Cómo construir resiliencia operativa en bancos
Históricamente, la continuidad del negocio se ha percibido como un tema netamente técnico o un requisito de cumplimiento normativo, delegado muchas veces a las áreas de tecnología. Sin embargo, la evolución de las amenazas y la dependencia digital han transformado esta visión. En un reciente episodio del Pirani Podcast, conversamos con Julio Pellecer, Gerente de Riesgos desde Guatemala, quien cuenta con más de 13 años de experiencia en el sistema financiero liderando la gestión de riesgos no financieros. Durante la charla, exploramos cómo la continuidad operativa debe entenderse como un pilar estratégico indispensable para la supervivencia de cualquier organización.
Más que procesos: La preservación de la confianza
Uno de los errores más comunes es enfocar la continuidad únicamente en restablecer sistemas operativos. Julio enfatizó que el verdadero objetivo de la continuidad del negocio es preservar la confianza de los clientes, accionistas, reguladores y colaboradores. Una interrupción no solo frena la operación, sino que puede golpear severamente la reputación y la sostenibilidad de la empresa. Entender esto permite ver la gestión de riesgos como un ejercicio estratégico para asegurar la propuesta de valor de la compañía, preparándola para enfrentar escenarios adversos que inevitablemente ocurrirán.
Priorización inteligente: Las cuatro dimensiones del impacto
Diseñar un plan efectivo de continuidad no significa sobredimensionar la inversión ni intentar proteger todo al mismo nivel. Dado que los recursos siempre son limitados, es fundamental identificar cuáles son los procesos verdaderamente críticos. Para lograr acuerdos con las áreas de negocio, que a menudo consideran que todos sus procesos son prioritarios, Julio recomienda evaluar el impacto bajo cuatro dimensiones fundamentales:
- Impacto financiero: Cuánto dinero pierde la organización si el proceso se detiene.
- Impacto en clientes: Cómo afecta la interrupción a los usuarios finales.
- Impacto regulatorio: Las posibles multas o incumplimientos normativos por indisponibilidad.
- Impacto reputacional: El deterioro de la imagen de la marca a largo plazo.
Flexibilidad sin perder el control
Cuando ocurre una emergencia y se activa un plan de contingencia, existe una fuerte tentación de relajar los controles con tal de sacar la operación adelante, incluso haciéndolo de forma manual. Sin embargo, la continuidad no debe significar la pérdida de control. Julio establece una regla de oro: se pueden flexibilizar los procedimientos, pero nunca los principios. Esto significa que, aunque se modifiquen flujos de aprobación o se simplifiquen pasos administrativos para ganar velocidad, jamás se debe comprometer la integridad de la información, la seguridad de los activos ni el cumplimiento regulatorio. Además, toda flexibilización debe tener un límite claro y una ventana de tiempo definida para el retorno a la normalidad.
¿Dinero o confianza? El verdadero costo de una falla
En la actualidad, la continuidad operativa depende casi al 100% de la tecnología, por lo que es imposible separar la resiliencia del negocio del riesgo tecnológico y la ciberseguridad. Cuando una aplicación bancaria falla, la pregunta es: ¿el banco pierde plata o pierde confianza?. Julio explica que, aunque a corto plazo parezca solo una falla transaccional, perder la confianza del cliente se traduce directamente en pérdida de dinero, ya que los usuarios dejarán de depositar sus recursos o solicitar créditos. El verdadero impacto financiero de una interrupción no es solo el que ocurre durante la caída, sino el deterioro que permanece después de restablecer la operación, sumado a posibles multas, demandas y costos de recuperación.
Simulacros: Entrenar para lo impensable
Para que un plan de continuidad sea exitoso, la primera línea de defensa (las áreas operativas) debe saber exactamente qué hacer sin dudar ni depender del equipo de riesgos en medio de la crisis. Esto se logra mediante pruebas y simulacros periódicos que integren mesas interdisciplinarias (negocio, mercadeo, jurídico, tecnología). Julio recomienda ir más allá de los escenarios previsibles y probar la capacidad de la organización ante eventos complejos o combinados, como un ciberataque simultáneo a una crisis de liquidez o un bloqueo físico de agencias. Estos ejercicios, que idealmente deben realizarse al menos una o dos veces al año debido a la rápida evolución tecnológica, no solo validan el diseño del plan, sino la capacidad de adaptación real del equipo humano.
El cambio de mentalidad
El mayor reto para los equipos de riesgos es abandonar la ilusión del "riesgo cero". Las empresas invulnerables no existen; de hecho, en industrias como la bancaria, el negocio mismo se basa en asumir riesgos. El verdadero liderazgo en resiliencia consiste en dejar de centrarse únicamente en evitar riesgos para enfocarse en desarrollar capacidades de anticipación, adaptación y recuperación rápida. Como bien concluye Julio: la resiliencia operativa no se mide por la ausencia de crisis, sino por la capacidad de la organización de salir fortalecida de ellas.