De la norma a la decisión: lo que realmente significa gestionar riesgos

Todas las organizaciones tienen algún nivel de gestión de riesgos. Tienen políticas, matrices, personas dedicadas al tema o que lo hacen por sentido común. Y, sin embargo, cuando un riesgo se materializa, muchas quedan expuestas. No porque les faltara información, sino porque esa información nunca llegó a donde debía: la mesa donde se toman las decisiones.

Lina Mejía conoce ese patrón de cerca. Como vicepresidenta de Consultoría de Gallagher Colombia, ha acompañado a organizaciones de distintos sectores durante el proceso de transformar su gestión de riesgos de un ejercicio de cumplimiento en un insumo que llega a donde importa.

La gestión de riesgos empieza con una actitud

La gestión de riesgos no empieza con un modelo. Empieza con una actitud.

Una empresa que se prepara para lo que puede salir mal identifica previamente las condiciones y aprovecha las oportunidades. En esa definición hay tres verbos: identificar, preparar y aprovechar.

En Gallagher, el equipo de consultoría ayuda a los clientes a identificar sus riesgos, evaluar el impacto potencial y definir medidas concretas de tratamiento. Algunas de estas acciones implican transferir el riesgo al mercado asegurador. Pero ¿qué pasa con los riesgos más complejos, esos que el mercado tradicional no cubre? Para lo que no se transfiere, existe la consultoría: continuidad de negocio, manejo de crisis, análisis de pérdidas, respuesta a emergencias, gestión del riesgo reputacional, entre otros.

Y luego está la dimensión que muchas organizaciones todavía no explotan: los riesgos como fuente de oportunidades. Un proceso de expansión, una alianza estratégica, una decisión de inversión: todos tienen un componente de riesgo propio de cada organización y que, bien gestionado, puede convertirse en una ventaja. Hay una frase que lo resume bien: primero hay que conocer bien al socio y después viene el negocio. Esa mirada diferencia una gestión madura de una meramente defensiva, aunque ambas sean relevantes.

De cumplimiento a estrategia: la diferencia en la gestión de riesgos

Hay una verdad incómoda: el papel puede con todo. Una organización puede tener su política actualizada, sus matrices al día y sus informes de cumplimiento, entre otros, y, sin embargo, no tener la competencia organizacional para responder eficazmente ante la materialización de un riesgo. Termina siendo un requisito cumplido documentalmente, pero no efectivo en la práctica.

Se vale, pues ninguna compañía desea recibir sanciones ni tener problemas regulatorios o de aseguramiento, pero eso no es cultura de gestión de riesgos. El éxito de la gestión no depende únicamente de la técnica, sino también del compromiso y de la competencia emocional con que se ejecuta.

Tener un programa de seguros sólido es fundamental; no hay discusión. Pero la gestión de riesgos tiene que ir más allá: hacia la prevención basada en datos, hacia entender qué prácticas existen para reducir el daño, hacia la valentía gerencial para tomar decisiones oportunas.

Las organizaciones que han dado ese salto usan el análisis de riesgos como un insumo real para tomar decisiones. Se formulan preguntas concretas: si esto llegara a ocurrir, ¿cuánto se podría perder o ganar? Si esto llega a materializarse, ¿estamos hoy preparados para las consecuencias? ¿Qué nos hace falta? ¿Hay planes para mitigar ese impacto? ¿Este riesgo puede transferirse a un tercero? ¿Qué no estamos viendo? etc. Esa evaluación no es estática, pues el contexto cambia constantemente y es precisamente ese "cambio" el que nos da señales para revisar y ajustar nuestro nivel de preparación.

Riesgos clave que hoy enfrentan las organizaciones colombianas

No se trata de predecir el futuro, sino de no ignorar las señales que ya están ahí. Las compañías consideran un amplio espectro de riesgos de origen interno y externo: regulatorios, económicos, ambientales o climáticos, de ciberseguridad, operativos, de orden público, de talento, entre otros. A partir de este panorama, hay algunos elementos que merecen ser priorizados:

• En Colombia, las dinámicas regulatorias y económicas continúan dando forma al entorno, lo que requiere que las empresas se mantengan informadas y anticipen cómo estos factores pueden influir en las decisiones estratégicas a largo plazo.
• Los "elefantes en la habitación". Aquellos riesgos que las compañías saben que tienen, pero han decidido ignorar o no enfrentar de manera contundente.
• La inteligencia artificial. Su adopción ha sido veloz, pero la conversación sobre cómo gestionarla como riesgo apenas comienza. Las consecuencias de decisiones tomadas sin pasarlas por el filtro humano se reflejan en problemas de derechos de autor, de privacidad de datos y de sesgos en la toma de decisiones automatizada. La regulación avanza, pero a menudo llega después de los hechos.
• La salud mental. Muy presente en las conversaciones sobre bienestar, pero pocas compañías la han considerado como un riesgo que afecta la toma de decisiones, especialmente cuando los riesgos se materializan y debemos enfrentar un momento crítico.

El principal obstáculo

Las ganas o la falta de ellas.

El mayor obstáculo no es técnico ni presupuestal: es la voluntad real de que la información que genera la gestión de riesgos llegue hasta donde se toman decisiones dentro de la organización, y esto aplica a todos los niveles. Cuando un equipo directivo empieza a pedir cuentas sobre este tema, todo cambia. Nadie duda de que el gerente o la junta preguntará cómo va la compañía en términos financieros. La gestión de riesgos debería tener el mismo nivel de conversación, sin complejidades.

La pregunta que más se repite es: tengo todo implementado, lo cumplo todo, ¿cómo cambio la cultura? La respuesta casi nunca está en agregar más procesos o más tecnología. Está en comprender para qué sirve lo que ya existe y utilizarlo.

Mitos comunes en la gestión de riesgos

Aquellos que vienen de conceptos mal entendidos.