En numerosas organizaciones, la gestión de riesgos empresariales (Enterprise Risk Management – ERM) se ha convertido en un ejercicio de cumplimiento que produce gran cantidad de documentación, pero que tiene un impacto limitado en las decisiones estratégicas. Los directivos reciben mapas de calor, largas listas de riesgos y declaraciones de apetito de riesgo abstractas que, aunque parecen importantes, no les indican qué hacer. En este escenario, COSO publicó recientemente la guía «De la Orientación a la Acción: Explorando la Gestión Práctica de Riesgos Empresariales» («From Guidance to Action: Exploring Practical Enterprise Risk Management»), la cual se constituye en el punto de partida para replantear el propósito de la ERM. El problema no es solo técnico, sino también cultural. La ERM depende de que las personas se sientan seguras para expresar sus inquietudes a tiempo, cuestionar supuestos y sacar a la luz la incertidumbre. Sin esta «seguridad psicológica», la gestión de riesgos se vuelve un acto performativo o un simple ejercicio de papeleo.
La guía de COSO presenta soluciones prácticas para transformar la ERM de un área administrativa a un motor de decisiones estratégicas. El objetivo debe ser un riesgo integrado en la toma de decisiones; esto es, proporcionar a los líderes señales de riesgo útiles que puedan integrarse en la planificación, la inversión y la ejecución. Algunas de las ideas que marcan la diferencia entre una ERM que genera actividad y una que genera impacto, son:
🛡️ Protección y creación de valor
La ERM crea valor tanto a través de la protección como de la creación. Su valor se demuestra cuando contribuye a decisiones más claras, advertencias tempranas, menos sorpresas y una mayor confianza del directorio.
🔗 La estrategia y el riesgo son inseparables
Toda elección estratégica conlleva una postura de riesgo explícita o implícita. La ERM efectiva vincula el riesgo con los resultados estratégicos.
⚠ La brecha de implementación es real
Muchos programas producen resultados (registros, mapas de calor), pero muy pocos mejoran las decisiones. Hay que preguntarse: ¿Este producto de trabajo mejora una decisión o acelera la ejecución?
🎯 Centrada en las decisiones e integrada
Una ERM efectiva está centrada en las decisiones y está integrada. Los programas más efectivos aparecen donde se toman las decisiones (planificación, inversión), no a su alrededor.
Hay que recordar que el marco COSO está basado en principios, lo que facilita su adaptación. El desafío es convertir los principios en comportamientos concretos, lo cual puede lograrse de la siguiente manera:
