Las Fronteras del Riesgo Operacional

Desde que el Comité de Basilea definio formalmente el riesgo operacional como aquel que podría provocar pérdidas como consecuencia de procesos internos, recursos humanos o sistemas inadecuados o defectuosos, o por causas externas; el establecer límites (responsabilidades) en la administración del riesgo operacional en ocasiones se convierte en una acción contraproducente en las organizaciones.
El riesgo operacional no tiene fronteras que pudieran demarcarse para que una unidad especializada lo administre. Buscar limitar esta actividad a un grupo de personas que pudiera estar bien preparada desde el punto de vista académico y práctico no reducirá la exposición al riesgo, nunca podrá incorporar a tiempo toda la información necesaria para comprender los niveles de exposición en los que se encuentra y mucho menos podrá crear el ambiente de gestión que es requerido para convivir con un riesgo que es inherente a las operaciones de toda organización, no importando a que se dedique, pues no existe una organización que hoy día no use intensivamente la tecnología que apoya procesos críticos del negocio y que son utilizados por clientes o usuarios; y que además todos en conjunto se exponen a un entorno que por no podremos jamás dominar.
Conocer el tipo de riesgo al que se enfrenta la organización
Lo primero que se debe garantizar es que la Junta Directiva de las organizaciones comprendan que el riesgo operacional es un tipo de riesgo totalmente distinto al riesgo de crédito o mercado. Ya que por mucho que se asuma de este tipo de riesgo no arrojará ningún beneficio. Lo contrario a los riesgos de crédito y mercado es que el nivel de exposición en ellos determina la expectativa de beneficio. Lo cierto es que lo que se puede hacer es mantener un nivel bajo de riesgo operacional para no afectar los beneficios.
Otro elemento importante que se debe conocer es que el riesgo operacional no admite que se evalúen condiciones previas para su materialización, tal como ocurre en crédito y mercado. En el caso de crédito se puede condicionar el otorgamiento de un crédito si no se cumplen algunos pre requisitos para otorgarlo y en el caso de mercado se establecer límites de aceptación de pérdidas. En riesgo operacional, no hay límites y no se pudiese prever cuando alguién pudiera faltar al trabajo, equivocarse o irse de la organización, cargando con todo el conocimiento concentrado en él.
La estructura para administrar riesgo operacional
En principio el riesgo operacional será gestionado en toda la organización, obedeciendo a la aplicación de prácticas establecidas por la normativa de cada país y en su defecto a lo establecido por el Comité de Basilea. Esto es la existencia de un Comité de Riesgo Operacional el cual tendrá correspondencia con una Gerencia especializada en dicho riesgo y a esta gerencia le reportarán figuras de riesgo que estarán en todas las unidades en toda la organización. Lo cierto es que la mayoría de las organizaciones no tiene problema de llegar hasta la Gerencia de Riesgos, pero en lo que respecta a hacer el modelo descentralizado el modelo comienza a tener fallas. Las razones pueden ir desde la cultura hasta los costos que ello implica. Por cierto, pudiera ser una consecuencia de la otra. Sin embargo, siempre existen alternativas apropiadas.
Aprovechar la Estructura Organizativa Existente
Hoy en día todas las organizaciones que tienden a ser más exigidas por los servicios al público, tal como ocurre con las instituciones bancarias o de servicios basicos, han desarrollado unidades especializadas para luchar contra elementos adversos como lo son las amenazas externas que pueden provenir por efectos naturales, ambientales no naturales o humanas; así como productos que pueden monitorear el ambiente interno de fraudes, extracción o alteración de información y fallas tecnológicas. Todo esto a través de herramientas destinadas para tal fin.
Todas estas prácticas, técnicas y herramientas se encuentran en unidades en la estructura organizativa que atienden la gestión de prevención y control, tal como seguridad de la información, seguridad física, prevención de legitimación de capitales, tecnología de información y otros tantos comités como los de seguridad y prevención de desastres o manejo de crisis.
Lo importante es que la unidad a cargo de la gestión de riesgo operacional saque provecho de la existencia de estas estructuras y procurar construir los canales que permitan comunicar además de establecer la relación con las unidades dueñas de los datos que se derivan de las distintas actividades de gestión de dichas áreas, esta acción sin invadir las funciones o atropeyarse por efectos de lo que las normativas no necesariamente dejan claro suficientemente y que por lo general, en su interpretación pudieran conllevar a crear conflictos.
Con respecto a las unidades de negocios, el riesgo operacional debe irse ocupando de los procesos más críticos y por lo general éstos son bastante controlados y monitoreados; inclusive gozan de alta automatización. Al presentar estas características lo importante entonces es negociar la forma de como se obtendrá la información de éstas áreas. Un esquema base es recoger mediante trazas de monitoreo de los sistemas de información cualquier excepción o anomalía recogida por los sistemas de detección o registro de bitácoras.
Lo más importante es que las unidades perciban que el área de riesgo no las está presionando creando sobrecarga de trabajo, y a su vez lograr suministrar la información útil para generar y suministrar la información necesaria para llevar adelante la gestión de riesgos. Alternativamente, el proceso debe ser paulatino y los roles de administración de riesgos en toda la organización debe quedar suficientemente claro, conociendo con relativa certeza donde sería posible que puede haber algún tipo de colaboración y apoyo entre las áreas.
La mayoría de las veces hemos notado que todo lo que necesita la unidad de riesgos como insumo de información ya está siendo generado por otras unidades, por tanto lo importante es activar los procesos de comunicación que existen en la organización y procurar lo que requieren para su gestión; y si aun lo dudan, para muestra les dejamos un botón: La unidad de prevención de legitimación de capitales, seguridad de información, gestión de la continuidad de negocios, auditoría financiera y tecnológica, monitoreo de redes, seguridad integral, gestión de reclamos, service desk, entre otros tantos.

Las Prioridades en la Gestión de Riesgo Operacional

En la mayoría de las organizaciones donde se han incorporado prácticas de riesgo operacional, el primer cuestionamiento que se hacen es ¿por dónde empezar?; ¿porqué allí y no en otra parte? y si; ¿siempre va a ser ese el camino? Estas preguntas no pueden ser respondidas por nadie inmediatamente sin haber realizado un análisis breve, pero concreto del flujo de ingresos de la organización; pues de no hacer este análisis, estará basándose en aspectos meramente teóricos y con una alta probabilidad de que las respuestas dadas no sean muy cercanas a la realidad organizacional. La mayoría de la bibliografía que trata la evaluación de los riesgos operacionales coincide que ésta debe ser aplicada a los procesos, con lo cual estamos de acuerdo. También indican que son los procesos más importantes de la organización, los cuales deben ser considerados a la hora de aplicar las evaluaciones de riesgo; con lo cual también estamos de acuerdo. Sin embargo ¿cómo sabemos cual es el más importante sin caer en las subjetividades de los dueños de los procesos? Realmente las respuestas a todas estas preguntas se encontraron cuando a finales de 2003; nos encontrábamos con un organización que nos había contratado para desarrollar toda la práctica de riesgo operacional y cuando nos preparábamos a realizar la primera evaluación no sabíamos aun por donde comenzar. El tema es que esta organización, históricamente ha sido muy estable desde todo punto de vista y altamente conservadora, no asumiendo mayores riesgos en el mercado. Generalmente cuando un equipo de evaluación de riesgo operacional se encuentra realizando la planificación del trabajo, lo primero que hace es identificar que cambios han habido recientemente, tanto en los rubros financieros como operativos. Estos últimos se enfocan a cambios organizacionales y tecnológicos que en la mayoría de las ocasiones impactan fuertemente a una organización, sin embargo existen organizaciones que pueden no manifestar cambios importantes. Los informes de auditoría podrían reflejar algunas pistas, pero no deben tomarse como punto de partida ya que la razón de la auditoría es determinar hasta que nivel la organización está cumpliendo los objetivos establecidos por la gerencia, identificando las mejoras requeridas al marco de control. Alternativamente la administración de riesgo operacional persigue que se consolide un comportamiento racional de la organización para tomar y aceptar riesgos sólo cuando éstos tienen un adecuado nivel de recompensa en función de dicha propensión. Por esta razón es importante tener claro en que parte de los procesos de la organización pudieran estarse generando asimetrías en esta relación y atenderla con prontitud. Una forma que puede ser simple y efectiva es basarse en prácticas que el Comité de Supervisión Bancaria de Basilea ha desarrollado para el cálculo del capital de riesgo operacional, el cual consiste en tomar los ingresos brutos[1] aplicados por cada producto y servicio de las líneas de negocios. Esto es aplicado a las instituciones financieras, pero que pudiera ser fácilmente trasladado a cualquier tipo de empresa no importando su sector; pues a fin de cuentas, por todas las líneas de negocios o producción se puede estimar el ingreso bruto, más aun si la organización está bien estructurada en sus procesos contables. Para nosotros ha sido simple demostrar que las líneas de negocios más importantes son aquellas que le generan más rentabilidad a una organización. Sin embargo, la relación de pérdidas o gastos que esta pueda tener, puede hacer que afecte su posición en el "ranking" de la rentabilidad. Por lo tanto una línea de negocios o producción que debe estar situada en los niveles más altos dentro de un ordenamiento de mayor a menor en dicha escala y la misma se encuentra en una posición inferior, pueda que sea el mejor indicador para iniciar la evaluación de riesgos operacionales, pues sin duda algunos factores o componentes del riesgo operacional se están materializando. La verdad, para nosotros en los análisis prevalece la rentabilidad más que los ingresos. Por aplicar esta práctica en la mayoría de las ocasiones se evalúan áreas que son la prioridad para la administración de riesgo operacional. De esta manera fue que en 2003 y desde entonces les demostramos a los gerentes de riesgos y demás interesados que éste es un esquema que puede ser útil a la hora de definir la prioridad para dar inicio a la práctica de gestión de riesgo operacional en las organizaciones.

Los Miedos en Riesgo Operacional

En un artículo anterior hacia mención a los ingredientes que deben estar presentes para administrar riesgo operacional; destacando que uno de ellos era tener un lenguaje absolutamente claro, en lo posible sin la existencia de modismos, palabras rebuscadas o muy técnicas que pervirtieran el sentido del mensaje incorporando ruido en la línea de comunicación. Esto es complejo cuando las organizaciones son grandes y se encuentran muy estructuradas, burocratizadas o inclusive, adecuadamente segregadas.
También argumentabamos que con la adopción de estándares, entrenamiento y un buen gobierno de riesgo, en el que se establezcan las políticas claras; se podría lograr un buen marco de trabajo para la gestión de riesgos. Sin embargo, debo comentarles que esto no es tan simple cuando se lleva a la realidad.
Las razones por las cuales se impacta negativamente esta iniciativa es que no se identifican las amenazas antes de implantar una práctica tan abstracta como ésta en la organización. Se supone que la gestión de riesgo operacional es una práctica que permitirá identificar vulnerabilidades y amenazas. Basándose en tales hallazgos se construiran escenarios que permitan generar un mapa de la severidad de los riesgos con el fin de obtener las mejores alternativas para mitigarlos. Sin embargo, nunca se hace una evaluación de los miedos antes de implantar dicha práctica, lo cual atenta contra el éxito de la gestión de riesgo operacional.
El primer riesgo (miedo) que encontramos es que no existen límites claros para las funciones que se asignan a los distintos roles, provocándo en todo el talento humano se ponga a la defensiva pues supone que próntamente alguíen va a sustituirlo en su función laboral. El segundo riesgo (miedo) presente, es un tema que hemos colocado en algunos papeles de trabajo previos y es la medida de nuestra ignorancia, la cual radica en destacarnos en lo que más sabemos y ocultar aquellos asuntos de los cuales tenemos poco o ningún conocimiento; y que sin embargo puede ser un asunto que debemos gerenciar. El tercer riesgo (miedo) es el que la mayoría del talento humano rara vez ha sido preparado para reconocer los errores y asumir su responsabilidad. Por lo general es otro aspecto que como personas dentro de una organización que funciona como un sistema se tienda a buscar un cumplable alrededor y por lo general, con una alta probabilidad se encontrará, pues la organización es amplia y sin duda tiene sus defectos.
Puede que existan otros miedos, pero es muy posible que sean derivados de los antes mencionados, pues por lo general la aparición de uno de ellos puede desencadenar un proceso de acciones de entorpecimiento de cualquier inicativa de gestión de riesgos operacionales.
Sin duda que identificando los riesgos se puede comenzar a trabajar en su mitigación o contramedida que permita llevarlo a su nivel de aceptación posible al perfil deseado por la organización. De allí que si se realiza una evaluación de riesgos para identificar las debilidades que este escrito hemos identificado como miedos, es muy posible se puedan permitir la implantación de una gestión adecuada de riesgo operacional.
Ahora bien, es importante que para implantar una gestión de riesgo operacional se debe tener una clara definición de las funciones y los roles que jugará cada protagonista organizacional. Debe existir un programa de sensibilización, a todo nivel permita llevar mensajes que la nueva práctica no busca culpables y que por el contrario no se pretende limitarles el campo de acción. El mensaje debe ser claro y en función que para las organizaciones es muy díficil sustituir un recurso porque no conozca algún tema, simplemente es más fácil reentrenarlo en nuevas prácticas y aprovechar toda su experticia en las prácticas que venía ejecutándo.
Si estos mensajes son trasmitidos y las asignaciones son claras en función de los objetivos, podríamos estar más cerca de materializar una implantación de una práctica de riesgo operacional cercana a lo deseado por todos.