Enterprise Risk Management (Gestión Integral de Riesgos)

Qué es el ERM

El Enterprise Risk Management (ERM) o Gestión Integral de Riesgos es una disciplina de gobierno corporativo que va más allá de la gestión de riesgos tradicional, centrada en amenazas individuales y en silos. El ERM adopta una perspectiva holística y estratégica: considera todos los riesgos de la organización de forma integrada, analiza sus interacciones y los vincula directamente con los objetivos del negocio.

El marco más influyente es el COSO ERM 2017 (Enterprise Risk Management — Integrating with Strategy and Performance), publicado por el Committee of Sponsoring Organizations of the Treadway Commission. En España, el marco COSO coexiste con otras referencias como la norma ISO 31000 (gestión del riesgo) y los marcos sectoriales específicos (Solvencia II para aseguradoras, Pilar 2 de Basilea para banca).

Categorías de riesgo empresarial

Un programa ERM cubre la totalidad del universo de riesgos al que se expone la organización:

Riesgos estratégicos Derivados de cambios en el entorno competitivo, disrupción tecnológica, decisiones de M&A, cambios regulatorios de calado o riesgos reputacionales que pueden afectar a la posición estratégica de la empresa.

Riesgos operativos Fallos en procesos internos, errores humanos, fallos tecnológicos, interrupciones en la cadena de suministro, fraude interno y externo. Incluyen los riesgos de ciberseguridad y los riesgos de continuidad de negocio.

Riesgos financieros Riesgo de crédito, riesgo de liquidez, riesgo de tipo de cambio, riesgo de tipo de interés y riesgos de mercado.

Riesgos de cumplimiento Incumplimiento de obligaciones legales, regulatorias o contractuales. Incluyen riesgos fiscales, laborales, ambientales, de protección de datos y de competencia.

El proceso ERM: del universo de riesgos a la acción

1. Identificación del universo de riesgos: talleres con los responsables de negocio, análisis de contexto externo e interno, revisión de incidentes históricos
2. Evaluación: análisis de probabilidad e impacto (cuantitativo o cualitativo), determinación del riesgo inherente y del riesgo residual tras los controles existentes
3. Respuesta al riesgo: para cada riesgo significativo, decisión de aceptar, mitigar, transferir (seguros, contratos) o evitar
4. Control y monitorización: implantación de controles, asignación de propietarios de riesgo, seguimiento periódico
5. Reporte: comunicación al Consejo y a la alta dirección mediante un mapa de riesgos (risk heat map) y un cuadro de mandos de riesgos

Indicadores clave de riesgo (KRI)

Los Key Risk Indicators (KRI) son métricas que permiten monitorizar el nivel de riesgo de forma continua y anticipar posibles deterioros antes de que se materialicen en pérdidas. A diferencia de los KPI (indicadores de desempeño, que miden lo conseguido), los KRI miden la exposición al riesgo en tiempo real.

Ejemplos: tasa de rotación de personal en funciones críticas, número de vulnerabilidades críticas sin parchear, porcentaje de proveedores sin contrato actualizado, concentración de ingresos en un solo cliente.

ERM y gobierno corporativo

En empresas cotizadas y en aquellas sometidas a regulación sectorial (entidades financieras, aseguradoras, empresas de infraestructuras críticas), el ERM es una exigencia explícita de los supervisores y de los inversores institucionales. Los estándares de buen gobierno corporativo (Código de Buen Gobierno de la CNMV) recomiendan que el Consejo de Administración supervise directamente el sistema de gestión de riesgos.

Para empresas medianas y pymes, la implantación de un ERM —aunque sea simplificado— aporta valor inmediato: sistematiza la toma de decisiones, reduce sorpresas operativas, mejora la negociación de seguros y fortalece la posición ante auditores y entidades financiadoras.