5 ERRORES DE GESTIÓN DE RIESGOS Y FORMAS DE ABORDARLOS

Estándar

29 de marzo de 2018

por Lori Sexton, CPA, CGMA, Gerente Técnico Senior – Contabilidad Gerencial, Asociación de Contadores Profesionales Certificados Internacionales

Los tableros lo quieren. La administración lo necesita Pero la mayoría de las organizaciones aún no cuenta con un proceso completo de gestión de riesgos empresariales (ERM), de acuerdo con una encuesta reciente de más de 400 CFO y líderes financieros.

La mayoría de los líderes financieros están de acuerdo en que el volumen y la complejidad de los riesgos está aumentando ampliamente. De hecho, el 65% de los encuestados por el Instituto Estadounidense de CPA (AICPA) en asociación con la Iniciativa ERM de la Universidad Estatal de Carolina del Norte dijeron que recientemente experimentaron una sorpresa operacional por un riesgo que no anticiparon.

Aunque los cálculos de riesgo / recompensa existen y son bastante simples, ERM no es tan fácil. El proceso de ERM comienza con la identificación y evaluación. Esto incluye algunos pronósticos y evaluaciones de todos los tipos de riesgos, que incluyen la probabilidad de que ocurra el riesgo y el impacto potencial. ERM analiza las mitigaciones a la luz de la incertidumbre del mercado, la estrategia de su organización, las expectativas de las partes interesadas y muchos otros factores internos y externos.

Tan complicado como es, un programa exitoso de ERM es completamente alcanzable. Los contadores gerenciales están en una posición única para liderar este esfuerzo debido a su experiencia en evaluación de riesgos, estrategia comercial, comunicaciones y alianzas comerciales.

Después de más de dos décadas de experiencia como contador de gestión y profesional de gestión de riesgos, he visto cinco errores comunes que las organizaciones cometen, así como formas de crear un proceso de ERM exitoso:

1. Intentando crear su propio marco de gestión de riesgos. Sí, ERM es complicado, así que no temas ver lo que otros han hecho. Existen grandes marcos y herramientas disponibles para abordar el riesgo. El Comité de Organizaciones Patrocinadoras de la Comisión Treadway (COSO) ) El marco de ERM es uno de los más populares y es utilizado por organizaciones de todo el mundo. El AICPA también publicó recientemente este marco para ayudar a las organizaciones a comunicarse sobre la efectividad de sus programas de gestión de riesgos de ciberseguridad.
2. No aprovechar la experiencia de su departamento de TI . Visualice TI como un socio, en lugar de un grupo operativo. Aunque los departamentos de TI generalmente no están situados para liderar los esfuerzos de ERM, deberían estar involucrados en el proceso. TI puede proporcionar indicadores clave para su análisis de riesgos, ayudar a explotar los datos y ayudar en el análisis FODA (fortalezas, debilidades, oportunidades y amenazas).
3. Mistaking list management for risk management. Although you’ve got to identify risks to manage them, this is the start rather than the end of risk management. A key role of ERM — one that less than 20% of organizations reported doing successfully — is using the risk management process to your organization’s strategic advantage. Sometimes ERM gets mired in excessive detail. Senior management and boards should aim to focus on a maximum of 20 risks at a time. ERM can roll up subsets of risks and corresponding mitigations into the key ones that relate directly to strategic plans and objectives. Risks change constantly and need to be continually reevaluated. Check out these CGMA tools, including heat maps and a cybersecurity tool, which can help.
4. No estableciendo las expectativas correctas. ERM no es una ciencia perfecta. Siempre habrá algo desconocido: un pronóstico que no funciona como se espera o un factor atenuante no considerado. Un mensaje clave para comunicar a las juntas es que el proceso de planificación de ERM no debe juzgarse únicamente por su precisión. El proceso de ERM reduce el número y el costo de sorpresas y aumenta la velocidad y la eficacia de la mitigación de eventos inesperados.
5. Confundir la gestión de riesgos para el trabajo de auditoría interna . Los contadores administrativos entienden la necesidad de la independencia de la auditoría. La administración de riesgos es propiedad de la junta, los ejecutivos, la administración y los empleados. La auditoría interna puede proporcionar supervisión e información. Sin embargo, colocar la responsabilidad de ERM dentro de la auditoría interna introduce un riesgo inaceptable.

Independientemente de si tiene responsabilidades formales de ERM o apoya la iniciativa de ERM en su organización, es importante estar al tanto de los  desarrollos  en el campo de la gestión de riesgos y compartirlos en su organización. La  Asociación de Contadores Profesionales Certificados Internacionales , la voz unificada de AICPA y el Instituto Colegiado de Contadores Administrativos (CIMA), tiene recursos para ayudarlo en este viaje.