Riesgos y oportunidades, dos caras de la misma moneda. Por Héctor Lehuedé

Una tarea clave para un programa de gestión de riesgos empresariales: evaluar cuáles se ajustan al apetito de riesgo de la organización y cuáles requieren controles adicionales para reducir el riesgo residual a un nivel aceptable.

Con la reciente aprobación de la Ley sobre Delitos Económicos ha aumentado la atención sobre los riesgos en la gestión empresarial, y los que recaen en los propios directores y gerentes. Lamentablemente, muchas veces esta atención no se traduce en una gestión adecuada, porque está ausente el marco metodológico para abordar dichos riesgos.

Un punto de partida es entender que riesgo y oportunidad son dos caras de una misma moneda. Si hubiese muchas oportunidades sin riesgo alguien más las habría aprovechado ya. Desarrollar una estrategia digital de venta en línea, por ejemplo, es una oportunidad que trae aparejada riesgos de ciberseguridad, de datos y de logística que son totalmente nuevos para un retailer tradicional. Una organización no puede pretender potenciar su canal online si no trabaja en esos riesgos.

Dicho lo anterior, es necesario tener claridad sobre la diferencia entre el “apetito de riesgo” y la “tolerancia al riesgo”, que suelen usarse como sinónimos, y no lo son. Por una lado, está el rol del directorio de establecer el apetito de riesgo para identificar qué oportunidades tomar en persecución de sus objetivos estratégicos y, por el otro, la labor de la administración de implementar controles utilizando la tolerancia al riesgo para mitigar las variables que puedan frustrar el logro de esas metas.

No hay gestión empresarial sin riesgo. El riesgo cero no existe, salvo si uno abandona la actividad. Por eso, las organizaciones deben determinar cuáles aceptar para lograr sus objetivos y qué otros requieren acciones adicionales para evitarlos, mitigarlos (mediante controles) o transferirlos (vía seguros, por ejemplo). Esta es una tarea clave para un programa de gestión de riesgos empresariales: evaluar cuáles se ajustan al apetito de riesgo de la organización y cuáles requieren controles adicionales para reducir el riesgo residual a un nivel aceptable.

El apetito de riesgo es el nivel de riesgo que una organización está dispuesta a aceptar mientras persigue sus objetivos y antes de que se determine que es necesaria alguna acción para reducirlo. Las guías ISO sobre gestión de riesgos lo definen como la “cantidad y tipo de riesgo que una organización está dispuesta a perseguir o retener”. Su función es permitir a las organizaciones determinar cuántos riesgos están dispuestas a asumir (incluidos los impactos financieros y operativos) para innovar en busca de sus objetivos.

La tolerancia al riesgo, por su parte, está relacionada con la aceptación de los resultados de un riesgo en caso de que ocurran, y con la forma en que la organización se hace cargo de ellos. Para eso contará con los recursos y controles adecuados para absorber o tolerar el riesgo dado, expresado en criterios cualitativos y/o cuantitativos (como porcentajes de desviación de presupuestos, plazos, niveles de servicio u otros) que se respaldan con el establecimiento de límites e indicadores clave de riesgo, que permiten que la actividad se mantenga dentro de su apetito de riesgo y en camino a alcanzar sus objetivos.

Así, el apetito de riesgo se trata de “asumir riesgos” y la tolerancia al riesgo se trata de “controlar el riesgo”. Para que el apetito por el riesgo se adopte con éxito en la toma de decisiones, debe integrarse con el entorno de control de la organización a través de la tolerancia al riesgo.

Hoy existe preocupación en muchas organizaciones por sus riesgos de cumplimiento ante la entrada en vigencia de la Ley de Delitos Económicos, y muchas están abrumadas por la cantidad de riesgos que deben incluir en su análisis. Si recordamos lo dicho en los párrafos anteriores, cabe preguntarse qué tipo de riesgo se consideraba, hasta ahora, la comisión de los delitos incluidos en la nueva ley para esas organizaciones.

¿Es que acaso ese riesgo no existía, o simplemente se toleraba porque no traía aparejada consecuencias mayores para la organización y sus líderes, a pesar de los daños que podía causar a los grupos de interés? Mirado así, el esfuerzo que la nueva ley demanda no parece injustificado ni algo que debiera imponerse. Las organizaciones que así lo han entendido desde siempre, y han trabajado para definir y controlar sus riesgos por años, están hoy bien preparadas para enfrentar el nuevo escenario. A las demás, el consejo es aprovechar la oportunidad para mejorar la gestión integral de los riesgos.

Para más contenido After Office, clic aquí.