Durante años, muchas organizaciones consideraron que los riesgos tecnológicos eran una responsabilidad exclusiva de las áreas de Tecnología, Seguridad de la Información o Riesgo Tecnológico. Mientras los sistemas funcionaran, los proyectos avanzaran y los incidentes se mantuvieran bajo control, el Directorio podía limitarse a revisar presupuestos, avances de transformación digital y reportes generales de disponibilidad.

Ese enfoque ya no es suficiente bajo el entorno actual.

La tecnología ha dejado de ser únicamente un soporte para convertirse en parte central del modelo de negocio. Hoy, una falla en una plataforma digital puede detener operaciones, afectar a miles de clientes, comprometer datos personales, interrumpir pagos, generar incumplimientos regulatorios y deteriorar la confianza en cuestión de minutos. El riesgo tecnológico es ahora un factor del riesgo del negocio.

Por ello, los riesgos tecnológicos ya no pueden ser delegados completamente a las áreas técnicas. Su supervisión se ha convertido en una responsabilidad directa del Gobierno Corporativo.

La tecnología ya forma parte de la estrategia

Cuando una organización decide migrar a la nube, automatizar procesos, incorporar Inteligencia Artificial, tercerizar servicios críticos o habilitar nuevas plataformas digitales, no está tomando únicamente una decisión tecnológica.

También está modificando:

• Su exposición al riesgo operacional.
• Su dependencia de proveedores.
• Su capacidad de continuidad.
• Su perfil de ciberseguridad.
• Su tratamiento de datos.
• Su nivel de concentración tecnológica.
• Su capacidad para responder ante una interrupción.

Cada decisión tecnológica produce consecuencias estratégicas. Por ejemplo, migrar un proceso crítico a un proveedor cloud puede mejorar la escalabilidad y reducir costos, pero también puede aumentar la dependencia de terceros y concentrar múltiples servicios en una misma infraestructura.

Automatizar un proceso puede reducir errores manuales, pero también amplificar rápidamente una falla de configuración.

Incorporar Inteligencia Artificial puede mejorar la toma de decisiones, pero generar nuevos factores de riesgos relacionados con sesgos, trazabilidad, privacidad, responsabilidad y supervisión humana.

El Directorio no necesita conocer todos los detalles técnicos. Sin embargo, debe comprender las implicancias de negocio y riesgo asociadas a estas decisiones.

Delegar la ejecución no significa delegar la responsabilidad

Las áreas técnicas tienen la responsabilidad de diseñar, implementar y operar las soluciones tecnológicas. El Directorio, en cambio, debe asegurar que esas decisiones se encuentren alineadas con la estrategia, el apetito de riesgo y la capacidad real de la organización.

Esta diferencia es fundamental.

El Directorio puede delegar la administración cotidiana de la tecnología, pero no puede delegar completamente la supervisión de los riesgos que esa tecnología introduce.

Cuando ocurre un incidente relevante, las preguntas no se limitan a conocer qué componente falló. También se evalúa:

• Si el riesgo había sido identificado.
• Si existían controles adecuados.
• Si el servicio estaba dentro del apetito de riesgo.
• Si se conocían las dependencias críticas.
• Si se habían probado planes de contingencia.
• Si el Comité correspondiente había recibido información suficiente.
• Si las decisiones tomadas fueron oportunas.

En otras palabras, la responsabilidad se analiza desde una perspectiva de gobierno, no únicamente desde una perspectiva técnica.

El problema de los reportes excesivamente técnicos

Uno de los principales obstáculos para la supervisión efectiva es la forma en que se presenta la información al Directorio.

Con frecuencia, los reportes incluyen métricas como:

• Número de vulnerabilidades.
• Disponibilidad de servidores.
• Incidentes por plataforma.
• Actualizaciones pendientes.
• Porcentaje de parches aplicados.
• Alertas de seguridad.

Estas métricas pueden ser útiles, pero no siempre permiten comprender la exposición real de la organización.

El Directorio necesita respuestas diferentes:

• ¿Qué procesos críticos podrían interrumpirse?
• ¿Cuántos clientes podrían resultar afectados?
• ¿Qué impacto financiero podría generarse?
• ¿Qué proveedores concentran servicios esenciales?
• ¿Cuánto tiempo puede permanecer inactivo el negocio?
• ¿Qué decisiones dependen de algoritmos o automatizaciones?
• ¿Qué riesgos se encuentran fuera del apetito definido?
• ¿Qué controles no han sido probados?

La información técnica debe traducirse a lenguaje de negocio, impacto y decisión.

Las preguntas que el Directorio debería incorporar

Un Directorio que supervisa adecuadamente los riesgos tecnológicos no necesita convertirse en un comité técnico. Necesita formular preguntas correctas.

Algunas de las más relevantes son ¿Cuáles son nuestros servicios digitales verdaderamente críticos?

No todas las aplicaciones tienen la misma importancia. La organización debe identificar cuáles soportan procesos esenciales, ingresos, atención al cliente, obligaciones contractuales o compromisos regulatorios.

¿Dónde se concentran nuestras principales dependencias?

La dependencia de un solo proveedor, plataforma, centro de datos, API o componente puede crear puntos únicos de falla.

¿Qué riesgos tecnológicos están fuera del apetito?

El Directorio debe conocer qué exposiciones exceden los niveles aceptados y qué acciones se están implementando.

¿Qué tan preparados estamos para operar cuando la tecnología falla?

La disponibilidad de planes no garantiza su efectividad. Se necesitan pruebas, simulaciones y evidencia de recuperación.

¿Qué decisiones están siendo automatizadas?

La automatización y la Inteligencia Artificial requieren controles específicos, responsables definidos y capacidad para suspender su operación.

¿Qué información no estamos viendo?

El exceso de confianza en indicadores favorables puede ocultar exposiciones relevantes. Los reportes deben incluir tendencias, concentraciones, excepciones y debilidades de control.

Tecnología y resiliencia operacional

La gestión moderna del riesgo tecnológico debe estar conectada con la resiliencia operacional.

No basta con proteger sistemas individuales. La organización debe asegurar que sus servicios críticos puedan continuar funcionando durante una interrupción y recuperarse dentro de niveles aceptables.

Esto requiere integrar:

• Riesgo tecnológico.
• Continuidad del negocio.
• Ciberseguridad.
• Gestión de terceros.
• Riesgo operacional.
• Arquitectura empresarial.
• Gestión de incidentes.
• Gobierno de datos.

Cuando estas funciones operan de forma aislada, el Directorio recibe visiones fragmentadas. Puede conocer la disponibilidad de una plataforma, pero no comprender su impacto sobre clientes, operaciones o compromisos regulatorios.

El apetito de riesgo debe incluir tecnología

Muchas declaraciones de apetito de riesgo utilizan expresiones generales como “baja tolerancia a interrupciones” o “cero tolerancia a incidentes críticos”.

Sin embargo, estas declaraciones rara vez se traducen en límites concretos.

Un apetito de riesgo tecnológico debería considerar, entre otros aspectos:

• Tiempo máximo de indisponibilidad.
• Número de clientes afectados.
• Concentración máxima por proveedor.
• Nivel aceptable de vulnerabilidades críticas.
• Exposición a tecnologías obsoletas.
• Dependencia de procesos manuales.
• Tiempo de recuperación.
• Pérdida máxima tolerable.
• Uso permitido de Inteligencia Artificial.

Sin límites claros, el Directorio puede aprobar iniciativas sin comprender cuánto riesgo adicional está aceptando.

Un nuevo modelo de supervisión

La supervisión de los riesgos tecnológicos requiere una agenda más madura.

El Directorio debería recibir periódicamente información sobre:

• Exposición de servicios críticos.
• Riesgos fuera del apetito.
• Incidentes relevantes y tendencias.
• Dependencias de terceros.
• Resultados de pruebas de continuidad.
• Riesgos de transformación digital.
• Ciberseguridad.
• Gobierno de Inteligencia Artificial.
• Debilidades de control.
• Avance de planes de tratamiento.

El objetivo no es aumentar la cantidad de reportes. Es mejorar la calidad de las decisiones.

Reflexión final

El Directorio no necesita administrar la tecnología, pero sí comprender cómo la tecnología puede afectar la estrategia, la operación y la sostenibilidad de la organización.

La transformación digital ha reducido la distancia entre una falla técnica y una crisis empresarial. Una interrupción, una vulnerabilidad o una decisión automatizada incorrecta puede convertirse rápidamente en un problema financiero, regulatorio y reputacional.

Por ello, la supervisión tecnológica ya no puede limitarse a preguntar si los sistemas están disponibles o si los proyectos avanzan dentro del presupuesto.

La pregunta central debe ser ¿Entendemos realmente los riesgos tecnológicos que estamos aceptando para ejecutar nuestra estrategia?

Porque delegar la operación de la tecnología es necesario. Delegar completamente la responsabilidad sobre sus riesgos ya no es aceptable.