Dentro de este artículo:
Introducción
La evaluación y análisis de los riesgos en toda organización mejora la toma de decisiones y disminuye la incertidumbre con relación al cumplimiento de las iniciativas y objetivos estratégicos en la operación.
Al hablar de incertidumbre, hacemos mención de algo que no conocemos, es decir una condición sobre la que no estamos seguros; y es precisamente donde el factor de riesgo toma forma dentro de una organización, entendiendo por riesgo todo aquello que en caso de suceder limita el cumplimiento de un objetivo.
Si bien los riesgos son parte de nuestra vida, y como dicen: “a mayor riesgo, mayor rentabilidad”, también es verdad que cuando los riesgos se materializan pueden causar afectaciones críticas que pongan en tela de juicio hasta la propia continuidad; de ahí la importancia de conocer, evaluar y analizar los riesgos asociados a nuestra operación.
Cuando la organización está preparada y es capaz de analizar y realizar una gestión eficaz de los riesgos que le atañen, podrá alinear expectativas y equilibrar el grado de exposición al riesgo en miras de optimizar las capacidades en la generación de valor.
Sin embargo, no siempre le dedicamos tiempo a este análisis, ya sea por creer que para su desarrollo se requieren de mecanismos complejos o bien, simplemente por que no somos conscientes de la importancia y beneficios que a través de la evaluación y análisis de riesgos estratégicos podemos obtener.
En este sentido, en los siguientes párrafos buscamos compartirle elementos suficientes que le permitan conocer y entender cómo aplicar un modelo de gestión de riesgos aplicable propiamente a su organización, o bien, por que no, como un elemento complementario en su propuesta de valor, si es que usted se dedica a la prestación de servicios profesionales.
Modelos de Gestión de Riesgos
Los Modelos de Gestión de Riesgos no son otras cosas mas que estructuras que se utilizan para identificar, nombrar y describir los riesgos que pueden afectar a la entidad bajo una misma taxonomía y criterios de evaluación, para que, a partir de ese lenguaje común, se pueda definir el apetito de riesgo, es decir, la cantidad de riesgo que estamos dispuestos a aceptar y sobre esta base, alinear y definir estrategias para su administración, previendo:
- Evitarlo.- Definiendo acciones para dejar de hacer las actividades que generan el riesgo.
- Reducirlo.- Tomando acciones para mitigar el impacto, la probabilidad de ocurrencia o ambos, comunmente mediante ajustes al proceso o la implementación de controles preventivos y detectivos asociados a la operación.
- Compartirlo.- Realizando acciones para reducir el impacto o probabilidad de ocurrencia al transferir o compartir una porción del riesgo.
- Aceptarlo.- No se toman acciones que afecten el impacto y probabilidad de ocurrencia del riesgo.
Modelo de Riesgos Empresariales (Business Risk Model)
Un modelo práctico y útil a nivel estratégico, es el denominado “Business Risk Model” o Modelo de Riesgos Empresariales, que integra y define más de 70 riesgos que pudieran afectar a cualquier organización, enmarcándolos en tres grandes bloques conforme lo siguiente:
- Riesgos del Entorno.
- Riesgos de los Procesos.
- Riesgos de la Información para la Toma de Decisión.
Riesgos del Entorno
Dentro de los riesgos del entorno se contemplan aquellos riesgos que surgen cuando fuerzas externas pueden afectar la viabilidad del modelo de negocio de la entidad, como lo son los riesgos generados por las acciones o cambios en la competencia, la falta de sensibilidad en la detección de las necesidades de nuestros clientes, el entorno político, el entorno legal y regulatorio, los propios riesgos de la industria, del mercado financiero o hasta pérdidas por catástrofes naturales o guerras.
Riesgos de los procesos
Por su parte, dentro de los riesgos de los procesos, se hace una subdivisión en 4 apartados:
- Los riesgos de las operaciones,
- Los riesgos de delegación,
- Los riesgos asociados a las tecnologías de información, a la integridad, y finalmente
- Los riesgos financieros.
Riesgos de las operaciones
Dentro del primer apartado se encuentran los riesgos que surgen de la propia operación y que por alguna circunstancia se pierden de vista, no se conocen o bien no se administran, poniendo en riesgo el cumplimiento de las estrategias por la generación de fallas o ineficiencias como es la falta de capacidad de no cumplir con la expectativa de nuestros clientes, no contar con recursos humanos capacitados, la fuga de conocimiento, la propia ineficiencia, la falta de capacidad, las brechas de desempeño, la obsolecencia, robo o extravío de mercancía, falta de suministros y abastecimiento, la seguridad y la salud, entre otros.
Riesgos de delegación
Dentro de los riesgos de delegación encontramos aquellos que se generan porque los empleados no son guiados adecuadamente encontrando dentro de ellos la falta de liderazgo, la falta de claridad en los límites de autoridad, fallas en la tercerización de actividades claves, la resistencia al cambio.
Riesgos asociados a las tecnologías de información
Dentro de los riesgos asociados a las tecnologías de información se contempla todo aquello que comprometa la integridad y confiabilidad de la información, como el riesgo de que se genere información irrelevante para la toma de decisiones o no sea correcta, o bien, el riesgo de que no se resguarde de manera adecuada o que la infraestructura no soporte los requerimientos operativos.
Riesgos de integridad
En los riesgos de integridad se enmarcan aquellos que se derivan de la posibilidad de que se generen fraudes o afectaciones patrimoniales a la entidad, ya sea por el propio personal o por terceros, actos ilegales o bien usos inapropiados de los activos.
Riesgos financieros
Finalmente, como parte de los riesgos de los procesos, en el apartado de riesgos financieros se contemplan aquellos riesgos por no manejar adecuadamente el flujo de caja y efectivo, riesgos derivados de cambio en tasas de interés o divisas, o propiamente en la pérdida de patrimonio ocasionada por pérdidas en inversiones en acciones, entre otros.
Riesgos de la Información para la Toma de Decisión.
El modelo de riesgos empresariales o de negocio, contempla en su tercer bloque aquellos riesgos asociados a la información para la toma de decisiones, segmentando los riesgos ligados a la información operacional, la información financiera y la información estratégica, encontrando dentro de los mismos, riesgos asociados a la información que sirve para la fijación de precios, errores u omisiones en contratos, indicadores, presupuestos, información contable, evaluaciones financieras, anásisis de inversión, medición de estrategia, etc.
Una vez identificados y definidos los riesgos, es necesario evaluar su impacto y probabilidad de ocurrencia con la finalidad de alinear los criterios sobre los cuales vamos a medir su criticidad. En este sentido y para efectos prácticos de medir el impacto, se sugieren de tres a cinco niveles que pueden ir de bajo, medio o alto en el caso de establecer 3 rangos, o bien, de nulo, bajo, medio, alto o crítico.
Previendo a su vez, enmarcar en diferentes perspectivas de negocio, como pueden ser el impacto financiero, en las operaciones, en tema de cumplimiento o bien, afectación a nivel estrategia de la organización.
Con relación a la probabilidad de ocurrencia, se deberá, de igual manera, establecer de tres niveles: bajo, medio o alta probabilidad, o bien, si se decide por un modelo de 5 niveles, pensar en una probabilidad nula, baja, moderada, elevada o recurrente, por ejemplo.
Finalmente, sobre estos criterios de evaluación, se deberán revisar, discutir y evaluar el impacto y la probabilidad para efecto de que con base al resultado se definan estrategias para su administración, control y/o monitoreo.
Este modelo contempla riesgos que pueden afectar las decisiones de alto nivel y dar una visión más clara a la Dirección y al Consejo de Administración, además de ser un pilar clave en el establecimiento de un adecuado sistema de control interno, por lo que los invitamos a profundizar en esta y otras herramientas que les permitan mejorar su propia operación mediante la generación de valor mediante una adecuada gestión del riesgo y del control.
Contenido relacionado
CPC Juan Carlos Hernández Padilla
CPC Oliver Fernando Rodríguez Quintero
