Las organizaciones han dedicado durante años importantes recursos a fortalecer sus modelos de gestión de riesgos.
Han desarrollado políticas, metodologías, matrices, indicadores, sistemas GRC, programas de cumplimiento, herramientas tecnológicas y numerosos controles destinados a prevenir o reducir exposiciones. Todo ello es necesario.
Sin embargo:
¿Disponer de una infraestructura de control más robusta significa necesariamente que una organización tiene mayor capacidad para gestionar sus riesgos?
No necesariamente.
Una organización puede disponer de políticas formalmente adecuadas, cientos de controles, indicadores periódicos y plataformas tecnológicas y, aun así, tener dificultades para comprender dónde se concentra su exposición, detectar cuándo está cambiando, determinar qué controles son realmente efectivos o decidir oportunamente cómo responder.
La infraestructura de control es necesaria. Pero infraestructura no es lo mismo que capacidad.
La inversión puede crecer más rápido que la capacidad
El Global Digital Trust Insights 2026 de PwC, realizado a 3.887 ejecutivos de negocios y tecnología en 72 países, muestra una situación particularmente ilustrativa.
Casi ocho de cada diez organizaciones —78%— prevén incrementar su presupuesto de ciberseguridad. Sin embargo, solo 6% declara sentirse muy capaz de resistir ataques dirigidos a todas las vulnerabilidades evaluadas.
Estos resultados no demuestran que las inversiones realizadas sean ineficaces ni permiten establecer una relación causal entre inversión y capacidad. Pero sí muestran algo relevante:
Un elevado nivel de inversión puede coexistir con brechas importantes de capacidad.
Algo similar aparece cuando observamos la gestión de riesgos desde una perspectiva más amplia.
El 2025 Global GRC Benchmarking Survey de McKinsey encontró una madurez promedio de gestión de riesgos de 2,6 sobre 4. Además, 42% de los participantes considera que el uso de sistemas IT y GRC por la función de riesgos necesita mejorar y otro 15% lo considera ausente o rezagado.
Los resultados sugieren que incorporar recursos y tecnología constituye solo una parte del desafío.
El análisis no debería centrarse únicamente en cuánto estamos invirtiendo, sino en qué capacidad estamos desarrollando con esa inversión.
Tener tecnología tampoco significa haberla convertido en capacidad
El 2026 Global Third-Party Risk Management Survey de KPMG proporciona otro ejemplo.
Más de la mitad de las organizaciones encuestadas está explorando o utilizando inteligencia artificial en la gestión de riesgos de terceros. Sin embargo, solo 22% considera que su utilización es muy efectiva.
La brecha también aparece en la integración. Solo 18% señala que su programa de gestión de riesgos de terceros está completamente integrado con la gestión de riesgos empresariales.
Y existe otro factor determinante: los datos.
Solo 17% de las organizaciones alcanza el nivel más alto de calidad de datos para sustentar su gestión de riesgos de terceros. La relevancia de esta brecha se hace más evidente al observar su relación con la confianza en la toma de decisiones: entre las organizaciones con datos de alta calidad, 52% declara tener mucha confianza en sus decisiones; en cambio, entre aquellas con baja calidad de datos, 40% señala no tener confianza en ellas.
Tecnología, integración, calidad de información y capacidad para decidir forman parte de una misma cadena.
Una herramienta puede automatizar evaluaciones, consolidar información o generar indicadores. Pero si opera sobre datos insuficientes, permanece desconectada de otros riesgos o no proporciona una visión útil de la exposición, su contribución a la capacidad de gestión seguirá siendo limitada.
Ejecutar controles no es lo mismo que gestionar efectivamente el riesgo
La misma distinción puede aplicarse a los controles.
En muchas organizaciones, una parte importante del esfuerzo de gestión se concentra en demostrar que los controles existen y se ejecutan: ¿está definido el control?, ¿tiene responsable?, ¿se ejecutó con la frecuencia establecida?, ¿existe evidencia?, ¿superó las pruebas realizadas?
Todas son preguntas necesarias. Pero ninguna responde por sí sola la pregunta más importante:
¿Está el control produciendo el resultado que necesitamos frente al riesgo?
Un control preventivo debería reducir la posibilidad de materialización. Uno detectivo debería permitir identificar oportunamente una desviación. Los mecanismos de respuesta deberían contribuir a limitar el impacto y recuperar la operación. Y el análisis posterior debería permitir aprender de lo ocurrido y adaptar el modelo.
Por ello, medir únicamente la existencia o ejecución de controles puede proporcionar una visión incompleta de la capacidad real de gestión.
El control es un mecanismo. El resultado esperado es la capacidad que ese control ayuda a generar.
De componentes implementados a capacidad efectiva
Esta perspectiva también plantea una pregunta sobre cómo evaluamos la madurez de la gestión de riesgos.
Muchos diagnósticos verifican la existencia de políticas, metodologías, comités, matrices, indicadores, controles, sistemas GRC y reportes. Su existencia es importante y demuestra que la organización ha desarrollado una infraestructura de gestión. Sin embargo, la pregunta relevante es:
¿Qué es capaz de hacer la organización gracias a esa infraestructura?
ORX observa precisamente una evolución en esta dirección. Sus conclusiones del primer semestre de 2026 señalan la necesidad de avanzar hacia modelos de gestión de riesgos operacionales y no financieros más dinámicos, integrados en la gestión del negocio y orientados a resultados, sustentados en mejores capacidades de datos y tecnología.
Esta evolución permite observar la madurez mediante una secuencia diferente:
Cada nivel es necesario, pero no debería confundirse con el siguiente. Una organización puede invertir sin desarrollar la infraestructura adecuada; puede disponer de infraestructura sin integrar sus componentes; y puede tener numerosos elementos formalmente implementados sin haber desarrollado plenamente las capacidades necesarias para gestionar una exposición cambiante.
Para mantener el modelo simple y aplicable, proponemos cinco capacidades fundamentales para una gestión efectiva de riesgos:
- Comprender. Conocer dónde se encuentran las principales exposiciones y cómo pueden afectar los objetivos.
- Anticipar y detectar. Identificar oportunamente señales, desviaciones y cambios que puedan modificar la exposición.
- Prevenir. Reducir la probabilidad o el impacto de eventos y exposiciones que la organización no está dispuesta a asumir.
- Responder y aprender. Actuar cuando un evento ocurre, recuperar las capacidades necesarias e incorporar lo aprendido para adaptar el modelo.
- Decidir. Utilizar la información sobre riesgos para determinar qué hacer, qué no hacer y bajo qué condiciones avanzar.
Los controles, sistemas, políticas, personas y tecnología siguen siendo indispensables. Pero deberían entenderse como habilitadores de estas capacidades, no como el resultado final de la gestión.
El riesgo de confundir infraestructura con madurez
Esta distinción resulta especialmente importante porque una organización puede disponer de una infraestructura de gestión considerable y, al mismo tiempo, desarrollar una percepción de madurez superior a la capacidad efectiva de su modelo.
Puede tener matrices actualizadas, numerosos controles, KRIs, dashboards, comités y una plataforma GRC. Todos ellos constituyen señales importantes de formalización y desarrollo del modelo, pero no permiten concluir, por sí solos, que la organización posee una capacidad equivalente para gestionar sus exposiciones.
Para determinarlo debería poder responder también: ¿dónde estamos realmente más expuestos?, ¿qué está cambiando en nuestro perfil de riesgo?, ¿qué controles son críticos y cuáles están perdiendo efectividad?, ¿qué escenarios podrían superar nuestra capacidad de respuesta?, ¿qué decisiones deberían modificarse como consecuencia de esa información?
Madurez formal y capacidad efectiva no son necesariamente equivalentes.
La primera puede observarse en la existencia, diseño y aplicación de los componentes del modelo. La segunda se manifiesta en lo que la organización consigue hacer con ellos frente a situaciones reales de incertidumbre.
Si estas preguntas son difíciles de responder, añadir nuevos controles podría incrementar la infraestructura sin resolver necesariamente la brecha de capacidad.
Por eso, el desafío no consiste en tener menos controles. Consiste en asegurar que los controles que tenemos —junto con los datos, tecnología, personas y mecanismos de gobierno— produzcan la capacidad que la organización necesita.
La prueba definitiva no es cuántos controles tenemos
La gestión de riesgos necesita políticas, controles, metodologías, sistemas y tecnología. El desafío no es reemplazarlos ni reducirlos indiscriminadamente. Es conseguir que funcionen conjuntamente como una verdadera capacidad organizacional.
Por ello, quizá una de las preguntas más útiles para evaluar la madurez de un modelo de gestión de riesgos no sea:
¿Cuántos controles tenemos?
Sino:
¿Qué capacidades estamos desarrollando realmente gracias a ellos?
Una gestión madura no debería valorarse solamente por la infraestructura que ha construido, sino por la capacidad que esa infraestructura proporciona para gestionar la incertidumbre y proteger el logro de los objetivos.
La infraestructura de control es necesaria. Pero la verdadera madurez aparece cuando esa infraestructura se convierte en capacidad para gestionar riesgos.
En GR&P Consultores ayudamos a las organizaciones a evaluar y fortalecer sus modelos de gestión de riesgos no financieros, orientando su evolución desde estructuras y controles formales hacia capacidades efectivas para comprender exposiciones, anticipar cambios, responder y apoyar mejores decisiones.
¿Su organización está fortaleciendo sus controles o desarrollando realmente su capacidad para gestionar riesgos? Conversemos.