¿Funciones de ERM y Cumplimiento aisladas? Lo que eso está costando y cómo solucionarlo

La gestión de riesgos empresariales (ERM) y el cumplimiento suelen operar de forma independiente, no por una decisión deliberada, sino porque la estructura que los rodea simplemente no fue diseñada para conectar los puntos. Esta separación, sin embargo, puede causar puntos ciegos paralizantes que ocultan problemas y cuestan a la empresa dinero real en decisiones retrasadas, acciones contradictorias, pérdida de productividad y oportunidades perdidas.

El riesgo y el cumplimiento tienen un objetivo común: proteger a la organización. Y ambos equipos suelen ser muy conscientes de los cambios normativos inminentes. El problema radica en la ejecución de esos cambios: decidir qué se aplica, quién es el responsable y cómo se lleva a cabo.

Aquí te explicamos cómo encontrar las brechas entre saber que algo se avecina y asegurarse de que se haga, cerrarlas y trabajar juntos para evitar errores costosos.

Un objetivo, dos perspectivas

Aunque la ERM y el cumplimiento supervisan los mismos reguladores, los mismos requisitos y las mismas actualizaciones, ven esas señales a través de lentes diferentes. La ERM analiza las amenazas y oportunidades a nivel empresarial en términos del impacto en los objetivos comerciales a largo plazo. El cumplimiento se centra en los detalles para garantizar el estricto cumplimiento de la letra de la ley.

Considera las dos perspectivas del mismo evento:

Cumplimiento: ¿Estamos marcando todos los requisitos al pie de la letra?	ERM: ¿Cuál es la exposición si nos equivocamos?
Se centra en los detalles regla por regla.	Se centra en la probabilidad a nivel de cartera.
Considera el precedente de aplicación.	Considera el impacto en el negocio y el diseño del control.
Mide el cumplimiento y la documentación.	Mide el riesgo residual y la eficacia del control.
Puede pasar por alto el impacto más amplio del riesgo del cambio.	Puede pasar por alto los tecnicismos regulatorios.

Un objetivo, dos perspectivas

Ambas perspectivas son genuinamente legítimas y valiosas, pero incompletas por sí solas. La visión unilateral se convierte en un problema cuando la interpretación, la responsabilidad y el seguimiento no están claros. Los silos de datos aislados, las taxonomías contradictorias y las líneas de reporte separadas exacerban la confusión.

Dos equipos trabajando en paralelo le cuestan a la empresa en términos de:

Duplicación de esfuerzos. Los equipos de riesgo y cumplimiento investigan, interpretan y actúan de forma independiente sobre el mismo desarrollo normativo en paralelo.

Respuesta inconsistente. Cambios similares se manejan de manera diferente, dependiendo de qué equipo, región o persona lea primero la nueva norma o la guía actualizada.

Tiempo de ciclo más lento. Cada cambio desencadena otro proceso ad hoc para determinar qué se aplica dónde y quién es el responsable.

Sin embargo, el coste más perjudicial de la fragmentación proviene de los puntos ciegos. ¿Qué se está pasando por alto porque un equipo pensó que el otro se encargaba? ¿Aumentará el cambio normativo el riesgo a nivel empresarial? ¿En qué medida? ¿Qué no se priorizó porque las dos perspectivas no estaban conectadas para mostrar el impacto total?

Dónde ocurren los fallos

Para cada cambio normativo, las empresas deben ver la señal, interpretar el impacto y tomar las medidas adecuadas. El fallo ocurre entre los pasos al decidir:

¿De quién es este trabajo?

Es fácil asumir que otros se encargarán si la responsabilidad está implícita en un puesto de trabajo en lugar de asignarse a una persona específica. La asignación de responsabilidades es especialmente complicada cuando un cambio normativo abarca múltiples unidades de negocio, ubicaciones o productos.

¿Está realmente hecho?

Seguimiento no es lo mismo que hecho. Un control, política o proceso marcado como «en curso» no significa que algo haya cambiado realmente.

Los auditores están capacitados para encontrar brechas entre lo que se ha rastreado y lo que se ha completado. La consecuencia es un hallazgo de auditoría con el nombre de tu organización.

Cómo cerrar las brechas

La estructura, no la buena voluntad, es lo que mantiene a los equipos sincronizados. Cerrar las brechas requiere mecanismos de coordinación que funcionen.

• Foro de triaje conjunto. Tria cada elemento en función de su aplicabilidad e impacto utilizando un método consistente que separe el ruido de lo que necesita una decisión. Decide si el cambio se aplica de forma amplia o limitada, y si tiene un alto o bajo riesgo para la organización. Acuerda el cronograma para las acciones y la resolución en función del nivel de prioridad.
• Taxonomía compartida. Ambos equipos necesitan hablar el mismo idioma, por ejemplo, qué significa materialidad. Definir los términos de antemano evita malas interpretaciones en el futuro.
• Un único sistema de registro, no dos. Mantén todo lo relacionado con la supervisión, la evaluación, la propiedad y el estado en una única plataforma. El cambio normativo se captura una vez, se etiqueta inmediatamente por relevancia y se enruta por línea de negocio, jurisdicción o tipo de riesgo.
• Propietarios asignados para cada elemento accionable. La responsabilidad, a una persona y no a un departamento, debe asignarse para cada cambio que requiera acción. Esto no deja ambigüedad.
• Rutas de escalada definidas. Enruta automáticamente cualquier elemento estancado hacia arriba para que se tomen medidas en lugar de dejarlo languidecer en la bandeja de entrada de alguien.
• Seguimiento hasta el cierre. La finalización requiere un método de cierre genuino (plazos, escalada y evidencia de finalización), no solo un informe de estado.
• Informes a nivel de comité. Incluye la etapa de los elementos de acción regulatoria, no solo un vago seguimiento de «en curso», en los informes del comité de riesgos y de la dirección con una cadencia fija.

Construye la estructura para la conexión

No cometas el error de poner todo tu esfuerzo en monitorear el cambio normativo y asumir que el aspecto operativo se resolverá solo. Eso rara vez sucede.

Sin una forma compartida y estructurada de evaluar y conciliar la aplicabilidad, determinar el impacto de cada nuevo cambio normativo comienza de cero. La visibilidad se ve oscurecida por el ruido, la aplicabilidad al negocio es ambigua y la responsabilidad no está clara. Ahí es donde se cuela la inconsistencia.

Sin duda, solucionar los problemas no significa empezar de nuevo. La ERM y el cumplimiento no necesitan convertirse en una sola función para trabajar como una fuerza conectada. Necesitan una infraestructura compartida que convierta las señales regulatorias en acciones coordinadas. Una plataforma común ofrece a ambos equipos un lugar para capturar cambios, evaluar la aplicabilidad, asignar responsabilidades, enrutar tareas, rastrear evidencias, escalar retrasos e informar el estado sin fricciones.

Esa capa tecnológica es importante porque los traspasos son donde la respuesta regulatoria se rompe. Las hojas de cálculo, los hilos de correo electrónico y las soluciones puntuales separadas dejan demasiado espacio para la duplicación de esfuerzos, la pérdida de responsabilidad y la inconsistencia en los informes. Un único sistema de registro crea el tejido conectivo entre la ERM, el cumplimiento y el negocio, centralizando el proceso mientras impulsa la rendición de cuentas a los propietarios correctos en toda la organización.

El objetivo no es más reuniones o una capa adicional de supervisión. Es una ejecución disciplinada a escala. Cuando cada cambio normativo tiene un camino claro, un propietario nombrado, una escalada incorporada y evidencia de finalización, puedes cerrar la brecha entre saber lo que se avecina y demostrar que se tomaron las acciones correctas.

Para obtener más información sobre cómo conectar el riesgo y el cumplimiento con la tecnología, descarga el libro electrónico Transformando el cumplimiento de marcar casillas a campeón y consulta el software de cumplimiento de Riskonnect.