Una evaluación de riesgos operativos te ayuda a identificar dónde puede fallar el trabajo cotidiano antes de que ese fallo provoque el incumplimiento de un plazo, una pérdida financiera, un problema de cumplimiento o el escalamiento de un cliente. Sin embargo, muchas evaluaciones terminan siendo hojas de cálculo estáticas en lugar de cambiar la forma de trabajar.
Una evaluación útil conecta cada riesgo con un proceso, responsable, control, respuesta y ciclo de revisión. Esto transforma la gestión de riesgos: deja de ser un ejercicio anual de documentación y se convierte en una disciplina operativa que tu equipo puede ejecutar y verificar.
El riesgo operativo surge de cómo se realiza realmente el trabajo
El riesgo operativo es la posibilidad de sufrir pérdidas o interrupciones causadas por fallos en los procesos, las personas, los sistemas o por acontecimientos externos. Está presente en actividades rutinarias como aprobar pagos, incorporar proveedores, completar pedidos, gestionar datos de clientes y responder a incidentes.
Esto diferencia el riesgo operativo de riesgos estratégicos más amplios, como entrar en el mercado equivocado. Tiene su origen en la ejecución: las transferencias de trabajo, las decisiones, los sistemas, los permisos y las excepciones que intervienen para completar una tarea.
Entre las fuentes habituales se incluyen:
Fallo del proceso: Se omite un paso obligatorio, se ejecuta incorrectamente o se completa demasiado tarde.
Error humano: Alguien introduce datos incorrectos, interpreta mal una instrucción o toma una decisión incoherente.
Fallo del sistema: Una aplicación, integración o fuente de datos deja de estar disponible o produce un resultado inesperado.
Fallo de acceso: Una persona o un agente de IA tiene permisos excesivos, carece de credenciales o dispone de un acceso inadecuado.
Fallo de terceros: Un proveedor, contratista, procesador de pagos o socio de hosting no cumple sus obligaciones.
Interrupción externa: El clima, los incidentes de ciberseguridad, los cambios regulatorios o las caídas de infraestructura interrumpen las operaciones.
El objetivo no es eliminar todos los riesgos posibles. Hacerlo sería prohibitivamente caro y poco realista desde el punto de vista operativo. En su lugar, necesitas comprender qué fallos son más importantes y aplicar controles proporcionales.
Un registro de riesgos documenta los riesgos identificados. Una evaluación de riesgos operativos va más allá: analiza cada riesgo en su contexto y determina qué hacer al respecto. Si tu registro no influye en los procedimientos, las aprobaciones, la supervisión o la asignación de responsabilidades, no es más que un inventario.
Asocia los riesgos a procesos, no a departamentos
Partir de una lista en blanco y preguntar a los responsables qué podría salir mal suele generar entradas imprecisas como «riesgo de proveedores» o «calidad de los datos». Estas etiquetas son demasiado amplias para controlarlas de forma eficaz.
Empieza por tus procesos críticos. Un proceso tiene un desencadenante, un resultado, un responsable, una secuencia de trabajo y un conjunto de dependencias definidos, lo que ofrece a tu equipo algo concreto que examinar.
Prioriza los procesos críticos
Crea un inventario inicial de los procesos que afectan a los ingresos, los clientes, el efectivo, el cumplimiento, la seguridad y la continuidad del negocio. No necesitas evaluar toda la empresa de una sola vez.
Algunos buenos candidatos son:
Incorporación de clientes y cambios en cuentas
Preparación de pedidos o prestación de servicios
Cuentas por pagar y aprobación de pagos
Nóminas y reembolso de gastos
Incorporación y renovación de proveedores
Incorporación y salida de empleados
Acceso a datos y cambios de permisos
Quejas de clientes y respuesta a incidentes
Informes regulatorios
Procedimientos de backup, recuperación y continuidad
Para cada proceso, documenta el desencadenante, el resultado esperado, el responsable, los participantes, los sistemas, las entradas, las salidas y las dependencias externas. Un mapa de procesos de negocio puede revelar transferencias y bifurcaciones ocultas antes de empezar a puntuar los riesgos.
Examina modos de fallo específicos
Un modo de fallo es una forma específica en la que un proceso podría fallar. «Fraude de facturas» resulta más útil que «riesgo financiero», pero todavía puede concretarse más: «Se acepta un cambio de datos bancarios sin verificación independiente, lo que provoca un pago a una cuenta no autorizada».
Revisa cada proceso con preguntas como estas:
¿Qué ocurre si falta una entrada obligatoria o es incorrecta?
¿Dónde puede una misma persona iniciar y aprobar la misma acción?
¿Qué transferencias carecen de criterios de aceptación o plazos explícitos?
¿Qué sucede si un sistema o una integración no están disponibles?
¿Dónde depende el criterio de conocimientos no documentados?
¿Qué excepciones eluden el procedimiento estándar?
¿Qué impacto podría producirse para los clientes o en los ámbitos financiero, legal o de seguridad?
¿Cómo sabrías que se ha producido el fallo?
Habla con las personas que realizan el trabajo, no solo con el responsable del proceso. Los empleados de primera línea suelen conocer soluciones provisionales, excepciones recurrentes y sistemas poco fiables que no aparecen en la documentación formal.
Puntúa de forma coherente el riesgo inherente y el residual
La puntuación de riesgos te ayuda a comparar modos de fallo y decidir dónde actuar primero. Evita crear un modelo matemático tan complejo que los responsables no puedan aplicarlo de manera coherente. Una escala de cinco puntos para la probabilidad y el impacto suele ser suficiente.
Puntúa la probabilidad y el impacto
Utiliza definiciones claras para cada puntuación en lugar de confiar en la intuición.
Puntuación | Probabilidad | Impacto |
|---|---|---|
1 | Raro; circunstancias excepcionales | Interrupción o pérdida insignificante |
2 | Improbable; podría ocurrir ocasionalmente | Impacto menor y contenido localmente |
3 | Posible; ha ocurrido antes | Retrabajo, demora o impacto material para el cliente |
4 | Probable; ocurre repetidamente | Impacto financiero, de cumplimiento o de servicio importante |
5 | Casi seguro o ya recurrente | Impacto grave o potencialmente capaz de amenazar al negocio |
Calcula la puntuación básica de riesgo así:
Puntuación de riesgo = probabilidad × impacto
Este cálculo genera una puntuación de 1 a 25. Puedes clasificar de 1 a 4 como riesgo bajo, de 5 a 9 como moderado, de 10 a 16 como alto y de 17 a 25 como crítico. Adapta los umbrales a tu organización, pero documéntalos y aplícalos de manera coherente.
El impacto debe reflejar las consecuencias más relevantes para tu negocio. Considera las pérdidas financieras, los perjuicios para los clientes, el tiempo de inactividad operativa, la exposición regulatoria, la vulneración de datos, la seguridad y el daño reputacional.
Separa el riesgo inherente del riesgo residual
El riesgo inherente es la exposición antes de considerar los controles existentes. El riesgo residual es la exposición que permanece después de aplicar esos controles.
Supongamos que los cambios no autorizados en los datos bancarios de proveedores tienen una probabilidad de 4 y un impacto de 5. La puntuación inherente es 20. Una verificación independiente mediante llamada y una aprobación doble pueden reducir la probabilidad a 2, lo que genera una puntuación residual de 10.
Esta distinción es importante porque un proceso de alto riesgo puede estar bien controlado. Por el contrario, un riesgo inherente moderado puede seguir siendo inaceptable si sus controles solo existen sobre el papel.
No reduzcas la puntuación residual simplemente porque una política indique que debe aplicarse un control. Busca pruebas de que funciona de forma coherente, como aprobaciones completadas, logs de acceso, conciliaciones, registros de revisión, informes de excepciones o historiales de ejecución de workflows.
Crea una evaluación que tu equipo pueda utilizar
Tu evaluación debe incluir suficiente detalle para impulsar acciones sin que resulte difícil de mantener. Los siguientes campos forman una plantilla práctica.
Campo | Qué registrar |
|---|---|
Proceso | El proceso operativo expuesto al riesgo |
Modo de fallo | El acontecimiento o fallo específico que podría ocurrir |
Causa | Por qué podría producirse el fallo |
Consecuencia | El efecto operativo, financiero, para el cliente o de cumplimiento |
Controles existentes | Medidas preventivas, de detección y correctivas que ya están operativas |
Puntuación inherente | Probabilidad × impacto antes de los controles |
Eficacia del control | Eficaz, parcialmente eficaz, ineficaz o no probado |
Puntuación residual | Probabilidad × impacto después de los controles |
Respuesta al riesgo | Aceptar, reducir, transferir, evitar o preparar una contingencia |
Responsable del riesgo | Persona que responde de mantener la exposición dentro de la tolerancia |
Responsable de la acción | Persona encargada de una mejora específica |
Fecha objetivo | Plazo para completar la acción acordada |
Evidencia | Prueba de que el control o la acción se completaron |
Desencadenante de revisión | Fecha o acontecimiento que exige una nueva evaluación |
Utiliza una fila por cada modo de fallo distinto. Combinar varios riesgos no relacionados en una misma fila hace que las causas, los controles y las responsabilidades resulten ambiguos.
Elige una respuesta explícita
Todo riesgo material necesita una de estas cinco respuestas:
Aceptar: No tomar medidas adicionales porque la exposición se encuentra dentro de la tolerancia.
Reducir: Añadir o mejorar controles para disminuir la probabilidad o el impacto.
Transferir: Trasladar parte de las consecuencias financieras mediante seguros o condiciones contractuales.
Evitar: Detener la actividad o rediseñar el proceso para eliminar la exposición.
Preparar: Establecer un procedimiento de contingencia o recuperación porque la prevención es insuficiente.
La aceptación es una decisión válida, pero debe ser consciente y estar autorizada. Registra quién aceptó el riesgo, por qué es tolerable y cuándo debe revisarse la decisión.
Para interrupciones de alto impacto que no puedan prevenirse por completo, conecta la evaluación con un plan de continuidad del negocio. La prevención y la recuperación son complementarias, no intercambiables.
Convierte los tratamientos de riesgos en controles ejecutables
Un control solo resulta útil cuando tu equipo puede aplicarlo de forma coherente y demostrar que se llevó a cabo. «Los responsables revisan los pagos» no es una definición adecuada de control porque no especifica el umbral, el revisor, la evidencia ni la respuesta ante un problema.
Define cada control con seis elementos:
Desencadenante: Cuándo debe ejecutarse el control
Responsable: Quién lo ejecuta o supervisa
Acción: Qué debe comprobarse o completarse
Criterios de decisión: Qué se aprueba, qué se rechaza o qué requiere escalamiento
Evidencia: Qué registro demuestra la ejecución
Ruta de excepción: Qué ocurre cuando el control falla
Por ejemplo: «Para cada cambio de datos bancarios, un miembro del equipo financiero que no haya introducido la solicitud debe llamar al proveedor utilizando un número de teléfono verificado previamente. La persona encargada de la verificación registra el resultado de la llamada y un segundo aprobador autoriza el cambio. Una verificación fallida bloquea el pago y abre una tarea de investigación».
Los controles suelen dividirse en tres grupos:
Los controles preventivos detienen los fallos antes de que ocurran, como las restricciones de acceso, las reglas de validación y los puntos de aprobación.
Los controles de detección identifican los fallos que ya se han producido, como las conciliaciones, los informes de excepciones y las revisiones de calidad.
Los controles correctivos contienen el impacto y restablecen las operaciones normales, como la suspensión de cuentas, la corrección de datos, el rollback o la respuesta a incidentes.
Un diseño sólido suele combinar los tres. Los controles preventivos reducen la frecuencia, mientras que los controles de detección y correctivos limitan los daños cuando falla la prevención. Para consultar más ejemplos, revisa la guía sobre controles internos para pymes.
Aquí es donde suelen fallar las hojas de cálculo estáticas de riesgos. Describen lo que debería ocurrir, pero permanecen desconectadas del trabajo real. Traslada los tratamientos importantes a SOP y workflows ejecutables con pasos asignados, fechas límite, puntos de aprobación, captura de datos estructurados y reglas de escalamiento.
En OKiDO, puedes estructurar los controles como plantillas de SOP versionadas, iniciarlas como RUNs y conservar en contexto los comentarios, envíos, aprobaciones, archivos y el historial de ejecución. Los tratamientos más complejos pueden utilizar Systems para gestionar bifurcaciones, trabajo en paralelo, bucles, puntos de control y enrutamiento de excepciones. Esto proporciona a los responsables un registro revisable que muestra si el control se aplicó, en lugar de limitarse a afirmar que existe.
Revisa los riesgos a medida que cambian las operaciones
Una revisión anual es demasiado lenta para los procesos que cambian con frecuencia. El nuevo software, los proveedores, las normativas, los agentes de IA, las estructuras de equipo y los compromisos con clientes pueden modificar la exposición de inmediato.
Establece una frecuencia de revisión según el riesgo residual:
Riesgos críticos: Mensualmente o después de cada acontecimiento significativo
Riesgos altos: Trimestralmente
Riesgos moderados: Cada seis meses
Riesgos bajos: Anualmente
Crea también desencadenantes de revisión basados en acontecimientos. Reevalúa un riesgo después de un incidente, un cuasiaccidente, un fallo de control, un hallazgo de auditoría, un rediseño del proceso, una migración de sistemas, un aumento significativo del volumen, un cambio regulatorio o una nueva dependencia de terceros.
Tu revisión debe responder a cuatro preguntas:
¿Ha cambiado la probabilidad o el impacto potencial?
¿Siguen estando diseñados adecuadamente los controles?
¿Existen pruebas de que los controles funcionan de manera coherente?
¿Han aparecido nuevos modos de fallo o dependencias?
Supervisa indicadores adelantados siempre que sea posible. Las aprobaciones vencidas, el aumento del volumen de excepciones, los pasos omitidos repetidamente, las automatizaciones fallidas y el trabajo bloqueado durante demasiado tiempo pueden revelar una exposición creciente antes de que ocurra un incidente grave.
El versionado es igual de importante. Cuando cambia un procedimiento, el trabajo existente debe conservar las reglas con las que se inició, mientras que el trabajo nuevo utiliza la revisión aprobada. OKiDO vincula los RUNs activos a la versión correspondiente de su plantilla y registra la actividad de ejecución, lo que facilita determinar qué diseño de control se aplicaba en un momento concreto.
Una evaluación de riesgos operativos solo aporta valor cuando cambia la ejecución. Asocia los riesgos a procesos reales, puntúalos de manera coherente, define respuestas con responsables claros y convierte los tratamientos en controles que generen evidencias.
OKiDO conecta la documentación de procesos, las SOP, la lógica de decisiones, los sistemas, las aprobaciones, los escalamientos y las trazas de auditoría en una única capa de contexto operativo. Úsalo para sacar tu evaluación de riesgos de una hoja de cálculo y trasladarla a workflows gobernados que tanto las personas como la IA puedan ejecutar de forma fiable.
