Gestionar riesgos no financieros sigue siendo asignatura pendiente

Como cada comienzo de año, el Foro Económico Mundial ha publicado su informe anual sobre riesgos a los que nos enfrentamos como sociedad. Solo la irrupción en 2020 de la covid-19, en el puesto número 4, ha provocado que los riesgos relacionados con el medio ambiente no copen el top 5 de riesgos por probabilidad de ocurrencia.

Concretamente, los cinco primeros riesgos a los que se otorga más probabilidad de que ocurran en 2021 son: clima extremo, fracaso de la acción climática, daño ambiental causado por los humanos, enfermedades infecciosas y pérdida de la biodiversidad.

En cuanto a riesgos por severidad de impacto, en el segundo lugar nos encontramos con el fracaso de la acción climática, en el cuarto la pérdida de biodiversidad, y en el quinto las crisis de recursos naturales.

Ante un panorama en el que los riesgos ambientales se imponen por goleada a otros como las armas de destrucción masiva, la concentración del poder en Internet, o la inequidad digital, nos encontramos con que las empresas apenas tienen en cuenta este tipo de riesgos no financieros, a los que además podemos sumar los riesgos sociales y otros no directamente relacionados con la sostenibilidad como los digitales o derivados de fallos en esta como los reputacionales, por citar solo un par.

La legislación como acicate

Los que nos dedicamos profesionalmente a estos temas estamos acostumbrados a encontrar organizaciones que pecan de una inexistente, o como mínimo muy poco profunda, gestión de riesgos no financieros.

Las razones son diversas, aunque esto es algo que suele suceder en empresas que aún se están ‘despertando’ a la sostenibilidad y aún no se han puesto las pilas en todo lo que deberían hacer, siendo organizaciones que están recorriendo poco a poco su camino hacia la sostenibilidad por puro convencimiento y de una manera proactiva simplemente porque quieren ser más responsables socialmente.

Para el caso de las empresas menos concienciadas, como muchas cosas en la vida, lo que no se quiere hacer por uno mismo acaba siendo exigido por alguien o algo con más poder, y en el entorno empresarial eso se traduce en leyes de obligado cumplimiento.

Las empresas, como organizaciones sociales, están sujetas a presiones regulatorias para garantizar la transparencia en su gestión y la información de eventos y riesgos relevantes a los grupos de interés que se relacionan con ellas.

En el tema que nos ocupa de la gestión de riesgos no financieros, la trasposición de la Directiva Europea 2014/95/EU en la Ley 11/2018 española marca un hito no en la obligación directa de contemplar esos riesgos en la gestión, pero sí en informar sobre ello, lo cual, de manera indirecta, obliga a crear dicho sistema de gestión.

Esta ley, ya por casi todos conocida como la de estado de información no financiera o EINF, dice que en caso de que no se aplique alguna política sobre la que se exige explicación, como la de gestión de riesgos no financieros, se deberá ofrecer una explicación clara y motivada al respecto.

Lo anterior, unido al  hecho de que el EINF debe ir firmado por los administradores de la sociedad y debe ser verificado por terceros, se traduce en que las empresas van a acabar teniendo que realizar, sí o sí, esa gestión de riesgos, aunque no lo hagan por mejorar su gestión empresarial y sí por que no les saquen los colores año tras año año en la verificación del informe y, por ende, ante los grupos de interés que usen dicho informe para tomar decisiones (p.e. los inversores), por no contemplar aspectos de gestión que se consideran imprescindibles en la actualidad.

Es, en muchos casos, en el momento de la redacción del EINF o de la memoria de RSC o sostenibilidad cuando salen a la luz las carencias de riesgos no financieros, incluso en empresas que gestionan muy bien los riesgos financieros.

En estos casos, en el EINF se acaba poniendo que no hay en la actualidad un sistema de gestión de riesgos no financieros, pero que se establece el compromiso de poner uno en marcha de cara al siguiente año.

¿Cómo establecer un sistema de gestión de riesgos no financieros?

Lo primero a tener en cuenta para realizar su gestión es no hacerlo de forma separada del resto de riesgos de la organización o en silos de riesgos, sino de manera integrada.

Eso es así porque es un tema de vital importancia para la empresa y debe ser gestionado y supervisado e informado como un todo, y en segundo lugar porque existen interrelaciones entre los riesgos, los efectos de estos y las diferentes unidades de una organización.

La gestión de riesgos, por tanto, debe ser un proceso continuo, embebido en la estrategia empresarial, aplicado a toda la empresa, orientando a la consecución de objetivos, debe identificar riesgos potenciales y proporcionar una seguridad razonable al consejo de administración y la dirección sobre la consecución de los objetivos y sobre la propia idoneidad del sistema de gestión de riesgos.

Aunque los no financieros tienen pocas cosas en común con los riesgos financieros, el proceso para su gestión no difiere a grandes rasgos.

En primer lugar, es necesario realizar una correcta y exhaustiva identificación de posibles eventos que afronta la organización, siempre refiriéndose a los objetivos marcados (ya que de otra manera no se podría establecer su priorización), e identificando siempre las causas de los riesgos y no únicamente sus efectos.

El siguiente paso es la evaluación de los riesgos en la que se establece cuál es la probabilidad de ocurrencia del riesgo y el impacto potencial que podría tener en la organización. Habrá algunos riesgos que serán más sencillos de evaluar que otros que tengan un grado más importante de subjetividad en el análisis y evaluación.

El establecimiento del apetito al riesgo, o nivel de riesgo tolerable, es el tercer punto a llevar a cabo en el proceso. Concretamente, es definir cuánto riesgo está dispuesta a asumir una empresa en sus actividades y en base a ello establecer qué respuesta va a dar a cada riesgo (mitigación, transferencia a terceros, cese de la actividad que genera el riesgo, etc.).

Por último, el reporte y comunicación de los riesgos garantiza un seguimiento de los riesgos identificados y que la gestión de riesgos es la adecuada y no se necesitan acciones adicionales para tratar los riesgos identificados.

Las grandes empresas que llevan tiempo gestionando riesgos, aunque sean solo los financieros, suelen tener establecidos sistemas de gestión basados en COSO o en la ISO 31000, mientras que las medianas y pequeñas que dan sus primeros pasos en este tema suelen usar el sentido común, aunque no dé los mismos resultados que los sistemas mencionados.

Riesgos sociales y medioambientales más relevantes

Aunque hay un abanico diverso de riesgos no financieros, los relacionados con el medio ambiente y la sociedad suelen ser los más importantes dentro de los sistemas de gestión, siempre, como es lógico, teniendo en cuenta las particularidades de cada organización, su sector de actividad, sus impactos y sus grupos de interés.

Entre los riesgos medioambientales, el cambio climático y sus consecuencias es de los más referenciados. Para su gestión es de interés el marco realizado por el Task Force on Climate-related Financial Disclosures (TCFD) para ayudar a las empresas públicas y a otras organizaciones a informar más eficazmente sobre los riesgos y oportunidades relacionados con el clima, y que divide los riesgos en aquellos relacionados con la transición a una economía baja en carbono y los relacionados con los impactos físicos del cambio climático.

Por su parte, los riesgos sociales más relevantes están relacionados en muchos casos con la cadena de suministro. La presencia de factores de riesgo es un elemento inherente al funcionamiento de la cadena de valor, tanto para las organizaciones limitadas a un mercado nacional como para las que tienen una dimensión internacional, siendo para estas últimas el respeto de los derechos humanos de sus proveedores una de las fuentes principales de preocupación.

Sea como fuere, la gestión de riesgos no financieros ha pasado de ser un tema en el que muchas organizaciones no pensaban a otro primordial para el funcionamiento de la empresa, tanto si se adentran en él por convencimiento como por obligación, y a su vez una fuente de posibles ventajas competitivas sobre otras organizaciones si se desarrolla completa y correctamente.

Además, como ha puesto de evidencia la pandemia de la covid-19, vivimos en un momento de alta incertidumbre en el que anticiparse a qué va a ocurrir, o al menos tener previstos varios escenarios hipotéticos y los riesgos asociados a cada uno, es de una importancia crítica.