La agenda de riesgos de las empresas crece

El ecosistema en el que se desenvuelven las empresas ha cambiado mucho en los últimos 10 años. En la última década han convivido la crisis económica —cuyas consecuencias van desde un contexto regulatorio mucho más exigente hasta una sensibilidad a flor de piel de la ciudadanía, fruto de la desigualdad y los fraudes— y un desarrollo de los avances tecnológicos sin parangón en la historia. La coincidencia en el tiempo de ambos factores ha hecho aflorar nuevos riesgos para las compañías, como el desgaste en la reputación, la incertidumbre geopolítica y los ataques cibernéticos, entre otros muchos, que se suman a los peligros tradicionales del ámbito empresarial. En definitiva, el tablero de los negocios se ha llenado de minas que se han de sortear para ser líderes en un mercado globalizado. Esta semana se ha celebrado un encuentro en la sede de EL PAÍS patrocinado por KPMG, en el que diferentes expertos han debatido sobre la nueva agenda de riesgos corporativos.

Para Pablo Bernad, socio responsable de Risk Consulting en KPMG, se ha pasado de un modelo donde la gestión de los peligros se hacía en gran medida por simple cumplimiento normativo a otro donde es un factor estratégico para que cualquier compañía pueda tener éxito. “La agenda que maneja el consejo evoluciona a una velocidad de vértigo y su gestión debe de ser ahora mucho más dinámica”, comentó Bernad.

La rapidez con la que surgen potenciales focos de conflicto conlleva inevitablemente que la responsabilidad de su detección y tratamiento no recaiga solo en los comités de auditoría o en las comisiones de riesgos. Son los propios consejos de administración los que deben coger el toro por los cuernos. “El comité de auditoría es un órgano que trabaja por delegación del Consejo de Administración y sirve de filtro de las nuevas normas que van surgiendo. Si el consejo funciona, también lo hará el comité, pero es difícil que trabaje de forma autónoma”, dijo Javier Pérez Farguell, presidente de la comisión de auditoría de Catalana Occidente. En su opinión hay otro elemento que dificulta su labor: “Evaluamos situaciones con información que no hemos elaborado nosotros, y dependemos por lo tanto del comité de auditoría, tanto interno como externo, así como otros de órganos de la compañía”.

Uno de los sectores donde más ha cambiado la gestión en los últimos años ha sido el financiero. Tradicionalmente, los bancos debían prestar atención a dos aspectos clave para su negocio: el crédito y la liquidez. Sin embargo, ahora se acumulan en su mesa nuevos desafíos a los que deben dar respuesta, como la seguridad de las transacciones, el mayor activismo de los clientes en la comercialización de productos, el reto de restañar una reputación dañada por los sucesivos escándalos y el rescate público de entidades. “La gestión de riesgos es algo que se puede considerar ya como un proceso muy tecnificado. Requiere de una serie de métricas que responden a diferentes métodos internos. A través de estas métricas se examina de forma continua cómo evolucionan los coeficientes asignados a cada uno de los peligros que afrontamos”, según Antonio Sainz de Vicuña, presidente de la comisión de riesgos de Caixabank.

La misión de las empresas en un sistema capitalista no es otra que maximizar el valor para los accionistas y, en ese proceso, generar también riqueza para el conjunto de la sociedad. En un mundo complejo como el actual, sería ingenuo pensar que el camino en pos de ese objetivo está exento de obstáculos. Por este motivo, Ignacio Santillana, presidente de la comisión de auditoría de Indra, cree que al hablar de riesgos siempre hay que ponerlos en relación con la rentabilidad que se espera lograr. “El riesgo no hay que eliminarlo, forma parte de la propia estrategia de la empresa, hay que compararlo con los resultados que se quieren lograr. Es un factor que nos informa de forma estadística de la incertidumbre a la que se enfrentan las compañías”, argumenta.

Ángel Durández, presidente de la comisión de auditoría de Mediaset, comparte la idea de que, al ser un tema estratégico, es el consejo de administración el que debe elaborar un plan para la gestión de los riesgos. Entre ellos, hace hincapié en la gran cantidad de regulación que surgió tras el estallido de la crisis. “El peligro es que el regulador o el supervisor intenten aplicar literalmente la regulación, sin tener en cuenta las circunstancias y hechos particulares. Es muy conveniente, por tanto, mantener una relación y comunicación cercana y habitual con el supervisor”.

Una empresa que tenga un protocolo para administrar de forma eficiente los obstáculos que se encuentra tendrá una ventaja competitiva sobre sus rivales. “Antes era en cierta medida opcional, los directivos podían elegir a qué riesgos querían enfrentarse, pero ahora es una cuestión estratégica porque muchos de estos peligros nos vienen dados. Yo no puedo decidir, por ejemplo, qué nivel de riesgo cibernético que estoy dispuesto a asumir o cuánta va a ser mi exposición digital. Esta evolución y realidad del mercado son ya parte fundamental del negocio”, expuso Pablo Bernad.

El experto de KPMG destacó que las nuevas tecnologías, además de suponer nuevos retos, también tienen su parte positiva al permitir automatizar en gran medida los protocolos para detectar posibles focos de conflicto. “La tecnología nos ofrece un gran potencial en la gestión de problemas”. En el debate sobre si se debe delegar esta responsabilidad a las máquinas, algunos expertos siguen concediendo gran importancia al factor humano. “Es fundamental, porque habrá que cultivar la lealtad en las empresas y la cultura del cumplimiento normativo”, expresó Antonio Sainz de Vicuña. En esta misma línea se pronunció Ignacio Santillana: “La clave diferencial entre empresas es la calidad de sus gestores. Es decir, cómo ante riesgos que son iguales para todos, los sortean mejor”.

El daño reputacional

Un aspecto que cada vez preocupa más a las compañías es el posible deterioro de su reputación. Las redes sociales han sustituido en algunos casos a los medios de comunicación tradicionales como canales de distribución de la información. Esta dinámica propicia en ocasiones un cierto vértigo para los directivos, ya que es más difícil controlar los mensajes. Plataformas como Twitter o Facebook permiten que las campañas, a favor o en contra, adquieran un carácter viral o incluso que mensajes de los propios empleados de una empresa se saquen de contexto.

“Con la crisis, el riesgo de reputación ha cambiado. El grado de tolerancia ante determinados comportamientos empresariales ha caído en picado. Hay que tener en cuenta que el comportamiento del primer ejecutivo determina en muchas ocasiones la imagen que se tenga de la compañía. Además, hay que tener una capacidad de reacción más rápida ante detalles a los que antes no dábamos importancia”, apuntó Javier Pérez. Por su parte, Ángel Durández cree que lo importante es “contar con una política de comunicación organizada para cuidar la imagen que quieres proyectar de la empresa, siempre desde la tranquilidad y sin sobrerreaccionar a lo que se pueda decir en las redes sociales”.

Las políticas de responsabilidad social corporativa (RSC) deben de ser sólidas para que las empresas puedan gestionar mejor posibles crisis. “Proyectar una imagen de las empresas solo como máquinas de lucro es negativo desde el punto de vista de la reputación. Todas las compañías deben de tener una dimensión de RSC con diferentes manifestaciones, es decir, tener una sensibilidad social”, opinó Antonio Sainz de Vicuña.

Uno de los últimos riesgos que deben afrontar las empresas está relacionado con los ciberataques. Hace dos semanas, un virus afecto a los sistemas informáticos de grandes empresas en todo el mundo. “El riesgo cibernético no ha hecho más que empezar. En los próximos años va a ser un problema creciente y muy disruptivo”, advirtió Pablo Bernad. Este experto habló de tres ejes de actuación para minimizar su impacto. El primero es el factor humano, es decir, concienciar a toda la organización de lo que se avecina. También enumeró el desarrollo de sistemas tecnológicos preventivos y el seguimiento continuo de todo lo que sucede en la Red.

El problema del combate contra los ciberataques es que requiere fuertes inversiones en un momento donde los presupuestos de las compañías están muy ajustados. Sin embargo, es una decisión estratégica que hay que tomar porque sin un protocolo de actuación cualquier entidad puede verse seriamente dañada. “Evitar este riesgo al 100% es casi imposible. Es una guerra donde tú no puedes atacar porque no conoces al enemigo. Lo fundamental es ir por delante de los hackers. También es importante cooperar con los organismos públicos, que poseen mucha información y están deseando colaborar con el mundo empresarial”, concluyó Ángel Durández.