La creciente relación entre la ‘gestión de riesgos’ y el

‘compliance’.

La conversación sobre la ‘gestión de los riesgos’ y el ‘compliance’ —anglicismo cada vez más común para el cumplimiento de prácticas, normas y leyes— no deja de crecer. Sin embargo, sigue siendo difícil todavía determinar cuál es la intersección real de ambas y onerosas tareas. En este reportaje, de la mano de tres expertas, analizamos cuáles son las claves de la identificación y gestión de las amenazas y el respeto de los marcos normativos, y cómo se pueden relacionar las contingencias de ambos cometidos —con ayuda de la tecnología y las nuevas herramientas— para ir por delante: ellas comparten con CyberLideria MGZN metodología, herramientas y casos de aplicación.  

Carmen Reina, Head of Data Culture de Orange

El mundo está cambiando. Y lo mismo ocurre respecto a la «gestión de riesgos» y al «compliance», sobre cuyas áreas la experta Carmen Reina explica a CyberLideria MGZN que cada vez más caminan hacia una consideración conjunta porque “realmente están interrelacionadas, con una interrelación creciente, además. Debido a la complejidad de las operaciones empresariales actuales, los riesgos no se limitan solo a lo financiero o estratégico, sino que también se extienden a riesgos regulatorios y reputacionales, y es fundamental controlarlos para que los clientes y socios confíen en la empresa.

Para ello, el cumplimiento normativo (compliance) ayuda a mitigar ciertos riesgos relacionados con el marco legal y ético, mientras que la gestión de riesgos ofrece un enfoque estructurado para identificar y gestionar los demás tipos de riesgos”.

En opinión de la directiva de la conocida empresa +Orange, “debemos tener una visión integral del riesgo en la empresa en lugar de ver el compliance solo como una caja que hay que marcar. A día de hoy, las empresas se están dando ya cuenta de que una integración de estas dos áreas permite identificar de forma más completa los riesgos potenciales y mejorar la capacidad de respuesta. Por ejemplo, el no cumplimiento de una norma puede tener impactos financieros o reputacionales, lo que une a ambas disciplinas, y esto además se acrecienta con el uso dentro de la empresa, de modelos de IA Generativa al tener que reflejar los potenciales riesgos y su mitigación dentro de Reglamento de IA ACT, que es ya obligatorio en Europa desde agosto de este año”.

LOS PASOS EN COMÚN (RIESGOS+COMPLIANCE)  

• “En primer lugar, debemos tener nuestros objetivos claros”, explica Reina. “Las empresas deben comenzar estableciendo objetivos claros y estratégicos, ya que estos marcan el camino para identificar y gestionar los riesgos. Sin una visión clara, es difícil alinear los esfuerzos, tanto de compliance como de gestión de riesgos.

• “El siguiente paso sería identificar los riesgos que podrían impedir el logro de esos objetivos”, añade. “Aquí se pueden utilizar métodos como análisis FODA (Fortalezas, Oportunidades, Debilidades y Amenazas), mapas de riesgos, o evaluaciones de impacto, entre otros”.

• “Y en tercer lugar, es importante considerar al compliance como una herramienta estratégica, ya que no solo define los límites, sino que también puede ser un habilitador de mejores prácticas empresariales. Al establecer un marco claro y cumplir con normativas, las empresas pueden evitar sanciones y, a su vez, construir confianza con los stakeholders y clientes. Además, esta visión ayuda a crear una cultura empresarial que reduce los riesgos inherentes”.

LA CLAVE DE LA CORRELACIÓN (CUANDO LLEGA LA IAG) 

¿Cuál podría ser realmente la clave para identificar riesgos? Para Reina, la clave está clara y es “la evaluación continua. No se trata solo de un ejercicio anual, sino de un proceso dinámico. Las empresas deben analizar tanto factores internos como externos, y considerar tanto riesgos conocidos como emergentes, de forma sistemática. Un ejemplo puede ser la adopción de nuevas tecnologías: si bien puede ser una oportunidad para mejorar la eficiencia, también introduce riesgos de seguridad de datos o cumplimiento normativo. Aún más claro es el uso de la IAG en la empresa. Desde el punto de vista de la gestión, la clave está en una respuesta proporcionada y flexible. Hay que recordar que no todos los riesgos requieren el mismo nivel de mitigación. La gestión debe ser priorizada en función de la probabilidad y el impacto de los riesgos, y debe contemplar medidas de mitigación, aceptación o transferencia del riesgo (como ocurre en los seguros)”.

En relación a la tecnología (y en concreto la IA) y esta conjunción, Reina añade que “el compliance, más allá de marcar lo que está prohibido, puede ser visto como un motor para la mejora continua. Al adherirse a las normativas, las empresas no solo evitan problemas, sino que pueden usarlo como una ventaja competitiva, destacándose como organizaciones éticas y transparentes”. Cita además un ejemplo palmario: “en el caso de los escándalos financieros de grandes corporaciones, aquellas que han sabido integrar compliance de manera estratégica han mejorado su reputación y ganado la confianza del mercado, lo que ha favorecido su crecimiento a largo plazo y la confianza de los clientes”.

“Ya hemos visto la necesidad de la identificación de los riesgos de la IA en las empresas”, explica la experta, “pero también hay que considerar los beneficios de su implantación, que son muchos. Por ejemplo, las herramientas de IA pueden analizar grandes volúmenes de datos para detectar anomalías, riesgos emergentes o posibles incumplimientos antes de que se conviertan en problemas graves. Es decir, usarse a sí misma para identificar potenciales riesgos, como, por ejemplo, los sistemas de IA mal diseñados pueden generar sesgos o incumplir regulaciones de privacidad y derechos humanos. Por eso, la adopción de IA debe estar acompañada de una fuerte gobernanza y supervisión”.

Para Carmen Reina, la visión correcta está en “ver el compliance no solamente como una imposición, sino como un facilitador del buen gobierno empresarial, y entender que la gestión de riesgos no versa solo sobre evitar problemas, sino sobre estar preparados para aprovechar oportunidades en un entorno incierto, con estrategia, ética y responsabilidad”.

Ana Buitrago, Consejera Independiente, PWC Senior Advisor

Para Ana Buitrago, una mujer con amplia experiencia y reconocimiento en el sector como Consejera, la relación que analizamos en este reportaje está un paso más allá, puesto que “el sistema de compliance de cualquier organización es el instrumento esencial de prevención de los riesgos y debe contemplar los mecanismos para gestionar adecuadamente los riesgos que se identifiquen en su aplicación”.

En este sentido, “es muy importante que la compañía se dote en primer lugar de unos valores legales y éticos en los que se base su sistema de compliance. Una vez identificados dichos valores, que integran la cultura corporativa, lo siguiente es que se cree un mapa de riesgos donde se identifiquen las posibles desviaciones respecto de dichos valores a los que está expuesta la empresa, para a continuación perfilar un sistema de compliance y gestión de riesgos adecuadamente adaptados a los valores empresariales, que no son sólo de índole legal sino también, como digo, éticos”.

FASES DIFERENCIADAS 

Respecto a la identificación de riesgos, la consejera señalaría “una primera fase (la de “mapeo de los riesgos”) que es clave a fin de tener los riesgos bien identificados. La elaboración del mapa de riesgos debe hacerse correctamente, involucrando a todos los departamentos de la compañía sin olvidar la necesidad de contar con asesores especializados”.

“Una vez clasificados correctamente”, continúa, “un sistema de gestión de riesgos bien fundado ha de integrar mecanismos eficaces de prevención y reacción a los riesgos – incluyendo organizaciones internas responsables y dotadas con recursos adecuados y procesos de prevención y reacción eficaces, ágiles y en contínua revisión y mejora—. Digamos que el sistema de compliance representa el conjunto de herramientas preventivas y reactivas, así como los órganos competentes para aplicar dichas herramientas, sin olvidar el papel de supervisión encomendado en último término al Consejo de Administración”, recuerda.

“Por confidencialidad no puedo entrar en detalle”, añade Buitrago, “pero sí que puedo traer a colación varias ocasiones en que, a raíz de la materialización de un problema concreto (casi anecdótico), hemos tirado del hilo y hemos identificado un posible riesgo que no estaba cubierto, por lo que la atención al detalle, a la anécdota, y el espíritu de mejora continuo son esenciales. Tanto la gestión de riesgos como el compliance deben ser instrumentos flexibles y sujetos continuamente a actualización”.

LAS NUEVAS HERRAMIENTAS

Para la Consejera, la IA, en particular la predictiva, “ofrece posibilidades para una gestión eficaz de los riesgos, ya que permite identificar tendencias y anticiparse a posibles contingencias. Ahora bien, con la IA generativa se abren nuevos riesgos que hasta ahora no habían sido tenidos en cuenta, desde la suplantación de personalidad como nueva forma de ciber delincuencia a las infracciones de la privacidad o de derechos de terceros (en particular los derechos de propiedad intelectual)”.

Por esta razón, concluye la experta, “es muy importante que las compañías tomen conciencias de estos riesgos nuevos, los aborden adecuadamente en sus códigos de conducta y políticas internas – que, de nuevo, habrá que actualizar continuamente– y se aseguren de que todos los empleados toman conciencia y están preparados, mediante formación y canales de comunicación adecuados o denuncias que permita comunicar posibles irregularidades dentro de la organización”.

Juana Fernández, Directora de soluciones de Datos e Inteligencia artificial de Microsoft, USA

Como relata Juana Fernández a CyberLideria MGZN, desde un congreso del gigante tecnológico en Seattle, “la Inteligencia Artificial puede ser una herramienta importante para el análisis de riesgos”. Para la directiva de Microsoft, las formas directas en las que la Inteligencia Artificial puede ayudar en esta conjunción son:

• Identificación de riesgos: La Inteligencia Artificial puede analizar grandes volúmenes de datos para identificar patrones y señalar posibles riesgos que podrían no ser evidentes.

• Análisis predictivo (común a ambos): Utilizando algoritmos avanzados y aprendizaje automático, la IA puede predecir riesgos futuros basándose en datos históricos y también haciendo uso de tendencias actuales.

• Monitoreo continuo (común a ambos): Los sistemas de Inteligencia Artificial pueden monitorear en tiempo real los proyectos, alertando sobre cualquier desviación o problema potencial antes de que se convierta en un riesgo significativo.

UN COPILOTO DE RIESGOS Y COMPLIANCE

Además, añade la directiva, “estas son solo algunas de las muchas maneras en las que la IA puede mejorar el análisis de riesgos. La Inteligencia Artificial Generativa, puede ser nuestro copiloto en temas de compliance. Nos va a acompañar y resolver nuestras dudas. También puede servirnos para crear políticas de cumplimiento a partir de un conjunto de directrices, ahorrando tiempo y reduciendo errores”.

Para Juana Fernández, el copilot será clave en la relación entre ambas tareas, la gestión de riesgos, y el cumplimiento de normas y procesos, puesto que ese ‘copiloto’ literalmente “nos va a dar recomendaciones en tiempo real sobre la mejor manera de cumplir las políticas establecidas y evitar errores mayores”, lo cual impacta sobre la idea de ‘continuidad’ tan frecuentemente comentada.

Tener en cuenta la diversidad, en su acepción más amplia, al desarrollar las herramientas de cada empresa, será de gran ayuda además. En sus palabras, “la diversidad en relación con la Inteligencia Artificial es vital y puede enriquecer enormemente las aplicaciones de riesgos y compliance. Incorporar diferentes perspectivas y experiencias en el desarrollo de sistemas de Inteligencia Artificial puede ayudar a identificar y mitigar errores, asegurando que las soluciones de cumplimiento sean justas y equitativas. La diversidad también fomenta la innovación, ya que equipos diversos tienden a pensar de manera más creativa y a abordar los problemas desde múltiples ángulos. En resumen, la diversidad no solo mejora la precisión y la equidad de las soluciones de Inteligencia Artificial, sino que también impulsa la innovación y la efectividad en ambas tareas relacionadas, riesgos y compliance”.