Pocas preguntas en una reunión de consejo son tan comunes y tan difíciles de responder como “¿Cuál es, de hecho, nuestra exposición a riesgos?”. Saber cómo calcular el ERM es lo que convierte esa duda en un número defensable, comparable entre áreas y departamentos. conectado a la estrategia.
Este artículo presenta el método en etapas, los indicadores que dan una lectura ejecutiva al resultado y el marco de ERM que organiza todo el proceso.
La aproximación es didáctica pero no simplista: calcular el ERM requiere decidir qué medir, con qué criterio y para qué decisión.
¿Qué significa calcular ERM?
Calcular el ERM significa cuantificar, de forma consistente, la exposición de la organización a riesgos que afectan a sus objetivos estratégicos. En la práctica, se combina la probabilidad y el impacto de cada riesgo, Se ajusta el resultado en función de la eficacia de los controles y se compara la exposición al riesgo con la exposición definida por la alta dirección y el consejo.
El Gestión de Riesgos Empresariales, El , conocido en Brasil como gestión de riesgos corporativos (ERM), no es un indicador único, sino una disciplina que integra riesgos a la estrategia y al rendimiento.
¿Por qué no existe una fórmula única?
El marco COSO organiza la disciplina en cinco componentes interrelacionados y 20 principios aplicables a organizaciones de cualquier tamaño o sector. El modelo es basado en principiosDefine lo que debe lograr una buena gestión de riesgos, sin imponer una ecuación.
A ISO 31000:2018 Sigue una lógica similar. Propone una aproximación integral para identificar, analizar, evaluar, tratar, monitorear y comunicar riesgos, y la norma no es preceptiva. La elección de las métricas corresponde, por lo tanto, a la propia empresa.
Exposición, apetito y tolerancia
Antes de calcular, alineen cuatro conceptos que suelen confundirse:
- Exposición inherente: Nivel de riesgo antes de cualquier control.
- Exposición residual: Nivel de riesgo tras la acción de los controles existentes.
- Apetece con riesgo: cuál riesgo la organización acepta asumir en su búsqueda de sus objetivos.
- Tolerancia: Desviación aceptable alrededor del apetito, generalmente expresada en límites numéricos.
Cómo calcular el ERM en la práctica
Para calcular ERM, primero mapee y clasifique los riesgos relevantes; luego estime la probabilidad y el impacto financiero; calcule la exposición intrínseca y la residual, teniendo en cuenta la eficacia de los controles; finalmente, comparen el total consolidado con el apetito al riesgo y prioricen las respuestas. Repita el ciclo cada trimestre.
Cada etapa depende de la anterior. El rigor de la última solo existe si las primeras se han llevado a cabo correctamente.
Etapa 1: mapear y clasificar los riesgos
No todos los riesgos se calculan de la misma manera. En un artículo publicado en Harvard Business Review, Robert Kaplan y Anette Mikes distinguen los riesgos evitables, los riesgos estratégicos y los riesgos externos, cada categoría con una lógica propia de gestión.
Las pérdidas esperadas funcionan bien para riesgos evitables, Como fallas operacionales. Los riesgos de estrategia requieren análisis del retorno buscado, y los riesgos externos requieren escenarios. Un buen mapeo de riesgos evita aplicar la misma regla a diferentes tipos de naturaleza.
Etapa 2: estimar la probabilidad y el impacto
Al decidir cómo calcular el ERM en cada riesgo, existen tres niveles de sofisticación, que pueden coexistir en el mismo portafolio:
| Enfoque | Cómo calcula | Cuándo utilizarlo |
| Cualitativo | Escalas de 1 a 5; puntaje = probabilidad × impacto | Selección inicial de muchos riesgos |
| Semiquantitativa | Intervalos de probabilidad (%) e impacto (R$) | Priorización y informe a la dirección |
| Cuantitativo | Perdida esperada y simulación de Monte Carlo | Riesgos críticos y decisiones de capital |
Las empresas en fase inicial suelen empezar con la matriz de riesgo 4×4 o con una matriz de riesgo en Excel. El verdadero beneficio proviene de trasladar los riesgos críticos a valores monetarios.
Etapa 3: Calcular la exposición intrínseca y la residual
Comprender cómo calcular el ERM en la práctica se vuelve más simple con números. Con la probabilidad anual e impacto en reales, las fórmulas son directas:
- Exposición inherente = probabilidad × impacto
- Exposición residual = exposición intrínseca × (1 − eficacia de los controles)
La siguiente tabla muestra un ejemplo ilustrativo, con valores hipotéticos, para una empresa ficticia:
| Riesgo | Probabilidad anual | Impacto (R$ mi) | Exposición inherente (R$ mi) | Eficacia de los controles | Exposición residual (R$ mi) |
| Error del proveedor crítico | 20% | 15 | 3,0 | 40% | 1,8 |
| Incidente cibernético | 10% | 30 | 3,0 | 50% | 1,5 |
| Multa regulatoria | 5% | 20 | 1,0 | 70% | 0,3 |
| Pérdida de talentos clave | 30% | 4 | 1,2 | 25% | 0,9 |
| Total | 8,2 | 4,5 |
La suma simple supone que los riesgos son independientes, lo que rara vez ocurre. Para capturar correlaciones y eventos de cauda, los riesgos críticos requieren simulación y modelado, un campo en el que ciencia de datos e IA amplían la capacidad analítica.
Etapa 4: comparar con el apetito y priorizar
Supongamos que el consejo ha fijado el apetito en R$ 4 millones de exposición anual residual. En el ejemplo, el total de R$ 4,5 millones supera el límite en R$ 0,5 millones, lo que activa los planes de respuesta.
Los proveedores críticos y los incidentes cibernéticos concentran alrededor del 73% de la exposición residual y deberían liderar la priorización. La respuesta puede evitar, mitigar, transferir o aceptar el riesgo. Una política de gestión de riesgos Una bien diseñada define de antemano quién decide en cada franja de exposición.
Indicadores esenciales para el cálculo del ERM
Definir cómo calcular el ERM no es suficiente, porque un valor aislado de exposición no aporta mucha información. El consejo necesita indicadores que muestren tendencia, adhesión al apetito y calidad de los controles.
| Indicator | Cómo calcular | Lo que revela |
| Exposición residual total | S (probabilidad × impacto × (1 − eficacia)) | Riesgo líquido al que la empresa está sujeta |
| Adherencia al apetito | Exposición residual ÷ límite de apetito | Falta o exceso frente al límite (más de 100% = fuera) |
| Cobertura de controles | Riesgos críticos con control probado ÷ riesgos críticos | Resistencia de la respuesta |
| KRIs en alerta | KRIs fuera de la banda ÷ total de KRIs | Símbolo de deterioro predecible |
| Perdas efectivas vs. previstas | Perdas realizadas ÷ pérdida esperada | Calibración del modelo de cálculo |
Para Kaplan y Norton, los indicadores cumplen su función solo cuando traducen la estrategia en metas mensurables. Lo mismo vale para el riesgo: los Indicadores clave de riesgo (KRIs) deben formar parte del panel estratégico, y no un informe paralelo.
La comparación entre las pérdidas efectivas y las previstas depende de un buen registro histórico. Por eso, tratar Perdas operacionales estructuralmente es un insumo directo para calibrar probabilidades e impactos.
Marco de ERM: cómo se integra el cálculo
¿Cómo calcular el ERM sin un marco de referencia? El resultado son números sin referencia. El framework del ERM define la gobernanza, el apetito, las responsabilidades y el ritmo de revisión, lo que da sentido a las métricas.
| Criterio | COSO ERM (2017) | ISO 31000 (2018) |
| Estructura | Cinco componentes y 20 principios | Principios, estructura y proceso |
| Enfoque | Integrar el riesgo en la estrategia y el rendimiento | Una aproximación común a cualquier tipo de riesgo y organización |
| ¿Dónde entra el cálculo? | Componente de rendimiento: identificar, evaluar, responder y reportar | Proceso de evaluación: identificación, análisis y evaluación |
| Naturaleza | Referencia de mercado para la gestión de riesgos corporativos | Norma internacional de directrices |
El que parte desde cero puede seguir el itinerario para estructurar un programa de gestión de riesgos. Para formalizar la adhesión a la norma, vale conocer el camino que se debe seguir. Certificación ISO 31000.
El mismo marco sustenta la integración con la agenda ESG, tema abordado en el contenido sobre software de ASG.
Beneficios de la gestión de riesgos corporativos cuando el ERM se cuantifica
La cuantificación convierte al ERM en un instrumento de toma de decisiones. Los principales beneficios de la gestión de riesgos corporativos aparecen cuando el número llega al comité ejecutivo:
- Prioridad por valor: Los recursos de control van a donde la exposición residual es mayor.
- Diálogo financiero con el consejo: Los riesgos pasan a ser discutidos en el mismo lenguaje de presupuestos y metas.
- Decisiones de capital más sólidas: Las inversiones y las contrataciones incorporan el costo esperado del riesgo.
- Anticipación Los indicadores previos indican una deterioración antes de la pérdida.
El Resiliencia Pulse Check de enero de 2025 del Foro Económico Mundial y de McKinsey indica que 55% de las organizaciones esperan una disrupción relevante o severa causada por la tecnología, según la Investigación global de McKinsey sobre la productividad en riesgo.
Ya en la edición de junio de 2025, la McKinsey sobre Riesgo y Resiliencia Reforza que los CROs y los profesionales de riesgo, junto con la alta dirección y los consejos, consideran la comprensión y la mitigación de los riesgos como condición para el éxito.
Errores comunes que distorsionan el cálculo de ERM
Incluso con el método adecuado, algunos desvíos comprometen el resultado. Algunos de ellos son:
- Tratar el riesgo como conformidad. Kaplan y Mikes alertan que una gestión basada únicamente en normas no reduce la probabilidad ni el impacto de los grandes desastres.
- Usar escalas sin calibración. Un “nivel 4” significa cosas diferentes en cada área; ancorea las bandas en porcentajes y reales.
- Sumar riesgos sin considerar la correlación. Los eventos que se alimentan entre sí subestiman la exposición agregada.
- Ignorar eventos raros de alto impacto. Una probabilidad baja no significa una baja relevancia.
- Mantener las hojas de cálculo separadas. Sin historial, responsabilidad y plan de acción, el número pierde valor decisivo.
Cómo calcular el ERM de forma continua con tecnología
Repetir el ciclo cada trimestre con hojas de cálculo desconectadas consume tiempo y fragmenta la información. O Gestión de Riesgos de Actio centraliza los riesgos, matrices, pruebas de control, planes de mitigación y pérdidas operacionales en un único entorno, alineado con las referencias ISO 31000, COSO y PMI.
Con Actio IA, la plataforma sigue creciendo detecta automáticamente riesgos y lagunas de rendimiento. Al vincular los riesgos a objetivos y indicadores estratégicos, el gestor deja de considerarlos como un informe aparte.
La lógica dialoga con la Importancia del sistema de gestión integrado, En el que la estrategia, los riesgos y los procesos funcionan como un único ciclo.
Para los gerentes de empresas medianas y grandes, el siguiente paso es elegir el marco, calibrar las escalas y dotar al proceso de tecnología.
Conoce el Actio Gestión de Riesgos Corporativos (ERM) y agenda una demostración gratuita con uno de nuestros especialistas.
