Medir la madurez de la gestión de riesgos puede ser una excelente herramienta para entender dónde se encuentra una organización, identificar brechas y establecer una ruta de mejora.

Sin embargo, existe un error muy común que puede hacer que los resultados sean engañosos:

Confundir la existencia de un sistema con su nivel de madurez.

Tener políticas, procedimientos, matrices de riesgos, responsables y controles documentados no significa necesariamente que la gestión de riesgos sea madura.

La verdadera pregunta es:

¿Qué tan integrada y efectiva es la gestión de riesgos en la práctica?

Tener un proceso no significa que esté funcionando

Imaginemos una organización que cuenta con una metodología formal para identificar, evaluar y tratar sus riesgos.

A primera vista, podría parecer que tiene un sistema desarrollado.

Pero al observar lo que ocurre en la operación podemos encontrar que:

• La matriz de riesgos no se actualiza cuando cambian las condiciones del negocio.
• Los responsables están definidos, pero no realizan seguimiento a las acciones.
• Los controles están documentados, pero no se evalúa si realmente funcionan.
• Los riesgos identificados no se consideran en las decisiones importantes.
• Los reportes se elaboran periódicamente, pero no generan acciones concretas.
• Las áreas perciben la gestión de riesgos como una responsabilidad exclusiva del área de Riesgos.

En este escenario, la organización tiene los elementos del sistema, pero eso no necesariamente significa que tenga la capacidad de utilizarlos de manera efectiva.

Y ahí aparece una de las principales dificultades al medir la madurez.

¿Qué significa realmente medir la madurez?

Un modelo de madurez busca determinar qué tan desarrolladas están determinadas capacidades dentro de una organización.

En gestión de riesgos, esto implica analizar mucho más que la documentación existente.

Por ejemplo, podemos preguntarnos:

Gobernanza:
¿Existen roles, responsabilidades y mecanismos de supervisión claramente definidos?

Procesos:
¿La gestión de riesgos está integrada en los procesos y no funciona como una actividad aislada?

Personas y cultura:
¿Los colaboradores comprenden su responsabilidad frente a los riesgos?

Información:
¿La información sobre riesgos llega de manera oportuna a quienes toman decisiones?

Controles:
¿Los controles están diseñados adecuadamente y se verifica su efectividad?

Monitoreo:
¿La organización identifica cambios, mide resultados y ajusta sus respuestas?

Estas preguntas permiten pasar de una evaluación basada únicamente en documentos a una evaluación basada en capacidades reales.

El peligro de sobreestimar la madurez

Uno de los mayores riesgos de una evaluación de madurez es obtener una percepción más positiva de la realidad.

Por ejemplo:

“Tenemos una metodología de gestión de riesgos.”

Puede ser completamente cierto.

Pero esa afirmación no nos dice si la metodología:

• se aplica correctamente;
• se aplica de forma consistente;
• es comprendida por las áreas;
• genera información útil;
• está conectada con la estrategia;
• produce acciones;
• o contribuye a reducir la exposición al riesgo.

Por eso, una evaluación más profunda debería pasar de preguntar:

“¿Existe?”

a preguntar:

“¿Cómo funciona?”

y posteriormente:

“¿Qué resultados está generando?”

Documentación vs. capacidad

La documentación es importante. Las políticas, metodologías y procedimientos proporcionan estructura y establecen expectativas.

Pero la documentación por sí sola no demuestra madurez.

Una organización puede tener una política de riesgos perfectamente redactada y, al mismo tiempo, presentar dificultades para aplicarla.

También puede tener una matriz de riesgos muy completa que no se utiliza para priorizar recursos o tomar decisiones.

Incluso puede contar con numerosos controles que nunca han sido evaluados para determinar si están funcionando como fueron diseñados.

Por eso, medir la madurez implica observar la distancia entre lo que la organización dice que hace y lo que realmente hace.

¿Cómo hacer una evaluación de madurez más útil?

En RIBELS – Innovación en Riesgos, entendemos que una evaluación de madurez debe generar información que permita tomar decisiones y establecer prioridades.

Para ello, es importante combinar diferentes fuentes de información:

1. Percepción

Conocer cómo las diferentes áreas perciben el nivel actual de gestión de riesgos.

2. Evidencia

Revisar documentos, registros, indicadores, reportes y otros elementos que permitan comprobar cómo se ejecutan los procesos.

3. Práctica

Observar cómo se gestionan realmente los riesgos en las actividades y decisiones cotidianas.

4. Resultados

Analizar si las acciones y controles implementados están generando los resultados esperados.

Cuando estas perspectivas se combinan, es posible obtener una visión mucho más completa del nivel de madurez.

La madurez no es solamente un número

Otro error frecuente es convertir la evaluación en una simple calificación.

Por ejemplo:

“La organización está en nivel 3.”

El número puede ser útil como referencia, pero por sí solo no explica qué debe hacer la organización después.

El verdadero valor de una evaluación está en identificar:

¿Qué estamos haciendo bien?
¿Dónde están nuestras principales brechas?
¿Qué capacidades necesitamos desarrollar?
¿Qué acciones deberían priorizarse?

En otras palabras, el nivel de madurez debería convertirse en un punto de partida para una hoja de ruta.

De la evaluación a la mejora

Una evaluación de madurez efectiva no debería terminar cuando se entrega el diagnóstico.

El siguiente paso es transformar los resultados en acciones.

Por ejemplo, si una organización identifica que sus controles están definidos, pero no existe un proceso consistente para evaluar su efectividad, una posible línea de mejora podría enfocarse en fortalecer el monitoreo.

Si el problema está en la integración de riesgos con la estrategia, la organización podría trabajar en incorporar el análisis de riesgos en la planificación y toma de decisiones.

De esta manera, la evaluación deja de ser un ejercicio aislado y se convierte en un mecanismo para impulsar la evolución del sistema.

¿Cuál es el verdadero objetivo?

La finalidad de medir la madurez no debería ser demostrar que una organización tiene un sistema sofisticado.

El objetivo debería ser entender su situación actual y definir cómo puede mejorar.

En RIBELS, creemos que una gestión de riesgos madura es aquella que logra integrarse progresivamente en la forma en que la organización planifica, decide, opera y aprende.

Por eso, antes de preguntarnos:

“¿En qué nivel de madurez estamos?”

vale la pena preguntarnos:

“¿Qué tan preparada está nuestra organización para gestionar sus riesgos de manera consistente y utilizar esa información para tomar mejores decisiones?”

Porque la madurez no se demuestra por la cantidad de documentos que existen.

Se demuestra por la capacidad de la organización para convertir la gestión de riesgos en acciones, decisiones y mejora continua.

RIBELS | Innovación en Riesgos