Cuantas veces hemos visto cuando la matriz de riesgos presenta un riesgo inherente “Alto”. El responsable registra tres controles y estos son calificados como “Fuertes”. Después de aplicar la metodología, el riesgo residual termina en “Bajo” o “Moderado”. El Comité observa el mapa de calor y acepta el riesgo residual como aceptado y continúa con el siguiente riesgo. Todo parece razonable.

Hasta que ocurre el incidente asociado a dicho riesgo. Entonces aparece una pregunta incómoda: ¿Realmente habíamos reducido el riesgo o solamente habíamos cumplido con la burocracia, reduciendo su calificación en una matriz?

El riesgo residual parece más preciso de lo que realmente es

En muchas metodologías de riesgo operacional existe una secuencia conocida:

Riesgo inherente → evaluación de controles → riesgo residual.

Conceptualmente es correcta. El problema aparece cuando convertimos esa lógica en una operación casi matemática. Si el riesgo inherente tiene determinada probabilidad e impacto y los controles reciben una valoración elevada, la metodología desplaza automáticamente el riesgo hacia una zona inferior del mapa.

El resultado parece objetivo. Pero, ¿detrás puede haber varias estimaciones subjetivas?

¿Cómo sabemos que un control calificado con 90 % de efectividad realmente reduce 90 % de la exposición?

¿Una política aprobada reduce riesgo?

¿Un procedimiento documentado?

¿Una revisión mensual?

¿Una aprobación adicional?

La existencia del control no demuestra automáticamente su capacidad de mitigación. La evidencia de que el control exista, esté documentado o se ejecute, no es garantía de mitigación.

Diseño, ejecución y efectividad no son lo mismo

Supongamos que una entidad tiene un control para revisar diariamente determinadas operaciones.

El diseño puede ser adecuado. La frecuencia puede estar definida. Existe un responsable. Hay evidencia. El control se ejecuta.

Pero si durante seis meses no detectó ninguna de las anomalías que posteriormente generaron incidentes, tenemos otro problema: El control existe y se ejecuta, pero quizás no es efectivo.

Por eso conviene preguntarse y separar el análisis al menos en tres dimensiones:

• Diseño: ¿el control podría mitigar razonablemente el riesgo?

• Ejecución: ¿se realiza como fue diseñado?

• Efectividad: ¿existe evidencia de que realmente está reduciendo la exposición?

Una cuarta dimensión también resulta importante:

• Cobertura: ¿qué porcentaje de la exposición está realmente cubierto? o ¿que tipología de riesgos cubre?

Un control excelente aplicado solamente al 30 % de las operaciones críticas no debería producir la misma reducción del riesgo que uno con cobertura prácticamente total.

El problema de sumar controles débiles

Existe otra situación frecuente.

Un potenvial evento de riesgo tiene siete controles. La cantidad de controles genera sensación de seguridad. Pero quizás cinco son detectivos, cuatro dependen de intervención manual, tres utilizan la misma información y varios pueden fallar por una causa común.

No necesariamente tenemos siete barreras independientes. Podríamos tener siete controles altamente correlacionados y no ser efectivos en conjunto.

Por ejemplo, si tres revisiones dependen del mismo archivo Excel incorrecto, las tres pueden fallar simultáneamente.

Si dos controles dependen de la misma persona, la ausencia de esa persona afecta ambos.

Si varias validaciones utilizan información proveniente de una misma fuente degradada, todas pueden aprobar una operación incorrecta. Por eso, contar controles puede ser engañoso, lo importante es entender cómo reducen el riesgo y qué puede hacerlos fallar simultáneamente.

Preventivo no es igual que detectivo

También debemos evitar tratar todos los controles como equivalentes. Un control preventivo que impide ejecutar una operación fuera de parámetros tiene un efecto diferente de un reporte que detecta la anomalía al día siguiente. Ambos pueden ser valiosos, pero actúan en momentos distintos.

Lo mismo ocurre con controles:

• preventivos / detectivos,
• correctivos,
• compensatorios / complementarios

Si un evento puede materializar una pérdida en segundos, un control detectivo mensual difícilmente debería reducir significativamente su probabilidad. Puede ayudar a detectar recurrencias, pero no necesariamente evita el evento inicial.

La capacidad de mitigación debe guardar relación con la velocidad de materialización del evento de riesgo.

¿El riesgo residual debería tener evidencia?

En lugar de preguntar únicamente “¿Qué controles tenemos?”

deberíamos preguntar: “¿Qué evidencia tenemos de que estos controles están reduciendo la exposición?”

Esa evidencia puede provenir de distintas fuentes:

• resultados de pruebas de controles,
• excepciones detectadas,
• incidentes evitados,
• fallas identificadas,
• cobertura real,
• tiempos de detección,
• auditorías,
• pruebas independientes,
• tendencias de pérdidas,
• evolución de KRIs,
• simulaciones
• análisis de escenarios.

No todos los riesgos requieren cuantificación sofisticada. Pero cuanto más material sea el riesgo, mayor debería ser la exigencia para justificar una reducción significativa del riesgo inherente.

Un ejemplo sencillo

Supongamos un proceso con riesgo inherente Alto. Existen cuatro controles y todos están documentados.

La evaluación tradicional podría concluir:

Riesgo inherente: Alto
Controles: Fuertes
Riesgo residual: Bajo

Ahora agreguemos información.

• Uno de los controles tiene 100 % de cobertura.

• Otro solamente revisa una muestra del 10 %.

• El tercero genera demasiadas alertas y aproximadamente 40 % no se investiga oportunamente.

• El cuarto depende de una conciliación manual.

• Además, durante los últimos doce meses ocurrieron tres incidentes relacionados con el mismo riesgo.

¿Seguimos cómodos llamándolo “Bajo”? Probablemente no. La información adicional no cambió el número de controles. Cambió nuestra comprensión de su efectividad real.

Riesgo residual no significa riesgo controlado

Este concepto también merece atención. Un riesgo que sea residual no significa que esté necesariamente dentro del apetito. El riesgo residual simplemente representa la exposición que permanece después de considerar los controles existentes.

Después debemos compararlo con:

Apetito → tolerancia → límites → capacidad de riesgo.

Un riesgo residual puede seguir siendo Alto y requerir tratamiento. También puede existir un riesgo residual aparentemente Moderado cuya velocidad, concentración o impacto extremo justifique atención inmediata.

Por eso, la conversación no debería terminar cuando calculamos el residual. En realidad, ahí comienza una de las decisiones más importantes: ¿Estamos dispuestos a convivir con esa exposición?

¿Qué debería mirar el Comité?

Un mapa de riesgos podría enriquecerse mostrando, además del nivel residual:

• efectividad comprobada de controles críticos;
• porcentaje de controles manuales;
• cobertura de los controles;
• controles con fallas recurrentes;
• dependencia de controles comunes;
• incidentes ocurridos pese a los controles;
• antigüedad de la última prueba;
• excepciones abiertas;
• tendencia del KRI;
• exposición fuera de apetito.

Entonces el Comité podría encontrar algo interesante:

• Dos riesgos clasificados como “Moderados” pueden ser completamente diferentes.

• Uno puede tener controles automatizados, independientes y probados.

• El otro puede depender de revisiones manuales, información incompleta y controles que nunca han sido sometidos a pruebas independientes.

El color del nivel del riesgo es el mismo. La confianza que deberíamos tener en ese color no.

Incorporar un nivel de confianza

Una evolución interesante sería acompañar el riesgo residual con una valoración de confianza en la estimación.

Por ejemplo: Residual Moderado — Confianza Alta, o

Residual Moderado — Confianza Baja

La confianza podría considerar calidad de información, pruebas de controles, cobertura, historial de incidentes, independencia de las validaciones y antigüedad de la evaluación.

Esto permitiría distinguir entre: “Creemos que el riesgo está controlado porque tenemos evidencia”

y “Creemos que está controlado porque la metodología produjo ese resultado”. La diferencia es enorme.

La pregunta que debería hacerse Riesgos

Cuando un control reduce significativamente la calificación de un riesgo, deberíamos poder responder:

¿Qué evidencia justifica esa reducción?

Si la respuesta es solamente “porque el control está implementado”, tenemos trabajo pendiente.

La gestión moderna del riesgo operacional necesita evolucionar desde inventarios de controles hacia evidencia de efectividad. No necesitamos abandonar las matrices. Necesitamos evitar pedirles una precisión que no pueden ofrecer.

Reflexión final

El riesgo residual es una estimación. No es una verdad matemática.

Puede ser extremadamente útil para priorizar, comparar y tomar decisiones, siempre que entendamos sus supuestos.

El peligro aparece cuando una fórmula transforma valoraciones subjetivas en un número aparentemente objetivo y dejamos de cuestionarlo.

Por eso, la próxima vez que un riesgo pase de Alto a Bajo después de aplicar controles, antes de celebrar podríamos hacer una última pregunta: ¿Qué evidencia demuestra que realmente redujimos el riesgo y no solamente cambiamos el color de una celda?

Un control existente puede reducir una calificación, pero sólo un control efectivo reduce exposición.