¿Qué es el riesgo operativo?

Las empresas responsables trabajan para gestionar el riesgo operativo identificando las cosas que pueden salir mal, evaluando qué tan peligroso es un riesgo y desarrollando estrategias para prepararse y minimizar su exposición a él. Cada empresa tiene su propio nivel de apetito y tolerancia al riesgo.

¿Cuáles son las causas del riesgo operativo?

El riesgo operativo se clasifica en cuatro categorías principales. Una empresa estará expuesta a ellos en cierta proporción, dependiendo del tipo de negocio.

Riesgo de personas

Esta categoría de riesgo operativo básicamente incluye cualquier tipo de problema relacionado con el personal. Ejemplos de esto son la mala gestión, la capacitación deficiente, los conflictos en el lugar de trabajo, la falta de personal, los accidentes por negligencia o el fraude por parte de los empleados. Por lo tanto, las empresas deben contratar trabajadores calificados en quienes puedan confiar para ayudar a administrar su negocio. Para mitigar este tipo de riesgo, algunas empresas reemplazarán a los empleados con automatización o máquinas siempre que sea posible.

Riesgo de sistemas

A medida que la tecnología avanza, las empresas adoptan cada vez más software nuevo que facilita y abarata la gestión de sus operaciones diarias, porque automatiza procesos y reemplaza a los trabajadores a quienes de otro modo tendrían que pagarles. Los sistemas y el software tampoco son perfectos, y aunque ayudan a las empresas a aumentar la eficiencia y la producción, traen sus propios problemas. Por lo tanto, el riesgo sistémico es cualquier tipo de riesgo relacionado con las tecnologías que las empresas adoptan. Los sistemas informáticos pueden experimentar errores o fallas, deteniendo por completo un negocio. Los ciberataques también pueden paralizar a una empresa, obligándola a pagar un rescate o robándole propiedad intelectual o datos de clientes. Las empresas deben asegurarse de que los sistemas estén siempre seguros, actualizados y funcionando correctamente, porque a veces basta con un pequeño error para causar un problema enorme.

Riesgo de procesos

Cada empresa tiene su propia manera de funcionar. El riesgo de proceso está relacionado con los problemas que surgen en los procesos internos de una empresa. Esto puede incluir desde errores y retrasos en el procesamiento de la documentación o transacciones, hasta la incapacidad para prevenir el fraude. Las empresas deben aplicar controles internos y basarse en la retroalimentación para mejorar la eficiencia de sus procesos.

Riesgo externo

Los riesgos externos están fuera del control de la empresa. Un proveedor puede quebrar, un huracán puede interrumpir las cadenas de suministro, y los cambios en la regulación y la política pueden afectar las operaciones.

¿Cuáles son los tipos de riesgo operativo?

Ahora que cubrimos las cuatro causas, veamos siete tipos diferentes de riesgo operativo en los que pueden desglosarse.

Fraude interno. Los empleados intencionalmente y en secreto se apropian de los recursos de la empresa. Depende de la gerencia establecer controles adecuados.

Fraude externo. Un tercero intenta robar recursos o propiedad de la empresa. Puede tratarse hackers robando dinero o competencia robando propiedad intelectual.

Fallas tecnológicas. El software y los sistemas informáticos de una empresa fallan.

Gestión de procesos. Los responsables no logran desarrollar la respuesta adecuada a un problema ni implementar su estrategia.

Seguridad en el lugar de trabajo. Una empresa incumple las normativas de seguridad o no protege a sus empleados contra daños físicos o mentales.

Daño. Factores externos como el clima o desastres naturales afectan los suministros o la producción de la empresa, o la capacidad de los empleados para realizar su trabajo. Un incendio o una inundación repentina pueden interrumpir una cadena de suministro. Una tormenta de nieve puede impedir que las personas lleguen a su lugar de trabajo. La cadena de comida estadounidense Waffle House es un ejemplo de una empresa que tiene una gran preparación para desastres, ya que es conocida por permanecer abierta todo el día, todos los días del año, excepto en condiciones extremadamente malas. Incluso existe una métrica llamada índice Waffle House que se utiliza para medir qué tan grave es una tormenta.

Clientes. Una empresa perjudica a sus clientes al proporcionar información falsa, productos defectuosos, no cumplir con la ley o no satisfacer los requisitos.

Otros tipos de riesgos

Veamos cómo se compara el riesgo operativo con el riesgo financiero, de mercado y estratégico.

Riesgo de mercado se refiere al riesgo de pérdidas asociadas con cambios en los precios del mercado, como acciones, tasas de interés y tasas de divisas. Los precios de las acciones pueden estar directamente relacionados con el sentimiento del mercado. Los inversores se sentirán de cierta manera acerca de una empresa y el precio de sus acciones y opciones: ¿está sobrevalorada o con un descuento? ¿El sentimiento es alcista o bajista? El riesgo de mercado también está relacionado con los cambios en las tasas de interés, ya que estos afectan cuánto les cuesta a las empresas pedir dinero prestado. Los cambios en las tasas de divisas, el precio de las materias primas y otros factores económicos también entran en juego aquí.

Riesgo de crédito se refiere al riesgo de pérdida financiera que enfrentará una empresa cuando ya no tenga suficiente dinero para pagar sus préstamos y deudas. Aunque esto podría estar relacionado con una mala gestión y bajas ventas, el riesgo financiero es diferente del riesgo operativo porque se refiere a la salud financiera de una empresa en lugar de cómo gestiona sus operaciones diariamente.

Riesgo estratégico se relaciona con la estrategia y los objetivos de una empresa a largo plazo. Proviene de la incapacidad de una empresa para adaptarse a nuevas regulaciones, por ejemplo, o de invertir demasiado en un sector que no crece al final. Está vinculado al riesgo operativo en el sentido de que el riesgo operativo es el riesgo de fracaso que se encuentra al intentar implementar esta estrategia. Los errores operativos humanos o de sistemas tienen un impacto más inmediato.

Gestión del riesgo operativo

¿Quién gestiona el riesgo operativo?

La responsabilidad de gestionar el riesgo operativo generalmente recae en la alta dirección. Deben ser conscientes de lo que puede salir mal y hacerse las preguntas adecuadas para identificar los diferentes riesgos que surgen en las operaciones diarias de su negocio. Una vez que identifican los riesgos que quieren priorizar o en los que desean enfocarse, establecen estrategias para mitigarlos y controlarlos, y supervisan los niveles más bajos de gestión para asegurarse de que las estén implementando.

¿Cómo lo manejan?

El equipo de gestión de una empresa puede tomar acciones diferentes. Si deciden que están de acuerdo con el riesgo y no se sienten muy amenazados, simplemente pueden aceptarlo y no hacer nada, mientras continúan monitoreándolo. También pueden decidir continuar con la actividad riesgosa, pero obtener un seguro de otra compañía, transfiriendo, en esencia, el riesgo a ese tercero. Si el riesgo es demasiado importante para ignorarlo, pueden desarrollar estrategias para minimizarlo o cesar toda actividad relacionada con él.

Nivel de riesgo

Los riesgos pueden ser más o menos probables y graves. Una empresa los medirá para determinar qué tan probable es que ocurran y qué impacto negativo podrían tener en sus operaciones. También decidirá si realmente vale la pena abordar el riesgo para prevenirlo, o si costaría más que el posible resultado. Por lo general, la administración de una empresa mide el riesgo en cinco niveles diferentes, dependiendo de la probabilidad de que ocurra. Un riesgo puede ser muy poco probable (lo que significa que tal evento es un caso raro y excepcional), muy probable (lo que significa que este tipo de evento ocurre muy a menudo, o en la mayoría de los casos) y en cualquier punto intermedio. Ten en cuenta que cada empresa tiene su propio apetito de riesgo y forma de medir el nivel de riesgo.

Ejemplos de riesgos operativos

El riesgo operativo puede ser cualquier cosa relacionada con el funcionamiento interno de una empresa y abarcar desde el lavado de dinero hasta la vulnerabilidad frente a ciberataques. A continuación, se presentan dos ejemplos específicos de empresas que fueron afectadas por el riesgo operativo.

• El primero tuvo lugar en 1997. Se produjo un incendio en la fábrica de Aisin en Japón, que era el único proveedor de válvulas dosificadoras de líquido de frenos para Toyota, un componente esencial de sus automóviles. Toyota tuvo que detener la producción durante varios días porque la fábrica de Aisin ya no podía entregar las piezas. Depender de un solo proveedor hizo que Toyota fuera vulnerable, y su gestión aprendió que debían diversificar su cadena de suministro y estar más preparados para futuras crisis para evitar que esto vuelva a suceder.

• Un segundo ejemplo ocurrió en 2024, cuando la empresa de ciberseguridad CrowdStrike realizó una actualización de software defectuosa, causando que 8.5 millones de computadoras con Microsoft Windows alrededor del mundo se bloquearan. El evento de proporciones globales interrumpió casi todas las áreas de la sociedad, desde aeropuertos hasta hospitales, bancos, medios de comunicación y mucho más, causando daños por $10 mil millones. La acción de CrowdStrike se desplomó y tardó meses en recuperarse, y su reputación resultó dañada. Todas estas empresas dependen de una única tecnología para operar sus negocios, eran vulnerables y estaban sobreexpuestas si algo le sucedía. Esto también significó que CrowdStrike tuvo que realizar más pruebas y estar mejor preparado para manejar este tipo de escenario.

Resumen

El riesgo operativo está siempre presente y evoluciona continuamente a medida que una empresa trabaja para ejecutar su estrategia. El riesgo nunca se puede eliminar por completo. Por lo tanto, las empresas deben desarrollar estrategias para mitigarlo y decidir con cuánta riesgo se sienten cómodas. Como inversor, es importante conocer lo que puede salir mal en las operaciones diarias de una empresa en la que inviertes y cómo esta está preparada para afrontarlo. Una empresa con buena gestión de riesgos operativos estará mejor posicionada para prevenir pérdidas por eventos inesperados, y desarrollar procesos internos sólidos y resiliencia, lo cual es una buena noticia para tu inversión.