Gestión del riesgo operacional

De la visibilidad del riesgo a decisiones de negocio ajustadas por riesgo

¿Y si el riesgo pudiera medirse con la misma continuidad que los ingresos, y apareciera en la economía de cada producto y servicio?

La mayoría de los marcos de riesgo operacional cuentan lo que ya salió mal. Los incidentes se registran, las pérdidas se contabilizan, los indicadores de riesgo se revisan con una cadencia, los escenarios se actualizan periódicamente, y el consejo recibe una imagen agregada varias semanas después del periodo que describe. Todo ello es necesario. Muy poco de ello es actual.

La alternativa no es abandonar esos marcos, sino añadir una segunda visión: el riesgo medido cerca de donde realmente se origina — por producto, por servicio, por volumen de transacciones y por el entorno operativo que lo sostiene — y actualizado con una frecuencia suficiente para influir en las decisiones mientras siguen abiertas.

Esa es la premisa del Risk Accounting, una metodología desarrollada y publicada por el Risk Accounting Standards Board. VODIS trabaja en el lado de la implantación: traducir el método a un modelo operativo, habilitar los datos, construir la vista de gestión y — como paso aparte, que pertenece a VODIS y no al estándar — explorar qué significa el riesgo medido para la economía de un producto.

Por qué una visión retrospectiva no basta

Un informe trimestral de riesgos responde bien a la pregunta «¿qué pasó?». Responde mal a «¿qué se está acumulando ahora, y en qué producto?», y prácticamente nada a «¿qué efecto tendría esta decisión sobre nuestro riesgo?».

Las consecuencias prácticas resultan familiares a la mayoría de las funciones de riesgos y finanzas:

• El crecimiento se aprueba antes de que alguien compruebe si los controles escalan con él.
• Dos productos se comparan por margen, sin una medida comparable del riesgo que cada uno soporta.
• Las debilidades de control son conocidas en primera línea mucho antes de aparecer en una nota al consejo.
• Las acciones correctoras se priorizan por hallazgo de auditoría o por poder de influencia, no por exposición.
• Las decisiones de externalización se toman por coste, describiendo el efecto en el riesgo solo de forma cualitativa.

Medir el riesgo donde se origina

El cambio consiste en dejar de medir el riesgo después de que se materialice y medir la exposición de una actividad mientras se realiza. Tres elementos la determinan: qué es estructuralmente ese producto o servicio, cuánto de él se realiza, y con qué eficacia funciona realmente el entorno de control que lo rodea.

Expresado así, el riesgo se vuelve comparable entre carteras, en lugar de describirse por separado para cada parte.

Risk Accounting y la Risk Unit

El Risk Accounting es desarrollado y publicado por el Risk Accounting Standards Board (RASB), que se describe como un organismo normalizador independiente, de base académica y profesional, albergado en la Durham University Business School. Las definiciones siguientes proceden del RASB.

El método expresa el riesgo no financiero en una denominación común, de modo que exposiciones distintas puedan sumarse y compararse:

• Risk Unit (RU) — la medida estándar del RASB, que representa la exposición no financiera en una denominación de medida común.
• Inherent Risk (riesgo inherente) — la exposición bruta, antes de considerar controles y mitigación.
• Exposure Uncertainty Factor (EUF) — representa las características estructurales de riesgo y la incertidumbre de la actividad, producto, servicio o proceso definido, como la complejidad, las dependencias operativas y la estabilidad del entorno.
• Value-Based Weighting — el volumen observable o el tamaño de las transacciones informa la ponderación relativa de la unidad. El RASB aclara explícitamente que esto no afirma ninguna causalidad mecánica, proporcional ni predictiva respecto a las pérdidas finales.
• Risk Mitigation Index (RMI) — un índice empírico, dinámico y auditable de la eficacia de los controles, expresado de 0 a 100 %.
• Residual Risk (riesgo residual) — la exposición neta que queda tras la mitigación, expresada también en Risk Units.

La lógica publicada avanza en este orden: la exposición estructural, combinada con la actividad de negocio y su ponderación, produce el riesgo inherente en Risk Units; la aplicación del índice de eficacia de controles produce el riesgo residual en la misma unidad.

Dos precisiones importan aquí, y VODIS las declara en lugar de pasarlas por alto. El RASB publica la estructura del método pero no sus escalas y formulaciones detalladas en los materiales públicos; esta página no reproduce por tanto cifras que no puede documentar. Y el RASB es explícito: medición, valoración monetaria y reconocimiento contable son cuestiones relacionadas pero distintas — una Risk Unit es una medida de exposición, no un importe de dinero.

Una vista de gestión actualizada de forma continua

Cuando la exposición se expresa en una unidad única y los datos de entrada provienen de los sistemas en lugar de un cuestionario periódico, la medición puede actualizarse con mucha más frecuencia de la que permite un ciclo de reporting — en tiempo real o casi real, allí donde los datos subyacentes y la arquitectura de implantación realmente lo sostengan. La reserva es deliberada: en la mayoría de las organizaciones algunas entradas están automatizadas y otras no, y la respuesta honesta es que la frecuencia de actualización sigue a los datos.

Donde funciona, cambian las preguntas que la dirección puede plantear:

• ¿Dónde crece la exposición más rápido que los controles que la rodean?
• ¿Qué productos y servicios soportan el mayor riesgo residual, medido del mismo modo?
• ¿El crecimiento de esta línea aumenta la exposición más rápido que el ingreso?
• ¿Ha empeorado el riesgo residual respecto al mes pasado, y en qué área de control?
• ¿Qué controles son demostrablemente eficaces y cuáles existen solo en una política?
• ¿Qué acción eliminaría más exposición con menos esfuerzo?
• ¿Deberían revisarse ahora los volúmenes o límites de esta actividad, en lugar de en la próxima revisión?

De las Risk Units a la economía del riesgo

Esta sección describe una hipótesis de implantación de VODIS. No forma parte del estándar RASB, y nada de lo que sigue debe leerse como posición del RASB.

El Risk Accounting produce una medida de exposición. Las decisiones de gestión, en cambio, se toman casi siempre en dinero. El puente que VODIS quiere construir es una capa de traducción deliberada y claramente etiquetada: tomar el riesgo inherente y residual medidos de forma coherente y mapearlos — con hipótesis validadas, el histórico de pérdidas propio de la organización y una valoración prospectiva — a un coste económico estimado de soportar ese riesgo.

Donde esa traducción se sostiene, el riesgo puede entrar directamente en la economía del producto en lugar de quedar al margen:

• coste operativo
• coste de financiación y de capital, donde proceda
• coste de venta y de servicio
• coste económico estimado del riesgo
• margen objetivo

Se trata de un modelo de gestión, no de un estándar contable ni de una predicción de pérdidas. La estimación vale tanto como las hipótesis que la sostienen, y esas hipótesis deben hacerse explícitas para poder ser cuestionadas, versionadas y contrastadas con la realidad. VODIS trataría un modelo así como algo que se valida junto a las funciones de riesgos y finanzas, no como una entrega de caja negra.

Precios y rentabilidad ajustados por riesgo

Cuando el coste del riesgo puede estimarse por producto, varias decisiones habitualmente cualitativas se vuelven comparables:

• Rentabilidad de producto ajustada por riesgo, en lugar de margen antes de riesgo.
• Precios que reflejan el riesgo que un producto realmente soporta.
• Comparación entre clientes, segmentos y canales, en la medida en que los datos lo permitan.
• Decisiones de cartera sobre qué productos crecer, reajustar de precio, rediseñar o retirar.
• Fijación de volúmenes y límites basada en la exposición, no solo en el apetito de riesgo.
• Inversión en controles medida frente a la exposición que eliminaría.
• Decisiones de externalización y de proveedores con el efecto en el riesgo incorporado al precio.
• Rediseño de procesos allí donde más reduce la exposición.

El patrón que suele emerger es conocido, y aquí se describe en términos cualitativos porque las cifras reales son específicas de cada organización. Un producto puede parecer muy rentable antes de riesgo y bastante menos una vez soportado el coste de su riesgo residual. La misma lógica funciona a la inversa: una inversión en controles que reduce el riesgo residual puede mejorar la contribución ajustada por riesgo de un producto y, en ocasiones, crear margen para fijar precios más competitivos en lugar de más caros.

Riesgo existente y riesgo potencial

Un marco de medición es más útil si puede calcularse hacia adelante y no solo hacia atrás. Cuatro elementos deben mantenerse distintos:

• Exposición observada actualmente — lo que el negocio soporta hoy.
• Riesgo inherente — exposición bruta, antes de los controles.
• Riesgo residual — lo que queda tras la mitigación.
• Riesgo potencial — en qué se convertiría la exposición con volúmenes distintos, nuevos productos, controles modificados, otra externalización o en un escenario definido.

Es la última categoría la que da al método un lugar en la conversación de gestión. Sostiene preguntas como: ¿qué ocurre con nuestra economía ajustada por riesgo si los volúmenes de transacción se duplican? ¿Qué efecto tiene una eficacia de controles en descenso en esta área? ¿Es el margen de este producto adecuado al riesgo que aceptamos? ¿Costaría menos mejorar este control que seguir soportando el riesgo residual? Son preguntas de apoyo a la decisión. No son pronósticos garantizados y no deben presentarse como tales a un consejo.

Un ciclo de gestión continuo

Bien utilizado, esto no es un ejercicio de reporting sino un ciclo que sigue girando:

• Medir — expresar la exposición de forma coherente entre productos y servicios.
• Cuantificar — producir riesgo inherente y residual en una unidad común.
• Comparar — ordenar y contrastar toda la cartera.
• Traducir — estimar el efecto económico, con hipótesis declaradas.
• Decidir — en el nivel al que la decisión realmente corresponde.
• Actuar — mitigar, reajustar precios, rediseñar o limitar.
• Volver a medir — y comprobar si la acción movió la cifra.

El último paso es el que más a menudo se omite y el que hace creíble el resto: si una inversión en controles no mueve el riesgo residual, eso es información importante.

Risk Accounting Standards Board

La metodología del Risk Accounting, su terminología y su labor normalizadora son desarrolladas y publicadas por el Risk Accounting Standards Board. El RASB es la fuente autorizada del método en sí, y su sitio web y sus documentos técnicos son la referencia con la que VODIS trabaja — incluidas las publicaciones sobre la medición del riesgo operacional antes de que se convierta en pérdida y las propuestas sobre el tratamiento contable de las Risk Units.

VODIS es una práctica de implantación e integración. VODIS no inventó el Risk Accounting, no posee la metodología y no afirma ser socio de implantación acreditado por el RASB.

Descubra el Risk Accounting en el RASB — rasb.org

Dónde contribuye VODIS

La metodología es el punto de partida, no el resultado. Hacerla funcionar en una organización real es un programa de implantación e integración — y es exactamente la parte de la que se ocupa VODIS:

• Traducir la metodología a un modelo operativo y una gobernanza sostenibles.
• Construir el inventario de productos y servicios sobre el que se apoya la medición.
• Obtención e integración de datos, incluida la conexión a los sistemas transaccionales.
• Diseño de la taxonomía de riesgos y del modelo de datos.
• Mapeo de procesos y controles y la evidencia de eficacia de los controles.
• Arquitectura tecnológica, automatización y el camino hacia la frecuencia de actualización.
• Cuadros de mando e información de gestión que un consejo realmente utilice.
• Integración con el reporting de riesgos, finanzas y gestión existente, no al margen de él.
• Economía de producto ajustada por riesgo, construida como un modelo explícito y cuestionable.
• Una implantación piloto de alcance delimitado antes de cualquier compromiso corporativo.
• El programa de cambio y la gobernanza que lo rodean.

Un punto de partida sensato

La primera conversación más útil es acotada: una línea de producto o un área operativa, los datos que ya existen para ella, y las decisiones que la dirección tomaría de otro modo si la exposición se midiera de forma coherente y se actualizara con más frecuencia.

A partir de ahí suele ser rápido determinar si un piloto delimitado merece la pena, qué trabajo de datos exige y qué haría falta para conectar su resultado con la economía que la empresa ya gobierna.

Hablemos de la medición del riesgo operacional