El riesgo

Fundamentals of Risk Management. Paul Hopkin.

Nosotros planificamos y la realidad dispone. Existe riesgo porque existe una probabilidad de que ocurra algo que no estaba planificado. Algunos riesgos son extremos, puede haber una crisis sanitaria o un cambio climático. Otros son más cercanos, como la falta de aceptación de los usuarios de un determinado cambio.

Cuando el riesgo solo puede traer consecuencias negativas lo llamamos “peligro”, por ejemplo un fuego o un accidente de tráfico. Los “riesgos de conformidad” legal (“compliance”) son también a menudo considerados peligros, asumiendo que no cumplir trae consecuencias negativas. Sin embargo, algunas organizaciones dan la vuelta al riesgo y ven los beneficios extra que pueden derivarse de cumplir con una conformidad.

Otro tipo de riesgo es el “riesgo de control”. Llevar el coche al mecánico reduce la probabilidad de avería pero no la elimina, es un riesgo de control y tiene un nivel muy alto de incertidumbre.

Si esperamos un retorno positivo, por ejemplo invertimos activos financieros esperando un beneficio, o apostamos en un juego esperando una ganancia, o competimos en un deporte de riesgo esperando orgullo, autoestima o respeto social, el riesgo es un “riesgo de oportunidad”.

Gestionar el riesgo supone detectar riesgos posible, evaluar posibles respuestas y tomar las decisiones más adecuadas en cada caso. También incluye desarrollar una estrategia completa de riesgos, monitorizarla, comunicarla a los stakeholders involucrados y asegurar la disponibilidad de recursos necesarios, financieros y no financieros.

Un estándar de gestión del riesgo incluye también los procesos, recursos, etc que aseguran el resultado, por ejemplo el British Standard BS 31100:2011, el COSO ERM o el ISO 31000.

Hay varias motivaciones por las que una organización se embarca en el proceso formal de gestión del riesgo:

-        Puede ser motivada por una conformidad legal o regulatoria, o por un requisito de un cliente;

-        También puede ser una garantía, exigida por el Consejo de Administración para poner controles específicos;

-        Tomar decisiones informadas necesita entender los riesgos;

-        Un beneficio es mejorar la eficacia y eficiencia de las operaciones;

-        Permite la innovación y mejora de los procesos.

Según la personalidad de cada organización, ésta puede ser aversa al riesgo o agresiva frente al riesgo (“averse vs aggressive”). Puede aceptar y trabajar en un entorno de incertidumbre o necesitar una plataforma estable en el tiempo. Sie el riesgo puede definirse como la incertidumbre frente a los resultados de un proyecto, es una variable subjetiva y la misma situación puede ser para una organización un riesgo de alto impacto y para otra un riesgo de impacto bajo.

Una misma organización puede tolerar o no un peligro, aceptar la exposición a un riesgo de control o invertir en un riesgo de oportunidad.  En el caso de riesgos de seguridad y sanidad, las organizaciones deben ser intolerantes y eliminarlos. En el caso de robo, por ejemplo, las empresas pueden asumir un cierto nivel de robo, porque eliminarlo puede tener un coste alto poco eficiente.

Son riesgos:

-        Coste variable o disponibilidad de materias primas;

-        Velocidad del cambio organizativo;

-        Fiabilidad de los sistemas de información;

-        Protección de datos y Propiedad Intelectual;

-        Reputación;

-        Temas regulatorios o legales;

-        Globalización y cambios de mercado;

-        Aumento de expectativas de los clientes;

-        Innovación de producto;

-        Cambios tecnológicos.

El modelo de las 4Ts nos dice que hay cuatro aproximaciones de gestión: tolerar, tratar, transferir y terminar.