Una pyme puede darse cuenta de ello de la forma más sencilla y de la más costosa: un encargo se retrasa, un pedido se bloquea, un archivo desaparece, se omite un control. En ese momento, la gestión del riesgo operativo deja de ser un concepto teórico y se convierte en la diferencia entre un problema resuelto y un problema que se repite. Por eso conviene abordarla como un proceso continuo, y no como una lista de comprobación a la que recurrir solo después de que se produzca un incidente.
En la práctica, el riesgo operativo es el riesgo de perder dinero, tiempo o reputación debido a que los procesos, las personas, los sistemas o los acontecimientos externos no funcionan como deberían. Las autoridades reguladoras italianas ya han consolidado un enfoque estructurado, basado en datos internos, datos externos, escenarios y factores del contexto operativo y de los controles internos, con una lógica cuantitativa y preventiva del Banco de Italia. Para una pyme, la traducción es sencilla: hay que saber dónde se producen los fallos, cuánto cuestan y cómo detectarlos antes.
Un error en el almacén que pone en peligro un envío, un fallo en el sistema de gestión que bloquea la facturación, un acceso no autorizado que expone datos sensibles. Esto es la gestión del riesgo operativo en su forma más concreta: identificar dónde el negocio puede perder continuidad y actuar antes de que el daño se convierta en estructural.
En el caso de una pyme, las causas principales se identifican de inmediato. Las personas cometen errores, los procesos se atascan, los sistemas fallan y el entorno externo cambia las reglas del juego. La clasificación resulta útil precisamente porque evita que se califique todo como un «problema genérico» y obliga a distinguir entre un error de introducción de datos, un procedimiento deficiente y un fallo informático.
El Banco de Italia, en el marco del AMA, destaca cuatro componentes esenciales: datos internos sobre pérdidas, datos externos sobre pérdidas, análisis de escenarios y factores relacionados con el entorno operativo y los controles internos del Banco de Italia. Para una pyme, esto significa desarrollar una visión que no se limite al pasado, sino que también tenga en cuenta lo que podría suceder y hasta qué punto los controles internos son realmente eficaces.
Regla práctica: si un suceso puede repetirse sin que nadie se dé cuenta a tiempo, ya se trata de un riesgo operativo mal gestionado.
Este enfoque funciona porque convierte la experiencia cotidiana en una decisión. No hace falta esperar a que se produzca una pérdida importante para darse cuenta de que hay que revisar un procedimiento; a menudo bastan pequeños incidentes recurrentes, retrasos inusuales y anomalías en los flujos. La gestión del riesgo operativo sirve precisamente para dar prioridad a estos roces antes de que acaben con el margen y la confianza.
Una clasificación clara evita dos errores frecuentes: subestimar los riesgos «inofensivos» porque parecen insignificantes y sobreestimar los más visibles solo porque llaman la atención. En la práctica empresarial, la taxonomía más útil sigue siendo aquella que distingue entre personas, procesos, sistemas y acontecimientos externos. Es lo suficientemente sencilla como para que la utilice un responsable de departamento, pero lo suficientemente sólida como para servir de base a un verdadero mapa de riesgos.
Las personas generan riesgos cuando carecen de las competencias necesarias, cuando las funciones no están bien definidas o cuando se abre la puerta al fraude y a los errores recurrentes. En el sector minorista y en el comercio electrónico, por ejemplo, un paso manual introducido incorrectamente puede alterar las existencias, los precios o las devoluciones, y el error se propaga rápidamente.
Los procesos se vuelven frágiles cuando existen procedimientos demasiado largos, aprobaciones innecesarias o pasos no documentados. Las directrices italianas sobre las metodologías de evaluación de riesgos operativos hablan de un salto de una lógica contable simple a una lógica más analítica, basada en controles, señales y el mapeo de los puntos débiles (documentación LIUC). Traducido al contexto de una pyme, el proceso debe diseñarse para que sea repetible, no solo para que sea «correcto sobre el papel».
Los sistemas incluyen software, infraestructuras y ciberseguridad. La FINMA subraya la necesidad de disponer de un inventario completo del hardware y el software críticos, con una tolerancia al riesgo definida y prestando especial atención a la disponibilidad, la confidencialidad y la integridad de la FINMA. Para una empresa, esto se traduce en una pregunta concreta: ¿qué activos no pueden permitirse estar inactivos ni siquiera durante una hora?
Entre los factores externos se incluyen los fallos en el suministro, los cambios normativos y las interrupciones logísticas. En un negocio de comercio electrónico, basta con que un socio clave se retrase o se produzca un cambio en el flujo de pagos para que surja un riesgo que, aunque no se origine dentro de la empresa, repercute de inmediato en los resultados.
Un buen mapa de riesgos no tiene por qué ser elegante, sino útil. Si un elemento no encaja claramente en ninguna de las cuatro categorías, normalmente no se trata de un riesgo nuevo, sino de un riesgo mal descrito. Poner orden en este aspecto facilita todo lo demás, desde la evaluación hasta el seguimiento.
En una pyme, la evaluación de riesgos funciona mejor cuando se mantiene realista. Se empieza con herramientas sencillas, se recogen indicios fiables y se aumenta el nivel de análisis solo para aquellos riesgos que tienen un impacto real en los costes, la continuidad operativa o la reputación. La matriz de probabilidad e impacto suele ser el primer paso, ya que permite tomar decisiones con rapidez, sin tener que esperar a disponer de un sistema demasiado complejo.
La matriz cualitativa sirve para estructurar la evaluación del equipo. Se asignan probabilidades, impacto y prioridad operativa, con el fin de distinguir los riesgos que requieren una intervención inmediata de aquellos que pueden mantenerse bajo observación.
Para una pyme, la ventaja radica en la practicidad. Un riesgo bien descrito se integra en el trabajo diario, mientras que uno mal descrito sigue siendo una percepción vaga y no ayuda a decidir en qué invertir tiempo y presupuesto.
La documentación italiana sobre el método básico europeo establece un requisito patrimonial equivalente al 15 % del indicador pertinente del Ministerio de Economía y Finanzas. En el caso de una pyme, no se trata de copiar ese cálculo, sino de comprender la lógica subyacente, transformar una exposición operativa en una medida comparable y utilizarla para establecer prioridades coherentes.
Un riesgo que no se ha cuantificado no es pequeño, sino que simplemente pasa más desapercibido.
El análisis cuantitativo entra en juego cuando el riesgo es recurrente, costoso o está relacionado con decisiones que requieren una estimación más precisa. La bibliografía técnica italiana describe la elaboración de distribuciones de frecuencia y gravedad de las pérdidas, que se combinan hasta obtener la distribución agregada, con el cálculo del percentil 99,9 (tesis de la Universidad Ca' Foscari). En la práctica, sirve para estimar cuánto puede costar el peor día operativo plausible.
La media refleja el comportamiento habitual. El percentil muestra la parte extrema de la distribución, aquella que no se da todos los días, pero que tiene un gran peso cuando se produce. Para una pyme, esta distinción resulta útil a la hora de decidir si invertir en un control adicional, en una copia de seguridad, en una revisión de procesos o en una solución de automatización.
Los modelos de predicción de riesgos resultan de gran ayuda precisamente en esta fase, ya que facilitan la evaluación de qué incidentes merecen una atención continua y cuáles pueden gestionarse mediante controles estándar. En este sentido, la IA aporta una ventaja operativa concreta, ya que es capaz de analizar grandes volúmenes de notificaciones, detectar patrones recurrentes y facilitar un seguimiento más regular sin sobrecargar al equipo con tareas manuales repetitivas.
Lo importante para una pyme es pasar de una percepción genérica a una estimación útil para la toma de decisiones. Cuando la evaluación es clara, el presupuesto no se dispersa, los controles se centran donde realmente se necesitan y la gestión del riesgo operativo deja de ser teoría para convertirse en un proceso.
Un sistema de control funciona cuando cada uno sabe qué debe vigilar y cuándo debe intervenir. Las prácticas internacionales del Comité de Basilea indican que, en casi todos los bancos, los controles internos y la auditoría interna son el instrumento principal para gestionar el riesgo operativo (Comité de Basilea). Para una pyme, esto no significa imitar a los bancos, sino adoptar una estructura clara y sostenible.
La primera línea está formada por quienes realizan el trabajo: compras, ventas, operaciones y TI. La segunda línea establece las normas, los controles y las prioridades, mientras que la tercera comprueba de forma independiente que el sistema funcione realmente. Si falta una de estas líneas, el riesgo se vuelve impredecible o incontrolado.
Una identificación eficaz requiere información cualitativa y cuantitativa para describir las áreas de riesgo operativo, de TIC y de seguridad, tal y como señala Intesa Sanpaolo en su documentación sobre riesgo operativo. Este aspecto es fundamental , ya que el control no se basa únicamente en políticas, sino en datos, auditorías e incidentes registrados.
Cada suceso debe dejar un rastro claro. Si una avería, un fraude o una desviación no se incluyen en un proceso de gestión de incidencias, la dirección pierde la memoria y los problemas vuelven a aparecer con otro nombre.
Un informe útil no es extenso, sino claro. Debe indicar qué ha ocurrido, qué control ha funcionado, cuál no y qué medidas quedan pendientes. Cuando el informe se convierte en un mero archivo decorativo, la gobernanza ya es más débil de lo que parece.
Regla práctica: el mejor control interno es aquel que da lugar a decisiones, no a documentos.
En una pyme, esta arquitectura puede seguir siendo sencilla. Basta con que las responsabilidades estén bien definidas, que haya una periodicidad de revisión coherente y un flujo de escalado que lleve los problemas críticos ante quienes pueden tomar decisiones sin demoras.
Los indicadores clave de riesgo, o KRI, sirven para detectar un empeoramiento antes de que se convierta en un incidente. Su fuerza radica en la capacidad de transformar los acontecimientos operativos en señales fáciles de interpretar, de modo que el equipo no descubra el problema solo después de que se haya producido el daño. La cultura de la supervisión continua ya está presente en las prácticas y directrices internacionales citadas en el ámbito del riesgo operativo del BIS.
Un buen KRI no lo mide todo, sino que mide aquello que anticipa un fallo. En producción, puede ser el número de paradas no planificadas de la maquinaria; en ventas, la tasa de pedidos bloqueados; y en TI, el volumen de incidencias abiertas que superan el umbral establecido o el aumento de anomalías en los registros.
Una regla útil es seleccionar unos pocos indicadores, relacionados con un control o un riesgo concreto. Si un KRI nunca da lugar a una decisión, no es un indicador de riesgo, sino un dato más.
Para crear una vista clara, conviene separar los niveles de alarma. Verde para situaciones bajo control, amarillo para atención y rojo para intervención inmediata. Si necesitas una guía práctica sobre cómo utilizar los paneles de control estratégicos, piensa en una pantalla que muestre únicamente tendencias, umbrales y la acción requerida.
Un panel de control adecuado no sirve para impresionar a la dirección, sino para poner en marcha las medidas adecuadas lo antes posible.
Lo fundamental es la relación entre los datos y la responsabilidad. Un KRI sin responsable no pasa de ser un número, mientras que un KRI con umbral y responsable se convierte en una herramienta de gobernanza.
En una pyme, el problema no es detectar un riesgo una sola vez, sino identificarlo mientras se está desarrollando. Cuando los controles son manuales, la supervisión suele llegar tarde, ya que las señales débiles se pierden entre correos electrónicos, archivos, tickets e informes separados. La inteligencia artificial hace que la gestión del riesgo operativo sea más continua, ya que lee los datos de forma automática, coherente y siempre actualizada.
La IA destaca especialmenteen la detección de anomalías, ya que reconoce comportamientos fuera de lo habitual antes de que se hagan evidentes en los informes mensuales. Un flujo de transacciones que se desvía de lo normal, una avería que vuelve a aparecer o un ticket que crece de forma anómala son señales que una plataforma puede detectar sin tener que esperar a la siguiente comprobación.
Con el análisis predictivo, el sistema no se limita a señalar el problema, sino que intenta preverlo antes de que se produzca. Esto resulta útil en procesos técnicos y flujos de alta frecuencia, donde el retraso en la intervención tiene más peso que el error inicial. Para quienes necesitan optimizar los flujos de trabajo con IA, la clave no es solo automatizar un paso, sino vincular el control al flujo operativo que lo genera.
Las directrices sobre la gestión continua de los riesgos operativos hacen hincapié precisamente en la necesidad de supervisar y actualizar los perfiles de riesgo y los indicadores clave, pero, en la práctica, muchas pymes tienen dificultades para convertir estos principios en un proceso realmente viable según las normas BIS. Aquí es donde la IA llena ese vacío, ya que vincula los datos con las alertas y estas con las acciones.
La diferencia práctica se aprecia en los casos repetitivos, aquellos que consumen tiempo y dejan sin supervisar los controles realmente sensibles. Si el sistema reconoce un patrón, puede generar una alerta, asignársela al responsable adecuado e iniciar la verificación sin esperar a que se realice una intervención manual.
La IA no sustituye el criterio del directivo. Le permite actuar con mayor rapidez, estar mejor informado y depender menos del azar. Para una pyme, esto supone dedicar menos tiempo a buscar el problema y más tiempo a resolverlo.
Una pyme puede crear un sistema sólido sin necesidad de poner en marcha un proyecto de gran envergadura. La clave está en trabajar por fases, con pasos claros, verificables y vinculados a un resultado concreto. En la práctica, el proceso debe conducir desde el principio a un mapa de riesgos, a responsabilidades bien definidas y a decisiones más rápidas. Este enfoque es coherente con las metodologías italianas que combinan la identificación, la evaluación, los controles, el seguimiento y el plan de acción 4AIM.
En primer lugar, hay que entender dónde surge realmente el riesgo. Haz un mapa de los procesos, las personas, los sistemas y las dependencias externas; a continuación, identifica los puntos en los que un error, un retraso o un bloqueo operativo tendría efectos inmediatos sobre el servicio o los costes.
En este punto, recopila la información procedente de las operaciones diarias. Los incidentes, los conatos de accidente, las auditorías, las reclamaciones y las anomalías operativas ayudan a distinguir los problemas puntuales de los riesgos recurrentes, aquellos que merecen una supervisión constante y un responsable concreto.
No todos los riesgos requieren el mismo nivel de atención. Utiliza una matriz de probabilidad e impacto para distinguir entre lo que es tolerable y lo que debe abordarse de inmediato; a continuación, clasifica los riesgos por orden de prioridad en función del daño posible y de la frecuencia con la que el problema puede repetirse.
Aquí es donde se comprueba si el sistema de control funciona realmente. Se verifica si los controles existen, si funcionan según lo previsto y si cubren el riesgo que deberían reducir. Si falta un control, o si el control existe pero no se utiliza correctamente, la brecha debe identificarse y asignarse con claridad, sin dejar lugar a ambigüedades entre el departamento operativo y la función de control.
La fase final sirve para que el proceso se mantenga vivo a lo largo del tiempo. Define los KRI, los umbrales, la frecuencia de revisión y las responsabilidades de escalado; a continuación, utiliza estos elementos para crear un sistema de seguimiento que no se limite a una única verificación, sino que acompañe la evolución del riesgo residual.
La lógica del riesgo residual es sencilla. No solo cuenta el riesgo inicial, sino lo que queda tras aplicar las medidas de control. Cuando un riesgo sigue siendo demasiado elevado, no sirve de nada debatirlo sin fin; hay que asignar una responsabilidad y un plazo. De este modo, la gestión del riesgo operativo se convierte en un ciclo de aprendizaje, no en un trámite burocrático.
Si una pyme quiere dar un salto cualitativo, la IA puede ayudarla en cada fase, desde la recopilación de datos hasta el control continuo de las alertas. Un sistema bien configurado puede detectar patrones repetitivos, señalar anomalías, actualizar los paneles de control y elaborar informes operativos sin depender del trabajo manual. La ventaja no es solo la rapidez, sino también la coherencia: el equipo detecta primero los problemas que realmente importan y puede intervenir con mayor eficacia.
.svg)
.svg)
.svg)
