Autor: hemi

La Gestión de Riesgos es el principal proceso de reducción de riesgos que se puede hacer en una organización. La ausencia de un Sistema de Gestión de Riesgos deja a la empresa en una especie de juego de azar.

En esta obra de Alexander Calder vemos una oda a la gestión y equilibrio de las distintas fuerzas          

Incertidumbre

El riesgo forma parte de la vida, la incertidumbre en mayor o menor medida sucede a todos los niveles.

El mundo empresarial aunque dispone y maneja mucha más información y herramientas de control que nunca, vive con una incertidumbre muy superior a la conocida hasta ahora. Las organizaciones se han de poder adaptar al entorno ágilmente y con herramientas que les permitan avanzar tomando decisiones bien sustentadas.

La Gestión de Riesgos Corporativos es un proceso que se orienta a identificar los riesgos a los que la empresa se enfrenta, poder analizarlos y evaluarlos, para finalmente tenerlos bajo control e intentar mitigarlos.

Objetivo

Un Sistema de Gestión de Riesgos se orienta a identificar los distintos procesos de la empresa que suponen un riesgo para la consecución de los objetivos. Se trata de asumir los riesgos exactos que la empresa determina tomar, ni más ni menos, conocerlos, poder anticiparse a ellos, sortearlos de la mejor forma posible y que su impacto sea el menor posible con el fin de defender los objetivos que la empresa se ha marcado.

No gestionar los riesgos deja a la empresa a la deriva, dependiente del entorno y sin más preparación que la intuición para enfrentarse a los acontecimientos que surjan.

Evolución

La regulación tanto de índole internacional como nacional está impulsando medidas de implantación de Gestión de Riesgos en las empresas. La divulgación de información relativa a la gestión de riesgos en determinadas empresas es, en sí mismo, un ejercicio de transparencia corporativa y produce un efecto de credibilidad mayor que en aquellas que no lo tienen.

Estas prácticas están siendo asumidas principalmente por las grandes empresas cotizadas que son las pioneras en aplicar las últimas disciplinas. La evolución natural, dado lo gran evolución que están experimentando estas técnicas será que se vayan extendiendo a otras organizaciones de diferentes tamaños y condiciones.

Las organizaciones que adopten Sistemas de Gestión de Riesgos en su actividad cotidiana serán capaces de adecuar mejor sus estrategias y ser más eficaces en la consecución de sus objetivos y, por tanto, tendrán una ventaja competitiva con respecto a las que no lo hagan.

Gestión de Riesgos: ERM-Enterprise Risk Management

El Riesgo de una organización es el nivel de exposición a las incertidumbres que la empresa debe conocer y gestionar para alcanzar sus objetivos y crear valor. No se trata sólo de analizar el componente negativo, las amenazas, se pueden considerar también las oportunidades que pueden surgir.

El valor esperado de una empresa varía en función del nivel de riesgo que ésta asume. El valor se incrementa a medida que aumenta el riesgo pero hasta un límite en que la función se invierte según se muestra en el gráfico adjunto.

A las empresas se les exige que sean capaces de identificar y responder más rápidamente a los cambios en los riesgos, cualquier gestión directiva debe tener implícita una Gestión de Riesgos. Es determinante conocer qué tan significativo es un riesgo para la consecución de los objetivos empresariales. Se pueden definir umbrales de tolerancia de determinados riesgos, de manera que se evite controlar en exceso pero que tampoco se dejen pasar oportunidades.

Los riesgos se han de identificar por categorías (financiero, operaciones, estratégico, cumplimiento) y sub-categorías (mercado, crédito, liquidez, etc) para las diferentes unidades de negocio, proyectos de inversión o funciones corporativas.

Los riesgos se evalúan en términos de impacto y probabilidad, aunque también se pueden aplicar otras variables como la velocidad en que puede aflorar y desarrollarse el riesgo o la vulnerabilidad que tiene la empresa según su capacidad de prevención de dicho riesgo.

Los riesgos se evalúan con los criterios mencionados y también hay que considerar que los riesgos no actúan por separado, sino que la ocurrencia de uno de ellos puede afectar a otro u otros de manera significativa y estas interacciones deben ser asimismo valoradas.

Los riesgos evaluados se priorizan en función de los objetivos y tolerancias que se hayan definido previamente para dichos riesgos. Además de la valoración cuantitativa se deberán tener en cuenta otros aspectos más cualitativos como pueden ser los impactos que puede haber en la seguridad y salud, o en la reputación empresarial, o cualquier tema que se considere relevante.

Finalmente se actúa sobre los riesgos analizando qué hacer con ellos (aceptar, reducir, compartir o evitar) con la idea de formular una estrategia y desarrollar un plan de respuesta a dichos riesgos.

Inevitablemente ¿quién no vive de una forma u otra el caos en su organización? El caos es un elemento con el que tenemos que aprender a convivir hoy en este mundo nuestro de cambio permanente. Pero este caos se puede gestionar, tener un control razonable del mismo, conseguir que sea armonioso, como en esta obra de Pablo Palazuelo.

Entorno de Caos

No es fácil identificar si se tiene un buen sistema de control y se gestiona de la forma más adecuada una organización sea de la índole que sea. Mi experiencia es que en muchas más organizaciones de las que uno se imaginaría, se trabaja de una manera u otra en un entorno con un cierto grado de caos. Esto se produce, en algunos casos, porque no puede ser de otra manera,  como es el caso de las start-up, o de empresas en una situación de cambio fuerte como el sufrido en procesos de compra o de fusión, pero en otras ocasiones es debido a un caos en la gestión, de forma involuntaria e incluso intencionada.

Sí existe caos intencionado, de hecho es una técnica que utilizan los malos gestores para que parezca que son buenos y que hacen lo imposible por controlar una situación que ellos mismos generan y mitigan según sus intereses.

Analizando las actividades que hace cada área funcional, cada departamento o cada grupo de trabajo, seguramente se concluya que éstas tienen bastante sentido, porque probablemente estén hechas de una forma relativamente lógica y coherente.

La dificultad estriba en ver la organización como un todo y en darse cuenta de que la suma de las partes (áreas y departamentos) no supone una suma aritmética precisa. Es decir, que aún en el supuesto caso de que cada grupo individualmente haga sus funciones correctamente, no implica que el conjunto de la organización las haga, incluso con una buena estructura organizativa.

Motivos

¿Pero cómo se explica este tipo de situaciones? Puede ser debido a varios factores:

• Cada área tiene sus propios intereses y, en determinados aspectos, estos pueden ir incluso en contra de los de la organización.
• La información no se comparte totalmente por lo que se producen silos de conocimiento.
• El conocimiento es poder y éste se protege, aunque sea de forma inconsciente.
• Cada grupo tiene unas necesidades de información un poco diferentes de otro. Se suelen producir duplicidades y n-plicidades de actividades que con pequeñas variaciones realizan distintos grupos.

Lógicamente esto se acentúa más cuanto más grande y compleja es la organización, resultando más difícil identificar el problema.

¿Cómo se descubre? No es fácil y aquí juega un papel muy importante la experiencia de muchos años viendo múltiples situaciones de este tipo e intentando realmente resolverlas.

Métodos

Métodos de ayuda para la gestión del caos:

• Tener un buen ERP (Enterprise Resource Planning), bien diseñado y adaptado a las necesidades de la organización y que sea flexible para enfrentarse a los cambios.
• Crear Workflows (flujos de trabajo), que permitan no sólo identificar los ciclos de validación y aprobación de los procesos, sino almacenar información relativa al propio proceso en sí, que pueda estar disponible como consulta para los usuarios interesados.
• Auditorías internas inter-departamentales que investiguen, desde un enfoque global de organización, los distintos procesos que se llevan a cabo en distintas partes de la misma.
• Implantar ágiles herramientas de Inteligencia de Negocio (BI) que permitan asociar la información de distintas fuentes departamentales para obtener un repositorio de información que pueda ser compartido por todas las áreas que la necesiten, siendo la dirección la que facilite la comunicación de esta información.

Muchas veces, compartiendo información de forma adecuada, cada grupo de trabajo sólo tendría que añadir los datos que necesita de forma incremental.

En cualquier caso, hay que considerar que una empresa que se gestiona con suficiente rigor y eficiencia, en los tiempos actuales puede sufrir grandes oscilaciones de necesidades, con aumentos y disminuciones relevantes de plantilla que harán difícil la adaptación y la gestión de la información. Para que la empresa pueda ser flexible ha de poner a su alcance una estructura flexible y unas herramientas que faciliten dicha capacidad de adaptación.

Menos es más

En definitiva, se trata de hacer que menos sea más, simplificando la forma de obtener información valiosa para todos y aportando mayor valor a la organización.

Imagen: Obra de Pablo Palazuelo

Las decisiones que las organizaciones toman día a día son cada vez más numerosas y en una sociedad tan competitiva cobran una relevancia estratégica. Es crítico acertar en las decisiones que se toman para poder adelantarse a la competencia y en algunos casos incluso para sobrevivir. Las decisiones han de incorporar información adecuada y de calidad, debiendo  ser tomadas de forma rápida.   

Concepto

El concepto de Cuadro de Mando empieza  a estar muy extendido en las organizaciones. A pesar de ser una herramienta demandada cada vez más, es un tema que genera confusión y que en determinados ámbitos se considera altamente sofisticado y al alcance de pocas empresas, generalmente de gran tamaño y abundantes recursos.

Mi concepción del tema es totalmente diferente, un Cuadro de Mando es necesario para todo tipo de organización y está al alcance de cualquiera de ellas, independientemente de la actividad, tamaño, complejidad e incluso de los recursos de que disponga.

Pero ¿qué es un Cuadro de Mando? Un cuadro de mando es un panel de control en el que aparecen reflejados los indicadores clave de cualquier organización o unidad a controlar. Para que esté bien diseñado, los indicadores deberán estar vinculados a los objetivos estratégicos.

Así un ejemplo muy identificativo es el salpicadero de nuestro coche. En él nos vienen reflejados los principales indicadores que se necesitan para conducir un vehículo, como la velocidad, las r.p.m., la cantidad de combustible que disponemos y la temperatura del aceite, e incluso un  GPS que nos indica el destino al que queremos llegar.

Kaplan y Norton

Hay un modelo altamente considerado que es el Cuadro de Mando Integral (Balanced Scorecard en inglés) ideado por Robert S. Kaplan y David P. Norton.  Integra y relaciona cuatro perspectivas: financiera, cliente, proceso interno y aprendizaje y crecimiento.

Aun respetando y reconociendo la interesante labor que han realizado estos dos autores, su enfoque es, para muchas empresas, complejo y demasiado lento de implementar. Las cuatro perspectivas que contempla tienen su lógica interrelación, pero carece de flexibilidad para incorporar perspectivas adicionales, como puede ser, por ejemplo, la perspectiva medioambiental en organizaciones que su relación con el medioambiente es estratégica.

KPI y Ciclo PDCA

Partiendo de la estrategia organizativa se han de definir los KPI o Key Performance Indicators (Indicadores Clave de Rendimiento), indicadores necesarios para poder alcanzar los objetivos que ésta se haya fijado. La elección de los indicadores no es un tema baladí, mediante ellos, se podrá medir, controlar y dirigir la organización. No se trata de acumular datos, muchas veces “menos es más”.

Es habitual que una vez definidos los indicadores, se produzca un efecto de retroalimentación en la organización, ya que podrán aflorar inconsistencias y registros sin datos o con errores que forzarán a ir depurando la información existente. Este proceso es el que se conoce como Ciclo PDCA. Se planifica, actúa, verifica y se corrige. Lo importante es siempre realizar un correcto análisis de la organización y diseño adecuado, adaptado a las necesidades específicas de cada organización. El objetivo es que la información sea cada vez de más calidad y, por tanto, más fiable. Es un proceso de mejora continua.

Las decisiones se han de tomar mediante información de calidad y confiable, pero también es necesario que ésta sea oportuna, accesible de forma fácil y que permita rápidos análisis para tomar decisiones con la celeridad que los tiempos requieren.

Presentación  

Un simple Excel bastará para recoger y visualizar los KPI relevantes de algunas organizaciones.

En otras ocasiones se dispondrá de información desperdigada en diferentes departamentos y distintas fuentes,  bases de datos, ERP, hojas Excel, etc, que habrá que aglutinar y tratar. Para resolver estas situaciones está la Inteligencia de Negocio (Business Intelligence o BI). El BI es una herramienta informática que permite vincular, consolidar, analizar y visualizar datos de manera fiable, aportando conocimiento y permitiendo obtener información relevante.

Ventajas

Un Cuadro de Mando bien diseñado facilita la toma de decisiones y la mejora de la competitividad. Con buena información no sólo se va a poder gestionar mejor y hacer crecer la empresa, sino que también se podrán tomar decisiones acertadas de reducción de costes.

Permitirá mantener una visión de largo plazo, necesaria para poder construir una organización sólida y preparada para encarar con éxito el futuro.

En el mundo actual en el que se han multiplicado y se han hecho más visibles los grandes escándalos empresariales, motivados por los intereses y ambiciones desmedidos y la corrupción de los individuos, se hace necesaria una función que aporte una ética, dé garantías, prevenga de posibles abusos y sirva de puente a un futuro deseado por las empresas en armonía con la sociedad.

La Auditoría Interna a pesar de ser una actividad relativamente desconocida fuera del ámbito anglosajón, es una función que hoy en día en España se lleva a cabo casi exclusivamente en las empresas cotizadas. Sin embargo, es una función adaptable y muy aconsejable en todo tipo de empresas independientemente de su tamaño.

La función de auditoría interna no está lo suficientemente entendida por parte de todas las organizaciones que la implantan, estando todavía demasiado encorsetada dentro de las propias estructuras organizativas, impidiendo dar de sí todo su potencial basado en una visión global y unos valores éticos, cuyos ejes son la independencia y la objetividad.

La Auditoría Interna se rige por un Marco Internacional, lo que significa que opera de modo análogo internacionalmente, compartiendo:

• • • • • una única Definición de Auditoría Interna,
        • un único Código de Ética y
        • unas Normas Internacionales para el Ejercicio de la Profesión

Definición de Auditoría Interna

“La Auditoría Interna es una actividad independiente y objetiva de aseguramiento y consultaconcebida para agregar valor y mejorar las operaciones de una organización. Ayuda a una organización a cumplir sus objetivos aportando un enfoque sistemático y disciplinado para evaluar y mejorar la eficacia de los procesos de gestión de riesgos, control y gobierno”.

Independencia El Director de Auditoría Interna (DAI) ha de depender directamente del Consejo de Administración, para poder ser independiente con respecto de la Dirección.

Para garantizar la total independencia, en el caso de que exista Comité de Auditoría, lo deseable sería que fuera el DAI el propio Presidente del Comité de Auditoría y, como tal, reportara al Consejo de Administración.

Objetividad Actitud imparcial y neutral que evita cualquier conflicto de interés.

Aseguramiento Proporcionar garantía razonable de que la organización cumple las leyes y normas y opera eficaz y eficientemente. Contribuye a la mejora de los procesos de gestión de riesgos, control y gobierno de una organización.

Consultoría: Actividades de asesoramiento y servicios dirigidos a añadir valor y a mejorar los procesos de gobierno, gestión de riesgos y control de una organización. Se agrega valor a la organización realizando tareas de mejora continua.

Agregar valor: El valor se genera mediante la mejora de oportunidades para alcanzar los objetivos de la organización, la identificación de mejoras operativas, y/o la reducción de la exposición al riesgo. Se puede agregar valor tanto por la vía de dar aseguramiento en lo que se está haciendo, como asesorando en lo que se puede hacer.

Riesgo La posibilidad de que ocurra un acontecimiento que tenga un impacto en el alcance de los objetivos. Se mide en términos de impacto y probabilidad.

La Auditoría Interna además de la detección de aspectos incorrectos en el funcionamiento de la organización, actualmente está orientada a riesgos, aplicando una filosofía de trabajo preventiva, con un fuerte compromiso con el futuro de la empresa involucrándose con la misma desde las primeras fases de gestación de los proyectos.

Control Cualquier medida adoptada para gestionar los riesgos y aumentar la probabilidad de alcanzar los objetivos y metas establecidos.

Gobierno La combinación de procesos y estructuras implantadas por el Consejo de Administración para informar, dirigir, gestionar y vigilar las actividades de la organización con el fin de lograr sus objetivos. Auditoría Interna debe promover la Ética y los valores, comunicar la información de riesgo y control.

Código de Ética

La ética se ha perdido en las organizaciones y es imperativo retomarla. El trabajo de auditoría interna se basa en la confianza y, para ello, es imprescindible contar con un Código de Ética que provea de una cultura ética en la profesión de auditoría interna. Este Código está formado por una serie de Principios Éticos junto con unos Códigos de Conducta que los complementan.

La Auditoría Interna tiene entre sus compromisos impulsar la Ética en las empresas contribuyendo de esta forma a la mejora de la sociedad.

Normas Internacionales

El ejercicio de la profesión de Auditoría Interna está sujeto a unas Normas Internacionales que elabora The Institute of Internal Auditors americano y son comunes para todos los países e Institutos locales. Estas normas definen principios básicos, proporcionan un marco para ejercer, fomentando la mejora de procesos y operaciones de la organización.

La profesión se afianza con una certificación de validez internacional CIA (Certified Internal Auditor) que garantiza el cumplimiento del Código de Ética, seguimiento de las Normas Internacionales, así como los conocimientos y la capacidad técnica de los auditores internos.

La gestión empresarial es la actividad que trata de dirigir o administrar los recursos existentes en una compañía con el fin de alcanzar los logros deseados. Esta gestión supone siempre estar en una constante búsqueda de mejora de la productividad y la competitividad de las empresas.

Hasta hace no mucho tiempo, las empresas que funcionaban en épocas de bonanza se podían dirigir sin dedicarle atención a la gestión empresarial. Siempre se habían hecho las cosas así y siempre habían funcionado, no era necesario nada más que un “buen olfato” para mantenerse a flote, había mucho trabajo y buenos márgenes que absorbían todas las ineficiencias de una gestión inexistente o rudimentaria.

Hoy día una parte importante de las empresas españolas no tienen un nivel de información y control en su gestión adecuado, resultando muy vulnerables al entorno actual tan cambiante. Este tipo de empresas deben saber que sin gran coste podrán incorporar formas más adecuadas de gestión que les permitan posicionarse mejor para competir.

Información

La gestión empresarial requiere comenzar por la  obtención y tratamiento de la información que posee la empresa. Una información adecuada, suficiente y a su debido tiempo, nos va a permitir saber dónde estamos en cada momento, las desviaciones que llevamos con respecto al programa previsto, anticiparnos a los diferentes escenarios posibles, así como efectuar las oportunas correcciones ante los imprevistos de forma ágil.

No sólo consiste en recopilar, estructurar y clasificar la información, sino que es clave el diseño del tipo de información que se necesita y cómo extraerla del conjunto inmenso de datos que puede disponer una empresa. Esto implica evitar ineficiencias, elegir entre datos contradictorios y eliminar o limitar al máximo las duplicidades y n-plicidades de datos que se suelen producir.

Del dicho “la información es poder”, hoy por hoy sólo tiene sentido “la buena información es poder”. No se trata de tener mucha información (un exceso es contraproducente), sino obtenerla de calidad y saber bien cómo usarla.

Control

Es necesario desarrollar unos sistemas de control que nos puedan dar garantías suficientes de que la información que se obtiene es la adecuada y que nos proporcione datos relevantes sobre los que apoyarse. Es imperativo tener la completa certeza de que el dato obtenido, del tipo que sea, es correcto. Se trata de reducir al máximo las incertidumbres para poder tomar decisiones con menor riesgo y mayor probabilidad de éxito.

Beneficios

La aplicación de un buen sistema de gestión empresarial permite la mejora y cuantificación de beneficios tangibles, como pueden ser afinar costes, mejorar procesos, eficiencias en las operaciones cotidianas de la compañía,  obteniendo así un mayor margen bruto de explotación en la cuenta de resultados. Adicionalmente se puede gestionar la cuenta de resultados financieros para que estos sean lo más pequeños posibles o incluso positivos. Tener una buena gestión con información de calidad  puede servir, a la vez, para negociación con bancos y obtención de menores costes de financiación.

Otro factor importante a considerar es que las personas implicadas en las tomas de decisiones fortalecen su percepción de autoconfianza, resultando estimulante y contribuyendo a la iniciativa y creatividad empresarial.