La gestión de riesgos empresariales en la práctica

Escrito por Jonas Osman Abdelghafour — actuario y gestor de riesgos financieros (FRM, GARP EE. UU.).

Todos los marcos de gestión de riesgos empresariales (ERM) que he revisado en veinte años de consultoría parecen respetables en la portada. Hay una declaración de apetito de riesgo, una taxonomía, un diagrama de las tres líneas de defensa, y un mapa de calor que probablemente se ha reutilizado en varios comités sin relación entre sí. Lo que separa un marco que realmente dirige la empresa de uno que decora la intranet no es el diagrama —es un puñado de decisiones de diseño que la mayoría de las organizaciones todavía no aciertan.

Este texto recopila esas decisiones tal como yo las veo, pensando en los profesionales que tienen que hacer que el ERM sea defendible ante un consejo, un regulador y un auditor interno en el mismo trimestre.

Empezar por las decisiones, no por los riesgos

El fallo más habitual es un marco que cataloga los riesgos de forma exhaustiva y luego no tiene ningún mecanismo para convertir ese catálogo en decisiones. Una función de ERM útil empieza por el otro extremo. Preguntar: ¿qué decisiones toma esta organización, y cómo cambiaría la información de riesgo esas decisiones?

Para una aseguradora, las decisiones son la asignación de capital, la estructura de reaseguro, el mix de producto, la tarificación y la estrategia de inversión. Para un banco, son la originación de activos, el posicionamiento de ALM, los colchones de liquidez y el diseño de producto. Para una empresa no financiera, son los proyectos de capital, la cobertura, la concentración de proveedores y la huella geográfica.

Todo informe de riesgo que no se conecte con una de estas decisiones es carga administrativa. Toda decisión que no esté visiblemente informada por el riesgo es una brecha de gobierno. Un marco que enlaza ambas cosas es pequeño, preciso y se usa —véase la nota complementaria sobre el ERM desmitificado para un tratamiento más extenso del propio mapa.

Un apetito de riesgo que muerde

Una declaración de apetito de riesgo vale exactamente tanto como las decisiones que impide. Si nunca se ha rechazado nada por incumplir el apetito, la declaración no está calibrada —es decoración. Tres propiedades separan un marco de apetito real de uno simbólico.

Límites cuantitativos al nivel donde se toman las decisiones. Un apetito a nivel de grupo del tipo "mantenemos un ratio de solvencia del 180 por ciento bajo estrés" es inútil para un suscriptor que tarifica un tratado facultativo. Hay que trasladar la métrica hacia abajo: consumo de capital económico por línea de negocio, límites de concentración por contraparte, techos de sensibilidad por factor de mercado. Todo límite operativo debe ser trazable hasta la declaración de grupo.

Una respuesta precomprometida cuando se incumple un límite. La debilidad más común de los marcos de apetito es que un incumplimiento desencadena una discusión, no una acción. Precomprometer: por debajo de X, monitorizar. Entre X e Y, plan de remediación en treinta días. Por encima de Y, cerrar la exposición. Los consejos encuentran esto incómodo y la dirección a menudo se resiste —lo cual es precisamente por lo que funciona.

Medición independiente. Si la primera línea mide su propio consumo frente al apetito, el apetito no vinculará. La segunda línea es propietaria del cálculo, y la tercera línea revisa la metodología en un ciclo. Esto se solapa con el modelo de gobierno de tres líneas sobre el que he escrito por separado.

El ORSA y sus equivalentes: forzar escenarios que importan

La Evaluación Interna del Riesgo y la Solvencia (ORSA) es uno de los instrumentos regulatorios más valiosos que introdujo Solvencia II. Su valor no tiene nada que ver con el documento —proviene de los escenarios elegidos y de la honestidad con la que la dirección los aborda.

Un ORSA útil tiene tres o cuatro escenarios narrativos que estresan las fragilidades específicas del negocio, no las genéricas. Para una aseguradora de automóviles monolínea, eso significa inflación de severidad combinada con una reforma legal; para un plan de pensiones, longevidad más un colapso de los tipos reales; para un banco, un shock de calidad de activos combinado con una fuga de depósitos. Copiar los escenarios ilustrativos del regulador desperdicia el ejercicio.

El informe ORSA también debería proyectar —no solo describir— el balance bajo cada escenario a lo largo del horizonte de planificación de negocio, utilizando los mismos supuestos y los mismos modelos que el negocio usa para su propio plan. Cuando las cifras del ORSA divergen del plan de negocio, hay una conversación de gobierno que mantener. Esa conversación es el objetivo.

Trato con más profundidad el diseño de escenarios y su uso en el consejo en la nota sobre diseño de escenarios ORSA. Para entidades financieras, esto conecta con la guía de modelización de capital que utilizo con mis clientes.

El problema de la taxonomía

Toda función de ERM invierte tiempo en una taxonomía de riesgos. Toda función de ERM acaba descubriendo que la taxonomía es demasiado gruesa para ser útil o tan granular que nadie puede navegarla. La salida consiste en aceptar que una taxonomía tiene dos trabajos y que necesitan estructuras diferentes.

La taxonomía de reporte es la que aparece en los cuadros de mando del consejo, el ORSA y los informes regulatorios. Debe tener entre siete y quince categorías, mutuamente excluyentes, estables en el tiempo. No cambiarla a la ligera —la comparabilidad entre años es una característica, no un accidente.

La taxonomía de gestión es la que usa la primera línea para registrar, seguir y actuar sobre incidencias. Puede y debe ser más granular, y puede evolucionar a medida que cambia el negocio. La correspondencia entre la taxonomía de gestión y la de reporte debe ser de muchos a uno y sin ambigüedad.

Confundir ambas es lo que produce las taxonomías inmanejables que hacen que los sistemas de ERM sean inutilizables. Sepárelas y ambas mejoran.

Riesgos emergentes: construir un hábito, no un registro

Todo marco que he visto tiene un registro de riesgos emergentes. Casi ninguno es útil. El registro recoge cosas que ya eran obvias cuando se añadieron —el riesgo de pandemia en 2019, el riesgo geopolítico en 2022, la IA en 2024— y no produce ninguna alerta anticipada en absoluto.

Lo que funciona es un hábito trimestral en lugar de un documento. Un grupo rotativo de expertos de primera línea, riesgo de segunda línea y una voz externa dedica noventa minutos a discutir qué ha cambiado en el entorno operativo. El resultado es una página. La disciplina consiste en que el grupo debe identificar al menos un escenario que el ORSA no cubre actualmente, y bien explicar por qué no debería, o bien incorporarlo al siguiente ciclo del ORSA.

Esto convierte el trabajo sobre riesgos emergentes de un ejercicio de cumplimiento en una función de inteligencia. También da al consejo algo concreto sobre lo que reaccionar, que es más de lo que la mayoría de los registros de riesgos emergentes producen jamás.

El riesgo de modelo está dentro del ERM, no al lado

Las entidades que separan la gestión del riesgo de modelo del ERM acaban duplicando el gobierno y, peor aún, tratando los modelos como un problema técnico en lugar de estratégico. Todo modelo que informa una decisión consume capacidad de asunción de riesgos, y su fallo es un riesgo por derecho propio. Eso es una preocupación de ERM de primer orden, no una nota a pie de página.

En la práctica, esto significa que el mismo comité que aprueba el apetito de riesgo debería aprobar la clasificación de materialidad del inventario de modelos y el plan de remediación de los hallazgos materiales. La nota sobre remediación del riesgo de modelo explica cómo estructuro esto en la práctica, y la validación independiente de modelos es la línea de servicio que lo materializa.

La relación con el consejo

El mayor predictor de si el ERM funciona en una organización dada es la calidad de la relación entre el director de riesgos (CRO) y el consejo. Los marcos ayudan, pero ningún marco sobrevive a un CRO que no consigue que se escuchen los mensajes incómodos.

Dos sugerencias prácticas. Primero, el CRO debería ser propietario de no más de cinco métricas en el cuadro de mando del consejo, y cada una debería ser una que el CEO preferiría no ver. Si todo en el panel de riesgos está en verde, el panel está equivocado. Segundo, el CRO debería presentar a solas ante el consejo al menos dos veces al año —sin el CEO en la sala. Es un cambio cultural difícil de hacer y que merece la pena pelear.

Cierre

La gestión de riesgos empresariales no es un proyecto. Es un hábito de conectar decisiones con riesgo, calibrar el apetito para que muerda, elegir escenarios que duelan, y dejar que los resultados cambien el plan. Los marcos son en gran medida intercambiables. Las decisiones anteriores no lo son.

Si está reconstruyendo una función de ERM o preparando un ciclo de ORSA que realmente se vaya a usar, estoy encantado de hablar. Vea la página de servicios de riesgo empresarial o póngase en contacto.