Los datos de riesgo ofrecen a las organizaciones la oportunidad de aprovechar la información que ayudará a impulsar un programa de gestión del riesgo operacional (ORM) más sólido, integrado en un marco eficaz de gestión del riesgo empresarial (ERM). Por lo tanto, el imperativo para los profesionales del riesgo -y el desafío, a medida que aumenta el volumen de datos de la empresa- es extraer los datos correctos y conseguir que las partes interesadas se unan para definir qué métricas de riesgo operacional son las más útiles para apoyar las estrategias empresariales.

En "Indicadores y métricas utilizados en la gestión del riesgo empresarial" (Departamento de Informática y Cibernética Económica, Academia de Estudios Económicos de Bucarest) se sugiere que el uso de métricas en la gestión del riesgo empresarial permitirá a cada empresa "tener una visión holística de los posibles acontecimientos que pueden afectar a la consecución de los objetivos de la organización".

Con una visión completa, la dirección tendrá los conocimientos necesarios para tomar decisiones empresariales basadas en datos. Las decisiones estratégicas críticas no se tomarán "a ciegas".

Son muchos los beneficios que se derivan del uso de métricas. Entre los citados en el documento "Indicadores y métricas utilizados en la gestión de riesgos empresariales" se encuentran:

  • Identificación temprana de tendencias y problemas
  • Una fuente de información crítica para los controles
  • Un medio para reconocer las mejoras o los signos de empeoramiento de las situaciones
  • Ayuda a la toma de decisiones basada en la información
  • Apoya la gestión proactiva
  • Mejora las estimaciones y los resultados futuros
  • Evalúa el éxito y el fracaso
  • Mejora la satisfacción de las partes interesadas

¿Qué métricas para una gestión eficaz de los riesgos?

Entonces, ¿qué indicadores deben utilizar los profesionales del riesgo? Los profesionales del riesgo suelen tener en cuenta tres tipos de indicadores principales:

Indicadores clave de riesgo (KRI) - suelen ser indicadores de predicción, que proporcionan una señal de alarma de que un evento no deseado es cada vez más probable o de que su potencial de impacto está aumentando. Después del evento, también pueden indicar que los riesgos se han producido y revelar el alcance de su impacto.

Indicadores clave de rendimiento (KPI) - estas métricas están relacionadas con factores internos, en contraposición a las circunstancias externas del mercado, e indican el éxito o el progreso demostrable hacia la consecución del resultado deseado.

Pueden utilizarse de forma afirmativa para demostrar la consecución de los objetivos, pero también para señalar la evolución temprana de los eventos de riesgo.

Indicadores clave de control (KCI) - También denominados indicadores de eficacia del control, estos parámetros revelan hasta qué punto un control está funcionando para cumplir sus objetivos de, por ejemplo, prevenir pérdidas, en cualquier momento. Si los controles no funcionan como se esperaba, la probabilidad o el impacto del riesgo pueden cambiar. Como tales, los KCI suelen ser predictivos, aunque también pueden proporcionar una detección temprana de los riesgos que comienzan a desarrollarse.

Los KRIs no deben confundirse con los KPIs

El documento "Indicadores y métricas utilizados en la gestión de riesgos empresariales" destaca que los gestores de riesgos deben ser capaces de distinguir entre los KRI y los KPI. Afirma que "los indicadores clave de rendimiento se centran especialmente en el rendimiento histórico de la empresa o de sus operaciones clave y son importantes para el éxito de la gestión. Por otro lado, los KRIs proporcionan indicadores en tiempo real que ofrecen información sobre los riesgos emergentes... Los KPIs nos dicen si alcanzaremos nuestros objetivos y los KRIs nos ayudan a entender los cambios en el perfil de riesgo, el impacto y la probabilidad de alcanzar nuestros objetivos". Si se distinguen los dos tipos de indicadores clave, tendremos muy claro qué tipo de preguntas queremos responder a través de estos indicadores y cómo los definiremos para mejorar la calidad de la gestión y la claridad de los resultados".

Sin duda, los KRI, los KPI y los KCI están conectados. El personal de riesgos debe apreciar cómo o por qué los indicadores están correlacionados con los perfiles de riesgo cambiantes para que las métricas sean eficaces. En esencia, los indicadores dan una "imagen" de una organización y las métricas proporcionan un medio para evaluar si la actividad de ERM va por buen camino.

Métricas: ni muchas ni pocas

¿Cuántas métricas proporcionan el mayor beneficio? Si hay demasiadas, se dedicará a gestionarlas un tiempo que de otro modo se habría dedicado a otras tareas críticas. Y un exceso de información puede ser perjudicial: los profesionales del riesgo pueden tener dificultades para distinguir la información crítica, con lo que obtendrán poco valor de las métricas en uso. Sin embargo, un número demasiado reducido de indicadores puede no generar suficiente información para que los datos sean significativos.

A la hora de encontrar el equilibrio adecuado, lo más importante es que los parámetros utilizados sean pertinentes, medibles, fáciles de controlar, auditables y comparables.

En última instancia, quizá las preguntas clave que deberían hacerse los profesionales del riesgo son: "¿Estoy viendo mejoras en la empresa? ¿Están los profesionales del negocio alineados con los riesgos cambiantes o emergentes? ¿Se están mitigando los riesgos y evitando las pérdidas? Si la respuesta es afirmativa, las métricas, unidas, están haciendo su trabajo, generando datos que pueden ser aprovechados para definir controles más fuertes e informar sobre la toma de decisiones alineadas con la estrategia empresarial.