar

Registrar cincuenta riesgos como “altos” impide distinguir prioridades. La evaluación debe considerar probabilidad e impacto, pero también velocidad, interdependencia y capacidad de respuesta.

Un evento de baja probabilidad puede merecer especial atención si compromete la continuidad. Otro de elevada frecuencia puede ser administrado mediante procesos ordinarios. La priorización debe dirigir recursos hacia aquello que realmente necesita intervención superior.

Los indicadores deben anticipar, no solamente confirmar

Un indicador de riesgo que se activa después de materializarse el problema tiene utilidad limitada. Conviene identificar señales tempranas: deterioro de cobranza, rotación de personal crítico, concentración creciente, fallas recurrentes, reducción de liquidez o dependencia excesiva de determinado proveedor.

Estos indicadores no predicen con certeza. Su función consiste en generar preguntas antes de que el daño sea irreversible. Los umbrales deben revisarse porque un nivel adecuado bajo determinadas condiciones puede resultar excesivo cuando cambia el entorno.

Las concentraciones suelen permanecer ocultas

Una empresa puede sentirse diversificada porque tiene cientos de clientes y, sin embargo, depender económicamente de cinco de ellos. Lo mismo puede ocurrir con proveedores, bancos, tecnologías, ubicaciones o personas clave.

El consejo debería comprender las principales concentraciones y qué ocurriría si una de ellas desapareciera. No siempre será económicamente razonable diversificar completamente; lo importante es conocer la dependencia y decidir conscientemente si resulta aceptable.

La liquidez merece atención distinta de la utilidad

Una empresa rentable puede enfrentar dificultades si no dispone de efectivo suficiente para cumplir sus obligaciones. Crecimiento acelerado, inventarios, cuentas por cobrar o vencimientos financieros pueden consumir liquidez incluso cuando los resultados contables parecen favorables.

Por ello, los reportes de riesgo deberían incorporar flujo, vencimientos, disponibilidad de financiamiento y escenarios adversos cuando resulten materiales. La liquidez proporciona tiempo para reaccionar; perderla reduce drásticamente las alternativas disponibles.

Los escenarios son más útiles que las falsas precisiones

Asignar una probabilidad exacta a acontecimientos extraordinarios puede producir una apariencia de rigor que los datos no justifican. En muchos casos resulta más útil construir escenarios: ¿qué ocurriría si las ventas disminuyen significativamente?, ¿si el financiamiento deja de estar disponible?, ¿si un proveedor crítico falla?

El análisis debe mostrar consecuencias y posibles respuestas. La finalidad no consiste en pronosticar exactamente el futuro, sino en comprender qué variables pueden quebrar los supuestos estratégicos y qué opciones tendría la organización bajo presión.

La ciberseguridad ya es un riesgo empresarial

Los incidentes tecnológicos pueden interrumpir operaciones, comprometer información y generar responsabilidades jurídicas y reputacionales. Por ello, no deberían permanecer exclusivamente dentro del área de sistemas cuando su impacto potencial es material.

El consejo necesita información traducida a términos empresariales: activos críticos, capacidad de recuperación, dependencia de terceros, incidentes relevantes y principales vulnerabilidades. No necesita administrar configuraciones técnicas, pero sí comprender las consecuencias económicas y operativas.

Los terceros forman parte del mapa

Proveedores tecnológicos, fabricantes, distribuidores, operadores logísticos y asesores pueden concentrar funciones críticas. Externalizar una actividad no significa transferir completamente el riesgo asociado.

La diligencia inicial debe complementarse con seguimiento proporcional. Contratos, alternativas de sustitución, seguridad de información y planes de continuidad pueden adquirir importancia dependiendo del servicio. El riesgo de terceros debe observarse como extensión del modelo operativo.

Los riesgos regulatorios necesitan coordinación

Cambios legales o regulatorios pueden afectar costos, productos, licencias y modelos comerciales. Jurídico y cumplimiento suelen identificar estas exposiciones, pero su tratamiento requiere frecuentemente participación de operación, finanzas y estrategia.

El consejo debería recibir información sobre modificaciones capaces de producir efectos materiales, evitando convertir sus sesiones en revisiones exhaustivas de legislación. La función del reporte es explicar impacto empresarial, acciones necesarias y decisiones pendientes.

La cultura también modifica el riesgo

Los mejores controles pueden ser neutralizados por una cultura que premia resultados a cualquier costo. Presión comercial excesiva, tolerancia a excepciones o temor a comunicar problemas incrementan exposiciones difíciles de capturar mediante modelos cuantitativos.

Denuncias, rotación, auditorías y excepciones pueden proporcionar señales. El consejo debe observar si los incentivos son compatibles con el perfil de riesgo aprobado. La cultura constituye, en este sentido, una parte del sistema de control.

Las crisis revelan la calidad de la preparación

Un plan de continuidad que nunca ha sido probado puede fallar precisamente cuando se necesita. Simulaciones y ejercicios permiten identificar dependencias, responsabilidades y dificultades de comunicación antes de enfrentar un acontecimiento real.

No todas las organizaciones necesitan ejercicios sofisticados. Incluso una discusión estructurada sobre escenarios relevantes puede revelar preguntas fundamentales: quién decide, quién comunica, qué sistemas son críticos y qué autoridad existe para actuar fuera de los procedimientos ordinarios.

La administración debe poder escalar excepciones

Los límites pierden sentido si pueden excederse silenciosamente. Debe existir un mecanismo para informar desviaciones, explicar sus causas y determinar quién puede autorizar temporalmente una excepción.

Una excepción puede ser racional. Una oportunidad extraordinaria puede justificar asumir temporalmente mayor exposición. Lo importante es que la decisión sea consciente, tenga responsable y, cuando corresponda, plazo para regresar a los parámetros establecidos.

El comité de riesgos no sustituye al consejo

Cuando existe un órgano intermedio especializado, éste puede profundizar en metodología, exposiciones y límites. Sin embargo, las principales decisiones estratégicas continúan requiriendo que el consejo comprenda sus riesgos.

Separar estrategia y riesgo entre reuniones diferentes produce una visión artificial. Una adquisición no debería aprobarse primero por sus beneficios y analizar sus riesgos posteriormente. Ambos elementos pertenecen a la misma decisión.

La LGSM y la responsabilidad administrativa

La Ley General de Sociedades Mercantiles (LGSM) no establece para toda sociedad anónima ordinaria un sistema uniforme denominado administración integral de riesgos. Sin embargo, sus artículos 142 y siguientes, relativos a la administración de la sociedad anónima, proporcionan parte del marco dentro del cual los administradores ejercen sus funciones y responsabilidades.

La adopción de mapas, límites, indicadores o comités constituye una herramienta de organización y gobierno que debe articularse con las facultades legales y estatutarias correspondientes. Contar con un sistema de riesgos no sustituye las obligaciones que la legislación atribuya a administradores, consejo, asamblea u órganos de vigilancia.

La LMV exige considerar el régimen específico

La Ley del Mercado de Valores (LMV) establece para las sociedades comprendidas en sus disposiciones responsabilidades y estructuras particulares relacionadas con consejo de administración, control interno, auditoría, información y deberes de diligencia.

Cuando resulte aplicable, la supervisión de riesgos debe coordinarse con dichas competencias y con las disposiciones regulatorias correspondientes. En sociedades no sujetas a la LMV, algunos de estos mecanismos pueden servir como referencia voluntaria, sin atribuirles carácter obligatorio.

El Código y la administración de riesgos

El Código de Principios y Mejores Prácticas de Gobierno Corporativo (Código) constituye una referencia relevante respecto de la identificación, análisis, administración y supervisión de riesgos, así como su relación con control interno, auditoría e información al consejo.

Su utilidad reside en integrar estas materias dentro del funcionamiento ordinario del gobierno corporativo. El riesgo no debería discutirse únicamente después de una pérdida; debe formar parte del análisis previo de las decisiones que pueden generarla.

El consejo debe preguntar qué puede salir mal

Esta pregunta no expresa pesimismo. Constituye una disciplina para identificar supuestos. Toda estrategia importante descansa sobre expectativas acerca de clientes, costos, financiamiento, regulación, personas o tecnología.

Preguntar qué ocurriría si alguno de esos supuestos falla permite comprender vulnerabilidades y preparar alternativas. El objetivo no es detener la decisión, sino conocer mejor aquello que se está aceptando al tomarla.

También debe preguntar qué riesgo existe en no actuar

Una administración de riesgos mal entendida puede favorecer inmovilidad. No invertir, no innovar o no entrar en un mercado también produce riesgos: pérdida de competitividad, obsolescencia y deterioro de talento.

La función del consejo no consiste en adivinar cuál será la próxima crisis, sino en procurar que la organización conozca sus vulnerabilidades y pueda responder cuando los supuestos dejan de cumplirse.

El consejo debe comparar riesgos de acción e inacción. La prudencia empresarial no consiste en escoger siempre la alternativa aparentemente más segura, sino en determinar qué combinación de riesgo y retorno resulta compatible con la estrategia y capacidad de la sociedad.

La madurez en administración de riesgos aparece cuando la empresa deja de preguntar únicamente cómo evitar pérdidas y comienza a preguntarse qué incertidumbres está dispuesta a aceptar para crear valor. El consejo no necesita conocer el futuro; necesita procurar que, cuando éste resulte distinto de lo esperado, la organización conserve capacidad suficiente para reconocerlo, responder y continuar operando.