En compañía del dueño del proceso revisaría los controles existentes o diseñaría un control para evitar que se vuelvan, o que se vaya a materializar uno de estos riesgos para tener un enfoque preventivo.

Posteriormente se designa a un Champion (encargado final) de la unidad de negocio que los digita en una plataforma hecha la medida del cual se pueden extraer los dashboards resumidos del estatus de dichos riesgos.

Se tiene implementada una metodología de llenado mensual y revisión y presentación a la alta dirección bimensualmente, en el caso de los riesgos críticos son presentados mensualmente con el estatus de sus respectivos planes de acción

Y cierres anuales de los planes del año en curso

• Identificación de riesgos: El RMS puede ayudar a las empresas a identificar riesgos potenciales mediante el uso de encuestas, entrevistas y análisis de datos.

• Evaluación de riesgos: El RMS puede ayudar a las empresas a evaluar el impacto potencial de cada riesgo, considerando factores como la probabilidad de ocurrencia y la gravedad de las consecuencias.

• Priorización de riesgos: El RMS puede ayudar a las empresas a priorizar los riesgos en función de su impacto potencial, lo que les permite enfocar sus recursos en mitigar los riesgos más importantes.

• Monitoreo de riesgos: El RMS puede ayudar a las empresas a monitorear los riesgos de manera continua y generar alertas cuando los riesgos cambian o exceden los umbrales predefinidos.

• Gestión de acciones de mitigación: El RMS puede ayudar a las empresas a desarrollar e implementar acciones de mitigación para reducir el impacto potencial de los riesgos.

• Informes y análisis: El RMS puede generar informes y análisis que ayudan a las empresas a comprender sus riesgos y tomar decisiones informadas.

1. Establecer un marco común: Implementar un marco de gestión de riesgos común basado en estándares internacionales, que se adapte a las particularidades de cada país donde opera la empresa.

2. Supervisión en tiempo real: Implementar un sistema que permita la monitorización en tiempo real de riesgos críticos, especialmente aquellos relacionados con la ciberseguridad, cumplimiento normativo y riesgos financieros.

3. Evaluaciones regulares: Realizar revisiones periódicas de los riesgos identificados. Estas revisiones deben incluir auditorías internas y externas.

4. Equipos locales de riesgo: Tener equipos dedicados a la gestión de riesgos en cada país, que reporten a un equipo centralizado. Estos equipos locales estarán mejor posicionados para identificar riesgos específicos a cada jurisdicción

La empresa al operar en diferentes países sin duda requerirá de un proceso automatizado por la magnitud de la información, para eficientar tiempos y recursos, priorizar acciones y lograr una efectiva gestión de administración de riesgos. Sin duda para poder llevar a cabo con éxito la implementación de un sistema de gestión de riesgos, se hace indispensable el contar con una herramienta en la organización

En mi opinión, la mejor opción para la monitorización de riesgos sería mediante un software especializado en gestión de riesgos. Este tipo de herramientas permite una supervisión en tiempo real y una integración automática de datos, lo cual facilita el análisis continuo y la generación de reportes. Además, los softwares de gestión de riesgos suelen contar con funciones avanzadas, como alertas automáticas cuando ciertos niveles de riesgo son superados y la trazabilidad de cada evento registrado. Esto reduce la carga de trabajo manual y asegura que todos los datos estén actualizados y sean accesibles de manera centralizada.

Si bien una plantilla de Excel es una opción viable, especialmente en empresas más pequeñas o con menos exposición al riesgo, tiene limitaciones en cuanto a escalabilidad y precisión en la consolidación de datos. En organizaciones complejas o con operaciones internacionales, el monitoreo de riesgos a través de un software aporta ventajas significativas, como la capacidad de manejar grandes volúmenes de información y la posibilidad de automatizar ciertos controles.

En conclusión, aunque las plantillas de Excel o los métodos manuales pueden funcionar en escenarios limitados, un software especializado es la mejor alternativa para una monitorización de riesgos eficiente y sostenible en el tiempo. Esto no solo permite un control más riguroso, sino que también facilita la toma de decisiones informada y reduce la probabilidad de error humano.

1. Llevar una trazabilidad con el dueño del riesgo, de como evoluciona el riego identificado antes, durante y despues de implementado el plan de remediación, el cual debe permitir generar nuevos controles para mitigar el riesgo.

2. También permite que otros mercados donde nos encontramos, puedan aprender entre si de las mejores practicas aplicadas para minimizar la exposicion del riesgo y llevarlo a los niveles tolerables que esperamos.

3. Finalmente, tener notificaciones sobre los venciomientos de los planes de remediaciones que existen en los diferentes mercados es un soporte vital, ya que te brindara el apoyo de conocer con antelacion cuando un plan de remediación esta por concluir, de manera que puedas dar la revision oportuna con el dueño del plan y atender cualquier contratiempo que se haya presentado. Esto en los escenarios donde el recurso humano de seguimiento de riesgos no sea el esperado.

De esa manera, también permanece el sentido o la idea de que cumplimiento está para quedarse y estará pendiente de manera regular con el monitoreo de los focos de riesgo. Esto, así mismo, motiva al dueño del proceso a que se mantenga siempre al tanto de la normativa y que él mismo proponga maneras para mejorar los procesos y mitigar cada vez más los riesgos inherentes.

MONITOREO DE RIESGOS. En mi experiencia una vez definido el inventario de riesgos, habiendo sido definida al Matriz de Riesgos, el Programa de Trabajo de Administración de Riesgos con su Mapa de Calor y su Mapa de Riesgos; el monitoreo de riesgos se realiza definiendo la periodicidad en la que se deberá reportar el avance respecto a la ejecución de las acciones de control con su respectiva evidencia, por ejemplo, trimestralmente con base en las fechas definidas en el plan de acción. Lo anterior considerando que la identificación de riesgos es permanente y que, por ende, los documentos antes mencionados estarían en constante actualización ya que son una foto del momento.

Una vez recibido el informe de avances y su evidencia, se procede a la revisión por parte del órgano de control de la congruencia entre las mismas y de existir observaciones se emiten en el informe correspondiente. Al final del año, se verifica la ejecución de las acciones de control comprometidas y en caso de lo lograr el 100% de la ejecución de las acciones de control, mantener el riesgo en la actualización de la Matriz de riesgos con su respectiva valoración.

Al momento que una empresa mexicana nos compró, vimos la necesidad de automatizar la carga de los riesgos así como la evaluación, seguimiento y control, aún no hemos llegado a disponer de resultados en tiempo real  sin embargo hemos podido  integración con otros sistemas. La curva de aprendizaje fue larga debido a la culturas y formas de operar en cada país.

Actualmente disponemos de datos centralizados donde todos los riesgos se compilan y analizan. Esto facilita la comparación y el seguimiento de riesgos a nivel global.

Considero que la mejor manera de llevar adelante la monitorización de riesgos depende del tamaño de tu empresa, la complejidad de tus operaciones y los recursos disponibles. Para operaciones en diferentes países, una combinación de herramientas tecnológicas avanzadas y prácticas de gestión sólidas es esencial para garantizar una monitorización efectiva y continua.

Año 1 – Autoevaluación por parte de los responsables locales de Cumplimiento.

Año 2 – Evaluación en profundidad por parte de un asesor jurídico externo.

Año 3 – Aplicación de mejoras basadas en los resultados de la evaluación.

Este proceso de evaluación de riesgos se complementa con consultas adicionales para lograr una visión integral/global del perfil de riesgo en evolución de la empresa. Por ejemplo, se considera la emisión de una autoevaluación a todas las localidades para identificar en forma integral los perfiles de riesgo de referencia y exigir que cada jurisdicción documente anualmente cualquier cambio en sus respuestas para permitir que Cumplimiento comprenda los cambios de un año a otro.

Considero que hoy en día existen diversas maneras de analizar los riesgos por medio de herramientas tecnológicas y programas con IA. Sin embargo, depende de si las empresas estan dispuestas a realizar inversiones para este fin, principalmente las medianas y pequeñas, por lo que utilizan herramientas como excel. No obstante, soy partidario de automatizar procesos

Mi negocio es sumamente pequeño, solo cuento con un total de 20 clientes, por lo que el forma de documentar la identificación, evaluación, tratamiento y monitoreo es a través de dos técnicas que me permite la ISO31,0000 la cuales son: la Matriz de Riesgo y los 5 por qué.

En la empresa donde laboró la monitorización de los riesgos lo llevamos a cabo a través de indicadores cuantitativos y cualitativos que son reportados de forma trimestral al Comité de Ética y Cumplimiento.

También hacemos seguimiento a los controles que se han asignado a las diferentes áreas y procesos a fin de asegurar que estos estén siendo realmente ejecutados por la primera línea de defensa.

El objetivo del monitoreo es asegurar que las acciones preventivas se estén llevando a cabo y evaluar la eficiencia en su implementación, revisando aquellas situaciones o factores que pueden estar influyendo en la aplicación de estas.

El monitoreo está a cargo del Oficial de Cumplimiento con la respectiva colaboración de los líderes de cada uno de los procesos de las diferentes áreas, su finalidad es aplicar y sugerir los correctivos y ajustes necesarios para asegurar un efectivo manejo del riesgo.

El Oficial de Cumplimiento evalúa luego del monitoreo, sus resultados y, en conjunto con los líderes de los procesos, definen las propuestas de mejoramiento y tratamiento de las situaciones detectadas al Representante Legal.

Para llevar trazabilidad de esta etapa se consignan en un software que permite registrar los resultados, así como definir estrategias y planes de acción para gestionar y mitigar aquellos riesgos identificados.

Comparativa entre métodos manuales y herramientas especializadas

Introducción

La monitorización de riesgos es crucial para la continuidad y la resiliencia de cualquier empresa, especialmente para aquellas que operan en diferentes países y contextos regulatorios. Elegir el método adecuado para monitorear riesgos puede marcar la diferencia entre una gestión proactiva y la exposición a amenazas imprevistas.

Métodos de monitorización de riesgos

Existen diversas maneras de abordar el monitoreo de riesgos. Los métodos más comunes son el empleo de plantillas manuales, generalmente en Excel, y la utilización de herramientas especializadas automatizadas.

Monitorización manual con Excel

·       Ventajas:

·       Fácil de implementar y de bajo coste inicial.

·       Flexibilidad para adaptar las plantillas a necesidades puntuales.

·       No requiere capacitación técnica avanzada.

Desventajas:

Propenso a errores humanos y duplicidad de datos.

Dificultad para mantener el control cuando el volumen de riesgos crece o la empresa se expande.

Limitado en cuanto a colaboración en tiempo real, seguimiento histórico y automatización de alertas.

Poca escalabilidad, especialmente si la empresa opera en múltiples países con regulaciones diversas.

Herramientas especializadas de gestión de riesgos

·       Ventajas:

·       Permiten la centralización de la información y visibilidad global en tiempo real.

·       Automatización de alertas, reportes y recordatorios, lo que reduce el margen de error.

·       Facilitan la colaboración entre equipos de diferentes países y departamentos.

·       Adaptabilidad a marcos normativos y exigencias regulatorias de distintos países.

·       Capacidades avanzadas de análisis de datos, tendencias y generación de informes personalizados.

·       Opciones de integración con otros sistemas corporativos (ERP, CRM, BI, etc.).

Desventajas:

Requieren de una inversión inicial mayor y, en algunos casos, costos de licencia o suscripción.

Pueden necesitar capacitación y adaptación del personal.

Dependencia de proveedores externos para soporte y actualizaciones.

Recomendaciones para empresas con operaciones internacionales

·       Si la empresa está en una fase inicial o tiene operaciones simples, una plantilla de Excel puede ser suficiente para empezar. Sin embargo, es importante documentar procedimientos claros y establecer controles para evitar errores y pérdida de información.

·       Para empresas que operan en múltiples países, con diferentes normativas y un número elevado de riesgos a monitorear, la mejor alternativa es invertir en una herramienta especializada que permita centralizar, automatizar y personalizar la gestión de riesgos.

·       Buscar soluciones que ofrezcan soporte multilingüe, cumplimiento normativo internacional y una interfaz colaborativa, idealmente en la nube.

·       Involucrar a las personas responsables de riesgos y TI desde el inicio, para asegurar una implementación eficiente y alineada con las necesidades específicas de la empresa.

Conclusión

Aunque Excel puede ser útil para la monitorización de riesgos en contextos limitados, la gestión efectiva y escalable en empresas internacionales requiere herramientas especializadas. Estas proporcionan mayor control, visibilidad y capacidad de respuesta frente a los distintos retos del entorno global, permitiendo a las organizaciones anticiparse y adaptarse a los cambios con mayor eficacia.

Cuando una empresa opera en distintos países, con regulaciones, idiomas y riesgos diversos, lo más conveniente es implementar un software especializado de gestión de riesgos (GRC). Esta herramienta permite estandarizar criterios, centralizar información, asignar responsables y generar reportes automáticos comparables entre países. Además, facilita integrar indicadores clave de riesgo (KRIs) y alertas tempranas, lo cual fortalece la capacidad de reacción de la organización.

Uso de plantillas en Excel

Ventajas:

• Bajo costo y fácil implementación.

• Flexibilidad para diseñar matrices personalizadas.

• Familiaridad: la mayoría de usuarios conoce la herramienta.

Desventajas:

• Falta de escalabilidad: difícil de manejar en organizaciones grandes o multinacionales.

• Problemas de control de versiones y riesgo de errores humanos.

• Limitada capacidad de automatización, indicadores y alertas.

Uso de software especializado (GRC)

Ventajas:

• Centralización y estandarización de la información en distintos países.

• Automatización de reportes, alertas y seguimiento de planes de acción.

• Mayor trazabilidad y transparencia (auditable).

• Posibilidad de integrar indicadores clave de riesgo (KRIs) y tableros en tiempo real.

Desventajas:

• Requiere inversión económica inicial.

• Necesidad de capacitación y cambio cultural en la organización.

• Puede percibirse como complejo en etapas tempranas si la empresa aún no tiene un sistema formal de gestión de riesgos.

Por lo anterior, creo que la mejor forma de llevar adelante la monitorización es apostar por una solución tecnológica que acompañe la estrategia global de la empresa y que garantice un seguimiento continuo, eficiente y transparente de los riesgos en todos los niveles.

En términos prácticos, la monitorización efectiva parte de una matriz de riesgos viva, con responsables claramente definidos, indicadores clave de riesgo vinculados a eventos reales del negocio y una periodicidad de revisión alineada al apetito de riesgo aprobado por la Junta Directiva; en ese contexto, el Excel sigue siendo una herramienta válida y defendible en organizaciones pequeñas o medianas, siempre que esté bien estructurado, tenga controles de versiones, trazabilidad de cambios y se complemente con actas, reportes y evidencia documental, ya que el regulador no evalúa la sofisticación del software sino la consistencia del criterio, la disciplina de seguimiento y la capacidad de demostrar decisiones informadas.

No obstante, conforme la institución crece, diversifica productos, incorpora más regulaciones o enfrenta mayores riesgos reputacionales y operativos, el uso exclusivo de Excel se vuelve frágil y reactivo, por lo que el estándar al que se debe aspirar es un software especializado, no por moda tecnológica, sino porque permite integrar eventos de riesgo, controles, alertas, indicadores, planes de acción y reportes automáticos a comités, reduciendo la dependencia de personas clave y fortaleciendo la línea de defensa del cumplimiento.

Las razones para preferir tecnología en vez de monitoreos manuales

• Automatización y Eficiencia:  El monitoreo automático de variables, reduce errores humanos y ahorrando tiempo en comparación con la gestión manual .

• Monitoreo en Tiempo Real: Las herramientas modernas permiten actualizar los perfiles de riesgo y realizar un seguimiento continuo, a diferencia de los reportes estáticos manuales.

• Alertas y Gestión Proactiva: Se pueden configurar alertas automáticas para vencimientos de controles o cambios en el nivel de riesgo, facilitando la toma de acciones preventivas.

• Visibilidad y Escalabilidad: El software permite manejar grandes volúmenes de información y escalar la gestión de riesgos a toda la organización, mientras que Excel se vuelve inmanejable y limitado para riesgos complejos.

• Auditoría y Trazabilidad: Las plataformas tecnológicas ofrecen una mejor trazabilidad y documentación necesaria para auditorías, superando la subjetividad y falta de estandarización por ejemplo la de las hojas de cálculo. 

Mi recomendación

Para su nivel actual y considerando que puede auditar organizaciones en Panamá y otros países, comenzaría con:

Excel + Microsoft Lists/SharePoint + Power Automate + Power BI

Esta combinación permite construir un sistema profesional de monitoreo sin asumir inmediatamente el costo elevado de una plataforma GRC empresarial.

HerramientaFunciónExcelDiseño inicial y análisis de la matrizMicrosoft Lists/SharePointRegistro central y control de versionesPower AutomateAlertas, vencimientos y escalamientoPower BITableros, mapas de calor e indicadoresForms o Power AppsReporte de incidentes desde celularTeamsComunicación y seguimiento internacional

Microsoft permite conectar directamente las listas de SharePoint con Power BI, crear reglas cuando un registro se modifica y automatizar procesos de aprobación. También se pueden establecer permisos para que cada responsable visualice únicamente la información autorizada. Microsoft Learn: SharePoint y Power BI, Microsoft Support: reglas automatizadas, Microsoft Learn: seguridad por usuario.

¿Por qué no recomiendo Excel como única herramienta?

Excel es excelente para comenzar, pero cuando existen varias sedes, responsables o países presenta limitaciones:

• Puede haber varias versiones de la misma matriz.

• Los cambios pueden efectuarse sin suficiente trazabilidad.

• Depende de actualizaciones manuales.

• No genera alertas automáticas por sí solo.

• Dificulta controlar evidencias y planes de acción.

• Puede ser insuficiente para auditorías complejas o internacionales.

Por eso utilizaría Excel como herramienta de diseño y análisis, pero mantendría el registro oficial en una plataforma centralizada.

Estructura que implementaría

Cada riesgo tendría, como mínimo:

• Código único.

• País, empresa, sede y proceso.

• Categoría del riesgo.

• Descripción, causa y consecuencia.

• Probabilidad e impacto.

• Riesgo inherente.

• Controles existentes.

• Efectividad del control.

• Riesgo residual.

• Propietario del riesgo.

• Indicadores clave de riesgo —KRI—.

• Plan de tratamiento.

• Responsable y fecha de cumplimiento.

• Evidencias adjuntas.

• Estado y porcentaje de avance.

• Fecha de próxima revisión.

• Historial de modificaciones.

El sistema enviaría alertas cuando:

• Un riesgo alcance nivel crítico.

• Un control no sea ejecutado.

• Una acción correctiva esté próxima a vencer.

• Aparezca un incidente o incumplimiento.

• Un indicador supere el límite de tolerancia.

• Cambie una obligación legal.

• Un responsable no actualice el riesgo en el periodo establecido.

Monitoreo local e internacional

El tablero debe permitir filtrar por:

• País y jurisdicción.

• Empresa o unidad de negocio.

• Proyecto y proceso.

• Norma ISO aplicable.

• Tipo de riesgo.

• Responsable.

• Nivel de criticidad.

• Estado de las acciones.

• Moneda, legislación y fecha de revisión.

También incluiría un mapa de calor 5 × 5, riesgos críticos, acciones vencidas, tendencias mensuales y porcentaje de controles efectivos.

Plataforma GRC para una etapa superior

Cuando aumente la cantidad de empresas, países, auditores y obligaciones regulatorias, convendría migrar a una plataforma especializada:

• ServiceNow Integrated Risk Management: apropiada para corporaciones grandes; permite relacionar regulaciones, controles, riesgos y acciones, con monitoreo continuo y remediación automatizada. ServiceNow IRM

• Optro, anteriormente AuditBoard: enfocada en riesgos, auditoría, controles y compliance, con información centralizada, mapas de riesgo y seguimiento empresarial. Optro Risk Management

• MetricStream: alternativa para organizaciones multinacionales con programas amplios de gobierno, riesgo y cumplimiento.

Conclusión profesional

Para SafeGuard Consultores, implementaría inicialmente una solución propia denominada, por ejemplo:

Sistema Integral de Monitoreo de Riesgos y Compliance — SIMRC

Lo desarrollaría sobre Microsoft 365, con una matriz central, dashboard ejecutivo, mapa de calor, alertas automáticas, control de evidencias y acceso internacional. Sería más económico, adaptable a diferentes clientes y suficientemente profesional para auditorías ISO.

Posteriormente, cuando el volumen de operaciones lo justifique, migraría a ServiceNow IRM u otra plataforma GRC empresarial. Excel seguiría siendo una herramienta auxiliar, pero no el sistema oficial de control.