En el dinámico entorno empresarial actual, caracterizado por incertidumbres y cambios rápidos, es crucial para las empresas no solo mitigar riesgos sino también identificar oportunidades estratégicas para maximizar el valor para los accionistas. La Gestión de Riesgos Empresariales (ERM, por sus siglas en inglés de Enterprise Risk Management) ha pasado de ser un registro de riesgos tradicional a una herramienta de gestión estratégica.
¿Qué es la Gestión de Riesgos Empresariales (ERM)?
La Gestión de Riesgos Empresariales (ERM) es un enfoque estructurado y holístico que las organizaciones utilizan para identificar, analizar, evaluar y manejar los riesgos que podrían afectar negativamente sus objetivos. Es un marco para administrar los riesgos en el ámbito organizacional. Riesgo organizacional es un término muy amplio, que puede abarcar un amplio rango de inquietudes, desde garantizar la seguridad de los empleados hasta proteger los datos confidenciales y cumplir así con la normativa y detener el fraude financiero. El riesgo puede ser interno, como fallos en equipos, o externo, como desastres naturales. La percepción clásica de la gestión de riesgos consiste en las estrategias empleadas para minimizar el daño al valor que la organización crea para sí misma, los empleados, los accionistas, los clientes y la comunidad.
ERM no es solo un enfoque defensivo para evitar pérdidas, sino una estrategia proactiva para crear valor. Aunque todas las empresas tienen algún tipo de gestión de riesgos, un proceso verdadero de ERM implementa estrategias y métodos para que puedas aumentar sistemáticamente tus posibilidades de éxito. La ERM es un proceso empresarial con sus propios pasos, objetivos y partes interesadas. Por ejemplo, consideremos una empresa de manufactura global que implementó ERM para evaluar los riesgos asociados con la expansión en nuevos mercados. Utilizando ERM, identificaron no solo los riesgos geopolíticos y de cambio de moneda, sino también oportunidades estratégicas para asociarse con distribuidores locales.
Objetivos y Beneficios Clave del ERM
El objetivo del ERM es evaluar los riesgos relevantes para la compañía (financieros, estratégicos y operativos), priorizarlos y tomar decisiones informadas sobre cómo manejarlos. El objetivo de un marco de ERM es ayudarte a identificar, evaluar y analizar los riesgos comerciales clave, así como minimizar los impactos comerciales negativos si esos riesgos se materializan. Un proceso de ERM eficaz debería ser una herramienta estratégica importante para los líderes del negocio. No importa cuáles sean tus objetivos comerciales, la gestión de riesgos corporativos puede ayudarte a lograrlos.
La gestión de riesgos adecuada fomenta la continuidad del negocio. Los mejores planes de negocio son aquellos que pueden adaptarse rápidamente a la evolución de los mercados, los modelos de negocio y las normativas. La ERM permite lograr más que solo identificar el riesgo: te ayuda a anticiparte a él. Permite anticipar los riesgos emergentes antes de que afecten a tu negocio.
Lea también: Auditoría de Calidad: Ejemplo y Guía
La Evolución Estratégica del ERM
La Gestión de Riesgos Empresariales (ERM) ha evolucionado de un registro de riesgos tradicional a una herramienta de gestión estratégica. Hoy en día, los riesgos ya no se registran de forma aislada, sino que se evalúan en el contexto del modelo de negocio, la reputación, los mercados de capitales y la responsabilidad de consejeros y directivos. A diferencia de la gestión de riesgos aislada de funciones individuales, la ERM persigue un enfoque para toda la empresa. La ERM ya no solo se utiliza para el control de riesgos, sino que también proporciona una valiosa base de toma de decisiones para el Consejo de Administración y la dirección, por ejemplo, para inversiones, estrategias de crecimiento o expansiones internacionales. Para el Departamento Jurídico, esto significa que está pasando de ser un asesor reactivo a un arquitecto de riesgos proactivo.
En el futuro, la ERM estará mucho más generalizada, se basará en datos y se convertirá en una parte integral de cada decisión y proceso.
Desafíos y Factores Impulsores de la Adopción del ERM
Un Entorno de Riesgos Creciente
Según una encuesta mundial a gestores de riesgos, los ciberataques, los fallos informáticos y la pérdida de datos son, con diferencia, los mayores riesgos para las empresas. El aumento de los requisitos normativos, los requisitos ESG, la regulación de la IA y las incertidumbres geopolíticas están incrementando la presión legal para actuar. La ERM se está convirtiendo en la interfaz entre la estrategia y el Derecho.
Aumento de la Presión Legal y Normativa
- El aumento de los requisitos normativos incrementa significativamente el riesgo de multas, sanciones y responsabilidad.
- Los requisitos ESG y de sostenibilidad exigen procesos conformes a la ley e informes listos para la auditoría para evitar el greenwashing y los riesgos de los mercados de capitales.
- La nueva normativa sobre IA conlleva obligaciones de transparencia, control y documentación exhaustiva.
- Las incertidumbres geopolíticas influyen directamente en las sanciones, las cadenas de suministro, los controles de las exportaciones y el diseño de los contratos.
Según la Encuesta Mundial sobre Cumplimiento Normativo 2025 de PwC, el 85% de las empresas considera que los requisitos de cumplimiento son cada vez más complejos. Además, cada año se publican en la UE alrededor de 1.500 nuevos actos jurídicos. La falta de supervisión de los riesgos puede considerarse un incumplimiento del deber, lo que aumenta la responsabilidad del consejo de administración y de los órganos de supervisión. Los reguladores exigen análisis de riesgos comprensibles, y si falta la documentación, se considera efectivamente que la medida no se ha llevado a cabo. Los organismos de supervisión exigen informes de riesgos basados en datos. Las empresas internacionales se enfrentan a diferentes sistemas jurídicos, desde la protección de datos a las sanciones.
Riesgos Emergentes Clave
En 2025, las empresas se enfrentarán a un complejo panorama de riesgos que conlleva retos no solo operativos, sino también jurídicos.
Lea también: Auditoría y las Líneas de Defensa
- Los ciberataques afectan a la protección de datos, las obligaciones de información y la responsabilidad frente a los clientes.
- El uso de la inteligencia artificial plantea nuevas cuestiones jurídicas: Responsabilidad por las decisiones, riesgos de discriminación y obligaciones de transparencia.
- Las interrupciones de la cadena de suministro, las sanciones o las crisis políticas pueden afectar a los contratos, los controles de exportación y los seguros.
La gobernanza de la IA es la categoría de riesgo emergente que el ERM debe incorporar, incluyendo riesgos de modelo, gobierno del dato, sesgo y shadow AI.
El Rol de la Tecnología en la Transformación del ERM
La tecnología es un factor transformador dentro de prácticamente cualquier proceso empresarial, y la ERM no es una excepción.
ERM Orientado a Datos
La tecnología hace que el proceso de ERM esté más orientado a los datos. Tradicionalmente, la mitigación de riesgos ha sido principalmente descendente, originándose en los líderes de la empresa, que definían los riesgos empresariales basándose en su propia percepción. La tecnología aporta una función ascendente y basada en datos: se clasifican los riesgos existentes y se identifican los nuevos con base en información fiable. Esta nueva capacidad supone un punto de inflexión.
Digitalización y Simplificación de Procesos
La tecnología simplifica y digitaliza el proceso. La tecnología en la nube permite flujos de trabajo simples pero seguros que unifican y coordinan actividades en las líneas de negocio, las ubicaciones y los departamentos. Actualmente, aún hay muchas organizaciones que dependen de hojas de cálculo, sitios web y correos electrónicos para los procesos de gestión de riesgo. Esta ausencia de procesos seguros en la gobernanza de riesgos limita la capacidad de una empresa a la hora de identificar y planificar los riesgos, y genera situaciones que pueden ocasionar filtraciones de datos.
Ciberseguridad como Prioridad Central
La tecnología ha generado un tremendo incremento de los datos y ha provocado que las plantillas sean cada vez más remotas, incrementando así la gravedad y la frecuencia de las amenazas cibernéticas. Esto convierte a la ciberseguridad en una preocupación para toda la empresa y una prioridad máxima para la dirección. Las organizaciones también deben afrontar unas expectativas más estrictas de los reguladores financieros en lo relativo a garantizar sus defensas digitales.
Lea también: Auditorías Ambientales: Una Guía
Inteligencia Artificial (IA) y Aprendizaje Automático en ERM
La tecnología en la nube y la inteligencia artificial (IA) están revolucionando la gestión de riesgos al hacer los procesos más eficientes, basados en datos y transparentes. El uso de datos sólidos, inteligencia artificial y aprendizaje automático como base para tu ERM no solo te ayuda a identificar mejor los riesgos, sino que también integra la gestión de riesgos en todas las actividades de la organización. Al integrar la IA y el aprendizaje automático en una solución ERM en la nube, podemos supervisar continuamente las actividades sospechosas en los procesos de negocio centrales, detener las amenazas internas y coordinar la preparación y las respuestas. Las herramientas modernas de IA automatizan el análisis, identifican cláusulas de riesgo, aplican normas internas de cumplimiento y sugieren alternativas. La solución ampliará esa información a través de paneles diseñados específicamente para las partes interesadas, a fin de que tengan un acceso sencillo a información y analítica.
Gestión Integrada de Riesgos (IRM): El Siguiente Paso
La Gestión Integrada de Riesgos (IRM) es la evolución de la Gestión de Riesgos Empresarial clásica. Combina sistemas de riesgo, cumplimiento y auditoría en una plataforma central para que los riesgos puedan registrarse, evaluarse, gestionarse y supervisarse de manera uniforme en toda la empresa. Los sistemas separados y los procesos aislados de gestión de riesgos a menudo conducen a una pérdida de información, documentación incoherente y retraso en la escalada de riesgos críticos. Esto es especialmente problemático para el Departamento Jurídico, ya que las cuestiones de responsabilidad, las obligaciones reglamentarias y la transparencia del consejo solo pueden abordarse de forma fiable si se tienen en cuenta todas las fuentes de riesgo de manera integrada.
Características Clave de una Solución ERM Efectiva
Sencillez y Participación
En primer lugar, tu solución ERM debe ser fácil de usar para todas las partes interesadas. Esto es crucial, ya que para que sea eficaz debe contar con la participación de múltiples partes interesadas. Cuando escojas una solución de gestión de riesgos, evalúa si será capaz de involucrar a todas las partes interesadas de todas las esferas de la organización. Ese es el factor más decisivo. Elige una solución intuitiva y sencilla para lograr que todos la usen.
Integración Global
La ERM no es un proceso independiente. La implantación de un programa y tecnologías de ERM no puede ser una acción independiente y al margen del resto de la organización. El software aislado de gestión de riesgos rara vez impacta en otras partes interesadas. Por lo tanto, la ERM se convierte en un procedimiento que carece de los ingredientes esenciales para el éxito: la colaboración, el impacto y la adopción global. Además, cabe recordar que la colaboración es crucial para una implementación eficaz de la ERM. Cuando la solución ERM está completamente integrada en los sistemas financieros, de RR. HH. y de la cadena de suministro, nos permite modelar diferentes problemas, eventos y posibilidades en toda la empresa y detectar impactos y oportunidades potenciales. Esto te permite supervisar todo el negocio, destacar los riesgos y crear planes para mitigarlos.
Despliegue Rápido y Seguro en la Nube
Las características y ventajas estándar que ofrece la nube son una solución natural para las soluciones ERM: despliegue más rápido, mucho más seguro y siempre disponible. Gracias a la nube, no hacen falta varios años ni una gran inversión de recursos y tiempo para crear una solución de gestión de riesgos eficaz. Al contrario, las soluciones en la nube de gestión de riesgos se pueden desplegar con rapidez, a menudo en cuestión de días.
Marcos de Referencia: COSO ERM
COSO (Committee of Sponsoring Organizations of the Treadway Commission) es una organización compuesta por organismos privados, establecida en los EE. UU. que proporciona orientación sobre el control interno, la gestión de riesgos empresariales, la disuasión del fraude y la gobernanza organizacional. Numerosos marcos reconocidos internacionalmente estructuran la Gestión del Riesgo Empresarial y definen normas reconocidas de gobernanza, control e información.
En mayo de 2026, COSO publicó From Guidance to Action: Exploring Practical Enterprise Risk Management, un documento orientado a reforzar la relevancia estratégica y el impacto real de los programas de ERM. Un dato revelador de su encuesta global: aunque el 98% de los profesionales cree que el ERM debería tener un papel más estratégico, solo un 7% afirma tenerlo plenamente integrado en sus decisiones de estrategia.