KRI o indicadores clave de riesgo: qué son, cómo elegirlos y cómo fijar umbrales

¿Qué es un KRI?

Un KRI es una señal de alerta temprana. Mientras la matriz te dice cuán grande es un riesgo y la base de eventos te dice qué ya salió mal, el KRI te dice hacia dónde va el riesgo ahora.

Un ejemplo ilustrativo: si uno de tus riesgos es «fraude por suplantación en la apertura de cuentas», un KRI podría ser la cantidad de solicitudes rechazadas por inconsistencias de identidad cada semana. Si sube, algo está cambiando, aunque todavía no haya un fraude registrado.

¿En qué se diferencia un KRI de un KPI?

• El KPI mide desempeño: si estás logrando un objetivo, como clientes nuevos o tiempo de respuesta.
• El KRI mide exposición al riesgo: si aumenta la probabilidad o el impacto de que algo salga mal.

A veces la misma métrica sirve para ambos. Lo que cambia es la pregunta que responde y quién actúa cuando se mueve.

¿Cómo elegir buenos KRI?

1. Parte de la matriz de riesgos

No elijas indicadores porque los datos ya existen. Elige primero los riesgos residuales más altos o los más sensibles de tu matriz de riesgos y controles y pregúntate qué podría anticipar que ese riesgo se va a materializar.

2. Mide la causa, no solo el efecto

Un indicador como «pérdidas del mes» llega tarde: el daño ya ocurrió. Busca métricas sobre la causa: rotación de personal en un área crítica, controles no ejecutados, vulnerabilidades sin corregir, proveedores críticos sin plan alternativo.

3. Revisa tu base de eventos

Los eventos que ya ocurrieron muestran dónde fallan los procesos. Si un tipo de evento se repite, busca un indicador que lo anticipe. Lo explicamos en qué es un evento de riesgo operacional y cómo registrarlo bien.

4. Asegúrate de que se pueda medir

Un buen KRI tiene una fuente de datos confiable, una fórmula clara, una frecuencia de medición y un responsable. Si nadie puede calcularlo cada mes, no sirve.

5. Pocos y buenos

Es mejor tener pocos indicadores que se revisan y generan decisiones que una lista larga que nadie mira.

¿Qué ejemplos de KRI de riesgo operacional sirven?

Estos ejemplos son ilustrativos y genéricos. Adáptalos a tus procesos y a lo que pida tu norma:

Algunas normas ya piden indicadores parecidos. En Perú, por ejemplo, la Res. SMV 027-2016 establece 8 reportes de indicadores en su Anexo III, que incluyen datos como el número de vulnerabilidades altas y críticas identificadas y corregidas, o el número de proveedores principales con plan de continuidad o con proveedor alternativo. Si tu norma pide reportar un dato con frecuencia, conviene que también sea un KRI interno.

¿Cómo fijar los umbrales de un KRI?

Los umbrales convierten un número en una decisión. Lo habitual es usar tres zonas:

Para fijar los valores de cada zona:

1. Parte del apetito por el riesgo que aprobó el directorio. Los umbrales lo bajan a la operación.
2. Mira la historia del indicador. Si tienes datos de varios períodos, úsalos para saber qué es normal y qué es una desviación.
3. Conecta con el impacto. Pregunta en qué valor del indicador el riesgo pasaría a otra categoría de tu matriz.
4. Define la acción antes de que ocurra. Cada umbral necesita un responsable y una respuesta acordada.
5. Revisa los umbrales con una periodicidad fija. Si un KRI nunca sale del verde o vive en rojo, el umbral no está ayudando.

No hay umbrales universales: dependen del tamaño de la entidad, de su apetito y de sus procesos. Desconfía de las listas de umbrales «estándar».

¿Cómo documentar cada KRI? Una ficha plantilla

Una ficha ilustrativa para copiar y completar por cada indicador. Los valores son de ejemplo, no recomendaciones:

¿Qué errores son los más comunes con los KRI?

• Medir solo efectos, como las pérdidas del mes, que llegan tarde.
• Tener indicadores sin responsable ni acción definida.
• Copiar umbrales de otra entidad.
• No conectar el KRI con un riesgo concreto de la matriz.
• No revisar nunca si el indicador sigue siendo útil.