Consultoría
Gestión de
riesgos como ritual: cuando el mapa de riesgos existe solo para la foto
Es raro encontrar hoy una
organización mediana o grande que no tenga un mapa de riesgos formalmente
documentado. Es igual de raro encontrar una donde ese mapa efectivamente
influya en las decisiones de inversión, priorización o diseño de procesos que
se toman día a día. Entre ambos hechos hay una distancia que llevo años
observando de cerca, y que rara vez se nombra en voz alta dentro de la
organización que la vive.
El patrón habitual es el siguiente.
Una vez al año, o cuando lo exige una auditoría próxima, se convoca a un taller
de identificación de riesgos. Se listan amenazas, se asignan probabilidades e
impactos con una escala de uno a cinco, se calcula un puntaje, se colorea una
matriz, y el documento resultante se archiva hasta el próximo ciclo. Durante
los doce meses siguientes, las decisiones reales de la organización se toman
sin que nadie vuelva a consultar ese documento.
Esto no significa que el ejercicio
carezca completamente de valor. El problema es de propósito. El mapa de riesgos
se construye, en la mayoría de los casos que he visto, para satisfacer un
requisito de gobierno corporativo o una exigencia normativa, no para
efectivamente informar decisiones. Es un artefacto de cumplimiento, no una
herramienta de gestión activa.
Vi esto con particular claridad en
una organización que, tras un evento disruptivo severo, revisó su mapa de
riesgos vigente. El evento que efectivamente la afectó no aparecía en el mapa.
No porque el riesgo fuera imposible de anticipar, en retrospectiva había
señales, sino porque el proceso de construcción del mapa se había limitado a
repetir, con variaciones menores, la misma lista de riesgos del año anterior,
sin ningún mecanismo real que forzara a cuestionar los supuestos previos.
Esto conecta con algo que aprendí
sobre por qué los mapas de riesgo tienden a estancarse. Las personas que
participan en el taller de identificación tienen, casi siempre, incentivos para
no nombrar ciertos riesgos en voz alta. Nombrar un riesgo relacionado con una
decisión que un gerente presente en la sala tomó el año anterior implica una
conversación incómoda que nadie quiere iniciar. El resultado es una lista de
riesgos políticamente segura, que rara vez incluye los riesgos que realmente
importan.
Otro patrón que se repite es la
ilusión de precisión. Asignar un número del uno al cinco a la probabilidad de
un evento incierto genuino transmite una sensación de rigor que, en la mayoría
de los casos, no está respaldada por ningún dato real. Ese número surge de una
discusión de sala, influida por quién habló más fuerte o quién tenía más
jerarquía, y sin embargo se trata después como si fuera un dato objetivo.
Lo que distingue a una organización
que gestiona riesgo de verdad de una que cumple el ritual no es la
sofisticación de su matriz. Es la frecuencia y la honestidad con que ese mapa
se revisa frente a decisiones concretas. Una organización que gestiona riesgo
de verdad se pregunta, antes de aprobar una inversión importante, qué dice
nuestro mapa de riesgos sobre esto, y está dispuesta a que la respuesta cambie
la decisión. Una organización que cumple el ritual construye el mapa, lo
archiva, y decide con otros criterios completamente distintos.
La última decisión de inversión importante que
tomó tu organización, ¿se consultó el mapa de riesgos vigente? Y si revisas ese
mapa hoy, ¿el riesgo que más te preocupa realmente está ahí, o es de los que
nadie se atrevió a nombrar en el taller?
