Cómo rediseñar los KRIs para la era digital
Durante años, muchas organizaciones han utilizado los mismos indicadores para supervisar sus riesgos operacionales: número de incidentes, pérdidas acumuladas, disponibilidad de sistemas, reclamos de clientes, operaciones rechazadas y porcentaje de planes de acción vencidos.
Estos indicadores continúan siendo útiles, pero ya no son suficientes.
La transformación digital ha modificado la forma en que se originan, propagan y materializan los riesgos. Los procesos ahora dependen de servicios en la nube, APIs, algoritmos, proveedores tecnológicos, automatizaciones y plataformas que operan en tiempo real. Una falla puede extenderse en segundos, afectar simultáneamente varios canales y generar consecuencias antes de que el indicador tradicional emita una alerta.
Por ello, el problema no consiste únicamente en crear más indicadores. El verdadero desafío es desarrollar KRIs capaces de anticipar exposiciones emergentes y facilitar decisiones oportunas.
Cuando medir el pasado ya no permite gestionar el futuro
Un indicador como “número de incidentes registrados durante el mes” describe lo que ya ocurrió. Puede ayudar a identificar tendencias, evaluar pérdidas y priorizar acciones correctivas, pero tiene una capacidad preventiva limitada.
Lo mismo sucede con otros indicadores tradicionales:
- Pérdidas operacionales acumuladas.
- Horas de indisponibilidad.
- Cantidad de reclamos recibidos.
- Número de fraudes confirmados.
- Porcentaje de acciones correctivas vencidas.
Todos aportan información del pasado, pero se comportan principalmente como indicadores rezagados. Cuando cambian de forma significativa, probablemente el riesgo ya se ha materializado.
ISO 31000 plantea que la gestión del riesgo debe incluir identificación, análisis, evaluación, tratamiento, monitoreo y comunicación. Esto implica que el seguimiento no debería limitarse al registro de eventos pasados, sino contribuir a detectar oportunamente cambios en la exposición y apoyar la toma de decisiones.
Un KRI moderno debe responder una pregunta más exigente: ¿Qué está cambiando hoy que podría generar una pérdida, interrupción o incumplimiento mañana?
El riesgo digital se mueve a otra velocidad
En un proceso tradicional, una deficiencia podía permanecer localizada durante días o semanas. En un ecosistema digital, una configuración incorrecta, una API degradada o una decisión automatizada defectuosa puede afectar miles de transacciones en pocos minutos.
La velocidad de propagación se ha convertido en una dimensión del riesgo.
Sin embargo, muchas organizaciones continúan evaluando sus KRIs mensualmente. Cuando el informe llega al Comité de Riesgos, el incidente ya fue atendido, los clientes fueron afectados y el equipo se encuentra explicando las causas.
Los indicadores asociados a servicios digitales críticos deberían actualizarse con mayor frecuencia y activar alertas cuando se superen umbrales relevantes. No todos requieren supervisión en tiempo real, pero su periodicidad debe corresponder con la velocidad a la que puede materializarse el riesgo.
Un KRI mensual puede ser adecuado para observar rotación de personal. Probablemente no sea suficiente para supervisar errores en pagos digitales, fallas de autenticación o degradación de una interfaz crítica.
Cinco KRIs tradicionales que necesitan evolucionar
1. Disponibilidad del sistema
Medir únicamente el porcentaje de disponibilidad puede producir una visión incompleta. Una plataforma podría estar técnicamente disponible, pero funcionar con lentitud, generar errores o impedir que el cliente complete una operación.
El indicador debería complementarse con:
- Tasa de transacciones completadas.
- Tiempo de respuesta.
- Errores por cada mil operaciones.
- Porcentaje de clientes afectados.
- Duración de la degradación del servicio.
La resiliencia operacional no se limita a mantener sistemas encendidos. El Comité de Basilea la relaciona con la capacidad de continuar prestando operaciones críticas durante una disrupción y recuperarse de eventos que puedan ocasionar fallas significativas.
2. Número de incidentes
Contar incidentes sin considerar su alcance puede distorsionar la lectura del riesgo. Diez eventos menores no necesariamente representan una exposición superior a una sola falla que afecta un proceso crítico durante varias horas.
El indicador debería incorporar:
- Severidad.
- Duración.
- Recurrencia.
- Procesos afectados.
- Clientes impactados.
- Concentración de incidentes en un mismo proveedor o componente.
La cantidad importa, pero el nivel de afectación importa más.
3. Incumplimiento de acuerdos de servicio
El porcentaje de SLA incumplidos continúa siendo relevante, aunque puede resultar insuficiente cuando existe alta dependencia de terceros.
También deberían supervisarse señales como:
- Concentración de servicios críticos.
- Incidentes repetitivos del proveedor.
- Cambios no comunicados.
- Capacidad de recuperación comprobada.
- Tiempo de respuesta ante escalamiento.
- Dependencia de subcontratistas.
Una organización puede presentar pocos incumplimientos contractuales y, al mismo tiempo, acumular una exposición elevada por concentración tecnológica.
4. Fraudes confirmados
El fraude confirmado es un indicador tardío. La pérdida ya ocurrió y el defraudador posiblemente adaptó su estrategia.
Los nuevos KRIs deberían observar señales tempranas:
- Incremento de intentos fallidos.
- Cambios atípicos en dispositivos o ubicaciones.
- Crecimiento de operaciones rechazadas.
- Aumento de alertas no revisadas.
- Tiempo promedio de investigación.
- Porcentaje de alertas cerradas automáticamente.
La finalidad es detectar la presión sobre los controles antes de que se convierta en pérdida.
5. Desempeño de modelos de Inteligencia Artificial
Los modelos pueden degradarse aunque la infraestructura permanezca disponible. Los datos cambian, aparecen nuevos comportamientos y las decisiones pierden precisión.
Los KRIs deberían incluir:
- Variación del desempeño respecto de la línea base.
- Cambios en la distribución de los datos.
- Frecuencia de decisiones corregidas por personas.
- Resultados inconsistentes.
- Uso de modelos fuera de los casos autorizados.
- Incidentes por respuestas incorrectas o no confiables.
El NIST AI Risk Management Framework estructura la gestión del riesgo de IA mediante las funciones de gobernar, contextualizar, medir y gestionar. Por su parte, ISO/IEC 42001 establece requisitos para implementar y mejorar continuamente un sistema de gestión de IA. Ambos enfoques refuerzan la necesidad de supervisar el desempeño, los controles y los riesgos durante todo el ciclo de vida.
De indicadores aislados a señales conectadas
Un KRI no debería analizarse de manera independiente.
Por ejemplo, un aumento moderado en los tiempos de respuesta podría parecer tolerable. Sin embargo, si coincide con más errores transaccionales, reclamos, reintentos y alertas del proveedor, el conjunto de señales podría anticipar una interrupción relevante.
La organización necesita correlacionar información procedente de Tecnología, Seguridad, Operaciones, Continuidad, Fraude, Cumplimiento y Atención al Cliente.
Este enfoque permite pasar de una colección de métricas departamentales a un sistema de alerta temprana.
Características de un KRI útil
Un indicador eficaz debería cumplir al menos cinco condiciones:
Relevancia: debe estar vinculado con un riesgo y un objetivo concreto.
Anticipación: debe alertar antes de que el impacto resulte significativo.
Oportunidad: debe actualizarse con la frecuencia necesaria para tomar decisiones.
Accionabilidad: cuando supera el umbral, debe existir una respuesta definida.
Responsabilidad: debe contar con un propietario encargado de interpretarlo, escalarlo y gestionar las acciones correspondientes.
Un tablero con cien indicadores sin responsables puede ser menos útil que diez KRIs bien diseñados y conectados con decisiones reales.
El umbral no puede ser decorativo
Muchas organizaciones utilizan rangos verde, ámbar y rojo, pero no establecen qué debe suceder cuando cambia el resultado.
Un umbral efectivo debería activar acciones concretas:
- Investigación de la causa.
- Escalamiento al responsable.
- Refuerzo de controles.
- Restricción temporal de operaciones.
- Activación de contingencias.
- Revisión del apetito de riesgo.
- Comunicación al Comité correspondiente.
El valor del KRI no está en el color del tablero, sino en la decisión que provoca.
Reflexión final
Los KRIs tradicionales no deben desaparecer. Continúan siendo necesarios para evaluar pérdidas, eventos y desempeño histórico. Sin embargo, deben complementarse con indicadores predictivos, digitales y dinámicos.
Las organizaciones necesitan medir no solo cuántos incidentes ocurrieron, sino qué señales están aumentando, dónde se concentran las dependencias, qué controles pierden efectividad y con qué rapidez podría propagarse una falla.
Porque en la era digital, un indicador que informa demasiado tarde no es una alerta: es únicamente la confirmación de que el riesgo ya se materializó.
Invitación
En ALGERisk Corporation acompañamos a las organizaciones en el diseño y fortalecimiento de sistemas de indicadores KPI, KRI y KCI, definición de umbrales, tableros ejecutivos y mecanismos de alerta temprana alineados con su apetito de riesgo, procesos críticos y estrategia digital.