Evaluaciones y revisiones de riesgos. Nada permanece constante indefinidamente. Podrá determinar si sus medidas de control son eficaces hablando con sus empleados y supervisando los índices de incidentes y las medidas de control. Los directivos y el personal deben tener la responsabilidad de supervisar el proceso y desarrollar procedimientos de información, así como de debatir y ayudar en la aplicación de soluciones y supervisar su eficacia.

Realización de evaluaciones y revisiones de riesgos

Normalmente, al realizar una evaluación y una revisión de riesgos, una organización sigue un proceso lógico y secuencial. Un proceso común implica los siguientes cinco pasos:

• Paso 1: Identificación de riesgos
• Paso 2: Evaluación del impacto y la probabilidad
• Paso 3: Evaluación de los riesgos
• Paso 4: Apropiación y mitigación de riesgos
• Etapa 5: Supervisión de los riesgos y presentación de informes

Paso 1: Identificación de riesgos

Para realizar la evaluación de riesgos, es necesario identificar los riesgos de todos los procesos y actividades de la organización o de un departamento concreto. Por ejemplo, para identificar los riesgos del departamento de finanzas, se deben identificar los procesos y actividades del departamento de finanzas. Algunos ejemplos de actividades del departamento de finanzas pueden ser:

• Registro de las transacciones financieras;
• Mantenimiento de las cuentas bancarias;
• Realización de pagos a proveedores;
• Preparación de las conciliaciones bancarias;
• Preparación de los estados financieros; y
• Pagar el impuesto de sociedades

Para identificar los riesgos relacionados con el departamento de finanzas, las actividades mencionadas se asocian con riesgos particulares que pueden ocurrir en la práctica para una actividad particular. Del mismo modo, para todos los demás departamentos de una organización, deben identificarse los procesos y actividades pertinentes para realizar una evaluación de riesgos.

Ahora, todos los riesgos identificados deben documentarse en forma de declaraciones de riesgo. Estas declaraciones de riesgo se redactan de forma lógica y secuencial. Las declaraciones de riesgo deben registrarse de forma centralizada en un registro o base de datos de riesgos. Todas las declaraciones de riesgo deben estar también vinculadas a una actividad, proceso o departamento concreto. Por ejemplo, los riesgos relacionados con la preparación de los estados financieros de una empresa deben vincularse con el proceso de información financiera que se lleva a cabo en el departamento financiero, ya que éste es responsable de la preparación de los estados financieros de la organización.

Después de documentar las declaraciones de riesgo por proceso o actividad, cada declaración de riesgo documentada se clasifica en una categoría de riesgo adecuada.

Hay varios tipos de categorías de riesgo, como:

• riesgo operativo,
• riesgo financiero,
• riesgo de incumplimiento,
• riesgo para la reputación,
• riesgo para la salud y la seguridad,
• riesgo estratégico,
• el riesgo de crédito, y
• riesgo de mercado

Paso 2: Evaluación del impacto y la probabilidad

Después de identificar y documentar los riesgos, se debe realizar una evaluación de los riesgos inherentes. Durante la realización de la evaluación de los riesgos inherentes, se lleva a cabo la llamada evaluación de impacto y probabilidad para cada riesgo. Por la presente,

• la evaluación de impacto requiere valorar la magnitud de la pérdida que un riesgo concreto puede suponer para el departamento u organización; y
• la evaluación de la probabilidad consiste en valorar la probabilidad de que se produzca cada uno de los riesgos identificados.

Las evaluaciones de impacto y probabilidad requieren asignar puntuaciones o niveles de riesgo a cada uno de ellos para llegar a una puntuación global de riesgo inherente.

Paso 3: Evaluación del riesgo

A partir de la evaluación del riesgo inherente realizada para cada riesgo, se lleva a cabo la evaluación del riesgo, lo que significa identificar los riesgos encontrados – críticos o no críticos. Normalmente, se consideran los siguientes niveles para la evaluación de los riesgos:

• Riesgos de nivel alto o crítico
• Riesgos de nivel medio o no crítico
• Riesgos de nivel bajo o insignificante

Paso 4: Apropiación y mitigación de riesgos

Las titularidades de los riesgos se definen y se incorporan a la base de datos de riesgos. Los propietarios del riesgo pueden ser los departamentos o las personas que trabajan en ellos. La asignación de la propiedad del riesgo ayuda a la coordinación con los departamentos y el personal pertinentes para la retroalimentación de los riesgos y los controles.

Los propietarios de los riesgos deben actualizar su respectiva base de datos o inventario de riesgos, mantenerse al tanto de sus respectivos riesgos nuevos y emergentes, y ser responsables de la aplicación de controles internos para mitigar sus riesgos.

Desarrollo de la respuesta al riesgo y evaluación de las actividades de control

Otra etapa del proceso de gestión de riesgos es la gestión de los mismos. La dirección selecciona una serie de acciones para alinear los riesgos con el apetito de riesgo de la organización y los niveles de tolerancia al riesgo para reducir el impacto financiero potencial del riesgo en caso de que ocurra y/o para reducir la frecuencia esperada de su ocurrencia. Las posibles respuestas al riesgo incluyen evitar, aceptar, reducir o compartir los riesgos.

• Evitar el riesgo significa retirarse de las actividades en las que la gestión del riesgo adicional no es rentable, y los rendimientos son atractivos.
• La aceptación del riesgo describe la aceptación del riesgo cuando la gestión del riesgo adicional no es rentable, pero los beneficios potenciales son atractivos.
• La reducción del riesgo implica actividades y medidas diseñadas para reducir la probabilidad de que el riesgo se cristalice y/o minimizar la gravedad de su impacto en caso de que se cristalice. Algunos ejemplos de medidas son la cobertura, el reaseguro, la prevención de pérdidas, la gestión de crisis, la planificación de la continuidad de la actividad, la gestión de la calidad, etc.
• El reparto de riesgos se refiere a las actividades y medidas destinadas a transferir a un tercero la responsabilidad de la gestión del riesgo y/o la responsabilidad por las consecuencias financieras del riesgo en caso de que éste se materialice.

Siguiendo las funciones y responsabilidades definidas, los departamentos operativos son responsables de aplicar un tratamiento de riesgos suficiente para gestionar los riesgos a un nivel aceptable. Si es necesario, puede obtenerse orientación sobre el desarrollo y la aplicación de las medidas de gestión de riesgos de un órgano responsable del riesgo, como un comité de riesgos.

Paso 5: Supervisión de riesgos y presentación de informes

Es necesario que existan controles adecuados y mecanismos de seguimiento continuo que permitan notificar a tiempo los cambios fundamentales en los riesgos o en sus medidas de gestión. Dado que el entorno interno y externo en el que opera la empresa está expuesto a cambios continuos, el proceso de gestión de riesgos debe ser lo suficientemente flexible como para adaptarse a las nuevas situaciones que vayan surgiendo. Las respuestas al riesgo que antes eran efectivas pueden volverse irrelevantes. Las actividades de control pueden perder eficacia o dejar de realizarse, y los objetivos de la entidad pueden cambiar. Ante estos cambios, la dirección debe determinar si el funcionamiento del marco de gestión de riesgos sigue siendo eficaz.

Por último, la información sobre riesgos comprende los siguientes elementos:

• Descripción de los principales riesgos y oportunidades de cada departamento;
• Calificación del riesgo basada en el impacto en la ocurrencia y la probabilidad de que ocurra;
• Descripción de las principales medidas de gestión de riesgos, incluido el impacto de estas medidas de gestión.
• Declaración de riesgos materializados.

Reflexiones finales

Las evaluaciones de riesgos y las revisiones de riesgos son procesos esenciales en una organización para identificar, evaluar, mitigar y monitorear diversas amenazas potenciales. Estos métodos implican procedimientos estratégicos, que van desde la identificación de riesgos vinculados a las actividades de la organización, pasando por una evaluación de impacto y probabilidad, hasta el desarrollo de respuestas y la asignación de propiedad. En particular, la implementación de medidas de control juega un papel fundamental en la mitigación de estos riesgos, lo que requiere una coordinación efectiva entre todos los niveles departamentales.

Los gerentes y el personal tienen responsabilidades cruciales en este proceso, desde supervisar la implementación de soluciones hasta monitorear su efectividad. Además, estos procedimientos no deben verse como estáticos, sino como procesos dinámicos que se adaptan al entorno interno y externo cambiante de la organización. Por lo tanto, el monitoreo y la presentación de informes de riesgos regulares son imperativos para garantizar la efectividad continua de estas medidas, fortaleciendo así la resistencia de la organización a las amenazas potenciales.