Durante años, una práctica habitual en gestión de riesgos ha sido presentar al Comité un tablero con indicadores en verde, ámbar y rojo. El modelo es conocido: se define un límite, se mide el indicador al cierre del mes, se compara contra el umbral y se informa el resultado.

El problema es que los negocios ya no funcionan a la velocidad de los reportes mensuales.

Una plataforma de pagos puede procesar miles de operaciones en minutos. Un ataque puede comprometer credenciales en segundos. Una API puede comenzar a degradarse durante la madrugada. Un algoritmo puede ejecutar decisiones incorrectas de manera repetitiva antes de que alguien revise el primer indicador.

En ese entorno, descubrir veinte días después que un KRI estuvo fuera de apetito tiene poco valor preventivo y estratégico. El apetito de riesgo necesita evolucionar a la velocidad que el gobierno requiere información oportuna.

No necesariamente hacia cientos de indicadores en tiempo real, sino hacia algo mucho más importante: umbrales capaces de provocar decisiones cuando todavía existe tiempo para evitar que una exposición se convierta en un incidente relevante.

El apetito de riesgo no debería ser solamente una declaración

Muchas organizaciones cuentan con declaraciones de apetito técnicamente bien construidas. Se establecen niveles para riesgo operacional, tecnológico, ciberseguridad, continuidad, terceros, fraude o cumplimiento. Después se desarrollan indicadores y se asignan umbrales. Hasta ahí, el modelo parece funcionar.

La dificultad comienza cuando un indicador supera el límite. ¿Qué ocurre después?

En algunos casos, se solicita una explicación al responsable. En otros, se registra una observación para el siguiente Comité. También puede elaborarse un plan de acción cuya ejecución comenzará semanas después.

El indicador cumplió su función de informar. Pero ¿realmente se gestionó el riesgo? El apetito adquiere valor cuando está conectado con decisiones previamente definidas.

Un límite superado debería responder, como mínimo, cuatro preguntas:

–¿Quién debe actuar?
-¿Qué debe hacer?
-En cuánto tiempo debe hacerlo?
-¿Quién puede aceptar temporalmente la exposición?

Sin estas respuestas, el apetito de riesgo corre la posbilidad de convertirse en un mecanismo de reporte más que en una herramienta de gestión preventiva.

Verde no siempre significa que estamos seguros

Otro problema está en la forma de interpretar los semáforos. Supongamos que el límite de indisponibilidad de un servicio crítico es de 60 minutos mensuales y el resultado acumulado alcanza 45 minutos.

El tablero probablemente continuará en verde o ámbar. Sin embargo, la organización ya consumió el 75 % de su tolerancia. Si todavía quedan veinte días del mes, la lectura del indicador debería ser diferente, toda vez que existe la posbibilidad que ese mes el umbral sea superado y requerirá tomar medidas preventivas antes que exceda los límites definidos.

Lo mismo puede ocurrir con:

• Fraude.
• Errores transaccionales.
• Capacidad tecnológica.
• Vulnerabilidades.
• Reclamos.
• Excepciones.
• Incidentes de terceros.
• Pérdidas operacionales.

No deberíamos preguntarnos únicamente si el límite ya fue superado. También deberíamos preguntarnos a qué velocidad nos estamos acercando a él. Ahí aparece una diferencia importante entre monitorear un límite y gestionar una exposición.

Del indicador histórico a la señal temprana

Un KRI tradicional suele decirnos qué ocurrió. Un KRI realmente útil debería ayudarnos a comprender qué puede ocurrir si la tendencia continúa. Debe ser diseñado como una alerta temprana para advertir una situación potencial de riesgo, con el objetivo de tomar medidas preventivas antes de que se materialice el evento.

Pensemos en un servicio de banca digital. Un tablero mensual puede mostrar una disponibilidad de 99,9 %. Parece excelente. Pero durante las últimas horas podría estar aumentando la indisponibilidad simultáneamente generado por:

• Demora en los tiempos de respuesta.
• Reintentos de procesamiento.
• Errores de autenticación.
• Transacciones incompletas.
• Reclamos y quejas.
• Alertas de infraestructura.

Individualmente, ninguna señal podría superar su límite. En conjunto, pueden estar anticipando una interrupción.

La gestión moderna del apetito necesita observar no solamente valores absolutos, sino también tendencias, velocidad de deterioro y correlaciones.

No todo necesita monitoreo en tiempo real

También sería un error intentar convertir todos los KRIs en indicadores de tiempo real. La frecuencia debe guardar relación con la velocidad de materialización del riesgo.

Algunos indicadores pueden revisarse trimestralmente, otros mensualmente, otros diariamente, y determinados riesgos digitales necesitan monitoreo prácticamente continuo.

La pregunta debería ser: ¿Cuánto tiempo existe entre la primera señal de deterioro y un impacto significativo?

Si la respuesta es horas o minutos, un reporte mensual evidentemente resulta insuficiente.

El apetito debería tener diferentes niveles de intervención

Un modelo práctico puede utilizar varios niveles.

Nivel preventivo: Todavía estamos dentro del apetito, pero existe deterioro. La organización incrementa el monitoreo y analiza las causas.

Nivel de alerta: La exposición se aproxima al límite. Se requiere intervención del responsable y medidas preventivas.

Nivel de incumplimiento: El límite fue superado. Debe activarse un procedimiento formal de escalamiento, tratamiento o aceptación temporal.

Nivel crítico: La exposición puede comprometer un servicio esencial, generar pérdidas relevantes o afectar clientes. En este punto, la organización debería poder limitar operaciones, activar contingencias o suspender determinadas actividades.

La principal diferencia es que cada nivel genera una respuesta. El semáforo deja de ser simplemente visual.

Cuando el límite puede actuar automáticamente

En determinados procesos digitales, algunos límites incluso pueden conectarse con controles automáticos.

Por ejemplo, ante un deterioro relevante podrían:

• Reducirse límites transaccionales.
• Incrementarse validaciones.
• Activarse autenticaciones adicionales.
• Derivarse operaciones a revisión humana.
• Restringirse temporalmente una API.
• Cambiarse hacia infraestructura alternativa.
• Suspenderse una automatización.
• Incrementarse capacidad tecnológica.

Esto no significa entregar la gestión de riesgos a un algoritmo. Significa que determinados eventos pueden contar con respuestas previamente aprobadas para reducir la exposición mientras las personas evalúan la situación.

El vínculo con la resiliencia operacional

El Comité de Basilea plantea que las entidades deben considerar su apetito de riesgo y su tolerancia a la disrupción, asumir que las interrupciones ocurrirán y mantener la capacidad de entregar operaciones críticas durante una disrupción.

Esto introduce una evolución relevante. El apetito no debería limitarse a cuánto riesgo queremos asumir. También debería establecer cuánto deterioro puede soportar el servicio antes de que el impacto sea inaceptable. Ese límite debe estar conectado con continuidad, tecnología, terceros, ciberseguridad y gestión de incidentes.

¿Qué debería preguntar el Comité de Riesgos?

Más que recibir cien indicadores, el Comité necesita entender dónde se está acumulando exposición.

Algunas preguntas pueden cambiar significativamente la conversación:

• ¿Qué indicadores se están deteriorando aunque todavía permanezcan dentro del apetito?
• ¿Qué límites estamos próximos a consumir?
• ¿Qué exposiciones pueden materializarse antes del próximo Comité?
• ¿Qué indicadores críticos continúan midiéndose mensualmente cuando deberían revisarse diariamente?
• ¿Qué acciones se activan automáticamente cuando un límite es superado?
• ¿Quién puede aceptar una excepción?
• ¿Durante cuánto tiempo?
• ¿Qué riesgos están mostrando señales correlacionadas?

Estas preguntas convierten el apetito de riesgo en una herramienta de decisión.

Reflexión final

Una organización puede tener límites correctamente definidos y aun así reaccionar demasiado tarde. En negocios cada vez más digitales, la gestión del apetito necesita incorporar tendencias, alertas tempranas, diferentes velocidades de monitoreo y respuestas previamente definidas.

Conocer que estuvimos fuera de apetito durante el mes anterior puede ser útil para explicar lo ocurrido. Pero no necesariamente para evitarlo. El verdadero valor del apetito de riesgo aparece cuando todavía estamos a tiempo de actuar.