Por: CP Iván Rodríguez. Colaborador de Auditool
El entorno empresarial atraviesa una transformación que obliga a replantear la manera en que las organizaciones identifican, evalúan y administran sus riesgos. Las tensiones geopolíticas, la aceleración tecnológica, la inteligencia artificial, las amenazas cibernéticas, las alteraciones de las cadenas de suministro, los cambios regulatorios y la incertidumbre macroeconómica están configurando un escenario en el que resulta cada vez más difícil anticipar con precisión lo que ocurrirá.
El auditor moderno ya no puede limitar su mirada al pasado. Debe ayudar a evaluar si los controles, procesos y estructuras seguirían siendo adecuados cuando cambien las condiciones.
61%
de los líderes empresariales globales considera actualmente la resiliencia como la característica más importante de sus organizaciones
El documento How Risk Professionals Can Navigate Potential Business Futures[1] destaca precisamente esta situación: los líderes empresariales consideran que el entorno actual es menos predecible que en el pasado. Este cambio tiene profundas implicaciones para la auditoría. Tradicionalmente, el auditor ha trabajado partiendo de riesgos identificables, antecedentes históricos, controles establecidos y determinados supuestos sobre el comportamiento futuro del negocio. Sin embargo, cuando las condiciones pueden cambiar rápidamente, el análisis retrospectivo resulta insuficiente. El auditor moderno necesita incorporar una visión prospectiva. Ya no basta con preguntarse qué salió mal, sino que también debe considerar qué podría cambiar, qué podría salir mal en distintos escenarios y qué tan preparada está la organización para responder. De esta manera, el auditor comienza a desempeñar un papel relevante en la evaluación de la resiliencia empresarial.
De acuerdo con el documento, es posible identificar diferentes capacidades fundamentales para construir resiliencia organizacional. Todas con una aplicación directa en auditoría. Entre ellas se cuentan:
🔔 Sistemas de alerta temprana
Las organizaciones deberían monitorear indicadores anticipados en lugar de esperar a que un escenario se materialice completamente. Para el efecto es conveniente integrar seguimiento de redes sociales, análisis de políticas e inteligencia de mercados, incluyendo señales relacionadas con divergencias tecnológicas regionales, movimientos de inversión y estabilidad regulatoria. Para el auditor surge una oportunidad importante: auditar los mecanismos mediante los cuales la organización detecta riesgos emergentes. Un buen sistema de gestión de riesgos no solamente registra acontecimientos ocurridos; identifica señales que pueden anticiparlos.
🖥️ Agilidad digital
La adopción tecnológica impulsada por los empleados puede contribuir a sistemas organizacionales más adaptables, siempre que dicha utilización sea adecuadamente monitoreada. Para auditoría aparece aquí un delicado equilibrio entre innovación y control. Un exceso de restricciones puede limitar la capacidad de adaptación de la organización. Pero una adopción tecnológica sin gobierno puede generar riesgos relacionados con seguridad, privacidad, integridad de la información y cumplimiento. Por ello, el auditor debería evaluar si existe una innovación controlada, en lugar de limitarse a verificar restricciones tecnológicas.
🔗 Diversificación de la cadena de suministro
La concentración de proveedores se está convirtiendo en un riesgo estratégico. Es conveniente entonces avanzar desde relaciones aisladas y transaccionales con proveedores hacia redes integradas, incluyendo a terceros relevantes dentro de simulaciones de crisis y estableciendo planes de contingencia activados mediante determinados indicadores o disparadores. La auditoría de terceros por su parte no debería limitarse a contratación, cumplimiento y desempeño. Debería evaluar temas tales como concentración, sustituibilidad, dependencia tecnológica, solvencia, continuidad operacional y exposición geográfica.
🛡️ Ciberseguridad: un riesgo transversal
La ciberseguridad aparece como una capacidad fundamental en prácticamente cualquier escenario. El documento señala que el 76 % de los líderes espera un aumento del riesgo de ciberseguridad asociado con la fragmentación de los mercados y el 68 % considera que los avances tecnológicos intensificarán las amenazas cibernéticas. Entre las medidas mencionadas se encuentran respaldos inmutables, pruebas periódicas de recuperación y simulaciones integradas de incidentes cibernéticos.
Frente a este escenario, el auditor debería verificar algo más que la existencia documental de planes. Una buena pregunta sería: ¿Cuándo fue la última vez que la organización demostró que puede recuperar efectivamente sus sistemas y datos después de un incidente grave? La diferencia entre tener un control y demostrar que funciona constituye precisamente uno de los fundamentos de la auditoría.
💰 Flexibilidad financiera
La resiliencia también requiere recursos. Es necesario mantener capacidad financiera tanto para protegerse frente a riesgos como para aprovechar oportunidades, comprendiendo las dependencias de la cadena de valor y conservando recursos que permitan realizar cambios rápidos cuando las circunstancias lo exijan. Para el auditor, esto implica ampliar la evaluación hacia temas como liquidez, reservas, líneas de crédito, concentración de ingresos, estructura de costos, exposición cambiaria, dependencia de clientes relevantes y capacidad para financiar contingencias. La eficiencia llevada al extremo puede convertirse paradójicamente en vulnerabilidad; por ejemplo, una organización sin capacidad ociosa, inventarios de seguridad, proveedores alternativos o reservas financieras puede ser extremadamente eficiente bajo condiciones normales y extremadamente frágil durante una crisis.
🤝 Confianza y comunicación con los grupos de interés
Las organizaciones resilientes construyen relaciones con sus grupos de interés antes de que aparezcan las crisis, mediante mapas de stakeholders y procesos claros de escalamiento, notificación y reporte. Para auditoría esto plantea otra dimensión importante: el riesgo reputacional y de comunicación. Durante una crisis, una organización no solamente necesita solucionar el problema operativo, también debe comunicar adecuadamente lo ocurrido a empleados, clientes, inversionistas, reguladores, proveedores y otros interesados. Una respuesta técnicamente correcta acompañada de una comunicación deficiente puede destruir confianza.
El auditor se transformará progresivamente de evaluador de controles en evaluador de vulnerabilidades, supuestos y capacidad de adaptación.
La incertidumbre se está convirtiendo en una condición permanente del entorno empresarial. En consecuencia, el desafío para las organizaciones no consiste en predecir perfectamente qué escenario ocurrirá, sino en desarrollar suficiente capacidad para continuar operando, adaptarse y aprovechar oportunidades bajo diferentes circunstancias. Este es un cambio que redefine el papel del auditor, quien ya no puede limitar su mirada al pasado ni concentrarse exclusivamente en determinar si los controles funcionaron durante el período examinado. Debe ayudar a evaluar si esos controles, procesos y estructuras seguirían siendo adecuados cuando cambien las condiciones. Así se transformará progresivamente de evaluador de controles en evaluador de vulnerabilidades, supuestos y capacidad de adaptación.
[1] Ver: How Risk Professionals Can Navigate Potential Business Futures
CP Iván Rodríguez - CIE AF
Colaborador de Auditool
Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.
Y luego Agregar a la pantalla de inicio.
Escribir un comentario