Artículo por: Otto Acuna N. MBA, CMC, CSSBB 🇨🇷 🇪🇪 – Originalmente publicado en LinkedIn el 27 de Marzo, 2025.
Los bancos e instituciones financieras de Centroamérica, especialmente en Costa Rica, enfrentan el desafío de gestionar riesgos operativos en entornos altamente regulados sin ahogarse en burocracia. Recientemente, la Superintendente General de Entidades Financieras de Costa Rica, Hazel Valverde, advirtió que “se ha emitido demasiada [normativa] en los últimos años” impulsada por compromisos con la OCDE y el FMI, y abogó por evaluar la efectividad de lo existente antes que seguir sumando controles. En este contexto, ISO 31000 se presenta como un marco de referencia ágil y adaptable para la gestión de riesgos operativos, capaz de satisfacer las exigencias regulatorias de forma eficiente y adecuada para instituciones de tamaño mediano.
ISO 31000 vs COSO: Adaptabilidad y menor burocracia
Tanto ISO 31000 como el marco COSO ERM son ampliamente utilizados en gestión de riesgos, pero existen diferencias clave en su enfoque y aplicación:
- Flexibilidad y enfoque basado en principios: ISO 31000 es un estándar relativamente conciso, flexible y centrado en unos pocos principios fundamentales
- Menor carga burocrática: La asertividad de ISO 31000 facilitan su aplicación sin generar exceso de documentación. Al enfocarse en lo esencial (identificar, evaluar, tratar y monitorear riesgos), evita la proliferación de informes y controles innecesarios. Asimismo, su cercanía con el Ciclo de Deming como mecanismo para abordar los riesgos encontrados (PDCA por sus siglas en inglés) ayudan a alinear la gestión del riesgo con el mejoramiento continuo. Por el contrario, implementar COSO a cabalidad puede ser más pesado en términos de políticas, matrices y reportes, algo que consume recursos y tiempo. De hecho, expertos señalan que COSO, aun con su utilidad conceptual, “no es un marco de riesgos listo para usar” dada su extensión y detalle.
- Eficacia en entornos regulados: En contextos supervisados estrictamente (como la banca), ISO 31000 ofrece la ventaja de integrarse fácilmente con regulaciones existentes. Sus lineamientos son compatibles con marcos regulatorios como Basilea, permitiendo cumplir requerimientos (p. ej., en capital operativo o reportes de riesgo) sin duplicar estructuras. COSO, al ser originalmente concebido para control interno y luego ampliado a ERM, puede requerir mapeos adicionales para alinearse con categorías regulatorias, añadiendo complejidad. El enfoque basado en principios de ISO 31000 encaja mejor con la tendencia actual de reguladores de adoptar un enfoque proporcional y basado en riesgos, evitando recetas únicas para todos.
- Aplicabilidad en instituciones medianas: Muchas entidades financieras centroamericanas son de tamaño mediano o cooperativas; necesitan marcos robustos pero accesibles. ISO 31000, por su naturaleza adaptable, es escalable: un banco mediano puede implementar los mismos principios que un banco global, ajustando la profundidad según su realidad. COSO, aunque aplicable a cualquier empresa, suele verse adoptado por corporaciones más grandes con áreas especializadas de riesgo. La experiencia muestra que un marco ligero como ISO 31000 facilita la adopción de buenas prácticas sin requerir estructuras burocráticas pesadas, algo crítico para organizaciones con recursos limitados.
Contexto costarricense: Regulación inteligente y visión de SUGEF
En Costa Rica, el órgano supervisor (SUGEF) ha impulsado numerosas normativas en los últimos años para fortalecer el sistema financiero, en parte por adhesión a estándares internacionales. Entre 2022 y 2024 se introdujeron reformas alineadas con la OCDE y el FMI.
Sin embargo, la nueva Superintendente Hazel Valverde en su entrevista de inicio en el cargo con el Periódico El Financiero [https://shorturl.at/hg6z2] enfatiza que es momento de consolidar y simplificar, no de seguir añadiendo capas regulatorias. Su postura de “menos regulación, más evaluación” refleja la necesidad de que las instituciones financieras no se “ahoguen en controles”, sino que desarrollen mecanismos ágiles y eficaces de gestión de riesgos operativos.
Valverde ha sugerido revisar y afinar las reglas existentes para asegurarse de que atienden el problema de fondo y no solo el síntoma. También aboga por procesos más expeditos y flexibles en la gestión de situaciones críticas, y por aprovechar la tecnología para tener información en tiempo real y detectar problemas con antelación.
En nuestra opinión, y desde la «trinchera» de EXYGE.COM , dado nuestro enfoque en ayudar a trabajar mejor, todo esto converge con las fortalezas de ISO 31000: un marco que prioriza integrar la gestión de riesgos en la toma de decisiones diaria, con énfasis en cultura organizacional y agilidad, en vez de tratar la gestión de riesgos como un ejercicio meramente cumplidor de requisitos.
Adoptar ISO 31000 como referente permitiría a los bancos costarricenses y de la región estandarizar su gestión del riesgo operativo de forma práctica, cumpliendo con SUGEF y demás reguladores pero evitando la sobrecarga documental. La norma guía a las instituciones a definir su contexto, apetito de riesgo y procesos de control interno de manera proporcional. Esto es especialmente relevante para entidades medianas: en lugar de implantar estructuras complejas, pueden demostrar a la Superintendencia que gestionan sus riesgos de manera efectiva mediante políticas y procesos alineados a ISO 31000, focalizados en prevenir pérdidas y asegurar la continuidad del negocio.
Impulso internacional hacia marcos flexibles y eficaces
La apuesta por marcos de gestión de riesgos más flexibles, basados en principios y proporcionales no es solo un tema local; es una tendencia internacional respaldada por organismos multilaterales:
- Fondo Monetario Internacional (FMI) y OCDE: En sus evaluaciones y lineamientos, han promovido que tanto supervisores como instituciones adopten enfoques de gestión de riesgos más dinámicos. Por ejemplo, las actualizaciones recientes a principios básicos de supervisión bancaria abogan explícitamente por enfoques basados en principios para la supervisión y la gestión de riesgos en los bancos
- Basilea y otros estándares financieros: El Comité de Basilea ha simplificado sus enfoques de riesgo operativo (eliminando métodos excesivamente complejos de cálculo de capital) y enfatiza que cada banco debe tener un marco integral de gestión de riesgos adecuado a su perfil. Esto se alinea con ISO 31000, que proporciona una estructura que cada institución puede personalizar. De hecho, los Principios para una Supervisión Efectiva de Basilea insisten en la necesidad de marcos de riesgo robustos pero también reconocen la heterogeneidad de los bancos, permitiendo que la implementación sea en un “basis… proportionate to [the bank’s] risk profile and systemic importance” (base proporcional al perfil de riesgo e importancia sistémica de cada banco)
- Otros organismos multilaterales: Entidades como el Banco Mundial, BID o reguladores regionales también han hecho eco de estas ideas en foros y guías. El énfasis está en evolucionar desde enfoques de “cumplir casillas” (checkbox compliance) hacia gestionar riesgos de manera efectiva. Por ejemplo, en temas emergentes como riesgo climático o ciberseguridad, se recomienda marcos ágiles que puedan incorporar rápidamente nuevos tipos de riesgo. ISO 31000, con sus actualizaciones periódicas y carácter genérico, ofrece esa versatilidad para integrar riesgos emergentes (sea riesgos ESG, tecnológicos, etc.) sin necesidad de reescribir todo el sistema.
En resumen, en nuestra opinión, adoptar ISO 31000 en la región no sería un salto al vacío, sino más bien alinearse con las mejores prácticas internacionales actuales. Los reguladores seguirán exigiendo rigor, pero valoran cada vez más que ese rigor venga de procesos bien integrados en la gestión, más que de pilas de manuales.
Transformación digital e IA: complementos al marco ISO 31000
Una gestión de riesgos moderna no puede prescindir de la tecnología. La transformación digital y herramientas como la inteligencia artificial (IA) se han convertido en aliados naturales de los marcos de riesgo, potenciando su eficacia. ISO 31000, al ser metodológicamente abierto, puede complementarse perfectamente con soluciones digitales para elevar la gestión del riesgo operativo a un nuevo nivel:
- Identificación inteligente de riesgos: La primera etapa del proceso ISO 31000 es identificar riesgos, y aquí la IA puede marcar la diferencia. Hoy es posible escudriñar grandes volúmenes de datos internos y externos (transacciones, registros operativos, noticias, redes sociales) para detectar señales tempranas de riesgo que al ojo humano podrían escaparse
- Análisis y monitoreo en tiempo real: Tradicionalmente, evaluar y monitorear riesgos era un ejercicio periódico (ej. informes mensuales). Con herramientas digitales, se vuelve continuo y en tiempo real. La IA puede modelar escenarios de riesgo complejos y predecir consecuencias potenciales con rapidez
- Tratamiento de riesgos optimizado: Una vez identificados y evaluados los riesgos, viene la acción. La IA también puede apoyar aquí sugiriendo tratamientos o controles óptimos basados en datos históricos y mejores prácticas. Imaginemos un sistema inteligente que, detectando un riesgo operativo recurrente, propone automáticamente medidas preventivas (por ejemplo, duplicar cierta validación en un proceso, o entrenamientos focalizados para el personal en un área problemática) comparando con soluciones que funcionaron en otras filiales o en la industria. Esto complementa la toma de decisiones de los gestores de riesgo, quienes siguen al mando, pero ahora con herramientas de apoyo poderosas.
- IA personalizada con datos internos: Es importante destacar que las ventajas vienen de la mano con alimentar estos algoritmos con los datos internos de la institución, respetando privacidad pero aprovechando al máximo la información propia. Un modelo de IA entrenado con los incidentes operativos históricos del banco, con sus transacciones y hasta con registros de auditoría interna, podrá personalizar la detección de riesgos a la realidad de esa entidad (no es una “IA genérica”, sino a la medida). Esto crea una especie de “inteligencia de riesgo” propia de cada institución, que funciona en sinergia con la estructura ISO 31000. En la práctica, la norma pide que se establezcan criterios y se vigile el entorno; la IA ayuda a hacerlo de manera más exhaustiva y rápida de lo que cualquier equipo manualmente podría.
Desde luego, la implementación de estas tecnologías conlleva retos (calidad de datos, costos, capacitación de personal), pero muchos bancos medianos están encontrando vías rentables, como servicios seguros en la nube, IAs corriendo en nubes privadas internas o herramientas especializadas asequibles, para incorporar IA en sus áreas de riesgo. El resultado es un sistema de gestión de riesgos operativos más ágil, predictivo y efectivo, que cumple con los principios de ISO 31000 pero eleva su alcance. Para un CEO, esto se traduce en tranquilidad: menos sorpresas desagradables y más control sobre la incertidumbre operativa.
Reflexión: Hacia una gestión del riesgo operativo más ágil y efectiva
En EXYGE.COM nos hemos abocado por años a ayudarle a nuestros clientes a trabajar mejor, a través de la aplicación de metodologías robustas, propias y de terceros, como ISO 31000, mejores practicas que deriven en eficiencia, transparencia operacional y control, así como la aplicación práctica de elementos tecnológicos de ultima generación, por ejemplo, la incorporación de modelos de IA totalmente personalizados, seguros e inclusive corriendo internamente «on-premise», con la firma de nuestro último partner tecnológico TheDiscoveryAI.
En el competitivo y desafiante entorno financiero centroamericano, adoptar ISO 31000 como marco referencial de gestión de riesgo operativo ofrece ventajas estratégicas claras. Frente a enfoques tradicionales más rígidos que pueden saturar a las organizaciones con burocracia, ISO 31000 provee una estructura sólida pero flexible que:
- Satisface a reguladores: Demuestra alineamiento con mejores prácticas internacionales y con el espíritu de las normas locales, enfocándose en la efectividad real de los controles y no solo en el papeleo. Esto responde directamente al llamado de la SUGEF de tener instituciones que gestionen riesgos de forma ágil, sin ahogarse en reglas
- Impulsa la eficiencia y la cultura interna: Al integrarse en la estrategia y operaciones diarias, la gestión de riesgos deja de ser un ejercicio aislado y se vuelve parte del ADN de la institución. Los colaboradores entienden mejor los riesgos y su rol en controlarlos, fomentando una cultura proactiva. El marco ligero de ISO 31000 facilita este entendimiento transversal, a diferencia de marcos más complejos que muchas veces solo el área de riesgo comprende plenamente.
- Es proporcional al tamaño de la entidad: Un banco mediano o cooperativa puede implementar ISO 31000 sin necesidad de crear departamentos nuevos ni invertir exorbitantes recursos. Se pueden aprovechar estructuras existentes, optimizándolas. En cambio, marcos muy pesados pueden resultar impracticables o costosos de mantener para jugadores más pequeños. La proporcionalidad de ISO 31000 permite crecer el sistema de riesgo conforme crece la institución, de forma escalonada y sostenible
- Se complementa con la innovación: A medida que la transformación digital avanza, ISO 31000 sirve de columna vertebral para incorporar nuevas herramientas sin perder el rumbo. Ya sea integrando IA para monitoreo en tiempo real, o adaptando el marco a riesgos novedosos (como ciberoperacionales o climáticos), la norma tiene la ductilidad para acomodarlo. En un mundo donde los riesgos cambian rápidamente, esta adaptabilidad es oro puro.
“Gestionamos riesgos con los más altos estándares, de forma eficaz y sin paralizar nuestro negocio”.
Mirando al futuro, ISO 31000 ofrece a los CEOs y otros actores clave del sector financiero una hoja de ruta clara, pragmática y reconocida globalmente para elevar la gestión del riesgo operativo al siguiente nivel. Adoptar este marco en las instituciones financieras de Centroamérica –con especial énfasis en Costa Rica dados los eventos de los últimos meses, donde la conversación regulatoria ya apunta a la agilidad y eficacia– supone ganar en resiliencia y competitividad. Se trata de poder decir: “Gestionamos riesgos con los más altos estándares, de forma eficaz y sin paralizar nuestro negocio”.
Aquellas instituciones que abracen este modelo estarán mejor preparadas para afrontar incertidumbres, cumplir objetivos estratégicos y generar confianza en reguladores, inversionistas y clientes.
En el panorama actual, esa es una ventaja competitiva que ningún líder debería dejar pasar. ISO 31000 brinda el mapa; corresponde a los directivos tomar el volante y conducir a sus organizaciones por la senda de una gestión del riesgo verdaderamente moderna y efectiva.
