¿Está preparada su empresa para lo inesperado?
El riesgo que no se gestiona puede comprometer el negocio
Las empresas toman decisiones diariamente para crecer, mejorar su rentabilidad y competir en el mercado. Invertir, expandirse, otorgar crédito o implementar nuevas tecnologías son decisiones que ofrecen oportunidades, pero también generan incertidumbre.
El problema no es asumir riesgos, sino desconocerlos, subestimarlos o no actuar oportunamente para reducir sus consecuencias. Una organización puede tener estados financieros razonables, presupuestos detallados y procedimientos documentados, y aun así estar expuesta a eventos que comprometan su liquidez, reputación o continuidad.
La gestión de riesgos no debe ser un requisito documental ni una responsabilidad exclusiva de un área especializada. Debe formar parte de las decisiones de la alta dirección y de las actividades cotidianas de la organización.
¿Qué puede salir mal cuando un riesgo se materializa?
Consideremos cuatro escenarios hipotéticos que pueden presentarse en empresas de distintos sectores:
- Riesgo financiero y estratégico. Una empresa realiza una inversión importante financiada con deuda, basándose en proyecciones optimistas y sin evaluar escenarios de menor demanda. Cuando los ingresos no alcanzan lo esperado, enfrenta dificultades para pagar proveedores y obligaciones financieras, deteriorando su liquidez y capacidad de crecimiento.
- Riesgo operacional y tecnológico. Una falla informática interrumpe la facturación, los pedidos y el control de inventarios. La ausencia de respaldos efectivos y de un plan de continuidad prolonga la interrupción, ocasionando pérdidas económicas, incumplimientos contractuales y desconfianza de los clientes.
- Riesgo de fraude y control interno. Una misma persona crea proveedores, registra facturas y participa en los pagos sin una revisión independiente. Las operaciones irregulares pasan inadvertidas hasta que se producen pérdidas, investigaciones y cuestionamientos sobre la efectividad de los controles.
- Riesgo de cumplimiento y reputación. Una compañía no identifica oportunamente una obligación regulatoria aplicable a sus operaciones. La situación puede derivar en requerimientos, sanciones cuando correspondan, litigios y pérdida de confianza de clientes y aliados.
Estos escenarios demuestran que las consecuencias no siempre son aisladas. Una falla operativa puede generar pérdidas financieras; estas pueden afectar la liquidez y comprometer el cumplimiento de obligaciones; y la situación puede terminar perjudicando la reputación y la continuidad del negocio.
Por ello, no basta con registrar los riesgos en una matriz. Es necesario comprender sus causas, evaluar sus posibles consecuencias y establecer medidas que permitan prevenirlos, detectarlos o responder oportunamente.
¿Cómo administrar los riesgos de manera efectiva?
Marcos reconocidos como COSO ERM e ISO 31000 promueven una gestión sistemática, integrada con los objetivos y la estrategia empresarial. En la práctica, las organizaciones pueden fortalecerla mediante cinco acciones:
1. Identificar. Determinar qué situaciones pueden impedir el cumplimiento de los objetivos, considerando factores financieros, operativos, tecnológicos, regulatorios y estratégicos. Es fundamental precisar las causas del riesgo y las consecuencias potenciales.
2. Evaluar y priorizar. Analizar la probabilidad de ocurrencia y la magnitud del impacto, considerando también la velocidad con la que podría materializarse el evento y la efectividad de los controles existentes. Esto permite concentrar los recursos en las exposiciones más críticas.
3. Definir respuestas. Establecer si corresponde evitar, reducir, compartir o aceptar el riesgo. Cada decisión debe traducirse en planes de acción con responsables, plazos, recursos e indicadores de seguimiento.
4. Fortalecer los controles y prepararse para las crisis. Implementar controles acordes con los riesgos identificados, como segregación de funciones, conciliaciones, aprobaciones independientes y controles de acceso. Además, desarrollar planes de continuidad, recuperación tecnológica y respuesta a incidentes, y comprobar su efectividad mediante pruebas periódicas.
5. Monitorear y mejorar. Revisar periódicamente la exposición, el funcionamiento de los controles y el avance de los planes de acción. Los cambios económicos, tecnológicos, operativos y regulatorios pueden modificar los riesgos, por lo que su seguimiento debe ser continuo.
La responsabilidad debe estar claramente distribuida: los líderes de los procesos gestionan los riesgos de sus actividades; las funciones especializadas apoyan y supervisan; y la auditoría interna aporta evaluación independiente y objetiva, conforme a su alcance.
Crowe: un aliado estratégico para proteger el valor empresarial
Gestionar los riesgos requiere conocimiento técnico, visión integral y capacidad para convertir los hallazgos en acciones concretas. Una perspectiva independiente puede ayudar a identificar vulnerabilidades que pasan inadvertidas en la operación diaria.
Desde Crowe, podemos acompañar a las empresas en el fortalecimiento de su gestión de riesgos y control interno mediante tres líneas de trabajo:
Evaluación y diagnóstico de riesgos. Identificar y priorizar las principales exposiciones del negocio, evaluar su tratamiento actual y establecer una hoja de ruta para atender las vulnerabilidades críticas.
Auditoría interna y evaluación del control interno. Examinar el diseño y funcionamiento de los controles, identificar brechas y formular recomendaciones prácticas para prevenir errores, detectar irregularidades y fortalecer la supervisión.
Diseño y fortalecimiento de modelos de gestión de riesgos. Apoyar el desarrollo de metodologías, matrices de riesgos y controles, asignación de responsabilidades, indicadores y mecanismos de seguimiento que integren la gestión de riesgos en las decisiones empresariales.
El alcance se define de acuerdo con las necesidades y características de cada organización, procurando que las recomendaciones sean prácticas, medibles y alineadas con sus objetivos.
El propósito no es eliminar toda incertidumbre, algo imposible en la actividad empresarial, sino ayudar a comprenderla y gestionarla mejor. Una organización que conoce sus vulnerabilidades puede asignar recursos con mayor criterio, anticipar escenarios adversos y responder de forma más efectiva.
Los riesgos forman parte de toda actividad empresarial. Ningún control garantiza que todos los eventos adversos serán evitados; sin embargo, existe una diferencia fundamental entre una empresa que se prepara y otra que descubre sus debilidades cuando el daño ya está hecho.
Por eso, desde Crowe invitamos a gerentes, directores financieros, contadores y responsables de riesgos a evaluar sus principales exposiciones, revisar la efectividad de sus controles e identificar oportunidades concretas de mejora.
Si mañana se materializara el riesgo de mayor impacto para su empresa, ¿estaría preparada para responder y proteger la continuidad del negocio, o descubriría sus debilidades cuando ya fuera demasiado tarde?
Conversemos con Crowe sobre cómo fortalecer la gestión de riesgos de su organización y convertir la anticipación en una ventaja para la toma de decisiones.
Contáctenos - [email protected]
Fuentes de referencia
- COSO. Enterprise Risk Management — Integrating with Strategy and Performance. Orientación sobre la integración de los riesgos con la estrategia y el desempeño empresarial.
https://www.coso.org/enterprise-risk-management - International Organization for Standardization (ISO). ISO 31000:2018 — Risk management: Guidelines. Principios y directrices para identificar, evaluar, tratar y monitorear riesgos.
https://www.iso.org/standard/65694.html - The Institute of Internal Auditors (IIA). The IIA’s Three Lines Model. Orientación sobre las responsabilidades de gobierno, gestión de riesgos y auditoría interna.
https://www.theiia.org/globalassets/documents/resources/the-iias-three-lines-model-an-update-of-the-three-lines-of-defense-july-2020/three-lines-model-updated-english.pdf - República de Colombia. Ley 222 de 1995, artículo 23. Deberes de los administradores de sociedades, incluidos los principios de buena fe, lealtad y diligencia.
https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=6739
Nota: Los escenarios empresariales son hipotéticos y tienen fines ilustrativos. Las fuentes respaldan los principios generales expuestos; las obligaciones específicas deben analizarse según el sector, la naturaleza jurídica y la regulación aplicable a cada organización.
