Las organizaciones han avanzado significativamente en el desarrollo de políticas, metodologías, controles, indicadores y estructuras para gestionar sus riesgos.
También han invertido en capacitación y comunicación para que las personas conozcan sus responsabilidades.
Pero hay un aspecto más difícil de gestionar:
¿Qué ocurre cuando una persona debe tomar una decisión y la función de riesgos no está presente?
¿Identifica una señal de alerta antes de actuar? ¿Escala una situación incómoda? ¿Respeta los límites establecidos cuando interfieren con un objetivo comercial? ¿Comunica un error? ¿Considera las consecuencias antes de decidir?
Es en esas situaciones donde la cultura de riesgos deja de ser un concepto y comienza a hacerse visible.
Una brecha que todavía persiste
Desarrollar esa cultura continúa siendo un desafío, pues diversas investigaciones muestran una distancia entre disponer de estructuras formales de gestión y conseguir que el riesgo esté realmente incorporado en la organización. La investigación global de ACCA, Airmic y PRMIA publicado en el 2023, basada en 1.823 respuestas de profesionales de riesgos y finanzas, encontró que solo alrededor del 60% consideraba que el riesgo se discutía suficientemente en todos los niveles. El estudio también señala que una visión de la gestión de riesgos centrada principalmente en el cumplimiento, así como la presión por alcanzar objetivos de corto plazo, pueden dificultar que el riesgo se incorpore efectivamente en las decisiones y en la estrategia.
Adicionalmente, un estudio publicado por Dürst y Kunz en 2025 señala que evaluar la cultura de riesgos sigue siendo complejo porque se trata de un fenómeno multidimensional y dinámico, difícil de capturar mediante una única herramienta.
Tener un modelo de gestión de riesgos no significa necesariamente haber desarrollado una cultura para gestionar riesgos.
Capacitar no es lo mismo que desarrollar cultura
Una organización podría capacitar al 100% de sus colaboradores y, aun así, tener una cultura de riesgos débil. La capacitación proporciona conocimientos y las políticas establecen responsabilidades, pero la cultura se manifiesta cuando esos elementos influyen efectivamente en cómo las personas actúan y deciden.
Un colaborador puede conocer el límite de exposición aprobado para su área y, aun así, aceptar una operación que lo excede porque el cliente es importante o se acerca el cierre del mes. Conoce la política; su decisión, sin embargo, no la refleja.
La cultura de riesgos no debería evaluarse únicamente por cuánto conocen las personas sobre riesgos, sino también por cómo ese conocimiento modifica sus comportamientos y decisiones.
De “conocer el riesgo” a “decidir considerando el riesgo”
Proponemos analizar cómo el conocimiento del riesgo se traduce en comportamiento mediante cuatro componentes complementarios:
Los cuatro componentes no representan etapas rígidas de madurez. Permiten analizar hasta qué punto el conocimiento del riesgo se traduce en comportamientos y decisiones observables.
Conocer un riesgo no significa haber desarrollado una cultura para gestionarlo. La cultura comienza a hacerse visible cuando ese conocimiento modifica la forma de actuar y se incorpora efectivamente en las decisiones.
Lo que hacen los líderes también construye cultura
La cultura de riesgos tampoco se construye únicamente desde las áreas de Riesgos, Cumplimiento o Auditoría. Las decisiones de los líderes transmiten señales sobre qué comportamientos son realmente valorados.
Una organización puede establecer límites claros de riesgo. Pero si las excepciones se aprueban recurrentemente cuando esos límites interfieren con objetivos comerciales, las personas aprenderán que el límite formal no necesariamente es el límite real. Lo mismo ocurre con el reporte de incidentes: si quien comunica tempranamente un error recibe una reacción negativa, mientras quien lo comunica tarde evita cuestionamientos, las personas aprenderán rápidamente cuál es el comportamiento realmente esperado.
Las personas aprenden la cultura de riesgos observando tanto lo que la organización dice como lo que realmente hace.
Medir cultura requiere mirar más allá de las encuestas
Las encuestas constituyen una herramienta útil para conocer percepciones, pero no deberían convertirse en el equivalente cultural de una lista de verificación.
En un estudio publicado en 2025, Dürst y Kunz analizaron 21 entrevistas cualitativas con expertos en gestión de riesgos y encontraron limitaciones en las evaluaciones basadas exclusivamente en cuestionarios. Entre sus recomendaciones destacan observar la cultura desde diferentes perspectivas y analizar su evolución en el tiempo.
Las diferencias entre lo que percibe la Alta Dirección y lo que experimentan quienes toman decisiones diariamente también proporcionan información sobre la cultura. Los líderes pueden considerar que existe apertura para comunicar riesgos o que el apetito está claramente comprendido, mientras los comportamientos cotidianos muestran una realidad diferente.
Desde esta perspectiva, evaluar la cultura requiere contrastar lo que la organización declara y percibe con evidencia sobre la manera en que las personas actúan y deciden.
Como herramienta de análisis, proponemos observar algunas dimensiones en las que esa diferencia puede hacerse visible:
La diferencia entre lo que una organización declara y los comportamientos que realmente observa puede constituir una de las evidencias más útiles para comprender su cultura de riesgos.
Ninguna de estas señales permite evaluar aisladamente la cultura. Observadas conjuntamente y a lo largo del tiempo, permiten analizar si los principios declarados se convierten en comportamientos reales.
Un estudio de Dürst y Kunz publicado en 2025 documenta precisamente un proceso de un año para incorporar la cultura de riesgos en una institución financiera, combinando diagnóstico, intervenciones y alineamiento con la estrategia organizacional.
La gestión de riesgos no pertenece únicamente a la función de riesgos
Las áreas especializadas desarrollan metodologías, facilitan evaluaciones, monitorean exposiciones y desafían decisiones. Pero no pueden gestionar diariamente todos los riesgos de la organización. Gran parte de ellos se materializa —o se evita— mediante decisiones tomadas en operaciones, tecnología, finanzas, comercial, recursos humanos, compras y otras áreas.
Por ello, una señal importante de madurez es que la gestión de riesgos pueda observarse incluso cuando la función de riesgos no está presente.
El apetito de riesgo ofrece un ejemplo concreto. Puede estar formalmente definido por el Directorio, pero solo adquiere efectividad cuando quienes toman decisiones comprenden sus límites y los utilizan al evaluar alternativas. La cultura contribuye así a convertir el apetito de riesgo en un criterio efectivo de decisión, y no únicamente en una declaración formal.
Una cultura de riesgos efectiva tampoco debería entenderse únicamente como un mecanismo de control. Puede contribuir a mejorar la calidad de las decisiones, acelerar el escalamiento de señales relevantes y fortalecer la capacidad de respuesta y la resiliencia de la organización.
Una pregunta diferente sobre cultura de riesgos
Durante años hemos preguntado si las personas conocen las políticas, han recibido capacitación o comprenden sus responsabilidades. Todas son preguntas necesarias, sin embargo, hay otra pregunta a tomar en cuenta:
¿Cómo sabemos que nuestra cultura de riesgos está influyendo realmente en las decisiones?
Responderla exige mirar más allá de políticas, comunicaciones y encuestas. Implica observar comportamientos, incentivos, señales del liderazgo y decisiones cotidianas.
Porque una cultura de riesgos madura no busca eliminar la toma de riesgos. Busca que las personas comprendan los riesgos que están asumiendo, sepan cuándo actuar o escalar y los incorporen conscientemente en sus decisiones.
En GR&P Consultores ayudamos a las organizaciones a fortalecer su cultura de riesgos, promoviendo que los principios, límites y capacidades de gestión se traduzcan en comportamientos y decisiones consistentes en toda la organización.
¿La cultura de riesgos de su organización se refleja realmente en la manera en que las personas actúan y deciden? Conversemos.
Referencias
• ACCA, Airmic & PRMIA. Risk Culture: Building Resilience and Seizing Opportunities, 2023.
• Dürst, N. & Kunz, J. How to conduct effective risk culture assessments. Journal of Management Control, 2025.
• Dürst, N. & Kunz, J. Embedding risk culture in a financial institution: an action research perspective. Review of Managerial Science, publicado en 2025, volumen 2026.