Una operación necesita cuatro aprobaciones. Tres personas revisan prácticamente la misma información. El sistema genera una alerta, pero alguien vuelve a comprobarla en Excel “por seguridad”.

Existe un control diario, otro semanal y uno mensual que utilizan casi los mismos datos. Auditoría pidió una validación. Riesgos agregó otra. Compliance incorporó una tercera. Tecnología estableció una cuarta.

Todos los controles tienen una explicación. El problema aparece cuando observamos el proceso completo, pero ¿Estamos realmente reduciendo el riesgo o hemos construido un proceso tan controlado que el propio sistema de control empieza a generar riesgo operacional?

La pregunta puede resultar incómoda, pero es necesaria: ¿Cuántos controles son demasiados?

Más controles no significa automáticamente menos riesgo

Cuando ocurre un incidente importante, una reacción bastante natural consiste en agregar un control. Si aparece un fraude, incorporamos una aprobación. Si ocurre un error, agregamos una conciliación. Si Auditoría identifica una debilidad, creamos una revisión. Si el supervisor realiza una observación, incorporamos una evidencia adicional.

Cada decisión puede ser razonable individualmente. El problema aparece con el tiempo.

Los controles se acumulan, pero pocas veces alguien vuelve a revisar el proceso completo para preguntarse si siguen siendo necesarios, si están duplicados o si realmente continúan mitigando el riesgo para el cual fueron creados. Así aparecen procesos con capas y capas de controles que nadie se atreve a retirar y que no añaden valor. Lo entorpece.

El control también tiene un costo operacional

Normalmente evaluamos el beneficio del control: cuánto reduce la probabilidad o el impacto de un evento. Pero pocas veces evaluamos su costo integral. Ese costo no es solamente financiero, tambien tiene un costo operativo.

Un control consume:

• Tiempo.
• Personas.
• Capacidad tecnológica.
• Información.
• Evidencias.
• Supervisión.
• Mantenimiento.
• Atención de la gerencia.

Y, sobre todo, puede introducir nuevas posibilidades de error. Una validación manual adicional puede parecer prudente, pero también incorpora una nueva intervención humana.

Una aprobación adicional puede reducir determinadas decisiones incorrectas, pero puede aumentar los tiempos de procesamiento.

Una conciliación adicional puede detectar diferencias, pero si depende de archivos manuales también puede generar errores propios.

Por eso, un control no debería evaluarse únicamente preguntando: ¿Qué riesgo mitiga?

También deberíamos preguntar: ¿Qué riesgo introduce un exceso de controles?

Cuando aparece la fatiga de control

Imagine a una persona que debe revisar 20 excepciones relevantes durante su jornada. Probablemente pueda analizarlas con atención. Ahora imagine que recibe 500 alertas. ¿Está 25 veces más controlado el proceso?

Probablemente no. A partir de cierto punto aparece la fatiga de control.

Las personas comienzan a:

• Aprobar mecánicamente.
• Ignorar alertas.
• Repetir respuestas.
• Copiar evidencias.
• Buscar atajos.
• Ejecutar controles solamente para cumplir.
• Priorizar velocidad sobre análisis.

El control formalmente sigue existiendo. Incluso puede aparecer como “ejecutado” en el reporte. Pero su efectividad real comienza a deteriorarse. Esto ocurre con frecuencia en procesos con exceso de alertas, aprobaciones, conciliaciones, checklists y revisiones.

Un control que genera demasiado ruido termina ocultando la señal que realmente importa.

Cuatro aprobaciones no siempre son cuatro controles

Supongamos que una operación pasa por cuatro personas. La primera valida los datos. La segunda revisa exactamente los mismos datos. Una tercera comprueba nuevamente la documentación. La cuarta autoriza.

La organización puede considerar que tiene cuatro controles. Pero quizás tenga uno solo ejecutado cuatro veces. La pregunta no debería ser cuántos controles existen.

Debería ser: ¿Qué riesgo específico cubre cada uno y qué valor adicional aporta respecto del anterior?

Si dos controles tienen: el mismo objetivo, la misma fuente de información, el mismo momento de ejecución y prácticamente el mismo criterio de evaluación, posiblemente exista duplicidad.

Eso no fortalece necesariamente el ambiente de control, simplemente puede hacerlo más costoso.

El sobrecontrol puede crear nuevos eventos de riesgo

Intentamos reducir la probabilidad de un evento de riesgo operacional y terminamos creando nuevas fuentes de exposición, pudiendo ocasionar:

-Demoras operativas: Demasiadas aprobaciones pueden afectar tiempos de atención y niveles de servicio.

-Errores manuales: Agregar controles manuales aumenta puntos de intervención humana.

-Workarounds: Cuando el proceso formal se vuelve excesivamente complejo, las personas encuentran formas de evitarlo.

.Shadow processes: Aparecen Excel, correos, chats y registros paralelos para acelerar lo que el procedimiento formal dificulta.

-Pérdida de foco: Los equipos dedican demasiado tiempo a controles de bajo valor y menos tiempo a riesgos realmente importantes.

-Fatiga: La repetición reduce atención y capacidad de detectar anomalías.

-Responsabilidad difusa: Cuando cinco personas revisan una operación, cada una puede asumir que otra ya detectará el problema.

Este último punto es particularmente peligroso. Más revisores pueden terminar generando menos responsabilidad individual.

¿Y si el control cuesta más que el riesgo que reduce?

No todos los controles necesitan un análisis financiero sofisticado, pero la pregunta es válida. Supongamos que una actividad genera pérdidas operacionales históricas de US$20.000 al año.

Para mitigarlas implementamos un control que requiere dos personas adicionales, una aplicación, revisiones mensuales y horas de supervisión. El costo anual del control termina siendo US$150.000.

¿Es una decisión racional? Puede serlo. Quizás el evento tenga implicancias regulatorias, legales o reputacionales que no aparecen en la pérdida histórica.

Pero debemos saber por qué estamos tomando esa decisión.

El problema es mantener controles costosos simplemente porque “siempre se hizo así”.

El inventario de controles también necesita limpieza

Muchas organizaciones realizan periódicamente inventarios de aplicaciones, proveedores, activos o riesgos. Pero deberíamos hacer algo parecido con los controles.

Un ejercicio de racionalización de controles puede comenzar identificando:

Control → riesgo que mitiga → causa que ataca → responsable → frecuencia → costo → grado de automatización → efectividad → controles relacionados → evidencia → consecuencia de eliminarlo.

A partir de ahí aparecen preguntas interesantes.

¿Existen controles duplicados?

¿Hay controles que ya no responden a un riesgo relevante?

¿Estamos controlando manualmente algo que el sistema ya controla?

¿Hay controles detectivos que podrían convertirse en preventivos?

¿Tenemos diez controles débiles donde sería mejor disponer de dos fuertes?

¿Existe algún control que nadie puede explicar por qué sigue ejecutándose?

Esa última pregunta suele revelar bastante.

El objetivo no es eliminar controles

Racionalizar controles no significa debilitarlos. Significa conseguir un ambiente de control más eficiente y efectivo.

En algunos casos tendremos que eliminar controles. En otros, consolidarlos. En otros, automatizarlos.

También habrá situaciones donde descubriremos que hacen falta controles adicionales. La decisión debería depender del riesgo y no de la cantidad.

Un buen ambiente de control no es aquel que tiene más controles. Es aquel que tiene los controles correctos, sobre los riesgos correctos y en el momento correcto.

De cantidad de controles a efectividad

Aquí también deberían evolucionar los indicadores. Por ejemplo, un Comité obtiene poco valor de saber: “Tenemos 1.248 controles registrados.” Ese número no dice prácticamente nada sobre el nivel de exposición ni la efectividad de mitigación.

Sería más útil conocer:

• Porcentaje de controles críticos efectivos.
• Controles con fallas recurrentes.
• Controles manuales sobre procesos de alto volumen.
• Controles duplicados identificados.
• Controles sin riesgo claramente asociado.
• Excepciones generadas por fatiga de alertas.
• Controles automatizables.
• Incidentes ocurridos pese a controles existentes.
• Costo de control frente a exposición mitigada.
• Procesos con concentración excesiva de controles.

La conversación cambia. Ya no estamos administrando un inventario. Estamos gestionando efectividad.

Una pregunta incómoda para Riesgos y Auditoría

Existe además un componente de gobierno que debemos reconocer. Riesgos, Compliance, Seguridad y Auditoría también pueden contribuir al sobrecontrol.

Cada función observa el proceso desde su propia perspectiva y puede solicitar nuevas medidas perfectamente justificadas. Pero alguien necesita observar el efecto acumulado sobre el proceso.

Por eso, antes de recomendar un nuevo control, sería razonable preguntar:

–¿Existe ya un control que cubra este riesgo?

-¿Podemos fortalecerlo en lugar de agregar otro?

-¿Qué impacto tendrá sobre el proceso?

-¿Cómo sabremos si realmente funciona?

-¿Cuándo revisaremos si sigue siendo necesario?

Agregar controles debería ser una decisión de riesgo. Retirarlos también.

El control perfecto puede destruir el proceso

En teoría podríamos reducir muchos riesgos agregando validaciones, autorizaciones y restricciones. Pero existe un punto en el que el proceso deja de ser funcional.

Una transferencia podría requerir veinte aprobaciones. Un crédito podría pasar por cincuenta validaciones.

Cada cambio tecnológico podría necesitar meses de revisión. El riesgo disminuiría en determinadas dimensiones. Pero aparecerían otros: pérdida de clientes, incumplimiento de SLA, costos, errores manuales, bypass de controles y pérdida de competitividad.

La gestión de riesgos nunca ha consistido en eliminar todo riesgo. Consiste en mantenerlo dentro de niveles aceptables mientras la organización puede cumplir sus objetivos. Los controles forman parte de ese equilibrio.

Reflexión final

Durante años hemos preguntado:

¿Qué control falta? Quizás deberíamos incorporar otra pregunta:

¿Qué control sobra? No para reducir protección.

Para eliminar redundancia, disminuir fatiga, simplificar procesos y concentrar recursos en aquello que realmente reduce exposición, porque una organización sobrecontrolada no necesariamente es una organización mejor controlada.

Puede ser simplemente una organización más lenta, más costosa y con personas demasiado ocupadas ejecutando controles como para detectar el riesgo que realmente importa.

El objetivo no es tener más controles. Es conseguir que cada control tenga una razón para existir y evidencia de que realmente reduce el riesgo.