IA y Riesgo Operacional: 15 Aprendizajes del Foro ORM

La inteligencia artificial está cambiando la forma en que las organizaciones identifican riesgos, automatizan procesos y toman decisiones. Su adopción también plantea preguntas sobre los controles, la protección de datos, la supervisión humana y la continuidad de las operaciones.Estos fueron algunos de los temas centrales del Foro ORM de Pirani, un espacio de conversación con expertos de México, Panamá y República Dominicana sobre los desafíos actuales de la gestión del riesgo operacional.

Participaron Sergio Athié, Managing Director & Partner en Morfeo Capital; José Manuel Pérez, socio fundador de Hansen & Tang Consultants; y Mariel Almanzar Hernández, subgerente de Evaluación de Riesgo Operacional. Desde Pirani, Juan David Parra, gerente de Customer Success, compartió también una perspectiva sobre el uso de la tecnología en la gestión de riesgos.

A partir de sus intervenciones, recopilamos 15 aprendizajes para las organizaciones que buscan fortalecer sus prácticas de gestión de riesgos.

15 Aprendizajes sobre IA y Gestión del Riesgo Operacional

1. La inteligencia artificial amplía la metodología de riesgo operacional, no la reemplaza

José Manuel Pérez señaló que los fundamentos de la gestión del riesgo operacional siguen vigentes: identificar, evaluar, controlar, monitorear y reportar. Frente a la inteligencia artificial, su recomendación es ampliar la metodología existente para incorporar los nuevos riesgos, en lugar de empezar desde cero.

2. El primer paso es identificar dónde se utiliza la inteligencia artificial

Antes de evaluar los riesgos asociados a esta tecnología, las organizaciones necesitan conocer sus usos. José Manuel destacó la importancia de elaborar un inventario de casos de uso que incluya las herramientas utilizadas fuera de los canales aprobados por la organización, una práctica conocida como IA en la sombra.

3. La taxonomía de riesgos debe contemplar nuevas amenazas

La adopción de inteligencia artificial exige revisar las categorías con las que se identifican y clasifican los riesgos. José Manuel mencionó aspectos como las alucinaciones, la deriva de los modelos, la opacidad de las decisiones y la dependencia de proveedores tecnológicos.

Incorporar estos elementos permite ampliar la evaluación sin abandonar los procesos habituales de gestión del riesgo operacional.

4. Cada caso de uso necesita una evaluación acorde con su criticidad

No todos los usos de inteligencia artificial tienen el mismo impacto potencial. José Manuel explicó que utilizar una herramienta para resumir actas es diferente a emplearla para aprobar créditos o participar en decisiones que afectan los objetivos estratégicos.

Por eso, la evaluación debe considerar el propósito de cada aplicación y las consecuencias que tendría un error.

5. La supervisión humana y la validación independiente siguen siendo necesarias

Sergio Athié insistió en la importancia de reconocer que estas herramientas pueden producir errores. Las organizaciones deben establecer mecanismos para revisar los resultados, verificar la información y evitar una confianza excesiva en las respuestas generadas por la inteligencia artificial.

José Manuel también destacó la necesidad de supervisión humana, pruebas periódicas y procesos trazables, especialmente cuando el uso de la tecnología tiene un impacto importante en el negocio.

6. La gestión de riesgos debe contemplar escenarios que todavía no tienen antecedentes suficientes

La falta de información histórica puede dificultar el modelado de algunos riesgos emergentes. Frente a este desafío, Sergio recomendó considerar posibles errores de la inteligencia artificial dentro de los modelos y mantenerse atentos a los avances tecnológicos que puedan afectar a la organización.

La preparación también requiere aprender de los incidentes, actualizar los controles y revisar las evaluaciones cuando aparecen nuevos escenarios.

7. La protección de datos debe formar parte de las decisiones sobre el uso de IA

Sergio Athié explicó que es necesario evaluar qué información se introduce en las herramientas de inteligencia artificial y bajo qué condiciones se procesa. El uso de información confidencial en plataformas públicas puede generar riesgos de exposición.

José Manuel añadió que las organizaciones deben considerar las leyes de protección de datos aplicables y establecer condiciones adecuadas para el uso de estas herramientas, especialmente en las entidades financieras.

8. La inteligencia artificial ya tiene aplicaciones en procesos financieros críticos

José Manuel señaló que la inteligencia artificial ya se utiliza en procesos como la aprobación de créditos, el scoring, la calificación de riesgos, la cobranza predictiva, la detección de fraudes, la debida diligencia y el monitoreo transaccional.

El aprendizaje para las organizaciones es que la conversación no se limita a posibles usos futuros. También implica revisar cómo se gobiernan las aplicaciones que ya forman parte de la operación.

9. No todos los procesos deben automatizarse de inmediato

Sergio planteó que las organizaciones deben identificar qué procesos pueden optimizarse y avanzar de forma gradual. La implementación progresiva permite aprender de cada caso de uso y evaluar si los resultados corresponden con los objetivos definidos.

La decisión de automatizar debe considerar el proceso, su importancia para el negocio y los controles necesarios.

10. La primera línea de defensa necesita herramientas y conocimientos para gestionar sus riesgos

Mariel Almanzar Hernández destacó que las organizaciones no pueden pretender gestionar adecuadamente los riesgos emergentes si todavía tienen dificultades para identificar y controlar los riesgos propios de sus procesos.

La primera línea de defensa necesita reconocer cuándo un control no funciona, comprender los riesgos de su operación y contar con herramientas para gestionarlos. No se trata de convertir a todos los colaboradores en especialistas en riesgos, sino de darles las capacidades necesarias para cumplir su responsabilidad.

11. La cultura de riesgo se construye de manera continua

Mariel compartió su experiencia con el uso de herramientas tecnológicas para fortalecer la participación de los gestores en la gestión de riesgos. También destacó la importancia de las capacitaciones recurrentes, las dinámicas de aprendizaje y los incentivos para mantener a los colaboradores involucrados.

Una capacitación aislada no basta para consolidar una cultura de riesgo. La formación debe acompañar el trabajo cotidiano de los equipos.

12. El apetito de riesgo debe traducirse en límites e indicadores concretos

José Manuel explicó que una declaración general de apetito de riesgo puede resultar difícil de aplicar en la operación diaria. Para hacerla útil, debe traducirse en límites, indicadores y tolerancias que cada área pueda comprender y monitorear.

Sergio complementó esta idea al señalar que el apetito de riesgo debe estar vinculado con la estrategia del negocio, la planificación y las decisiones relevantes de la organización.

13. Los incentivos y la comunicación también influyen en la cultura de riesgo

José Manuel señaló que los incentivos deben ser coherentes con el apetito de riesgo definido por la organización. Si se promueve la prudencia, pero los resultados se premian únicamente por volumen o cumplimiento de metas, pueden surgir contradicciones en la operación.

También destacó el papel de los mandos medios y la importancia de contar con canales seguros para comunicar problemas, cuestionar límites poco realistas y reportar controles que no funcionan.

14. La continuidad de negocio debe evolucionar hacia la resiliencia operativa

José Manuel propuso pasar de una visión centrada en responder cuando un sistema falla a otra enfocada en la capacidad de mantener los servicios críticos dentro de límites de interrupción tolerables.

Para avanzar en esa dirección, señaló la importancia de identificar dependencias de punta a punta, considerar a los proveedores de los proveedores, definir tolerancias de impacto y realizar pruebas exigentes de los planes de contingencia.

Estos planes deben probarse en condiciones realistas, incluidas situaciones que involucren fallos tecnológicos y ciberataques.

15. La información y los indicadores deben respaldar la toma de decisiones

Durante la presentación de Pirani, Juan David Parra explicó cómo las herramientas tecnológicas pueden apoyar la identificación y evaluación de riesgos, la selección de controles, el seguimiento de planes de acción y la generación de reportes.

También destacó la utilidad de consultar históricos y tendencias para entender cómo evoluciona el perfil de riesgo de una organización. La gestión de riesgos necesita información que permita evaluar cambios a lo largo del tiempo, no limitarse a una fotografía de la situación actual.

Una gestión de riesgos que evoluciona con las organizaciones

Las intervenciones del Foro ORM dejaron una idea transversal: incorporar nuevas tecnologías requiere revisar los riesgos, fortalecer los controles y preparar a las personas que participan en la operación.

La inteligencia artificial puede apoyar diferentes actividades, pero su uso debe responder a objetivos definidos, políticas de gobierno, controles adecuados y mecanismos de validación. Al mismo tiempo, la cultura de riesgo, el apetito de riesgo y la resiliencia operativa deben estar conectados con las decisiones cotidianas del negocio.

En Pirani, estos temas hacen parte de una conversación más amplia sobre cómo las organizaciones pueden fortalecer su gestión de riesgos y responder a un entorno operativo en constante evolución.

Lleva la gestión de riesgos a la práctica con Pirani

Con Pirani puedes centralizar la información de riesgos, dar seguimiento a los controles y planes de acción, y consultar indicadores para respaldar tus decisiones.

Agenda una demo y descubre cómo funciona Pirani. Conoce la plataforma y explora cómo puede ayudarte a fortalecer la gestión del riesgo operacional en tu organización.