Gestionar todos los riesgos de la organización: registro, apetito, cumplimiento y reputación

1De los riesgos de seguridad a los riesgos de la organización

La gestión de los riesgos de la organización (a menudo llamada ERM, enterprise risk management) extiende la lógica de la seguridad a todos los riesgos que amenazan la misión:

• Seguridad: violencia, accidentes, salud del personal.
• Fiduciarios: fraude, corrupción, desvío, mal uso de los fondos.
• Operativos: ruptura del abastecimiento, fallo de un socio, pérdida de acceso.
• Jurídicos y de cumplimiento: sanciones, antiterrorismo, derecho laboral, fiscalidad, protección de datos.
• Éticos y de salvaguarda: explotación y abuso sexuales, acoso, vulneración de los principios.
• Reputacionales: pérdida de confianza de las comunidades, de los donantes y del público.
• Financieros y estratégicos: dependencia de un donante, crisis de tesorería, pérdida de pertinencia.

Estos riesgos están vinculados: un desvío de ayuda por parte de un grupo armado es a la vez un riesgo fiduciario, jurídico (sanciones), operativo (suspensión), reputacional y de seguridad (represalias si la organización lo denuncia). Por eso es necesario un enfoque integrado.

2El registro de riesgos

El registro de riesgos recoge los principales riesgos, con, para cada uno: descripción (causa, acontecimiento, consecuencia), categoría, propietario, probabilidad, impacto, puntuación inherente, medidas existentes, puntuación residual, medidas adicionales previstas, plazo.

La dirección revisa el registro cada trimestre, y la junta o su comité de auditoría y riesgos, cada año. Los diez principales riesgos son objeto de un seguimiento particular.

3El apetito de riesgo

El apetito de riesgo es el nivel de riesgo que la organización acepta asumir para cumplir su misión. Lo fija la junta, por categoría:

• Seguridad: apetito moderado, elevado solo para las actividades vitales (véase la criticidad de los programas).
• Fiduciario: apetito bajo para el fraude, pero aceptación de un riesgo residual en los contextos difíciles, siempre que se detecte y se notifique.
• Explotación y abuso sexuales: tolerancia cero para los comportamientos, lo que no impide reconocer que el riesgo existe y debe gestionarse activamente.
• Programático: apetito más elevado para la innovación y el acceso a zonas difíciles.

El apetito de riesgo no es un eslogan: se traduce en umbrales (puntuación residual máxima por categoría), en delegaciones (quién puede aceptar qué nivel de riesgo) y en decisiones documentadas. Un apetito demasiado bajo impide trabajar allí donde las necesidades son mayores; un apetito no definido deja que cada responsable decida en solitario.

4La pérdida esperada

Para ciertos riesgos financieros, la matriz puede completarse con la pérdida esperada: probabilidad anual × coste en caso de materializarse. Esto ayuda a comparar el coste de una medida con la pérdida que evita.

Ejemplo. Riesgo de robo de la caja de una oficina sobre el terreno: probabilidad anual estimada en el 20 %, pérdida media de 15 000 USD (efectivo y gastos). Pérdida esperada: 0,2 × 15 000 = 3 000 USD al año. Pasar a los pagos por dinero móvil cuesta 1 800 USD al año y reduce la probabilidad al 5 % y la pérdida media a 4 000 USD: pérdida esperada de 200 USD. Ganancia neta: 3 000 − 200 − 1 800 = 1 000 USD al año, sin contar la reducción del riesgo para la seguridad del cajero.

Límites: la pérdida esperada no sirve para los riesgos que afectan a vidas o cuyo impacto es catastrófico. Nadie decide aceptar un secuestro porque su «pérdida esperada» sea baja. Para estos riesgos se razona en términos de umbral aceptable y de planes de contingencia.

5Cumplimiento: sanciones, antiterrorismo, fraude

Las obligaciones de cumplimiento vienen impuestas por las leyes nacionales, los regímenes de sanciones y los contratos de los donantes:

• Sanciones y antiterrorismo: prohibición de poner fondos o recursos a disposición de personas o entidades incluidas en las listas. Medidas: verificación de proveedores, socios y empleados según el riesgo; cláusulas contractuales; vigilancia de los pagos en las zonas controladas por grupos incluidos en las listas; uso de las exenciones humanitarias existentes, documentando su aplicación.
• Antifraude y anticorrupción: política, línea de denuncia, investigaciones, notificación a los donantes en plazo (véase la parte de finanzas).
• Verificación del beneficiario final: en general, los donantes no exigen cotejar a cada beneficiario de la ayuda con las listas, y los principios humanitarios se oponen a ello; los controles se refieren a los socios, proveedores y personal.

El diálogo con los donantes y los bancos es esencial: la retirada de los bancos (de-risking), que se niegan a operar con organizaciones que trabajan en zonas sancionadas, puede bloquear operaciones enteras. Documentar la propia diligencia ayuda a mantener las cuentas abiertas.

6Protección contra la explotación y el abuso sexuales

La protección contra la explotación y el abuso sexuales (PSEA) de las poblaciones asistidas es una obligación fundamental. Los seis principios fundamentales del Comité Permanente entre Organismos (IASC) prohíben en particular toda relación sexual con niños y niñas (menores de 18 años) y todo intercambio de dinero, empleo, bienes o servicios por favores sexuales, e imponen notificar cualquier preocupación.

El dispositivo:

• código de conducta y formación de todo el personal y de los socios;
• verificación de referencias en la contratación (mecanismos interinstitucionales);
• mecanismos comunitarios de quejas accesibles, seguros y adaptados a las mujeres y a la infancia;
• asistencia a las víctimas (médica, psicosocial, jurídica) según sus decisiones;
• investigaciones rápidas e independientes, sanciones, notificación a los donantes;
• cláusulas de PSEA en los acuerdos con los socios.

Indicador engañoso: cero quejas no significa cero abusos. En la mayoría de los contextos, la ausencia de quejas indica más bien que las comunidades no conocen los mecanismos o no los consideran seguros.