Un modelo puede estar bien documentado y cumplir formalmente, pero la prueba decisiva es si ayuda a anticipar escenarios, tomar mejores decisiones y responder ante una crisis.

Durante los últimos años, las organizaciones han invertido importantes recursos en fortalecer sus modelos de gestión de riesgos. Han desarrollado políticas, metodologías, matrices, indicadores, comités y reportes periódicos. En muchos casos, además, han incorporado nuevas capacidades como continuidad del negocio, ciberseguridad, gestión de terceros, cumplimiento y resiliencia operacional.

Sin duda, se trata de una evolución positiva.

Sin embargo, en un entorno caracterizado por una creciente incertidumbre, transformación digital, riesgos emergentes y mayores expectativas regulatorias, surge una pregunta que pocas organizaciones se detienen a responder:

¿Cómo saber si el modelo de gestión de riesgos realmente está funcionando?

Muchas organizaciones cuentan hoy con una política de riesgos aprobada, una matriz actualizada, un comité que sesiona con puntualidad y reportes que llegan oportunamente al Directorio. Todo parece estar en orden.

Y, sin embargo, cuando ocurre un evento que ninguna matriz anticipó, la pregunta incómoda aparece de inmediato:

¿Realmente estaba funcionando el modelo, o solo estaba documentado?

Es una distinción que no siempre resulta evidente para quienes lo revisan desde afuera e, incluso, muchas veces, para quienes lo administran desde dentro de la organización.

Tener un modelo no es lo mismo que tener un modelo que funciona

Un modelo de gestión de riesgos puede cumplir con todos los elementos formales —taxonomía, metodología, roles, políticas, indicadores y reportes— y, aun así, no estar generando lo que realmente se espera de él: información útil para tomar mejores decisiones.

Esto ocurre porque, con frecuencia, el modelo fue diseñado para satisfacer un requerimiento regulatorio, atender una observación de auditoría o cumplir con un estándar internacional, pero no necesariamente para responder a la forma en que la organización gestiona sus objetivos estratégicos.

Con el tiempo, el modelo corre el riesgo de convertirse en un ejercicio de cumplimiento: se actualiza porque corresponde, no porque aporte valor.

La diferencia entre ambos escenarios rara vez se aprecia en un manual o en una matriz de riesgos. Se hace evidente cuando la organización enfrenta una situación de incertidumbre y necesita decidir con rapidez.

Cinco señales de que el modelo no está funcionando como debería

1. Los reportes describen el pasado, pero no ayudan a anticipar el futuro

Si el Comité de Riesgos y el Directorio reciben principalmente información sobre eventos ya ocurridos, pérdidas ya registradas o incumplimientos ya identificados, el modelo está funcionando más como un registro histórico que como una herramienta de anticipación.

Un modelo maduro no solo explica lo que ocurrió. Ayuda a identificar cambios en el entorno, detectar tendencias y anticipar escenarios que podrían afectar el logro de los objetivos estratégicos.

2. Las matrices de riesgos no evolucionan, aunque el negocio sí

Cuando una matriz mantiene los mismos riesgos, las mismas evaluaciones y los mismos controles durante largos períodos, suele ser una señal de que el proceso de identificación de riesgos se volvió rutinario y dejó de reflejar la realidad del negocio.

Las organizaciones evolucionan constantemente. Incorporan nuevos productos, nuevos canales digitales, nuevos proveedores, nuevas tecnologías y nuevos marcos regulatorios. El modelo de riesgos debería evolucionar al mismo ritmo.

3. Cada función gestiona sus riesgos por separado

Riesgo Operacional, Continuidad del Negocio, Seguridad de la Información, Ciberseguridad, Cumplimiento y Gestión de Terceros suelen compartir causas, impactos y dependencias.

Sin embargo, todavía es frecuente encontrar organizaciones donde cada disciplina administra sus propios riesgos, indicadores y reportes de manera independiente. El problema es que los eventos reales no ocurren por silos.

Una interrupción tecnológica puede convertirse simultáneamente en un incidente operacional, un problema de continuidad, un evento de ciberseguridad, un incumplimiento regulatorio y una afectación reputacional. Cuando cada área analiza únicamente su propia perspectiva, la organización pierde una visión integral de su exposición al riesgo y limita su capacidad para responder de manera coordinada.

4. Existen indicadores, pero no influyen en las decisiones

Hay KRIs. Hay KPIs. Hay tableros de control.

Pero cuando se revisan las actas del Comité de Riesgos o del Directorio, esos indicadores rara vez modifican el rumbo de una decisión. Se presentan. Se comentan. Se archivan. Y la conversación continúa por otro camino.

Los indicadores solo generan valor cuando ayudan a priorizar, asignar recursos, ajustar estrategias o definir acciones concretas.

5. El modelo no resiste la primera crisis importante

Quizá esta sea la prueba más exigente.

Cuando ocurre un incidente relevante, muchas organizaciones descubren que los planes de continuidad no estaban actualizados, que los roles durante la gestión de crisis no eran suficientemente claros o que la información disponible no permitía dimensionar rápidamente el impacto del evento.

El modelo superó auditorías, revisiones regulatorias y evaluaciones de cumplimiento. Pero no superó la prueba que realmente importa: ayudar a la organización a responder eficazmente cuando más lo necesitaba.

Si alguna de estas señales resulta familiar, no significa necesariamente que el modelo esté mal diseñado. Probablemente significa que dejó de evolucionar al ritmo del negocio.

Más allá del cumplimiento: evaluar la efectividad del modelo

La mayoría de las organizaciones evalúa su modelo verificando si cumple con una metodología, una norma o un requerimiento regulatorio. Esa evaluación es necesaria. Pero hoy ya no es suficiente.

La verdadera pregunta consiste en determinar si el modelo está influyendo en la manera en que la organización toma decisiones.

¿Está ayudando a anticipar riesgos emergentes relacionados con la inteligencia artificial, la creciente dependencia tecnológica, la concentración de proveedores, los cambios regulatorios o las amenazas cibernéticas? ¿Está fortaleciendo la resiliencia de la organización? ¿Está contribuyendo al logro de los objetivos estratégicos?

En línea con los principios promovidos por ISO 31000 y COSO Enterprise Risk Management (ERM), la gestión de riesgos debería evaluarse principalmente por el valor que aporta al proceso de toma de decisiones y no únicamente por el nivel de cumplimiento alcanzado.

Las preguntas que realmente revelan si un modelo funciona

Más que revisar una lista de indicadores técnicos, la efectividad de un modelo de gestión de riesgos puede evaluarse respondiendo con honestidad algunas preguntas:

  • ¿La información de riesgos ha influido en alguna decisión estratégica durante los últimos doce meses?
  • ¿El Directorio podría explicar, sin recurrir a un reporte, cuáles son hoy los principales riesgos que enfrenta la organización?
  • ¿Los dueños de proceso consideran la gestión de riesgos una herramienta para gestionar mejor su negocio o un requisito administrativo que deben cumplir?
  • ¿La organización ha identificado algún riesgo emergente antes de que se materializara o normalmente actúa después de que ocurre el problema?
  • ¿Existe una visión integrada de los riesgos operacionales, tecnológicos, regulatorios y de terceros, o cada área continúa observando únicamente su propia parte del panorama?

Un modelo que funciona no es aquel que tiene más documentos, más comités o más indicadores. Es aquel cuya información se utiliza, de manera consistente, para anticipar escenarios, priorizar decisiones y fortalecer la capacidad de respuesta de la organización.

La reflexión que toda organización debería hacerse

Contar con un modelo de gestión de riesgos bien documentado constituye un excelente punto de partida. Pero no garantiza que esté cumpliendo su verdadero propósito.

Lo realmente importante no es si su organización tiene un modelo de gestión de riesgos, sino determinar si ese modelo le está permitiendo anticipar lo que viene, fortalecer la toma de decisiones y contribuir al logro de los objetivos estratégicos.

O si, simplemente, le está ayudando a justificar lo que ya pasó.

Porque, en un entorno cada vez más incierto, la diferencia entre ambas situaciones puede definir la capacidad de una organización para adaptarse, mantener la continuidad de sus servicios y generar valor de manera sostenible.

¿Y en su organización? ¿El modelo de gestión de riesgos ayuda a anticipar o solo ayuda a explicar lo que ya ocurrió? Me interesa leer su perspectiva en los comentarios.