La Gestión de Riesgos en la Empresa Moderna: Claves y Equipos

La actividad de una empresa, además de la propia evolución de sus ventas, está sujeta a constantes riesgos. La gestión de riesgos es el proceso de identificar, evaluar, monitorizar y responder a aquellos factores de riesgo que pueda encontrarse un proyecto empresarial, de forma que se defiendan los objetivos del negocio.

La gestión de riesgos se ha convertido en un elemento imprescindible dentro de la planificación empresarial moderna. Además de ser un componente vital del gobierno corporativo, la gestión de riesgos ayuda a identificar oportunidades, mejorar la eficiencia interna y fortalecer la resiliencia organizacional. Este enfoque no solo se centra en prevenir eventos negativos, sino también en gestionar la incertidumbre para aprovechar oportunidades de mejora o crecimiento.

¿Qué es un Equipo de Gestión de Riesgos?

Un equipo de gestión de riesgos es un grupo de especialistas dedicados a identificar los riesgos potenciales que pueden afectar a una organización en múltiples frentes: reputación, seguridad y viabilidad económica, incluyendo la seguridad de las inversiones. En organizaciones más grandes, existe incluso un departamento dedicado a la gestión de riesgos corporativos.

ERM (Enterprise Risk Management) es un proceso efectuado por el comité de dirección de una organización, su equipo directivo y otro personal. Se aplica a toda la empresa en un contexto estratégico, está diseñado para identificar potenciales situaciones que puedan afectar a la entidad, gestiona riesgos para que se encuentren dentro del alcance de su apetito de riesgo y proporciona garantías razonables para alcanzar los objetivos de la entidad.

Características de un Equipo de Gestión de Riesgos

• Para la toma de decisiones colectiva. Por lo general, toma la forma de una votación.
• Para beneficio mutuo. Cualquier equipo de gestión está formado por especialistas estrechos, los cuales son profesionales en un campo particular. Es muy difícil para una persona (gerente) moverse en todas las áreas de los negocios. Si hay alguien en quien confiar y escuchar una opinión fiable, la gestión es siempre más rápida, mejor y más eficaz.
• No hay un estilo de interacción jerárquica (relación supervisor - subordinado).
• A pesar de la cultura corporativa democrática, todavía hay un factor de responsabilidad dentro del equipo de gestión. Después de todo, los miembros del equipo directivo no siempre son socios comerciales que comparten los beneficios de la empresa. La mayoría de las veces son contratados como altos directivos con un cierto salario.
• Constancia de los miembros del equipo. Aunque inicialmente se prevea que el equipo de gestión no se cree para siempre, sino durante un cierto período de tiempo, por ejemplo, para la ejecución de un proyecto concreto, no se recomienda modificar la composición de los participantes para lograr una cooperación eficaz.

Sin embargo, no debe considerarse que todos los miembros del equipo de gestión tienen la misma condición que el gerente principal.

El Rol del Gestor de Riesgos

No obstante, lo habitual es que un gestor de riesgos se encuentre especializado en un área concreta, por lo que se ocupará de detectar los riesgos que acechan en su ámbito correspondiente. Así, por ejemplo, en banca son imprescindibles los departamentos de riesgo, mientras que para las aseguradoras la evaluación de riesgos es una actividad central.

La figura del gestor de riesgo tiene características y un expertise propios, aunando el conocimiento técnico con la experiencia en gestión, y una importantísima competencia transversal: la capacidad de comunicar y de convencer.

Funciones del Gestor de Riesgos

• Identificar riesgos. A menudo, el gestor de riesgos no tiene toda la información necesaria para esta tarea, por lo que se recurre a talleres y sesiones de trabajo en equipo en las cuales se ponen en común las experiencias sobre el progreso del trabajo.
• Desarrollar planes para imprevistos. Una vez identificados los riesgos, el gestor de riesgos es la persona con el conocimiento técnico necesario para desarrollar un plan de contingencia.
• Buscar oportunidades.
• Prever los sobrecostes derivados de riesgos de nueva aparición mediante partidas presupuestarias específicas.

Formación y Perfil

Además de formación específica en gestión de proyectos y de riesgos, deberá ser especialista en el ámbito concreto del proyecto en el que se va a trabajar. Por ejemplo, si se trata de identificar los riesgos en un proyecto relacionado con la construcción, lo conveniente es que el gestor de riesgos tenga experiencia en arquitectura o en ingeniería.

Al tiempo, este perfil profesional permite tener una formación previa más variada que otros ámbitos. Por ejemplo, es posible que un ingeniero nunca haya trabajado concretamente como Risk Manager pero que se haya dedicado a tareas relacionadas con la construcción o la ingeniería y por lo tanto tenga experiencia en otras áreas de la gestión de proyectos.

Para adquirir la formación y competencias necesarias en el ámbito de la gestión de riesgos, existen instituciones específicas. Una de las más conocidas a nivel internacional es el Institute of Risk Management. Si te interesa esta propuesta de valor, debes saber que la culminación de tu desarrollo profesional podría llegar con el título de Chief Risk Officer (CRO). Aunque este cargo directivo es más común en el sector financiero, las grandes empresas de ingeniería también cuentan con ellos.

En definitiva, el perfil del especialista en riesgos depende mucho del contexto y no es exclusivo de sectores como el financiero o de seguros. Otro de los perfiles más habituales se basa en la integración estratégica con la gestión de proyectos. En este sentido, forma parte de las responsabilidades de todo gestor.

Proceso y Plan de Gestión de Riesgos

Para gestionar los riesgos de la empresa se comienza detectando los posibles peligros a los que el negocio está expuesto. Es habitual que, a comienzos de un proyecto empresarial, sean más los riesgos a los que se expone el negocio.

Mediante un Plan de gestión de riesgos definiremos la forma en que nuestra empresa debe realizar las acciones de gestión de riesgos. Se trata de un tipo de plan definido por cada organización para saber cómo actuar ante una posible eventualidad.

Gracias a este documento y al proceso de gestión de riesgos, la empresa podrá mantener bajo control todas aquellas situaciones que ponen en peligro sus objetivos. Esto quiere decir que sigue métodos contrastados y rigurosos para llegar a conclusiones empíricas y generalmente válidas. También es importante destacar su carácter estratégico.

Pasos Clave del Proceso de Gestión de Riesgos

1. Identificación de riesgos: Identifique y describa los riesgos potenciales. Entre los tipos de riesgos se incluyen los financieros, los operativos (como los de la cadena de suministro), los comerciales, los del proyecto y los del mercado, entre otros. Los riesgos identificados deben documentarse de alguna manera, por ejemplo, en un registro.
2. Análisis de riesgos: Analice los factores de riesgo y documente las posibles consecuencias para determinar la probabilidad de que surja algún riesgo nuevo.
3. Evaluación de riesgos: Realice auditorías internas y análisis de riesgos para determinar su magnitud. Además, deberá decidir cuál es el nivel de riesgo aceptable y cuáles deben abordarse de inmediato.
4. Tratamiento y gestión del riesgo: Tras determinar la prioridad y la importancia de los riesgos, puede proceder con una estrategia de respuesta para disminuirlos o controlarlos. Esto significa tomar medidas para reducir o eliminar los riesgos en la medida de lo posible. El proceso se realiza asignando a los expertos en sus campos el riesgo que pueden tratar y gestionar.
5. Revisión y seguimiento: Debe supervisar los riesgos y los indicadores de manera permanente para garantizar que los planes de reducción funcionen, o bien para saber si alguno se convertirá en una mayor amenaza. Este paso también ayuda a garantizar que la mitigación de riesgos en vigor sigue siendo eficaz.

Cuando ya tenemos los riesgos evaluados y clasificados, debemos establecer un Plan de contingencias. Su puesta en marcha supone organización, planificación, dotación de un presupuesto y control posterior.

Propósito de la Gestión de Riesgos

En pocas palabras, el manejo del riesgo tiene como objetivo proteger a una organización de posibles pérdidas o amenazas a su funcionamiento continuo. Esto puede incluir pérdidas financieras, daños a la reputación de la organización o perjuicios a los empleados.

Al adoptar un enfoque proactivo, una organización puede reducir las posibilidades de que algo salga mal y minimizar los daños si algo, como un incidente, sucede. La gestión del riesgo es una parte esencial de cualquier organización, y debe recibir la atención que merece.

Tenga en cuenta que cuando se trata del manejo del riesgo, no hay una solución única para todos. Cada organización es diferente y se encontrará con distintos tipos de riesgos. Por eso es tan importante que las organizaciones cuenten con un plan de gestión de los riesgos.

Tipos de Riesgos Empresariales

Son muchos los riesgos a los que se enfrenta la empresa. Cada tipo de riesgo exige un enfoque específico, técnicas de análisis particulares y medidas de control adaptadas a su naturaleza. Gestionarlos implica identificar el origen de estas amenazas, medir su impacto en la liquidez o rentabilidad y aplicar medidas para minimizar efectos adversos.

A continuación, se presenta una tabla con algunos tipos de riesgos comunes:

Estrategias de Gestión de Riesgos

Las principales estrategias de gestión de riesgos incluyen evitarlos, reducirlos, compartirlos y conservarlos. Hay cinco tipos principales:

1. Aceptación del riesgo: La aceptación es cuando una organización decide aceptar los riesgos asociados a una situación concreta. La empresa ha reconocido que no vale la pena el coste y el esfuerzo para mitigar los eventos que pueden ocurrir debido al riesgo.
2. Transferencia de riesgos: La transferencia del riesgo se produce cuando una organización traslada los riesgos a otra parte, por ejemplo, mediante un seguro. Por ejemplo, cuando una persona o una organización contrata un seguro, el riesgo financiero relacionado con un acontecimiento desafortunado se transfiere a la compañía de seguros.
3. Evitar el riesgo: Evitar el riesgo es cuando una organización toma medidas para prevenir o evitar que se produzca un riesgo concreto, como una lesión, una enfermedad o la muerte. La empresa mitiga estos riesgos no involucrándose en actividades o situaciones de riesgo.
4. Reducción de riesgos y prevención de pérdidas: La prevención y la reducción de pérdidas se producen cuando una organización adopta medidas o métodos para reducir el impacto de un riesgo concreto que se produce. Combina la aceptación del riesgo, ya que reconoce el riesgo que conlleva, al tiempo que se centra en cómo reducir y contener la pérdida de la propagación.
5. Compartir el riesgo: El riesgo compartido es cuando una organización distribuye el riesgo a todo el equipo. Este método retira la carga de los sucesos problemáticos a un departamento y la comparte con otros, de modo que los que pueden ayudar y prestar apoyo a ese problema puedan ayudar y controlar esos riesgos.

Normas ISO y Metodologías de Gestión de Riesgos

Para garantizar que el sistema de gestión de riesgos opere correctamente, se han creado algunas normas que toda empresa debe observar, dictadas por el Organismo Internacional de Estandarización (ISO). De esta forma se mantiene un control y equilibrio entre la seguridad y la calidad. Sistemas de gestión de riesgos pretenden ir más allá de identificar los riesgos y cuantificar el riesgo, prediciendo así su impacto en el negocio.

Normas ISO Relevantes

• Norma ISO 9001 (de 2015): Orientada a un enfoque preventivo, incorporó un enfoque basado en riesgos, lo que implica que cuando las empresas adapten sus sistemas de gestión, deberán incluir métodos o procedimientos para la evaluación, administración, eliminación y/o minimización de los riesgos.
• Norma ISO 31000: Es la máxima de todas las normas que rigen en esta área. Contempla cada uno de los parámetros en el sistema de gestión de riesgos. Su gran versatilidad es una ventaja para los modelos de negocios. La norma fomenta en las empresas el uso de la gestión de riesgos, siendo un aspecto altamente influyente en su éxito.
• Norma ISO 45001: Conocida antiguamente como OHSAS 18001. Se trata de un estándar que establece todos los requisitos necesarios para elaborar un sistema de gestión de riesgos de Seguridad y Salud en el Trabajo. Tiene una gran relevancia en la disminución de los accidentes y en proteger la vida de los empleados.
• Norma ISO 22301: Esta norma es reconocida por ser una de las bases que fundamenta el sistema de gestión de continuidad de negocios. Facilita la comprensión, comunicación y desarrollo del negocio.
• Norma ISO 19600: Creada con el objetivo de ayudar a las empresas en la realización de un sistema de gestión de cumplimiento. Es una guía que reúne todos los requisitos a cumplir en cualquier modelo de negocio.
• Norma ISO 28000: La norma está especializada en los sistemas de gestión de la seguridad para la cadena de suministro. Promueve la seguridad ante todo de los trabajadores y las cargas, con el objetivo de evitar los incidentes.
• Norma ISO 27001: Se basa en que la información esté completamente asegurada. Establece directrices para aplicar técnicas de control, prevención de riesgos y protección de datos.
• Norma ISO 39001: La norma está enfocada a establecer un sistema de gestión de seguridad vial. Con ella, las empresas que utilizan u ofrecen el servicio de transporte pueden aplicar las medidas adecuadas.
• ISO 27005: Norma internacional con recomendaciones y directrices generales para el Risk Management con respecto a la seguridad de la información, siguiendo los requisitos de ISO 27001.

Metodologías Reconocidas

• MAGERIT: Esta metodología está desarrollada por el Consejo Superior de Administración Electrónica en España.
• OCTAVE: Esta metodología reconocida internacionalmente está desarrollada por el Software Engineering Institute. Octave proporciona un conjunto de criterios a partir de los cuales se pueden desarrollar distintas metodologías.
• NIST (National Institute of Standards and Technology): Esta metodología desarrollada por el National Institute of Standards and Technology tiene reconocimiento internacional y busca asegurar a los sistemas de información.
• CRAMM: Tiene reconocimiento internacional y está desarrollada por el Central Computer and Telecommunications Agency (CCTA).

Herramientas para la Gestión de Riesgos

Siguiendo con los recursos básicos en el día a día de un experto en la Gestión de Riesgos, queremos abordar algunas de las herramientas más comunes hoy en día.

• Lista de chequeo: Herramienta para identificar riesgos potenciales.
• Matrices: La matriz de riesgo y la matriz de impacto son dos gráficos de gran relevancia. Una matriz de probabilidad e impacto es una forma de priorizar los riesgos.
• Diagrama de Ishikawa: Este diagrama es ya una de las herramientas más destacadas del sector.
• Sistemas informáticos: Para la monitorización y gestión de riesgos.
• Análisis DAFO: El análisis DAFO (Debilidades, Amenazas, Fortalezas y Oportunidades) es una herramienta que permite a las empresas identificar sus puntos fuertes y débiles, así como las oportunidades y amenazas del entorno en el que operan.
• Análisis de la causa raíz: El análisis de la causa raíz es una técnica utilizada para identificar las causas subyacentes de un problema o riesgo.
• Registro de riesgos: Es importante que las organizaciones mantengan un registro detallado de los riesgos a los que se enfrentan, así como de las medidas tomadas para gestionarlos.
• Lluvia de ideas: La lluvia de ideas es una técnica colaborativa que permite a las compañías generar ideas y soluciones creativas para gestionar los riesgos de manera efectiva.
• Análisis Bowtie: Este análisis nos ayuda a evidenciar las posibles causas y consecuencias de un determinado riesgo.
• Árbol de decisiones: Se puede definir como un mapa que se ramifica en función de las respuestas o decisiones ante la ocurrencia de determinados eventos con consecuencias para la empresa o proyecto.
• ‘What if’: Este método contempla el planteamiento de preguntas sobre diferentes escenarios. “¿Qué pasaría si…?”.
• Análisis preliminar de riesgos (APR): El APR se basa en la identificación de las diferentes actividades de un proyecto para determinar los riesgos en cada una de ellas.
• 5 porqués: Este método de gestión de riesgos exige profundizar en las cuestiones.
• FMEA: Se trata de una categorización de los riesgos que divide cada peligro en una puntuación concreta.

Ejemplos de Aplicación de la Gestión de Riesgos

• Riesgos de cumplimiento: Las empresas deben vigilar regularmente su cumplimiento, comprobando sus procesos, procedimientos y tecnologías actuales, y asegurándose de que se mantienen actualizados.
• Riesgos de seguridad: La gestión del riesgo también puede aplicarse mejor a los riesgos de seguridad dentro de la empresa. De este modo, se puede prevenir de antemano cualquier lesión o peligro.
• Riesgo para la seguridad de la información: Gracias a la gestión del riesgo, las empresas pueden planificar cuidadosamente cómo mejorar sus redes de información y ciberseguridad para prevenir violaciones de datos.

Cesce cuenta con una batería de soluciones enfocadas a gestionar los posibles riesgos de un negocio. Además de la monitorización de riesgos, Quantum Servicios es la plataforma digital a la carta de servicios de gestión del crédito comercial para pymes con una facturación de hasta 3 millones de euros. Permite obtener la información necesaria sobre tus clientes, para decidir qué clientes quieres asegurar y durante cuánto tiempo. También con el fin de asegurar los posibles riesgos derivados de clientes, Cesce Máster Oro asegura todas tus ventas y te permite conocer la calidad de tu cartera de clientes, sea cual sea el tamaño de tu empresa.

Red Hat® Insights ofrece análisis predictivos con evaluación integral y predicción inteligente en todos los entornos físicos, virtuales, de contenedores y de nube pública y privada. Su empresa puede identificar los riesgos por anticipado como parte de la estrategia para gestionarlos, y automatizar las correcciones en toda su infraestructura de Red Hat utilizando los playbooks de Red Hat® Ansible® Automation Platform junto con Insights.