Qué es el apetito de riesgo y cómo se define

Una empresa de envases plásticos terminó su matriz de riesgos con cuarenta riesgos identificados, cada uno con su probabilidad, su impacto y un número del uno al veinticinco. En la revisión por la dirección, el gerente general preguntó cuáles de esos riesgos había que atacar este año y cuáles se podían dejar como estaban. Nadie supo responder. La matriz medía, pero no decía a partir de qué número el riesgo dejaba de ser aceptable.

Qué es el apetito de riesgo

El apetito de riesgo es la cantidad y el tipo de riesgo que una organización está dispuesta a buscar o a retener para lograr sus objetivos. La guía ISO 73, que define el vocabulario de gestión de riesgos, lo distingue de la tolerancia al riesgo, que es la disposición a soportar el riesgo después de tratarlo. Dicho de forma práctica: el apetito marca la línea entre los riesgos que se aceptan y los que obligan a actuar.

Apetito, tolerancia y capacidad

• —Apetito: el nivel de riesgo que la dirección acepta de forma deliberada, por ejemplo, no más de un retraso de entrega al mes con el cliente principal.
• —Tolerancia: la variación aceptable alrededor de ese nivel antes de escalar el tema, por ejemplo, hasta dos retrasos en un mes excepcional.
• —Capacidad: el máximo que la organización puede soportar sin poner en riesgo su continuidad, como perder la certificación o al cliente.

Cómo se define

• —Partir de los objetivos: el apetito se fija respecto de lo que la organización quiere lograr, no en abstracto.
• —Separarlo por categoría: el apetito para riesgos legales o de seguridad suele ser casi nulo, mientras que para riesgos comerciales puede ser mayor.
• —Traducirlo a un umbral de la matriz: por ejemplo, todo riesgo con puntuación mayor a doce requiere un plan de tratamiento con responsable y fecha.
• —Expresarlo también en términos del negocio cuando sea posible: piezas por millón, días de inventario, monto de una multa.
• —Aprobarlo en la dirección y revisarlo cuando cambian el contexto, los clientes o la estrategia.

Qué piden las normas

La ISO 31000 pide definir criterios de riesgo que reflejen los valores y objetivos de la organización, incluida la cantidad y el tipo de riesgo que puede o no puede tomar. La ISO 27001 en 6.1.2 exige establecer criterios de aceptación del riesgo y en 6.1.3 que los dueños de riesgo aprueben el riesgo residual. La ISO 9001 en 6.1.2 pide que las acciones sean proporcionales al impacto potencial, algo imposible de demostrar si no está definido qué nivel de riesgo es aceptable. La ISO 45001 y la ISO 14001 piden lo mismo con sus criterios de evaluación.

Errores frecuentes

• —Calificar todos los riesgos sin definir a partir de qué nivel se actúa.
• —Fijar un solo umbral para todo, igual para un riesgo legal que para uno comercial.
• —Definir el apetito en el área de calidad sin que la dirección lo apruebe.
• —No revisarlo cuando entra un cliente nuevo, una línea nueva o cambia la regulación.

Cómo se sostiene

El apetito de riesgo solo sirve si se aplica igual a cada evaluación. Un Software de gestión de riesgos y oportunidades guarda los umbrales aprobados por categoría, marca de forma automática los riesgos que los rebasan, exige un plan de tratamiento para ellos y muestra a la dirección cuántos riesgos siguen por encima del nivel aceptable.

En resumen

El apetito de riesgo define cuánto y qué tipo de riesgo está dispuesta a asumir una organización. Se fija a partir de los objetivos, se separa por categoría y se traduce en un umbral de la matriz que dice qué riesgos se aceptan y cuáles exigen acción. Las normas no siempre usan ese nombre, pero todas piden criterios de aceptación, y sin ellos una matriz de riesgos no produce decisiones.