Riesgo operacional: qué es y cómo se gestiona

¿Qué es el riesgo operacional?

Piensa en todo lo que puede salir mal en la operación diaria de una entidad, aunque no tenga que ver con el mercado ni con el crédito: un proceso mal diseñado, un error al digitar una transferencia, una caída del sistema de pagos, un fraude interno, una inundación en una sucursal. Eso es riesgo operacional.

Varios reguladores lo definen por escrito. En Perú, por ejemplo, el reglamento de gestión integral de riesgos de las cooperativas de ahorro y crédito lo define como «la posibilidad de pérdidas debido a procesos inadecuados, fallas del personal, de la tecnología de información, o eventos externos», e incluye el riesgo legal, pero excluye el estratégico y el de reputación (Res. SBS 13278-2009, numeral 4 e)).

Esa definición sirve como mapa para encontrar los riesgos: los procesos, las personas, la tecnología y los eventos externos son las cuatro fuentes donde casi siempre aparecen.

¿Riesgo operacional o riesgo operativo?

Es la misma disciplina con dos nombres, y cada regulador usa el suyo:

• Riesgo operacional: la CMF en Chile (por ejemplo, la RAN 21-8), la SMV y la SBS en Perú, la CNBV en México y la SFC en Colombia, con su Circular Básica Financiera.
• Riesgo operativo: la Supersolidaria en Colombia con el SARO, la SEPS en Ecuador con la SEPS 0116 y la CNSF en México con la CUSF 3.2.13.

Si buscas información, conviene usar el término de tu regulador: así encontrarás sus circulares y guías con más facilidad.

¿Qué tipos de riesgo operacional existen? Ejemplos

Una forma práctica de ordenarlos es por su fuente. Los ejemplos de esta tabla son ilustrativos y genéricos, no casos reales:

Cada regulador tiene además su propio catálogo para clasificar los eventos. La SFC exige la clasificación oficial de tipos, clases y líneas de negocio de la CBF, y la RAN 21-8 de la CMF clasifica las pérdidas según la Tabla 121 y la línea de negocio de Basilea. Revisa la guía de tu norma antes de definir tus categorías.

¿Cómo se gestiona el riesgo operacional?

La gestión es un ciclo que no termina. Marcos de buenas prácticas como ISO 31000 y COSO ERM proponen integrar la gestión de riesgos en toda la organización y revisarla y mejorarla en el tiempo, y los reguladores piden etapas parecidas: identificar, medir o evaluar, controlar y monitorear. En la práctica, se ve así:

1. Identificar. Recorre tus procesos y pregunta qué puede fallar, por qué y con qué consecuencia. Cada riesgo queda en un inventario.
2. Evaluar. Mide la probabilidad y el impacto de cada riesgo sin considerar los controles (riesgo inherente) y luego con ellos (riesgo residual). El resultado se ve en un mapa de calor.
3. Controlar. Asocia a cada riesgo los controles que lo mitigan y, si el residual sigue alto, define un plan de acción con responsable y fecha.
4. Monitorear. Sigue la evolución con indicadores clave de riesgo (KRI) y con el registro de eventos. Si un indicador cambia o aparece un evento, vuelves a evaluar.

Lo explicamos paso a paso en cómo armar una matriz de riesgos y controles desde cero.

¿Qué es la base de eventos de pérdida y por qué importa?

Es el registro de todo lo que efectivamente salió mal: cuándo ocurrió, cuándo se descubrió, cuánto costó, en qué proceso y por qué causa. Es la evidencia que confirma o corrige lo que dice la matriz.

Muchos reguladores la exigen. Por ejemplo, la SFC y la Supersolidaria piden registrar todos los eventos, incluso los que no generan pérdida, sin umbral mínimo. La RAN 21-8 tampoco fija un umbral mínimo de registro, y la SMV fija uno de S/ 3.000, aunque la entidad puede usar uno menor.

Los detalles están en qué es un evento de riesgo operacional y cómo registrarlo bien.

¿Qué exige cada regulador?

Este es un resumen de lo que piden las normas que ya explicamos en detalle. Cada fila enlaza a su guía, con fuente oficial, plazos y campos.

Ver todas las normativas →

Esta tabla es informativa y no reemplaza la lectura de la norma ni la asesoría legal.

¿Planilla o herramienta especializada: cuándo conviene cambiar?

Una planilla funciona bien al comienzo. El problema llega cuando la matriz crece, varias áreas reportan eventos, cada una guarda su propia versión y nadie sabe cuál es la vigente justo cuando el supervisor pide la evidencia.

Algunas señales de que llegó el momento de cambiar:

• Consolidar la matriz o la base de eventos te toma días.
• No puedes mostrar quién cambió una evaluación ni cuándo.
• Los planes de acción se siguen por correo y se olvidan.
• Cada norma nueva te obliga a rehacer la planilla.

Sea cual sea la herramienta, revisa que cumpla lo básico:

• Una sola versión vigente de la matriz y de la base de eventos.
• Historial de quién cambió qué y cuándo.
• Campos y catálogos ajustables a lo que pide tu norma.
• Seguimiento de los planes de acción con responsable y fecha.
• Evidencia adjunta a cada evento y a cada control.

Checklist: ¿tu gestión de riesgo operacional cubre lo básico?

Una lista ilustrativa y genérica para revisar dónde estás. No reemplaza lo que exige tu norma:

• Hay un inventario de riesgos por proceso, con responsable.
• Cada riesgo tiene evaluación inherente y residual con escalas escritas.
• Los controles clave están descritos y se prueban.
• Existe un canal para reportar eventos y un registro con fechas, causa y monto.
• Hay KRI para los riesgos más altos, con umbrales y responsable.
• Los planes de acción tienen responsable y fecha, y alguien los sigue.
• Sabes qué reportes y plazos te exige tu supervisor.