Durante años, las organizaciones han desarrollado indicadores para conocer cómo funciona su gestión de riesgos: riesgos identificados, controles implementados, evaluaciones realizadas, indicadores monitoreados, incidentes y planes de acción.
Esta información es necesaria para conocer si las actividades previstas se realizan y aportar evidencia sobre el funcionamiento del modelo.
Pero existe una pregunta más difícil de responder:
¿Qué ha conseguido la organización gracias a su gestión de riesgos?
Una organización puede ejecutar correctamente sus controles, mantener actualizadas sus matrices y presentar oportunamente sus reportes sin demostrar con igual claridad si ese esfuerzo permitió reducir una exposición, anticipar una amenaza, proteger un objetivo, mejorar una decisión o asumir responsablemente una oportunidad.
Medir lo que hacemos no es necesariamente lo mismo que medir el valor que generamos.
Un desafío que las funciones de riesgos todavía no han resuelto
El 2025 Global GRC Benchmarking Survey de McKinsey, realizado a 193 responsables de decisión, plantea la necesidad de medir objetivamente la contribución de GRC a la creación de valor tangible a lo largo del tiempo.
McKinsey propone observar resultados distintos de los indicadores tradicionales: mejores decisiones estratégicas, protección del valor de una adquisición, inversiones ejecutadas dentro de sus parámetros de riesgo u operaciones sólidas y resilientes.
EY llega a una conclusión similar en su 2025 Global Risk Transformation Study, basado en 1,200 profesionales de riesgos de 21 sectores y 12 países: medir y demostrar el valor que la gestión de riesgos aporta sigue siendo un desafío.
Parte del problema es que mucho del valor de gestionar riesgos consiste en prepararse para acontecimientos que quizá nunca ocurran. ¿Cómo cuantificar una interrupción que no se produjo, una decisión corregida antes de generar exposición o una crisis cuyo impacto fue menor porque la organización estaba preparada?
El desafío no consiste solamente en gestionar bien los riesgos. Consiste también en hacer visible qué cambia en la organización como consecuencia de gestionarlos bien.
De medir actividades a medir resultados
En un artículo anterior de GR&P planteamos que un modelo puede contar con taxonomías, metodologías, políticas, indicadores y reportes y, aun así, no producir información útil para decidir. Los indicadores generan valor cuando ayudan a priorizar, asignar recursos, ajustar estrategias o definir acciones.
Avancemos un paso. Supongamos que una organización informa que el 100% de sus proveedores críticos fueron evaluados. El indicador demuestra una actividad, pero no qué produjo.
La evaluación podría haber identificado una concentración crítica, permitido desarrollar una alternativa antes de una interrupción y protegido la continuidad de un servicio relevante.
El valor no estaba en realizar la evaluación. Estaba en lo que la organización fue capaz de hacer gracias a la información obtenida.
Lo mismo ocurre con indicadores como “98% de controles ejecutados” o “90% de planes cerrados”. Son datos importantes, pero no demuestran por sí mismos que la exposición se redujo, la organización está mejor preparada o una decisión mejoró.
Una forma diferente de observar la contribución de la gestión de riesgos
A partir de esta distinción, GR&P propone analizar la contribución de la gestión de riesgos mediante una secuencia de cuatro niveles:
ACTIVIDAD → CAPACIDAD → RESULTADO → VALOR
Actividad es lo que la gestión de riesgos hace: evaluar riesgos, ejecutar controles, monitorear indicadores, analizar escenarios o evaluar proveedores.
Capacidad es lo que la organización puede hacer mejor gracias a esas actividades: comprender su exposición, anticipar cambios, prevenir, detectar desviaciones, responder o evaluar alternativas.
Resultado es el efecto observable: una exposición identificada oportunamente, una decisión modificada, una interrupción contenida, un menor tiempo de recuperación o una concentración mitigada.
Valor es aquello que ese resultado permite proteger, preservar o habilitar: un objetivo estratégico, una inversión, un servicio crítico, la reputación, los ingresos o una oportunidad de crecimiento.
El propósito no es convertir toda actividad de riesgos en un cálculo financiero, sino establecer una relación trazable entre lo que hace la gestión de riesgos y lo que finalmente consigue la organización.
No todo el valor de la gestión de riesgos puede expresarse en dinero. Pero cuando puede medirse de manera razonable, debería hacerse visible.
El valor no consiste únicamente en evitar pérdidas
La gestión de riesgos ha sido asociada principalmente con protección: reducir pérdidas, evitar incidentes, prevenir incumplimientos y disminuir interrupciones. Son contribuciones fundamentales, pero no las únicas.
El Enterprise Resilience Survey 2026 de Grant Thornton, realizado a más de 550 ejecutivos, muestra una asociación entre resiliencia y desempeño: 59% de las organizaciones de alto crecimiento califican su resiliencia como muy alta o superior, frente a 19% de las de bajo crecimiento; además, 54% integra riesgos desde el inicio de la innovación, frente a 20%.
Estos resultados muestran asociación, no causalidad. Sí cuestionan la idea de que riesgo, control y resiliencia sean exclusivamente costos para evitar acontecimientos negativos.
Esto es consistente con ideas desarrolladas anteriormente por GR&P: la gestión de riesgos genera valor cuando se convierte en un insumo real para decidir y cuando gestionar mejor los riesgos permite también asumirlos mejor.
El valor de la gestión de riesgos puede, por tanto, manifestarse de distintas maneras:
• Proteger valor: evitar o reducir pérdidas, interrupciones, incumplimientos o deterioro reputacional, así como contribuir a disminuir determinados costos asociados a la exposición y transferencia de riesgos.
• Preservar valor: proteger objetivos, inversiones, servicios críticos o capacidades estratégicas.
• Habilitar valor: permitir innovación, inversión, transformación o crecimiento dentro de condiciones de riesgo comprendidas y aceptables.
• Mejorar decisiones: comparar alternativas y comprender mejor las consecuencias antes de actuar.
El valor de la gestión de riesgos no debería medirse únicamente por los eventos que evita, sino también por las decisiones que mejora, las capacidades que protege y los riesgos que permite asumir responsablemente.
El valor también puede ser directamente cuantificable. Una organización que demuestra a aseguradoras y reaseguradoras mejoras sostenidas en controles, prevención, continuidad y respuesta puede fortalecer su perfil y contribuir a obtener mejores condiciones de cobertura o precio.
MEJOR GESTIÓN DEL RIESGO → MEJOR EVIDENCIA DEL PERFIL DE RIESGO → MEJORES CONDICIONES DE TRANSFERENCIA → IMPACTO ECONÓMICO PARA LA ORGANIZACIÓN
Así, determinadas inversiones en gestión de riesgos pueden generar beneficios económicos observables. La relación debe analizarse con prudencia: el aseguramiento también depende de la siniestralidad, el ciclo del mercado, coberturas, límites, deducibles y condiciones de reaseguro.
El desafío de demostrar el valor de lo que se evitó
Parte del valor de la gestión de riesgos es difícil de observar porque se refleja en eventos que no ocurrieron o cuyos impactos fueron menores. Nunca sabremos con certeza qué habría pasado sin un control, una alerta atendida o un plan de continuidad disponible.
Asignar un retorno financiero preciso a cada actividad puede generar una falsa sensación de exactitud. La alternativa no es dejar de medir, sino medir de otra manera.
En lugar de preguntar “¿Cuántos controles ejecutamos?”, preguntar “¿Qué exposición ayudaron a reducir?”. En lugar de “¿Cuántos escenarios analizamos?”, “¿Qué decisiones cambiaron?”. Y en lugar de “¿Cuántos planes de continuidad probamos?”, “¿Qué capacidad de respuesta mejoró?”.
Este enfoque no elimina los indicadores tradicionales. Los conecta con aquello que finalmente importa.
De la infraestructura al valor
Esta reflexión conecta con otro concepto de GR&P: una infraestructura sólida de controles no garantiza por sí sola una mejor gestión; la madurez aparece cuando políticas, metodologías, sistemas y controles se convierten en capacidad efectiva.
Ahora podemos extender esa lógica:
INFRAESTRUCTURA → ACTIVIDAD → CAPACIDAD → RESULTADO → VALOR
La infraestructura permite actividades; las actividades desarrollan capacidades; las capacidades producen resultados; y esos resultados deberían proteger, preservar o habilitar aquello que la organización considera valioso.
Hacer explícita esta relación cambia la conversación con la Alta Dirección y el Directorio: deja de centrarse solo en cuánto cuesta gestionar riesgos e incorpora qué obtiene la organización gracias a esa inversión.
Una nueva pregunta para la gestión de riesgos
Durante años hemos demostrado la existencia de políticas, controles, matrices, indicadores, comités y planes. En lo que debemos concentrarnos ahora es en demostrar qué conseguimos gracias a ellos.
Cada organización deberá definir qué significa valor en su contexto y construir evidencia que conecte la gestión de riesgos con sus objetivos, decisiones y resultados.
Porque quizá la pregunta más importante ya no sea:
¿Estamos ejecutando correctamente nuestra gestión de riesgos?
Sino:
¿Qué está consiguiendo nuestra organización gracias a ella?
La verdadera madurez de la gestión de riesgos no se demuestra únicamente por la calidad de sus controles o la ejecución de sus actividades, sino por los resultados que permite alcanzar y el valor que contribuye a proteger, preservar o habilitar.
En GR&P Consultores ayudamos a fortalecer modelos de gestión de riesgos no financieros para convertirlos en capacidades efectivas que contribuyan a mejores decisiones, fortalezcan la resiliencia y ayuden a proteger, preservar y habilitar valor para la organización.
¿Su organización puede demostrar el valor que genera su gestión de riesgos? Conversemos.
Referencias
• McKinsey & Company — Governance, risk, and compliance: A new lens on best practices. 2025 Global GRC Benchmarking Survey.
• EY — 2025 Global Risk Transformation Study: How can reimagining risk prepare you for an unpredictable world?
• Grant Thornton — Enterprise Resilience Survey: Why resilient organizations grow faster, 2026.
• GR&P Consultores — ¿Cómo transformar la gestión de riesgos en una capacidad estratégica?; ¿Cómo saber si su modelo de gestión de riesgos realmente está funcionando?; Una infraestructura sólida de controles no garantiza una mejor gestión de riesgos.