# Cómo medir el riesgo de cumplimiento: guía práctica de puntuación > Aprenda a medir el riesgo de cumplimiento en cinco pasos, desde el mapeo de obligaciones hasta la puntuación del riesgo residual y el seguimiento de controles. Empiece su revisión hoy. Source: https://www.electe.net/es/articulo/how-to-measure-compliance-risk Site guide: https://www.electe.net/es/llms.txt Su equipo de finanzas dice que las declaraciones están al día. Operaciones dice que las verificaciones están completas. El panel está en verde, pero nadie sabe explicar qué incumplimiento perjudicaría más al negocio, ni si los controles lo detectarían antes que un cliente o un regulador. Ese es el problema práctico que hay detrás de **cómo medir el riesgo de cumplimiento**. Necesita algo más que una lista de obligaciones y tareas completadas. Necesita una forma defendible de conectar los posibles fallos, las consecuencias para el negocio, la evidencia de los controles y las acciones de la dirección. Para una pyme, esto no exige un modelo de nivel bancario. Exige una puntuación coherente, responsables designados, registros fiables y disposición para cuestionar las cifras tranquilizadoras. Un panel en calma debería plantear una pregunta: ¿funcionan los controles, o no estamos detectando los problemas? El método que sigue convierte las obligaciones en un registro puntuado, comprueba si los controles reducen la exposición y establece una rutina de seguimiento que su equipo puede mantener. Las escalas y los umbrales son parámetros de gestión ilustrativos, no requisitos legales ni referencias universales. Úselos para estructurar decisiones y después pida a un profesional cualificado que confirme las obligaciones que se aplican a su negocio. ## El proceso de cinco pasos para medir el riesgo de cumplimiento Imagine un **minorista de muebles online de 35 personas que envía a Alemania, Austria y España** y descubre que sus obligaciones de derechos del consumidor e IVA están repartidas en tres hojas de cálculo distintas. Finanzas controla las tareas de presentación, atención al cliente controla los reembolsos y operaciones gestiona las excepciones de entrega. Nadie es responsable de la visión conjunta. La solución inmediata no es otro panel. Es un registro común que conecte cada obligación con un escenario de fallo, una persona responsable y evidencia del funcionamiento del control. ### Convierta obligaciones dispersas en un proceso repetible 1. **Mapee las obligaciones y las dimensiones de exposición.** Enumere las leyes, normas y contratos relevantes para el negocio, con ayuda profesional cuando haga falta interpretación. Separe la exposición por cliente, zona geográfica, producto, canal e intermediario. El resultado es un **registro de obligaciones**, no una carpeta de legislación. 2. **Identifique dónde podría fallar una norma.** Recorra el proceso real con el empleado que realiza el trabajo. En el caso del minorista, eso podría implicar seguir una devolución desde la solicitud del cliente hasta la aprobación y el reembolso. Elabore una lista de riesgos con un único responsable para cada elemento. 3. **Puntúe el riesgo inherente.** Evalúe la probabilidad y el impacto antes de reconocer mérito a los controles. Use las escalas de probabilidad e impacto propuestas más abajo para obtener un registro puntuado. Así evita que una política bien redactada oculte una exposición de fondo significativa. 4. **Mida el riesgo residual.** Evalúe qué previenen, detectan o corrigen los controles existentes. Use resultados de pruebas, excepciones y registros de respaldo en lugar de declaraciones de política. El resultado es una calificación residual con una explicación del crédito de control concedido. 5. **Supervise y vuelva a probar.** Asigne indicadores, reglas de escalado y fechas de revisión. Reevalúe tras los cambios relevantes en lugar de esperar a la siguiente reunión programada. El resultado es un panel acompañado de un calendario de revisiones. Las [Recomendaciones del GAFI](https://www.fatf-gafi.org/content/dam/fatf-gafi/recommendations/Feburary%202025%20FATF%20Recommendations.pdf) ofrecen un marco útil basado en el riesgo: evaluar los factores relevantes, documentar las conclusiones, mantener actualizadas las evaluaciones y aplicar medidas proporcionadas. Su contexto específico es el blanqueo de capitales y la financiación del terrorismo, no todas las obligaciones a las que se enfrenta un minorista. ### Mantenga utilizable el primer registro Empiece con una vista de una página que contenga obligación, escenario de fallo, exposición, responsable, calificación inherente, control, evidencia de pruebas, calificación residual y siguiente acción. Mantenga la evidencia detallada detrás de ese resumen en lugar de meter en él todos los documentos. Nuestro [proceso de evaluación de riesgos paso a paso](https://www.electe.net/post/what-is-risk-assessment) aporta más estructura para organizar la evaluación. La prueba práctica es sencilla: ¿puede un responsable explicar la calificación y recuperar la evidencia sin reconstruir el proceso a partir de correos electrónicos? ## Cómo identificar y puntuar cada riesgo de cumplimiento Describa cada riesgo como un fallo, no como un tema. «Privacidad» es demasiado amplio para probarlo; «el equipo de marketing no puede recuperar el registro de consentimiento de un cliente suscrito» identifica un proceso, un hecho y evidencia que usted puede inspeccionar. Use este patrón de frase: **Durante \[proceso\], podría producirse \[fallo\] debido a \[causa\], con la consecuencia de \[consecuencia\].** Un ejemplo de IVA podría identificar una declaración presentada tarde por una conciliación incompleta de transacciones, con las consecuencias confirmadas por su asesor fiscal. La documentación permite revisar las calificaciones. En 2023, el **79 % de los encuestados** en la [encuesta global de referencia sobre riesgos de cumplimiento de White & Case](https://www.whitecase.com/insight-our-thinking/2023-global-compliance-abc-risk-assessments) declaró realizar evaluaciones documentadas de riesgos de anticorrupción. Ese dato se refiere a evaluaciones de anticorrupción, no a un estándar universal de puntuación, pero respalda la conveniencia de explicitar su razonamiento. ### Construya escalas que distintos responsables puedan aplicar Lo siguiente es una **política de puntuación ilustrativa** para una pyme. Los importes en euros son umbrales internos propuestos, no sanciones legales ni estimaciones de resultados de actuaciones sancionadoras. 1. **Defina la probabilidad antes de los controles.** Use 1 para raro, menos de una vez cada cinco años; 2 para improbable, pero creíble a lo largo de varios años; 3 para posible en condiciones operativas previsibles; 4 para probable durante la operativa normal; y 5 para casi seguro, esperado en un plazo de un año. Aclare el horizonte de evaluación para que los responsables no mezclen expectativas anuales con posibilidades a lo largo de toda la vida del negocio. 2. **Defina el impacto para su negocio.** Un ejemplo de escala: 1 para menos de 1.000 € o solo retrabajo; 2 para una pérdida departamental asumible; 3 para un impacto presupuestario material o una remediación significativa para clientes; 4 para una interrupción sustancial o la atención del regulador; y 5 para una actuación del regulador, riesgo para la licencia o una pérdida superior a 100.000 €. Fije límites monetarios explícitos para las categorías intermedias según sus finanzas, y utilice la consecuencia aplicable más alta en lugar de diluir con promedios un resultado legal grave. 3. **Multiplique probabilidad por impacto.** En estas escalas propuestas de 1 a 5, **P × I produce una puntuación inherente de 1 a 25**. Trátela como un índice de priorización, no como una probabilidad ni una pérdida prevista en euros. Totales idénticos pueden describir problemas distintos, así que conserve ambas puntuaciones. 4. **Evalúe por separado las dimensiones de exposición.** Registre la exposición por cliente, mercado, producto o transacción, canal e intermediario antes de consolidar la calificación. Mantenga visible un mercado de alto riesgo como fila propia o como indicador de anulación. No deje que las ventas de bajo riesgo en otros ámbitos diluyan la decisión. 5. **Registre el fundamento y la fecha.** Adjunte los registros del proceso, el historial de incidentes, las reclamaciones, los cambios operativos y la explicación de quien puntúa. Un segundo revisor debería poder entender por qué cambió la calificación. Para los procesos que dependen de la tecnología, el recurso de IT Cloud Global, LLC sobre [señales de alerta antes de que fallen los sistemas](https://itcloudglobal.com/it-risk-assessments/) ofrece una buena base para conversar con TI. Traduzca cualquier preocupación relevante en un fallo de negocio concreto en lugar de añadir una etiqueta genérica de riesgo tecnológico. ### Convierta las puntuaciones en decisiones Apruebe los niveles de respuesta antes de revisar los resultados individuales. De lo contrario, los directivos pueden negociar las calificaciones para evitar una acción incómoda. **Niveles de puntuación de riesgo y respuestas requeridas** **Nivel de riesgo****Puntuación (P × I)****Desencadenante típico****Respuesta requerida**Bajo1–4Raro, acotado, corregible en una semanaControles estándar y revisión anualModerado5–9Posible, multa o retrabajo sin atención externaControles documentados y pruebas trimestralesAlto10–15Probable, atención del regulador o pérdida materialControles reforzados, seguimiento mensual y aprobación del responsableCrítico16–25Casi seguro, sanción o pérdida graveAcción inmediata, escalado a la dirección y revisión semanal Se trata de **niveles internos propuestos**, no de categorías regulatorias. Algunos números enteros de estos rangos no se pueden obtener multiplicando los valores de las escalas elegidas; los rangos hacen que la política de respuesta sea continua. > **Regla de decisión:** Escale cualquier consecuencia legal potencialmente grave, aunque la multiplicación arroje un nivel inferior. Un responsable puede aceptar un riesgo operativo documentado dentro de su autoridad delegada. No puede usar una puntuación baja para eximirse de una obligación legal. ## Métricas que muestran si los controles realmente funcionan La formación completada, las revisiones realizadas y las alertas generadas miden la **actividad**. Los fallos de control, los hallazgos repetidos y la evidencia de cierre fundamentada ayudan a evaluar la **eficacia**. Necesita ambos tipos de métrica, pero responden a preguntas distintas. Un aumento en el número de alertas puede reflejar un deterioro del comportamiento, una mayor cobertura de monitorización o una regla demasiado sensible. Combínelo con la conversión de alertas en casos y con investigaciones muestreadas antes de decidir si la exposición ha aumentado. La [guía del GAFI sobre supervisión basada en el riesgo](https://www.fatf-gafi.org/content/dam/fatf-gafi/guidance/Guidance-Risk-Based-Supervision.pdf) respalda la monitorización continua, la intervención oportuna y la comprobación de resultados, en lugar de dar por hecho que un marco funciona porque genera productos. En su panel de control, segmente cada indicador por **producto, geografía, tipo de cliente y canal**, e incluya al lado el tamaño de la población correspondiente. ### Cree un cuadro de mando con denominadores explícitos Los umbrales siguientes son **objetivos iniciales orientativos**, no referencias del sector con fuente. Calíbrelos según su propia línea base, las pruebas independientes, su apetito de riesgo y los requisitos aplicables. **Indicadores clave de riesgo, fórmulas y frecuencia de revisión** **Indicador****Fórmula****Objetivo inicial****Frecuencia de revisión**Revisiones de alto riesgo vencidasRevisiones de alto riesgo vencidas ÷ revisiones de alto riesgo que debían realizarse en el periodo de reporte × 100Menos del 5 %MensualTasa de fallo de controles clavePruebas de controles clave fallidas ÷ pruebas de controles clave completadas × 100Menos del 10 %TrimestralHallazgos repetidosHallazgos repetidos de la auditoría anterior ÷ total de hallazgosEn descenso en cada cicloEn cada auditoríaConversión de alertas en casosAlertas escaladas a casos fundamentados ÷ alertas evaluadas × 100Estable o en aumento cuando las alertas disminuyenMensualMediana del tiempo de cierre de una incidenciaMediana de días desde la detección hasta el cierre documentadoEn descenso trimestre a trimestreMensualAntigüedad de la remediaciónElementos de remediación abiertos fuera del plazo aprobado ÷ total de elementos de remediación abiertos × 100Menos del 10 %Mensual Defina las exclusiones y los cortes de reporte en un diccionario de métricas. Muestre «no calculable» cuando el denominador esté vacío y presente el número de elementos vencidos junto a los porcentajes, para que una carga de trabajo cada vez menor no oculte el trabajo pendiente. En materia de formación, el análisis de VideoLearningAI sobre [cómo hacer seguimiento del cumplimiento más allá de las tasas de finalización](https://videolearningai.com/blog/compliance-training-requirements) es un buen complemento del cuadro de mando. Combine los registros de asistencia con evaluaciones basadas en escenarios y con comprobaciones de si los empleados aplican el procedimiento correspondiente. ### Calcule el riesgo residual sin fingir que es exacto Un cálculo de gestión sencillo es: **Índice de riesgo residual = puntuación inherente × (1 − proporción de eficacia de los controles demostrada).** Determine esa proporción a partir de las pruebas más recientes de los controles relevantes. Si los controles tienen distinta importancia, pondérelos antes de probarlos; no dé a una comprobación administrativa menor la misma influencia que a una aprobación crítica. Los controles no probados no reciben ningún crédito. Se trata de un **índice orientativo**, no de un modelo de pérdidas calibrado. Superar las pruebas no demuestra una protección completa, así que mantenga un margen de incertidumbre documentado y exija revisar cualquier puntuación residual aparentemente insignificante. > Un control merece crédito por la evidencia de que reduce la exposición, no por tener un número de política. Contraste las calificaciones anteriores con los incidentes y casi incidentes observados durante el último año. Investigue tanto los riesgos calificados como altos sin incidentes como los calificados como bajos con incidentes graves; cualquiera de los dos patrones puede reflejar prevención, pocas observaciones o una mala calibración. Lea las tasas de fallo junto con los hallazgos repetidos. Fallos estables con una reincidencia creciente sugieren que los equipos cierran casos individuales sin corregir la causa. Al [automatizar los informes de cumplimiento en las pymes](https://www.electe.net/post/automated-compliance-reporting), conserve los registros de origen, las definiciones de cálculo, las fechas de las pruebas y las explicaciones de la dirección. Así se mide el riesgo de cumplimiento sin convertir un panel cómodo en una garantía sin respaldo. ## Cómo establecer la supervisión continua y la reevaluación Una evaluación de riesgos queda obsoleta cuando cambia el negocio. Un nuevo canal de ventas puede alterar los flujos de transacciones, un cambio de proveedor puede debilitar el acceso a las evidencias y un producto modificado puede introducir obligaciones que el registro anterior no recoge. La [Evaluación de los programas de cumplimiento corporativo del Departamento de Justicia de EE. UU.](https://www.justice.gov/criminal/criminal-fraud/page/file/937501/dl) pregunta si los criterios de evaluación se actualizan periódicamente, si las revisiones usan acceso continuo a los datos operativos y si los hallazgos generan cambios en políticas, procedimientos y controles. Son preguntas útiles de diseño, no una afirmación de que todas las pymes afronten requisitos idénticos. ### Asigne funciones distintas a los eventos y a las revisiones periódicas Una **revisión periódica** pregunta si algo ha cambiado. Un **desencadenante** identifica un evento concreto que exige una decisión fuera de ciclo. Mantenga ambos, usando lo siguiente como propuesta de rutina operativa. 1. **Defina desencadenantes de reevaluación.** Incluya un nuevo producto, mercado, canal, proveedor, cambio regulatorio o incidente confirmado. Asigne a alguien para comunicar cada evento e identifique quién decide el alcance de la reevaluación. 2. **Ejecute reglas de supervisión donde los registros lo permitan.** Señale automáticamente, siempre que sea posible, las revisiones vencidas, las transacciones inusuales, las aprobaciones ausentes y las evidencias caducadas. Dirija las excepciones a una cola con responsable designado, no a una bandeja compartida desatendida. 3. **Revise el panel cada mes con los responsables de riesgo.** Analice los umbrales superados, los cambios de exposición y las acciones vencidas. Registre la decisión, la persona responsable y el plazo, incluido el razonamiento cuando la dirección acepte una excepción. 4. **Vuelva a probar los controles clave cada trimestre.** Muestree registros reales de los mercados, canales, empleados y vías de excepción relevantes. Verifique tanto el diseño, es decir, si la comprobación podría abordar el fallo, como el funcionamiento, es decir, si los empleados la realizaron correctamente. 5. **Reevalúe cada año y después de un desencadenante.** Compare las puntuaciones actuales con las anteriores, explique los cambios y apruebe las prioridades modificadas. Evite reescribir la historia sobrescribiendo la evaluación anterior. En servicios financieros, el [cumplimiento basado en el riesgo para equipos financieros](https://www.electe.net/post/sanctions-screening) ofrece un ejemplo concreto de cómo ajustar la intensidad de la supervisión a la exposición. Aplique la misma disciplina a las dependencias de proveedores y de IA: identifique al responsable del sistema, los flujos de datos relevantes, los cambios de subcontratistas y la vía de escalado de incidentes. ### Mida la cobertura además de la velocidad Los [resultados de garantía de cumplimiento del año fiscal 2025 de la Agencia de Protección Ambiental de EE. UU.](https://www.epa.gov/enforcement/enforcement-and-compliance-assurance-annual-results-fy-2025-compliance-assurance) informan de **más de 14 000 actividades de supervisión del cumplimiento** y del **85 % de los informes de inspección emitidos a tiempo**. Son medidas operativas de la agencia, no objetivos de rendimiento para pymes; lo relevante es que combinan cobertura con puntualidad. En su empresa, una cola de investigación rápida significa poco si las transacciones importantes nunca entran en ella. Concilie la población supervisada con el sistema de origen e investigue los registros ausentes antes de celebrar un cierre más rápido. Nuestro caso de estudio de 2025 describe a una empresa fintech que usa ELECTE, una plataforma de análisis de datos con IA para pymes, para automatizar los informes financieros y garantizar el cumplimiento normativo en tiempo real. La lección para la dirección es conectar los informes con las decisiones operativas, manteniendo una revisión humana responsable. Limite la información personal en los paneles a lo que necesita el revisor. Aplique acceso basado en roles, una retención adecuada y un almacenamiento restringido de evidencias, en lugar de hacer circular registros de clientes o empleados en presentaciones exportadas. ## Errores comunes de medición y cómo corregirlos «No se han comunicado incidentes» es una conclusión tentadora que se presenta como «riesgo bajo». En cambio, podría significar que los empleados no comunican sus inquietudes, que la supervisión pasa por alto actividad relevante o que nadie concilia el registro de incidentes con los registros operativos. La distinción importa sobre todo cuando unas cifras tranquilizadoras influyen en la dotación de personal o en los presupuestos de control. Cuestione el proceso de medición antes de reducir la supervisión. ### Diagnostique el síntoma antes de cambiar la puntuación - **Registro de incidentes silencioso.** El síntoma es que se notifican pocas conductas indebidas pese a una exposición significativa. La causa puede ser una detección débil o un canal de notificación difícil de usar. Pruebe la detección con casos sintéticos o sembrados aprobados, en un entorno controlado, y verifique que el personal los reconoce, los escala y los documenta sin causar daños reales a clientes. - **Panel de finalización en verde con problemas sin resolver.** Las tareas de formación y revisión se completan en plazo, pero las mismas debilidades siguen reapareciendo. La causa es que se mide el cierre de tareas y no la acción correctiva. Informe por separado de los hallazgos repetidos y exija evidencia de que el proceso de fondo ha cambiado. - **Promedio de empresa satisfactorio con un mercado problemático.** El resultado global parece aceptable, mientras que las reclamaciones o excepciones se concentran en una ubicación concreta. La agregación está ocultando la decisión. Dé al responsable afectado una vista específica del mercado y exija un plan de acción local en lugar de una declaración de garantía para toda la empresa. - **Campos en blanco tratados como seguros.** La falta de evidencia de proveedores o la indisponibilidad de registros de transacciones aparecen como exposición cero. La causa es un valor por defecto en los informes que confunde la ausencia de información con la ausencia de riesgo. Cree un elemento aparte para la laguna de datos, asigne un responsable y no otorgue crédito de control sin respaldo. - **Umbrales congelados tras el crecimiento.** El panel sigue en verde aunque los volúmenes, los productos y las dependencias hayan cambiado. La causa es una calibración obsoleta. Revise la lógica de los umbrales en la reevaluación anual y siempre que el crecimiento modifique la exposición medida. > La evidencia ausente es una incertidumbre que hay que gestionar, no un resultado favorable. ### Gestione con honestidad un historial escaso Una pyme con pocos incidentes registrados no debería fingir que sus puntuaciones son estadísticamente precisas. Etiquete las estimaciones basadas en el criterio profesional, indique qué evidencia falta y utilice escenarios para examinar fallos plausibles y sus consecuencias. La [guía del Comité de Basilea sobre riesgo operacional](https://www.bis.org/publications/201106-guidelines-operational-risk-supervisory-guidelines-advanced-measurement-approaches.pdf) hace hincapié en los historiales propios de cada institución, en los perfiles de negocio y en prestar atención a las pérdidas graves. Su contexto bancario no justifica importar un modelo complejo a una pyme, pero sí respalda la resistencia a los promedios que ocultan eventos de consecuencias importantes. Use un taller práctico de escenarios: pregunte qué ocurre si el empleado responsable está ausente, si un proveedor deja de facilitar registros o si un control automatizado deja de ejecutarse sin aviso. Registre el tiempo de detección, los controles alternativos disponibles, la interrupción probable y las decisiones que la dirección tendría que tomar. Estas medidas apoyan las decisiones de cumplimiento. No sustituyen el asesoramiento de un profesional jurídico o de cumplimiento cualificado, especialmente al determinar obligaciones, interpretar un incidente o decidir si es necesaria una notificación externa. ## Ejecute una ronda piloto de puntuación este trimestre Empiece con un piloto acotado en lugar de un despliegue en toda la empresa. Elija una línea de producto o un mercado con obligaciones relevantes, registros accesibles y un responsable que pueda autorizar correcciones. El área más complicada no siempre es el mejor punto de partida si nadie puede recuperar su evidencia. Un piloto le permite probar tanto el coste del método como su utilidad. Si mantener una métrica requiere más esfuerzo que tomar la decisión a la que sirve, simplifique el método de recopilación antes de ampliar. ### Use un plan propuesto de 30 días **Semana 1, elabore el registro de obligaciones.** Enumere cada ley, norma y contrato relevante para el alcance del piloto, con un responsable y la ubicación de la evidencia. Resuelva las dudas de interpretación con el asesor adecuado en lugar de incorporar suposiciones al registro. **Semana 2, recorra los procesos y puntúe los fallos.** Hable con los empleados que realizan el trabajo e inspeccione los traspasos reales. Aplique las escalas propuestas de probabilidad e impacto de 1 a 5, registre la justificación y pida a otro revisor que cuestione las valoraciones incoherentes. **Semana 3, pruebe los tres controles más importantes.** Seleccione registros que incluyan transacciones rutinarias y excepciones. Documente los fallos, calcule valoraciones residuales provisionales y distinga la evidencia confirmada de las estimaciones de la dirección. **Semana 4, acuerde umbrales y fechas de revisión.** Asigne a cada indicador un responsable, un denominador, una vía de escalado y una primera fecha de revisión. Lleve los desacuerdos sin resolver al responsable de cumplimiento en lugar de dejarlos ocultos en comentarios de hojas de cálculo. ### Puntos clave - **Mantenga un registro puntuado.** Cada riesgo del piloto necesita un responsable, evidencia y una respuesta documentada. - **Mantenga un panel listo para decidir.** Incluya umbrales y acciones de escalado, no solo indicadores de estado en color. - **Priorice las debilidades verificadas.** Elabore una lista corta de controles que corregir primero, con plazos y criterios de nueva prueba. - **Revise antes de ampliar.** Reserve la reunión de resultados del piloto con el responsable de cumplimiento y decida después si se extiende al siguiente mercado. Para una planificación de implantación más amplia, Fabio Lauria publicó en febrero de 2026 el whitepaper gratuito _AI for European SMEs: The 2026 Playbook_, que abarca marcos de decisión, cálculos de ROI y guías de implantación. Saber medir el riesgo de cumplimiento significa poder explicar qué podría fallar, por qué un control merece crédito y qué hará la dirección a continuación. Antes de lanzar el piloto, confirme su alcance con su responsable de cumplimiento y programe la revisión de resultados. Esta es una orientación general, no asesoramiento jurídico; profesionales jurídicos o de cumplimiento cualificados deben confirmar sus obligaciones. --- ELECTE ofrece análisis con IA, informes automatizados y paneles de control para ayudar a las pymes a convertir sus registros operativos en información útil sobre cumplimiento normativo. Visite [ELECTE](https://www.electe.net/) para ver cómo puede apoyar las actualizaciones del registro piloto, los cálculos de KRI y las revisiones mensuales, mientras su equipo mantiene la responsabilidad de las decisiones de cumplimiento.