Gestión de riesgos

¿Qué es la gestión de riesgos y por qué es importante?

La gestión de riesgos es el proceso de encontrar soluciones de gestión adecuadas y aplicar estrategias de gestión de riesgos encaminadas a reducir las posibles pérdidas aprovechando al máximo las oportunidades. Sin embargo, los riesgos corporativos asociados a la empresa, como se sabe, pueden ser muy diversos, desde cuestiones financieras y jurídicas hasta fallos técnicos, accidentes y catástrofes naturales.

Por supuesto, no se pueden prever todos los riesgos, ¡por eso es indispensable aprender a gestionarlos! El éxito de la gestión de riesgos empresariales permitirá a la empresa seguir funcionando incluso en los momentos más críticos, a pesar de las amenazas internas y externas.

Así pues, las principales tareas de la gestión de riesgos son las siguientes

• prever los riesgos y amenazas probables;

• eliminar las posibles causas de los riesgos;

• tomar decisiones anticrisis, así como desarrollar y aplicar estrategias de gestión de riesgos.

Además, la gestión de riesgos explora las relaciones más amplias entre las amenazas potenciales y cómo pueden afectar a los objetivos estratégicos de una empresa en diferentes situaciones y resultados. Por lo tanto, además de eliminar los riesgos, el principal objetivo de la gestión de riesgos es aprender a equilibrarlos. Al fin y al cabo, hay que estar de acuerdo en que algunos riesgos bien pueden justificarse por sí mismos debido al resultado obtenido (por ejemplo, un aumento de los beneficios y de los KPI).

Así, una gestión eficaz de los riesgos produce los siguientes beneficios:

• una mayor concienciación sobre los riesgos en toda la empresa;

• creencia en las metas y objetivos correctos de la empresa;

• cumplimiento más eficaz y exacto de las normativas;

• mejora del rendimiento mediante la aplicación coherente de las herramientas de gestión de riesgos;

• mejora de la seguridad y la protección de la salud de empleados y clientes;

• ventaja competitiva en el mercado.

5 pasos para una gestión de riesgos eficaz

Para tener los riesgos bajo control, los líderes y directivos experimentados siguen cinco pasos básicos en el proceso de gestión de riesgos. Este proceso comienza con la identificación de los riesgos, seguida de su análisis, la determinación de los riesgos más prioritarios y el desarrollo de una estrategia basada en ellos. Pero veamos más detenidamente cada etapa de la gestión de riesgos.

Paso 1. Identificación de riesgos

La etapa inicial de la gestión de riesgos incluye la identificación de las amenazas. Dado que una empresa está expuesta a numerosos riesgos, suelen clasificarse del siguiente modo:

• Riesgos jurídicos y financieros, que también pueden denominarse riesgos de cumplimiento. Implican infracciones de leyes, tratados o normas aceptadas, que pueden acarrear responsabilidades financieras, multas y otras sanciones.

• Riesgos regulatorios. Este tipo de riesgo se refiere al incumplimiento de normas externas o internas relacionadas con cualquier aspecto de la actividad empresarial.

• Riesgos de mercado. Surgen cuando una empresa puede verse influida por factores externos derivados de cambios en las condiciones del mercado, como las fluctuaciones de los precios y los tipos de cambio.

• Riesgos operativos. Así se llama el riesgo de pérdidas derivadas de procesos internos defectuosos y fallos en los sistemas, acciones destructivas de los empleados o acontecimientos externos como el fraude.

• Riesgos medioambientales o naturales. Significan que es probable que se produzcan cambios negativos en el medio ambiente o que los cambios traigan consecuencias adversas. Estos riesgos pueden estar causados por situaciones de emergencia naturales, antropogénicas y tecnogénicas.

Para identificar los riesgos más probables, hay que responder a preguntas clave, a saber:

• ¿En qué estado se encuentra la documentación oficial de tu empresa? Tal vez se hayan introducido recientemente actos jurídicos nuevos o modificados para los que debas estar preparado.

• ¿Cuáles son los resultados de las últimas auditorías, estudios de mercado e informes de seguros?

• ¿Qué acontecimientos han afectado negativamente a la empresa en el pasado? ¿A qué riesgos se ha enfrentado ya? En otras palabras, analiza tus anteriores experiencias negativas con amenazas, pero recuerda las experiencias positivas de superación de los retos.

• ¿Qué riesgos son más probables en la situación actual?

Así pues, hemos superado el primer y principal paso de la gestión de riesgos, sin el cual no podemos pasar a los siguientes. Presta especial atención a la identificación de riesgos. Reserva tiempo extra e invita a los mejores analistas para ello. Sólo entonces puedes pasar a la segunda etapa.

Paso 2. Análisis de los riesgos identificados

Una vez identificado el riesgo, hay que analizarlo. Para ello, debes determinar la magnitud de la amenaza identificada y sus consecuencias para la empresa. Además, debes saber cómo apareció ese riesgo, qué lo hizo surgir y cómo eliminarlo.

Si en el primer paso has conseguido identificar varios riesgos a la vez (como suele ocurrir), debes establecer la prioridad de cada uno de ellos. Puedes determinarla por el nivel de influencia de un riesgo concreto en la empresa en su conjunto y en sus procesos individuales. Al fin y al cabo, cuantos más aspectos del negocio estén en riesgo, mayor será la amenaza para toda la empresa. Por ejemplo, una empresa industrial considerará que los riesgos medioambientales o naturales que puedan surgir como consecuencia de un impacto negativo en el medio ambiente son las amenazas más importantes. Y para el comercio, los riesgos de mercado son los de mayor importancia. Si no se cumple un determinado plan financiero y se superan los costes, la empresa necesitará fondos adicionales, lo que al final puede llevar a importantes recortes presupuestarios, préstamos no deseados o incluso la quiebra.

Los factores que las empresas tienen en cuenta a la hora de priorizar los riesgos son:

• pérdida financiera potencial;

• tiempo perdido o malgastado para eliminar el riesgo;

• disponibilidad de recursos y herramientas para gestionar el riesgo en el futuro.

Este paso ayuda a las empresas a obtener la información necesaria para desarrollar respuestas a las amenazas más comunes.

Paso 3. Evaluación de riesgos

La evaluación del riesgo es un proceso que consiste en identificar posibles tipos de riesgo, evaluar las condiciones para que se produzcan y determinar su impacto en la empresa. Existen dos tipos de evaluación de riesgos: cualitativa y cuantitativa.

La mayoría de los riesgos no son cuantificables y sólo se miden en términos cualitativos. Tomemos como ejemplo el riesgo del cambio climático, que constituye una amenaza para muchas empresas. Así, una evaluación cualitativa incluye el análisis de las características de la manifestación e influencia de los posibles riesgos desde el punto de vista de los especialistas.

Por su parte, la evaluación cuantitativa del riesgo consiste en la determinación numérica de la magnitud de las amenazas individuales. El análisis cuantitativo es más preciso, pero se utiliza sobre todo en proyectos complejos. La mayoría de las veces, los expertos utilizan las evaluaciones cuantitativas para analizar los riesgos asociados a las finanzas, ya que aquí aparecen sobre todo cifras, ya sean beneficios, tipos de interés, indicadores de rendimiento, etc. Las evaluaciones cuantitativas del riesgo son mucho más fáciles de automatizar. También se consideran más objetivas que las evaluaciones cualitativas.

Además, es esencial comprender que una evaluación cualitativa suele acompañar a una cuantitativa. Puedes utilizarlas de forma individual o conjunta, en función del tiempo disponible, el presupuesto y las características de la empresa.

Paso 4. Mitigación de riesgos y garantía de seguridad

Una vez superados todos los pasos (identificar los riesgos, analizarlos y evaluarlos), ¡es hora de actuar! Hay que eliminar o minimizar cada riesgo en la medida de lo posible. Es decir, en esta fase se ponen en práctica soluciones específicas, se planifican y llevan a cabo actividades para eliminar posibles pérdidas.

Empieza por los riesgos más peligrosos. Para mayor claridad, debes elaborar un plan para eliminar o mitigar las consecuencias del riesgo, en el que se describan detalladamente todos los pasos necesarios para reducirlo. Para ello, puedes ponerte en contacto con expertos en el campo al que se refiera el riesgo.

Existen varias estrategias básicas de gestión de riesgos en las empresas:

• Exclusión total

Esta estrategia implica un rechazo absoluto de las acciones peligrosas para reducir a cero la probabilidad de pérdidas. Es más aconsejable utilizar una estrategia de este tipo si el riesgo tiene un impacto potencialmente grande en toda la empresa, por ejemplo, puede llevarla a la quiebra o destruirla. Sin embargo, en este caso, es esencial identificar correctamente las posibles amenazas porque algunos riesgos pueden justificarse por sí mismos e incluso contribuir a aumentar los beneficios de la empresa.

• Prevención y control

En este caso, hay que excluir los riesgos accidentales y minimizar las posibles pérdidas si la amenaza se cumple de repente. Por ejemplo, para evitar la fuga de datos, una empresa debe instalar el software adecuado y garantizar la ciberseguridad.

• Seguros

Cuando ocurre algo que la empresa temía, se indemniza a la dirección. Es decir, los daños que se produzcan por un motivo determinado serán compensados. Por ejemplo, un seguro de responsabilidad profesional ayuda a cada profesional a evitar riesgos personales. Y si trabajan en un sector peligroso, deben cuidar su salud y contratar un seguro de vida.

Paso 5. Seguimiento y evaluación de resultados

A continuación, hay que supervisar tanto la eficacia de la estrategia anticrisis elegida como la aparición de nuevos riesgos. Al fin y al cabo, en el curso de las actividades de la empresa surgen regularmente nuevos peligros y amenazas, por lo que hay que estar constantemente atento a ellos.

Cuando llegue la próxima crisis, es esencial evaluar la eficacia de la decisión anterior. Tal vez debas elegir una estrategia diferente o ajustar la actual. Para saber cómo seguir adelante, es vital llevar un registro, es decir, documentar, analizar y discutir con los compañeros la información sobre los resultados de la aplicación de los métodos de gestión de riesgos.

También hay que tener en cuenta que todas las etapas de la gestión de riesgos están interconectadas y dependen unas de otras, así como de las características de la propia empresa y del mercado. Por lo tanto, hay que considerarlas en el contexto de toda la empresa y aplicarlas basándose en la experiencia existente.

Técnicas de gestión de riesgos

En el primer paso de la gestión de riesgos, existen varios métodos muy eficaces para determinar de la forma más precisa y objetiva posible todos los factores que afectan a la empresa y generan riesgos. He aquí algunos de ellos:

• Elaborar un mapa de riesgos

Un mapa de riesgos es una herramienta para ilustrar un análisis cualitativo y cuantitativo de los peligros y amenazas a los que se enfrenta una empresa, es decir, su representación visual. Este modelo muestra todos los riesgos inherentes a la empresa y visualiza la probabilidad de que se produzcan y la evaluación global del riesgo. Además, muestra las medidas para responder a los peligros y prevenirlos.

En un mapa de este tipo, los riesgos se evalúan utilizando los siguientes conceptos: importancia - probabilidad - causas. Es decir, cada riesgo probable debe clasificarse en una escala que va desde "el menos probable con el menor impacto" hasta "el más probable con el mayor impacto". Estos datos pueden evaluarse en porcentajes o puntos, y la importancia, es decir, las consecuencias de los riesgos, puede expresarse en términos monetarios.

• Análisis DAFO (SWOT)

El análisis DAFO proviene de las siglas en inglés SWOT: strength (fortalezas), weaknesses (debilidades), opportunities (oportunidades) y threats (amenazas). A la hora de medir la eficacia de la empresa, el análisis DAFO te ayudará a identificar los puntos fuertes (lo que da ventaja a la empresa y la distingue de sus competidores), los puntos débiles y las vulnerabilidades. También te ayudará a determinar las circunstancias externas y las amenazas externas (serán diversos riesgos, problemas y crisis a los que puede enfrentarse la empresa).

• El método del árbol de decisiones

Es una de las formas más populares de tomar decisiones en condiciones de incertidumbre. El árbol de decisiones es un método gráfico y permite correlacionar visualmente todos los elementos de la toma de decisiones, sus consecuencias, condiciones y factores del entorno externo. La elaboración de un árbol de decisiones comienza con la decisión más temprana y primaria, tras la cual se desarrollan los posibles resultados y consecuencias de cada una de las acciones. Es decir, el proceso de trabajo es un cierto "aumento de la apuesta", o grados de riesgo. Después, basándose en la información recibida, se vuelve a tomar una decisión, y así sucesivamente hasta que se determinan las consecuencias de todas las decisiones y se minimizan los riesgos.

• El método de la espina de pescado, o diagrama de Ishikawa

Este método es un diagrama que se parece al esqueleto de un pez. El problema en sí se sitúa en la "cabeza", y los factores que influyen en la situación se escriben en las "espinas" del pez. Este esquema permite comprender los procesos empresariales y reducir los riesgos a la hora de planificar las decisiones.

Para evaluar y analizar las amenazas, se pueden utilizar los siguientes métodos:

• Matriz de riesgos e impacto de la gestión de proyectos

Se trata de una tabla que contiene los valores mínimos más significativos de las probabilidades de que se produzca un riesgo y los valores máximos de las consecuencias de estos riesgos. Es fácil ver y evaluar la magnitud del riesgo donde se cruzan las filas y columnas.

• Diagrama de Pareto

El sistema de Pareto es un histograma ordenado descendente que refleja la relación entre los distintos factores de producción. De todo el conjunto de motivos que originan determinadas consecuencias, el diagrama de Pareto permite seleccionar los más importantes, es decir, aquellos cuya influencia es más significativa.

Una vez analizados los riesgos y minimizadas sus consecuencias, se puede utilizar una técnica de planificación más para evitar los riesgos más peligrosos en el futuro. Se denomina "Rueda de Futuros" y es una herramienta que se utiliza para determinar los resultados directos e indirectos de una determinada estrategia, acontecimiento o decisión. La rueda de futuros se basa en el método de la lluvia de ideas e identifica las consecuencias de cualquier decisión tomada mediante una búsqueda colectiva.

Gestión de riesgos empresariales

La gestión de riesgos empresariales (ERM) es una metodología que contempla la gestión de riesgos de forma global, es decir, desde el punto de vista de toda la empresa. Su objetivo es identificar, evaluar y prepararse para posibles pérdidas, peligros y amenazas que interfieran en las actividades y objetivos de la empresa y acarreen pérdidas financieras o daños a la reputación.

Es fundamental comprender que la gestión del riesgo empresarial implica una estrategia común para toda la organización. En otras palabras, no se trata de una decisión específica tomada en una situación determinada, sino de un plan o táctica a largo plazo para trabajar con los procesos empresariales. De su aplicación se encarga cada empleado de la empresa que desempeña determinadas funciones en el ámbito de la gestión de riesgos. Esto implica también la definición de funciones para cada empleado, la división de tareas y ámbitos de responsabilidad, así como dotar a algunos empleados de determinados poderes. De este modo, el éxito de las estrategias de ERM permite reducir regularmente los riesgos financieros, jurídicos, de mercado, operativos y de otro tipo.

Marcos de gestión de riesgos

Durante la formación de la gestión de riesgos, se desarrollaron normas especiales de gestión de riesgos. He aquí algunos de los principales marcos o, como también se les llama, sistemas de gestión de riesgos:

El Marco de Gestión de Riesgos del NIST es una guía federal para que las empresas evalúen y gestionen los riesgos de sus sistemas de información. Fue creado por el Instituto Nacional de Ciencia y Tecnología para garantizar la seguridad de las redes de defensa e inteligencia. Las agencias federales están obligadas a cumplir este sistema de gestión de riesgos, pero las empresas privadas y otras organizaciones también pueden beneficiarse de seguir sus directrices.

COBIT (Control Objectives for Information and Related Technology) también está pensado para la gestión de las tecnologías de la información en la empresa. Fue desarrollado por la Information Systems Audit and Control Association (ISACA) para establecer normas de auditoría adecuadas.

El Marco de CAS (Casualty Actuary Society). La norma fue adoptada por los miembros de la sociedad del mismo nombre, es decir, expertos en el campo de los seguros y reaseguros de bienes, accidentes, finanzas y gestión de riesgos corporativos. Ayudan a las empresas a tomar decisiones estratégicas, operativas y financieras.

También existe un sistema integrado de gestión del riesgo empresarial de COSO Enterprise. La plataforma se desarrolló con la participación de cinco organizaciones miembros de COSO y consultores externos y se lanzó en 2004, tras lo cual se actualizó para resolver los problemas más difíciles de ERM. COSO Enterprise es un conjunto de directrices o normas establecidas para ayudar a las empresas a gestionar los riesgos empresariales. Este sistema define los conceptos y principios clave de ERM y ofrece orientaciones claras sobre la gestión de riesgos. COSO se centra en cinco componentes de un sistema de gestión de riesgos:

• liderazgo y cultura;

• estrategia y fijación de objetivos;

• rendimiento;

• análisis y revisión;

• comunicación e información.

Resumen

En conclusión, podemos afirmar sin temor a equivocarnos que la gestión de riesgos es parte integrante de los negocios. A medida que evoluciona el entorno empresarial moderno, las empresas deben evaluar y reevaluar constantemente los riesgos y su actitud hacia ellos. Pero antes hay que darse cuenta de que la rentabilidad y el éxito de una empresa dependen de los riesgos y amenazas que no se eliminan. Disponer de un sólido sistema de gestión puede ayudar a las organizaciones a identificar los riesgos y prepararse con antelación para afrontar los problemas que surjan. Así pues, es la gestión de riesgos la que permite garantizar el equilibrio necesario entre riesgo y seguridad, lo que permite a las empresas no dejar pasar las oportunidades y minimizar al mismo tiempo las consecuencias negativas.