Guía básica para la gestión estratégica de riesgos

James Lam Associates, una consultora especializada en gestión de riesgos que trabaja en estrecha colaboración con CISO, CRO, CFO y CEO, realizó un estudio sobre la principal razón por la que las organizaciones sufren dificultades financieras.

La investigación reveló que el 61% de los incidentes se debieron a riesgos estratégicos , el 30% a riesgos operativos y el 9% a riesgos financieros.

A pesar de estas cifras tan elevadas, muchas organizaciones siguen ignorando la gestión estratégica de riesgos, fundamental para la continuidad del negocio. En este blog, analizaremos los matices de los riesgos estratégicos y cómo se integran en la estrategia de gestión de riesgos empresariales (ERM). 

¿Qué es el riesgo estratégico?

El riesgo estratégico se refiere a los riesgos que afectan la capacidad de una organización para lograr sus objetivos comerciales principales, causados ​​por una mala planificación o implementación estratégica, fusiones y adquisiciones, y respuestas deficientes a los cambios del mercado y los factores económicos.

Los riesgos estratégicos pueden afectar significativamente la salud financiera y el valor empresarial general de la organización, y están guiados principalmente por el liderazgo.

¿Qué es la gestión estratégica de riesgos?

La gestión estratégica de riesgos (GER) es el proceso de identificar, analizar y mitigar o aprovechar los riesgos que podrían afectar la capacidad de la organización para alcanzar sus objetivos o misión a largo plazo. Garantiza que la organización esté preparada para afrontar eventos inciertos y aproveche las oportunidades que se alineen con sus metas. La automatización de las actividades de gestión de riesgos dentro del proceso de GER permite una identificación y un seguimiento continuos, en lugar de depender de ciclos de revisión trimestrales, de modo que los riesgos estratégicos emergentes lleguen a la dirección cuando aún haya margen de respuesta.

La gestión estratégica de riesgos adopta un enfoque proactivo que integra la gestión de riesgos en el desarrollo de la estrategia organizacional. De esta manera, las organizaciones son más conscientes de sus riesgos y pueden desarrollar estrategias para mitigarlos.

Como sugiere MacLennan Roberts, la gestión de riesgos estratégicos (SRM) es una parte integral del enfoque estratégico de la empresa. Los cambios significativos en estos riesgos pueden requerir la revisión de los planes estratégicos o la implementación de nuevas estrategias.

Un marco sólido de gestión estratégica de riesgos establece objetivos empresariales claros y define indicadores clave de rendimiento (KPI) e indicadores clave de riesgo (KRI) para predecir y gestionar los riesgos potenciales. Debe involucrar a los miembros del consejo de administración y a las partes interesadas de la empresa, como la alta dirección.

¿Por qué es importante la gestión estratégica de riesgos?

La gestión estratégica de riesgos es esencial para la sostenibilidad empresarial a largo plazo, ya que le permite afrontar los desafíos con confianza y tomar decisiones informadas mediante un enfoque proactivo.

A continuación se detallan los beneficios de la gestión estratégica de riesgos:

Protege los objetivos a largo plazo

A diferencia de los riesgos operacionales, que impactan las actividades cotidianas, los riesgos estratégicos pueden afectar aspectos como la supervivencia del negocio, la expansión, la gestión del cumplimiento normativo y una cultura de aversión al riesgo. Estos objetivos a largo plazo se protegen cuando la organización anticipa las posibles amenazas derivadas de debilidades internas y externas, y toma las medidas adecuadas.

Permite tomar decisiones bien fundamentadas.

La gestión estratégica de riesgos considera todos los riesgos antes de tomar cada decisión, lo que ayuda a minimizar los puntos ciegos y las incertidumbres. Por ejemplo, si se busca ingresar a un nuevo mercado, la empresa evaluará los requisitos de cumplimiento específicos de la ubicación, los riesgos geopolíticos y las condiciones del mercado antes de lanzar el producto para mitigar posibles contratiempos.

Mejora la adaptabilidad y la resiliencia.

El entorno empresarial es volátil, y cada día presenciamos avances tecnológicos, actualizaciones regulatorias, amenazas emergentes y fluctuaciones económicas. Las organizaciones que integran con éxito la gestión estratégica de riesgos en su planificación y actividades de gestión de riesgos generales pueden adaptarse constantemente a estos cambios y mantener su resiliencia.

Ayuda a superar a la competencia.

La esencia de la gestión estratégica de riesgos radica en anticipar los riesgos y las disrupciones del sector, y aprovechar las oportunidades adecuadas. Las empresas que logran ambas cosas minimizan los obstáculos operativos y obtienen la ventaja de ser pioneras para mantenerse a la vanguardia de la competencia. Las actividades específicas de control de riesgos son las que transforman el trabajo de anticipación en una reducción real de la exposición, ya que cada control disminuye la probabilidad de que un riesgo estratégico se materialice o limita el daño cuando ocurre.

¿Cómo se mide el riesgo estratégico?

La medición del riesgo estratégico implica definir métricas de éxito como ganancias, rentabilidad sobre el capital y valor intrínseco, y evaluar riesgos críticos como estrategias de precios, cuota de mercado, aprobaciones regulatorias, etc. Esto se puede lograr con la ayuda de dos enfoques:

1. Calcular el capital económico

El capital económico (CE) cuantifica la cantidad de capital necesaria para absorber pérdidas inesperadas derivadas de riesgos estratégicos. Proporciona una evaluación prospectiva que contrasta con el capital contable, el cual refleja el desempeño financiero pasado. La práctica más amplia de cuantificar la exposición al riesgo subyace al cálculo del capital económico, que se basa en distribuciones de probabilidad, escenarios de pérdidas y supuestos de correlación entre los riesgos estratégicos que la cifra de CE pretende absorber.

Para la evaluación de riesgos estratégicos, el cálculo de la CE implica:

• Generar distribuciones de los cambios en el valor de la empresa debido a cada fuente de riesgo.
• Combinando estas distribuciones, considerando los efectos de diversificación.
• Cálculo del capital económico total necesario para mantener los estándares de solvencia deseados.
• Asignar capital económico a riesgos específicos en función de su impacto.

Capital económico = Monto total del riesgo – Pérdidas esperadas Importe total del riesgo: Riesgo combinado de diferentes áreas: – Riesgo de crédito – Riesgo de seguro – Riesgo de liquidez – Riesgo Operacional Pérdidas esperadas: Pérdidas que una empresa prevé afrontar, entre las que se incluyen: – Pérdidas futuras derivadas de diversos riesgos – Obligaciones contractuales – Deudas

2. Evaluar la rentabilidad del capital ajustada al riesgo (RAROC)

RAROC evalúa la rentabilidad de las iniciativas estratégicas en relación con el capital económico necesario para respaldarlas. Determina si una iniciativa genera o destruye valor dividiendo la rentabilidad prevista después de impuestos entre el capital económico. 

Los pasos clave para evaluar RAROC incluyen:

• Comparación del RAROC con el costo de capital de la empresa. Las iniciativas con un RAROC superior al costo de capital se consideran de valor añadido.
• Realizar análisis de escenarios para comprender los posibles resultados en diferentes condiciones.
• Evaluar la relación riesgo-rentabilidad en diversas decisiones estratégicas, incluyendo el crecimiento orgánico, las adquisiciones o las estrategias de gestión de capital.

RAROC = {Ingresos esperados – (Costo operativo + Gastos por intereses) + Rentabilidad del capital – Pérdidas esperadas}/Capital económico.

Otras medidas cuantitativas

Además del capital económico y el RAROC, las organizaciones también pueden utilizar:

• Valor actual neto (VPN) Cálculos ajustados al riesgo utilizando tasas de descuento.

• Valor Económico Agregado (EVA) modelos que integran ajustes de riesgo en las evaluaciones de la creación de valor.

Pasos clave para la gestión estratégica de riesgos

La gestión del riesgo estratégico ayuda a optimizar el equilibrio a largo plazo de la empresa entre riesgo y rentabilidad. Define el nivel de riesgo aceptable para la empresa, teniendo en cuenta sus productos y servicios. 

Una gestión eficaz del riesgo estratégico ayuda a las empresas a predecir y prepararse para posibles obstáculos. Permite flexibilidad para desarrollar estrategias o tácticas de mitigación que minimicen los riesgos o aprovechen oportunidades inesperadas. 

Aquí hay cinco pasos esenciales para la gestión estratégica de riesgos:

Paso 1: Integrar la gestión de riesgos y la planificación estratégica.

La planificación estratégica suele comenzar con métodos como el análisis FODA, los cuadros de mando integral para la gestión de riesgos (Kaplan y Norton) o las Cinco Fuerzas de Michael Porter. Sin embargo, es frecuente observar que estos marcos no integran los riesgos estratégicos. 

Por lo tanto, al planificar una estrategia empresarial, conviene utilizar herramientas comunes de evaluación de riesgos como matrices de riesgo, árboles de decisión, modelos FMEA, diagramas de corbata de lazo, etc. Estas herramientas proporcionan un enfoque estructurado para el análisis de riesgos derivados de amenazas internas y externas, así como de la dinámica competitiva.

Paso 2: Definir el nivel de riesgo aceptable.

Desarrolle una declaración clara sobre el nivel de riesgo aceptable, alineada con la estrategia comercial de la empresa. Esta declaración debe especificar cuánto riesgo está dispuesta a asumir toda la organización para alcanzar sus objetivos estratégicos.

Para definir el apetito de riesgo:

1. Identificar las principales categorías de riesgo (financiero, operativo, estratégico, etc.).

2. Establezca límites inferiores y superiores claros para cada categoría de riesgo. [Utilizando una matriz de riesgos o indicadores clave de riesgo ( KRI )]

3. Diseñar estrategias para gestionar y mitigar riesgos utilizando las políticas de la empresa. 

4. Elaborar declaraciones concisas sobre el nivel de riesgo aceptable, alineadas con los objetivos estratégicos.

5. Implementar una lista de verificación práctica para evaluar el nivel de riesgo aceptable en la toma de decisiones y el seguimiento.

Obtenga más información sobre la tolerancia al riesgo.

Paso 3: Cuantifique su perfil de riesgo

Utilice herramientas como el capital económico y el RAROC (como se mencionó anteriormente) para cuantificar los riesgos de su organización en relación con las iniciativas estratégicas. 

El capital económico le ayuda a evaluar el capital necesario para afrontar los riesgos, mientras que el RAROC evalúa la rentabilidad esperada del capital en relación con los riesgos asociados. Este análisis cuantitativo proporciona información valiosa sobre el potencial de cada iniciativa, tanto positivo como negativo, lo que le permite tomar decisiones estratégicas fundamentadas.

Paso 4: Analizar múltiples escenarios de riesgo

Los riesgos de su empresa deben analizarse en función de diversos escenarios, como pérdidas previstas, resultados inesperados, resultados óptimos o escenarios de trabajo reales. Esto está directamente relacionado con la elaboración de mejores informes de riesgos. 

Según ISACA, el formato básico de una declaración de riesgos es:

[Evento que tiene un efecto en los objetivos] causada por [causa/s] Resultando en [consecuencias].

Alternativamente, los escenarios pueden evaluarse utilizando matrices de riesgo, como se sugiere en N. Komendantova—International Journal of Disaster Risk Reduction 8 (2014). 

Paso 5: Monitorear continuamente los riesgos

Realice evaluaciones periódicas y asegúrese de contar con un sistema adecuado de seguimiento e informes para evaluar el desempeño de las iniciativas estratégicas en función de las métricas de riesgo predefinidas. Revise estas métricas periódicamente para detectar a tiempo los riesgos emergentes o las desviaciones de los resultados esperados. 

La mejor manera de controlar los riesgos es utilizar un registro de riesgos con responsables asignados. 

Los registros de riesgos suelen formar parte de (Gobernanza, riesgo, cumplimiento). Herramientas GRC where risks are mapped to specific controls. Here’s an example of Sprinto’s risk register:

Los riesgos se clasifican en niveles bajo, medio y alto, con diversos escenarios, sus controles correspondientes , planes de tratamiento, estado y responsables. Además, cada riesgo cuenta con un perfil individual que incluye su grupo de activos, origen, valor monetario y posibles amenazas y vulnerabilidades.

Dos tipos de factores de riesgo estratégico: Interno externo

Strategic risks, whether internal or external, can disrupt an organization’s path to achieving its goals. This holds true for both business and compliance goals. According to Lead Auditor at Sprinto, Varenya Penna, 

A continuación, se presenta un resumen de los seis factores internos y externos que afectan a los riesgos estratégicos, junto con algunos ejemplos:

Factores internos	Factores externos
Liderazgo y gestiónDecisiones deficientes, falta de visión o comunicación ineficaz por parte de los líderes.	Situación económica: Recesiones, inflación o subidas de los tipos de interés
Estructura y cultura organizacionalJerarquía rígida, departamentos aislados.	Cambio en las tendencias de la industriaCambios en las preferencias de los consumidores, nuevas tecnologías o competidores emergentes.
Capital humano/empleadosescasez de empleados cualificados, baja moral o alta rotación de personal	Ambiente políticoCambios en las políticas gubernamentales, conflictos políticos, inestabilidad en el país.
Tecnología utilizadaTecnología obsoleta o inadecuada	Cambios regulatoriosCambios en las políticas regulatorias, actualizaciones, introducción de nuevas leyes.
Capacidades financieras: Mala planificación financiera, problemas de flujo de caja o alto endeudamiento.	desastres naturales y crisisPandemias, ciberataques a gran escala, inundaciones

9 ejemplos o tipos de riesgo estratégico

Los tipos de riesgos estratégicos pertinentes para su negocio dependen de factores como la demanda del consumidor, la demografía, el sector, el producto, etc. Sin embargo, todos los tipos de riesgos para una empresa son interdependientes. Las nueve categorías generales de riesgos estratégicos que todas las empresas deberían considerar son: 

1. Riesgo reputacional

Las filtraciones de datos o los ciberataques pueden dañar gravemente la reputación de una empresa. Los clientes pierden la confianza en un negocio si sus datos quedan expuestos debido a un incidente cibernético. 

Por ejemplo, Volkswagen sufrió una filtración de datos en 2021, lo que provocó la pérdida de información de clientes como números de licencia, números de préstamos e información del seguro social correspondiente al período comprendido entre 2019 y 2021. Esto generó publicidad negativa y una disminución en la fidelidad de los clientes hacia la marca en los mercados de Estados Unidos y Canadá. 

2. Riesgo financiero

Los riesgos financieros representan el peor escenario posible para los riesgos estratégicos. Se manifiestan en forma de costos por recuperación de datos, investigaciones forenses, honorarios legales, multas regulatorias y compensación a clientes. Además, este riesgo está vinculado a interrupciones operativas, que pueden ocasionar pérdidas de ingresos. Por ejemplo, una empresa de servicios financieros que sufra un ataque de denegación de servicio podría perder millones en transacciones potenciales.

3. Riesgo de gobernanza

Una gobernanza deficiente en ciberseguridad puede aumentar la probabilidad y el impacto de los ciberataques. Esto incluye tener políticas de seguridad inadecuadas, no proporcionar la capacitación adecuada a los empleados y carecer de un plan claro de respuesta ante incidentes.  

Por ejemplo, una organización que no cuente con una política de autenticación multifactor podría ser más vulnerable a los ataques de phishing dirigidos a las credenciales de inicio de sesión de los empleados.

4. Riesgo regulatorio

Muchos sectores cuentan con normativas que rigen la privacidad y la seguridad de los datos, como ISO 27001, SOC 2, GDPR, etc. El incumplimiento de estas directrices conlleva graves sanciones y, en ocasiones, incluso penas de prisión. 

Por ejemplo, si desea desarrollar su actividad comercial en la Unión Europea, debe cumplir con el RGPD para proteger los datos de los consumidores, o de lo contrario se enfrentará a multas de hasta el 4 % de sus ingresos anuales. 

5. Riesgo operacional

Los riesgos operacionales forman parte de las operaciones y procedimientos empresariales cotidianos. Estos riesgos incluyen desafíos como las interrupciones en la cadena de suministro, que perturban las operaciones diarias y provocan pérdidas de productividad, interrupciones del servicio y retrasos.

Además, diversos tipos de riesgos, como los riesgos financieros, de gobernanza y regulatorios, también pueden dar lugar a riesgos operativos al afectar la eficiencia y la fiabilidad de los procesos empresariales.

6. Riesgo de la competencia

En sectores con alta competencia, como el marketing, las finanzas, el software como servicio (SaaS), etc., siempre existe el riesgo de que un competidor desarrolle un producto o servicio con mayor funcionalidad y menor coste. Este es un riesgo estratégico importante, ya que podría provocar la pérdida de clientes. 

Además, estos riesgos también pueden presentarse en forma de espionaje industrial, donde los competidores roban propiedad intelectual valiosa para obtener una ventaja injusta. 

7. Riesgo económico

Los riesgos económicos para las empresas pueden derivarse de factores como la inflación, las recesiones, las disputas comerciales, las fluctuaciones del tipo de cambio, la inestabilidad política y los desastres naturales. Para mitigarlos, las empresas deben diversificar su base de clientes en diferentes regiones y mantener modelos de precios flexibles.

8. Riesgo político

Los riesgos políticos surgen de la posibilidad de que los acontecimientos políticos o la inestabilidad en un país afecten negativamente las operaciones y la rentabilidad de una empresa. Se trata de un tema complejo que abarca diversos factores, como las tensiones geopolíticas, la corrupción o la evolución de las políticas gubernamentales. 

Por ejemplo, recientemente, en medio de las tensiones políticas entre Rusia y Ucrania, Rusia participó en ataques de denegación de servicio distribuido (DDoS) en Ucrania. El Centro Nacional de Ciberseguridad (NCSC) está prácticamente seguro de que el GRU estuvo detrás de estos incidentes DDoS.

9. Riesgo de cambio

El riesgo de cambio conlleva un impacto negativo potencial en una empresa debido a cambios internos o externos. Estos incluyen cambios en las expectativas de los clientes, fusiones y adquisiciones, modificaciones en las políticas internas, etc. 

¿Qué le depara el futuro a la gestión estratégica de riesgos?

El futuro de la gestión estratégica de riesgos reside en el avance de la tecnología y la automatización. El uso cada vez mayor de la automatización, impulsada por la inteligencia artificial (IA) y las bibliotecas de aprendizaje automático (ML), junto con el análisis de datos en el software de gestión de riesgos , allana el camino hacia predicciones de riesgos más precisas, monitoreo en tiempo real y estrategias de mitigación proactivas.

Su estrategia de gestión de riesgos empresariales (ERM), junto con los riesgos estratégicos, se beneficia enormemente del software de análisis de datos, capaz de procesar grandes volúmenes de información en un tiempo mínimo. Esto facilita el trabajo de los gestores de riesgos al identificar tendencias, patrones y posibles factores de riesgo, lo que les permite tomar mejores decisiones en materia de ERM.  

Un cambio hacia la automatización en las prácticas de gestión de riesgos estratégicos conlleva beneficios adicionales como:

• Incrementar el retorno de la inversión: Unas predicciones de riesgo más precisas y una mitigación proactiva conducen a mejores resultados financieros.
• Reducir costos: La automatización y el procesamiento eficiente de datos reducen los costos operativos y de gestión de riesgos.
• Ahorrando tiempo: La monitorización en tiempo real y el rápido procesamiento de datos reducen el tiempo necesario para la evaluación de riesgos.
• Mejorar la toma de decisiones: La identificación de tendencias y patrones mejora la planificación estratégica y la gestión de riesgos, además de facilitar una mejor toma de decisiones.
• Mejorar la asignación de recursos: Centrarse en los riesgos de alta prioridad permite un uso eficaz de los recursos.

5 herramientas y técnicas clave para la gestión estratégica de riesgos

El uso de herramientas potentes para la gestión de riesgos es fundamental ante el creciente panorama de amenazas y para mantenerse competitivo en el mercado. Con estas herramientas, las organizaciones pueden anticipar, evaluar y mitigar mejor los riesgos potenciales. Muchas de estas mismas herramientas sirven para la gestión de riesgos operacionales con mayor detalle, monitoreando fallas en los procesos cotidianos, fallos en los controles e incidentes menores que a menudo señalan las primeras etapas de riesgos estratégicos mayores antes de que se materialicen por completo.

Aquí presentamos cinco herramientas y técnicas clave para una gestión eficaz del riesgo estratégico:

1. Análisis DAFO

SWOT son las siglas de Fortalezas , Oportunidades , Debilidades y Amenazas . Es una herramienta fundamental que se utiliza para evaluar la posición estratégica general de una organización.

En la gestión de riesgos, un análisis FODA ayuda a identificar las fortalezas y debilidades internas que pueden influir en cómo su organización gestiona los riesgos. También le ayuda a identificar oportunidades y amenazas externas que podrían representar riesgos potenciales o generar oportunidades para mitigarlos.

2. Registros de riesgos

Un registro de riesgos es un repositorio central para documentar todos los riesgos identificados dentro de su organización. Generalmente incluye detalles como la descripción del riesgo, la probabilidad de ocurrencia, el impacto potencial, las estrategias de mitigación y los responsables asignados para la gestión de riesgos. 

Mantener un registro de riesgos permite a su organización realizar un mejor seguimiento de los riesgos, al tiempo que facilita la comunicación de los mismos entre los diferentes departamentos.

3. Mapa de calor de riesgos

Un mapa de calor de riesgos es una representación visual de los riesgos identificados. Generalmente se representa en formato de matriz. Uno de los ejes de la matriz suele indicar la probabilidad de que ocurra un riesgo, y el otro, el impacto potencial (financiero, reputacional, operativo, etc.) de dicho riesgo. 

El mapa de calor de riesgos suele estar codificado por colores según su celda de matriz, lo que proporciona una visión general rápida de los riesgos que requieren atención inmediata. Este sistema se define previamente según la gravedad del riesgo y ayuda a priorizar las medidas de mitigación y a asignar los recursos correspondientes.

4. Software de gestión de riesgos empresariales (ERM).

Un software ERM combina un conjunto de herramientas para optimizar y automatizar diversos aspectos del proceso de gestión de riesgos. Sus funciones incluyen la identificación y evaluación de riesgos, la planificación de medidas de mitigación, el análisis de escenarios, la elaboración de informes y el análisis de datos. 

El software ERM ayuda a las empresas que manejan grandes cantidades de datos. Gestiona de forma eficiente enormes volúmenes de datos de riesgo, facilitando la colaboración entre departamentos. Su característica más importante son las perspectivas en tiempo real para una monitorización y toma de decisiones eficaces. 

En comparación con los métodos manuales, las soluciones ERM ofrecen mayor eficiencia, coherencia y una gestión de riesgos basada en datos. Algunos ejemplos de software ERM son SpiraPlan, MetricStream, Archer, Auditboard, IBM y LogicGate. 

Más allá de la gestión de riesgos: herramientas GRC

Las herramientas GRC son sistemas de software que ayudan a las organizaciones a gestionar e integrar sus procesos de gobernanza, gestión de riesgos y cumplimiento normativo. Optimizan las funciones críticas para el negocio e integran la gestión de políticas , la evaluación de riesgos, el cumplimiento legal y la eficiencia operativa.

Utilizar una herramienta GRC para la gestión estratégica de riesgos es una excelente opción, ya que cubre casi todos los tipos de riesgos, como se mencionó anteriormente. Además, las herramientas GRC como Sprinto Incluyen numerosas funciones automatizadas para alertas de notificación de infracciones, informes, paneles de control, supervisión de controles y mucho más.

Sprinto integrates into your existing cloud environment and maps security controls to compliance requirements. Its dedicated risk dashboard is packed with a risk register and inherent and residual risk heat map. It gives you a live status of all the risks categorized in multiple scenarios with assigned risk owners. 

Además, el monitoreo constante de riesgos permite una mejor gobernanza corporativa, lo cual es esencial para Gestión sistemática del riesgo, . Sprinto provides a high-level governance framework from a compliance point of view with its informes de deficiencias de cumplimientoinformes de salud, informes de riesgos e informes de análisis de terceros/proveedores. 

Preguntas frecuentes