Actualmente el mundo está desarrollándose en un período “post pandemia” y existe una percepción de que en el año 2022 y 2023 se está presentando una “recuperación económica” después del COVID-19, sin embargo, la pandemia nos ha dejado con una serie de efectos secundarios a nivel de salud pública y de carácter económico. Así lo expresa Saadia Zahidi en el prefacio del informe The Global Risks Report 2023 “Las emisiones de carbono han aumentado a medida que la economía global se disparó de nuevo, los alimentos y la energía se han convertido en armas por la guerra en Ucrania, lo que ha elevado la inflación a niveles no vistos en décadas, globalizando una crisis del costo de la vida y alimentando el malestar social.”

Este contexto global nos lleva a analizar riesgos de manera diferente, debido a que el entorno está marcado por una volatilidad consistente, existencia de crisis, fragmentación económica y tecnológica, una realidad geopolítica compleja, problemáticas socioeconómicas emergentes, polarización, crecimiento incierto, catástrofes naturales, cambio climático, nuevos factores que afectan la salud humana, incertidumbre frente a la seguridad digital, bajo crecimiento, baja en inversión, entre otras, éstas son dinámicas que afectan la resiliencia y la habilidad de las empresas para ser sostenibles ante los “shocks” del entorno. Hoy más que nunca vemos los efectos (positivos y negativos) de un mundo interconectado, y así mismo vemos tendencias similares en los riesgos, mayor interdependencia entre ellos, mayor incertidumbre para su evaluación, necesidad de implementar métodos de análisis más precisos, evolución acelerada en el tiempo, efectos interconectados, riesgos emergentes, existencia de nuevas relaciones entre riesgos, más turbulencia e incertidumbre.

En síntesis, este panorama reta a las empresas a preguntarse ¿Qué capacidades nuevas deben desarrollar para prepararse para identificar y evaluar riesgos de manera oportuna y además dar manejo a los mismos cuando se materialicen? La Gestión Integral de Riesgos (GIR), es la herramienta principal de las empresas para desarrollar estas nuevas capacidades requeridas, sin embargo, esta disciplina enfrenta actualmente nuevas oportunidades y desafíos para responder al entorno, crear valor y alcanzar niveles de desempeño más altos, es claro que hay que evolucionar, hay que cambiar cómo las organizaciones responden a los riesgos y cómo los gestionan.

En materia de tecnología, los desarrollos en inteligencia artificial (IA), el análisis de riesgos basado en información y con acceso a grandes volúmenes de datos y el uso de herramientas de analítica, hacen parte de las nuevas tendencias para analizar riesgos, así como la implementación de sistemas de información de Gobierno, Riesgo, Cumplimiento (tipo GRC) y una mayor automatización y digitalización de la información.

La resiliencia y la continuidad de negocio también toman su lugar como disciplinas importantes en la actualidad, dado que las empresas y los gobiernos han aceptado que es inminente la materialización de algunos riesgos y por tanto el éxito está en saber anticipar estos eventos, prepararse adecuadamente y activar oportunamente los mecanismos de contingencia y recuperación.

Hoy la innovación también hace parte de los elementos base de la GIR, por ejemplo, en materia de transferencia y retención de riesgos, se observa una evolución en ampliación de alcance y aplicación de instrumentos como seguros, contratos, derivados financieros o inclusive el desarrollo de nuevos mecanismos para protegerse ante un nuevo espectro de riesgos como ciberataques, variabilidad climática, riesgo geopolítico, riesgo político, entre otros. 

La articulación de las prácticas de ciberseguridad y continuidad de los servicios de tecnología de información y tecnología de operación (TI y TO), con la Gestión Integral de Riesgos también hace parte de los retos actuales, y es tratar de conectar el universo de la gestión de riesgos tradicional con el mundo de la seguridad digital. Así mismo, y lo estamos viendo no solo en el mundo sino también en Colombia, el Estado es más consciente que nunca de la necesidad de dar lineamientos y directrices en materia de GIR, por tanto, hay una tendencia a incluir temas de Gestión Integral de Riesgos en las normas legislativas y regulatorias que se vienen emitiendo.

Ahora bien, la pregunta es cómo en EPM nos estamos preparando para afrontar este entorno incierto, para fortalecer la Gestión Integral de Riesgos e involucrar las nuevas capacidades que se requieren para evolucionar. Consciente de la necesidad de transformarse, EPM decidió emprender el Proyecto Diseño e Implementación del Nuevo Modelo de Gestión Integral de Riesgos. Este proyecto inició su formulación en el año 2019 y fue aprobado para ejecución en septiembre del 2021. El objetivo del proyecto es implementar un nuevo modelo de Gestión Integral de Riesgos (GIR), con el propósito de fortalecer la toma de decisiones, optimizar las operaciones y cumplir con las exigencias normativas, mediante el ajuste y la consolidación de los componentes de la arquitectura empresarial. El proyecto tiene como alcance abordar una primera etapa de implantación en EPM, una segunda etapa de implantación en filiales nacionales y se visiona una tercera etapa en implantación en filiales internacionales.

El proyecto se formuló pensando en transformar la Gestión Integral de Riesgos a través del fortalecimiento de todas las aristas de la arquitectura empresarial; en este sentido los lotes del proyecto corresponden a cada una de estas aristas, por tanto, se cuenta con los lotes de planeación y seguimiento, modelo de información, solución de TI, procesos, desarrollo de capacidades, organización, gestión documental, gestión del cambio comunicación y aprendizaje y adicionalmente se estableció el lote modelo de cumplimiento donde se presentará una propuesta de diseño de este modelo para EPM.

En el lote de solución de tecnología, el proyecto contrató la implementación de una solución de gobierno, riesgo y cumplimiento de talla mundial, en esta solución se soportará el nuevo modelo de gestión integral de riesgos. Dentro de la arquitectura propuesta, se resaltan las funcionalidades de gestión de riesgos, gestión de mecanismos de transferencia y retención de riesgos, gestión de incidentes y eventos, gestión normativa, gestión de amenazas y vulnerabilidades (seguridad digital) y consulta de activos. Con este sistema de información, además de mejorar el tema de automatización y digitalización de la operación, también se capturarán nuevas capacidades asociadas a analítica de datos, inteligencia de negocios, relacionamiento de riesgos, entre otras.

Es claro que esta transformación no culmina con el proyecto, de hecho, este es apenas el inicio, pues una vez éste finalice, el reto está en operacionalizar el nuevo modelo de gestión y la solución GRC, en implantar los nuevos diseños o ajustes de procesos, en materializar los cambios propuestos a nivel de organización, en desarrollar o adquirir las nuevas capacidades de personal que habilitan el modelo, en implantar el diseño del modelo de cumplimiento, entre otros. En conclusión, el reto más grande viene una vez culmine el proyecto, pues la empresa debe lograr materializar la propuesta de diseño, y construir una base para que los nuevos modelos logren permanecer y madurar con el propósito de mejorar la sostenibilidad y resiliencia de la organización.