Por Rodger Fuller
A pesar de toda la retórica y el dinero invertido, la gestión de riesgos se trata con demasiada frecuencia como un problema de cumplimiento que puede resolverse con reglas. A veces podemos paralizar la capacidad de nuestros asociados para identificar los riesgos que enfrentan y evaluarlos y abordarlos adecuadamente. Realmente es un problema común.
Por supuesto, muchas reglas son sensatas y reducen los riesgos que podrían dañar a una empresa. Sin embargo, la gestión de riesgos basada en reglas no disminuirá la probabilidad o el impacto de un desastre. El primer paso para crear un sistema de gestión de riesgos efectivo es comprender las distinciones cualitativas entre los tipos de riesgos que enfrentan las organizaciones.
Un tipo son los riesgos evitables, los riesgos internos que surgen dentro de las organizaciones. Son controlables y deben eliminarse o evitarse por completo. Los ejemplos incluyen riesgos de acciones no autorizadas, ilegales, poco éticas, incorrectas o inapropiadas de los empleados y gerentes, y los riesgos de averías en los procesos operativos de rutina. Las empresas deben tratar de eliminar estos riesgos, ya que no obtienen ningún beneficio estratégico al asumirlos.
La segunda categoría implica riesgos de estrategia. Cada empresa acepta voluntariamente algún riesgo para generar rendimientos superiores a partir de su estrategia. Un banco asume cierto riesgo crediticio cuando presta dinero. Muchas empresas asumen riesgos a través de actividades de investigación y desarrollo o cuando realizan adquisiciones. Los riesgos de la estrategia son muy diferentes de los riesgos evitables porque no son inherentemente indeseables. Una estrategia con altos rendimientos esperados generalmente requiere que la compañía asuma riesgos significativos. Gestionar esos riesgos es un impulsor clave para capturar posibles ganancias.
No creo que los riesgos de la estrategia puedan gestionarse a través de un modelo de control basado en reglas. En cambio, necesita un sistema de gestión de riesgos diseñado para reducir la probabilidad de que los riesgos asumidos realmente ocurran y la capacidad de gestionar o contener los riesgos en caso de que ocurran. Esto permitiría a las empresas asumir empresas de riesgo-recompensa aún más altas que sus competidores con herramientas de gestión de riesgos menos eficaces.
El tercer tipo de riesgo implica riesgos externos. Estos surgen de eventos fuera de la influencia o el control de la compañía. Las fuentes incluyen desastres naturales y políticos, cambios macroeconómicos importantes, hackeos de ciberseguridad, etc. Debido a que las empresas no pueden evitar que ocurran tales eventos, la gerencia debe enfocarse en la identificación y mitigación de su impacto.
La gestión de riesgos se centra más a menudo en lo negativo: amenazas y fracasos en lugar de oportunidades y éxitos. Va exactamente en contra de la cultura de “puede hacer” que la mayoría de los equipos de liderazgo trabajan para fomentar. Muchos líderes son reacios a dedicar el tiempo y el dinero que ahora se necesitan para evitar un problema futuro incierto que puede o no ocurrir. La mayoría de las empresas necesitan una función separada para manejar la estrategia y la gestión de riesgos. El grupo debe reportar directamente al equipo superior. La capacidad de una empresa para sobrellevar tormentas depende en gran medida de la seriedad con la que los ejecutivos toman su función de gestión de riesgos.
Para gestionar el riesgo, lo dividimos en cuatro categorías:
- Evitar riesgos. Esto simplemente implica evitar productos y servicios con un alto potencial de pérdidas.
- Prevención de pérdidas. Esto implica implementar programas de capacitación y seguridad para empleados, por ejemplo, eliminar riesgos.
- Reducción de pérdidas. Estos enfoques se centran en minimizar los efectos de los riesgos a través de sistemas de respuesta que neutralizan los efectos de un desastre o percance.
- Riesgos financieros. Esto se hace pagando los riesgos reteniendo o transfiriendo sus costos a través de herramientas como pólizas de seguro o teniendo prácticas implementadas que guíen el comportamiento financiero, como parámetros en torno a cuánta deuda está dispuesta a asumir una compañía en relación con una adquisición.
Al final, la gestión de riesgos requiere disciplina y compromiso del liderazgo sénior en una organización. “Fuera de la vista, fuera de la mente” no funciona en un entorno donde siempre hay riesgo. Me recuerda a un viejo dicho: “Es mejor pasar tiempo construyendo casas de bomberos en lugar de apagar fuegos”.
