3.
Perfil de riesgo de la empresa analizada
La empresa objeto de análisis presenta un perfil de riesgo operativo con una exposición
moderada-alta...
Se identificaron 15 eventos de riesgo diferentes distribuidos en 5 áreas estratégicas, como
se observa en la matriz.
El 45% de los eventos tienen una probabilidad de ocurrencia alta y un impacto medio,
mientras que un 30% tienen alta probabilidad y alto impacto.
Esto revela que el control interno es insuficiente frente a riesgos como incumplimientos
normativos, errores humanos y fallas de tecnología.
Dentro de los riesgos más críticos destacan los relacionados con la gestión de la
información y los procesos administrativos.
La evaluación muestra que la empresa enfrenta un perfil de riesgo donde eventos
catastróficos, aunque poco probables, tendrían consecuencias financieras severas.
Por lo tanto, su perfil de riesgo exige acciones preventivas constantes y refuerzo de
políticas de control.
4. Breve descripción de los eventos de riesgo analizados
Los eventos de riesgo analizados incluyen fallas en el cumplimiento legal, errores en el
procesamiento de datos, sabotaje interno, entre otros.
Por ejemplo, el riesgo de incumplimiento legal representa el 25% del total de riesgos
detectados, con una probabilidad media-alta (70%) y un impacto económico estimado en
$50 millones COP anuales.
El riesgo de error humano representa el 20% de los casos, con una incidencia del 80% en
áreas administrativas.
Cada evento fue clasificado según su origen: humano, tecnológico, procesal y externo.
Se evidenció que la mayoría de los riesgos provienen de fallas internas (65%), lo que
resalta la necesidad de reforzar la capacitación y la supervisión.
Además, se detectó una dependencia significativa de la tecnología en procesos críticos,
aumentando la vulnerabilidad ante fallos de sistemas.
5. Matriz de riesgo inherente
La matriz de riesgo inherente muestra que el 50% de los riesgos evaluados tienen un
nivel de impacto "Alto" antes de implementar controles, 40% "Medio" y solo un 10%
"Bajo".
En términos de probabilidad, 60% de los eventos son de ocurrencia frecuente, indicando
una urgencia en implementar mitigaciones.
Los riesgos con mayor nivel de impacto incluyen: fallos tecnológicos críticos, errores
contables mayores y filtraciones de información confidencial.
El riesgo inherente total proyectado, de no actuar, es de aproximadamente $180 millones
COP anuales en pérdidas.
Este análisis evidencia que la empresa debe priorizar estrategias de control en procesos
sensibles para evitar daños financieros y reputacionales.
6. Breve descripción de los controles propuestos
Entre los controles sugeridos destacan:
- Implementar auditorías internas trimestrales para detectar desviaciones a tiempo.
- Fortalecer las capacitaciones al personal en temas de cumplimiento normativo y gestión
de procesos.
- Actualizar los sistemas de respaldo de información y aplicar medidas de ciberseguridad
robustas.
- Establecer un comité de riesgos que se reúna mensualmente para evaluar nuevos
eventos emergentes.
Cada control está dirigido a reducir específicamente la probabilidad o el impacto de los
riesgos más graves, como errores de procedimiento o ataques informáticos.
La efectividad de los controles propuestos reduciría el riesgo alto en al menos un 70%.
7. Matriz de riesgo residual
Tras implementar los controles propuestos, la matriz de riesgo residual muestra una
mejora considerable.
Los riesgos altos disminuyen de 50% a 15%, los riesgos medios aumentan de 40% a 65%
(porque los altos bajan de categoría) y los bajos suben de 10% a 20%.
Esto indica que aunque algunos riesgos persisten, su severidad se atenúa
significativamente.
Por ejemplo, el riesgo de error humano baja su probabilidad de 80% a 30% después de
capacitar y reforzar los procedimientos.
Así mismo, el impacto financiero esperado desciende de $180 millones COP a
aproximadamente $60 millones COP anuales.
La matriz residual evidencia el éxito parcial de los controles implementados, aunque
algunos eventos seguirán requiriendo supervisión permanente.
8. Matriz de impacto financiero
El impacto financiero estimado previo a controles era de $180 millones COP anuales en
pérdidas potenciales.
Con los controles propuestos, el nuevo impacto residual se calcula en $60 millones COP
anuales, es decir, una reducción del 66% del daño esperado.
El riesgo financiero más relevante, una falla tecnológica crítica, podría representar una
pérdida de $40 millones COP si no se actúa.
Con la implementación de respaldos automáticos y mejores prácticas de seguridad, este
riesgo se reduciría a pérdidas estimadas de $10 millones COP.
Además, la empresa pasaría de enfrentar 5 riesgos financieros críticos a solo 1 riesgo
crítico después de controles.
Estos datos refuerzan la necesidad de invertir en prevención y fortalecimiento de
controles.
9. Recomendaciones
Se recomienda, en primer lugar, reforzar el programa de capacitación continua para todos
los empleados, priorizando temas de riesgo operativo.
También es importante establecer un sistema de monitoreo continuo de los principales
indicadores de riesgo, como tasas de error administrativo y alertas de ciberseguridad.
Se sugiere implementar simulacros de crisis anualmente, para preparar a la organización
frente a eventos catastróficos.
Además, sería beneficioso externalizar auditorías de procesos críticos, para tener una
visión imparcial y detectar oportunidades de mejora.
Finalmente, se recomienda actualizar cada año la matriz de riesgos para reflejar cambios
internos o en el entorno.
La gestión activa de riesgos permitirá que la empresa no solo reduzca sus
vulnerabilidades, sino que también fortalezca su resiliencia y competitividad en el
mercado.
