Integrando la gestión de los riesgos no financieros a la gestión empresarial #RiskManagement

En un post anterior, comentamos acerca de la necesidad de establecer un modelo de gestión que garantice que la gestión de riesgos (no financieros) se convierta en parte del día a día de toda la empresa, a fin de evitar pérdidas para la compañía. De acuerdo al artículo de McKinsey, para lograr establecer exitosamente el modelo de gestión integrado al negocio, se debe considerar lo siguiente como parte de su implementación:

1. Hacer que todos hablen el mismo idioma
Se debe compartir definiciones claras sobre riesgos y controles en toda la compañía, a fin de identificar cuáles gestionar y monitorear de manera activa. El desafío está en asegurar que la taxonomía esté en el nivel correcto de granularidad que permita identificar el riesgo o el control, pero no tan granular que se vuelva difícil de manejar.

2. Mapear los riesgos
Un mapa de procesos agregado que represente el modelo de negocio de la empresa (o la cadena de valor) es un buen punto de partida; luego, con el tiempo, el ejercicio puede volverse más granular. Utilizando el mapa y la taxonomía de riesgos/controles, la empresa puede perfilar el riesgo en cada proceso y evaluar tanto la probabilidad como el impacto. Esta información se deberá agregar desde el nivel de las unidades de negocio hasta a un nivel general de toda la empresa.

3. Comprender los controles
Si el proceso permite que la organización obtenga tan solo una lista de controles, sin ninguna prioridad o criticidad, entonces esa lista es inútil para la toma de decisiones; y en realidad solo sirve como un mecanismo para que el área de riesgos o cumplimiento documente las debilidades que identifica.

Las empresas líderes realizan una evaluación de controles basada en hechos: descubren qué controles se usan para mitigar qué riesgos específicos, determinan cuán efectivos y eficientes son, y los relacionan con las políticas y los procedimientos operativos que clarifican las normas de control, las responsabilidades, así como la capacitación y comunicación que garantizan que la organización está plenamente consciente de los riesgos. Esta evaluación debe basarse en múltiples fuentes de datos, tales como datos internos e externos sobre pérdidas e incidentes, resultados de auditoría, resultados del supervisor, indicadores clave de riesgo e indicadores clave de control.

4. Reportar y actuar
Para darle sentido a estas evaluaciones, la administración debe tener una visión consistente de los riesgos no financieros y los controles subyacentes, con un informe sistemático al directorio. Esto requiere un sistema integrado de gestión de información.

Cuando los riesgos identificados caen fuera del apetito de riesgo de la compañía, se deberá elevar un informe de riesgos y controles, conciso y orientado a la acción, que recomiende dónde, cómo y cuándo se está mitigando el riesgo. Las acciones de mitigación pueden ir desde rediseñar todo el entorno de control hasta reforzar las responsabilidades de supervisión, o incluso eliminar el producto o el proceso que está generando el riesgo.

5. Ejecutar el proceso en toda la empresa... ¡y mantenerlo vivo!
El marco de gestión de riesgos debe aplicarse en toda la empresa, y debe estar alineado tanto con la estructura de administración y líneas de reporte de la compañía, como con sus procesos clave de negocio y sus cadenas de valor. De esta manera se puede identificar el riesgo individual por área, así como las dependencias de control a través de las cadenas de valor (que se puede extender hasta los acuerdos de tercerización).

Un ejercicio anual de evaluación de riesgos nunca será suficiente; lo que se necesita son tanto "evaluaciones basadas en disparadores" cuando ocurren incidentes, cuando ciertos indicadores superan umbrales prestablecidos o cuando los procesos cambian; así como un monitoreo continuo.

El modelo debe ser particularmente robusto dada la interacción entre los dueños de los riesgos en las áreas de negocio, que identifican y evalúan los riesgos (la primera línea de defensa); y las funciones de control, que desafían los resultados de dichas evaluaciones (la segunda línea de defensa).

Los componentes clave de un enfoque efectivo de gestión de riesgos, basado en las mejores prácticas, giran en torno a taxonomías unificadas, herramientas de evaluación, datos y herramientas de generación de informes y, en última instancia, un proceso que garantice que el marco de trabajo se convierta en parte del día a día de toda la empresa.

Fuente:
Eceiza, J.; Kaminski, P.; & Poppensieker, T. (2017, enero). Nonfinancial risk today: Getting risk and the business aligned. McKinsey & Company. Recuperado de http://www.mckinsey.com/business-functions/risk/our-insights/nonfinancial-risk-today-getting-risk-and-the-business-aligned