Por: CP Iván Rodríguez. Colaborador de Auditool 

La gestión empresarial de riesgos (Enterprise Risk Management - ERM) le ha permitido a muchas organizaciones contar con diversos elementos como políticas de riesgo, matrices, mapas de calor, declaraciones de apetito, indicadores, comités y extensos reportes para la alta dirección y la junta directiva; sin embargo, contar con estos elementos no garantiza que el riesgo esté realmente integrado en la gestión. Este planteamiento está considerado en el documento de COSO From Guidance to Action: Exploring Practical Enterprise Risk Management, publicado en 2026, según el cual hay programas de ERM que generan información y documentación, pero no necesariamente influyen en las decisiones de la alta dirección. Según COSO el desafío ya no consiste únicamente en identificar, evaluar, clasificar y reportar riesgos, sino en lograr que la información sobre incertidumbre llegue al lugar correcto, a la persona correcta y, sobre todo, antes de tomar las decisiones pertinentes. El problema no es la falta de información, sino su oportunidad y utilidad. El verdadero valor del ERM no está en documentar riesgos, sino en influir oportunamente en las decisiones, pero esto no significa abandonar registros de riesgos, matrices, mapas de calor, evaluaciones RCSA o indicadores. Significa recordar que estos instrumentos son medios y no fines.

El documento de COSO identifica ciertos conceptos que permiten distinguir un programa de ERM verdaderamente útil:

ERM debe contribuir tanto a proteger como a crear valor. Estrategia y riesgo son inseparables. Existe una importante brecha entre implementar procedimientos y mejorar efectivamente las decisiones. Los programas más efectivos tienden a ser orientados a decisiones, relativamente ligeros e integrados en los procesos normales del negocio.

Estas ideas modifican significativamente las preguntas que debería hacerse el responsable de riesgos. En lugar de preguntar si se cuenta con el mapa de riesgos actualizado, la pregunta pasa a ser: ¿Qué decisión cambió como consecuencia de la información de riesgos? En lugar de preguntar cuántos riesgos se identificaron, sería más relevante preguntar: ¿Qué incertidumbres podrían modificar las decisiones estratégicas? Y en lugar de indagar si se cumplió el calendario anual de ERM, la organización debería preguntarse: ¿Se detectaron suficientemente pronto las señales que requerían cambiar el rumbo?

Uno de los planteamientos más importantes del documento es que separar estrategia y riesgo resulta artificial. Cada decisión estratégica implica una determinada exposición al riesgo. Cuando una empresa entra en un nuevo mercado, desarrolla un producto, adquiere otra compañía, adopta inteligencia artificial, transforma su modelo operativo o realiza una inversión significativa, simultáneamente está adoptando una determinada posición frente al riesgo. Por ello, la cuestión no es si una estrategia tiene riesgo, pues todas lo tienen. El tema es si ese riesgo se asume explícitamente y mientras todavía existen alternativas, o implícitamente y cuando las posibilidades de reacción ya son limitadas.

Tradicionalmente, buena parte de la gestión de riesgos se ha construido alrededor de la protección: evitar pérdidas, reducir volatilidad, proteger reputación, prevenir incumplimientos y preservar la capacidad de operar. Todo ello continúa siendo fundamental. Pero COSO señala que limitar ERM exclusivamente a la protección genera un problema: ante la dirección, puede terminar siendo percibido como un centro de costos. Ahora bien, ERM genera valor cuando permite mejores estrategias, distribuir recursos considerando incertidumbres, establecer límites para asumir riesgos y conservar opciones para cambiar de rumbo cuando las circunstancias se modifican.

Un enfoque convencional podría identificar los riesgos, asignar probabilidades e impactos y construir un mapa de calor, sin embargo, un enfoque orientado a decisiones preguntaría además: ¿Cuál es el rango razonable de resultados? ¿Qué supuestos sostienen el proyecto? ¿Qué señales indicarían que esos supuestos están dejando de cumplirse? ¿Cuándo se debería reducir, aumentar, suspender o redirigir la inversión? La organización continúa asumiendo riesgo, pero ahora lo hace conscientemente. Por ello, una de las disciplinas de COSO señala que la creación de valor debería convertirse en un resultado requerido del ERM, no simplemente en un beneficio eventual.

La parte final del documento sintetiza la propuesta en diez disciplinas. COSO aclara que no deberían aplicarse mecánicamente como otra lista de chequeo, sino seleccionarse según las necesidades y el nivel de madurez de cada organización. Las diez disciplinas pueden resumirse así:

El mensaje de From Guidance to Action resulta especialmente pertinente para organizaciones que durante años han invertido en metodologías, taxonomías, mapas de calor, plataformas GRC y procesos de evaluación, pero todavía se preguntan por qué ERM no ocupa un lugar suficientemente estratégico. Probablemente el problema no sea que necesiten más ERM. Quizás necesiten un ERM diferente. Uno que aparezca antes de aprobar la inversión, que pregunte qué tendría que cambiar para abandonar una estrategia, que convierta el apetito en límites utilizables, que observe riesgos conjuntamente y no exclusivamente en silos, que transforme indicadores en desencadenantes y que utilice la junta directiva como espacio para decidir y cuestionar, no simplemente para recibir información.

COSO concluye con una idea que sintetiza extraordinariamente bien esta evolución: el propósito del ERM no es predecir el futuro, sino estar preparado para él. La organización debe hacer explícita la incertidumbre, determinar anticipadamente qué acontecimientos podrían cambiar sus decisiones y asignar responsabilidades antes de necesitarlas. Ese cambio aparentemente sencillo lleva a ERM desde el mapa de riesgos hacia la gestión del negocio. También redefine el desafío para auditores, responsables de riesgos, alta dirección y juntas directivas: la pregunta relevante ya no debería ser solamente ¿cuáles son nuestros principales riesgos?, sino una mucho más poderosa: ¿Qué decisiones estamos tomando hoy, qué incertidumbres podrían hacer que cambiemos de opinión y cómo sabremos, suficientemente temprano, que ha llegado el momento de actuar? Los auditores deben reflexionar sobre ello y en ese sentido, profundizar sobre la guía COSO ERM y como llevarla a la práctica.

Referencia: COSO (2026). From Guidance to Action: Exploring Practical Enterprise Risk Management. Disponible en: https://www.coso.org/new-erm-guidance

CP Iván Rodríguez - CIE AF

Colaborador de Auditool

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.