Bajo la metodología de COSO ERM (Enterprise Risk Management), que se enfoca en la gestión de riesgos integrada en la estrategia y el desempeño organizacional, los riesgos de mayor impacto para el 2025 deberían ser priorizados en función de su capacidad para afectar los objetivos estratégicos, operativos, de reporte y de cumplimiento de una organización. Los riesgos clave que las empresas deberían considerar son:
1. Riesgos estratégicos
Estos riesgos afectan directamente la capacidad de la organización para alcanzar sus metas estratégicas:
- Cambio climático y sostenibilidad: Regulaciones más estrictas y presión de stakeholders para reducir emisiones y adoptar prácticas sostenibles. Este riesgo impacta directamente en la reputación, el acceso al mercado y los costos operativos.
- Transformación tecnológica: Falta de adopción o implementación inadecuada de tecnologías disruptivas (como la inteligencia artificial, blockchain o automatización) puede dejar a las empresas rezagadas frente a competidores.
- Tendencias del mercado: Cambios abruptos en el comportamiento del consumidor y las expectativas sociales (ej., ESG) pueden alterar la demanda de productos o servicios.
2. Riesgos financieros
Impactan la estabilidad económica y la capacidad de financiar estrategias a largo plazo:
- Volatilidad económica global: Inflación, tasas de interés altas y fluctuaciones monetarias que afectan la rentabilidad.
- Costo de capital y acceso a financiamiento: Restricciones en el crédito o costos elevados para financiar nuevas iniciativas estratégicas.
- Impactos de litigios o sanciones regulatorias: Penalizaciones financieras significativas por incumplimientos legales o normativos.
3. Riesgos tecnológicos
Interfieren con la eficiencia y competitividad de las operaciones estratégicas:
- Ciberseguridad: Incremento en la frecuencia y sofisticación de ataques cibernéticos. Un ataque significativo podría paralizar operaciones y dañar la confianza de los clientes.
- Dependencia tecnológica: Riesgos asociados con interrupciones en servicios tecnológicos clave o proveedores externos de infraestructura digital.
4. Riesgos operativos
Amenazan la capacidad de operar eficientemente:
- Interrupciones en la cadena de suministro: Tensión geopolítica, desglobalización y escasez de recursos críticos pueden impactar operaciones clave.
- Falta de talento especializado: Escasez de habilidades necesarias para implementar estrategias innovadoras y competir en sectores tecnológicos avanzados.
- Crisis energética: Incrementos en los costos de energía y problemas de disponibilidad, especialmente en industrias intensivas en consumo energético.
5. Riesgos reputacionales
Pueden erosionar el valor de la marca y la confianza de los stakeholders:
- Falta de alineación ESG: No cumplir con los compromisos de sostenibilidad y responsabilidad social puede generar desconfianza entre inversores y clientes.
- Gestión inadecuada de crisis: Respuestas tardías o incorrectas a eventos adversos (por ejemplo, escándalos de datos o problemas laborales) pueden amplificar el daño a la reputación.
6. Riesgos emergentes
Aunque menos tangibles, pueden tener impactos significativos a largo plazo:
- Nuevas pandemias o crisis de salud global: Capacidad limitada para anticipar y responder a disrupciones en la fuerza laboral o cadenas de suministro.
- Inteligencia artificial no regulada: Consecuencias éticas o legales relacionadas con el mal uso de IA.
- Innovación disruptiva de competidores: Cambios tecnológicos inesperados que revolucionen el mercado.
Enfoque COSO ERM: Cómo priorizarlos
Para aplicar el marco de COSO ERM, se debe analizar cada riesgo en función de:
- Contexto organizacional: ¿Cómo afectan los riesgos específicos los objetivos estratégicos de la organización?
- Impacto y probabilidad: Evaluar la magnitud y la probabilidad del riesgo, incorporando análisis cualitativos y cuantitativos.
- Interrelación entre riesgos: Reconocer cómo un riesgo puede desencadenar otros (por ejemplo, ciberseguridad y reputación).
- Resiliencia organizacional: Evaluar la capacidad de la empresa para adaptarse y recuperarse de riesgos importantes.
El auditor interno, en su nuevo rol como asesor en la gestión de la estrategia, puede aportar un gran valor al identificar, evaluar y supervisar riesgos estratégicos que podrían impactar los objetivos organizacionales a largo plazo. Bajo este enfoque, se posiciona no solo como un evaluador, sino como un socio estratégico que ayuda a garantizar que los riesgos estén alineados con los objetivos de la empresa.
A continuación, los riesgos clave en los que podría enfocarse el auditor interno en este rol:
1. Riesgos estratégicos
El auditor puede centrarse en evaluar cómo los riesgos podrían afectar la consecución de los objetivos estratégicos:
- Sostenibilidad y ESG (Medioambientales, Sociales y de Gobernanza): Verificar si los objetivos relacionados con sostenibilidad están adecuadamente integrados en la estrategia y si existen planes para gestionar riesgos regulatorios o reputacionales relacionados con ESG.
- Transformación tecnológica: Asegurar que las inversiones en transformación digital (automatización, inteligencia artificial, blockchain, etc.) estén alineadas con los objetivos estratégicos y sean gestionadas adecuadamente.
- Competencia y mercado: Evaluar la capacidad de la organización para adaptarse a cambios rápidos en el mercado y responder a innovaciones disruptivas de competidores.
2. Riesgos financieros
El auditor puede ayudar a identificar y mitigar riesgos relacionados con la estabilidad financiera:
- Gestión del capital: Revisar estrategias de financiamiento, evaluación de riesgos asociados con altas tasas de interés y asegurarse de que los recursos se asignen eficientemente.
- Impacto de la volatilidad económica global: Analizar cómo factores externos, como inflación o fluctuaciones monetarias, podrían impactar las metas financieras.
- Exposición a sanciones regulatorias: Verificar la capacidad de cumplimiento normativo para evitar multas o litigios que puedan afectar la viabilidad estratégica.
3. Riesgos operativos
El auditor interno puede evaluar cómo los procesos operativos soportan la estrategia:
- Cadenas de suministro: Supervisar riesgos de interrupciones en las cadenas globales y evaluar su impacto en la capacidad de cumplir con los objetivos estratégicos.
- Falta de talento: Identificar brechas en habilidades críticas y evaluar planes para atraer, desarrollar y retener talento clave.
- Crisis energética: Revisar estrategias para gestionar costos energéticos y asegurar la continuidad del negocio ante disrupciones.
4. Riesgos de cumplimiento
La gestión estratégica debe alinearse con normativas y estándares clave:
- Riesgos regulatorios: Asegurarse de que la estrategia corporativa cumple con estándares locales e internacionales (como ISO 45001, ISO 14001 e ISO 19011) y que los riesgos de incumplimiento están debidamente mitigados.
- Ética y gobernanza: Evaluar si los sistemas de control interno y las políticas de gobernanza soportan la estrategia y protegen contra fraudes o comportamientos poco éticos.
5. Riesgos tecnológicos
En su papel de asesor, el auditor interno puede:
- Ciberseguridad: Asegurar que las estrategias de gestión de riesgos tecnológicos estén alineadas con los objetivos de la empresa y que exista una adecuada protección contra ciberataques.
- Obsolescencia tecnológica: Evaluar la dependencia de sistemas heredados y proponer planes de actualización tecnológica para apoyar la estrategia.
6. Riesgos reputacionales
El auditor interno puede evaluar riesgos que impactan la percepción de la organización por sus stakeholders:
- Sostenibilidad y comunicación: Supervisar cómo la empresa comunica sus logros en sostenibilidad y gestionar el riesgo de críticas por "greenwashing".
- Gestión de crisis: Asegurarse de que existen planes efectivos para manejar incidentes que puedan afectar la reputación.
7. Riesgos emergentes
El auditor interno también puede centrarse en riesgos a largo plazo y menos predecibles:
- Innovaciones disruptivas: Identificar oportunidades y amenazas que nuevas tecnologías o tendencias podrían representar para la estrategia organizacional.
- Pandemias y disrupciones globales: Evaluar la preparación de la organización para manejar crisis sanitarias, climáticas o geopolíticas que podrían desestabilizar la estrategia.
Cómo agregar valor bajo el marco COSO ERM
El auditor interno puede:
- Identificar y priorizar riesgos: Aportar un enfoque basado en riesgo para priorizar aquellos con mayor impacto en la estrategia.
- Asegurar alineación: Verificar que los controles, procesos y planes operativos respalden los objetivos estratégicos.
- Promover resiliencia: Identificar áreas donde la organización puede fortalecer su capacidad de adaptación ante eventos inesperados.
- Facilitar el monitoreo continuo: Asegurar que existen indicadores clave de desempeño (KPIs) y de riesgo (KRIs) para monitorear continuamente el progreso hacia las metas estratégicas.
Este enfoque permite al auditor interno no solo proteger la organización, sino también influir proactivamente en la dirección estratégica.
