Los 4 tipos de riesgo operacional
El riesgo operativo es el riesgo de pérdida resultante de procesos internos, personas, sistemas o eventos externos inadecuados o fallidos. A diferencia del riesgo de mercado o de crédito, que puede cuantificarse mediante modelos financieros, el riesgo operativo suele ser más difícil de medir, pero no menos significativo. Comprender sus cuatro categorías principales es el primer paso para gestionarlo de forma eficaz.
1. Riesgo de proceso
El riesgo de proceso surge de fallas en los procedimientos y flujos de trabajo en los que confía una organización para realizar sus negocios. Estas fallas pueden variar desde ineficiencias menores hasta fallas críticas que resultan en pérdidas financieras o violaciones regulatorias.
Los ejemplos comunes incluyen errores en el procesamiento de transacciones, fallas en los procedimientos de conciliación, fallas en los flujos de trabajo de aprobación y brechas en las prácticas de documentación. Un banco que procesa una transferencia bancaria a la cuenta incorrecta debido a un error en el ingreso manual de datos ha experimentado un evento de riesgo de proceso.
La gestión de riesgos de procesos requiere procedimientos claros y bien documentados, capacitación adecuada para el personal que ejecuta esos procedimientos y controles que detecten errores antes de que causen daño. Las revisiones periódicas de los procesos ayudan a identificar áreas donde los procedimientos se han vuelto obsoletos o donde los cuellos de botella aumentan la probabilidad de cometer errores.
La automatización puede reducir significativamente el riesgo del proceso al eliminar los pasos manuales que son propensos a errores. Sin embargo, la automatización presenta sus propios riesgos si no se diseña y supervisa adecuadamente, lo que lleva a la siguiente categoría.
2. Riesgo de sistemas y tecnología
El riesgo de sistemas se relaciona con fallas en la infraestructura tecnológica que respalda las operaciones comerciales. Esto incluye fallas de hardware, errores de software, violaciones de ciberseguridad, corrupción de datos e interrupciones del sistema.
La creciente dependencia de la tecnología significa que el riesgo de los sistemas se ha convertido en una de las categorías más importantes de riesgo operativo. Una interrupción de la plataforma comercial durante las horas pico del mercado, un ataque de ransomware que cifra datos críticos o una actualización de software fallida que corrompe los registros financieros pueden provocar pérdidas sustanciales.
Gestionar el riesgo de los sistemas implica mantener una infraestructura de TI sólida, implementar controles de ciberseguridad, realizar pruebas periódicas del sistema y mantener planes de recuperación ante desastres y continuidad del negocio. La gestión de parches, los controles de acceso y los procedimientos de copia de seguridad de datos son componentes fundamentales.
Las organizaciones también deberían considerar el riesgo tecnológico de terceros. Los proveedores de servicios en la nube, los proveedores de software y los procesadores de datos introducen puntos potenciales de falla que deben evaluarse y monitorearse.
3. Riesgo de personas
El riesgo de personas abarca las pérdidas que surgen de errores humanos, mala conducta, dotación de personal inadecuada o falta de retención del personal clave. Podría decirse que es la categoría más impredecible de riesgo operativo porque involucra el comportamiento humano.
El error humano incluye errores no intencionales, como ingresar datos incorrectos, malinterpretar instrucciones u pasar por alto información crítica. La mala conducta incluye actos intencionales como fraude, robo, comercio no autorizado o violaciones de políticas y regulaciones.
Los problemas de personal también entran dentro del riesgo de personas. Una plantilla insuficiente durante los períodos de mayor actividad aumenta la probabilidad de errores. La salida de empleados clave puede generar lagunas de conocimiento que afecten la continuidad operativa.
Gestionar el riesgo de las personas requiere una combinación de prácticas de contratación, programas de capacitación, gestión del desempeño y una cultura ética sólida. La segregación de funciones, los requisitos de doble autorización y los programas de denuncia de irregularidades ayudan a disuadir y detectar conductas indebidas. La formación cruzada garantiza que las funciones críticas no dependan de un solo individuo.
4. Riesgo de eventos externos
El riesgo de eventos externos cubre pérdidas causadas por eventos fuera del control de la organización. Los desastres naturales, las pandemias, los conflictos geopolíticos, los cambios regulatorios y las fallas de los proveedores entran en esta categoría.
Si bien las organizaciones no pueden prevenir eventos externos, pueden prepararse para ellos. La planificación de la continuidad del negocio, la cobertura de seguros y la diversificación de proveedores y prestadores de servicios ayudan a mitigar el impacto.
La pandemia de COVID-19 puso de relieve la importancia de la gestión del riesgo de eventos externos. Las organizaciones con sólidas capacidades de trabajo remoto y cadenas de suministro diversificadas se adaptaron más rápidamente que aquellas que no habían planificado tales interrupciones.
La gestión del riesgo de eventos externos requiere planificación de escenarios y pruebas de estrés. Las organizaciones deben evaluar periódicamente su exposición a posibles eventos externos y valorar si sus planes de contingencia son adecuados.
Uniéndolos
Estas cuatro categorías están interconectadas. Un evento externo como un ciberataque (externo) puede explotar una vulnerabilidad del sistema (sistemas), que pasa desapercibida debido a la falta de personal (personas) y causa un daño mayor debido a procedimientos débiles de respuesta a incidentes (proceso).
La gestión eficaz del riesgo operativo requiere una visión holística que considere las cuatro categorías y sus interacciones. Las evaluaciones periódicas de riesgos, los procedimientos claros de escalamiento y una cultura que fomente la presentación de informes transparentes de incidentes y cuasi accidentes son esenciales para mantener el riesgo operativo dentro de niveles aceptables.
Los equipos de finanzas y auditoría desempeñan un papel clave en la identificación de riesgos operativos mediante la revisión de procesos, controles y documentación. Las herramientas que agilizan la recopilación y el análisis de evidencia ayudan a estos equipos a centrarse en los riesgos más importantes.