Conocer la Organización para aplicar la Gestión de Riesgo Operacional

La gestión de riesgo operacional no puede ser considerada como un simple marco de trabajo, que conlleva a mitigar posibles eventos que ocasionen pérdidas a la organización. Visto así, es una forma de establecer un procedimiento que es más teórico que práctico. La razón es que la realidad, cuando se analiza un proceso de una organización, se aislan factores y componentes de riesgo que en si mismo, no ocasionan daño o manifiestan alguna posibilidad de potenciar debilidades.

Para administrar el riesgo operacional, se tiene que conocer el objetivo del proceso y el contexto en el cual, él mismo se ejecuta. En simples palabras, conocer muy bien la razón de la organización y el aporte que se obtiene de ejecutar satisfactoriamente los procesos. Es por ello, que parte de la limitación que se encuentra para que la práctica de riesgo operacional sea efectiva, es que se quiere evaluar el proceso contra un inventario de eventos, el que se relacionan a los componentes humanos, tecnológicos, prácticas y de entorno.

Estos a su vez, son valorados con base a estimaciones cualitativas, en el que se decide el nivel de riesgo que se afronta, de acuerdo al tipo de "riesgo" o "evento", que la organización o la gerencia a cargo de la administración de riesgos, haya tipificado. Esta técnica es aceptable, siempre y cuando no conlleve, a realizarse en forma mecanica; en la que a la larga se pierde el interés por realizar el análisis detallado del proceso y del posible riesgo al que se esté exponiendo la organización.

De lo anterior, posiblemente, se termina obteniendo resultados similares en todas las evaluaciones. La razón, es que se evalua al factor de riesgo en si mismo, sin contextualizarlo en el proceso, y a su vez el proceso dentro del negocio. De allí que los eventos pudieran estar subestimándose, y en consecuencia, los resultados que se obtengan, aplicando un proceso de backtesting[1]; muy posible que sean nada cercanos a lo que se consideró en el escenario de estimación de riesgos.

Es por ello que la evaluación, debe tener como condición que se alcance pleno conocimiento de lo que se evalúa. El análista de riesgos, debe tener clara conciencia de qué tipo de empresa evalúa, en qué sector se desarrolla su operación, cómo sus procesos contribuyen a lograr los objetivos; y en consecuencia a ese conocimiento, se estará preparado para realizar un análisis de riesgo operacional. Esta actividad la tendrá que desarrollar siempre, cuando el ciclo de evaluación o demanda por requerimiento interno o externo, así lo exija. Nada debe darse por aceptado, sin haber sido evaluado. La razón fundamental: "La empresa es un organismo que forma parte de otros sistemas y los cambios, internos y externos son permanentes". El estándar AS/NZS 4360[2] refiere a esta actividad en el "Establecimiento del Contexto".

Debe tenerse presente que si esta etapa inicial no se logra satisfacer, el proceso de evaluación de riesgo operacional puede estar sometido a generar resultados de poco interés para la gerencia y los tomadores de decisiones; por lo cual terminará convirtiéndose en una rutina aburrida y de con poco valor para cerrar brechas o crear contramedidas que reduzcan amenazas. Si queremos que esta práctica tenga éxito, debemos procurar que cada etapa se desarrolle adecuadamente y se debe tener claro que la primera, es en la mayoría de las ocasiones es subestimada en su ejecución.

[1] Backtesting: Es el análisis que se realiza para estudiar el grado de cumplimiento de los modelos que predicen determinada conducta de variables específicas. En las prácticas de riesgo se busca evaluar a posteriori, el número de ocasiones que las pérdidas reales, establecidad para un portafolio, han superado las cifras que el modelo de valor en riesgo estimó.

[2] AS/NZS 4360: Australian/New Zeland Risk Management 4360-2004. © Standards Australia/Standards New Zealand

Alinear las Normas de Riesgo con el Negocio Bancario

Desde que se inició este siglo, se ha generado un movimiento de regulación y modernización de la función bancaria en todo el mundo, que se puede caracterizar por haber dado inicio a generar gran cantidad de normativa relacionada con la administración de riesgos. Esto a su vez, ha provocado que se hayan escrito cientos de miles de páginas en relación a los temas que tratan la forma de aplicación de las normas, los modelos que deben aplicarse, experiencias tempranas y otro sin fin de registros; entre las cuales, uno que vale la pena destacar, es el que busca explicar el impacto que las regulaciones tienen para la operación de los bancos y en especial en la rentabilidad [1].

En entrevistas que se desarrollan con personas que tienen a su cargo los procesos de negocios o de servicios, en las instituciones bancarias; cuando se les pide que den su opinión acerca de las nuevas normativas, generalmente la reacción es que están de acuerdo con ellas, dado que consideran que existen muchos factores de riesgo que anteriormente no se consideraban con detalle en el negocio. Además, el entorno para desenvolverse era mucho más estable, con el cual podían tener procesos que poco cambiaban en el mediano a largo plazo en un ambiente poco hostil[2].

Sin embargo, cuando se les consulta sí este marco de regulaciones, contribuye a desarrollar mejoras en el ambiente de negocios; consideran que, si bien lo hace más seguro, evitándole inconvenientes al banco en cuanto a pérdida de información, interrupción de operaciones y aseguramiento de la calidad; le afecta la generación de negocios; pues ésta agrega actividades o controles que puede que alarguen un proceso que se exige sea dinámico o hace tedioso un servicio que puediese ser más simple. Esto sin considerar, los costos que se les agregan al servicio, al tener que incorporar las adecuaciones a todos los procesos, a efectos de satisfacer los requerimientos regulatorios.

No hay duda que este asunto ha incorporado dificultades para gestionar adecuadamente el ritmo de la aparición de normas de gestión de riesgos (cumplir con ellas a tiempo); sin que ello agregue limitaciones la generación de productos y servicios que se orienten a la naturaleza del negocio bancario. Pero, es importante considerar que esto no es tan malo como parece, a fin de cuentas lo que se persigue es mejorar un servicio, dándole seguridad, calidad y porqué no? eficiencia.

Todo depende del enfoque que se le da al Cumplimiento

Cuando se hace un análisis de la documentación relacionada al impacto y efectos que la normativa de riesgo ocasionará en la gestión bancaria, la mayoría no comenta si la misma podría incentivar a maximizar las oportunidades, aprovechando su cumplimiento, sino se enfoca a los grandes esfuerzos que habrá que realizar y las limitaciones que conlleva el cumplirla, sin ofrecer alternativas que motiven su cumplimiento. La presentación que se da de entrada a las nuevas regulaciones posiciona a las organizaciones, ahora como nunca, a enfrentar grandes retos para lograr el cumplimiento, la cuales compiten con el crecimiento y oportunidad de negocios. Esto enfocado así, no es nada positivo.

Lo que se debería hacer (o al menos intentar hacer)

Es indudable que el reto de cumplir y lograr los objetivos del negocio, conllevan a enfrentarse a grandes retos. Pero lo que debe hacerse en principio, es acudir a la estrategia que tiene la organización e ir desarrollando un mapa en el que se crucen los requerimientos de los órganos reguladores con las estrategias de la institución. En instituciones como ISACA[4] se pueden encontrar mapas que se realizan entre estándares y prácticas relacionadas con tecnología que pueden servir de ejemplo para lo que queremos explicar.

Desarrollar mapas en los que se cruce la estrategia del negocio, normas e inclusive, estándares; se pueden obtener una buena situación inicial para conocer el impacto que sobre las estrategias puede implicar cualquier normativa. Esta actividad pueden en principio ser bastante laboriosa, pero realmente ayuda a establecer las acciones iniciales y pasos siguientes, además de permitir aproximarse a brecha que indique los niveles de cumplimiento.

Pudieramos encontrarnos con situaciones de extrema dificultad al tratar de alinear normas de riesgos con las estrategias; esto puede suceder porque las estrategias del negocio, nada tienen que ver con los procesos que el regulador desea normar; o simplemente, que no existan estrategias formalmente conformadas. En cualquiera de los dos casos, la organización debería concebir un plan estratégico o al menos un marco estratégico de gestión para el negocio.

Una vez que se ha logrado estructurar los planes de negocios y los requerimientos de los reguladores, es posible que una alta proporción de los mismos, pueda cruzarse con las estrategias. Sin embargo, si aun quedasen grandes diferencias en los cruces de normas y estrategias, es posible que no apliquen a la institución, o simplemente (situación aun más delicada) no se está orientando el negocio a su actividad principal.

Finalizada la actividad de la generación del mapa de estrategias y normas de riesgos, la generación de prioridades para el cumplimiento normativo, vendrá dictado por la estrategia de la organización; la cual, de tener como política la planificación estratégica, resolverá la situación de cumplimiento como una consecuencia.

Es muy importante que la normativa y su cumplimiento no se conviertan en la prioridad del negocio. Para ello la estrategia debe prever que los proyectos de negocios deben haber considerado la normativa vigente y las mejores prácticas bancarias, cada vez que se generen productos y servicios. La realidad es que, si se han tomado estas consideraciones, es muy factible que el proceso de cumplimiento normativo sea mucho menos traumático de lo que es hoy día. Mucho depende de la fortaleza en la cultura organizacional en su proceso de planificación, de que el el impacto de las nuevas normativas, en especial las relacionadas a la gestión de riesgos, sea menor.

Debe tenerse siempre en mente que la norma no persigue sancionar, sino instar al cumplimiento de las mejores prácticas a un sector o industria, generando bienestar colectivo y evitando crisis que puedan poner en riesgo la seguridad económica y social de la sociedad.

[1] Pueden buscar en Google la siguiente frase: "Impacto de Basilea en la Banca" y el buscador arrojará 64.900 resultados aproximadamente para el momento en que se escribió este artículo.

[2] Los dueños de los procesos de negocios se refieren, por lo general al uso intensivo de la tencología y medios virtuales de transacciones bancarias.

[3] La información recopilada se basa en entrevistas realizadas a gerentes de distintas áreas de los bancos, desde junio de 2008. En proyectos relacionados con evaluaciones de cumplimiento o adecuaciones a normativas, en 20 instituciones bancarias y aproximadamente 250 gerentes entrevistados.

[4] www.isaca.org COBIT Mapping of ITIL V3 with COBIT 4.1 (Este documento es para miembros de ISACA)

El Objetivo de la Gestión de Riesgo Operacional

Hace unos cuantos años, me encontraba en alguna parte de la universidad, sentado frente a un libro de cálculo, conociendo el método para resolver derivadas de dos funciones. El método que estudiaba era la regla de la cadena, que de acuerdo al objetivo definido por el libro, era un método desarrollado para resolver ecuaciones donde ocurriese lo siguiente:

Si f y g son funciones y si y = g(f(x)), entonces la regla de la cadena establece que: dy/dx = (dg/df)(df/dx)

En alguna parte del libro leí que si comprendía la regla, lo que obtenía con ello era que podría expresar definiciones complejas de las funciones por medio de formulas y así lograría resolver este tipo de problemas matemáticos. Debo confesar que cuando leí esto, y aplique la formula pensé que no habría derivada, que se enfrentará a mi nuevo método de resolución de problemas. Por supuesto, me tocó ir a mi evaluación. Voy a eximirme de narrar los momentos frente al examen.

Los resultados fueron catastróficos, la verdad no reflejaba el más mínimo esfuerzo que le dediqué a conocer, aprender y ejercitar, hasta el cansancio la dichosa regla; y no menos la terrible frustración al sentir que no había aprendido absolutamente nada. Evoco estos recuerdos, porque similares situaciones ocurren con una práctica que siempre tiene dificultades para su puesta en producción en las organizaciones. Sucede, que gran cantidad de gerentes de riesgo operacional, han aprendido métodos para aplicarlos en sus organizaciones, sensibilizando intensamente al personal y procurando crear la cultura de gestión de riesgo operacional, y sin embargo, el resultado es similar al que obtuve cuando quise aprender la regla de la cadena.

¿Qué es lo que produce esta situación? ¿Por qué si se conoce la herramienta y donde lo vamos a aplicar, no logramos obtener los resultados esperados?; y lo que es peor, se crea frustración con el tema, creando mayor resistencia al cambio en la organización. Vale decir, que muchas organizaciones han invertido gran cantidad de recursos (tiempo, dinero y talento) para llevar a cabo la administración de riesgo operacional.

Tiempo despues, la respuesta que le encontré a mi problema, en el estudio de las derivadas; al igual que a la aplicación práctica de la gestión de riesgo operacional; ha sido que no se tiene claro el objetivo de lo que queremos hacer. Puede parecer insensato, expresar semejante idea al respecto de una práctica que es bien conocida actualmente y es aplicada universalmente; pero no tengo más remedio que reconocer esto, pues los hechos así lo han demostrado.

Es evidente que tanto la formula de la regla de la cadena como los métodos con sus variantes para la gestión de riesgo operacional tienen un objetivo claro; y que comprendido, se sabe para que serán utilizados; pero esto es sólo el objetivo de la herramienta. Lo que no tenemos claro, es el contexto de su aplicación. Al igual que me sucedió cuando en el examen me colocaron un problema que no era igual a los que había ejercitado durante mi estudio, todo el método (mi método) se derrumbó. No porque no fuese aplicable, sino porque en realidad no tenía ni idea que buscaba la ecuación, por ejemplo, por lo general ese tipo de problemas buscan el nivel de consumo de combustible, la cantidad de dinero a invertir, la cantidad de materia prima a procesar o simplemente el valor de x. Igual ocurre en una organización cuando el gerente de riesgo operacional quiere mitigar los riesgos que deriven del uso o aplicación de sus componentes, realmente puede que se esté frenta a la misma situación: No saber que se busca. El asunto acá no es identificar los riesgo que se deriven de las personas, tecnología, procesos o eventos del entorno. En realidad, lo que se debe identificar es aquellos factores que pudieran limitar alcanzar el logro del objetivo del proceso, y en consecuencia abordarlos, entre los cuales pueden encontrarse combinaciones de los componentes de riesgo operacional (personas, procesos, tecnología entorno).

En todo caso, es importante destacar que el objetivo para la gestión del riesgo operacional, ha sido establecido en la mayoría de la biblografia como el proceso para mitigar los riesgos que se deriven de los componentes que lo integran, sin embargo este objetivo ha sido definido para la herramienta y no para la práctica en la organización. El objetivo de la práctica, debería ser el evaluar el riesgo que existe en lograr los objetivos en los procesos críticos de la organización; y por el contrario, no evaluar cada componente de riesgo operacional en los procesos. Esto no es viable, pues debe recordarse que el proceso de gestión de riesgos es cíclico, por tanto una vez evaluado, valorado, medido y controlado/mitigado; debe seguir siendo monitorizado y hacer esto en todos los procesos constantemente desvirtuaría el objeto de la organización. Lo adecuado es monitorizar los indicadores que señalen limitaciones o afectación de los objetivos de la organización, y en consecuencia actuar sobre la identificación de causas y factores, entre los cuales se encontrarán los componentes de riesgo operacional.

Debo reconocer, que la responsabilidad absoluta de haber interpretado la regla de la cadena como el objetivo para alcanzar respuestas a funciones prácticas de la vida cotidiana, fue mía. Pude haber interpretado que ese era el objetivo de la regla, y no del problema matemático cuando lo enfrentaba con mi método. De allí que una vez corregida la interpretación y adecuado el uso de la regla al contexto, no hubo derivada que soportará mi método. La historia de este examen si podría narrárselas, pero no viene al caso.

El Autoengaño nos hace tener una mejor perspectiva del Riesgo Operacional

Desarrollar consultoría relacionada a riesgo operacional, ha sido una de las actividades más difíciles que he tenido que enfrentar. La razón fundamental, es que nueve de cada diez personas que trabajan en cualquier tipo de organización, no están convencidos que este tipo de riesgo inadecuadamente (ligeramente) administrado trae como consecuencia pérdidas severas o la quiebra de las empresas. Este escenario, ha propiciado que la actividad de sensibilización haya sido una de las más promovidas y a su vez la más solicitada a nuestro grupo de trabajo en las organizaciones.

En virtud de lo anterior, desde que decidimos desarrollar esta práctica, hemos investigado métodos, analizado documentos, estudiado experiencias propias y de terceros en procesos de sensibilización, en donde se han abarcado todo tipo de temas, incluyendo hasta los de carácter religioso [1], con el firme objetivo de comprender los complejos procesos de sensibilización. El propósito ha sido encontrar las "piezas" que nos permitan habilitar un cambio cultural, mínimo pero efectivo; que combatir la poderosa barrera que inhibe a los gerentes, lograr la adecuada administración del riesgo operacional.

Con base a los resultados de hoy, podemos argumentar que estuvimos cerca de responder apropiadamente a esta situación, cuando en un artículo que titulamos: ¿Se pueden gestionar los riesgos con fe?, dimos en el clavo, que la medida de nuestra ignorancia, era la que nos limitaba a considerar con la importancia que se merecía la exposición al riesgo operacional, dado que parte de lo expuesto el mencionado artículo, establecía los siguiente:

“La gestión de riesgo maximiza las áreas donde se tiene control sobre los resultados y se minimizan donde no tenemos control alguno; quedando para nosotros oculto el enlace entre la causa y el efecto.” [2]

Sin embargo, con lo anteriormente expuesto, no alcanzamos a superar la barrera que permitiera hacer de la consultoría de riesgo operacional algo apreciado por quienes la pudieran estar necesitando. Para ese momento, no encontrábamos aun el origen de la medida de la ignorancia, que es la que provoca que no tengamos control alguno sobre lo que deseamos gerenciar.

La Respuesta Llegó

Leyendo un artículo de un consultor con gran experiencia en materia empresarial, encontré la explicación del por qué no logramos que las prácticas de riesgo operacional, incluyendo la nuestra; se acople sin mayores traumas en las organizaciones. En dicho artículo se encuentra un concepto que define una conducta de la cual nunca se me podría haber ocurrido que es la causante de los esfuerzos sobredimensionados en la gestión de riesgo operacional, el cual paso a citar a continuación:

"El autoengaño es una de las facetas más inherentes a la condición humana. Una faceta en principio estúpida, pero que nos concede una estabilidad excepcional para convertirnos en animales sociales. El hombre ha logrado convertir el autoengaño en una fuente de estabilidad." [3]

Continua el autor en el mismo artículo:

"Ésta es una de las grandes paradojas de la condición humana, otro de los aspectos que nos hacen tremendamente eficientes frente a otras especies animales. Porque, a pesar de todo lo anteriormente dicho, conviene que nos sigamos engañando a nosotros mismos por el bien de la humanidad y sucesivas generaciones. De hecho, el hombre acude al autoengaño consciente, pero el animal vive en la ignorancia inconsciente, lo cual, a pesar de menos reprobable y más sincero, es mucho más peligroso."

El autoengaño

Con el artículo comprendí el concepto denominado la ignorancia inconsciente, la cual define como aquella que conlleva a no darse cuenta de que se está ignorando una realidad. Por tanto la ignorancia inconsciente es tremendamente peligrosa porque, a pesar de proveer tranquilidad, implica que somos ajenos a la realidad. Ahora bien, el autor define un concepto (autoengaño) que nos ayuda a comprender porque fallamos tantas veces en lograr una sensibilización adecuada al riesgo operacional; y es que el autoengaño consiste en engañarse de forma voluntaria para que las cosas sigan funcionando, pero si lo peor sucede, se buscará la forma de arreglarlo. Esto es genial, es como si fuese el "Feng shui" [4] del riesgo operacional. Nunca se nos hubiese ocurrido que era basado en una condición humana por minimizar, evitar, multiplicar por cero los riesgos operacionales (La verdad es que tampoco somos especialistas en conducta).

Debo confesar que con relación a la idea anterior, siempre creí, que era porque la gente ignoraba al riesgo operacional, por ser una materia aburrida o tal vez tediosa; sin embargo, tomando como base esta teoría se me ocurre que, es que, en realidad saben de lo tremendamente peligroso que es el riesgo operacional, pero aun así, a pesar de saber que los puede desestabilizar, se asume una acción de autoengaño, que conlleva a ver las cosas con una mejor perspectiva y que en caso de ocurrir algún evento que desbarate la condición de tranquilidad o normalidad, siempre habrá una opción para recuperarse de dicha situación.

Ahora sabemos el origen

Con la identificación de este factor tan importante, podremos dedicarnos a desarrollar una mejor manera de aproximación a la formación de cultura para la gestión de riesgo operacional en las organizaciones, de forma que el esfuerzo no se vaya en talleres y sesiones, en el que el objetivo, no esté claro y las personas acudan obligadas porque la organización decidió que había que darles inducciones para que sepan que el riesgo operacional no es tan malo como dicen o creer que enviando al personal a cursos se resolverá el problema.

Ahora tenemos información más acertada sobre la causa que ha ocasionado que la sensibilización no haya podido calar en la gente. Además sabemos que a consecuencia de ello apuntábamos inadecuadamente a los objetivos de la sensibilización y por ende a desarrollar mejores prácticas de gestión de riesgos. No creemos, que se haya hecho del todo mal, sin embargo si ha costado tanto y los objetivos logrados, no son los esperados en el corto plazo algo no se está haciendo bien.

Ahora entendemos el por qué a pesar de que el método que hemos desarrollado y afinado por años, para administrar los riesgos operacionales está en su estado de arte, no funcionaba en los estándares deseados, pues el asunto es que para la mayoría de quienes lo necesitan, no piensan que sea así, pues viven una realidad en el que el riesgo operacional, no es tan malo. Lo importante de esta nueva información, es que nos permitirá desarrollar nuevas estrategias que contribuyan a alcanzar los objetivos, que al fin y al cabo son fortalecer la práctica de riesgo operancional a través de una adecuada y efectiva aplicación práctica. "De momento sabemos que causa el mal, ahora nos toca desarrollar la cura." Por supuesto, revelaremos los hechos a través de este medio.

No quiero dejar de invitarles a que lean el artículo que permitió entender un poco más el riesgo operacional, y del que a su vez tome préstado el nombre, elaborado por Francisco Alcaide. Autoengañate y vivirás mejor

[1] No en es por casualidad que los Jesuitas, conocidos como La Compañía de Jesús fue la primera empresa que formó a sus propios líderes y, durante ese proceso, se construyó una de las compañías más exitosas del mundo". De esta experiencia, sin duda, debe existir mucha información que conlleve a obtener ejemplos de sensibilización; aunque sin querer ser irónico, el tema es que supone que no tomó algunos meses, sino más bien muchos años de trabajo (muchos). Chris Lowney. El Liderazgo al Estilo de Los Jesuitas. Editorial Norma 2005.

[2] Bernstein, Peter. Against the Gods The remarkable store of risk. Wiley & Son. 1996 USA

[3] Francisco Alcaide http://franciscoalcaide.blogspot.com

[4] Feng Shui es considerada una pseudociencia de origen chino que utiliza las leyes del cielo y la tierra para mejorar la vida recibiendo Chi positivo

El cálculo del cápital de riesgo operacional por el método estándar: ¿Es un castigo a la eficiencia?*

* La respuesta al título depende de como se administre el riesgo operacional en cada institución.

En junio de 2004, el Comité de Supervisión Bancaria de Basilea, emitió en forma definitiva el documento que establecía la convergencia internacional de medidas y normas de capital (Basilea II); entendiéndose este documento como un acuerdo que establece un marco de trabajo para desarrollar prácticas que gestionen los riesgos a través de modelos que combinan herramientas estadísticas y matemáticas, calculando provisiones de capital de riesgos de mercado, crédito y operacional.

Desde entonces y a partir de dicho acuerdo, los organismos supervisores bancarios han generado un conjunto de normas que conllevan a las instituciones bancarias a desarrollar una gestión integral ante los riesgos, calculando una provisión de capital necesaria que corresponda con el perfil de riesgo que dichas instituciones identifiquen a través de autoevaluaciones. En forma teórica, no se observan dificultades más que los esfuerzos por sensibilizar a una organización que probablemente no haya gestionado los riesgos en forma proactiva o con un marco de gestión adecuadamente estructurado, tal como ocurría en aquellos tiempos por toda Latinoamérica.

¿Qué ha pasado desde el 2004 al presente?

Los organismos reguladores han generado normativa muy específica para enfrentar la posibilidad de enfrentar eventos adversos que se deriven de las vulnerabilidades o amenazas que son inherentes a los componentes de riesgo operacional (procesos, personas, tecnología y entorno). Estas normas instan a las instituciones a realizar programas que optimicen los procesos, sensibilicen a las personas, hagan aprovechamiento óptimo del uso de los recursos tecnológicos buscando la idonea alineación entre las necesidades del negocio y el uso de los servicios de tecnología. Adicionalmente plantea el fortalecimiento del ambiente de control, se creen planes de contingencia en todo ámbito con el objetivo de garantizar el cumplimiento de los acuerdos de servicios con sus clientes. En resumen, lograr que se minimice la pérdida (contable y extra contable), con lo cual se hace más eficiente a la organización.

Hasta este punto, todo bien. Sin embargo un detalle que es identificado en la mayoría de las normativas de algunos países, es que se le exige a las instituciones que calculen el valor de las pérdidas por riesgo operacional por el método estándar, propuesto por el acuerdo de Basilea II. En este método, se exige que se agrupe los ingresos brutos por las distintas líneas de negocios que manejan los bancos. Una vez identificados los ingresos brutos por cada línea, se calcula el valor de capitla de riesgo operacional multiplicando el monto del ingreso bruto por un factor, el cual es una tasa que va desde 12% hasta el 18%; el cual es denominado beta, asignado a cada una de las líneas.

De acuerdo a Basilea II, los betas fueron determinados utilizando una aproximación a la relación que existe entre un grupo específico de bancos y el historial de pérdidas derivado del riesgo operacional en las líneas de negocios; así como por el nivel agregado de ingresos brutos generados por esa misma línea de negocio. Vale la pena destacar que existen algunas particularidades para cada país en las normativas de riesgo, más sin embargo no desvirtuan la contradicción que queremos exponer y que esperamos sea corregida en el mediano plazo.

El método estándar no es para organizaciones eficientes

Esta afirmación conllevará a mucha polémica, pero no es fácil desestimar como las organizaciones hacen inmensas inversiones en tecnología, mejoramiento en los ambientes de control, mayores esfuerzos y mejora continua en sus procesos para cada día ser más eficientes. Así como optimizar el uso de sus recursos y talento; conllevando todo esta alineación e integración de acciones a una mejora sustancial de sus ingresos o disminución de sus gastos en todos sus servicios y productos, que posteriormente tendrán que ser agrupados en sus respectivas líneas de negocios, a las que se les aplicará una tasa el cual establecerá una provisión por riesgo operacional que no incentiva en nada el realizar semejante esfuerzo, pues indudablemente los ingresos serán mayores.

Es posible que haya algo que no estemos interpretando bien. Además, estamos totalmente de acuerdo que si la organización hace más negocios deba tener una provisión de capital de riesgo acorde a su perfil; pero de nuevo, caemos en la diatriba que conlleva a preguntarse: ¿Para qué se realiza la debida diligencia de ser más seguro, confiable y eficiente si al final de todo se pierde el incentivo porque debo crear una provisión más grande porqué mis ingresos mejoraron en consecuencia a las buenas acciones? Esta contradicción se observa en las distintas normativas que algunos países aplican.

La solución a esta inconsistencia conlleva a utilizar un método más sensible al riesgo al que se expongan las instituciones, el cual se explica en Basilea II, pero que de por si, le colocan un nombre que hace que la mayoría lo estigmatice como algo complejo, pues el nombre por el cual se conoce es el "método avanzado"; y de paso, exige que sea aprobado por los organismos reguladores, debido a que se deben crear registros históricos que deben acumuparse en al menos tres a cinco años, con la pérdida financiera materializada. Esta información será sometida a modelos estadísticos que estimarán, con base a la frecuencia e impacto de tales eventos, la pérdida máxima posible por riesgo operacional. No es tan simple como el método estándar, pero: ¿Esto es peor que hacer semejante esfuerzo para ser super eficientes y que luego, en consecuencia mejoren los ingresos para que me lleven a crear una provisión que desestimule todo lo que se hace para bien de la organización y de los clientes?

Sin duda el método avanzado ayudaría a que la inconsistencia de ser más eficientes y tener más provisión sea resuelta. Esto permitiría alinear las mejoras en la eficiencia (aumento sustancial de los ingresos) con una menor provisión por concepto de capital de riesgo operacional; pero para que esto suceda debe cumplirse una condición especial: Que los supervisores y supervisados entiendan con claridad el riesgo operacional.

El Riesgo de la Procastinación

"Mi misión hoy es: Evitar, diferir, posponer..."

Procastinar es la acción de dejar para mañana lo que debemos hacer hoy. Esto viene dado porque las personas preferirán posponer actividades importantes que exigen su atención, representando cierta complejidad; en su lugar estas personas ejecutarán actividades de menor importancia y que son más agradables.

Se comprende lo de sustituir actividades no muy agradables por otras más agradables, pero "lo importante" por lo "menos importante" no es tán simple de ver en principio. Lo cierto es que se relaciona con la responsabilidad inherente a las tareas, más si tiene que ver con el ámbito profesional.

Veamos una situación como ejemplo: Existe una actividad por realizar en la organización, que de resultar éxitosa redundará en ganancias; pero en caso contrario, es decir que los responsables de esta actividad fallen, podrían estar expuestos a perder sus trabajos o no obtener las bonificaciones esperadas, por lo que siempre se verán incentivados a tomar tareas que puedan ser logradas sin dificultad y que probablemente no sean las más importantes para la organización. Procastinar es un riesgo al que toda organización está expuesta y que de no asumir que la puede padecer terminará en ser una empresa de bajo rendimiento con muy pocas probabilidades de lograr el éxito en sus objetivos.

Los síntomas que pueden darnos algunas señales que se sufre de procastinación son observardas a través de relaciones de productividad e inversión, gestión de proyectos, así como el crecimiento de estructuras organizativas y del staff. Esto se debe demostrar a través del análisis de indicadores que se construyan para tal fin.

¿Cómo se mitiga la procastinación?

1.- Sensibilización en todos los niveles
La sensibilización es el primer paso que debe darse dentro de la organización. Desde la Alta Gerencia hasta el personal operativo debe saber que el éxito de la organización estará en que cada quien deberá asumir el rol que se le haya asignado. Otro aspecto a sensibilizar es que no necesariamente cometer un error significa la muerte o condena profesional. Estas situaciones en las cuales una persona comete un error la mayoría de las veces viene dado a que no se le ha entrenado suficientemente o la supervisión de los procesos son muy débiles, permitiendo que a la larga se deteriore la calidad de los servicios y productos. En principio, el mayor enemigo que tenía la gestión de riesgo operacional era la que no se entendía, como si alguién cometía un error en un proceso éste debía reportarlo. La idea no es castigar, la idea es aprender, corregir y mejorar. Si bien, cometer errores no merece que se otorguen premios, tampoco se debe castigar, pues esto conlleva a crear culturas oscuras que buscan complices para ocultar fallas y evadir responsabilidades.

2.- Roles Claramente Definidos
Todo el personal de la organización debe saber cual es su rol en la organización y por ende debe asumirlo con la responsabilidad que se le induce al momento de ser contratado. Para ello, el personal debe saber como será evaluado y sus respuestas y resultados medidos. De allí que prácticamente todo cargo o rol dentro del proceso organizacional debe tener un indicador de rendimiento o ejecución, con lo cual se contribuye a que en muy pocas ocasiones se evadan asignaciones o se "oculten" detrás de quien siempre tenga que asumir la responsabilidad, motivado a que no haya alguién más que las asuma. Este tipo de comportamiento por lo general es muy destructivo, pues agota al recurso que constantemente se sobrecarga de tareas por cualquier motivo; lo que conlleva a que a largo plazo la empresa contrate más personal del necesario para cubrir aquellos empleados que constantemente están procastinando y que no pueden ser identificados formalmente, pues no son medidos en sus resultados.

3.- Indicadores de Gestión
Indicadores que establezcan simples relaciones, tal como el tiempo de ejecución real y la proyectada de los proyectos, la cantidad de metas asignadas y cumplidas por los recursos humanos, así como el tiempo de ejecución de cada actividad asignada, considerando además la cantidad de actividades promedio por recursos humano en condiciones similares. Como podrá notarse, estos indicadores pueden haber sido construidos para otro fin, pero sin duda pueden apoyar a determinos factores de procastinación. En este punto lo importante es quien deba monitorear estos indicadores, pues si se dejan en manos del responsable de ejecutar las actividades, tal vez no se obtengan las mediciones tan puras y se caiga en el vicio de "quién ejecuta" es "quién evalúa", de allí que la responsabilidad de la supervisión toma mucha relevancia en la gestión de indicadores.

Estas tres actividades pueden ser los pasos iniciales para que formalmente se esté mitigando la procastinación en forma efectiva y en consecuencia se incremente la productividad y la rentabilidad. La procastinación destruye valor económico, en la mayoría de las organizaciones, la procastinación contribuye a incrementar los costos por sobre contrataciones y retrasos en los proyectos, lo que implica agregar mayores cuotas de presupuesto sin que pueda explicarse, salvo que se acusa a la inflación o la mala gestión de terceros. Esto muchas veces sucede gracias al vicio de pensar que si dejo de hacer las cosas, atrasándose un día o dos no afectará en mucho un proyecto que está pautado durar meses. Pero si esto lo hacen muchas personas en muchos poryectos, el resultado será el acostumbrado: Nunca se terminará satisfactoriamente un sólo proyecto en el tiempo y en los costos previstos.

En muchas organizaciones sucede que cuando una persona depende de un salario, en el corto plazo poco pudiera afectarle no terminar a tiempo una actividad, pues independientemente del resultado sabe que se le abonará su compensación sin contratiempo. Sin duda en el largo plazo la empresa perderá mucho, pues será tarde cuando desee corregir la desviación o brecha. La estructura de gestión de riesgo operacional contribuye a mitigar la procastinación. Si bien es poco lo que se encuentra de este tema relacionado con este tipo de riesgo, los factores relacionados con las personas están bajo el ámbito de esta práctica y como parte fundamental para la gestión del factor humano se encuentra el constante esfuerzo en la formación, dotación de plantilla, gestión del conocimiento, políticas retributivas.

¿Debe el negocio prevalecer sobre la gestión de riesgos?

Cuando uno lee en la página en línea de la BBC(1) lo siguiente: "Estados Unidos impuso un plazo de 48 horas a la petrolera BP para que presente un plan adicional para contener el derrame de crudo en aguas del Golfo de México."; lo que inmediatamente podría cuestionarse un especialista en manejo de desastres es: ¿No se diseña un plan para situaciones como éstas?; o por el contrario, seguro se pensó y se diseño, pero no se desarrolló porque prevaleció el interés del negocio por encima de la gestión de cualquier evento adverso. De ser así, entonces estamos preparados para aceptar sin discusión el documental de Al Gore "Una verdad Inconveniente"(2); la cual siempre estará cuestionada por los cientificos especialistas en la conservación del ambiente y materias relacionadas, pero no lo estará en los intereses que mueven los negocios que ha causado que el calentamiento global sea real y que es producido por la actividad del hombre durante muchos años, no importando cualquier consecuencia que derive del mismo. Esto sucede a diario en todas las organizaciones, la tensión que existe entre las personas que desean llevar adelante el negocio y los intereses del mismo, sobre aquellas personas que defienden los marcos y patrones de control que limitan la acción de las ideas e iniciativas de la empresa. Sin duda, es una gran batalla diaria. Las dimensiones son distintas, por ejemplo: No se compararía una catástrofe como la de la British Petroleum en el Golfo de México, con una quiebra de un supermercado de una pequeña localidad. La primera por haber ido más allá de las fronteras del control del hombre, es decir, luchar contra la naturaleza y la otra por haber decidido depender de un sólo proveedor.
Pero, en realidad, qué sucede en las reuniones donde se toman las decisiones de seguir adelante con un proyecto que implica riesgos. Riesgos, inimaginables. Pues así a veces son catalogados en esas reuniones. Juguemos un poco con nuestra imaginación y con algo de experiencia simulando una reunión de esas:
Se encuentra reunido el comité ejecutivo de la empresa y su director principal les comenta que tiene en sus manos el proyecto que los convertirá en el máximo líder de la industria por toda la eternidad, no hace falta estimar las ganancias, pues estas serán abrumadoras, por lo cual, de por sí el proyecto cuenta con la aprobación de los accionistas y en consecuencia a ello le han brindado total empoderamiento. Como paso siguiente expone detalles del proyecto, explicando que la extracción del petróleo será realizado en profundidades nunca alcanzadas previamente y con ello destaca la invaluable tecnología a ser utilizada para realizar semejante tarea en un mundo tan hóstil. No faltará algún ejecutivo conservador que consulte si realmente dicha tecnología logrará su comentido: Extraer millones de barrilles de petróleo de una profundidad mayor a los 1.500 metros. El cual recibirá como respuesta: Somos capaces de hacerlo a profundidades aun mayores. Pero, preocupado aun por la dimensión de tal empresa, el director de riesgos, el cual es reconocido por ser un experto con una vasta experiencia, con múltiples logros, estudios y publicaciones se verá obligado a preguntar: ¿Hemos evaluado la posibilidad de que ocurra un evento a esas profundidades?, considerando que sólo robots o maquinas son las únicas que podrían bajar a tales profundidades y soportar presiones extremas. En ese momento, todo el mundo mirará quien haya planteado semejante escenario, recibiendo posiblemente este tipo de respuestas: Toda nuestra tecnología está probada para trabajar en ambientes extraterrestres. Otra respuesta será algo parecido a esto: Eso es inimaginable. Lo que usted plantea es como que en ese lugar volviese a caer un asteroide como del cretácico tercierio ya hace 65 millones de años, acabando con todos los dinosaurios. Eso no volverá a pasar. Dicho esto, todos se volverán sobre el director principal el cual dirá con estusiasmo: Entonces empezamos en una semana.
Sin duda, en la situación anterior prevaleció el interés del negocio sobre cualquier consecuencia o escenario de riesgo que se planteó. Es cierto que los negocios se hacen para hacer rentable organización, para maximizar el valor accionario de la empresa y para crear bienestar en la sociedad. Es por ello que los debe mover un deseo habilitador impregnado de codicia, la cual bien administrada es buena (3); pero precisamente, esa buena administración viene dada en el rol que le corresponde al director de riesgos, que permita hacer contrapeso con sus escenarios en las revisiones de proyectos que han de desarrollarse, pues a veces, si bien sus comentarios no son bien recibidos es porque están tocando algún elemento que exacerba los temores ocultos de quienes se están arrojándo a un proyecto que puede representar pérdidas irrecuperables y catástrofes inimaginables. Ahora bien, no sería fácil hacer comprender y convencer a mucha gente que sí se ha desarrollado tecnología para explotar petróleo a profundidades batiales(4) no utilizarlas. Ciertamente se ha invertido tanto que sería irracional no recuperar lo invertido. Lo que debe hacerse es tener siempre la opción contingente, el plan de recuperación, la vuelta a atrás. Es ir a lo básico, como cuando se planificó ir a la luna en la misión Apollo. El problema no era ir, el problema era regresar. En estos proyectos; y en la mayoría donde se involucra todo, donde se arriesga el prestigio, el patrimonio, el bienestar común, la sociedad y la vida, lo propio es pensar y desarrollar el plan que vuelva todo al punto de partida, es pensar en "el antídoto antes de preparar el veneno".
Esto no sólo le ha ocurrido a BP, le ha pasado a Leman Brothers. Ha ocurrido en miles de bancos y otras tantas miles de empresas más, no queremos pensar que algo malo nos va a pasar, que alguién alrededor nuestro está haciendo algo malo, pero las lecciones nos dicen que si pasa, pero nos quedamos con los patrones que queremos aceptar, tanto así que era más fácil pensar que una amenaza podía venir del espacio a que pudiese provenir de un a válvula rota de extracción de petróleo de las profundidades de nuestra frágil y ahora más contaminada tierra.

(1) http://www.bbcmundo.com
(2) An Inconvenient Truth. Albert Gore Paramount 2006.
(3) En la película de Oliver Stone, Wall Street, de 1987. Gordon Gekko, el despiadado financista interpretado por Michael Douglas hace una disertación sobre la codicia, manifestando las bondades del comportamiento humano codicioso bien administrado.
(4) Profundidades marinas comprendidas entre los 1.000 y 3.000 metros.

Las Fronteras del Riesgo Operacional

Desde que el Comité de Basilea definio formalmente el riesgo operacional como aquel que podría provocar pérdidas como consecuencia de procesos internos, recursos humanos o sistemas inadecuados o defectuosos, o por causas externas; el establecer límites (responsabilidades) en la administración del riesgo operacional en ocasiones se convierte en una acción contraproducente en las organizaciones.
El riesgo operacional no tiene fronteras que pudieran demarcarse para que una unidad especializada lo administre. Buscar limitar esta actividad a un grupo de personas que pudiera estar bien preparada desde el punto de vista académico y práctico no reducirá la exposición al riesgo, nunca podrá incorporar a tiempo toda la información necesaria para comprender los niveles de exposición en los que se encuentra y mucho menos podrá crear el ambiente de gestión que es requerido para convivir con un riesgo que es inherente a las operaciones de toda organización, no importando a que se dedique, pues no existe una organización que hoy día no use intensivamente la tecnología que apoya procesos críticos del negocio y que son utilizados por clientes o usuarios; y que además todos en conjunto se exponen a un entorno que por no podremos jamás dominar.
Conocer el tipo de riesgo al que se enfrenta la organización
Lo primero que se debe garantizar es que la Junta Directiva de las organizaciones comprendan que el riesgo operacional es un tipo de riesgo totalmente distinto al riesgo de crédito o mercado. Ya que por mucho que se asuma de este tipo de riesgo no arrojará ningún beneficio. Lo contrario a los riesgos de crédito y mercado es que el nivel de exposición en ellos determina la expectativa de beneficio. Lo cierto es que lo que se puede hacer es mantener un nivel bajo de riesgo operacional para no afectar los beneficios.
Otro elemento importante que se debe conocer es que el riesgo operacional no admite que se evalúen condiciones previas para su materialización, tal como ocurre en crédito y mercado. En el caso de crédito se puede condicionar el otorgamiento de un crédito si no se cumplen algunos pre requisitos para otorgarlo y en el caso de mercado se establecer límites de aceptación de pérdidas. En riesgo operacional, no hay límites y no se pudiese prever cuando alguién pudiera faltar al trabajo, equivocarse o irse de la organización, cargando con todo el conocimiento concentrado en él.
La estructura para administrar riesgo operacional
En principio el riesgo operacional será gestionado en toda la organización, obedeciendo a la aplicación de prácticas establecidas por la normativa de cada país y en su defecto a lo establecido por el Comité de Basilea. Esto es la existencia de un Comité de Riesgo Operacional el cual tendrá correspondencia con una Gerencia especializada en dicho riesgo y a esta gerencia le reportarán figuras de riesgo que estarán en todas las unidades en toda la organización. Lo cierto es que la mayoría de las organizaciones no tiene problema de llegar hasta la Gerencia de Riesgos, pero en lo que respecta a hacer el modelo descentralizado el modelo comienza a tener fallas. Las razones pueden ir desde la cultura hasta los costos que ello implica. Por cierto, pudiera ser una consecuencia de la otra. Sin embargo, siempre existen alternativas apropiadas.
Aprovechar la Estructura Organizativa Existente
Hoy en día todas las organizaciones que tienden a ser más exigidas por los servicios al público, tal como ocurre con las instituciones bancarias o de servicios basicos, han desarrollado unidades especializadas para luchar contra elementos adversos como lo son las amenazas externas que pueden provenir por efectos naturales, ambientales no naturales o humanas; así como productos que pueden monitorear el ambiente interno de fraudes, extracción o alteración de información y fallas tecnológicas. Todo esto a través de herramientas destinadas para tal fin.
Todas estas prácticas, técnicas y herramientas se encuentran en unidades en la estructura organizativa que atienden la gestión de prevención y control, tal como seguridad de la información, seguridad física, prevención de legitimación de capitales, tecnología de información y otros tantos comités como los de seguridad y prevención de desastres o manejo de crisis.
Lo importante es que la unidad a cargo de la gestión de riesgo operacional saque provecho de la existencia de estas estructuras y procurar construir los canales que permitan comunicar además de establecer la relación con las unidades dueñas de los datos que se derivan de las distintas actividades de gestión de dichas áreas, esta acción sin invadir las funciones o atropeyarse por efectos de lo que las normativas no necesariamente dejan claro suficientemente y que por lo general, en su interpretación pudieran conllevar a crear conflictos.
Con respecto a las unidades de negocios, el riesgo operacional debe irse ocupando de los procesos más críticos y por lo general éstos son bastante controlados y monitoreados; inclusive gozan de alta automatización. Al presentar estas características lo importante entonces es negociar la forma de como se obtendrá la información de éstas áreas. Un esquema base es recoger mediante trazas de monitoreo de los sistemas de información cualquier excepción o anomalía recogida por los sistemas de detección o registro de bitácoras.
Lo más importante es que las unidades perciban que el área de riesgo no las está presionando creando sobrecarga de trabajo, y a su vez lograr suministrar la información útil para generar y suministrar la información necesaria para llevar adelante la gestión de riesgos. Alternativamente, el proceso debe ser paulatino y los roles de administración de riesgos en toda la organización debe quedar suficientemente claro, conociendo con relativa certeza donde sería posible que puede haber algún tipo de colaboración y apoyo entre las áreas.
La mayoría de las veces hemos notado que todo lo que necesita la unidad de riesgos como insumo de información ya está siendo generado por otras unidades, por tanto lo importante es activar los procesos de comunicación que existen en la organización y procurar lo que requieren para su gestión; y si aun lo dudan, para muestra les dejamos un botón: La unidad de prevención de legitimación de capitales, seguridad de información, gestión de la continuidad de negocios, auditoría financiera y tecnológica, monitoreo de redes, seguridad integral, gestión de reclamos, service desk, entre otros tantos.

Las Prioridades en la Gestión de Riesgo Operacional

En la mayoría de las organizaciones donde se han incorporado prácticas de riesgo operacional, el primer cuestionamiento que se hacen es ¿por dónde empezar?; ¿porqué allí y no en otra parte? y si; ¿siempre va a ser ese el camino? Estas preguntas no pueden ser respondidas por nadie inmediatamente sin haber realizado un análisis breve, pero concreto del flujo de ingresos de la organización; pues de no hacer este análisis, estará basándose en aspectos meramente teóricos y con una alta probabilidad de que las respuestas dadas no sean muy cercanas a la realidad organizacional. La mayoría de la bibliografía que trata la evaluación de los riesgos operacionales coincide que ésta debe ser aplicada a los procesos, con lo cual estamos de acuerdo. También indican que son los procesos más importantes de la organización, los cuales deben ser considerados a la hora de aplicar las evaluaciones de riesgo; con lo cual también estamos de acuerdo. Sin embargo ¿cómo sabemos cual es el más importante sin caer en las subjetividades de los dueños de los procesos? Realmente las respuestas a todas estas preguntas se encontraron cuando a finales de 2003; nos encontrábamos con un organización que nos había contratado para desarrollar toda la práctica de riesgo operacional y cuando nos preparábamos a realizar la primera evaluación no sabíamos aun por donde comenzar. El tema es que esta organización, históricamente ha sido muy estable desde todo punto de vista y altamente conservadora, no asumiendo mayores riesgos en el mercado. Generalmente cuando un equipo de evaluación de riesgo operacional se encuentra realizando la planificación del trabajo, lo primero que hace es identificar que cambios han habido recientemente, tanto en los rubros financieros como operativos. Estos últimos se enfocan a cambios organizacionales y tecnológicos que en la mayoría de las ocasiones impactan fuertemente a una organización, sin embargo existen organizaciones que pueden no manifestar cambios importantes. Los informes de auditoría podrían reflejar algunas pistas, pero no deben tomarse como punto de partida ya que la razón de la auditoría es determinar hasta que nivel la organización está cumpliendo los objetivos establecidos por la gerencia, identificando las mejoras requeridas al marco de control. Alternativamente la administración de riesgo operacional persigue que se consolide un comportamiento racional de la organización para tomar y aceptar riesgos sólo cuando éstos tienen un adecuado nivel de recompensa en función de dicha propensión. Por esta razón es importante tener claro en que parte de los procesos de la organización pudieran estarse generando asimetrías en esta relación y atenderla con prontitud. Una forma que puede ser simple y efectiva es basarse en prácticas que el Comité de Supervisión Bancaria de Basilea ha desarrollado para el cálculo del capital de riesgo operacional, el cual consiste en tomar los ingresos brutos[1] aplicados por cada producto y servicio de las líneas de negocios. Esto es aplicado a las instituciones financieras, pero que pudiera ser fácilmente trasladado a cualquier tipo de empresa no importando su sector; pues a fin de cuentas, por todas las líneas de negocios o producción se puede estimar el ingreso bruto, más aun si la organización está bien estructurada en sus procesos contables. Para nosotros ha sido simple demostrar que las líneas de negocios más importantes son aquellas que le generan más rentabilidad a una organización. Sin embargo, la relación de pérdidas o gastos que esta pueda tener, puede hacer que afecte su posición en el "ranking" de la rentabilidad. Por lo tanto una línea de negocios o producción que debe estar situada en los niveles más altos dentro de un ordenamiento de mayor a menor en dicha escala y la misma se encuentra en una posición inferior, pueda que sea el mejor indicador para iniciar la evaluación de riesgos operacionales, pues sin duda algunos factores o componentes del riesgo operacional se están materializando. La verdad, para nosotros en los análisis prevalece la rentabilidad más que los ingresos. Por aplicar esta práctica en la mayoría de las ocasiones se evalúan áreas que son la prioridad para la administración de riesgo operacional. De esta manera fue que en 2003 y desde entonces les demostramos a los gerentes de riesgos y demás interesados que éste es un esquema que puede ser útil a la hora de definir la prioridad para dar inicio a la práctica de gestión de riesgo operacional en las organizaciones.

Los Miedos en Riesgo Operacional

En un artículo anterior hacia mención a los ingredientes que deben estar presentes para administrar riesgo operacional; destacando que uno de ellos era tener un lenguaje absolutamente claro, en lo posible sin la existencia de modismos, palabras rebuscadas o muy técnicas que pervirtieran el sentido del mensaje incorporando ruido en la línea de comunicación. Esto es complejo cuando las organizaciones son grandes y se encuentran muy estructuradas, burocratizadas o inclusive, adecuadamente segregadas.
También argumentabamos que con la adopción de estándares, entrenamiento y un buen gobierno de riesgo, en el que se establezcan las políticas claras; se podría lograr un buen marco de trabajo para la gestión de riesgos. Sin embargo, debo comentarles que esto no es tan simple cuando se lleva a la realidad.
Las razones por las cuales se impacta negativamente esta iniciativa es que no se identifican las amenazas antes de implantar una práctica tan abstracta como ésta en la organización. Se supone que la gestión de riesgo operacional es una práctica que permitirá identificar vulnerabilidades y amenazas. Basándose en tales hallazgos se construiran escenarios que permitan generar un mapa de la severidad de los riesgos con el fin de obtener las mejores alternativas para mitigarlos. Sin embargo, nunca se hace una evaluación de los miedos antes de implantar dicha práctica, lo cual atenta contra el éxito de la gestión de riesgo operacional.
El primer riesgo (miedo) que encontramos es que no existen límites claros para las funciones que se asignan a los distintos roles, provocándo en todo el talento humano se ponga a la defensiva pues supone que próntamente alguíen va a sustituirlo en su función laboral. El segundo riesgo (miedo) presente, es un tema que hemos colocado en algunos papeles de trabajo previos y es la medida de nuestra ignorancia, la cual radica en destacarnos en lo que más sabemos y ocultar aquellos asuntos de los cuales tenemos poco o ningún conocimiento; y que sin embargo puede ser un asunto que debemos gerenciar. El tercer riesgo (miedo) es el que la mayoría del talento humano rara vez ha sido preparado para reconocer los errores y asumir su responsabilidad. Por lo general es otro aspecto que como personas dentro de una organización que funciona como un sistema se tienda a buscar un cumplable alrededor y por lo general, con una alta probabilidad se encontrará, pues la organización es amplia y sin duda tiene sus defectos.
Puede que existan otros miedos, pero es muy posible que sean derivados de los antes mencionados, pues por lo general la aparición de uno de ellos puede desencadenar un proceso de acciones de entorpecimiento de cualquier inicativa de gestión de riesgos operacionales.
Sin duda que identificando los riesgos se puede comenzar a trabajar en su mitigación o contramedida que permita llevarlo a su nivel de aceptación posible al perfil deseado por la organización. De allí que si se realiza una evaluación de riesgos para identificar las debilidades que este escrito hemos identificado como miedos, es muy posible se puedan permitir la implantación de una gestión adecuada de riesgo operacional.
Ahora bien, es importante que para implantar una gestión de riesgo operacional se debe tener una clara definición de las funciones y los roles que jugará cada protagonista organizacional. Debe existir un programa de sensibilización, a todo nivel permita llevar mensajes que la nueva práctica no busca culpables y que por el contrario no se pretende limitarles el campo de acción. El mensaje debe ser claro y en función que para las organizaciones es muy díficil sustituir un recurso porque no conozca algún tema, simplemente es más fácil reentrenarlo en nuevas prácticas y aprovechar toda su experticia en las prácticas que venía ejecutándo.
Si estos mensajes son trasmitidos y las asignaciones son claras en función de los objetivos, podríamos estar más cerca de materializar una implantación de una práctica de riesgo operacional cercana a lo deseado por todos.

Los ingredientes para Administrar el Riesgo Operacional

En repetidas ocasiones, cuando una organización desea abordar la administración del riesgo operacional, seleccionan un grupo de personas que tienen relación con distintas disciplinas dentro de la organización, tales como los procesos; recursos humanos; auditoría financiera e informática y en forma atrevida algunos incluyen a seguridad de la información y física. Aqui empieza lo bueno. Los elegidos para llevar a cabo la tarea se encuentran en una situación similar a como si tuviesen que aprender un nuevo idioma en donde tienen que aprender todo un nuevo vocabulario y por supuesto hablarlo, leerlo y escribirlo con un nivel de comprensión razonable. Podría ser exagerado el simil, pero en realidad cometer un error cuando uno está hablando un idioma foraneo se nos perdona y dependiendo de la situación hasta causa gracia. Pero en riesgo operacional si cometemos un error por interpretación del lenguaje o reglas que deben aplicarse en esta práctica, creanme que no causa ninguna gracia.

Otra actividad que el equipo de riesgo operacional debe asumir y es aun más retadora es que luego que se establezca un canal de comunicación interno entre ellos con un lenguaje común; debe comunicarse con el resto de la organización, la cual por condición natural tiene un exceso de trabajo, y estas áreas procurarán por todos los medios que nunca los involucren en "eso"; pues para ellos eso de riesgo operacional es muy confuso y prefiere que lo maneje el área de riesgos.

Esta situación es común en algunas organizaciones y tiende a agravarse en la medida que comienzan a identificar riesgos pero no encuentran como mitigarlos. Sin duda ahora es una situación confusa, pues se supone que esos riesgos existían antes, pero no les causaba ninguna preocupación. El asunto es que por la experiencia más costosa, es decir, a través de las pérdidas los elegidos para administrar riesgo operacional han identificado que hay procesos que se ejecutan injustificadamente, hay errores constantes en procesamiento de información, hay fallas en los productos y en ocasiones interrupciones operativas de alto costo. Las cuales siempre habían existido pero nunca habían sido documentadas y mucho menos cuantificadas.

¿ Porqué ocurre esto?

En primer por la improvisación. El personal que integre una unidad de riesgo operacional debe tener claro cual es el objetivo que se persigue y en especial debe estar altamente preparado, no sólo para tener un lenguaje que sea natural apropiado para gestionar riesgos, sino que pueda manejar el cambio en la organización con la introducción de este tema tan novedoso para algunos.

En segundo lugar la carencia metodológica. Un método por muy simple que sea, sirve para afrontar un reto. Es perfectamente valido decir que: Una metodología no es una estrategia. Ciertamente, pero la estrategia de utilizar métodos para enfrentar temas como riesgo operacional arrojan muy buenos resultados. Lo cierto es que un método organiza y coloca dentro de un marco de trabajo, el cual pudiese ser un estándar. En el caso de riesgo operacional el estándar genérico de riesgos AS/NZ 4360 2004. Hoy día existen complementos a esta norma que no sólo permite identificar, evaluar, valorar y mitigar riesgos, sino también como financiar los riesgos, tal como el documento HB 141 2008 Guía para Financiación del Riesgo.

Por último, no menos importante es el compromiso de la alta gerencia para gestionar los riesgos operacionales. Con acciones como contratar los más experimentados especialistas en riesgo operacional; disponer de métodologías y herramientas de clase mundial para habilitar y soportar dicha gestión no es una garantía sin que los interesados e involucrados en la dirección organizacional se encuentren comprometidos con el objetivo de la unidad de riesgo operacional. Siempre ha sucedido que el interés del riesgo y su administración se inclina hacia los riesgos de naturaleza financiera, por su condición particular que entre más riesgo se asume más recompensa pudiese obtenerse. Por el contrario en riesgo operacional, por mucho que se asuma no genera ninguna alternativa de beneficio y más bien puede afectar severamente la organización en caso de materializarse. Desde mi punto de vista, este es un gran incentivo para administrar este tipo de riesgos con una receta que contribuiría en mucho a las organizaciones:
a) Especialistas experimentados
b) Métodologías adecuadas y;
c) Compromiso de la Alta Gerencia.

En Riesgo Operacional las normas claras y simples procuran una mejor aplicación del control

A principios de marzo de este año recibí vía correo un documento que sirve de instructivo publicado por la Superintendencia de Bancos de República Dominicana el cual instruye a las instituciones financieras como aplicar el reglamento de riesgo operacional emanada de ese organismo en fecha 2 de abril de 2009.

En julio de 2009, unos amigos que trabajan como consultores en República Dominicana me hicieron llegar el reglamento en cuestión para que les diera una opinión que contrastara con las otras normas similares o relacionadas, con las cuales hemos trabajado en otras superintendencias de la región. No puedo negar que una vez leído el reglamento, me sorprendió la simplicidad y consistencia que caracterizaban dicho documento. Lo cierto es que de la manera más sencilla, satisface lo que se supone debe ser una gestión de riesgos operacionales en los países latinoamericanos; y más aun me agradó la forma como afrontan los requerimientos de capital desarrollados por el Comité de Supervisión Bancaria de Basilea, el cual emitió su documento definitivo en 2004. Esto lo pude comprobar cuando, una vez enviados mis comentarios al respecto, estos mismos amigos me pidieron que ensamblara una presentación del reglamento para exponerla a los bancos dominicanos; y en cuestión de pocas horas lo había logrado el objetivo. No hace falta ser un genio para desarrollar un producto en tan breve lapso, el asunto es que hemos leído innumerables veces nuestra norma local de gestión integral de riesgos y cientos de documentos relacionados con el tema, lo cual hace que interpretar en forma el reglamento y presentar su aplicabilidad a la realidad bancaria me pareció claro, concreto y simple. Lo cierto es que en una semana visitamos alrededor de diez instituciones y en todas partes los comentarios eran muy positivos por el cómodo dominio del reglamento de riesgo operacional. Esa fue la primera parte de la historia.

La segunda parte de la historia viene, cuando recibí el instructivo que menciono al principio de este artículo. Si en su momento consideré que el reglamento era de aplicación altamente factible, con el instructivo prácticamente puede ser aplicado casi de forma inmediata por la institución financiera, pues va indicando al supervisado los pasos que debe ir cubriendo sin dejar mucho a la imaginación y mejor aun, a la especulación.

Está claro que debe entrenarse al personal, y desarrollar un proceso de sensibilización que contribuya a afianzar dicho reglamento. Pero tal vez, lo más importante es que la claridad y simplicidad de la descripción de las acciones que han de seguirse, permiten que el proceso de gestión de riesgo operacional se vaya incorporando a las actividades de la organización sin ser traumático, sin caer en conflicto o competencias con otras unidades, como por ejemplo auditoría o seguridad de información.

El instructivo está seccionado en nueve partes y complace ver que quienes promovieron el desarrollo de este producto no sintieron temor en dar lineamientos para evaluar riesgo operacional tomando como base las recomendaciones emanadas del Comité de Supervisión Bancaria de Basilea, al menos para aplicar las líneas de negocios, los eventos de pérdida y tal vez el aporte más importante de dicho reglamento es la tabla que tipifica los rangos de patrimonio técnico y montos de pérdidas a reportar.

Otro aspecto que incluye el instructivo es la formula para calcular el requerimiento de capital por riesgo operacional, el cual es exactamente el mismo al método estándar establecido por el Comité de Supervisión Bancaria de Basilea. Por último, como todo buen instructivo trae anexos las tablas que configuran los archivos a ser remitidos, con la información relacionada a los riesgos operacionales, a la superintendencia de bancos con los valores y nomenclaturas ya caracterizados.

La idea de escribir este artículo no es comentar si lo generado como normativa por los supervisores bancarios de República Dominicana es bueno o pudiera ser mejorado, o si asumir el método estándar es muy rudo sin considerar haberlo ajustado para una banca latinoamericana. Eso será asunto de otro artículo. Lo que si es loable es que sin mayor complejo se generó un documento que puede poner en marcha una gestión que no requiere más justificación universal como es la de administrar adecuadamente los riesgos; y en especial, a mi criterio el más peligroso, pues sobran evidencias de las super quiebras que se han generado en todo el planeta por múltiples factores, todos pertencientes al ámbito de riesgo operacional. Otro factor que caracteriza esta práctica es la cantidad de especialistas que existen en la práctica riesgo financiero, en contraste con el riesgo operacional que por lo general son escasos. Por tal razón, la claridad con que se exponga el tema de riesgo operacional, será mejor en la medida que sin exagerar el lenguaje técnico y mucho menos excluirlo, utilizar un lenguaje natural para todos.

Invito las personas que se vean relacionados con el tema de riesgo operacional, revisen este documento y tomen lo mejor de él, eso si sin dejar de cumplir con lo propio de cada país al que pertenecen. Por lo menos en nuestro caso local, lo desarrollado hasta ahora es muy general y aun estamos esperando que salga algo específico desde el 2003, sin embargo no vislumbramos algo cercano a eso en mucho tiempo.

Indico el enlace de la Superintendencia de Bancos de República Dominicana a quienes estén interesados en revisar el reglamento que se encuentra en la sección de marco legal: http://www.supbanco.gov.do/index2.html

¿Se pueden administrar los riesgos con Fe?

Dejar las cosas en manos de Dios no es la mejor decisión que se pueda tomar, si se desea intentar superar una situación que sabemos nos expone a un evento adverso. Eso es evadir la responsabilidad de la administración de riesgos, que no es lo mismo que evitar los riesgos. Voy a apoyarme en lo que dice el Profesor Heryk Gzyl especialista en riesgo financiero y matemática aplicada, en su papel de trabajo publicado en 2005, bajo el título de "Teorías coherentes de riesgo: Una introducción al tema". En una parte del trabajo, explica que existen métodos de predicción y administración de riesgos; y que entre ellos existen de tipo "acientíficos", los cuales muchos funcionan el 50% de las veces. Eso lo plantea muy ilustrativamente de la manera siguiente:

Si definimos

X= 0 ó 1 dependiendo de algo bueno sucede o no sucede.

Y= 0 ó 1 si la “bruja” dice que sucederá (suponiendo que ambos suceden el 50% de las veces)

Observación: La bruja la pegará el 50% de las veces.

La gestión de riesgo se hace pagando la sesión y aplicando lo “predicho”. Sin duda esto es lo que se hace para demostrar que modelos nada formales podrían satisfacer la predicción en un 50%. (Algo extremadamente riesgoso). En todo caso el profesor desarrolla una serie de consideraciones con las que se le da un tratamiento formal a la administración del riesgo, en las páginas sucesivas de su papel de trabajo. Sin embargo, con esto aun no respondemos la pregunta con la cual titulamos este artículo, pero sí pudiésemos argumentar, que con base a experiencias en algunas organizaciones, en la administración de riesgos existe una mezcla entre lo formal y lo informal. Esto es debido a que por habilidades y conocimientos en alguna materia, en especial la financiera, se consiguen modelos que manejan los riesgos de crédito y mercado mejor que los de tipo operacional. Y aquí es donde entra en conflicto la fe y la razón.Otro aspecto que contribuye a acentuar dicho conflicto, es la creencia que con enfocarse en la administración de riesgos financieros, se logra aumentar el retorno, dado que éste va en función del apetito de riesgo que se tenga, en consecuencia, si se asumen más riesgos pudiera aumentar el retorno, pero con el riesgo operacional nunca se obtendrá nada, en todo caso, disminuir las pérdidas; y en resumen, los interesados, tal como los accionistas, alta gerencia y empleados están para hacer rentable la empresa y no para mitigar pérdidas. En fin, siempre se olvida que sólo con incrementar los ingresos no se aumenta la rentabilidad.

Entonces podemos afirmar que la razón se ha fundamentado a lo largo de los años en la administración de riesgos financieros, fortaleciendo la fe en que la organización va a ser rentable y por ende exitosa, pero no se tiene fe en la administración de riesgo operacional, porque se desconoce su comportamiento, no hay especialistas, existe poco o casi nada de métodos o prácticas en la organización para administrar ese riesgo tan complejo, tanto que lo mejor, en algunos casos es encomendarse a Dios y aplicar el modelo de predicción de la bruja.

Fortalecer la Fe

La fe se fortalece con las experiencias, y claro está que buenas experiencias conllevan a tener conciencia de que algunas prácticas desarrolladas por algunos especialistas en riesgos permitirán obtener mejores resultados en la administración de un tópico (riesgo operacional) que es abstracto para muchos. De allí que las primeras personas que deben estar conscientes que el riesgo operacional es extremadamente peligroso, si se administra con métodos no formales, son los de mayor jerarquía en la organización. Ellos usualmente no incentivan o apoyan la creación de políticas que permitan ir estableciendo el marco de control para este tipo de riesgo, además desestiman los presupuestos para fortalecimiento del talento humano en la práctica de riesgo operacional, designando mayor presupuesto y en forma consecuente a las otras prácticas.

Difícilmente puede lograrse una visión integral, si sólo se fortalece lo que conocemos; y tratamos de ignorar o esconder lo que desconocemos. Esa práctica es conocida como la medida de nuestra ignorancia, tal como lo describe Peter L. Bernstein en su libro en Contra de los Dioses[1] El autor lo destaca diciendo “…la gestión de riesgo maximiza las áreas donde se tiene control sobre los resultados y se minimizan donde no tenemos control alguno; quedando para nosotros oculto el enlace entre la causa y el efecto”. En nuestro tema de riesgo operacional se aplica porque se mira con detalle los riesgos de tipo financiero pero nunca los de tipo operacional, los cuales en ocasiones ostentan una alta correlación entre si.

Lo anteriormente expuesto nos conduce a lo “qué” es necesario para fortalecer la fe, sin embargo siempre caeremos en el siguiente cuestionamiento del “cómo” se fortalecería la fe y para ello me apoyaré en otro autor, aunque bastante distante del genero que estamos tratando, pero sin duda muy útil para lo que queremos explicar.

En el capítulo seis del libro El Símbolo Perdido[2] de Dan Brown, el autor explica que para que una ideología se convierta en religión debe cumplir con tres requisitos y los mismos son: Prometer, creer y convertir. El expresa que “Las religiones prometen la salvación, las religiones creen en una teología precisa, y las religiones tratan de convertir a los no creyentes”.

Ahora bien, si consideramos hipotéticamente que la gestión de riesgos es una ideología y que la misma promete salvarnos de las pérdidas máximas posibles a las que pudiéramos estar expuestos, y que creemos que existe un marco de control adecuado que tiene un gobierno corporativo que todo lo ve y escucha; existiendo su vez existe una práctica de auditoría que permite que evaluemos nuestros procesos en función de las prácticas de control implantados. Lo que quedaría pendiente es convertir a los no creyentes. Y este sería el último paso para fortalecer la fe en la gestión de riesgos.

Trasladando lo anteriormente expuesto a una práctica más ortodoxa, se espera que la junta directiva de la organización procure la existencia de políticas de riesgos que tengan como objetivo brindar el apoyo y orientación, prometiendo con ello el logro del adecuado nivel de riesgo con base a los requisitos del negocio, reglamentos y leyes. Con esta acción se está instaurando la doctrina particular de la organización que debe ser evaluada a través de un marco de control que se definirá específicamente para la gestión de riesgos, y en especial para el riesgo operacional. Este marco de control permitirá dar la credibilidad a las acciones que se estén incorporando a la práctica de riesgos, midiendo los resultados a través de los indicadores de riesgos y el cuadro de mando gerencial. En ese mismo marco de políticas debe considerarse el proceso de adoctrinamiento, el cual crearán y ejecutarán programas de entrenamiento y sensibilización, tanto a las personas que van a administrar los riesgos, como a todo el personal de la organización para que contribuya al logro del objetivo establecido por las políticas.

Sabemos que la fe y la racionalidad se contraponen en situaciones técnicas; y que para el caso de riesgo deben ser utilizados modelos formales, que están basados en axiomas y análisis de hechos. Sin embargo, cada vez que se va a enfrentar la gestión de riesgo integral se duda que lo que se hace va a tener buenos resultados. El argumento es que si se ha cumplido con los requisitos para desarrollar una práctica ortodoxa como la expuesta anteriormente, se debe tener confianza (Fe[3]) de que las cosas comenzarán a resultar mejor para la organización.

---

[1] Bernstein, Peter. Against the Gods The remarkable store of risk. Wiley & Son. 1996 USA

[2] Brown, Dan. El Símbolo Perdido. Editorial Planeta. 2009 Colombia

[3] Fe proviene del latín fides que significa confianza.