El viernes, el Comité recibió su tablero de riesgos. Todos los KRIs estaban en verde. Disponibilidad dentro del objetivo. Incidentes por debajo del límite. Fraudes dentro de tolerancia. Proveedores cumpliendo SLA. Vulnerabilidades críticas bajo control.

El lunes ocurre un incidente material. La primera reacción probablemente será: “¿Por qué el KRI no nos alertó?”

Pero quizás la pregunta correcta debió ser: ¿Esos indicadores habían sido diseñado realmente eficaces para anticipar algo?

Muchos KRIs miran hacia atrás

Una gran parte de los indicadores utilizados en gestión de riesgos oeprativos son Lagging Indicators, es decir describen situaciones históricos, hacen seguimiento del pesado, lo que ya ocurrió.

• Número de incidentes.

• Pérdidas acumuladas.

• Horas de indisponibilidad.

• Fraudes confirmados.

• Reclamos recibidos.

• Incumplimientos de SLA.

• Vulnerabilidades vencidas.

Son indicadores útiles, pero fundamentalmente nos dicen qué ocurrió. No se comportan como alertas de riesgo. Si queremos desarrollar capacidad de alerta temprana necesitamos también señales que indiquen qué está cambiando antes del incidente.

Ahí aparece la diferencia entre medir y hacer seguimiento a eventos vs monitorear exposición.

Un KRI en verde no significa ausencia de riesgo o riesgo controlado

Supongamos que nuestro límite establece: Disponibilidad mínima: 99,90 %.

Este mes tenemos: 99,94 %. Verde.

El tablero parece tranquilizador, pero imaginemos que hace cuatro meses teníamos 99,99 %, después 99,98 %, luego 99,96 % y ahora 99,94 %.

El indicador continúa dentro del apetito, pero la tendencia muestra deterioro. Si solamente observamos el color actual, todo está bien, pero si observamos la trayectoria, tenemos una señal.

Un KRI puede estar verde y simultáneamente estar diciéndonos que algo está deteriorándose.

El problema de los umbrales estáticos

Muchos KRIs funcionan con una lógica sencilla:

Verde → normal.

Ámbar → atención.

Rojo → fuera de tolerancia.

Funciona bien para comunicar, pero puede ser insuficiente para anticipar. El riesgo no siempre se comporta de manera lineal. Una vulnerabilidad crítica puede existir durante semanas sin producir ningún incidente y materializarse repentinamente.

Un proveedor puede cumplir su SLA mientras acumula señales de deterioro. Un sistema puede mantener disponibilidad aceptable mientras aumenta progresivamente el número de errores internos. Un proceso puede continuar funcionando mientras crecen las excepciones manuales.

Cuando el indicador finalmente llega a rojo, quizás el evento ya comenzó.

La velocidad con la cual el indicador se deterioro, no se toma en cuenta

Imagine dos KRIs: El primero pasa de 60 a 62. El segundo pasa de 20 a 55. Ambos están debajo del límite de 70. Los dos aparecen verdes. ¿Representan la misma situación? Claramente no.

El segundo está acelerando. Por eso deberíamos incorporar una dimensión adicional: Risk Velocity.

No solamente importa dónde está el indicador. Importa qué tan rápido se está moviendo hacia el límite. Podemos incluso hablar de velocidad de deterioro: Nivel actual + tendencia + velocidad + distancia al límite.

Eso ofrece mucha más información que un simple color.

Una señal aislada puede no decir nada

Otro problema aparece cuando cada área observa sus indicadores de manera independiente. Tecnología detecta aumento de errores. Ciberseguridad observa más intentos de autenticación fallidos. Atención al Cliente registra crecimiento de reclamos. Operaciones detecta más excepciones manuales. Fraude observa un patrón inusual. Individualmente, ninguno supera su umbral.

Todos continúan verdes, pero juntos pueden estar describiendo un único fenómeno. El riesgo puede estar escondido en la correlación entre señales que nadie está observando conjuntamente.

Aquí existe una oportunidad importante para analítica avanzada e inteligencia artificial, pero no necesitamos comenzar necesariamente con modelos sofisticados. Muchas veces basta con integrar información que actualmente permanece fragmentada.

De indicadores de resultado a indicadores de exposición

Un KRI debería intentar aproximarnos a las condiciones que preceden al evento, en lugar de observar solamente:

Incidentes ocurridos, podríamos complementar con aumento de excepciones, fallas repetitivas, degradación de controles o concentración operacional.

En lugar de Fraudes confirmados, podríamos observar cambios anormales de comportamiento, intentos fallidos, operaciones fuera de patrón o crecimiento de falsos positivos.

En lugar de caídas del proveedor podríamos observar degradación del SLA, tickets recurrentes, incidentes menores, cambios de personal crítico, dependencia creciente o problemas financieros.

En lugar de Vulnerabilidades críticas abiertas, podríamos incorporar velocidad de aparición, tiempo de exposición, criticidad del activo, exposición externa y existencia de explotación conocida.

El objetivo es acercarnos al riesgo antes de que se convierta en pérdida.

No todos los KRIs necesitan tiempo real

También debemos evitar el extremo contrario. “Tiempo real” suena atractivo, pero no todo riesgo cambia en segundos».

Un indicador de concentración de proveedores puede requerir revisión mensual o trimestral. Un indicador transaccional de fraude probablemente necesite segundos. Un KRI de vulnerabilidades críticas puede necesitar horas o días y uno relacionado con sucesión de personal crítico podría revisarse mensualmente.

La frecuencia debería depender de una pregunta sencilla: ¿A qué velocidad puede materializarse este riesgo? Si el riesgo puede generar pérdidas significativas en minutos, un KRI actualizado mensualmente tiene escasa capacidad preventiva.

El umbral debería activar una decisión

Existe otro síntoma de debilidad. Por ejemplo, un KRI llega a rojo. Se presenta al Comité, se discute, se solicita seguimiento y nada cambia operacionalmente. Entonces tenemos un indicador, pero no necesariamente un sistema de alerta temprana. Cada nivel relevante debería estar conectado con acciones.

Por ejemplo:

Preventivo: intensificar monitoreo.

Alerta: investigar causa y aumentar frecuencia.

Límite: ejecutar controles adicionales o restringir exposición.

Crítico: activar escalamiento, contingencia o suspensión.

El indicador adquiere valor cuando modifica una decisión. Un KRI que cambia de color pero no cambia ninguna conducta es principalmente decoración ejecutiva.

Los KRIs también necesitan ser revisados después del incidente

Cada incidente material debería generar una pregunta adicional dentro del análisis de causa: ¿Existió alguna señal previa que no estábamos observando?

Quizás existía: Un aumento de errores, mayor latencia, más excepciones, tickets repetitivos, rotación de personal, cambios de configuración, alertas descartadas, quejas de clientes, problemas en un proveedor.

Si encontramos esas señales, tenemos una oportunidad. Podemos convertirlas en nuevos indicadores o incorporarlas a indicadores existentes, así, cada incidente ayuda a mejorar la capacidad predictiva del sistema.

¿Qué debería ver el Comité?

Un dashboard moderno podría dejar de mostrar únicamente:

KRI | Valor | Límite | Semáforo

y agregar Tendencia | Velocidad | Distancia al límite | Señales relacionadas | Acción requerida.

Entonces podríamos encontrar algo mucho más interesante:

KRI: VERDE
. Tendencia: deteriorándose
. Velocidad: alta
. Distancia al límite: 8 %
. Correlación: 4 señales adicionales
. Pronóstico: ÁMBAR en 10 días

Ahora tenemos información para decidir, no necesitamos esperar a que el indicador llegue a rojo.

Reflexión final

Los KRIs siguen siendo una herramienta fundamental para la gestión del riesgo, pero debemos dejar de confundir medición con anticipación.

Un tablero completamente verde puede transmitir tranquilidad mientras debajo de esos indicadores están creciendo señales que nadie está correlacionando. El desafío es evolucionar desde indicadores retrospectivos e históricos, hacia sistemas de alerta que incorporen tendencia, velocidad, contexto, correlación y acciones.

La pregunta del Comité ya no debería ser solamente: “¿Cuántos indicadores están en rojo?”

Debería incorporar otra mucho más poderosa: “¿Cuáles de nuestros indicadores verdes están deteriorándose más rápido?”

Porque cuando el KRI finalmente llega a rojo, quizá ya no estamos gestionando un RIESGO POTENCIAL. Quiza estamos gestionando un incidente materializado.