14.1: Apéndice Introducción

La reciente ola de escándalos empresariales y eventos mundiales amenazantes ha fomentado una mayor conciencia sobre la importancia de la gestión de riesgos como componente del gobierno corporativo. En 2004, el llamado Comité de Organizaciones Patrocinadoras de la Comisión Treadway (COSO) publicó un informe integral titulado “Enterprise Risk Management—Integrated Framework” para proporcionar a las empresas una hoja de ruta para identificar riesgos, evitar trampas y aprovechar las oportunidades para crecer firmes valor.

COSO define la gestión de riesgos empresariales (ERM) como

un proceso, efectuado por el consejo de administración, dirección y otro personal de una entidad, aplicado en un entorno estratégico y en toda la empresa, diseñado para identificar eventos potenciales que puedan afectar a la entidad, y gestionar el riesgo para que esté dentro de su apetito de riesgo, para brindar una seguridad razonable respecto a la logro de objetivos de entidad.PricewaterhouseCoopers (2004). Marco basado en principios para gerencias y consejos para gestionar de manera integral los riesgos a los objetivos (publicado por COSO, disponible en http://www.coso.org).

Así definido, ERM asiste en

• alinear el apetito de riesgo y la estrategia considerando explícitamente el apetito de riesgo de la organización en la evaluación de alternativas estratégicas, el establecimiento de objetivos relacionados y el desarrollo de mecanismos para manejar los riesgos relacionados;
• mejorar las decisiones de respuesta al riesgo proporcionando rigor a la identificación y selección entre respuestas alternativas al riesgo: evitación, reducción, distribución y aceptación de riesgos;
• reducir las sorpresas y pérdidas operacionales mejorando la capacidad de identificar eventos potenciales y establecer respuestas, reduciendo así las sorpresas y los costos o pérdidas asociados;
• identificar y gestionar riesgos múltiples e interinstitucionales facilitando respuestas integradas a múltiples riesgos en toda la organización;
• aprovechar oportunidades considerando una gama completa de eventos potenciales, lo que permite a la gerencia identificar y realizar oportunidades de manera proactiva;
• mejorar el despliegue de capital mediante la obtención de información sólida sobre riesgos, lo que permite a la administración evaluar eficazmente las necesidades generales de capital y mejorar la asignación de capital.

Mientras que los enfoques tradicionales de gestión de riesgos se centran en proteger los activos tangibles que se muestran en el balance de una empresa y los derechos y obligaciones contractuales relacionados, el alcance y la aplicación de la GRI son mucho más amplios. El enfoque de ERM es para toda la empresa y en mejorar y proteger los activos tangibles e intangibles que definen el modelo de negocio de una compañía. Esta ampliación del alcance de la gestión de riesgos refleja el hecho de que, con capitalizaciones de mercado a menudo significativamente superiores a los valores históricos del balance, la extensión de la gestión del riesgo a los activos intangibles es crítica. Así como los eventos futuros pueden afectar el valor de los activos físicos y financieros tangibles, también pueden afectar el valor de los activos intangibles clave, como la reputación de una empresa con los proveedores, el historial de innovación o sus marcas.

ERM reconoce explícitamente que el riesgo puede originarse dentro o fuera de la organización. Por ejemplo, el riesgo ambiental se origina fuera de la organización y puede perjudicar la viabilidad de un modelo de negocio en particular. Los factores de riesgo del proceso tienden a ser de origen interno y afectan la capacidad de la firma para ejecutar su misión declarada. La información para el riesgo de toma de decisiones amenaza la creación de valor por su impacto en la puntualidad, calidad, confiabilidad y exhaustividad de la información utilizada para tomar decisiones clave.

Debido a que los riesgos no siempre entran claramente en una categoría, la filosofía ERM alienta a las empresas a desarrollar un plan integral de gestión de riesgos en el que los enfoques de los diversos componentes del riesgo interactúen e influyan entre sí. En particular, ERM analiza ocho conjuntos de temas:

• Entorno interno. El tono de una organización se establece en la parte superior de la organización. Por lo tanto, es importante preguntarse qué apetito tienen sus líderes por el riesgo y si la cultura de la compañía apoya el perfil de riesgo elegido y el proceso de gestión de riesgos y controles internos.
• Fijación de objetivos. Las empresas suelen establecer metas en muchos niveles: estratégico, operativo y financiero. Al identificar claramente sus objetivos, la dirección y el consejo pueden percibir más claramente los riesgos que puede encontrar la empresa.
• Identificación de eventos. El consejo debe preguntar a la gerencia cómo identifica la compañía nuevos riesgos y oportunidades. ¿Qué riesgos y tendencias existen en la industria de la compañía? ¿Qué riesgos están asociados con nuevos productos, servicios o adquisiciones? ¿Con nuevos competidores? ¿Cómo se interrelacionan los riesgos de la compañía? La junta también debe considerar los riesgos legales, éticos y de cumplimiento que pueda enfrentar la empresa.
• Evaluación de riesgos. Después de identificar los riesgos potenciales, la dirección y la junta deben analizar y priorizar los riesgos a la luz de su probabilidad e impacto potencial. Cada unidad de negocio debe involucrarse en el proceso y hacer preguntas, como, ¿Qué eventos adversos ha encontrado la empresa en el pasado, y qué lecciones se aprendieron?
• Respuesta al riesgo. Las empresas pueden optar por responder a los riesgos evitándolos o aceptándolos y trabajando para reducir su impacto o diluir su gravedad compartiendo el riesgo con otras partes. Esto plantea interrogantes, como, ¿Cuáles son los costos de estas alternativas? ¿La administración ha asignado recursos suficientes para responder adecuadamente? ¿La empresa está adecuadamente asegurada por sus riesgos asegurables?
• Actividades de control. El consejo debe trabajar con la gerencia para desarrollar e implementar políticas y procedimientos bien estructurados en respuesta a los riesgos primarios de la compañía para garantizar que las acciones receptivas se lleven a cabo en todos los niveles de la empresa.
• Información y comunicación. La información relevante debe estar bien documentada y comunicada oportunamente, verticalmente, arriba y abajo de la cadena de administración, y horizontalmente, a través de las divisiones de una compañía, para garantizar que todos los miembros de la organización lleven a cabo sus responsabilidades con respecto a las políticas de gestión de riesgos de la compañía.
• Seguimiento. El consejo debe ayudar a la gerencia a establecer procedimientos de prueba y evaluación para monitorear el sistema de gestión de riesgos de la compañía. Las modificaciones al sistema de gestión de riesgos deben realizarse según sea necesario en respuesta a estas evaluaciones.

Aunque la dirección de una empresa es en última instancia responsable de la gestión de riesgos de una compañía, el consejo debe comprender los riesgos que enfrenta la compañía y supervisar el proceso de gestión de riesgos. Los comités de la junta directiva deben incorporar la gestión de riesgos en sus responsabilidades ordinarias. El comité de gobierno de una empresa puede garantizar que la compañía esté preparada para enfrentar riesgos y crisis evaluando las capacidades individuales de los directores, nominando directores con experiencia en gestión de crisis y considerando el tiempo que cada director y nominado tiene que dedicar a la empresa. El comité de gobierno también debe trabajar con la gerencia para establecer un programa de orientación para nuevos directores y planes de sucesión para los funcionarios ejecutivos clave.

Si bien algunas empresas prefieren involucrar al consejo en su conjunto en el proceso de gestión de riesgos, los lineamientos de gobierno corporativo y las cartas de los comités de auditoría pueden delegar esta responsabilidad en el comité de auditoría. Alternativamente, una compañía puede nombrar a un funcionario de gestión de riesgos, formar un comité de gestión de riesgos o asignar responsabilidad a un comité de finanzas o cumplimiento de la junta directiva. El comité o grupo responsable debe reunirse regularmente con el auditor interno de la compañía, el director financiero, el asesor general y el jefe de cumplimiento y las unidades de negocio individuales para discutir riesgos específicos y evaluar la efectividad de los sistemas de gestión de riesgos de la compañía.

Los comités de la junta directiva también deben incorporar la gestión de riesgos en sus responsabilidades ordinarias. El comité de gobierno de una empresa puede garantizar que la compañía esté preparada para enfrentar riesgos y crisis evaluando las capacidades individuales de los directores, nominando directores con experiencia en gestión de crisis y considerando el tiempo que cada director y nominado tiene que dedicar a la empresa. El comité de gobierno también debe trabajar con la gerencia para establecer un programa de orientación para nuevos directores y planes de sucesión para los funcionarios ejecutivos clave.