Un riesgo no es algo que puede fallar. Es una decisión de diseño.
La mayoría de los registros de riesgos son hojas de cálculo que nadie consulta después de la auditoría. En Dexon BPM el riesgo es un objeto de la arquitectura: condiciona el diseño de los procesos que afecta, lo anticipan indicadores ligados a él, y no puede borrarse mientras algo dependa de él.
El registro
Tres etapas, declaradas por separado
Cada entrada del registro recorre un ciclo completo, y las tres etapas quedan registradas aparte, porque confundirlas es exactamente lo que produce registros que nadie usa. Un registro que guarda una sola valoración no permite saber si el nivel actual es fruto de una decisión o de la suerte.
El riesgo como condición de diseño
Si el riesgo es fraude, el proceso incluye segregación de funciones. No una nota al margen.
Un riesgo es una posibilidad que exige una decisión arquitectónica. La metodología lo trata como condición del diseño del proceso, al mismo nivel que una regulación o un acuerdo de servicio, y la plataforma verifica que cada riesgo crítico tenga un tratamiento visible en el proceso aprobado.
Fraude →
Pasos de verificación, segregación de funciones o reglas automáticas en la trayectoria; no un recordatorio de tener cuidado.
Incumplimiento de acuerdos de servicio →
Monitoreo, alarmas y rutas de escalamiento diseñadas en el flujo antes de que corra el primer caso.
Mala calidad de datos →
Validación, enriquecimiento o integración en la actividad que captura el dato, con campos obligatorios por estado.
Verificado al aprobar →
El objetivo de un proceso está bien formado solo cuando cada riesgo crítico que declara tiene tratamiento declarado. El verificador de conformidad marca la brecha; el dueño no puede aprobar por encima.
Indicadores clave de riesgo
El KRI es una relación, no una casilla
Las señales de alerta temprana son lo que se observa antes de que un riesgo se materialice. Cada señal que pueda cuantificarse es candidata a elemento de medición con vínculo al riesgo, y un registro con señales declaradas y sin indicadores que las midan está describiendo, sin decirlo, el trabajo que falta.
Esto contradice la práctica habitual a propósito: un mismo elemento de medición puede tener meta —y por tanto ser KPI— y vínculo a un riesgo —y por tanto ser KRI— sin duplicar el objeto ni forzar una elección artificial. Y como el elemento también puede vincularse a una capacidad, tres procesos que incumplen a la vez se leen como una capacidad débil y no como tres problemas sin relación.
Qué da el vínculo
→Un elemento de medición, dos roles: la meta lo hace KPI; el vínculo al riesgo lo hace KRI.
→La clasificación —estratégico, de proceso, de servicio, de dato, de capacidad— se deriva del ancla y de sus relaciones. Nadie la escribe, así que no puede contradecir la estructura.
→La alineación con capacidades responde la pregunta que un sistema de solo KPIs no puede: ¿estos incumplimientos comparten una capacidad débil?
Integridad
Un riesgo en uso no se puede borrar
Los usos de un riesgo son los procesos cuyo diseño condiciona, los elementos de portafolio analizados frente a él y los KRIs que lo anticipan. De ahí se sigue una regla que la plataforma hace cumplir: una entrada que está en uso no se elimina. Primero se desvinculan sus usos, dejando rastro de la decisión.
La razón no es burocracia. Un registro del que se pueden borrar riesgos referenciados es un registro en el que nadie puede confiar, y el análisis de impacto deja de ser fiable con él. Antes de cambiar un riesgo, la plataforma muestra qué depende de él: los procesos, el portafolio, los indicadores. El impacto se consulta al repositorio vivo, no se redacta de memoria.
Rendición de cuentas
Quién responde por el indicador, y en qué rol
Los tableros de alineación asignan cada elemento de medición a la persona o unidad que responde por él, por año fiscal, con meta y peso propios. El tablero distingue tres formas de responsabilidad que la práctica suele confundir:
Sin esa distinción, la rendición de cuentas se vuelve una discusión sobre quién tiene la culpa. Con ella, se vuelve una conversación sobre qué le corresponde a cada quien. Y la meta del tablero puede diferir de la meta institucional: eso es desplegar una meta.
Para quién es
Riesgo, cumplimiento y auditoría interna
Oficiales de riesgo →
Un registro con ciclo completo por entrada, ligado a los procesos que condiciona y a los indicadores que lo anticipan.
Cumplimiento →
Tratamientos que son controles en la trayectoria del proceso, verificados al aprobar; no compromisos en un documento.
Auditoría interna →
Cada instancia deja quién actuó, sobre qué datos, bajo qué regla; cada riesgo muestra qué depende de él antes de que alguien lo cambie.
Relacionado
Gobierno y cumplimiento →
Trazabilidad inalterable, controles que detienen el avance, cifrado y accesibilidad.
Ejecución de la estrategia →
Objetivos, metas, iniciativas y el registro de riesgos en un mismo grafo.
La metodología →
Donde el registro de riesgos, los KRIs y los tableros de alineación se definen formalmente.
Traiga uno de sus riesgos
Elija un riesgo por el que preguntan sus auditores. En una sesión de trabajo le mostramos el recorrido completo: exposición inherente, el tratamiento dentro del proceso, el indicador que lo anticipa, y lo que la plataforma dice antes de que alguien lo toque.