Hay una pregunta que toda organización debería hacerse con honestidad: ¿Cuántos de los problemas que hoy enfrenta fueron realmente sorpresivos?
La respuesta suele ser incómoda, ya que las señales estaban ahí: un colaborador había advertido una situación preocupante, un gerente había observado una tendencia que comenzaba a deteriorarse, un indicador llevaba meses enviando señales de alerta, alguien había expresado dudas sobre una decisión que parecía demasiado optimista. Sin embargo, la organización continuó avanzando hasta que aquello que era un riesgo terminó convirtiéndose en un problema.
Y ahí radica una diferencia fundamental que muchas organizaciones aún no comprenden plenamente: riesgo y problema no son lo mismo.
El riesgo es incertidumbre sobre el futuro, es la posibilidad de que ocurra un evento que afecte el logro de los objetivos. El problema aparece cuando esa incertidumbre se materializa y la organización no estaba preparada para gestionarla adecuadamente.
Por eso, identificar un riesgo no debería generar alarma, debería generar tranquilidad, significa que todavía existe tiempo para actuar. Sin embargo, cuando las organizaciones asocian el riesgo únicamente con malas noticias, las conversaciones sobre incertidumbre desaparecen y, cuando desaparecen las conversaciones, aumentan las probabilidades de que los riesgos se conviertan en problemas.
Las investigaciones realizadas luego de algunas de las crisis empresariales y financieras más importantes de las últimas décadas apuntan precisamente en esa dirección. Detrás de muchos eventos adversos no existía ausencia de controles ni falta de información. Lo que falló fue algo más profundo: la cultura.
Por esa razón, la cultura de riesgo se ha convertido en una de las capacidades organizacionales más relevantes para aquellas organizaciones que aspiran a crecer, innovar y mantenerse resilientes en entornos cada vez más inciertos, volátiles y disruptivos.
Tema viejo, desafío nuevo
La gestión de riesgos existe desde hace décadas, las organizaciones identifican amenazas, evalúan impactos, diseñan controles y monitorean indicadores. Pero tener metodologías de riesgo no significa necesariamente tener una cultura de riesgo, la diferencia es profunda.
La gestión de riesgos puede vivir en políticas, matrices y reportes. La cultura de riesgo vive en las decisiones diarias de las personas.
Se manifiesta cuando alguien se siente con la confianza de señalar una amenaza potencial, cuando un gerente cuestiona una iniciativa excesivamente optimista, cuando una junta directiva pregunta qué podría salir mal antes de aprobar una decisión relevante, cuando la incertidumbre deja de ser un tema incómodo y pasa a formar parte natural de la conversación estratégica.
En esencia, una cultura de riesgo permite que la organización identifique, discuta y gestione los riesgos antes de que se materialicen. Su verdadero valor no está en reaccionar cuando ocurre una crisis, sino en desarrollar la capacidad de anticiparse a ella.
Lo que las crisis enseñaron
Después de la crisis financiera global de 2008, organismos internacionales como el Financial Stability Board, el Comité de Basilea y la European Banking Authority concluyeron que muchas organizaciones afectadas contaban con sofisticados modelos de riesgo y abundantes controles. Lo que falló no fue la técnica, falló la cultura.
Se ignoraron señales de alerta, se normalizaron comportamientos inadecuados, se desincentivó el cuestionamiento, se premiaron resultados de corto plazo sin comprender plenamente los riesgos asumidos para alcanzarlos. La lección fue contundente: las fallas culturales pueden ser más peligrosas que las fallas técnicas.
Por eso, hoy los reguladores ya no solo preguntan qué controles existen. También observan cómo se toman las decisiones, qué comportamientos se recompensan, qué tan abiertas son las conversaciones sobre riesgos y si las personas pueden expresar preocupaciones sin temor. Porque una organización puede sobrevivir durante años con procesos imperfectos, pero difícilmente sobrevivirá mucho tiempo con una cultura que castiga la transparencia y premia la complacencia.
Quizá el mayor error que hemos cometido durante años es asociar la palabra riesgo con la palabra problema, porque cuando eso ocurre, la gestión de riesgos se convierte en un ejercicio defensivo, una actividad limitada a proteger lo que existe.
Lo que perdemos ahí, es que una organización no existe únicamente para protegerse, también existe para crecer, innovar y generar valor. Y para lograrlo deberá asumir riesgos. La pregunta entonces deja de ser cómo evitar los riesgos y pasa a ser mucho más estratégica: ¿cuáles son los riesgos que vale la pena tomar? De esto hablaremos en otra oportunidad.
Escrito por: Claudia Salas Cubero, directora General de Riesgos del Banco Nacional.