Apetito y capacidad de absorber

Son tres cosas distintas y se confunden con facilidad. La capacidad es lo máximo que la empresa puede perder sin poner en peligro su existencia o sus compromisos (por ejemplo, el límite de pérdidas que su contrato con el banco le permite). El apetito es lo que quiere arriesgar para cumplir sus objetivos, siempre por debajo de la capacidad. La tolerancia es la desviación que acepta alrededor de ese apetito antes de reaccionar.

NIST CSF 2.0 pide en GV.RM-02 que las declaraciones de apetito y tolerancia estén establecidas, comunicadas y mantenidas. Una declaración que supera la capacidad no es ambición: es una promesa que la empresa no puede sostener.

Cuenca Verde declaró un límite anual de pérdida por dominio de riesgo. Su política financiera impone una regla: la suma de los límites anuales no puede superar el límite de pérdida extraordinaria que permite su contrato con el banco. No todos los límites se agotan a la vez, pero la regla es prudente y es la que está escrita.

Las tablas de la consola tienen los límites y la capacidad. Haz la suma y compárala.

Un límite sirve cuando se compara con la pérdida esperada actual de cada dominio. Si la pérdida esperada de un frente ya está por encima de su límite anual, la empresa está viviendo fuera de su apetito aunque nadie haya sufrido todavía una pérdida: el riesgo ya supera lo que el consejo dijo que aceptaba.

Cuando un dominio supera su límite hay solo dos salidas honestas. Una: reducir el riesgo hasta volver a caber, con una decisión de recursos. Otra: subir el límite, pero eso lo decide quien aprobó el apetito, con la capacidad a la vista y por escrito, no el área de seguridad para que el informe se vea mejor. Lo que no es honesto es dejar la cifra superada sin que nadie la decida: es riesgo aceptado por omisión.