Cómo determinar la madurez de riesgos

En esta sesión Luis Enrique Álvarez, gerente comercial en Pirani, nos enseña qué es la madurez de gestión de riesgos, los modelos existentes, los niveles de madurez de una empresa en gestión de riesgos y cómo gestionarlo con Pirani.

¿Qué es la madurez de gestión de riesgos ?

Este término se refiere al nivel de preparación que tiene una organización en gestión de riesgos, es decir, indica el conocimiento que esta tiene sobre este proceso y de qué manera lo implementa. En general, la madurez de gestión de riesgos permite a las empresas conocer cómo están en la forma que administran los diferentes riesgos a los que están expuestas.

¿Por qué es importante conocer la madurez de gestión de riesgos?

Es importante porque ayuda a ver qué se está haciendo bien, qué falta y a partir de esto, estructurar y desarrollar acciones que permitan lograr el mayor nivel de madurez en gestión de riesgos.

Modelos de madurez de gestión de riesgos

Índice de Madurez de Riesgo: Fue desarrollado en 2011 por Aon y The Wharton School de la Universidad de Pennsylvania. Este índice permite a los gerentes, directores y profesionales de riesgos en general identificar cuáles son las áreas críticas en su proceso de gestión de riesgos a partir de la evaluación de prácticas relacionadas con el gobierno corporativo y la toma de decisiones. En esta evaluación que propone el Índice de Madurez de Riesgos de Aon y The Wharton School se tienen en cuenta las siguientes diez características:

• Entendimiento y compromiso con la gestión de riesgos como un factor crítico para la toma de decisiones y para impulsar el valor a nivel de la junta.
• Un ejecutivo de nivel senior que impulse y facilite los procesos clave y el desarrollo de la gestión de riesgos.  Transparencia en la comunicación de riesgos.
• Una cultura del riesgo que incentiva una completa participación y rendición de cuentas en todos los niveles de la organización.
• Identificación de los riesgos existentes y emergentes, utilizando datos e información internos y externos.
• Participación de los principales grupos de interés en el desarrollo de la estrategia de gestión de riesgos y en la definición de políticas.
• Recolección e incorporación formal de la información de riesgos operativos y financieros al proceso de toma de decisiones.
• Integración de información sobre la gestión de riesgos a los procesos de capital humano para incentivar un desempeño comercial sostenible.
• Uso de métodos de cuantificación sofisticados para entender el riesgo y demostrar el valor agregado mediante la gestión de riesgos.
• Pasar de enfocarse en evitar y mitigar los riesgos a apalancar el riesgo y las opciones de gestión del riesgo que extraen valor.
  

El nivel de madurez de la organización

Con base en la información recolectada, el nivel de madurez de la organización se califica en una escala de 1 a 5 de la siguiente manera:

• Nivel 1 o inicial: la organización identifica y aborda los riesgos, pero lo hace de forma aislada. El alcance del proceso de gestión de riesgos es limitado.
  
• Nivel 2 o básico: el conocimiento, manejo y monitoreo de los riesgos clave de la organización es inconsistente. Las capacidades para gestionar los riesgos son limitadas, además, la información que se tiene de este proceso es informal.
• Nivel 3 o definido: la organización aborda sus riesgos clave, hay capacidades para medirlos y administrarlos y monitorearlos, pero puede haber inconsistencias al interior.
• Nivel 4 u operativo: se conocen los principales riesgos de la organización y las actividades para abordarlos se ejecutan de manera consistente. La información sobre la gestión de riesgos se tiene en cuenta explícitamente para la toma de decisiones.
• Nivel 5 o avanzado: la organización tiene una alta capacidad para identificar, medir, administrar y monitorear sus riesgos. La gestión de riesgos es dinámica y se adapta a los cambios, además, es considerada como un proceso que brinda ventajas competitivas.

Por su excelente desarrollo y referencia al COSO ERM, se considera de importancia repasarlo e intentar adaptarlo en las organizaciones.

Modelo de medición para auditores

Fue desarrollado en 2002 por Basil Orsini, en su momento director de Auditoría Interna del Departamento de Recursos Humanos en Canadá. Este modelo centra la medición del nivel de madurez de gestión de riesgos en cinco aspectos principales:

1. Cultura / Filosofía Organizacional

• Valora la contribución de los empleados en la administración del riesgo
• Cultura de administración del riesgo
• Papel y responsabilidades en el manejo del riesgo
• Encadenamiento a los valores y la ética

2. Liderazgo y compromiso

• Liderazgo del gerente general
• Política de riesgo y marco de referencia para la administración
• Papel y responsabilidades del gerente general

3. Integración con los sistemas organizacionales

• Encadenamiento a los negocios y la planificación operativa
• Encadenamiento a la medición del desempeño
• Encadenamiento a la calidad del servicio
• Encadenamiento a la información de administración departamental
• Encadenamiento a la comunicación interna y retroalimentación sobre riesgos
• Encadenamiento a la comunicación con inversionistas

4. Habilidades en gestión de riesgos

• Competencias en administración del riesgo
• Técnicas en administración del riesgo
• Soporte de especialistas

5. Reporte y control

• Exploración de amenazas y oportunidades externas
• Controles
• Justificación
• Medición y supervisión

A partir de la evaluación que se realiza para cada uno de estos puntos, los niveles de madurez identificados son:

Niveles de madurez

• Incipiente: no se ha implementado formalmente un sistema de gestión de riesgos, la identificación o seguimiento de estos no es consciente.
• Conocido: aunque hay un sistema formal de gestión de riesgos, la administración de estos es dispersa, descentralizada y no hay una adecuada capacitación.
• Definido: se cumple con el sistema de gestión de riesgos establecido, hay políticas y procedimientos que involucran a toda la organización en este proceso.
• Administrado: la gestión de riesgos se desarrolla de forma adecuada y hay claridad sobre la tolerancia al riesgo por parte de la organización.
• Optimizado: la gestión de riesgos hace parte de la cultura organizacional, hay indicadores para su medición y monitoreo constante.