Tendencias en gestión integral de riesgos en la era digital
Temporada 1 Episodio 05
Transcripción
Juan José Ríos (Host): ¿Qué tal? ¿Cómo están? Soy Juan José Ríos. Bienvenidos a este nuevo episodio.
Hoy discutiremos los cambios y tendencias en regulaciones de Latinoamérica y otros estándares de gestión de riesgos, incluyendo nuevas industrias y áreas que anteriormente no tenían esta responsabilidad.
La definición más aceptada de riesgo nos dice que es la posibilidad de que las empresas sufran pérdidas económicas debido a fallas en sus procesos, factores tecnológicos, recursos humanos o eventos externos, como la pandemia actual. Las organizaciones deben evaluar su probabilidad de ocurrencia y el impacto —generalmente económico— que pueden causar si se materializan.
Todas las organizaciones realizan actividades para alcanzar sus objetivos, y estas siempre implican riesgos. En la era digital, estos riesgos se han incrementado más allá de los procesos tradicionales, incluyendo riesgos tecnológicos, fraude, lavado de activos y muchos más.
Por eso es vital que todas las organizaciones cuenten con una adecuada gestión de riesgos que integre todas las amenazas que ponen en peligro sus objetivos. Su oportuna gestión no solo crea valor en la prevención de riesgos, sino que también ayuda a proteger las ganancias y el esfuerzo que ha costado alcanzarlas.
Juan José Ríos: Hola, ¿qué tal? Bienvenidos a este nuevo podcast.
En esta ocasión me acompañan:
- Jorge Diéguez, gerente de producto de Riesgo,
- Raúl Castellanos, gerente de producto de AML, y
- Ilian Vasco, VP de Marketing y Producto.
Gracias por acompañarnos. Y a ustedes que nos sintonizan y se unen a esta conversación, muchísimas gracias.
Jorge, gracias por acompañarnos. Comienzo contigo: ¿cuál es el enfoque que se está teniendo actualmente en la gestión de riesgos en regiones tan importantes y cercanas como América del Sur?
Jorge Diéguez: Gracias, Juan José. Al respecto, hemos observado que la tendencia que viene desde Sudamérica responde principalmente a una mayor presencia regulatoria en la gestión de riesgos. Esto se debe a que esta disciplina se está expandiendo hacia nuevas áreas y departamentos dentro de las instituciones, que anteriormente no estaban involucrados.
Desde hace varios años existen regulaciones que abarcan la gestión de riesgo operativo e integral. Países como Argentina, Uruguay y Chile ya cuentan con marcos regulados en esta materia. La novedad ahora es que departamentos como cumplimiento se están incorporando activamente a la gestión de riesgos, desde un enfoque más cualitativo.
Tradicionalmente, estas áreas se enfocaban en evaluaciones transaccionales, muchas veces de forma postmortem: primero ocurría la operación y luego se analizaba. Hoy la tendencia es ser más proactivos, anticiparse al riesgo y actuar antes de que se materialice.
Por ejemplo, en Ecuador, a partir del segundo semestre de 2020, se emitió una nueva regulación conocida como ARLA, con similitudes al SARLAFT de Colombia. Esta norma combina el análisis transaccional con una gestión cualitativa de riesgos, lo cual tomó por sorpresa a muchas áreas de cumplimiento, ya que excedía su experticia tradicional.
Ahora deben definir matrices de riesgo, identificar riesgos que aún no han ocurrido, medirlos y clasificarlos, con el objetivo de mitigarlos y evitar sorpresas futuras. Esto es muy valioso incluso para sectores no financieros, porque permite anticiparse a posibles pérdidas.
En resumen, las nuevas regulaciones están impulsando a las organizaciones a dar un paso adelante, a anticiparse al riesgo y a adoptar una gestión más estratégica y preventiva.
Juan José Ríos: Gracias, Jorge.
Raúl, según lo que nos compartía Jorge, los riesgos varían según la región, especialmente por diferencias regulatorias. Desde tu perspectiva, ¿cuáles son las principales tendencias en este contexto?
Raúl Castellanos: Gracias, Juan José. Además de lo que mencionó Jorge, quisiera resaltar el enfoque del marco COSO 2017, que pone énfasis en el riesgo estratégico.
Este enfoque surge de un análisis de los últimos 15 años en la gestión de riesgos en instituciones financieras. Se determinó que los riesgos de crédito, mercado, operativo y financiero han sido ampliamente depurados, y que las instituciones cuentan con sólidos mecanismos de mitigación. Sin embargo, donde se ha fallado es en el riesgo estratégico.
¿Por qué es importante? Porque en esta etapa de pandemia hemos tenido cambios drásticos en los mercados. Algunas economías y sectores entraron en depresión, mientras otros se mantuvieron activos, especialmente los relacionados con alimentos, fitness e insumos médicos. Esto reordenó el mercado.
El riesgo estratégico debe enfocarse en cómo sostenemos el negocio, cómo aseguramos rentabilidad a largo plazo y, sobre todo, en la supervivencia de la organización. Las medidas de alivio financiero dictadas por los gobiernos también obligaron a readecuar flujos de fondos y planes estratégicos.
Por eso hoy es clave redefinir indicadores que permitan tomar decisiones oportunas, ajustar los planes estratégicos y mantener una visión de mediano y largo plazo.
También quiero destacar que los estándares ISO publicaron recientemente el primer borrador de buenas prácticas de gobernanza institucional, que actualmente está en revisión, con el objetivo de establecer un estándar internacional.
En Guatemala, además, existe un anteproyecto de ley que promueve la buena gobernanza en instituciones públicas, orientado a fortalecer la administración y mitigar riesgos de corrupción y enriquecimiento ilícito, alineado con compromisos internacionales de transparencia.
En resumen, además de los riesgos tradicionales, el riesgo estratégico ha cobrado una importancia fundamental en tiempos de pandemia.
Juan José Ríos: Bienvenida a esta conversación, Ilian.
Hablemos ahora de nuevas guías. ¿Cómo ven los expertos la integración de la gestión de riesgos en la industria financiera dentro del nuevo marco de Basilea?
Ilian Vasco: Gracias, Juan José. Basilea ha venido actualizando su marco regulatorio desde hace varios años. Esto incluye mejoras en la calidad del capital, colchones de liquidez y exigencias de due diligence, así como lineamientos adicionales del Comité de Supervisión Bancaria de Basilea relacionados con la prevención del lavado de activos, financiamiento del terrorismo y la gestión de riesgos en general.
Dentro de este modelo también aplican las tres líneas de defensa, el adecuado seguimiento de la gestión de riesgos y la evaluación continua del perfil de riesgo.
Retomando lo que mencionaba Raúl, estas tendencias buscan que las organizaciones analicen sus estrategias y decisiones desde el retorno esperado, entendiendo verdaderamente su perfil de riesgo estratégico.
Esto implica contar con un marco integral donde confluyan riesgos organizacionales, de cumplimiento, de procesos y de objetivos, junto con controles mitigantes y actores clave, todo bajo un mismo modelo de gestión. Es, en esencia, contar con un sistema integrado de administración de riesgos que consolide todas las visiones bajo una misma estructura.
Juan José Ríos: Raúl, para entrar en contexto: los acuerdos de Basilea son una serie de directrices elaboradas por el Comité de Basilea desde 1974 para evitar riesgos sistémicos.
Desde tu punto de vista, ¿a cuál de estos acuerdos deberíamos prestar mayor atención en esta nueva normalidad?
Raúl Castellanos: Hay dos acuerdos particularmente relevantes. El primero, publicado a finales de 2015, sobre gobierno corporativo y buena gobernanza en las instituciones financieras. El segundo, emitido en julio de 2020, que reformula recomendaciones para la gestión de riesgos en prevención de lavado de dinero.
Tanto el Comité de Basilea como el Grupo de Acción Financiera publicaron actualizaciones en 2020 relacionadas con el COVID-19. Ambos coinciden en la necesidad de volver a los fundamentos: analizar cuáles son los riesgos actuales derivados de los cambios macroeconómicos y de comportamiento, y cómo deben ser gestionados.
Algunos sectores entraron en depresión, otros mantuvieron operaciones, y los flujos de fondos cambiaron significativamente. Además, la interacción presencial fue sustituida por videollamadas, tabletas y teléfonos inteligentes, lo que obligó a reasignar recursos y adoptar nuevos esquemas de trabajo remoto.
Basilea enfatiza que debemos reanalizar nuestros riesgos, identificar riesgos emergentes y definir medidas para garantizar la continuidad del negocio en esta nueva normalidad.
Juan José Ríos: Ilian, ¿de qué manera influye la tecnología en la gestión integral de riesgos en el sector financiero? Y, en ese sentido, ¿cuál es el rol de las criptomonedas y los cajeros automáticos?
Ilian Vasco: Gracias, Juan José. Con todas estas tecnologías emergentes y los procesos de transformación digital en la banca, es indispensable replantear la influencia de la tecnología dentro del marco de gestión de riesgos.
Cuando hablamos de criptoactivos, nos referimos a nuevos modelos de negocio que incluyen transacciones entre particulares y empresas, plataformas fintech, banca móvil, big data, modelos predictivos, crowdfunding, gestión automatizada de divisas, robotización de procesos y préstamos entre pares, entre otros.
Todo esto transforma la manera en que se procesan las operaciones y obliga a que la gestión de riesgos incorpore estos nuevos escenarios.
También debemos considerar factores macroeconómicos, como posibles recesiones, cambios en patrones de consumo, captación de recursos y optimización de procesos. Al mismo tiempo, el crimen financiero se ha incrementado, especialmente el cibercrimen, las identidades sintéticas y las empresas fachada.
Estos fenómenos generan impactos financieros directos, como reducción de utilidades y pérdidas operativas. Por eso, la influencia tecnológica exige replantear metodologías e integrar todos estos factores dentro del modelo de gestión de riesgos del sector financiero.
Locución institucional: El GRC-RM de Monitor Plus® es la solución ideal para la automatización de la gestión integral de riesgos. Está diseñada con altos estándares de calidad, basada en un entorno web y altamente parametrizable, permitiendo a todo tipo de institución realizar gestiones cualitativas y cuantitativas de forma sencilla.
Con el GRC-RM de Monitor Plus®, su organización puede lograr una administración eficiente de riesgos, fomentar la participación descentralizada, mitigar amenazas y reducir pérdidas, mejorando los resultados y creando mayor valor.
La solución permite analizar múltiples tipos de riesgos, basados en mejores prácticas, estándares internacionales y recomendaciones de expertos, simplificando procesos de gobierno corporativo, tecnología y cumplimiento normativo, entre otros.
Juan José Ríos: Continuamos con Mundo Financiero Seguro.
Raúl, los modelos de negocio cambiaron aceleradamente por la tecnología. ¿Qué otras influencias tecnológicas impactan hoy los riesgos financieros?
Raúl Castellanos: Uno de los principales factores fue la migración masiva a canales digitales desde el inicio del distanciamiento social. Las instituciones tuvieron que acelerar procesos para ofrecer servicios en la nube y fortalecer sus aplicaciones y portales.
Al mismo tiempo, la ciberdelincuencia creció de forma significativa. Interpol reportó incrementos superiores al 500% en ataques cibernéticos, incluyendo suplantación de sitios corporativos, correos fraudulentos (phishing), ataques de denegación de servicio y secuestro de servidores para extorsión.
Muchas instituciones no estaban preparadas para absorber esta demanda digital, especialmente en el trabajo remoto, que abrió nuevas brechas de seguridad.
Esto incrementó riesgos como la usurpación de identidad, la identidad sintética y otros delitos financieros. Los ciberdelincuentes han demostrado una gran capacidad de adaptación, reaccionando más rápido que muchas instituciones.
Además, fenómenos como fintech, crowdfunding y criptoactivos introducen riesgos adicionales, como el anonimato y la falta de regulación en algunos modelos. En el caso del crowdfunding, por ejemplo, es posible legitimar capitales alegando financiamiento colectivo sin mayores controles.
Por eso, las regulaciones deben evolucionar desde enfoques presenciales hacia esquemas digitales, incorporando ciberseguridad, activos virtuales e identidades digitales como elementos clave de esta cuarta revolución industrial acelerada por el COVID-19.
Juan José Ríos: Gracias, Raúl.
Jorge, ¿qué recomendaciones deberían considerar especialmente las entidades financieras en Latinoamérica respecto a la gestión integral de riesgos, partiendo del riesgo operativo? Me gustaría que abordaras también la relación con normas como ISO 9001:2015.
Jorge Diéguez: Gracias, Juan José. Haría tres recomendaciones principales.
La primera es buscar la automatización. Independientemente del tamaño de la empresa, regulada o no, es fundamental contar con herramientas tecnológicas que eviten errores en calidad de datos, integración de información y disponibilidad. Debemos dejar atrás hojas de cálculo y procesos manuales que limitan la eficiencia y reducen la adopción interna.
La segunda es buscar la integración. Desde COSO ERM 2017 se promueve que la gestión de riesgos sea parte del “tono de la organización”. Esto significa que no debe residir en un solo departamento, sino que cada área cuente con un representante o gestor de riesgos que alimente matrices, identifique riesgos existentes y emergentes, proponga controles mitigantes y retroalimente continuamente el proceso.
De esta forma, pasamos de una evaluación centralizada a una autoevaluación descentralizada, empoderando a los dueños de procesos, quienes mejor conocen los riesgos y pueden proponer soluciones efectivas.
La tercera recomendación es contar con un liderazgo claro, una persona que tenga la responsabilidad de coordinar la gestión integral de riesgos. En muchas instituciones, esta figura es el CRO (Chief Risk Officer), quien articula riesgos de gobierno corporativo, tecnología, cumplimiento normativo, proyectos, proveedores y otros.
Hoy, el cumplimiento normativo ya no es solo responsabilidad del área legal, sino parte de una gestión integral que busca proteger la organización frente a compromisos regulatorios, contractuales e internos.
Esta coordinación permite proteger las ganancias, evitar pérdidas y asegurar el logro de objetivos, especialmente en un entorno donde el riesgo estratégico ha cobrado mayor relevancia.
Juan José Ríos: Gracias, Jorge.
Ilian, como complemento, ¿qué recomendaciones agregarías frente a lo que acabamos de conversar?
Ilian Vasco: Coincido plenamente con Jorge. Desde el riesgo operativo confluyen muchos de los demás riesgos: crédito, liquidez, lavado de activos, estratégicos y tecnológicos.
Mi recomendación es que exista una integración real entre estos riesgos, que permita trabajar de manera consolidada. Además, es importante contar con una base de eventos de pérdida que permita identificar qué tipo de riesgos están generando mayores impactos y priorizar acciones.
En resumen, todo debe confluir en un modelo integrado que parta del riesgo operativo como eje central.
Juan José Ríos: Avanzamos en este episodio de Mundo Financiero Seguro.
Raúl, ¿cómo deben las instituciones financieras y no financieras abordar la gestión de riesgos no financieros?
Raúl Castellanos: A estos se les conoce como riesgos asociados e incluyen el riesgo reputacional, legal, de contagio y estratégico, entre otros.
Por ejemplo, el riesgo legal está estrechamente relacionado con el cumplimiento normativo. Las instituciones deben identificar todas las regulaciones a las que están sujetas según su nicho de mercado: ambientales, laborales, comerciales y sectoriales, así como compromisos internacionales, como la FCPA de Estados Unidos o la Bribery Act del Reino Unido.
El incumplimiento puede derivar en sanciones administrativas, económicas o incluso en multas millonarias para empresas internacionales.
En cuanto al riesgo reputacional, es fundamental cuidar con quién se hacen negocios. En tiempos de pandemia se abrieron brechas para legitimar capitales, por lo que muchas instituciones reforzaron sus procesos de vinculación y evaluación de terceros.
Si una institución se ve asociada a operaciones ilícitas, enfrenta dos riesgos: daño a su marca y riesgo de contagio, al verse involucrada indirectamente en actividades ilegales.
También quiero mencionar el impacto de los ciberataques en la reputación. Cuando una institución es vulnerada y se filtran datos de clientes, como información de tarjetas de crédito, el daño es inmediato: los clientes pierden confianza y las entidades corresponsales pueden cortar relaciones para mitigar sus propios riesgos.
Por eso, los riesgos no financieros son tan importantes como los financieros y deben ser gestionados de forma integral.
Juan José Ríos: Ilian, en línea con esto, ¿qué podrías agregar sobre cómo deben enfrentar las instituciones la gestión de riesgos no financieros?
Ilian Vasco: Muy en línea con lo que mencionó Raúl. Estos riesgos no financieros no pueden quedar fuera del modelo de gestión.
Hemos visto instituciones con pérdidas millonarias por riesgo legal, fraude, cambios climáticos y daños reputacionales, este último especialmente difícil de medir por su naturaleza intangible.
También existen riesgos estratégicos derivados de decisiones de expansión, riesgos tecnológicos por caídas prolongadas de sistemas, y riesgos de ciberseguridad que han tenido un impacto significativo en los últimos años.
Por eso, estos riesgos deben integrarse al mismo modelo de gestión financiera, bajo metodologías consistentes, con esquemas de priorización claros, ya que muchos de ellos pueden generar impactos financieros severos.
Juan José Ríos: Para cerrar, ¿qué podemos agregar sobre la gestión de riesgos?
Raúl Castellanos: La gestión de riesgos siempre ha sido fundamental para la continuidad del negocio, y hoy cobra aún mayor relevancia en tiempos de cambio.
La pandemia nos dejó muchas lecciones: la importancia de la solidaridad, de aprovechar la tecnología, de adaptarnos rápidamente y de reconocer el valor del capital humano, que es el principal sostén de las instituciones.
Una encuesta de PwC en 2020 mostró que, entre los principales factores para la sostenibilidad empresarial, destacan el capital humano, el riesgo regulatorio y la ciberseguridad.
Hoy es clave contar con una gestión dinámica de riesgos, acompañada de cultura organizacional y sistemas automatizados. En control interno, por ejemplo, marcos como SOX 404 enfatizan la segregación de funciones, el monitoreo integral y la validación de decisiones.
Si partimos de una buena administración de riesgos, podemos impulsar el negocio hacia una mayor resiliencia a largo plazo. Esa es la verdadera importancia de integrar cultura, procesos y tecnología en la gestión de riesgos.
Juan José Ríos: Muchísimas gracias, Raúl.
Con esto ponemos punto final a este episodio de Mundo Financiero Seguro, el podcast de Monitor Plus®.
Gracias a la participación de Jorge Diéguez, Raúl Castellanos y, desde Colombia, Ilian Vasco.
Soy Juan José Ríos. Hasta la próxima, y gracias por recomendarnos.
