Una organización puede tener cada uno de sus riesgos individuales evaluados dentro de tolerancia —su matriz “en verde”— y, aun así, desconocer cuánta exposición está concentrando en conjunto.
Durante los últimos años, las organizaciones han avanzado significativamente en la formalización de sus modelos de gestión de riesgos no financieros. Hoy es habitual encontrar taxonomías, metodologías de evaluación, matrices de riesgos, indicadores, apetitos y tolerancias, comités especializados y plataformas tecnológicas para registrar y monitorear información.
Sin embargo, existe una pregunta diferente que no siempre resulta igual de fácil responder:
¿Cuánta exposición a riesgos no financieros está asumiendo realmente la organización?
La diferencia puede parecer semántica, pero no lo es.
Identificar riesgos, evaluarlos individualmente y conocer la exposición que generan sobre la organización son capacidades relacionadas, pero diferentes.
Y algunos estudios recientes sugieren que la brecha entre ellas todavía puede ser significativa.
Mucha información de riesgos, limitada cuantificación de la exposición
La Global Risk Management Survey 2025 de Aon presenta un dato particularmente revelador: solo 14% de las organizaciones encuestadas cuantifica su exposición a sus diez principales riesgos.
El hallazgo resulta especialmente relevante en un contexto en el que los propios estudios internacionales describen riesgos cada vez más interconectados y capaces de generar impactos simultáneos sobre diferentes dimensiones de una organización.
KPMG, por otro lado, aporta otra perspectiva desde la gestión del riesgo de terceros. Su Global Third-Party Risk Management Survey 2026 señala que solo 18% de las organizaciones tiene completamente integrado el riesgo de terceros con su modelo de Enterprise Risk Management, mientras apenas 15% manifiesta un alto nivel de confianza en los datos que sustentan su programa de gestión de terceros.
McKinsey, por su parte, en su estudio global de prácticas de Governance, Risk and Compliance, sitúa la madurez promedio de Risk Management en 2,6 sobre una escala de 4, identificando todavía oportunidades importantes de mejora en capacidades como apetito de riesgo, stress testing y supervisión.
Los tres estudios analizan poblaciones y dimensiones diferentes y, por tanto, sus resultados no deben interpretarse como directamente comparables. Sin embargo, considerados en forma conjunta plantean una señal que merece ser analizada:
Las organizaciones pueden haber avanzado considerablemente en identificar y administrar riesgos sin haber desarrollado al mismo nivel su capacidad para comprender la exposición que esos riesgos generan en conjunto.
Riesgo y exposición no son exactamente lo mismo
Una matriz de riesgos puede permitir determinar que un riesgo operacional tiene exposición alta, un riesgo de ciberseguridad exposición media y un riesgo asociado con un tercero crítico exposición alta.
Esa información es necesaria.
Pero no responde necesariamente otras preguntas:
- ¿Sobre qué objetivos estratégicos convergen esos riesgos?
- ¿Qué procesos o servicios críticos concentran mayor exposición?
- ¿Qué ocurriría si varios riesgos se materializaran simultáneamente?
- ¿Existen dependencias comunes que puedan amplificar diferentes eventos?
- ¿Qué parte de la exposición depende de terceros?
- ¿Cuánto podría cambiar la exposición bajo escenarios adversos?
- ¿La exposición conjunta resulta consistente con el nivel de riesgo que la organización está dispuesta y puede asumir?
El cambio parece pequeño, pero modifica la unidad de análisis.
La gestión tradicional tiende a seguir el siguiente esquema:
Riesgo → Probabilidad → Impacto → Nivel de riesgo
Una visión de exposición necesita incorporar además:
Objetivo → Riesgos relacionados → Interdependencias → Escenarios → Exposición → Capacidad de respuesta
No se trata de sustituir una aproximación por otra. Se trata de reconocer que responden preguntas distintas.
El desafío particular de los riesgos no financieros
Esta diferencia adquiere especial relevancia en los riesgos no financieros.
Un evento de ciberseguridad puede producir una interrupción operacional, afectar clientes, provocar incumplimientos regulatorios, generar pérdidas económicas y deteriorar la reputación.
La indisponibilidad de un tercero crítico puede afectar simultáneamente tecnología, continuidad del negocio, experiencia del cliente y cumplimiento contractual.
Una falla en un proceso automatizado puede generar errores operacionales, decisiones incorrectas, reclamos, impactos regulatorios y pérdidas.
Cada una de estas consecuencias puede estar siendo monitoreada por especialistas diferentes y aparecer en instrumentos de gestión distintos.
Sin embargo, la organización es una sola.
Desde la perspectiva de sus objetivos, la pregunta relevante no es únicamente qué nivel tiene cada riesgo individual, sino qué exposición conjunta generan las diferentes fuentes de incertidumbre que pueden impedir alcanzar esos objetivos.
De la taxonomía a los objetivos
Una manera de avanzar consiste en cambiar temporalmente el punto desde el cual observamos los riesgos.
En lugar de comenzar exclusivamente por las categorías:
Operacional | Ciberseguridad | Terceros | Continuidad | Cumplimiento | Tecnología | Fraude | IA
podemos comenzar también por los objetivos:
Objetivo estratégico → Procesos y capacidades críticas → Exposiciones RNF → Escenarios relevantes → Controles y respuestas
Esto no elimina las especialidades.
La ciberseguridad necesita especialistas en ciberseguridad. La continuidad del negocio requiere capacidades específicas. Lo mismo ocurre con compliance, riesgo operacional, terceros o tecnología.
La integración debe producirse en otro nivel: en la comprensión de cómo diferentes riesgos pueden converger sobre los mismos objetivos empresariales.
Riesgos dentro de tolerancia, exposición conjunta desconocida
Consideremos un ejemplo sencillo.
Una organización identifica cuatro riesgos relacionados con un servicio crítico:
- indisponibilidad de un proveedor tecnológico;
- ataque de ciberseguridad;
- error operacional en un proceso crítico;
- indisponibilidad de personal especializado.
Cada riesgo es evaluado separadamente. Ninguno supera individualmente el límite definido por la organización.
La conclusión podría ser que el servicio se encuentra dentro de los niveles aceptables de riesgo.
Pero estos riesgos no necesariamente son independientes. Varios pueden depender de un mismo elemento crítico —por ejemplo, un proveedor, una plataforma tecnológica o un equipo especializado—, de modo que una sola falla podría afectar simultáneamente diferentes componentes del servicio. También puede ocurrir que la materialización de un riesgo desencadene o agrave otros, generando una cadena de impactos que no resulta evidente cuando cada riesgo se evalúa por separado. La lectura cambia.
El problema ya no es solamente la severidad individual de cada riesgo, sino también cómo pueden concentrarse, relacionarse o amplificarse entre sí. Esa exposición conjunta puede no resultar visible cuando los riesgos se analizan de manera independiente.
Por ello, que cada riesgo se encuentre individualmente dentro de tolerancia no garantiza que la exposición conjunta sobre un objetivo, proceso o servicio crítico sea necesariamente aceptable para la organización.
El siguiente nivel de madurez
Durante muchos años, una parte importante del desarrollo metodológico de los riesgos no financieros se concentró justificadamente en conseguir que las organizaciones identificaran, evaluaran, controlaran y reportaran mejor sus riesgos.
Ese desarrollo sigue siendo necesario.
Pero el entorno actual parece exigir una capacidad adicional. Pasar de saber: “cuáles son nuestros principales riesgos”, a poder responder:
“dónde se concentra nuestra exposición, qué combinaciones de riesgos pueden comprometer nuestros objetivos y qué capacidad tenemos para absorberlas o responder ante ellas”.
Esto requiere mejorar progresivamente capacidades de integración, análisis de escenarios, identificación de dependencias, cuantificación cuando resulte razonablemente posible y vinculación entre riesgos y objetivos.
No significa que todos los riesgos no financieros deban convertirse artificialmente en una cifra monetaria.
Cuantificar no es necesariamente monetizar.
Una organización puede desarrollar una visión más robusta de exposición utilizando diferentes métricas: pérdida económica potencial, tiempo máximo de interrupción, clientes afectados, capacidad operacional comprometida, dependencia de terceros, impacto regulatorio, concentración, escenarios o combinaciones de estas variables.
Lo importante es que la información permita comprender mejor cuánto puede verse comprometido aquello que la organización necesita proteger para alcanzar sus objetivos.
De administrar riesgos a comprender la exposición
La gestión de riesgos no financieros ha avanzado considerablemente.
El siguiente desafío posiblemente no consista en construir matrices más sofisticadas ni en identificar un número mayor de riesgos.
Consiste en conectar la información que ya existe para comprender mejor dónde se encuentra realmente la exposición de la organización.
Porque una organización puede tener cientos de riesgos identificados, decenas de indicadores y múltiples comités especializados y, aun así, no disponer de una respuesta suficientemente clara sobre qué combinación de riesgos podría comprometer sus principales objetivos.
Ese es posiblemente uno de los próximos desafíos de madurez de la gestión de riesgos no financieros:
pasar de conocer individualmente nuestros riesgos a comprender colectivamente nuestra exposición.
En GR&P Consultores ayudamos a las organizaciones a diseñar y fortalecer modelos de gestión de riesgos no financieros orientados a desarrollar una visión integrada de sus exposiciones, interdependencias y capacidad de respuesta, vinculándolas con los objetivos del negocio.
Una gestión de riesgos madura no debería limitarse a conocer qué riesgos existen. Debería permitir comprender cuánto pueden comprometer los objetivos que la organización busca alcanzar.
¿Su organización comprende cómo sus riesgos no financieros pueden converger y comprometer sus principales objetivos? Conversemos.