COSO ERM: gobierno, estrategia, desempeño y revisión

COSO publicó en 2017 «Enterprise Risk Management: Integrating with Strategy and Performance». Su cambio principal frente a la edición de 2004 fue poner el riesgo dentro de la estrategia y del desempeño en lugar de tratarlo como una función aparte. El marco tiene cinco componentes y veinte principios:

• Gobierno y cultura: la supervisión del consejo, las estructuras, la cultura deseada.
• Estrategia y establecimiento de objetivos: el contexto del negocio, el apetito de riesgo, las alternativas de estrategia.
• Desempeño: identificar, evaluar, priorizar y responder a los riesgos, y verlos en conjunto, como cartera.
• Revisión y ajuste (Review and Revision en inglés): evaluar los cambios importantes, revisar el desempeño y mejorar.
• Información, comunicación y reporte: usar la información y comunicarla hacia dentro y hacia fuera.

Una forma barata de probar un programa es el cruce más simple: la lista de componentes contra la lista de documentos que dicen sostenerlos. No juzga la calidad; juzga si existe algo. Un componente sin un solo documento es un hueco, y un hueco en un marco que se dice completo es lo primero que ve un auditor.

La consola trae los cinco componentes con su número de principios y los seis documentos que entregó el Comité con el componente que cada uno dice respaldar.

El apetito de riesgo se declara en el componente de estrategia porque depende de ella: lo que una empresa está dispuesta a arriesgar cambia cuando cambia lo que quiere lograr. Un apetito aprobado antes de un cambio de estrategia y no revisado desde entonces ya no describe a la empresa que existe. El componente de revisión es justo el que atrapa ese desfase, y por eso es grave que falte.

Compara las fechas de aprobación y de última revisión de los documentos de estrategia con lo que dice el plan estratégico vigente.

En el componente de desempeño, COSO ERM 2017 describe cinco respuestas al riesgo: aceptar, evitar, perseguir, reducir y compartir. Compartir significa trasladar una parte del riesgo a otro, por ejemplo con un seguro o con un socio; no elimina el riesgo ni lo deja en cero, pero cambia quién carga con una parte del costo. Registrar «aceptar» cuando en realidad se contrató algo que comparte el riesgo es un error de registro con consecuencias: nadie revisará ese seguro como parte de la respuesta.

La matriz de respuestas tiene, junto a cada riesgo, una columna con lo que de hecho se hizo. Cruza una con otra.