Administración del riego. Preguntas clave, acciones correctas

Administración del riego. Preguntas clave, acciones correctas
Richard J. Anderson y Mark L. Frigo*
El consejo de directores debe fijarse más que nunca en la administración del riesgo para sus
tareas de supervisión corporativa. Puede ayudar hacer las preguntas correctas.
El mundo es cada vez más complejo y acelerado, y los sucesos de riesgo son más importantes
y ocurren con más frecuencia y con mayor impacto. Según el artículo “The gods strike back”
(Venganza de los dioses) en The Economist de febrero de 2010, “Resulta que en los mercados
financieros los ‘cisnes negros’, o eventos extremos, suceden mucho más seguido de lo que
sugieren los modelos tradicionales de probabilidades.” Esto hace que las organizaciones y sus
consejos de directores centren mayor atención en la administración del riesgo.
Otro factor ha sido el deseo de diversas partes interesadas, como reguladores, inversionistas
institucionales, y agencias calificadoras de que haya una mayor transparencia en los procesos
del riesgo. Por ejemplo, la Comisión de Valores (SEC) requiere ahora que los declarantes
describan la función del consejo de directores en la supervisión del riesgo. En apoyo de esta
revelación, la SEC aclara: “Nos persuadieron los comentarios que anotaban que la supervisión
del riesgo es competencia clave del consejo y que la revelación adicional mejoraría la
comprensión de inversionistas y accionistas sobre la función del consejo en las prácticas de
administración del riesgo en la organización.”
Poder descargar esta responsabilidad de supervisión de la administración del riesgo es una
tarea difícil para algunos consejos, particularmente los de compañías no financieras.
Reconocen que la administración ya maneja los riesgos, pero determinar las necesidades de
capacidades, transparencia e información adicional en el proceso puede ser una intimidante
tarea. El reporte, “Supervisión efectiva del riego en las empresas: la función del consejo de
directores”, publicado en 2009 por la Comisión Treadway (COSO), observa: “El reto a que se
enfrentan los consejos es cómo supervisar de manera efectiva la administración del riesgo por
la organización en toda la empresa en una forma que equilibre el manejo de los riesgos junto
con la creación de valor para la organización.” La clave para la administración es ayudar al
consejo a añadir valor estratégico no solo procesos e información.
Para ayudar a los consejos a enfrentar este reto, hemos resumido 10 preguntas clave que
deberán hacer los directores (y que deben estar listos a responder los equipos de
administración). Se basan en nuestra interacción con directores y ejecutivos en conferencias
sobre administración del riesgo y en nuestros foros del Laboratorio de Administración
Estratégica del Riesgo, en DePaul University.
Preguntas Importantes
1 ¿Cuáles son los riesgos principales a que se enfrenta la organización que pudieran deteriorar
en forma importante su capacidad para lograr sus objetivos de negocios?
El consejo debiera conocer los riesgos claves que la administración cree que pudieran afectar
su capacidad de lograr sus objetivos de negocios. También, dada la naturaleza dinámica del
riesgo, el consejo debiera recibir periódicamente actualizaciones sobre estos riesgos. El foco
debiera centrarse en una lista concisa de los principales riesgos estratégicos (como una lista
de “los top ten”-los mejores diez). Hemos descubierto que para los consejos es una gran
ayuda recibir una lista concisa y un análisis de los principales riesgos o los más estratégicos a
que se enfrenta la organización. Deberán tener precaución de no manejar inicialmente
información demasiado grande y compleja sobre riesgos. Por ejemplo, una organización se
enfrenta de hecho a muchos riesgos, pero una lista de 30, 40, o 50 riesgos abrumará al
consejo y no permitirá centrarse en los riesgos claves. De igual modo, mientras que una
organización puede tener como finalidad cuantificar ciertos riesgos, intentar una compleja
cuantificación de los riesgos al inicio de proceso de riesgos puede, una vez más, abrumar al
consejo. En vez de eso, el consejo debiera centrarse en una lista concisa de los riesgos
estratégicos principales o claves que pudieran deteriorar la capacidad de la organización de
implementar su estrategia y de lograr sus objetivos de negocios. Debiera también preguntar
cómo está monitoreando la administración estos riesgos y los correspondientes planes de
acciones. En otras palabras, el consejo debiera comenzar por entender los objetivos claves de
negocios de la organización y los riesgos relacionados con esas estrategias. Esta es un área
donde sería útil una evaluación de los riesgos estratégicos.
2 ¿Cuáles son los procesos y capacidades de administración del riesgo en la organización, y
cómo sabemos que son efectivos?
El consejo debiera entender los procesos y capacidades generales de administración del riesgo
de la organización. Además, debido a que las prácticas de administración del riesgo siguen
evolucionando en general, el consejo debiera también entender qué está haciendo la
administración para enriquecer estos procesos y capacidades dentro de la organización. Por
ejemplo, ¿hay una estrategia y un plan para enriquecer la administración del riesgo? El
consejo puede también preguntar a la administración cómo sabe que estos procesos están
operando y son efectivos en toda la organización. Un área final de investigación puede ser
considerar la parte positiva del riesgo, específicamente, cómo se piensa mejorar la
administración del riesgo para hacerlo una fuente de ventaja competitiva y de capacidad de
recuperación. Una vez más, aunque reconozca que la administración ya está administrando los
riesgos, el consejo debiera asegurarse de que hay suficiente transparencia como para ver y
entender estos procesos y cómo pueden mejorarse.
3 ¿Cómo se integra la administración del riesgo dentro del encuadre de la estrategia,
planeación de las unidades de negocios, y toma de decisiones?
Una responsabilidad clave del consejo es la fijación de estrategias, y este proceso debiera
implicar el entendimiento y análisis detallado de los riesgos relacionados. En sus Principios
Clave Convenidos para Fortalecer el Gobierno Corporativo de las Compañías Públicas, la
Asociación Nacional de Directores Corporativos (NACD) anota: “El desempeño de la
administración, la estrategia corporativa y la administración del riesgo son los fundamentos
básicos de la capacidad de la organización para crear valor a largo plazo”. Consecuentemente,
los consejos debieran asegurarse de que los procesos de administración del riesgo de una
organización incluyan la fijación de estrategias y su flujo hacia los procesos de planeación de
las unidades de negocios y la toma de decisiones. Los consejos necesitan también entender los
flujos de información relacionada y cómo se incluyen los procesos y la medición de los riesgos
cuando la organización evalúa su desempeño general.
4 ¿Quién dentro de la administración es responsable de la administración del riesgo?, y ¿hay
claridad y rendición de cuentas de esta función y responsabilidades?
Los directores debieran preguntar qué ejecutivo es responsable del programa general de
administración del riesgo. Igual que con cualquier otro proceso, se necesita la rendición de
cuentas para que estos procesos sean efectivos. Aunque algunas organizaciones han creado la
función de director de riesgos (CRO, chief risk officer), dicha función puede necesitarse o no.
En otras organizaciones, esta responsabilidad puede tenerla un ejecutivo como el director de
finanzas (CFO). Cada vez más se requiere que los CFO tengan un papel más activo en la
planeación estratégica (ver “Qué quieren los CFO”, en The Wall Street Journal, 27 de junio de
2011) a la vez que administran la incertidumbre, lo que los coloca en una intersección ideal
para impulsar mejoras en la administración del riesgo. El consejo debiera también saber si se
han definido otras funciones y responsabilidades, por ejemplo, que haya titulares del riesgo
para ciertos riesgos importantes. Finalmente, junto con la rendición de cuentas, el consejo
debiera también averiguar si se han asignado los recursos apropiados para soportar los
procesos de administración del riesgo.
5 ¿Entendemos y estamos de acuerdo con el apetito de riesgo y tolerancias al riesgo de la
administración?
Debiera haber un diálogo claro entre el consejo y la administración sobre el apetito de riesgo y
la tolerancia al riesgo de la organización. Nuestra experiencia es que el concepto de apetito de
riesgo es difícil para muchos consejos. Sin embargo, es un tema básico entender cuánto riesgo
que está dispuesta a aceptar una organización a la vez que s esfuerza por lograr sus objetivos
de negocios. En un documento reciente de COSO (Comisión Treadway) sobre el apetito de
riesgo, “Entendimiento y comunicación del apetito de riesgo,” de enero de 2012, se anota
que, “Para realizar una supervisión apropiada, la administración y el consejo deben abordar
una pregunta fundamental: ¿Cuánto riesgo es aceptable para perseguir estos objetivos?” El
consejo debiera también saber cómo se comunican y alinean el apetito de y las tolerancias al
riesgo con los planes de las unidades de negocios, la toma de decisiones, y las operaciones. Si
la administración y el consejo deciden centrarse en esta área, sería muy recomendable que
revisaran el nuevo documento de análisis.
6 ¿Cuál es la cultura de riesgo de la organización, y cómo se refuerza?
El consejo debiera pedir a la administración que describa la “cultura de riesgo” de la
organización y cómo la comunican y refuerzan. La cultura de riesgo es un fundamento crítico
de la administración efectiva del riesgo. Es una de las dos áreas en que Standard & Poor’s
centra sus revisiones iniciales de las prácticas de administración del riesgo en compañías no
financieras. El consejo debiera preguntarse a sí mismo qué sabe de la cultura del riesgo de
toda la compañía y qué debieran hacer sus miembros para ayudar a fijar y reforzar la cultura
del riesgo apropiada.
Una pregunta de prueba que pueden hacerse los directores es: ¿Puede usted explicar en un
minuto la cultura del riesgo de la organización? Las organizaciones que emprenden
estrategias de crecimiento mediante fusiones y adquisiciones (M&A) deben poner atención a
cuál será el impacto de la integración de las compañías adquiridas en la cultura del riesgo y
qué se necesita hacer para asegurar que es sostenible la cultura del riesgo apropiada. Más
aún, las estrategias agresivas de crecimiento mediante M&A suelen crear nuevos riesgos que a
menudo son imprevistos en la mayoría de los procesos de debida diligencia.
7 ¿Cómo monitorea la administración los sucesos y tendencias externos para identificar
“riesgos emergentes”?
La administración debiera conducir un proceso continuo para identificar problemas
emergentes y establecer las actividades apropiadas de monitoreo.
La administración y los consejos tienen cada vez más conciencia de la naturaleza dinámica de
los riesgos y de la necesidad de revisiones y actualizaciones periódicas de los riesgos claves a
que se enfrenta la organización. En particular, los eventos recientes como la crisis de créditos
han concentrado más atención en la necesidad de monitorear el desarrollo de sucesos
externos que pudieran finalmente impactar a la organización. En consecuencia, el consejo
debiera recibir actualizaciones periódicas de los puntos de vista de la administración sobre
problemas y riesgos emergentes. Debiera también tener la oportunidad de expresar sus
puntos de vista sobre los problemas emergentes. Además, el consejo debiera reconocer que
algunos riesgos emergentes no se reconocen sino hasta que suceden, así que tal vez deba
poner a prueba el plan de administración de crisis de la organización y averiguar cuán
preparada está la administración para manejar los sucesos de riesgo inesperados e
importantes.
8 ¿Cómo se alinean los planes de compensación e incentivos con el apetito de y las tolerancias
al riesgo de la organización?
El consejo debiera entender en qué forma explícita se han considerado el riesgo y el apetito de
riesgo de la organización para los principales planes de compensación. Los posibles impactos
de riesgos relacionados con políticas y planes de compensación son otro aspecto del riesgo
donde la SEC ha extendido sus requisitos de revelación en reportes. Deberá haber
instrucciones claras del consejo a su comité de compensaciones para asegurar que esta
relación se considere en forma apropiada al revisar y aprobar las políticas y planes de
compensación.
En particular, el consejo debiera asegurarse de que hay alineación entre estos planes y las
estrategias de largo plazo de la organización. Por ejemplo, ¿hay incentivos de corto plazo,
como ventas, que no consideren los impactos de largo plazo, como recuperabilidad de las
cuentas por cobrar relacionadas? El consejo puede también desear considerar si hay o debiera
haber consecuencias (como cláusulas de reembolso) en los planes de compensación para
atender a situaciones en que sucedan eventos posteriores de riesgo o se excedan las
tolerancias al riesgo. Podrían incluir acciones tales como diferir alguna compensación de
incentivos hasta que haya pasado un tiempo apropiado para asegurar una perspectiva de
largo plazo.
9 ¿Se comunica la información del riesgo al consejo en forma adecuada, oportuna y precisa?
El consejo debiera hacer una revisión crítica de la información del riesgo que recibe para
determinar que es adecuada y efectiva. La información deberá ser clara, concisa, y no
demasiado técnica o voluminosa. Aunque reconoce que el consejo tiene que y debiera
depender de la administración para la información, la NACD previene que, ”…los directores no
pueden depender demasiado de la administración para determinar las prioridades y la
correspondiente agenda del consejo, y las necesidades de información.” El consejo debiera
también preguntarse cómo saber que la información del riesgo que está recibiendo es exacta
y completa. El consejo pudiera averiguar con el comité de auditoría cómo manejan los
auditores internos u otros en la organización la completud y exactitud de la información
relativa al riesgo. Los consejos podrían considerar la contratación de asesores independientes
para asesorar e instruir al consejo sobre estos temas.
10 ¿Estamos satisfechos y confiados con la información del riesgo suministrada a terceros
externos, incluyendo informes financieros y no financieros?
Al aumentar el interés de los terceros externos por la información financiera, el consejo
necesita estar a gusto con sus reportes externos de los riesgos y prácticas de administración
del riesgo de la administración, incluyendo la información financiera y la no financiera. El
consejo debiera también buscar la consistencia de la información del riesgo en todas las
revelaciones-por ejemplo, entre las revelaciones en la declaración y la información del riesgo
en el reporte 10K. También deberá asegurarse de que las actas de comités del consejo se
actualicen de forma apropiada para reflejar las actividades y responsabilidades relativas al
riesgo y administración del riesgo al evolucionar dichos procesos en la organización.
Centrarse en resultados
Un punto final que deben tomar en cuenta los directores al considerar los tópicos señalados
en las preguntas: El objetivo de los procesos de administración del riesgo de una
administración es tener acciones que ayuden a la organización a proteger y enriquecer el valor
para el accionista. Aunque es importante tener procesos efectivos de administración del
riesgo, los directores deberán centrarse en resultados de estos procesos y entender el
impacto y las acciones resultantes. Son los resultados de los procesos de administración del
riesgo los que son críticos, no solo los procesos en sí.
Las preguntas que hemos presentado se proponen como recordatorios útiles de tópicos de
administración del riesgo que deberán considerar los consejos y que los equipos de
administración deberán prepararse a responder. Aunque no pretenden ser una lista
exhaustiva, dan a los directores un buen punto de arranque para considerar su supervisión de
las actividades de administración del riesgo por parte de la administración. El consejo tal vez
deba considerar estas preguntas al planear sus agendas de modo que pueda identificar áreas
específicas para análisis más profundos, educación, o presentaciones de la administración.
Hacer las preguntas correctas es el primer paso hacia una mejoría de la administración del
riesgo y del gobierno corporativo.
*Richard J. Anderson es profesor clínico del Centro de Estrategia, Ejecución y Valuación y del
Laboratorio de Administración Estratégica del Riesgo en DePaul University.
*Mark L. Frigo es director del mismo centro.
Traducido por Jorge Suárez, del artículo publicado en la edición de Strategic Finance, abril
2012, pp. 17-20, a solicitud del CCPM.
El Colegio de Contadores Públicos de México se reserva la reproducción total o parcial de
este material.
El contenido de los artículos firmados es responsabilidad del autor, sin que este
necesariamente refleje la opinión del Colegio sobre el tema tratado. Cuando se exprese
opinión del Colegio se especificará claramente.