¿Quién está cubriendo hoy la función de Riesgos y/o Cumplimiento en su organización, no puede darse el lujo de dejarla descubierta?
La gestión de Riesgos y Cumplimiento no siempre requiere un cargo de tiempo completo. Lo que sí requiere es que la función esté cubierta.
Por: Ana María Salcedo Herrera
Especialista Senior en Riesgos Integrales y No Financieros & Conferencista
ejecutiva
+ de 12 años conectando control crecimiento y toma de decisiones.
linkedin.com/in/anamariasalcedoherrera
@anamariasalcedoherrera
salcedohanamaria@gmail.com
En medio de esas prioridades, existe una pregunta que pocas organizaciones se hacen hasta que aparece un problema: ¿Quién está gestionando hoy los riesgos y el cumplimiento de nuestra organización?
Con frecuencia la respuesta es la misma: entre varias personas, el gerente, cuando hay tiempo o cuando surge un requerimiento. Y ahí comienza el verdadero riesgo. El mayor riesgo no es que ocurra un problema. Es descubrir que nadie estaba gestionándolo.
Los riesgos no aparecen cuando llega una auditoría o un ente de supervisión. Están presentes todos los días en la operación. Un proceso que no se controla. Un plan de acción que quedó sin seguimiento. Una obligación regulatoria que nadie monitorea. Una decisión tomada sin conocer sus riesgos. Cuando la función de Riesgos y Cumplimiento no está claramente asignada, la organización suele actuar de manera reactiva. Es decir, dedica tiempo y recursos a resolver situaciones que pudieron prevenirse.
El costo rara vez es visible al inicio. Pero termina reflejándose en decisiones menos informadas, reprocesos, hallazgos recurrentes, mayor carga para la alta dirección y oportunidades de mejora que nunca llegan a implementarse. No porque la organización no quiera gestionar sus riesgos, sino porque nadie tiene la responsabilidad permanente de hacerlo.
No todas las organizaciones necesitan la misma estructura. Es común pensar que fortalecer la gestión de riesgos implica crear un nuevo cargo. Sin embargo, los principales estándares internacionales y los organismos de supervisión en Colombia parten de un principio diferente: la proporcionalidad. Esto significa que la forma de gestionar los riesgos debe responder al tamaño, la naturaleza, la complejidad y el perfil de riesgo de cada organización. En otras palabras, la regulación reconoce que una pyme no necesita replicar la estructura de una gran empresa. Lo que sí exige es que las funciones críticas se ejerzan de manera efectiva y continua.
Lo importante no es el cargo. Es que la función no quede descubierta. Gestionar riesgos y cumplimiento va mucho más allá de elaborar una matriz o atender una auditoría. Implica mantener una visión permanente sobre aquellos eventos que pueden afectar el logro de los objetivos de la organización. Significa identificar riesgos, actualizar matrices, monitorear controles, hacer seguimiento a planes de acción, atender requerimientos regulatorios, presentar información a la alta dirección y fortalecer la cultura de gestión. Cuando estas actividades no tienen un responsable claro, casi siempre terminan desplazadas por la operación diaria. Y cuando eso ocurre, la organización pierde algo más valioso que el cumplimiento: pierde capacidad para anticiparse.
¿Qué pierde una organización cuando esta función no está cubierta?
Más de lo que normalmente imagina.
- Tiempo de la alta dirección atendiendo situaciones que pudieron prevenirse.
- Decisiones tomadas sin información suficiente sobre los riesgos del negocio.
- Planes de acción que se quedan sin seguimiento.
- Controles cuya efectividad nadie verifica.
- Hallazgos de auditoría que vuelven a repetirse.
- Requerimientos regulatorios atendidos de forma reactiva.
- Recursos destinados a corregir problemas, en lugar de prevenirlos.
La mayoría de estas pérdidas no aparecen en los estados financieros. Pero afectan la eficiencia, la continuidad y la capacidad de crecimiento de la organización. Cubrir la función también puede ser una decisión eficiente Para muchas pequeñas y medianas empresas, fortalecer la gestión de Riesgos y Cumplimiento no significa aumentar su estructura organizacional.
Hoy existen modelos de acompañamiento especializado que permiten ejercer estas funciones de manera continua, proporcionando seguimiento técnico, apoyo a la alta dirección y atención de las obligaciones regulatorias, sin que la organización tenga que incorporar un cargo permanente cuando su tamaño o complejidad no lo justifican.
El objetivo no es tener más estructura. El objetivo es asegurar que una función crítica permanezca cubierta.
La pregunta que vale la pena hacerse
Antes de preguntarse si su organización necesita un Oficial de Cumplimiento o un responsable de Riesgos de tiempo completo, quizá convenga responder una pregunta más importante:
Si mañana la Junta Directiva, un auditor o el ente de supervisión preguntará quién está ejerciendo esta función, ¿Su organización tendría una respuesta clara?
Porque las organizaciones no se fortalecen por el número de cargos que tienen en su organigrama. Se fortalecen cuando las funciones críticas están cubiertas, los riesgos se gestionan de manera oportuna y las decisiones se toman con información confiable. Y, en un entorno cada vez más exigente, dejar esa función descubierta puede terminar siendo mucho más costoso que cubrirla de forma adecuada.
