La identificación y evaluación de riesgos: ¿Cómo aprender a anticipar podría ser una herramienta para ganar?

La identificación y evaluación de riesgos es una actividad fundamental dentro del análisis y mejora de procesos. Un proceso no debe analizarse únicamente desde la perspectiva de cómo se ejecutan las actividades, sino también considerando qué puede salir mal, por qué puede ocurrir y cuáles serían las consecuencias para la organización.

En los procesos, muchas veces prestamos atención a lo que está ocurriendo: una actividad que toma demasiado tiempo, un error que debe corregirse, una solicitud que se devuelve demasiadas ocasiones o una tarea que debe repetirse indefinidamente. Sin embargo, una de las capacidades que puede generar mayor valor en el análisis de procesos consiste en aprender a mirar más allá de lo que ya ocurrió y preguntarnos ¿Qué podría ocurrir después? Esta capacidad de anticipación es precisamente uno de los fundamentos de la identificación y evaluación de riesgos.

Un riesgo no necesariamente se encuentra en un problema que ya ocurrió. Puede encontrarse en una condición del proceso que hace posible que un problema ocurra en el futuro. Por ello, se requiere documentar adecuadamente cómo funciona en la realidad operativa un proceso, más allá de su teoría. Es decir, en muchas ocasiones las organizaciones esperan que sus procesos sean de una forma predefinida y estandarizada; sin embargo, es hasta probable que, en la práctica, no suceda así. A razón de esto, es relevante identificar los puntos en los que el proceso podría fallar y comprender qué tan preparado está para prevenir o detectar estas situaciones.

Durante este levantamiento de procesos que se conoce como ‘Proceso AS-IS’ aparecen constantemente situaciones que deberían llamar la atención: errores, dependencias, reprocesos, controles manuales, falta de control, o actividades que no agregan valor. Estas situaciones son señales que debemos aprender a reconocer. Por si mismas, no constituyen necesariamente un riesgo, pero pueden revelar que existe una exposición que merece ser investigada.

Por ejemplo, si se devuelven frecuentemente las solicitudes incompletas producto de la revisión que debe ejecutar alguien más, puede parecer simplemente parte de la operación diaria de la organización. Sin embargo, debemos preguntarnos: ¿Qué sucede si se procesa una solicitud incompleta? ¿Cómo se detecta el error? ¿Qué consecuencia tendría?

De esta forma, una actividad cotidiana podría darnos señales que eventualmente se puedan convertir en potenciales riesgos como, por ejemplo, la posibilidad de procesar información incorrecta debido a la digitación manual, generando errores, retrasos o reprocesos. La capacidad de identificar riesgos comienza con aprender a ver aquello que normalmente pasa desapercibido.

Una vez ha sido documentado el proceso correctamente, el paso siguiente consiste en analizarlo. En el ejemplo anterior, veíamos que las solicitudes se devolvían frecuentemente al usuario por estar incompletas, podríamos pensar que la observación es “Es frecuente que las solicitudes lleguen incompletas y deban ser devueltas”; sin embargo, el análisis debería ir más allá:

• ¿Por qué llegan incompletas?
• ¿Existe una validación previa a nivel sistemático?
• ¿Está adecuadamente definido quién debería detectar la información faltante?
• ¿Qué ocurre mientras la solicitud es corregida?
• ¿Cuánto tiempo adicional genera?
• ¿Qué pasaría si el error no fuera detectado?

Con esto, podríamos analizar la observación y empezar a pensar en como anticiparse ante la causa que genera dicha situación y con ello buscar una medida correctiva para cubrirla.

Ahora bien, un punto relevante es que ¿Cómo decidimos qué atender primero?, la respuesta a esto radica en que identificar riesgos no implica que todos deban cubrirse con el mismo nivel de atención y detalle. Una vez identificado un riesgo, es necesario evaluar su exposición considerando principalmente probabilidad de ocurrencia e impacto que tendría si se materializa.

Otro tema adicional y relevante es: ¿Qué tan preparado está actualmente el proceso para enfrentar ese riesgo?, y aquí es cuando introducimos a los controles a la ecuación. Un control busca prevenir que el evento ocurra o permitir detectarlo antes de que genere consecuencias mayores. Sin embargo, la existencia de un control no necesariamente significa que el riesgo esta adecuadamente gestionado. Se debe analizar si el control está bien diseñado, quién lo ejecuta, con qué frecuencia, qué evidencia deja y si realmente actúa sobre la causa del riesgo.

La verdadera utilidad de la gestión de riesgos aparece cuando sus resultados se utilizan para transformar el proceso. Con el análisis de riesgos y de controles hecho, se pueden distinguir procesos o áreas del proceso que parecen estar “controladas” y las que realmente cuentan con mecanismos suficientes y adecuados capaces de reducir su exposición.

Como mencionamos, el objetivo no es simplemente identificar que existe un reproceso, sino comprender ¿Por qué ocurre y cómo evitar que vuelva a ocurrir? No se trata solamente de identificar una duplicidad, sino de preguntarse, ¿Qué necesidad satisface y si ambas actividades son realmente necesarias? No basta con observar una dependencia, sino que es importante determinar ¿Qué ocurriría si la persona, área o sistema del que dependemos no estuviera disponible?

Lo más inteligente que podemos hacer ahora no es esperar a que acontezca el mal para preguntarse qué se pudo haber hecho, sino observar el camino, mirar las señales y considerar todavía aquello que no ha sucedido, porque quien aprende a anticipar no vive reaccionando a los problemas, sino preparándose antes de que lleguen. Por eso la ganancia no es aguardar a que el peligro se manifieste para reconocerlo, es discernirlo cuando aún es una señal: Aprendamos a no esperar la corrección de las consecuencias, sino a examinar las causas.