Durante años, la gestión de riesgos ha sido asociada principalmente con una idea: reducir la posibilidad de que algo salga mal.
Identificar riesgos, establecer límites, implementar controles y reducir exposiciones son componentes fundamentales de cualquier modelo de gestión de riesgos. Pero existe otro frente que recibe menos atención:
¿Una mejor gestión de riesgos debería llevar necesariamente a una organización a asumir menos riesgo?
Probablemente no.
Toda estrategia implica asumir incertidumbre. Ingresar a un nuevo mercado, lanzar un producto, incorporar inteligencia artificial, contratar un proveedor estratégico, automatizar un proceso o realizar una adquisición implica aceptar determinados riesgos a cambio de un resultado esperado.
Por ello, el verdadero reto de una gestión madura no debería ser simplemente reducir el riesgo, sino ayudar a la organización a determinar qué riesgos está preparada para asumir, en qué condiciones y con qué capacidad para responder si las cosas no ocurren como esperaba.
Gestionar mejor el riesgo no parece incompatible con crecer
El estudio de Grant Thornton, Enterprise Resilience Survey 2026, ofrece algunos datos interesantes.
El 59% de los ejecutivos de organizaciones de alto crecimiento describe a su organización como altamente resiliente o con resiliencia de clase mundial, frente a solo el 19% de las organizaciones de bajo crecimiento. Además, el 54% de las organizaciones de alto crecimiento integra la gestión de riesgos desde el inicio de sus procesos de innovación, frente a solo el 20% de las organizaciones de bajo crecimiento.
La diferencia también se observa en la inversión destinada a fortalecer la resiliencia. El 68% de las organizaciones de bajo crecimiento considera que está invirtiendo menos de lo necesario en resiliencia, frente al 30% de las organizaciones de alto crecimiento.
Estos resultados no demuestran que una mayor resiliencia o una mejor gestión de riesgos produzcan por sí mismas un mayor crecimiento. Pero considerados conjuntamente sí cuestionan una idea todavía frecuente: que gestionar más rigurosamente los riesgos necesariamente limita la innovación o reduce la disposición a asumirlos.
Desarrollar capacidades para comprender, gestionar y responder ante la incertidumbre puede proporcionar mayor confianza para tomar decisiones que otras organizaciones considerarían demasiado riesgosas.
El riesgo también existe cuando decidimos no actuar
En la gestión de riesgos tradicional resulta relativamente sencillo identificar los riesgos asociados con una decisión.
Si una organización decide implementar una nueva tecnología, puede analizar riesgos de ciberseguridad, privacidad, terceros, continuidad, cumplimiento o errores operacionales.
Pero existe otra exposición que suele recibir menos atención:
¿Qué ocurre si decide no implementarla?
Puede perder productividad, competitividad, clientes o capacidad de innovación.
Expandirse hacia un nuevo mercado genera riesgos. No expandirse también puede generarlos. Contratar un proveedor estratégico genera dependencia. No utilizarlo puede limitar capacidades que la organización necesita desarrollar. Automatizar un proceso introduce riesgos tecnológicos y operacionales. Mantener procesos manuales puede conservar ineficiencias, errores y limitaciones de escalabilidad.
La decisión, por tanto, no debería analizar únicamente qué podemos perder si actuamos, sino también qué podemos perder si no lo hacemos.
Esta perspectiva cambia el papel de la gestión de riesgos. Ya no se limita a proteger el valor existente; también ayuda a comprender qué condiciones necesita la organización para crear valor sin asumir exposiciones que no está preparada para gestionar.
La misma oportunidad puede ser percibida de manera diferente
La inteligencia artificial ofrece un ejemplo especialmente ilustrativo.
Grant Thornton encontró que las organizaciones con alta resiliencia son dos veces más propensas a considerar que la IA impulsará nuevos productos o modelos de negocio, mientras que las organizaciones con baja resiliencia son tres veces más propensas a percibirla como una amenaza.
La tecnología es la misma. Lo que cambia es la capacidad de la organización para enfrentar la incertidumbre que genera.
El hallazgo no significa que una mayor resiliencia elimine los riesgos asociados con la IA. Sugiere algo diferente: cuando una organización confía en su capacidad para gestionar posibles disrupciones, puede estar en mejores condiciones para aprovechar oportunidades que otras organizaciones perciben principalmente como amenazas.
Esto lleva a una conclusión más amplia para los riesgos no financieros.
Una organización que conoce sus exposiciones establece límites claros, dispone de controles efectivos, desarrolla escenarios y fortalece su capacidad de respuesta puede encontrarse en mejores condiciones para asumir determinados riesgos que otra organización que carece de esas capacidades.
La diferencia no está necesariamente en cuánto riesgo existe, sino en cuánto riesgo está preparada la organización para gestionar.
Del límite al espacio para decidir
Esta perspectiva modifica también la relación entre la función de riesgos y el negocio.
Una función de riesgos enfocada principalmente en evitar exposiciones puede terminar siendo percibida como una instancia que establece restricciones. Una función madura debería contribuir a definir el espacio dentro del cual la organización puede actuar con confianza.
Enfoque centrado en el control: Decisión → Riesgos → Límites → Controles → ¿Podemos hacerlo?
Enfoque orientado a la decisión: Objetivo → Oportunidad → Riesgos → Capacidad → Condiciones para asumirlos → Decisión
Esto no significa eliminar límites ni flexibilizar controles indiscriminadamente. Significa utilizar el conocimiento del riesgo para establecer bajo qué condiciones una decisión puede ejecutarse dentro del apetito y de la capacidad de la organización.
La pregunta deja entonces de ser solamente “¿Los riesgos de esta iniciativa son aceptables?” y pasa a ser:
¿Qué condiciones deberían cumplirse para que podamos asumir responsablemente los riesgos de esta iniciativa?
La diferencia parece pequeña, pero cambia profundamente el papel de la función de riesgos en la toma de decisiones.
El apetito de riesgo adquiere otro significado
Esta perspectiva también obliga a reconsiderar cómo utilizamos el apetito de riesgo.
En algunas organizaciones, el apetito termina funcionando principalmente como un conjunto de límites que indican cuánto riesgo no debe superarse. Pero su función debería ser más amplia.
El apetito de riesgo debería ayudar a responder:
- ¿Qué riesgos estamos dispuestos a asumir para alcanzar nuestros objetivos?
- ¿Cuáles no estamos dispuestos a asumir?
- ¿Qué capacidad necesitamos antes de incrementar nuestra exposición?
- ¿Qué condiciones deberían cumplirse para avanzar?
- ¿Qué señales nos indicarían que debemos detenernos o reconsiderar la decisión?
McKinsey identifica precisamente el apetito de riesgo como una de las capacidades de gestión estratégica que todavía presenta oportunidades importantes de mejora. En su estudio global de Governance, Risk and Compliance, la madurez promedio de la gestión de riesgos fue de 2,6 sobre 4 y la firma identifica áreas como apetito de riesgo, stress testing y supervisión del Directorio entre las capacidades que necesitan fortalecerse.
McKinsey también observa que muchas organizaciones tienen dificultades para complementar la gestión cotidiana de riesgos con una perspectiva estratégica y top-down, incluyendo una visión del Directorio sobre apetito y capacidad de riesgo, escenarios y stress testing.
Visto así, el apetito deja de ser únicamente un mecanismo para limitar exposición y se convierte también en un marco para tomar decisiones conscientes bajo incertidumbre.
Una gestión madura no elimina el riesgo: desarrolla la capacidad para asumirlo
Imaginemos dos organizaciones evaluando la misma oportunidad: lanzar un nuevo canal digital.
Ambas identifican riesgos relevantes de ciberseguridad, fraude, terceros y continuidad.
La primera conoce esos riesgos, pero ante la incertidumbre posterga repetidamente la iniciativa.
La segunda, además de identificarlos, determina qué controles necesita, cuánto riesgo está dispuesta a aceptar, qué capacidad de respuesta debe desarrollar, qué indicadores debe monitorear y bajo qué condiciones debería detener o modificar la iniciativa.
Las dos organizaciones conocen los riesgos. Pero solo una ha convertido ese conocimiento en capacidad para decidir.
Ese es posiblemente uno de los cambios necesarios en la evolución de la gestión de riesgos no financieros: pasar de preguntar cuánto riesgo podemos evitar a comprender qué riesgos necesitamos asumir para alcanzar nuestros objetivos y qué capacidades debemos desarrollar para hacerlo responsablemente.
De proteger valor a habilitar decisiones
La gestión de riesgos seguirá teniendo una responsabilidad fundamental en proteger a la organización frente a exposiciones que puedan comprometer sus objetivos.
Pero proteger valor no debería significar evitar toda incertidumbre. Las organizaciones necesitan innovar, invertir, transformarse y tomar decisiones en entornos donde nunca dispondrán de certeza absoluta.
La contribución estratégica de la función de riesgos consiste entonces en proporcionar algo especialmente valioso: mejor información y mayor capacidad para decidir sabiendo qué puede ocurrir, cuánto riesgo estamos dispuestos a asumir y qué capacidad tenemos para responder.
Una gestión madura de riesgos no debería valorarse solamente por los riesgos que consiguió reducir. También debería preguntarse:
¿Nuestra gestión de riesgos nos permite asumir responsablemente los riesgos necesarios para ayudar a hacer viable nuestra estrategia?
En GR&P Consultores ayudamos a las organizaciones a fortalecer sus modelos de gestión de riesgos no financieros para convertir el conocimiento del riesgo en mejores decisiones, mayor capacidad de respuesta y una ejecución más segura de sus objetivos estratégicos.
Gestionar mejor el riesgo no necesariamente significa asumir menos. Puede significar estar mejor preparados para asumir el riesgo correcto.
¿Su modelo de gestión de riesgos ayuda a su organización a decidir qué riesgos puede asumir para crecer? Conversemos.
Referencias
- Grant Thornton — Why resilient organizations grow faster. Enterprise Resilience Survey 2026.
- McKinsey & Company — Governance, risk, and compliance: A new lens on best practices.