La matriz de riesgos aparece en casi todas las presentaciones para el consejo de administración. Es algo conocido. Es clara. Esa tabla con los colores rojo, amarillo y verde da la impresión de que se comprenden los riesgos y de que están perfectamente clasificados. Para muchos consejos de administración, resulta tranquilizador.
El problema es que esa tranquilidad se esfuma en cuanto se habla de dinero de verdad.
Imagina que tienes que decidir cómo gastar un presupuesto para riesgos de 500 000 dólares. ¿Modernizas los sistemas de extinción de incendios o inviertes en nuevo software de ciberseguridad? En el mapa de riesgos, ambos riesgos se sitúan claramente en la zona roja. Parecen igual de urgentes. Pero esa representación visual no te indica cuál de ellos ejerce mayor presión sobre los beneficios, ni dónde ese medio millón de dólares reduce realmente la exposición de forma significativa.
En ese momento, el color deja de ser útil.
Si el riesgo debe servir de guía para las decisiones financieras, tiene que expresarse en términos financieros. Los consejos de administración no debaten sobre matices de rojo. Debaten sobre dólares. Y para ello no se necesitan matemáticas avanzadas ni tecnología sofisticada. Lo que hay que hacer es ir más allá del color y centrarse en las cifras.
Dónde falla el mapa de calor
Las evaluaciones cualitativas de riesgos se basan en calificativos como «alto», «medio» y «bajo». Estos calificativos son subjetivos por naturaleza. Reflejan el grado de inquietud que un riesgo suscita en una organización, no su comportamiento desde el punto de vista financiero.
Hay otra cuestión que resulta más difícil de ignorar: no se puede hacer cálculos con colores.
No es posible combinar de forma significativa un riesgo reputacional «medio» con un riesgo operativo «alto» y obtener un resultado útil. El resultado es una lista de preocupaciones que no se pueden agregar, comparar ni priorizar de manera que sirva de apoyo a las decisiones de la dirección.
Los líderes no necesitan valoraciones aisladas. Necesitan tener una visión global de toda la empresa. Para ello, se requiere un lenguaje que permita realizar cálculos, comparaciones y sopesamientos. Los colores no sirven para eso. Los números sí.
Tres cifras que cambian el rumbo de la conversación
Cuantificar el riesgo no significa complicar en exceso el proceso. En esencia, se trata de responder a tres preguntas prácticas para cada escenario de riesgo:
- Frecuencia: ¿Con qué frecuencia se produce este hecho al año?
- Pérdida media: si se materializa el riesgo, ¿cuál es la pérdida media durante un periodo determinado? Esto refleja las dificultades habituales que el riesgo genera en las operaciones.
- El peor caso plausible: si se materializa el riesgo, ¿cuál es la pérdida máxima prevista para un nivel de confianza determinado? Se trata del escenario que pone en peligro los beneficios, la liquidez o la viabilidad a largo plazo.
Una vez que se dan esos tres factores, el riesgo deja de ser algo abstracto. Se convierte en algo que se puede modelar, comparar y simular.
No dejes que la búsqueda de datos perfectos frene el progreso
Uno de los mayores obstáculos para la cuantificación del riesgo es la creencia de que los datos deben ser perfectos antes de poder comenzar a elaborar modelos. Esa creencia frena más iniciativas que cualquier limitación técnica.
Las estimaciones bien fundamentadas de los expertos en la materia son suficientes para empezar. Una estimación como «una vez cada tres años» resulta útil desde el punto de vista matemático. Se puede comprobar, ajustar y simular. Una casilla de selección con la indicación «Poco probable» no lo permite.
Las estimaciones invitan al debate y a la mejora. Las etiquetas lo impiden.
Esperar a disponer de datos perfectos solo garantiza que se sigan tomando decisiones sin tener en cuenta la incertidumbre. Hoy en día, modelar información imperfecta es mucho más valioso que esperar indefinidamente una certeza que nunca llega.
Una visión clara del riesgo desde una perspectiva cuantitativa
Una vez cuantificados los riesgos, la visualización cobra más sentido. En lugar de encajar todo a la fuerza en una cuadrícula, los riesgos pueden representarse en un gráfico que compare la frecuencia y la gravedad.
Esto pone de manifiesto de inmediato diferencias que el mapa de calor tradicional oculta.
Los riesgos de alta frecuencia y baja gravedad suponen una merma constante del presupuesto. La mejor forma de hacer frente a estos riesgos de erosión es mediante mejoras en los procesos, la automatización y controles más estrictos. El objetivo es reducir el coste continuo de la actividad empresarial.
Los riesgos de baja frecuencia y alta gravedad plantean una situación muy diferente. Se trata de riesgos de solvencia. No se producen con frecuencia, pero, cuando ocurren, pueden desbordar a la organización. Estas exposiciones requieren seguros, reservas de capital y planificación financiera, más que ajustes operativos.
Un mapa de calor estándar muestra ambos escenarios en rojo y los trata como si fueran intercambiables. Pero no lo son. La pérdida crónica y la amenaza existencial requieren respuestas diferentes. Las perspectivas cuantitativas hacen que esa distinción sea inevitable.
Cómo crear una verdadera cartera de riesgos empresariales
La verdadera ventaja de la cuantificación se pone de manifiesto cuando se agregan los riesgos de toda la empresa.
Imaginemos una empresa hipotética con dos divisiones:
· El grupo de fabricación se ocupa de las interrupciones en la cadena de suministro y de los incidentes de seguridad en el lugar de trabajo. Estos sucesos se producen con regularidad y suelen acarrear pérdidas moderadas.
· El departamento de tecnología se enfrenta a incidentes cibernéticos y al robo de propiedad intelectual, que, aunque se producen con menos frecuencia, pueden tener consecuencias catastróficas.
En un mapa de riesgo cualitativo, ambas divisiones podrían parecer igual de arriesgadas. Eso crea una falsa equivalencia.
Cuando se cuantifican los riesgos, los directivos pueden comparar la exposición realista al peor de los casos de cada división y comprender cómo afectan esos riesgos al balance. Pueden evaluar las compensaciones, valorar la concentración y decidir en qué ámbitos la inversión influye realmente en los resultados.
Esto aborda cuestiones que preocupan a los directivos:
- Optimización del retorno de la inversión:¿En qué área la inversión adicional en controles preventivos aporta una mayor reducción del riesgo?
- Rentabilidad ajustada al riesgo:¿Qué unidades de negocio generan una exposición excesiva en relación con los beneficios?
- Suficiencia financiera:¿Cuánto capital debe mantenerse en reserva para hacer frente a una crisis combinada?
Esas preguntas no se pueden responder con el color.
Por qué esto cobra aún más importancia en un mundo impulsado por la inteligencia artificial
A medida que las organizaciones se plantean aplicar la inteligencia artificial en el ámbito del GRC, la calidad de los datos de riesgo subyacentes cobra una importancia fundamental.
Los modelos de IA funcionan con datos estructurados y probabilidades. No interpretan bien el sentimiento. A las máquinas les resulta difícil aprender de un registro de riesgos basado en etiquetas cualitativas. En cambio, un registro basado en la frecuencia y en estimaciones de pérdidas se puede utilizar de inmediato.
Con datos cuantificados, las herramientas de IA pueden analizar las pérdidas históricas, detectar patrones emergentes y realizar simulaciones a una escala que los seres humanos no pueden alcanzar. Sin ellos, años de recuadros rojos y amarillos aportan poca información.
La cuantificación aporta el combustible. La IA aporta el motor. Los mapas de calor no aportan ninguna de las dos cosas.
Primeros pasos
El mayor obstáculo para este cambio no es técnico, sino cultural.
Las organizaciones ya cuentan con los conocimientos que necesitan. Disponen de datos. Cuentan con profesionales con experiencia. Incluso las estimaciones aproximadas mejoran la visibilidad y la calidad de las decisiones en comparación con los elementos visuales estáticos.
No se trata de alcanzar la perfección de la noche a la mañana. Se trata de ofrecer a los responsables una visión más clara de la que tenían antes.
Cuando los equipos de gestión de riesgos dan este paso, su función cambia. Dejan de informar sobre la situación actual y pasan a aportar información que respalde las decisiones sobre el capital. Los consejos de administración no necesitan más colores. Necesitan herramientas que faciliten la toma de decisiones, la ponderación de alternativas y la rendición de cuentas.
La cuantificación del riesgo es una de las formas más claras de lograrlo.
Para obtener más información, visita la página web de Archer en www.archerirm.comy descubre cómo las organizaciones están convirtiendo los datos sobre riesgos en una ventaja competitiva.
Preguntas frecuentes
¿Qué es la cuantificación del riesgo y por qué es importante para la gestión del riesgo empresarial?
La cuantificación del riesgo es el proceso de asignar valores numéricos —normalmente el impacto financiero y la probabilidad— a distintos escenarios de riesgo, de modo que las organizaciones puedan medir y comparar su exposición. A diferencia de los métodos cualitativos, como los mapas de calor, la cuantificación del riesgo permite a los directivos evaluar las compensaciones, priorizar las inversiones y comprender el riesgo total de la empresa en términos monetarios. Esto resulta fundamental para la toma de decisiones, ya que los consejos de administración y los ejecutivos asignan el capital en función de los resultados financieros, y no de calificativos subjetivos como «alto» o «medio».
¿Por qué los mapas de riesgo no son suficientes para la toma de decisiones financieras?
Los mapas de riesgo se basan en categorías subjetivas como el rojo, el amarillo y el verde, que no se traducen en un impacto financiero cuantificable.
Aunque ofrecen una visión general sencilla, no permiten realizar cálculos, agregaciones ni comparaciones directas entre riesgos. Esto dificulta que las organizaciones determinen dónde invertir recursos o cómo afectan los riesgos a los beneficios. Para la toma de decisiones financieras, los riesgos deben expresarse en términos cuantitativos, como la frecuencia y la pérdida potencial.
¿Cómo pueden las organizaciones empezar a cuantificar el riesgo sin disponer de datos perfectos?
Las organizaciones pueden comenzar a cuantificar los riesgos utilizando estimaciones fundamentadas de expertos en la materia, en lugar de esperar a disponer de datos perfectos.
Al definir tres variables clave —la frecuencia (con qué frecuencia se produce un riesgo), la pérdida media y la pérdida máxima creíble—, los equipos pueden empezar a elaborar modelos de riesgo útiles de forma inmediata. Estas estimaciones pueden perfeccionarse con el tiempo, lo que permite mejorar los análisis, las simulaciones y la toma de decisiones. Partir de datos imperfectos es mucho más eficaz que basarse en etiquetas cualitativas que no pueden medirse ni mejorarse.
