1. Redefiniendo el riesgo corporativo bajo la óptica ISO 31000
El Cambio de Paradigma: ¿Qué es realmente el “Riesgo”?
“El riesgo no es una simple amenaza a evitar; bajo la norma ISO 31000, el riesgo se define formalmente como el efecto que la incertidumbre tiene sobre el logro de los objetivos de la organización. Gestionarlo no es un ejercicio de paranoia, sino de claridad estratégica.”
En el actual escenario de volatilidad sistémica, la percepción del riesgo como una “amenaza” que debe ser meramente evitada es un anacronismo peligroso. Para la alta dirección, limitar la gestión a una postura defensiva equivale a ignorar que el riesgo es el reverso necesario de la rentabilidad. Sin una visión rigurosa, los directivos operan a ciegas; por ello, la gestión moderna debe posicionarse como el motor de la resiliencia corporativa, transformando la incertidumbre en una brújula para la toma de decisiones estratégicas.
Bajo la arquitectura técnica de la norma ISO 31000 (Sección 2.1), el riesgo se define formalmente como el “efecto de la incertidumbre sobre el logro de los objetivos“. Esta acepción es disruptiva porque despoja al fenómeno de su connotación puramente negativa: un efecto es cualquier desviación de lo esperado, y la incertidumbre es el estado de deficiencia de información. Al internalizar el principio de que la gestión del riesgo “crea y protege valor” (Principio A), el responsable de esta área deja de ser un “controlador” que restringe la operativa para convertirse en un facilitador estratégico del éxito.
Una gestión proactiva, alineada con la norma, reporta beneficios críticos para el Consejo de Administración:
- Aumento de la probabilidad de lograr los objetivos: Se transita de una cultura reactiva a una dirección estratégica basada en escenarios.
- Mejora de la gobernanza y la confianza de las partes interesadas: Provee una base confiable para la planificación y fortalece la reputación ante inversores y reguladores (beneficio viii de la norma).
- Articulación de la resiliencia organizacional: Permite no solo mitigar la volatilidad, sino emerger fortalecidos de las crisis mediante el aprendizaje organizacional.
Esta transición de rol resulta estéril si no se sustenta en una infraestructura sistémica capaz de erradicar la fragmentación operativa y los silos de información.
2. LA EVOLUCIÓN: Del programa aislado al Sistema de Gestión Sistémico (ISO 37301)
Históricamente, las organizaciones han implementado “programas de cumplimiento” estáticos, compartimentados en silos que generan lagunas de control y redundancias ineficientes. La fragmentación es el principal enemigo de la gobernanza. La vanguardia internacional dicta el paso hacia los Sistemas de Gestión de Compliance (CMS) basados en la Estructura de Alto Nivel (HLS) de ISO, un marco diseñado para integrar el cumplimiento en el ADN operativo.
La evolución desde las directrices de la ISO 19600 hacia los requisitos certificables de la ISO 37301 marca un cambio de paradigma. Este nuevo estándar no solo se limita a cumplir leyes; define las obligaciones de compliance (Sección I.5.2) de forma binaria: los requisitos (obligatorios por ley) y los compromisos (adoptados voluntariamente por ética o estrategia). La integración total mediante la HLS permite:
- Interoperabilidad: Elimina inconsistencias al compartir un núcleo común de definiciones y procesos con otros estándares ISO.
- Gobernanza del Compliance: La centralización de la Función de Compliance (Sección II.3.23) optimiza recursos y reduce drásticamente el “coste de los silos”, permitiendo que los controles cubran múltiples obligaciones simultáneamente.
Esta visión sistémica asegura una seguridad razonable para la entidad, transformando políticas que antes eran documentos muertos en controles vivos. Sin embargo, la solidez de esta arquitectura depende íntegramente de una metodología capaz de capturar con precisión la realidad operativa.
3. RELEVAMIENTO EFECTIVO: El arte de capturar la realidad operativa
La identificación del riesgo (Sección 5.4.2 de ISO 31000) es el cimiento de cualquier sistema de gobernanza; un riesgo no identificado representa una vulnerabilidad fuera de control. El objetivo es generar una lista exhaustiva de eventos que puedan originar, prevenir o retrasar el logro de los objetivos, incluyendo aquellos riesgos asociados a no aprovechar una oportunidad estratégica.
Para lograr un relevamiento de alta fidelidad, la organización debe emplear herramientas técnicas validadas:
- Brainstorming: Para la captura transversal de riesgos emergentes.
- Método Delphi: Para alcanzar un consenso técnico mediante la consulta a expertos, mitigando sesgos individuales.
- Cuestionarios estructurados: Para estandarizar la recolección de datos en todos los niveles operativos.
En este proceso, la eficiencia cognitiva es vital. Por ello, aplicamos la “regla de los 10 miembros” en los talleres multidisciplinarios. Limitar el grupo a un máximo de diez integrantes clave previene la parálisis por análisis y combate la “pereza social” (social loafing), un fenómeno donde el esfuerzo individual decrece al aumentar el tamaño del grupo. Esta restricción asegura que el debate sea ágil y, fundamentalmente, evita la dilución de responsabilidades, permitiendo identificar claramente al propietario del riesgo (Sección 2.7) —aquella persona con la autoridad y responsabilidad por cargo para gestionarlo—. Una vez articulado este mapa de vulnerabilidades, la organización debe definir su postura estratégica ante el riesgo.
4. EL ABANICO DE RESPUESTAS ESTRATÉGICAS: Tratamiento de riesgos post-valoración
El tratamiento del riesgo (Sección 5.5 de ISO 31000) no busca la eliminación utópica de la incertidumbre, sino su mitigación hasta alcanzar niveles de riesgo residual tolerables. Es una decisión de balance entre el coste de implementación y el beneficio esperado, siempre bajo el paraguas de la responsabilidad social y legal.
Existen cuatro respuestas estratégicas que la alta dirección debe orquestar:
- Evitar / Suprimir: La decisión informada de no iniciar o interrumpir la actividad que genera el riesgo.
- Impacto: Protege la reputación frente a riesgos inasumibles, aunque puede comprometer flujos de caja futuros.
- Mitigar: Aplicación de controles para modificar la probabilidad o las consecuencias.
- Impacto: Estabiliza la eficiencia operativa y protege el margen operativo al reducir la severidad de incidentes previstos.
- Transferir / Compartir: Distribución del riesgo con terceros mediante seguros o cláusulas contractuales.
- Impacto: Preserva la solvencia a largo plazo al convertir una pérdida potencial devastadora en un gasto financiero fijo y predecible.
- Aceptar de forma informada: Retención del riesgo cuando el coste de mitigación es prohibitivo o el riesgo es inherente al modelo de negocio.
- Impacto: Requiere un monitoreo constante, ya que una acumulación de riesgos aceptados puede erosionar la confianza del inversor si no se gestiona con transparencia.
Ninguna de estas respuestas es estática, pues el riesgo es una entidad en constante mutación que requiere vigilancia permanente para asegurar la continuidad del negocio.
5. CONCLUSIÓN: La gestión de riesgos como un ciclo vivo y motor de resiliencia
La gestión de riesgos y el cumplimiento no deben visualizarse como un evento administrativo anual, sino como un proceso dinámico, iterativo y capaz de reaccionar ante los cambios (Principio J de ISO 31000). En un entorno donde la única constante es el cambio, la resiliencia solo se alcanza mediante la mejora continua.
La implementación del ciclo PDCA (Planificar-Hacer-Verificar-Actuar) garantiza que el sistema no se vuelva obsoleto. Al planificar sobre la base de riesgos, ejecutar controles, verificar su eficacia mediante indicadores de desempeño y actuar corrigiendo desviaciones, la organización desarrolla una musculatura corporativa capaz de aprender de sus éxitos y fracasos. Esta iteración es la que permite a las empresas líderes no solo sobrevivir a la incertidumbre, sino capitalizarla.
“No todos los riesgos son amenazas. Cuando la incertidumbre juega a su favor, la estrategia corporativa no debe mitigarla, sino enfocarse en la ‘explotación del riesgo’: adaptar la planificación y destinar recursos adicionales para maximizar y capturar el valor de esa oportunidad.”