2)        Que los diferentes eventos de la organización no hayan sido considerados a la hora de diseñar controles.

3)        La nula participación de los dueños de los procesos en el diseño de los controles.

4)        No tener un método para reportar los eventos y analizar correctamente la fuente raíz.

5)        No conocer el impacto de los riesgos identificados y por tanto no valorarlos correctamente.

Sin embargo los mayores inconvenientes con los que nos toparíamos si decidiésemos encarar políticas de compliance para mitigar los riesgos del área, seria en primer lugar la reestructuración de los mecanismos que ya existen pero que, o no han sido actualizados, o no funcionan. Luego esta el tema de la “alta dirección” conformada por los funcionarios de turno que deberían velar por una gestión honesta y transparente, pero que se vuelven muchas veces cómplice del personal que lo rodea que no actúa conforme a la ley, y en el peor de los casos los funcionarios participan de esas actividades ilícitas, por lo que no hay interés en compliance, ya que el interés de esos actores está puesto en sus bolsillos. Y finalmente el último obstáculo es la normativa vigente que habría que derogar y modificar para así instaurar normas ( ordenanzas, decretos y/o resoluciones) que estén en sintonía con las exigencias del compliance.

1. Falta de datos precisos: La calidad de la matriz depende de la disponibilidad y precisión de los datos.

2. Subjetividad en la evaluación: Las opiniones individuales pueden influir en la evaluación de riesgos.

3. Complejidad excesiva: Una matriz muy compleja puede dificultar su comprensión y uso.

4. Falta de participación de interesados: La ausencia de participación de partes relevantes puede llevar a la omisión de riesgos importantes.

5. Falta de actualización: Si no se actualiza regularmente, la matriz puede volverse obsoleta.

6. Limitaciones en la comprensión del contexto: Una comprensión incompleta del entorno puede conducir a la subestimación de riesgos.

7. Sesgos cognitivos: Los sesgos pueden distorsionar la identificación y evaluación de riesgos.

8. Falta de recursos: La asignación insuficiente de recursos puede comprometer la calidad de la matriz.

Por otro lado, debido a lo extenso del proceso del levantamiento, no contar con herramientas tecnológicas que faciliten su levantamiento, revisión, control y actualización puede ser un riesgo en sí mismo y abrumador para los líderes de ejecutar el proyecto.

También el hecho que estar en distintas jurisdicciones puede hacer compleja la matriz si no estamos al tanto de actualizaciones y aplicabilidad en países en específico

Un desafío que enfrentamos es nuestras múltiples jurisdicciones, nuestros riesgos pueden cambiar rápidamente, lo que implica un constante monitoreo y adecuaciones de nuestras políticas y mecanismos de control.

La falta de información completa, precisa y actualizada sobre los procesos, sistemas y actividades de la empresa puede dificultar la identificación de los riesgos potenciales.

Si los diferentes departamentos y áreas de la empresa no colaboran o comparten información de manera efectiva, puede haber vacíos o inconsistencias en la identificación de riesgos.

Algunos miembros de la organización pueden mostrar resistencia a participar en el proceso de gestión de riesgos o a implementar las medidas necesarias para mitigar los riesgos identificados.

La falta de tiempo, presupuesto o personal dedicado a la gestión de riesgos puede dificultar la elaboración de una matriz de riesgo completa y detallada.

Maria Lucia De Lucia

En mi experiencia lo más desafiante es la evaluación/ cuantificación de los riesgos. Una vez identificados los riesgos, es esencial evaluar su probabilidad de ocurrencia y su impacto en la organización. Por ejemplo, en Costa Rica, es necesario hacer un Manual de Prevención de Riesgos, para algunas actividades que están sujetas a supervisión en materia de legitimación de capitales, en mi caso, tuve que hacer una para una empresa que presta servicios legales, no solo fue necesario comprender el contexto de la organización e identificar los riesgos sino cuantificar el riesgo, es decir asignar valores numéricos a los diferentes aspectos del riesgo. Debí realizar el marco teórico con las definiciones de riesgo, además indicar el método de evaluación utilizado, los factores a evaluar que se utilizaron: Factores externos (Geografía, Riesgo de Clientes) y Factores internos (Servicios prestados, Canales) y además categorizarlos como riesgo bajo, medio o alto. Ya aplicado en la práctica esto arroja algunas operaciones de clientes que podrían considerarse sospechas y así hacer el reporte ante la UIF. Sin duda una experiencia desafiante para quienes realmente queremos crear un Manual que funcione.

Rebeca Montealegre

En mi experiencia cuando se identifican riesgos inevitablemente se tienen que designar áreas dentro la organización que sean dueñas tanto del riesgo, como del control para mitigar cada riesgo, cuando el área de Gestión de Riesgos o Compliance notifica a cada área que de ahora en adelante es dueña de un riesgo y/o un control, no es algo que sea aceptado o bien recibido ya que sale de estatus quo de cada área tener actividades adicionales que debe cumplir si o sí, y esto genera rechazos, cuestionamiento y llega a confundir a las áreas a las que les asignó un riesgo, ya que han comentado que si exsite un área de riesgos o de compliance que esta haciendo esa actividad ellos deberían ser responsables de todos los riesgos, con el paso del tiempo y através de diversas explicaciones fundamentadas en normas y sistemas de gestión de riesgos, se han ido aceptando los riesgos, no obstante es una lucha constante y dificil de implementar de inicio.

JMNN

Otro natural, es el referido a la resistencia al cambio por parte de algunos colaboradores.

Uno menor, pero esencial es la coordinación entre las áreas, sobre todo porque están avocadas a lo diario, es difícil en algunas ocasiones abstraerlos a este tipo de trabajo.

En cuanto a las oportunidades, el cumplimiento regulatorio, la gestión preventiva será ideal para la organización frente a la competencia, constituye una manera de proteger la reputación de la empresa.

Las amenazas, son los cambios constantes de normativas, quizás no logre tener una flexibilidad tan potente para adaptarse a nuevos riesgos, no abarcar todas las situaciones.

Fortalezas,pueden constituir una fuente de información que permita tomar decisiones fundadas, optimización de los recursos, promueve una gestión proactiva.

Subjetividad en la evaluación: porque esto puede generar discrepancias en la priorización de los riesgos, ya que la subjetividad puede ser diferente entre los evaluadores.

Complejidad en la identificación de riesgos: porque podría omitir riesgos importantes si no se realiza un análisis exhaustivo.

Resistencia al cambio: ya que al implementar medidas de mitigación para los riesgos identificados puede generar resistencia al cambio por parte de los equipos o stakeholders.

Para cumplir con todo el proceso de elaboración de una matriz de riesgo es necesario se involucre a un equipo diverso de la organización conformado por todas las áreas, conocedores del entorno interno y externo, el rubro de la organización, los proceso y generar la matriz en base a datos confiables.  

El inconveniente sería a mi consideración contar con funcionarios pocos comprometidos, no muy responsables, con poco conocimiento del rubro de la empresa y sus funciones y/o ser experto pero muy cerrado, confiado que una vez determinada la matriz no hay más que hacer, siendo la matriz de riesgo es un proceso de mejora continua y debe estar en continua revisión.

Análisis del Contexto

Uno de los primeros retos sería la complejidad multijurisdiccional. Al operar en varios países, cada uno con sus propias regulaciones, resultaría complicado hacer una identificación precisa de los riesgos y garantizar el cumplimiento normativo. A esto se suma la dificultad para mapear las interacciones internas y externas debido a la diversidad de productos, servicios y departamentos. Además, la identificación de stakeholders sería un desafío, ya que las expectativas podrían ser divergentes entre reguladores, inversores y clientes.

Identificación de Riesgos

La identificación de riesgos tendría que abarcar una amplia gama, desde los estratégicos hasta los de cumplimiento. Un problema clave sería la aparición de riesgos emergentes, como los relacionados con ESG o la ciberseguridad, que exigirían ajustes constantes. También se enfrentarían dificultades para recopilar información precisa debido al tamaño y la dispersión geográfica de la empresa, lo que complicaría la recolección de datos relevantes para la matriz de riesgo.

Evaluación de la Probabilidad e Impacto de los Riesgos

Uno de los mayores desafíos en esta fase sería la incertidumbre de los datos, ya que la evaluación se basaría en modelos analíticos dependientes de supuestos, lo que podría limitar la precisión en la evaluación de ciertos riesgos. Además, la estimación de la probabilidad e impacto podría ser subjetiva y variar entre departamentos, generando inconsistencias en la matriz de riesgo.

Desarrollo de Políticas y Controles

La implementación de políticas y controles sería otro reto importante, ya que tendría que ajustarse a las normativas específicas de cada país, añadiendo una capa de complejidad operativa. Asimismo, garantizar la integración de políticas internas con las regulaciones externas sería esencial, pero difícil de implementar de manera efectiva en todas las áreas.

Monitoreo y Mejora Continua

Por último, la fase de monitoreo y mejora continua requeriría soluciones que sean escalables y aplicables en todas las jurisdicciones donde opera la empresa, lo cual no siempre sería fácil de lograr. A esto se sumaría la necesidad de recolectar datos en tiempo real, lo que podría verse limitado por los sistemas de información y la disponibilidad de recursos

El confeccionar la matriz de riesgo (estructura y componenetes de redacción) han sido aceptados de manera muy clara y sobre todo las areas se han abierto a exponer todas las preocupaciones y limitantes que tienen para gestionar sus procesos.

Considero que es crucial involucra a expertos y empleados de diferentes áreas para obtener una perspectiva amplia.

He visto que la matriz de riesgos de la organización que formo parte aborda riesgos cualitativos como cuantitativos lo que ha llevado a buscar la colaboración Interdepartamental para trabajar en conjunto para asegurar que se consideren todos los posibles riesgos y se obtenga una visión integral, esto genera una limitante al ver diferentes criterios términos para mencionar mismos riesgos por tema cultural y social de cada país.

Además, la rotación de persona deja a la vista un resto para mantener una capacitación continua al personal sobre la identificación y gestión de riesgos.

También hay una brecha importante en los procesos de revisión y actualización de la matriz de riesgos ya que se convierte en un documento vivo y esta actualización al ser periódica permite reflejar cambios en el contexto y nuevos riesgos emergentes siempre que los colaboradores sigan el proceso establecido para actualización de riesgos.

1.     Análisis del contexto:

He participado en la evaluación del contexto interno y externo de la empresa, analizando el marco regulatorio, y en la propuesta de nueva normativa.

Además, he participado en talleres para la formulación del Plan Estrategico, para el establecimiento debjetivos estratégicos.

2.     Identificación de riesgos:

He trabajado en la identificación de riesgos asociados al robo de combustible y al incumplimiento normativo, utilizando métodos como entrevistas con expertos y revisión de registros históricos.

Una dificultad frecuente ha sido la resistencia del personal a identificar riesgos relacionados con conductas poco éticas o posibles fallas en los controles existentes.

3.     Inventario de riesgos:

Documentar y clasificar los riesgos ha sido una parte esencial del proceso, especialmente para identificar aquellos con mayor probabilidad e impacto en las operaciones.

4.     Análisis de riesgos:

He trabajado en la evaluación del impacto y la probabilidad de riesgos para priorizarlos.

Principales  inconvenientes al desarrollar una matriz de riesgos

En una empresa grande y compleja puede haber dificultades para obtener información completa y precisa de todas las áreas para el análisis del contexto y la identificación integral de riesgos.

La cultura organizacional puede ser un obstáculo para identificar y aceptar riesgos. Algunas personas pueden percibir el proceso como una auditoría o crítica, lo que genera poca cooperación.

Las regulaciones cambian constantemente, especialmente en sectores altamente regulados como el energético. Mantener la matriz alineada con todas las normativas aplicables es un desafío continuo.

La falta de herramientas digitales avanzadas puede complicar el análisis de grandes volúmenes de datos necesarios para la evaluación efectiva de riesgos.

Temas como la ciberseguridad, los riesgos climáticos o los cambios geopolíticos son difíciles de anticipar y cuantificar en una matriz de riesgos, lo que puede afectar la precisión del análisis.

El alto nivel de rotación de personal es también un obstáculo para poder capacitar al personal y para realizarle entrevistas sobre la percepción que tienen en la materia de compliance.

-          Lograr que los lideres de los procesos entiendan el concepto de que es una matriz de riesgo, y que puedan identificar cuales son los riesgos a los que ellos están expuestos.

-          La falta de colaboración y resistencia al cambio por parte del personal

-          La dificultad para cuantificar el riesgo.

-          La falta de datos históricos sobre los riesgos.

-          Los sesgos de comportamientos pueden influir en la identificación y evaluación del riesgo.

-          La falta de compromiso y participación de los colaboradores

1. Falta de capacitación técnica:

   • Muchos sujetos no financieros aún desconocen a fondo sus obligaciones.

   • No existen suficientes capacitaciones especializadas o prácticas para estos sectores.

   • Las matrices de riesgo que deben crear suelen terminar como documentos genéricos o inadecuados.

2. Ambigüedad en la interpretación de la normativa:

   • Las guías disponibles pueden ser limitadas, poco detalladas o no adaptadas a la realidad operativa de cada tipo de sujeto obligado.

3. Cambios constantes en plazos, criterios y formatos exigidos por reguladores:

   • Una matriz de riesgo que se desarrolla hoy puede requerir actualizaciones en pocos meses debido a nuevas resoluciones, guías o informes exigidos.

   • El cumplimiento puede volverse reactivo, generando frustración y pérdida de confianza en los procesos de compliance.

4. Brechas entre lo regulado y lo fiscalizado:

   • Algunas entidades aún no han sido supervisadas formalmente, lo cual crea un falso sentido de "no urgencia", dificultando que la compliance officer impulse mejoras.

1.     Falta de compromiso de la alta dirección

Descripción: Si los líderes no respaldan el proceso o lo ven como una carga burocrática, será muy difícil implementar cambios reales.

Consecuencia: Falta de recursos, poco seguimiento y menor participación del resto de la organización.

2.     Escasez de tiempo y recursos

Descripción: El análisis de contexto, la identificación y el inventario de riesgos requiere tiempo, entrevistas, talleres y documentación.

Consecuencia: Puede ser percibido como una prioridad baja frente a las operaciones del día a día.

3.     Desconocimiento o falta de formación

Descripción: Los colaboradores pueden no entender qué es un riesgo o cómo identificarlo (especialmente conductas de riesgo).

Consecuencia: Subregistro de riesgos relevantes y debilidades en los controles.

4.     Ausencia de procesos documentados

Descripción: Las empresas no tienen formalizados sus procesos, lo que dificulta identificar actividades, funciones o puntos de control.

Consecuencia: Imposibilidad de vincular riesgos a procesos o responsables específicos.

5.     Resistencia al cambio

Descripción: Introducir un modelo de gestión de riesgos implica nuevos registros, controles, análisis y, muchas veces, responsabilidades.

Consecuencia: Puede generar rechazo pasivo o activo, especialmente si no se comunica bien el propósito del proceso.

Se podrían mitigar de la siguiente forma:

·       Sensibilizar y capacitar a la dirección y a los colaboradores.

·       Empezar por un proyecto piloto en un área crítica.

·       Utilizar formatos simples y visuales para registros.

·       Buscar aliados internos: personas comprometidas que actúen como embajadores.

·       Comunicar los beneficios: prevención, eficiencia y reputación.

En la fase de análisis del contexto, es fundamental que todos los involucrados estén alineados para identificar con claridad los factores internos y externos que influyen en el entorno en el que opera la compañía. Lo anterior permite establecer una base sólida en el proceso de implementación.

Durante la identificación de riesgos, es clave tener claridad sobre los objetivos que se persiguen y el propósito de la matriz. En este punto, el compromiso de los líderes de proceso es importante. Solo con su participación activa se puede garantizar un inventario y un verdadero análisis de riesgos, especialmente en lo que respecta a la definición de controles y la asignación de responsables para su ejecución.

Inconvenientes específicos:

• Subjetividad en la evaluación:

La probabilidad y gravedad de los riesgos pueden ser subjetivas y, por lo tanto, poco fiables. 

• Simplificación excesiva:

La complejidad de los riesgos puede ser simplificada, y algunos riesgos pueden cambiar rápidamente. 

• Falta de agregación:

Las matrices de riesgos no permiten sumar o comparar los riesgos de manera proporcional. 

• Falta de datos objetivos:

Las evaluaciones pueden basarse en juicios subjetivos en lugar de datos objetivos, lo que puede llevar a decisiones equivocadas. 

• No considerar el tiempo:

Las matrices no siempre tienen en cuenta los períodos de tiempo en los que pueden ocurrir los riesgos. 

• No capturar todos los riesgos:

Pueden no identificar riesgos con baja probabilidad o alto impacto. 

• Resistencia al cambio:

Las organizaciones pueden mostrar resistencia a la implementación de nuevas herramientas y procesos de gestión de riesgos. 

• Falta de coordinación:

La falta de un líder designado y responsables para cada riesgo puede dificultar la gestión. 

• Recursos insuficientes:

La falta de recursos adecuados puede comprometer la implementación exitosa de la gestión de riesgos. 

• Incumplimiento de plazos:

Si no se establecen plazos claros, la gestión de riesgos puede retrasarse o no llevarse a cabo. 

En resumen, aunque las matrices de riesgos son una herramienta útil, es importante ser consciente de sus limitaciones y tomar medidas para mitigar los riesgos asociados con su uso, como la subjetividad en la evaluación, la simplificación excesiva y la falta de datos objetivos. 

1. Análisis del Contexto

Inconvenientes:

• Diversidad de unidades de negocio: CORPORACIÓN opera en alimentos, energía, bienes raíces, etc., lo que dificulta establecer un contexto común.

• Falta de alineación estratégica: Las prioridades de riesgo pueden variar entre áreas operativas, legales, financieras y comerciales.

• Acceso limitado a datos actualizados: Especialmente en mercados emergentes donde la información es fragmentada.

2. Identificación de Riesgos

Inconvenientes:

• Subjetividad en la identificación: Los equipos pueden tener diferentes percepciones sobre lo que constituye un riesgo.

• Falta de cultura de reporte: Algunos riesgos operativos no se documentan por temor o desconocimiento.

• Desconexión entre niveles operativos y estratégicos: Riesgos relevantes pueden no escalarse adecuadamente.

3. Inventario y Clasificación de Riesgos

Inconvenientes:

• Volumen excesivo de riesgos: En empresas grandes, el inventario puede volverse inmanejable sin una buena categorización.

• Falta de criterios comunes: Diferentes áreas pueden usar escalas distintas para evaluar impacto y probabilidad.

• Dificultad para priorizar: Riesgos críticos pueden perderse entre los menos relevantes.

4. Evaluación y Tratamiento de Riesgos

Inconvenientes:

• Recursos limitados para mitigación: No todos los riesgos pueden ser tratados al mismo tiempo.

• Falta de seguimiento: Las acciones correctivas pueden quedar sin implementación o sin evaluación.

• Desconocimiento de metodologías: Algunas áreas no están familiarizadas con técnicas como análisis cuantitativo o simulaciones.

Considero los siguientes retos en la creación de la matriz de riesgo hospitalaria:

• Identificación compleja de riesgos: Los hospitales manejan una variedad de riesgos clínicos, operativos, tecnológicos, legales y éticos. Catalogarlos con precisión requiere un esfuerzo multidisciplinario que puede ser difícil de coordinar.

• Falta de cultura de Compliance: Si el personal clínico y administrativo no está familiarizado con los principios de cumplimiento, puede haber resistencia al cambio o subestimación de riesgos clave.

• Datos dispersos o insuficientes: Para evaluar el impacto y probabilidad de cada riesgo, se necesitan datos confiables. En muchos hospitales, los sistemas de información no están interconectados, lo que dificulta la recopilación.

• Subjetividad en la evaluación: Las probabilidades e impactos pueden estar influenciados por percepciones individuales, lo que podría generar una matriz sesgada o poco representativa.

• Actualización continua: El entorno hospitalario cambia constantemente (nuevas regulaciones, tecnología, protocolos). Mantener la matriz actualizada requiere una revisión periódica que muchas veces se descuida.

• Desalineación con objetivos estratégicos: Si la matriz se diseña desde un enfoque puramente técnico o legal sin considerar la estrategia institucional, puede no reflejar los verdaderos riesgos prioritarios.

Amenazas: Otras empresas del sector requiriendo talento con las mismas caracterisiticas / Alta Rotacion de personal

Fortalezas: Programas de formación robustos.

Oportunidades: Ampliación del portafolio de servicios.

En resumen, el mayor reto es transformar la matriz en una herramienta práctica y dinámica, evitando que se convierta en un documento rígido o burocrático.

En mi experiencia, la parte más completa y desafiante ha sido la determinación de la probabilidad de ocurrencia (likelihood). Aunque existen parámetros y metodologías, este factor tiende a ser subjetivo, ya que depende de la percepción de expertos internos y de la disponibilidad de información histórica.

En nuestra compañía, la calificación del riesgo se obtiene multiplicando la probabilidad de ocurrencia (likelihood) por el impacto. Esto permite establecer un rango que refleja la magnitud del riesgo. Cuanto más altos son ambos valores, mayor es el impacto económico y estratégico para la empresa.

He observado que la determinación del impacto suele ser más objetiva, ya que puede asociarse a pérdidas financieras, sanciones regulatorias o daños a la reputación. Sin embargo, la probabilidad resulta más compleja de definir, sobre todo en factores externos que escapan al control de la organización. Por ejemplo, la volatilidad del precio internacional del petróleo o los cambios en leyes ambientales son riesgos de alta relevancia, pero su frecuencia de ocurrencia es difícil de estimar con precisión.

Este aprendizaje me ha permitido valorar la necesidad de combinar herramientas cuantitativas (históricos de pérdidas, indicadores financieros) con juicios cualitativos de expertos internos, para lograr una matriz de riesgos más robusta y ajustada a la realidad del sector energético.

Adicionalmente, existen factores no tan críticos pero si relevantes como:

1. Resistencia de las áreas operativas: todo mundo defiende su "metro cuadrado" y a veces son reacios a colaborar.

2. Personal especializado: Generalmente los bancos en Costa Rica destinan un equipo pequeño para evaluar riesgos operativos y el personal especializado en Basilea, ISO, COSO, no son abundantes en el mercado local.

3. Falta de ingtegración entre riesgos, Compliance y la auditoría, donde cada área trabaja por separado lo que puede generar matrices distintas para un mismo proyecto o bien la duplicidad de controles lo que viene a dar una mala imagen ante los entes reguladores.

 Sin embargo, diversas fases presentan desafíos significativos y complejidades específicas:

1.     Etapa Análisis de riesgos:

La dificultad de cuantificar la incertidumbre: Teniendo en cuenta que  esta fase es notoriamente compleja, especialmente al buscar un nivel alto de precisión:

Eventos con alta incertidumbre: Los eventos con niveles elevados de incertidumbre son particularmente difíciles de medir, lo que complica el análisis de aquellos con consecuencias graves.

Complejidad técnica: Realizar un análisis cuantitativo eficaz requiere datos históricos confiables y el uso avanzado de herramientas matemáticas y estadísticas, lo que lo convierte en un proceso más intrincado en comparación con el análisis cualitativo.

Limitaciones de herramientas manuales: El uso de matrices en plataformas como Excel puede introducir subjetividad, ambigüedad y dificultades para comparar riesgos, lo que afecta la objetividad en la toma de decisiones.

2.     Etapa Tratamiento de riesgos:

 La imposibilidad de eliminar riesgos por completo: Durante esta etapa surgen obstáculos en relación con la efectividad de las medidas adoptadas:

Eliminación del riesgo: Es poco frecuente que los riesgos se eliminen totalmente; solo es posible cuando se dispone de información adicional suficiente y se cuenta con el respaldo de expertos.

Eficiencia de los controles: Incluso con un diseño cuidadoso, las acciones implementadas pueden no alcanzar los resultados esperados o, en algunos casos, generar nuevos riesgos imprevistos.

3.     Etapa Identificación de riesgos y acciones preventivas:

Fragilidades históricas**

Gestión insuficiente: En el pasado, las "acciones preventivas", utilizadas antes de la adopción del enfoque basado en riesgos según la norma ISO 9001:2015, fallaron en muchas organizaciones debido a su administración a niveles operativos bajos, sin incorporar factores estratégicos superiores. Esto incrementaba la exposición a riesgos severos como la corrupción o problemas de liquidez.

4.     Eatapa Establecimiento del contexto: Limitaciones en los recursos

Ciertas organizaciones enfrentan dificultades al intentar gestionar múltiples áreas (calidad, medio ambiente, seguridad) con recursos limitados. Estas limitaciones pueden impedir un análisis robusto del contexto, considerado un paso fundamental para desarrollar todo el sistema. En conclusión, los mayores retos operativos suelen encontrarse en la cuantificación de los riesgos con un alto grado de incertidumbre durante la etapa de análisis, así como en las dificultades para lograr una eliminación total de las amenazas durante el tratamiento.

1. Los riesgos emergentes con la tecnología, es decir, existen cada vez existen nuevas vulnerabilidades en ciberseguridad, los modelos de IA que cada vez evolucionan más rápido, el riesgo de exposición de datos  compartidos es exponente, y finalmente una dependencia de proveedores de tecnología lo que hace que las organizaciones tengan un mapa de riesgos continuamente cambiante, en conclusión la matriz debe ser dinámica, no estática

2. Otras de las dificultades que me he encontrado, es que en las organizaciones no se cuenta con un nivel de madurez de la comprensión de los riesgos en las nuevas tecnologías, es decir, si bien su apetito de riesgo implica la adopción de tecnología, no se comprende muy bien su impacto, aunado a falta de una cultura organizacional, entendiendo que la adopción no solo es responsabilidad del área técnica o legal, requiere de una participación multidisciplinaria.

3. Un tercer aparte ya esbozado en el punto 1, es que la regulación normativa en materia tecnológica va atrás, es decir, los esfuerzos normativos que existen hoy por hoy, están considerando los derechos y el respecto de la dignidad humana en si misma, pero no se ha logrado un impacto a nivel global, porque mientras se promulga una ley, la tecnología ya ha puesto obsoleto su alcance y contenido. Es decir, uno de los mayores retos en esta era digital es que el concepto de seguridad jurídica esta reevaluado y se deberá considerar primero los principios éticos y el impacto social.

4. Finalmente como firma asesora, considero que el principal reto es acompañar a diseñar y estructurar matrices equilibradas, es decir, conforme al nivel de madurez de cada cliente, y que como elemento fundamental del compliance, sirva para adpcion de decisiones ajustadas.

Identificación: Mi trabajo diario es identificación de riesgos. Evalúo constructoras, proyectos y clientes con informes formales de debida diligencia, verificando listas OFAC/ONU, PEP, registros mercantiles y origen de fondos. Los riesgos recurrentes: beneficiarios finales no identificados, sociedades opacas, homonimias en listas internacionales y documentación incompleta.

Inventario: Cada informe legal documenta lo aportado vs. lo faltante, funcionando como inventario de riesgos por proyecto. Sin embargo, no cuento con una matriz maestra centralizada que consolide el estado de todos los expedientes.

Análisis: Aplico matrices cualitativas clasificando riesgos por factores (legal, reputacional, LA/FT, regulatorio) con niveles Bajo a Alto, emitiendo dictámenes de vinculación aprobada, condicionada o no recomendada, siempre fundamentados en ley.

Principales obstáculos

1. Documentación incompleta crónica de contrapartes comerciales en ítems críticos (KYC, origen de fondos, beneficiarios finales).

2. Resistencia cultural del sector, que percibe la debida diligencia como un trámite innecesario.

3. Operación unipersonal sin equipo de compliance dedicado ni segundo nivel de revisión.

4. Información dispersa entre correos, archivos y plataformas sin un sistema unificado de seguimiento.

5. Costos elevados de servicios externos de depuración que limitan la DD ampliada a todos los clientes.

Mi mayor fortaleza es el dominio del marco regulatorio y la producción de informes de DD bien fundamentados. Mi mayor brecha no es de conocimiento, sino estructural: la resistencia de terceros, la ausencia de equipo y la falta de centralización.

Otro desafío es lograr que las distintas áreas vean a Compliance como un socio estratégico y no únicamente como un área de control. Esto requiere mucha comunicación, capacitación y acompañamiento.

En ocasiones existen muchas iniciativas de compliance al mismo tiempo, por lo que es necesario priorizar los riesgos más relevantes y utilizar los recursos de manera eficiente