2.3 Proceso de Análisis de Riesgos
El proceso de análisis de riesgos se conforma por cinco pasos (Tricker, 2009, p. 335):
1) Reconocimiento del riesgo. Corresponde al proceso de identificación de siniestros que eventualmente podrían ocurrir dentro de los procesos de la organización.
Para facilitar la identificación de los riesgos se suelen realizar talleres internos y seminarios que permiten a los directivos identificar como grupo aquellas temáticas que afectan su gestión (Tricker, 2009, p. 337), se recomienda la realización de estos talleres por expertos externos, ya que entregan una visión independiente sobre los riesgos detectados y sus potenciales soluciones.
2) Valoración del riesgo. Implica la determinación de la gravedad del riesgo identificado para la empresa en caso de ocurrencia.
3) Evaluación del riesgo. Corresponderá al análisis pormenorizado de todos los aspectos propios del riesgo identificado.
Desde una perspectiva práctica, «…de cara a la exigencia de responsabilidades, resulta fundamental analizar cómo cada organización documenta su posición respecto de cada uno de esos riesgos, como parte del proceso de gestión de los mismos, contando siempre con el pertinente nivel de autorización» (Martínez Martínez & Sáez Nicolás, 2018).
4) Políticas de gestión del riesgo. Las políticas de gestión son directrices sancionadas por los órganos de la administración de la empresa para prevenir y minimizar la ocurrencia de los riesgos previamente identificados.
5) Monitoreo del riesgo. Finalmente, el monitoreo del riesgo implica el trabajo de control de cumplimiento de las políticas, como asimismo de su evaluación constante, la que será realizada por el oficial de cumplimiento de la organización.
Una vez que se encuentran claramente identificados los riesgos, la compañía deberá determinar cuáles de ellos deben ser abordados mediante la contratación de seguros, que permitan el traspaso del riesgo de la ocurrencia de un siniestro a un tercero, como es usual en materia de accidentes del trabajo o enfermedades profesionales, sin embargo, en otros casos, como colusión empresarial, abuso de información privilegiada, manipulación de precios de mercado, considerando el número de actores que tienen el poder para afectar a la compañía mediante su ejecución, versus el costo de un seguro que traspase las potenciales multas en dichos casos, sin siquiera considerar el hecho de que existiría objeto ilícito en el traspaso del riesgo de un delito, resultaría más aconsejable proponer en los procedimientos de compliance mejores mecanismos de control interno que desincentiven la ocurrencia de dichas conductas.
Así, siguiendo a Martínez & Sáez, «Si no hay manera de evitar los riesgos y si éstos no se pueden transferir, no queda otra que establecer actividades de control que, entre las muchas clasificaciones existentes, se pueden dividir entre ‘preventivas’ (diseñadas para evitar que se produzca la conducta o el hecho prohibido) y ‘detectivas’ (diseñadas para actuar a posteriori, una vez que ha fallado el control preventivo y se considera que se está a tiempo de aplicar algún tipo de corrección)» (Martínez Martínez & Sáez Nicolás, 2018).
Con todo, es necesario considerar que el trabajo de la creación de la matriz de riesgos corresponde a un desafío constante, ya que «…el mapa de riesgos debe ser un documento vivo, está constituido por una relación de los delitos que resultan imputables a las personas jurídicas, si hablamos de un mapa de riesgos penales, o por una relación de las infracciones que se pueden cometer en cada una de las actividades, si diseñamos un compliance general» (Carrau Criado, 2016).
Es necesario considerar, para la determinación de los controles internos y/o externos que resulten adecuados para la organización, la forma en que tradicionalmente la empresa ha definido criterios para la toma de estas decisiones como asimismo «…los recursos disponibles y la proporcionalidad entre el impacto que se quiere evitar y el coste de establecerlos» (Martínez Martínez & Sáez Nicolás, 2018). Ya que esta es una decisión que no se encuentra libre de costos económicos, debiendo el asesor tener en consideración que su implementación no puede subir en forma desproporcionada los costos operacionales de la organización, en caso contrario los procedimientos propuestos se convertirán en letra muerta a poco andar.
En la misma línea de argumentación, para Carrau: «Una adecuada gestión del riesgo exige que, con periodicidad, a determinar según cada persona jurídica, se realice un análisis de los riesgos a los que ha estado expuesta la empresa en función del mapa de riesgos que se haya diseñado y también un análisis de la posible presencia de nuevos riesgos no puestos de manifiesto con anterioridad en el mapa de riesgos. Esta tarea, que debe ser realizada por el Oficial de Cumplimiento, servirá tanto para preparar los informes de gestión de riesgos de cumplimiento a presentar a los órganos de Administración, como para poder actualizar mapas y manuales. Se trata por tanto de un informe escrito en el que se pormenoriza cada uno de los riesgos que se detallaron en el manual inicial; se refiere a las ocasiones en las que efectivamente se ha presentado el riesgo, si así hubiese sucedido, y se mencionan nuevos riesgos que se hayan detectado» (Carrau Criado, 2016). Es por ello que el análisis de los riesgos es un proceso en constante actualización, no solo porque los riesgos que se han detectado al inicio van modificándose, sino que también por la constante creación de nuevos riesgos que surgen con la misma velocidad con que el mundo empresarial va avanzando de la mano de los cambios tecnológicos y sociales. Ahora bien, esta actualización constante supone inversión de tiempo y horas de trabajo, pero que ejecutadas de acuerdo a un procedimiento eficiente no debieran suponer altos costos a la hora de su realización.