Las instituciones financieras están transformando sus operaciones mediante plataformas digitales, automatización e inteligencia artificial. Sin embargo, en muchas organizaciones, la gestión de riesgos continúa funcionando con procesos manuales, herramientas fragmentadas y evaluaciones que llegan cuando las decisiones ya fueron tomadas. ¿Y si también transformáramos la manera de gestionar los riesgos?

El negocio cambió. ¿La gestión de riesgos también?

Imaginemos una institución financiera que acaba de implementar una nueva plataforma de originación de créditos.

El proceso es más rápido. Los clientes presentan sus solicitudes digitalmente, las validaciones se ejecutan automáticamente y los tiempos de aprobación se reducen considerablemente.

Desde la perspectiva comercial, el proyecto es un éxito. Sin embargo, cuando el Comité de Riesgos solicita conocer cómo cambió la exposición operacional y tecnológica, comienza una tarea que resulta familiar para muchos profesionales.

El responsable de Riesgo Operacional necesita solicitar información a diferentes áreas. Tecnología prepara un reporte de incidentes. Seguridad de la Información revisa las vulnerabilidades. Continuidad del Negocio verifica las dependencias críticas y Cumplimiento evalúa las implicaciones regulatorias.

• Cada equipo utiliza herramientas diferentes.

• Los resultados deben consolidarse manualmente.

• Las evaluaciones tardan varias semanas.

• Finalmente, la organización obtiene una visión de los riesgos asociados al nuevo proceso.

Pero existe un problema. El negocio ya está operando bajo condiciones que la evaluación de riesgos apenas comienza a comprender.

Esta situación refleja una brecha que se está volviendo cada vez más relevante: la velocidad de transformación del negocio supera la capacidad de los modelos tradicionales de gestión de riesgos para generar información oportuna. En este contexto surge una propuesta que merece atención: Risk as a Service (RaaS), o Gestión de Riesgos como Servicio.

¿Qué es Risk as a Service?

Risk as a Service es un modelo de prestación de capacidades de gestión de riesgos mediante servicios especializados, apoyados en tecnología, metodologías, información y conocimiento profesional, que pueden ser consumidos por una organización de forma continua, modular y escalable.

En lugar de desarrollar internamente todas las herramientas, capacidades analíticas y recursos especializados, una institución puede acceder a determinados servicios de gestión de riesgos proporcionados por un tercero.

Estos servicios pueden incluir identificación y evaluación de riesgos, monitoreo de indicadores, análisis de escenarios, evaluación de controles, gestión de incidentes, seguimiento de planes de acción, elaboración de reportes y asesoramiento especializado.

El modelo puede adoptar diferentes modalidades. Algunas soluciones se ofrecen mediante plataformas tecnológicas bajo esquemas de suscripción. Otras combinan tecnología con equipos profesionales que ejecutan actividades especializadas. También existen modelos híbridos que integran herramientas, automatización, analítica y acompañamiento consultivo.

Conviene precisar que Risk as a Service no constituye un estándar único ni un modelo regulatorio universalmente definido. Es una denominación comercial y operativa que puede abarcar servicios con alcances y responsabilidades diferentes.

Su valor no depende de la etiqueta utilizada, sino de las capacidades que efectivamente proporciona y de cómo estas se integran con el gobierno de riesgos de la institución.

De adquirir herramientas a consumir capacidades de gestión

Durante años, muchas instituciones han invertido en sistemas para registrar incidentes, administrar matrices de riesgos, monitorear indicadores y documentar controles.

• Estas inversiones pueden ser necesarias y aportar beneficios importantes.

• Pero disponer de una plataforma no significa contar automáticamente con una capacidad madura de gestión.

• Una herramienta puede registrar incidentes sin identificar sus causas recurrentes.

• Una matriz digital puede almacenar evaluaciones que ya no representan los escenarios actuales.

• Un dashboard puede mostrar indicadores sin proporcionar criterios suficientes para tomar decisiones.

El desafío no consiste solamente en digitalizar los registros. Consiste en convertir la información en conocimiento útil para gestionar la exposición. Aquí aparece una diferencia relevante entre contratar una herramienta y contratar un servicio de gestión de riesgos.

Una plataforma entrega funcionalidades. Un servicio integral debe contribuir a producir resultados de gestión verificables.

Por ejemplo, una institución podría contratar un servicio que no solamente facilite el registro de incidentes operacionales, sino que también permita clasificarlos, analizar tendencias, identificar concentraciones, relacionarlos con controles y generar alertas para los responsables correspondientes. De esta manera, la tecnología se convierte en un medio para fortalecer la capacidad de gestión, no en un fin en sí mismo.

¿Qué servicios pueden ofrecerse bajo un modelo RaaS?

El alcance dependerá de la naturaleza, tamaño, complejidad y perfil de riesgo de cada institución. En el ámbito financiero, existen varias capacidades que pueden estructurarse como servicios especializados.

Gestión del riesgo operacional

Un servicio puede integrar inventarios de procesos, identificación de eventos de riesgo, evaluación inherente y residual, análisis de controles, gestión de incidentes y seguimiento de planes de tratamiento. También puede incorporar indicadores clave de riesgo (KRI), análisis de pérdidas operacionales y generación de reportes para los comités correspondientes.

El objetivo no debería limitarse a mantener actualizadas las matrices, sino a identificar oportunamente cambios materiales en la exposición.

Gestión del riesgo tecnológico y ciberseguridad

El modelo puede proporcionar capacidades para evaluar riesgos tecnológicos, identificar dependencias críticas, monitorear vulnerabilidades, analizar escenarios de ciberamenazas y evaluar la efectividad de controles.

En determinados casos, también puede incorporar información procedente de herramientas de seguridad, inventarios tecnológicos y sistemas de gestión de incidentes.

Esto permitiría relacionar eventos técnicos con posibles consecuencias sobre procesos y servicios financieros.

Continuidad del negocio y resiliencia operativa

Un servicio especializado puede apoyar la ejecución y actualización del análisis de impacto al negocio (BIA), la identificación de servicios críticos, la evaluación de estrategias de continuidad y el seguimiento de capacidades de recuperación.

También puede facilitar la planificación de pruebas, el registro de resultados y la identificación de brechas frente a los objetivos de recuperación y tolerancias al impacto establecidos.

El valor aumenta cuando estas capacidades se integran con los riesgos tecnológicos, operacionales y de terceros.

Gestión del riesgo de terceros

Las instituciones financieras dependen cada vez más de proveedores tecnológicos, servicios en la nube, plataformas especializadas y cadenas de subcontratación.

Un modelo RaaS puede facilitar la evaluación inicial de proveedores, el seguimiento de riesgos, el monitoreo de concentraciones, la revisión de evidencias y la gestión de acciones correctivas.

Sin embargo, debe evitarse que el servicio se limite a administrar cuestionarios.

La evaluación necesita considerar las consecuencias que una falla del proveedor podría generar sobre los servicios críticos de la institución.

Cumplimiento y gobierno de riesgos

También pueden ofrecerse capacidades para identificar obligaciones aplicables, monitorear compromisos, administrar evidencias, evaluar brechas y preparar información para los órganos de gobierno.

Estas actividades pueden fortalecer la eficiencia del cumplimiento, siempre que se mantengan claramente definidas las responsabilidades institucionales y los mecanismos de validación.

El verdadero potencial: conectar riesgos que hoy se gestionan por separado

Uno de los principales problemas de los modelos tradicionales es la fragmentación.

• Riesgo Operacional administra sus matrices.

• Tecnología registra incidentes.

• Ciberseguridad monitorea amenazas.

• Continuidad del Negocio mantiene sus planes.

• Cumplimiento gestiona obligaciones.

Cada función puede desarrollar adecuadamente sus responsabilidades y, aun así, la organización carecer de una visión integrada. Pensemos en una falla de un proveedor de servicios en la nube.

• Para Tecnología, representa un incidente de disponibilidad.

• Para Continuidad, una interrupción de un servicio crítico.

• Para Riesgo Operacional, un evento que podría generar pérdidas.

• Para Cumplimiento, una situación que podría activar obligaciones de comunicación o reporte.

• Para la Alta Dirección, es un problema que afecta clientes, operaciones y reputación.

No estamos frente a cinco incidentes independientes. Estamos frente a un mismo evento observado desde distintas perspectivas.

Un modelo RaaS bien diseñado puede contribuir a integrar estas dimensiones mediante una arquitectura común de información, metodologías consistentes y mecanismos coordinados de seguimiento.

El valor no está en producir más reportes, sino en permitir que la organización comprenda cómo se relacionan sus exposiciones.

La inteligencia artificial puede transformar el modelo

La incorporación de inteligencia artificial abre posibilidades relevantes para los servicios de gestión de riesgos. Por ejemplo, una solución puede analizar grandes volúmenes de incidentes, identificar patrones recurrentes, proponer clasificaciones preliminares y detectar posibles relaciones entre eventos y controles. También puede apoyar la revisión de documentación, la identificación de obligaciones, la elaboración de escenarios y la preparación de reportes ejecutivos.

Los agentes de IA podrían ejecutar tareas delimitadas dentro de estos procesos, como recopilar información autorizada, verificar la integridad de registros o generar alertas para revisión, sin embargo, esta evolución también introduce nuevas exposiciones. Una clasificación incorrecta podría distorsionar las estadísticas de incidentes, un análisis basado en información incompleta podría subestimar un riesgo. Una recomendación generada automáticamente podría resultar inadecuada para el contexto de la institución y un agente con permisos excesivos podría ejecutar acciones no autorizadas.

Por eso, la incorporación de IA debe acompañarse de mecanismos de gobierno, validación, trazabilidad, seguridad de la información y supervisión humana proporcional a la criticidad de las decisiones.

Marcos como ISO 31000, ISO/IEC 23894, ISO/IEC 42001 y NIST AI RMF pueden aportar referencias útiles para diseñar estas capacidades, sin embargo la inteligencia artificial puede acelerar el análisis de riesgos. Pero no debe convertir la velocidad en un sustituto del juicio profesional.

El principal error: creer que contratar RaaS significa transferir el riesgo

Existe una distinción que no debería perderse de vista. Una institución financiera puede contratar servicios especializados para ejecutar determinadas actividades de gestión. Puede apoyarse en plataformas externas, consultores, analistas o soluciones automatizadas. Pero ello no implica transferir al proveedor la responsabilidad institucional por los riesgos que enfrenta.

La Alta Dirección y los órganos de gobierno conservan las responsabilidades que les corresponden conforme al marco regulatorio aplicable. Los propietarios de los procesos continúan siendo responsables de gestionar sus exposiciones y ejecutar las acciones necesarias. Las funciones de control deben mantener la capacidad de supervisar, cuestionar y evaluar los resultados del servicio contratado.

En consecuencia, tercerizar capacidades de gestión no equivale a tercerizar la responsabilidad por las decisiones de riesgo. Este principio es especialmente importante cuando el proveedor participa en evaluaciones que influyen sobre decisiones comerciales, regulatorias o estratégicas.

La institución debe conservar suficiente conocimiento y capacidad de supervisión para comprender los resultados, cuestionar las recomendaciones y decidir de manera informada.

¿Qué nuevos riesgos introduce Risk as a Service?

Adoptar este modelo puede mejorar la eficiencia y ampliar el acceso a capacidades especializadas. Pero también genera dependencias que deben evaluarse antes de su contratación. Una de ellas es la concentración de información sensible.

Un proveedor RaaS podría acceder a matrices de riesgos, incidentes operacionales, vulnerabilidades tecnológicas, resultados de auditoría y documentación estratégica. Una exposición indebida de esta información podría tener consecuencias relevantes. También existe el riesgo de dependencia tecnológica y metodológica si la institución utiliza exclusivamente las herramientas y criterios del proveedor, podría perder capacidad para interpretar sus propios resultados o continuar operando ante la terminación del servicio.

Otro aspecto importante es la calidad del análisis. Una metodología estandarizada puede facilitar la consistencia, pero no necesariamente representar adecuadamente las particularidades de todas las instituciones. Los modelos de evaluación deben adaptarse al contexto, al apetito de riesgo y a las características de los procesos.

Además, deben considerarse los riesgos de disponibilidad, subcontratación, residencia de datos, interoperabilidad, continuidad del proveedor y estrategias de salida.

Por eso, antes de adoptar RaaS, la organización debería aplicar una evaluación de riesgo de terceros proporcional a la criticidad del servicio.

Resultaría contradictorio fortalecer la gestión de riesgos mediante un modelo que introduce dependencias críticas que nadie ha evaluado.

¿Cómo evaluar si RaaS realmente genera valor?

La decisión no debería sustentarse únicamente en el ahorro de costos o en la cantidad de funcionalidades ofrecidas. Una institución debería evaluar si el modelo mejora resultados concretos.

Por ejemplo:

• Reducir el tiempo necesario para identificar y evaluar cambios materiales en la exposición.
• Mejorar la calidad, integridad y oportunidad de la información de riesgos.
• Incrementar la cobertura y efectividad de las evaluaciones de controles críticos.
• Detectar tempranamente tendencias de incidentes y señales de deterioro.
• Reducir el tiempo de preparación de reportes sin sacrificar calidad.
• Fortalecer la trazabilidad de decisiones, excepciones y planes de tratamiento.
• Facilitar una visión integrada de los riesgos que afectan servicios críticos.

Estos beneficios deben medirse frente a una línea base y mediante indicadores previamente acordados. Por ejemplo, no bastaría con demostrar que una matriz puede actualizarse más rápido. También sería necesario determinar si las evaluaciones son más oportunas, completas y útiles para la toma de decisiones.

El éxito de RaaS no debería medirse por cuántas actividades ejecuta el proveedor, sino por cuánto mejora la capacidad de la institución para gestionar sus riesgos.

¿Todas las instituciones necesitan el mismo modelo?

No necesariamente. Una entidad financiera de gran tamaño puede contar con equipos especializados, plataformas propias y capacidades analíticas avanzadas. En ese caso, RaaS podría utilizarse para complementar funciones específicas, incorporar conocimientos especializados o ampliar capacidades durante periodos de mayor demanda.

Para una institución de menor tamaño, el modelo podría facilitar el acceso a herramientas y especialistas que resultarían costosos de mantener de forma permanente. También puede ser útil para organizaciones que necesitan acelerar la implementación de determinadas capacidades de gestión.

Sin embargo, la conveniencia depende del costo total, la criticidad de los procesos, los requisitos regulatorios, la madurez interna y los riesgos asociados al proveedor. No existe una única arquitectura adecuada para todas las organizaciones. El modelo debe diseñarse en función de las necesidades del negocio y no al revés.

La conversación que debería llegar al Directorio

Cuando se presenta una iniciativa de Risk as a Service, es probable que la discusión inicial se concentre en eficiencia, costos y tecnología. Son factores importantes, pero el Directorio y la Alta Dirección deberían formular preguntas adicionales.

• ¿Qué capacidades de gestión necesitamos fortalecer?

• ¿Qué actividades pueden prestarse externamente sin debilitar nuestro gobierno de riesgos?

• ¿Cómo verificaremos la calidad y efectividad del servicio?

• ¿Qué información sensible compartiremos?

• ¿Podemos cuestionar y validar los resultados generados?

• ¿Qué ocurriría si el proveedor dejara de prestar el servicio?

¿La institución conservará la capacidad de gestionar sus riesgos y cumplir sus obligaciones? y, especialmente:

¿Estamos contratando una plataforma para administrar información o una capacidad que realmente mejorará nuestras decisiones de riesgo?

La respuesta debería orientar el diseño, contratación y supervisión del modelo.

Reflexión final: el futuro no consiste en tener menos gestión de riesgos, sino en gestionarlos mejor

Risk as a Service representa una oportunidad para replantear cómo las instituciones financieras acceden a herramientas, metodologías, conocimiento y capacidades especializadas. Puede contribuir a reducir actividades manuales, integrar información, mejorar la oportunidad del análisis y fortalecer la capacidad de respuesta, pero no constituye una solución automática a los problemas de gobierno, cultura o efectividad de los controles.

Una organización con responsabilidades poco claras, información deficiente y decisiones tardías no resolverá necesariamente esas debilidades por contratar una plataforma más sofisticada.

• La tecnología puede acelerar procesos.

• Los especialistas externos pueden aportar experiencia.

• La inteligencia artificial puede ampliar la capacidad analítica.

Sin embargo, la gestión de riesgos seguirá necesitando responsables, criterios, decisiones y rendición de cuentas.

La verdadera transformación no consiste en convertir la función de Riesgos en un servicio externo. Consiste en lograr que sus capacidades estén disponibles cuando el negocio las necesita, con información confiable y resultados que contribuyan a tomar mejores decisiones.

La pregunta que deberían hacerse las instituciones financieras no es solamente si están preparadas para adoptar Risk as a Service.

Es otra: ¿Nuestro modelo actual de gestión de riesgos tiene la velocidad, integración y capacidad analítica que necesita el negocio que estamos construyendo?

Porque el futuro de la gestión de riesgos no se definirá únicamente por la cantidad de matrices, controles o reportes que administramos. Se definirá por nuestra capacidad para convertir el conocimiento del riesgo en decisiones oportunas, fundamentadas y efectivas.

ALGERisk Corporation
Generando cultura de riesgos