Durante años, los modelos de gestión de riesgos han desarrollado una gran capacidad para registrar y analizar lo que ya ocurrió.

Eventos de pérdida, incidentes, incumplimientos, resultados de auditoría, indicadores históricos, fallas de controles y evaluaciones periódicas proporcionan información indispensable para comprender cómo se ha comportado la exposición al riesgo.

El problema aparece cuando esa información se convierte en nuestra principal forma de mirar hacia adelante.

Porque gestionar riesgos no consiste solamente en comprender lo que ocurrió. Consiste, sobre todo, en anticipar qué podría ocurrir y decidir antes de que ocurra.

En un entorno donde los cambios tecnológicos, regulatorios, geopolíticos y competitivos evolucionan cada vez con mayor velocidad, una pregunta comienza a adquirir especial relevancia:

¿Nuestros modelos de gestión de riesgos están ayudándonos a anticipar el futuro o principalmente a explicar el pasado?

El riesgo de gestionar mirando hacia atrás

Analizar el pasado es necesario. Los eventos materializados permiten identificar causas, evaluar la efectividad de los controles, reconocer patrones y aprender de la experiencia. Los indicadores históricos permiten observar tendencias y las pérdidas proporcionan información relevante sobre la magnitud de determinadas exposiciones.

Nada de ello debería desaparecer.

Pero existe una limitación evidente: los riesgos que una organización enfrentará mañana no necesariamente se comportarán como los riesgos que enfrentó ayer.

Una organización puede tener excelentes estadísticas sobre incidentes tecnológicos históricos y, al mismo tiempo, estar incrementando rápidamente su dependencia de servicios en la nube.

Puede conocer perfectamente sus interrupciones operativas de los últimos años mientras aumenta silenciosamente su concentración en un proveedor crítico.

Puede disponer de información detallada sobre eventos de fraude conocidos mientras aparecen nuevas modalidades asociadas con inteligencia artificial.

O puede mantener indicadores estables mientras un cambio regulatorio, tecnológico o competitivo modifica sustancialmente las condiciones sobre las que esos indicadores fueron diseñados.

El pasado continúa siendo una fuente indispensable de información. Pero deja de ser suficiente cuando el entorno cambia más rápido que nuestros modelos.

Cuando la gestión de riesgos funciona alrededor del calendario

Existe además otro factor que puede limitar la anticipación: muchas evaluaciones de riesgo continúan organizándose principalmente alrededor de una periodicidad.

La matriz se actualiza anualmente. Los indicadores se revisan mensualmente. Los riesgos estratégicos se evalúan durante el proceso de planeamiento. Los controles se revisan de acuerdo con un cronograma.

Esta disciplina es necesaria porque proporciona consistencia, trazabilidad y gobernanza.

El problema aparece cuando la fecha de revisión se convierte en el principal detonante para volver a analizar el riesgo.

Los riesgos no esperan al siguiente comité.

Un proveedor puede deteriorarse, una nueva regulación puede modificar un proceso, una vulnerabilidad tecnológica puede incrementar una exposición o una solución basada en inteligencia artificial puede cambiar la forma en que se ejecutan determinadas decisiones mucho antes de la siguiente evaluación programada.

Por ello, la gestión periódica debería continuar existiendo, pero complementada con otra capacidad: la posibilidad de detectar cuándo las condiciones relevantes han cambiado y activar oportunamente una nueva evaluación.

Lo que muestran los datos en América Latina

La Encuesta Regional sobre la Gestión de Riesgos y Analítica de Datos 2025, elaborada por PwC Interaméricas y FELABAN, plantea la necesidad de evolucionar desde una gestión predominantemente reactiva y normativa hacia una gestión más predictiva, dinámica y alineada con la estrategia.

Uno de sus resultados permite dimensionar el desafío: el 70% de las entidades actualiza sus modelos de riesgo de forma anual o ante cambios significativos y solo el 13% realiza actualizaciones de manera continua. El informe señala, además, que otro 13% actualiza sus modelos únicamente ante fallas, comportamiento que relaciona con una cultura todavía más orientada a la corrección que a la prevención.

El problema no es que una revisión anual sea incorrecta.

La pregunta es qué ocurre entre una revisión y la siguiente.

Si durante ese periodo cambian las condiciones que determinan la exposición y el modelo no es capaz de detectarlo, la organización podría continuar tomando decisiones sobre una representación del riesgo que ya no corresponde completamente con la realidad.

De una gestión retrospectiva a una gestión anticipativa

Evolucionar hacia una gestión más anticipativa no significa intentar predecir con exactitud qué ocurrirá. Eso sería poco realista.

Significa desarrollar la capacidad para detectar señales, interpretar cambios y evaluar escenarios antes de que estos se conviertan en eventos materializados.

Podríamos observar esta evolución en tres formas de gestionar el riesgo:

Gestión retrospectiva. La organización aprende principalmente de eventos, pérdidas, incidentes y desviaciones que ya ocurrieron. La pregunta predominante es: ¿qué pasó y por qué?

Gestión reactiva. La organización detecta que su exposición está cambiando y actúa cuando indicadores, incidentes o determinadas condiciones superan los niveles esperados. La pregunta es: ¿qué debemos hacer ahora?

Gestión anticipativa. La organización incorpora señales internas y externas, tendencias, escenarios y cambios en las condiciones del negocio para identificar cómo podría evolucionar su exposición. La pregunta pasa a ser: ¿qué podría cambiar y qué deberíamos decidir antes de que ocurra?

No se trata de reemplazar una etapa por otra. Una organización madura necesita las tres. La diferencia está en no depender exclusivamente de las dos primeras.

¿Qué cambia en un modelo anticipativo?

El primer cambio no necesariamente requiere incorporar tecnología sofisticada. Requiere cambiar algunas preguntas.

En lugar de revisar solamente qué eventos ocurrieron, preguntarse qué condiciones están apareciendo y podrían generar nuevos eventos.

En lugar de observar únicamente cómo evolucionó un KRI, analizar qué variables podrían modificarlo durante los próximos meses.

En lugar de actualizar una matriz porque corresponde hacerlo, establecer eventos desencadenantes que obliguen a reevaluarla cuando cambien determinadas condiciones.

En lugar de analizar cada riesgo de forma aislada, explorar cómo la materialización de uno puede modificar la exposición de otros.

Y en lugar de presentar únicamente una exposición actual, incorporar escenarios que permitan entender cómo podría evolucionar y qué decisiones serían necesarias en cada caso.

La analítica de datos y la inteligencia artificial pueden fortalecer significativamente estas capacidades, identificando patrones, procesando mayores volúmenes de información y detectando señales que podrían pasar inadvertidas.

Pero la tecnología por sí sola no convierte una gestión reactiva en anticipativa. La verdadera transformación ocurre cuando esas señales forman parte del proceso de decisión.

Cinco preguntas para saber cuánto estamos anticipando

¿Qué información utilizamos para identificar que un riesgo está cambiando antes de que ocurra un incidente?

Muchas veces la respuesta son solo los eventos ya materializados; anticipar empieza por identificar señales —un cambio en un proveedor, una variación de mercado, una nueva tecnología— antes de que se conviertan en incidentes.

1. ¿Nuestras evaluaciones se actualizan únicamente por calendario o existen eventos que activan automáticamente una reevaluación? Si la única razón para revisar un riesgo es que llegó la fecha del comité, probablemente existan cambios relevantes que la organización no está viendo hasta que ya es tarde.

2. ¿Nuestros indicadores muestran principalmente lo que ocurrió o también proporcionan señales sobre lo que podría ocurrir? Un indicador que solo reporta incidentes pasados confirma lo que ya se sabe; un indicador con capacidad anticipativa debería advertir sobre condiciones que podrían derivar en un incidente futuro.

3. ¿Evaluamos escenarios futuros para nuestros principales riesgos o trabajamos principalmente con una única estimación de exposición? Una única estimación puede ocultar cómo cambiaría la exposición bajo condiciones diferentes; explorar escenarios permite comprender posibles trayectorias y anticipar qué decisiones podrían ser necesarias en cada una de ellas.

4. ¿La Alta Dirección recibe alertas suficientemente tempranas como para disponer todavía de alternativas de decisión? Alertar demasiado tarde solo confirma una decisión que ya no se pudo tomar a tiempo.

La última pregunta es probablemente la más importante. Porque anticipar no significa conocer el futuro; significa disponer de tiempo para decidir antes de que las opciones comiencen a desaparecer.

El verdadero valor de anticipar

Una gestión anticipativa no pretende eliminar la incertidumbre. Pretende gestionarla mejor.

Su valor no está en acertar todas las predicciones, sino en permitir que la organización reconozca antes determinados cambios, cuestione oportunamente sus supuestos y evalúe alternativas cuando todavía tiene capacidad para actuar.

La Norma ISO 31000 plantea que la gestión de riesgos debe integrarse en la gobernanza, la estrategia y la toma de decisiones. En un entorno cada vez más dinámico, esa integración exige que la información de riesgos llegue antes de la decisión y no solamente después del evento.

Quizás por ello la pregunta que deberían plantearse hoy los Directorios y la Alta Dirección ya no sea únicamente cuáles son sus principales riesgos.

¿Qué estamos viendo hoy que podría cambiar nuestra exposición mañana?

Porque conocer lo que ocurrió permite aprender. Comprender lo que está ocurriendo permite reaccionar. Pero anticipar lo que podría ocurrir permite decidir.

En GR&P Consultores acompañamos a las organizaciones a transformar sus modelos de gestión de riesgos en capacidades que fortalezcan la anticipación y la toma de decisiones. Conversemos sobre los desafíos de su organización: www.grypconsultores.com.

Fuentes: PwC Interaméricas y FELABAN, Encuesta Regional sobre la Gestión de Riesgos y Analítica de Datos 2025, Informe de Resultados, febrero de 2026 · ISO 31000:2018.