Un sistema de gestión de riesgos empresariales es el conjunto de políticas, roles, procesos y herramientas con el que una organización identifica, evalúa, trata y vigila todos sus riesgos con un mismo criterio, y los conecta con su estrategia. En inglés se conoce como ERM (Enterprise Risk Management). La palabra que importa es «todos»: los riesgos financieros, operacionales, tecnológicos, de terceros o de cumplimiento entran en el mismo registro y se miden con la misma vara.
Lo contrario es lo que tienen muchas empresas: cada área lleva su propia lista en su propia hoja de cálculo. Seguridad mide del 1 al 5, Finanzas en euros y Cumplimiento con colores. Cada lista tiene sentido por separado, pero nadie puede contestar a la pregunta que hace el consejo: cuáles son los diez riesgos más graves de la empresa y si están dentro de lo que estamos dispuestos a asumir.
Las piezas de un sistema de gestión de riesgos empresariales
No hay un único modelo, pero todos los sistemas que funcionan tienen estas piezas, y suelen fallar por la que falta:
- Gobierno y apetito de riesgo. Quién decide qué riesgo es aceptable y dónde está esa línea. Sin un apetito de riesgo aprobado por la dirección, el sistema mide pero no ayuda a decidir.
- Taxonomía. Las categorías en las que se clasifica cada riesgo, para que el mismo problema se llame igual en todas las áreas. Lo explicamos en taxonomía de riesgos.
- Metodología común. Las mismas escalas de probabilidad e impacto para todos y la misma matriz de riesgos para pintar el resultado.
- Registro con dueños. Cada riesgo con un responsable con nombre y apellidos, no con un departamento.
- Controles e indicadores. Qué se hace para reducir cada riesgo y cómo se sabe a tiempo que empeora, con indicadores de riesgo (KRI).
- Información a la dirección. Un informe periódico que compare el riesgo inherente y el residual y diga qué ha cambiado desde la última vez.
ISO 31000 o COSO ERM: cuál usar como referencia
Casi todos los sistemas se apoyan en uno de estos dos marcos. Ninguno es certificable y ninguno obliga por sí mismo: son guías. Lo que cambia es el enfoque.
| ISO 31000:2018 | COSO ERM (2017) | |
|---|---|---|
| Qué es | Norma internacional de directrices para gestionar riesgos de cualquier tipo. | Marco del Committee of Sponsoring Organizations, Enterprise Risk Management: Integrating with Strategy and Performance. |
| Cómo se organiza | Principios, marco de referencia y proceso. | Cinco componentes y veinte principios. |
| Su punto fuerte | Un proceso claro y fácil de llevar a todas las áreas. | La conexión del riesgo con la estrategia y el rendimiento. |
| Dónde se usa más | Empresas de cualquier tamaño y sector, a menudo junto a otras ISO. | Grupos cotizados y entornos financieros, cerca de control interno. |
Nuestra recomendación: si ya trabajas con normas ISO (27001, 22301, 37301), parte de ISO 31000, porque compartirás vocabulario y estructura. Si quien pide el sistema es el consejo o la comisión de auditoría y la prioridad es atar el riesgo a los objetivos de negocio, COSO ERM encaja mejor. No son excluyentes: muchas organizaciones usan el proceso de ISO 31000 y el lenguaje de gobierno de COSO.
Qué pide la normativa en España
Para la mayoría de empresas el sistema es voluntario, pero en algunos casos se exige:
- Sociedades cotizadas. El Código de buen gobierno de la CNMV recomienda una política de control y gestión de riesgos que cubra los riesgos financieros y no financieros y fije el nivel de riesgo aceptable (recomendación 45), y una función interna de control y gestión de riesgos supervisada por la comisión de auditoría (recomendación 46). Se aplica con el criterio de «cumplir o explicar».
- Aseguradoras. La Directiva Solvencia II exige en su artículo 44 un sistema eficaz de gestión de riesgos.
- Entidades financieras. El Reglamento DORA obliga a tener un marco de gestión del riesgo relacionado con las TIC (artículo 6), que tiene que encajar con el sistema general de gestión de riesgos.
Cómo implantarlo, paso a paso
- Acordar el apetito y el gobierno. Quién es dueño del sistema, qué comité lo revisa y cada cuánto, y qué nivel de riesgo es aceptable.
- Definir taxonomía y metodología. Categorías, escalas con definiciones concretas y la matriz. Es el paso que más se discute y el que más tiempo ahorra después.
- Hacer el primer mapa con los riesgos principales. Empieza por los veinte o treinta riesgos que de verdad preocupan a la dirección, no por un inventario de cuatrocientos.
- Asignar controles, dueños e indicadores. Cada riesgo por encima del apetito necesita un plan con responsable y plazo.
- Informar y repetir. Un informe periódico a la dirección y una revisión que parta de lo que cambió.
El error que más vemos es empezar por el paso tres: un gran taller para inventariar riesgos sin haber acordado antes la escala. El resultado es un registro enorme que nadie puede comparar y que se abandona en la segunda revisión.
Hoja de cálculo o herramienta de gestión de riesgos
Un sistema pequeño puede arrancar en Excel, y para eso tienes nuestra plantilla de matriz de riesgos. El problema llega cuando el registro lo rellenan varias áreas: aparecen versiones cruzadas, escalas que cada uno interpreta a su manera y un informe consolidado que hay que montar a mano antes de cada comité.
Ese es el momento de pasar a un software de gestión de riesgos empresariales. En GlobalSuite® Risk Management la metodología ya viene cargada (ISO 31000, COSO ERM o la tuya), cada área valora sus riesgos con la misma escala y el mapa de calor, los KRI y el informe a la dirección salen solos, con simulación Monte Carlo si quieres cuantificar en euros.
¿Quieres ver cómo quedaría tu sistema de gestión de riesgos? Te lo enseñamos con un caso parecido al tuyo.
Solicita una demoContenido revisado en octubre de 2026.
