Aunque todos los frentes son importantes, es claro que algunos desafíos comunes a varias organizaciones establecen una tendencia en el área de riesgo y cumplimiento.

Conocer las tendencias clave para la gestión de compliance en 2024 facilita enfocar el trabajo en esos puntos que representan una preocupación evidente para muchas organizaciones en diversos sectores.

¿Cuáles son las tendencias en riesgo y cumplimiento para 2024?

La comunicación entre lideres en el área de cumplimiento es fluida y dinámica. Esto significa que los profesionales en este campo acostumbran compartir experiencias y preocupaciones.

Es precisamente debido a la compilación de muchas de estas charlas, en foros y escenarios reconocidos, que es posible extractar una serie de preocupaciones comunes, en el área de riesgo y cumplimiento, que ocuparán un lugar prioritario en la agenda durante 2024:

1. Inteligencia artificial

Los profesionales en gestión de riesgo y cumplimiento creen que las herramientas de inteligencia artificial llegan para facilitar el trabajo, automatizar muchas tareas, eliminar el error humano, pero, sobre todo, obtener evaluaciones y análisis en los que no existe la menor posibilidad de un conflicto de intereses o una conclusión sesgada.

No obstante, hay personas que creen que la inteligencia artificial debe ser vigilada con minuciosidad y qué no deben ignorarse los posibles nuevos riesgos que entraña.

Sin duda, las organizaciones que deben analizar grandes volúmenes de datos y registros, encuentran en la inteligencia artificial un aliado invaluable. Los profesionales, en conclusión, aprovecharán las nuevas tecnologías, pero estarán atentos también a la aparición de nuevas amenazas.

2. Legislación y regulación sobre inteligencia artificial

La implementación de herramientas de inteligencia artificial resolverá muchos problemas para la gestión de riesgo y cumplimiento. Pero, de forma paradójica, abre un nuevo frente de preocupación: el cumplimiento con regulaciones y legislaciones incipientes, algunas de ellas aún no publicadas.

2024 verá el nacimiento de la primera versión de un marco jurídico europeo para la Inteligencia Artificial que se enfoca en la protección a los derechos fundamentales, los derechos de autor y los riesgos que preocupan a muchas personas sobre el uso de esta tecnología.

El marco regulatorio busca generar condiciones para un uso seguro de la IA, sin vulnerar los derechos o la intimidad de las personas. Es una primera versión, que seguramente tendrá actualizaciones en los próximos años. Es claro que se trata de una nueva fuente de obligaciones de cumplimiento, razón para considerarla como una preocupación real en el año 2024.

3. Seguridad de la información y ataques cibernéticos

La ciberseguridad es una preocupación que ha estado en la agenda de los oficiales de cumplimiento y de la Alta Dirección de cualquier organización en años recientes. 2024 no será muy diferente.

Los sectores que muestran una alta vulnerabilidad, como seguros, sanitario, banca y software, no mostrarán una variación significativa en su nivel de riesgo. Pero la ciberseguridad también encuentra un factor de riesgo en el trabajo remoto que, tras la emergencia sanitaria, se mantiene en muchas organizaciones.

Las infracciones o intromisiones de seguridad tienen un alto coste para las organizaciones. Corporaciones de reconocida importancia pagan altas sumas en sanciones, sin mencionar el impacto que los ataques cibernéticos tienen sobre la reputación.

4. Regulación europea para la debida diligencia

La debida diligencia, además de los tradicionales criterios de vínculos y posibles conflictos de intereses, ahora busca establecer que el tercero cumple con normas sobre protección de los derechos humanos y se esfuerza por cuidar el medio ambiente.

Pero la debida diligencia enfocada en estos temas no solamente tiene alcance sobre el tercero. Sigue la cadena de suministro, incrementando de forma notoria el riesgo de cumplimiento.

La Directiva de Debida Diligencia de Sostenibilidad Corporativa, CS3D, entrará en vigencia en 2024 y, sin duda, representa un nuevo reto para los oficiales de cumplimiento y sus equipos de trabajo.

5. Necesidad de incorporar tecnología a la gestión de riesgo y cumplimiento

El aumento de regulación, normas y leyes, hace prever un incremento sustancial de trabajo en el área de cumplimiento. Las exigencias planteadas en temas como debida diligencia, que es la actividad que mayores tareas repetitivas demanda, pone el foco nuevamente sobre la necesidad de automatizar la gestión.

Las organizaciones, particularmente en la Alta Dirección, ven con recelo la posibilidad de aumentar la planta de trabajadores, cuando se trata de engrosar las filas de la oficina de cumplimiento.

Hay algo de razón en ello: la oficina de cumplimiento no vende. Lo hacen los especialistas en el área comercial. Pero contratar personal no es la única opción. Automatizar la gestión es el camino medio que permite satisfacer las necesidades de cumplimiento con mayor eficiencia, con el mismo número de personas a cargo.

Software ISO 37301 de ISOTools

Aumentar la eficacia de la gestión de cumplimiento, disminuyendo el consumo de recursos, es el propósito del Software ISO 37301 de ISOTools. La digitalización es el camino hacia una gestión productiva, que elimine riesgos de cumplimiento y entregue un marco de operación seguro para la organización.

El software está listo para automatizar las tareas cotidianas de la gestión. Esta plataforma, basada en la nube, ha sido diseñada para asumir con eficiencia los retos que plantea la gestión de cumplimiento cada año. Para el año 2024 estamos más listos que nunca. Compruébalo aquí.

La entrada 5 Tendencias clave en riesgo y cumplimiento en 2024 se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Se considera que la gestión de riesgos corporativos es madura cuando la organización asume riesgos para los que está preparada, aprovecha oportunidades y toma las mejores decisiones, con base en la información proveniente de su Sistema de Gestión de Riesgos.

Si es así, el Sistema será maduro. Pero de esto se tiene certeza cuando se utiliza el modelo de madurez de riesgos. ¿En qué consiste este modelo, cuáles son las etapas en las que se desarrolla y cómo se evalúan sus resultados?

¿Qué es un modelo de madurez de riesgos corporativos?

Un modelo de madurez de riesgos es una herramienta o matriz de evaluación que permite al evaluador establecer un indicador, en este caso de madurez, válido para calificar la gestión o el proyecto evaluado.

Así, una organización obtiene una cifra o una calificación, para su gestión de riesgos. Se podría afirmar, por ejemplo, que la gestión de riesgos corporativos de una organización es muy madura o que alcanza una determinada media de madurez.

En cierto modo, el modelo de madurez de riesgos se parece a una auditoría. Sin embargo, la auditoría no tiene por objeto calificar. Simplemente establece la conformidad o no con unos requisitos, y esto ya plantea una gran diferencia con el modelo de madurez.

¿Cuáles son las etapas del modelo de madurez de riesgos corporativos?

Básicamente, el modelo de madurez de riesgos clasifica la gestión de una organización en cinco etapas:

1. Básico

En esta etapa las actividades propias de la gestión no se documentan y el buen resultado depende de las capacidades específicas de cada uno de los profesionales.

2. Preliminar

Existen ya algunos procesos, aunque no muy exigentes. El principal problema es que la gestión se desarrolla en silos.

3. Definido

Existe un enfoque coherente y unificado para la gestión de riesgos en toda la organización que proporciona una visión real a los directores de área y a la Alta Dirección. Las acciones de tratamiento de riesgos se reservan para las amenazas prioritarias.

4. Integrado

Se generan acciones coordinadas e integradas entre las diversas áreas del negocio, utilizando para ello técnicas y herramientas comunes. Se efectúan mediciones de la eficiencia del Sistema, se producen simulaciones y se presentan posibles escenarios de riesgo. La integración, no obstante, no logra alcanzar a la estrategia corporativa que, en esta etapa, aún se desarrolla en un camino paralelo.

5. Optimizado

En este estado máximo de madurez, la gestión de riesgos corporativos se basa en el contexto y los objetivos de la organización, iniciando con los objetivos estratégicos de negocio. Queda atrás el concepto de lista de riesgos y se toman decisiones estratégicas a diario, basadas en los informes que produce la gestión. Esto aporta confianza y seguridad a los encargados de la toma de decisiones. Se presentan alertas que avisan sobre el exceso de riesgo que se asume, en comparación con el apetito de riesgo definido. La gestión de riesgos corporativos está integrada a todas las áreas de la organización.

¿Cómo funciona el modelo de madurez de riesgos corporativos?

El modelo, por naturaleza autoevaluativo, funciona con la respuesta a unas preguntas esenciales. Algunos profesionales asignan un valor numérico de verdad a cada una de las respuestas y obtienen así un valor que representa el nivel de madurez de su Sistema. Otros, con base en las mismas respuestas, ubican la gestión de riesgos corporativos en alguna de las etapas que ya hemos desglosado.

Algunas preguntas que se consideran en un típico modelo de madurez de riesgos corporativos son:

• ¿Cuál es el apetito de riesgo de la organización? Se trata de determinar cuáles riesgos pueden ser admitidos para alcanzar los objetivos de negocio de la organización.
• ¿La gestión de riesgos corporativos determina las decisiones que toma la Alta Dirección? Identifica la integración entre la gestión de riesgos corporativos y la toma de decisiones estratégicas y cómo influye en las decisiones que toma la Alta Dirección.
• ¿Existe un proceso de gestión de riesgos y, de ser así, cómo funciona? El proceso de gestión de riesgos puede o no estar estandarizado. Igualmente, puede adoptar o prescindir de las mejores prácticas aceptadas para identificar, evaluar, mitigar, eliminar, compartir o monitorear amenazas.
• ¿Cómo se percibe la existencia de un riesgo? En algunos sistemas se identifican los riesgos con los síntomas o efectos de su impacto. Otros funcionan con un enfoque predictivo, basado en posibles escenarios.
• ¿Qué tan ágil es el Sistema para detectar nuevas amenazas o para reconocer cambios en riesgos ya identificados? Se mide la capacidad de la gestión para reaccionar ante cambios imprevistos o aparición de nuevas amenazas. Esto se relaciona con el apoyo tecnológico que acompañe la gestión de riesgos.
• ¿El riesgo es considerado en la planificación de proyectos o definición de objetivos de negocio? Evalúa la capacidad de alineación de la gestión de riesgos con la estrategia de negocios de la organización.
• ¿La gestión de riesgos corporativos tiene alcance sobre la resiliencia de la organización y la continuidad del negocio? Mide el impacto que tiene la gestión de riesgos corporativos en el objetivo de mantener operativa la organización ante la ocurrencia de un evento disruptivo de alto impacto.

Las organizaciones con sistemas de gestión de riesgos corporativos que han alcanzado el grado máximo de madurez, tendrán mayores oportunidades de sobrevivir, aún ante la ocurrencia de amenazas graves. Pero también tendrán mejores indicadores financieros y de desempeño general.

La tecnología tiene un alto impacto en el buen desempeño de un Sistema eficaz de Gestión de Riesgos Corporativos.

Software ISO 37301 de ISOTools

La gestión de riesgos corporativos está directamente relacionada con la gestión de cumplimiento y otras áreas estratégicas. Una y otra requieren un apoyo tecnológico para producir los resultados esperados.

El Software ISO 37301 de ISOTools es una avanzada herramienta diseñada para digitalizar y automatizar sistemas de gestión de compliance, basados en la norma ISO 37301, agregando valor y garantizando una gestión de riesgos moderna, eficaz y que produce información actual y oportuna, además de agilizar y automatizar tareas rutinarias, pero esenciales, como la debida diligencia. Conózcala aquí.

La entrada Modelo de madurez de riesgos corporativos: qué es, qué etapas comprende y cómo evaluarlo se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

En general, las diferentes metodologías para la evaluación de riesgos empresariales se agrupan en dos categorías: cualitativas y cuantitativas. Dentro de estas dos amplias categorías hay varias técnicas específicas de evaluación de riesgos empresariales que puede implementar en su organización. Y que explicamos a continuación.

Evaluación de riesgos empresariales – Beneficios y retos

La evaluación de riesgos es un proceso continuo de identificación, análisis y priorización de riesgos que podrían perjudicar a la organización.

Para administrar el riesgo de manera efectiva, las organizaciones deben identificar todos sus riesgos y luego analizar el impacto potencial y la probabilidad de cada uno. Esta es la base para implementar estrategias que mantengan el riesgo en niveles aceptables. Muchas de estas actividades se realizan dentro del ámbito de la evaluación de riesgos empresariales.

Como principales beneficios de la evaluación de riesgos empresariales se pueden mencionar:

• Comprender los factores de riesgo clave, los tipos de riesgo y las fuentes de riesgo.
• Decidir cuánto riesgo puede tolerar la organización.
• Evaluar el impacto potencial de los riesgos identificados y mitigar este impacto para minimizar el daño potencial.

Utilizar metodologías de evaluación de riesgos eficaces permite discernir la exposición real a diferentes riesgos y compararla con el apetito y tolerancia al riesgo de la organización. Además, son la base para aumentar la percepción sobre los riesgos que pueden afectar la operación corporativa y generar consenso para identificar los riesgos más importantes y tomar las medidas necesarias para mitigarlos.

A pesar de estos beneficios, para muchas organizaciones, la evaluación de riesgos empresariales representa un desafío por muchas razones:

• Falta de consenso en cuanto a qué riesgos se consideran más importantes.
• Poco o ningún apoyo de la Alta Dirección o los propietarios de procesos.
• Falta de procedimientos y buenas prácticas a seguir.
• Comprensión inadecuada de la cultura y el contexto empresarial de la organización.

Evaluación de riesgos empresariales – 5 metodologías de comprobada eficacia

En el área de gestión de riesgos es común utilizar métodos y herramientas de evaluación. La evaluación de riesgos empresariales, no obstante, requiere metodologías afines a la importancia del riesgo evaluado. Estas cinco, han demostrado ampliamente su eficacia:

1. Auditoría de activos

La auditoría de activos es de uso común en el área de TI o de Seguridad de la Información. Sin embargo, también puede ser utilizada cuando se trata de activos como maquinaria y equipamiento, cuando cualquier incidencia sobre estos puede paralizar la operación de la empresa.

El objetivo inicial es inventariar los activos esenciales y los procesos en los que intervienen, y verificar si están protegidos y si esta protección es consistente y eficaz.

La auditoría de activos, como su nombre indica, se enfoca en el sistema, la máquina o la propiedad física que resulta esencial para la producción del bien o servicio, antes que en el proceso o en las personas.

Es una forma fácil y efectiva de garantizar la continuidad del negocio.

2. Árbol de fallas

Una falla o fallo es un evento indeseable. Bien sea que el hecho se haya presentado, o se presuma su ocurrencia, es este el inicio de la construcción del diagrama. Se trata de una herramienta compleja, que añade hojas al árbol al contestar la pregunta «¿por qué ha ocurrido…?».

De las posibles respuestas, se derivan ramas del árbol que terminan cuando se agotan las respuestas. Para construir el árbol se utilizan diferentes símbolos, pero los más importantes son los que representan un evento y los que representan una puerta lógica.

Una puerta lógica es una entrada de información que puede ser expresada en valores binarios 0 o 1 –Falso o Verdadero. Al asignarse una función de valor con estas características, los eventos se pueden conectar hasta llegar a una causa raíz con alto grado de certeza.

Establecida la causa raíz, el proceso sigue el camino habitual en gestión de riesgos: diseñar acciones correctivas, implementarlas, verificar su eficacia y reiniciar el proceso de ser necesario.

3. Árbol de ataque

El árbol de ataque, a diferencia del de fallas, parte del supuesto de que el evento ya ha ocurrido y desde ahí inicia un modelo deductivo para descubrir cuándo, cómo y por qué ocurrió el evento negativo.

Un árbol de ataque se construye siguiendo estos pasos:

• Fijar el nodo principal o superior, que es el hecho que se presume puede ocurrir.
• Como nodos accesorios, derivados del primero, aparecen las personas, organizaciones o actores que tienen la capacidad para realizar el evento negativo, y las razones por las que lo harían.
• En otros nodos se identifican las diferentes formas en que los atacantes podrían lograr su objetivo.
• En un tercer nivel se incorporan nodos con otros objetivos secundarios y, de ser necesario, nuevos actores o atacantes no considerados con anterioridad.
• Luego se evalúa cada una de las formas o rutas de ataque, y se categoriza cada una de ellas, de tal forma que se presente un listado de la más probable hasta la más improbable.
• Con base en el listado anterior, implementar controles o medidas preventivas iniciando con la forma de mayor probabilidad.

4. Evaluación OCTAVE

OCTAVE –Operational Critical, Threat, ASSET and Vulnerability Evaluation– es una metodología de evaluación de riesgos utilizada con frecuencia en el área de TI o de Seguridad de la Información, pero que también ha demostrado gran eficacia en la evaluación de riesgos empresariales.

Aunque OCTAVE se desarrolla en tres fases, comprendiendo ocho procesos en total –4 en la primera, 2 en la segunda y 2 en la tercera-, y esto aporta una complejidad y un grado de sofisticación alto, lo cierto es que lo que se hace en la práctica es seguir un proceso rutinario de gestión de riesgos: identificar amenazas, evaluarlas, establecer impacto y probabilidad, categorizarlas, definir una opción de tratamiento –eliminar, mitigar, compartir o admitir-, implementar las acciones correspondientes y comprobar la eficacia de la gestión.

5. Modelo NIST

NIST es el Instituto Nacional de Estándares y Tecnología, agencia federal norteamericana dependiente del Departamento de Comercio. Es, en cierto modo, el ISO de los Estados Unidos de Norteamérica.

Como tal, NIST también ha desarrollado un marco efectivo para evaluar el impacto y la probabilidad de ocurrencia de riesgos empresariales. Se trata de una metodología compleja que se compila en un documento titulado SP 800-30.

Lo que hace diferente al modelo NIST de las otras herramientas de evaluación de riesgos empresariales que hoy hemos referenciado, es el enfoque estandarizado y rígido que propone, el cual solicita grandes cantidades de información de diferentes fuentes y de alta confiabilidad.

Por su eficacia comprobada, estas son las cinco herramientas para la evaluación de riesgos empresariales más utilizadas. En todas ellas, los requerimientos de información son muchos y muy exigentes.

Uno de los riesgos empresariales más relevantes es, sin duda, el riesgo de corrupción y soborno. En este caso en particular, el apoyo tecnológico resultará esencial para la eficaz gestión de riesgos.

Software ISO 37001 de ISOTools

Estadísticas, informes de gestión y todos los datos e información requeridos para la aplicación de modelos de evaluación de riesgos empresariales se pueden gestionar de forma ágil con el Software ISO 37001 de ISOTools.

Esta solución informática avanzada, permite automatizar tareas tan importantes en la gestión anticorrupción como la debida diligencia, realizando además un seguimiento eficaz e inmediato, utilizando un buen sistema de reporting. Obtenga ahora información completa sobre este software.

La entrada Evaluación de riesgos empresariales: 5 metodologías con eficacia probada se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

La gestión integrada de riesgos corporativos también conocida como IRM –Integrated Risk Management, por sus siglas en inglés– supone un enfoque disciplinado para la gestión de riesgos, apoyada por la tecnología, para identificar y rastrear amenazas, entregando a los líderes de la organización, y de cada área, una comprensión de los eventos o la conjunción de circunstancias que representan un mayor peligro.

Al mismo tiempo, la gestión conjunta de riesgos estratégicos y una visión de negocio coherente y sólida, se constituye en un factor determinante para el éxito de modelos como ESG –Environmental, Social and Governance– y GRC –Gobernanza, Riesgo y Cumplimiento.

Pero aún podemos encontrar otras razones por las cuales las organizaciones necesitan integrar riesgos corporativos con sus estrategias comerciales y que estas últimas sean coherentes, sólidas y sostenibles. Las analizamos a continuación.

Gestión integrada de riesgos corporativos – ¿Qué es IRM?

En el plano teórico, todas las organizaciones, de una u otra forma, realizan una evaluación de sus riesgos. Así, las responsabilidades y peligros que enfrenta una corporación es lo que conocemos como riesgos corporativos.

Algunas organizaciones, por su tamaño y complejidad, realizan una identificación, evaluación, calificación y tratamiento de riesgos corporativos, de forma integral, y es eso lo que conocemos como gestión integrada de riesgos corporativos.

Estas organizaciones identifican sus riesgos corporativos, asignan un propietario a cada riesgo, implementan indicadores clave (KPI y KRI), desarrollan planes para mitigar, eliminar o admitir un riesgo y obtienen una visión integral en tiempo real de la situación de la organización.

IRM genera cultura de gestión de riesgos en todos los niveles de la organización, lo que conduce a que cada decisión se tome considerando posibles escenarios de riesgos, con base en evaluaciones estratégicas.

La importancia de la estrategia de negocio

La estrategia comercial o estrategia de negocio, hace referencia al conjunto de procesos y procedimientos diseñados para satisfacer las expectativas y necesidades de las partes interesadas de la organización, considerando en primer lugar a los clientes.

La estrategia incluye metas y objetivos, que al igual que los procesos, procedimientos y actividades se alinean con los valores, normas, políticas, misión y visión de la organización.

Los objetivos pueden ir más allá de los intereses puramente comerciales. Temas como el gobierno corporativo, incluyendo los riesgos, así como la sostenibilidad, el cumplimiento y la responsabilidad forman parte de una estrategia de negocios sólida.

Diseñar una sólida estrategia de negocios permite comprender las ventajas competitivas de la organización, construir una estructura financiera que apoye la ejecución de los procesos comerciales y operativos, todo ello considerando siempre los riesgos, su probabilidad y su impacto.

Gestión integrada de riesgos corporativos – ¿Por qué requiere una estrategia de negocios sólida?

Hay cuatro razones fundamentales que explican por qué la gestión integrada de riesgos corporativos requiere de una estrategia de negocios sólida:

• Porque la organización puede mapear todas las amenazas que se encuentran en el camino hacia el logro de metas y objetivos, lo que facilita el desarrollo de planes para alcanzar esos objetivos.
• Porque la Alta Dirección tiene la oportunidad de evaluar riesgos desde arriba hacia abajo, identificando diferentes tipos de amenazas en cada nivel de la organización.
• Porque la organización obtiene información valiosa para el desarrollo de sus estrategias comerciales, pero también para identificar y evaluar ventajas y desventajas en diferentes escenarios de riesgo.
• Porque toda la organización, en todos los niveles, asumirá un enfoque en el cumplimiento de los objetivos comerciales, siempre bajo el escenario más seguro de riesgos.

Software ISO 37301 de ISOTools

Dentro de los riesgos corporativos encontramos en un lugar predominante los riesgos de cumplimiento. La gestión de compliance efectiva demanda muchos esfuerzos especialmente en temas como la debida diligencia, que es la principal herramienta que tienen los oficiales de cumplimiento para prevenir los riesgos.

El Software ISO 37301 de ISOTools es una solución informática avanzada, diseñada para automatizar y digitalizar sistemas de gestión de cumplimiento basados en la antigua norma ISO 19600 o en la nueva ISO 37301. Se trata de una herramienta que provee información actual, en tiempo real, adecuada para la toma de las decisiones correctas en todo momento.

Hable con uno de nuestros consultores ahora.

La entrada Por qué la gestión integrada de riesgos corporativos requiere de una estrategia de negocio sólida se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Hay algo muy interesante con respecto al riesgo estratégico: es a la vez un recurso que representa oportunidades que permiten a la organización cosechar importantes recompensas. Por eso es preciso diseñar un plan y crear estrategias eficaces para eliminar amenazas y aprovechar oportunidades.

Pero hay otro aspecto relevante a considerar cuando se habla de riesgo estratégico: muchos profesionales en el área no hacen una adecuada distinción entre el riesgo estratégico y el riesgo operativo. A continuación, explicamos las diferencias, algunos ejemplos y la forma de diseñar un plan para abordar este tipo de amenazas.

Riesgo estratégico – ¿Qué es?

En una definición muy elemental, podemos afirmar que los riesgos estratégicos son aquellos que se derivan de la toma de decisiones de negocio fallidas. Atención a la palabra “fallidas”. No se trata de decisiones erróneas o equivocadas.

Para verlo con un ejemplo, cuando un banco o una entidad financiera ofrece un crédito a una persona u organización, está tomando una decisión comercial correcta, porque ese es parte de los servicios que ofrece y está cumpliendo con sus objetivos de negocio. Pero incurre en un riesgo: y ese riesgo es estratégico. Al conceder el crédito, el banco tomó una decisión comercial correcta, que al final puede resultar fallida si el cliente no puede hacer frente a la obligación de pago que contrae.

Otra definición, en otras palabras: los riesgos estratégicos son los que asume una organización, porque necesita hacerlo, pero podrían resultar en una pérdida considerable.

Pero aún podemos aportar una definición más: el riesgo estratégico es la probabilidad de que la estrategia comercial de una organización fracase. Teniendo en cuenta que la estrategia de negocios es un conjunto de decisiones, el riesgo estratégico equivale a la suma de los riesgos inherentes a cada una de esas decisiones.

Conocer la diferencia entre el riesgo operativo y el estratégico, así como una lista de este tipo de amenazas, resultará aún más ilustrativo.

Diferencia entre riesgo operativo y riesgo estratégico

Los riesgos operativos aparecen cuando alguien hace algo mal. Surgen porque hay un fallo en un proceso, una persona se equivoca o un sistema en general es defectuoso. El riesgo operativo está bajo el control de la organización y esta puede tomar acciones para reparar el problema, eliminar la causa raíz y minimizar o eliminar la posibilidad de repetición.

Tanto el estratégico como el operativo pueden tener consecuencias graves para la organización. Sin embargo, los riesgos operativos están en la órbita de los profesionales en gestión de riesgos. Los riesgos estratégicos suelen escapar a ese radar, y esa es la razón por la que es importante definirlos con precisión y saber cómo abordarlos.

La siguiente tabla permite entender mejor la diferencia entre operativos y estratégicos:

Algunos ejemplos de riesgos estratégicos

Al igual que la gestión de riesgos general o la de riesgos operativos, la gestión de los riesgos estratégicos se basa en identificar, evaluar, tratar y eliminar, minimizar, compartir o admitir el riesgo.

Saber dónde buscar, ayudará a obtener resultados con mayor rapidez. Estas son algunas de las fuentes de amenazas de tipo estratégico recurrentes:

• Cambios en la demanda y preferencia de los consumidores derivados de la decisión de mantener una fórmula, un empaque o, sencillamente, un modelo de producto tradicional.
• Cambios legales y regulatorios que pueden impedir la operación, sacar productos del mercado o hacerlos inviables.
• Aceleración de la transformación digital, lo que produce incapacidad de la organización para adaptarse y asimilar los cambios.
• Procesos de fusión o integración fallidos, debido a falta de compromiso de la otra organización o de capacidad financiera, tecnológica u operativa.
• Cambios en la Alta Dirección, cuando los nuevos miembros no conocen el negocio o tienen ideas novedosas para su operación.
• Riesgo reputacional, ocasionado por incumplimiento normativo, problemas personales de los miembros de la Alta Dirección, de empleados o de contratistas.
• Riesgo de gobernanza, ocasionado por decisiones fallidas en cuanto a gobierno, riesgo y cumplimiento.

¿Cómo diseñar un plan para abordar el riesgo estratégico?

La gestión de riesgos estratégicos, para algunos expertos, debe ser cualitativa antes que cuantitativa. Esta primera elección, representa ya un reto para los profesionales en gestión de riesgos.

Un enfoque cualitativo, sabemos, no deja de ser subjetivo lo que lo pone en desventaja con la contundencia de los resultados basados en cifras. Pero, por otra parte es interesante reconocer que, por ejemplo, el riesgo político, que se enmarca dentro de la categoría de riesgos estratégicos, no admite una evaluación cuantitativa.

Ejemplos hay más. Lo importante, por el momento, es diseñar un plan de acción efectivo, lo cual se facilitará siguiendo estos pasos:

1. Definir los objetivos comerciales y la estrategia

Las organizaciones utilizan diferentes marcos para planificar estrategias. El análisis DAFO o FODA es una de esas herramientas. Pero también existen modelos de análisis que ofrecen una visión holística e integral.

Estas herramientas, sin embargo, solo sirven para procesar información y evaluarla. Por sí solas no abordan riesgos o diseñan estrategias. Esto lo hacen los profesionales en el área, mediante la planificación.

Al planificar, tenemos la oportunidad de definir los objetivos comerciales y, con ellos, identificar los riesgos que pueden amenazarlos.

2. Establecer indicadores de medición y rendimiento

Los KPIs efectivos ofrecen información valiosa para identificar amenazas. Medir la eficacia de los procesos, el progreso de las tareas y el avance en el logro de objetivos son, entre otras, funcionalidades que proporcionan los indicadores de medición y rendimiento.

3. Recopilar datos sobre el riesgo estratégico

Las entrevistas con ejecutivos y miembros de la Alta Dirección ofrecen una visión valiosa sobre los riesgos estratégicos, ya que son ellos los que lo tienen más cerca. Esto permite a los profesionales encargados mapear procesos y establecer alertas en tiempo real, eliminando cuellos de botella que se generan al iniciar el trabajo desde niveles inferiores.

4. Identificar riesgos que afectan la estrategia comercial

Básicamente, se trata de responder a la pregunta «¿qué puede amenazar el éxito de la organización?». Algunos factores de riesgo pueden ser internos y otros externos. Un fallo en la cadena de suministro, por ejemplo, puede convertirse en una amenaza estratégica de orden externo.

5. Construir un perfil de riesgo estratégico

Con la información recopilada en los cuatro pasos anteriores es posible construir un perfil de riesgo estratégico para la organización. Será posible mostrar una lista o un mapa de calor, para presentar los principales riesgos y su calificación de acuerdo con la probabilidad de ocurrencia y el impacto negativo.

6. Elaborar el plan de acción

Este es el objetivo principal del proceso. Aquí, los profesionales encargados definen cómo planean enfrentar, mitigar, compartir o tolerar las amenazas identificadas. Eso incluye definir métodos específicos para gestionar los riesgos de manera sistemática.

7. Comunicar e implementar el plan

Con la tarea hecha, lo que resta es compartir el mensaje en toda la organización, por supuesto iniciando por la Alta Dirección. Como todos los procesos de generación de cultura, este también inicia desde arriba hacia abajo. Esto permite que se asuma la gestión con la voz superior de los Altos Directivos.

La gestión de riesgos estratégicos es un factor determinante para el éxito de la gestión de cumplimiento. Son los profesionales formados en este campo, asistidos por herramientas tecnológicas, los llamados a enfrentar el riesgo estratégico. Conozcamos, finalmente, una herramienta muy útil para hacerlo.

Software ISO 37301 de ISOTools

La gestión de cumplimiento eficaz es un gran aliado para la prevención y tratamiento de los riesgos estratégicos. La debida diligencia, por mencionar una de las propiedades de la gestión de cumplimiento, mitiga o elimina muchas amenazas de este tipo.

Pero la gestión de cumplimiento implica asumir muchas tareas, algunas muy dispendiosas, especialmente en lo relacionado con la debida diligencia. El Software ISO 37301 de ISOTools es una herramienta eficaz, basada en la nube, diseñada para automatizar tareas y procesos, generar informes inmediatos, mapas de calor y toda la información que requieren los oficiales de cumplimiento y la Alta Dirección para tomar las decisiones correctas, en el momento indicado.

Obtenga información adicional sobre este producto sin ningún compromiso.

La entrada Qué es el riesgo estratégico y cómo diseñar un plan para abordarlo se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Si bien, como en muchos otros campos de trabajo, existen diversas teorías y enfoque con los que se asume la tarea.

¿Proactiva o reactiva? Es la disyuntiva que se plantea en muchos escenarios de gestión de riesgos corporativos, y que hoy traemos a nuestro espacio tratando de incorporar argumentos útiles para la discusión.

Gestión de riesgos corporativos – Diferencia entre proactiva y reactiva

En gestión de riesgos corporativos, la estrategia reactiva se suele asimilar a un escenario de “extinción de un incendio”. Esto significa que la gestión reactiva entra en acción tan pronto se presenta el problema.

La gestión proactiva, en contraposición, intenta predecir un hecho o escenario adverso, y tomar medidas para evitar que ocurra, minimizando su impacto, trasladando el efecto negativo o simplemente tolerándolo porque representa una oportunidad mucho más ventajosa en comparación con el coste de tratar la amenaza.

Sin duda se trata de dos enfoques opuestos, pero no necesariamente excluyentes, que pueden llegar a ser complementarios y colaborativos. Veamos:

Estrategias de gestión de riesgos corporativos reactivas

La gestión reactiva de riesgos es un enfoque basado en la respuesta, la cual depende de evaluaciones de incidentes anteriores, hallazgos de auditoría o informes de inspecciones. Esto significa que, aunque el verdadero trabajo inicia con la ocurrencia de un evento negativo, sí hay un trabajo previo que pretende “tener listo el extinguidor” y a la persona adecuada para utilizarlo.

El enfoque reactivo se basa en el postulado de que un hecho de impacto negativo, cualquiera que sea, ocurrirá de forma inevitable, y que resulta mucho más productivo trabajar y esperar a que suceda, pero estar suficientemente preparados para responder ante el impacto.

Este enfoque de gestión de riesgos de forma reactiva no excluye la prevención, aunque sea como mecanismo de reacción. El profesional del riesgo tiene tiempo suficiente para conocer el riesgo, comprenderlo, y aprovisionarse de las herramientas y los recursos que necesitará para atender la emergencia.

Esto parece ir en contraposición de la teoría moderna imperante hoy en gestión de riesgos corporativos, que es en esencia proactiva y enfocada en la prevención. Sin embargo, una estrategia reactiva requiere menos tiempo y menos recursos para la gestión.

Las organizaciones que han basado sus estrategias de gestión de riesgos corporativos en la reacción, suelen tener capacidad para adaptarse con prontitud a los cambios, a trabajar bajo condiciones adversas y, finalmente, a tener mayor capacidad de resiliencia.

Gestión proactiva de riesgos

La gestión proactiva de riesgos es hoy considerada la forma más alta de gestión de riesgos corporativos. El enfoque aquí es hacia la prevención: se trata de identificar amenazas potenciales, o indicadores y señales de un posible peligro, para tomar con anticipación las acciones correspondientes para evitar que ocurra, o minimizar su impacto.

La gestión proactiva es hoy la herramienta fundamental en la implementación de la mayoría de estándares de gestión internacional, entre ellos los de compliance. Un enfoque proactivo implica que los riesgos se revisen, actualicen, supervisen, evalúen y califiquen constantemente.

Una estrategia proactiva proporciona a la organización un marco de seguridad ideal para trabajar, especialmente en organizaciones que operan en sectores altamente regulados, debido a la eficiencia y la efectividad que la caracteriza.

Proactiva vs Reactiva – ¿Cuál elegir?

Hay dos elementos que se deben considerar antes de tomar la decisión. El marco regulatorio y de control al que está sometida la organización, y el apetito de riesgo definido. Es claro que una organización del sector farmacéutico o aeronáutico no puede tomar los mismos riesgos que una industria del sector del entretenimiento, por ejemplo.

Pero, como comentamos anteriormente, no se trata de estrategias necesariamente excluyentes. Tomar todas las previsiones, y aun así, prepararse para enfrentar un evento adverso, puede ser la mejor forma de crear un marco seguro para la operación y para todas las partes interesadas.

La gestión de cumplimiento es, no obstante, un área en la que no se concibe un modelo reactivo, teniendo en cuenta la afectación a la reputación irreversible e irreparable que el incumplimiento puede implicar. De forma que, aquellas organizaciones comprometidas con el cumplimiento, deben adoptar en primera instancia un enfoque proactivo de monitorización constante de amenazas y tratamiento de riesgos, al tiempo que disponen los recursos de respuesta para situaciones impredecibles.

Software ISO 37301/19600 de ISOTools

Las estrategias de gestión de riesgos corporativos en el área de cumplimiento, requerirán para su eficacia de información puntual y precisa. El oficial de cumplimiento encuentra en la tecnología una herramienta invaluable para el cumplimiento de este requisito.

El Software ISO 19600/37301 de ISOTools es una solución tecnológica diseñada para optimizar la gestión y asegurar el cumplimiento de las organizaciones. Para ello, incorpora funcionalidad avanzada que permite automatizar la gestión de compliance y disponer de un cuadro de mando que permita identificar con la inmediatez necesaria puntos críticos o problemas inminentes.

Solicite ahora el asesoramiento personalizado de un consultor para saber cómo impulsar la eficiencia y eficacia de su Sistema de Gestión de Cumplimiento.

La entrada Estrategias de gestión de riesgos corporativos proactivas frente a las reactivas se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Por supuesto, este enfoque de gobierno, riesgo y cumplimiento corporativo produce beneficios. Por ello, hoy en día es en una tendencia dentro del mundo corporativo, de administración de empresas y de gestión de negocios.

Adoptar un enfoque de gobierno, riesgo y cumplimiento en una organización, significa implementar cambios estructurales y trascendentales, procesos y, sobre todo, asumir un enfoque novedoso que forma parte de una nueva cultura.

En el día a día, aplicar una estrategia de gobierno, riesgo y cumplimiento consiste en introducir en la gestión empresarial e institucional un conjunto de buenas prácticas para alcanzar los objetivos de negocio, abordar la incertidumbre y actuar con integridad.

Comprender la recompensa que obtendrá la organización al adoptar este enfoque ayudará a impulsar el proyecto. Por eso, a continuación, explicamos los beneficios que aporta adoptar este enfoque en la administración corporativa.

Gobierno, riesgo y cumplimiento – ¿Qué beneficios aporta a la organización?

El entorno tecnológico, regulatorio y de riesgos es volátil y siempre cambiante. Todos los días tenemos noticias sobre avances tecnológicos, nuevas regulaciones y tendencias en el campo de la administración de las organizaciones.

Gobierno, riesgo y cumplimiento es un enfoque que permite que se tomen decisiones basadas en información de calidad, siempre considerando los riesgos y las obligaciones de cumplimiento.

Esto por supuesto, aporta beneficios, como los siguientes:

1. Mejorar la eficiencia operativa

Un marco GRC lleva a la automatización de procesos comunes, que son monitoreados de forma continua, considerando siempre la exposición al riesgo. El resultado es el incremento de la eficiencia, reducción de esfuerzos duplicados y mejora de los indicadores generales de rendimiento en todas las áreas.

2. Obtener información de mayor calidad

La Alta Dirección, los gerentes y los directores de áreas obtendrán una visión holística del desempeño de la organización en conjunto, lo que permitirá tomar decisiones inteligentes, informadas y con una mayor probabilidad de acierto.

3. Reducir costes

Se reducen los costes de mantenimiento de controles, pruebas, problemas, acciones e informes duplicados en todas las áreas. La reducción de costes aumenta la rentabilidad y se constituye en un argumento para explicar el ROI que representa adoptar el enfoque.

4. Garantizar la transparencia

GRC entrega una imagen completa del desempeño y la gestión en toda la organización, garantizando el acceso y control de la Alta Dirección sobre toda la operación. El resultado es la garantía de que toda la operación se desarrolla bajo las mejores prácticas éticas y de transparencia.

5. Eliminar la duplicación de esfuerzos

Se eliminan procesos, tareas y actividades que no agregan valor a la operación, y se simplifican procedimientos para reducir tiempo y eliminar esfuerzos duplicados. El resultado es un aumento de la eficiencia y de la trazabilidad.

6. Generar estabilidad

La adopción de un enfoque GRC permite que la organización tenga una visión constante y completa de los riesgos a los que está expuesta, permitiendo operar en un entorno seguro, estable y escalable.

7. Facilitar el logro de los objetivos corporativos

Optimizar la gestión de riesgos, asegurar el cumplimiento y adoptar las mejores estrategias de gobernanza, evita el desgaste que ocasiona “apagar pequeños incendios” de forma constante. Esto permite que las personas apropiadas, se ocupen de resolver los problemas sustantivos, asegurando el logro de los objetivos corporativos.

8. Eliminar silos de información

Los silos de información son un gran problema para todas las organizaciones. En estos silos se almacena información inútil e inoperante, que no fluye, no resulta útil para nadie y no produce nada. Las prácticas GRC, con la visión holística que requieren, disminuye la posibilidad de que se creen estos silos de información.

Software ISO 37001 de ISOTools

Adoptar el enfoque de Gobierno, Riesgo y Cumplimiento Corporativo requiere contar con información de calidad y herramientas para automatizar tareas, optimizar el trabajo y eliminar la duplicidad de esfuerzos.

Con el Software ISO 37001 de ISOTools las organizaciones pueden potenciar los beneficios que produce un enfoque de Gobierno, Riesgo y Cumplimiento Corporativo. Esta, que es la mejor solución en el mercado en esta área, está disponible para su organización aquí.

La entrada Principales beneficios de adoptar un enfoque de gobierno, riesgo y cumplimiento corporativo se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.