Tras la identificación de los riesgos de compliance y la identificación y evaluación de los controles de la organización, procede pasar a las siguientes fases del proceso de gestión de riesgos, es decir, al análisis y evaluación de los mismos.
El principal objetivo de la gestión de riesgos es disponer de información que nos permita tomar decisiones en cuanto al tratamiento de los riesgos, es decir, decidir en cada caso si hay que actuar o no, qué tipo de actuación debemos llevar a cabo, con qué urgencia o prioridad se debe actuar, etc.
Para ello, debemos estimar en cada caso cuál es el riesgo inherente y cuál es el riesgo residual asociado a cada escenario de riesgo.
Ahora bien, ¿qué es el riesgo inherente? El riesgo inherente (o riesgo bruto) es el riesgo que viene dado por la naturaleza de la actividad de la organización, esto es, el riesgo intrínseco de las distintas actividades y áreas de negocio, sin tener en cuenta los mecanismos de control que existen.
El riesgo inherente se obtiene del resultado de considerar el impacto y la probabilidad asociados al riesgo de compliance:
- El impacto hace referencia a las consecuencias (económicas, financieras, patrimoniales, reputacionales, etc.) que ocurrirían si el evento de riesgo se llegara a materializar.
- La probabilidad es la expectativa teórica de que se materialice el riesgo, sin considerar las medidas mitigantes existentes en la organización y teniendo en cuenta exclusivamente las características y el contexto de la misma, por ejemplo: el sector económico en el que opera, las actividades que realiza, las zonas geográficas en las que presta sus actividades, el tamaño y demás características.
Visto el riesgo inherente, nos preguntamos entonces, ¿qué es el riesgo residual? El riesgo residual (o riesgo neto) puede ser definido como el riesgo que la organización asume o acepta después de implementar y ejecutar los mecanismos de control y las medidas de prevención pertinentes. Se podría afirmar que el riesgo residual es el alcance del riesgo restante después de considerar el efecto mitigante que ejerce el entorno de control sobre los riesgos de compliance de la organización. Vemos cómo el riesgo residual se mide considerando el cruce del riesgo inherente y la efectividad de los mecanismos de control asignados a cada escenario de riesgo.
La obtención del riesgo residual es una consideración importante, ya que este riesgo se utiliza, entre otros, para determinar si los controles existentes en la organización son los suficientemente robustos y efectivos, y si guardan proporción con el nivel de riesgo inherente. Además, el riesgo residual es el riesgo que la organización asume y, por lo tanto, deberá ser necesariamente conocido y aceptado por sus órganos de administración y dirección.
