Gestión de riesgos de TI: cómo el CIO protege al negocio sin frenar la innovación
La transformación tecnológica incorpora nuevas capacidades para el negocio, pero también modifica los desafíos que acompañan su evolución. Cada nueva iniciativa puede reducir determinados riesgos y, al mismo tiempo, generar otros que requieren una estrategia distinta de gestión. En este contexto, el desafío no consiste en eliminar por completo el riesgo tecnológico, sino en definir qué nivel de exposición está dispuesta a asumir la organización para proteger al negocio sin limitar su capacidad para innovar.
¿Qué cambió en la forma de gestionar el riesgo tecnológico?
Durante los últimos cinco años, el entorno en el que las organizaciones gestionan el riesgo tecnológico cambió de forma significativa, lo que obligó a replantear la manera de abordarlo. Este cambio estuvo impulsado por tres transformaciones que modificaron el entorno empresarial en LATAM:
- La creciente dependencia de la tecnología para sostener procesos críticos, elevando el impacto que cualquier interrupción puede tener sobre la continuidad de la operación.
- La ampliación del ecosistema tecnológico, derivada de la adopción de servicios en la nube, modelos de trabajo híbrido y proveedores especializados, incrementando los puntos de exposición que las organizaciones deben gestionar.
- La evolución del entorno regulatorio, que incorporó nuevas exigencias para la gestión del riesgo tecnológico en países como México, Colombia y Chile.
En este escenario, un modelo de transformación de TI y ejecución estratégica permite responder a estas nuevas condiciones con una visión alineada a las prioridades del negocio.
Las cinco principales categorías de riesgos en TI
Cada riesgo en TI responde a causas distintas y puede comprometer diferentes procesos del negocio. Por ello, conviene analizarlos a partir de una taxonomía que los agrupa en las cinco principales categorías:
- Riesgo operacional: interrupciones en sistemas, aplicaciones o infraestructura que afectan la continuidad de la operación.
- Riesgo de ciberseguridad: exposición a amenazas internas y externas que comprometen la información y los activos tecnológicos. En 2024, el costo promedio de una brecha de datos en Latinoamérica superó los 3 millones de dólares, según IBM.
- Riesgo de continuidad: dificultades para restablecer la operación dentro de los tiempos que el negocio requiere.
- Riesgo de proveedores: dependencia de terceros para operar servicios críticos de TI. Deloitte estima que el 73 % de las organizaciones en Latinoamérica aún no cuenta con un gobierno formal para sus proveedores tecnológicos.
- Riesgo de proyectos: iniciativas de transformación que no alcanzan los objetivos de tiempo, costo, alcance o valor para el negocio.
Mapa de calor de riesgos: cómo priorizar las decisiones del negocio
El mapa de calor de riesgos es una herramienta que facilita la evaluación y priorización a partir de dos variables: la probabilidad de ocurrencia y el impacto en el negocio. La combinación de ambas proporcionan un criterio objetivo para establecer niveles de prioridad y orientar la toma de decisiones, a partir de los cuatro escenarios que se muestran a continuación:
| Probabilidad de ocurrencia | Impacto en el negocio | Acción recomendada |
|---|---|---|
|
Alta |
Alto |
Mitigar de inmediato
|
|
Alta |
Bajo |
Gestionar operativamente |
|
Baja |
Alto |
Transferir o preparar plan de contingencia |
|
Baja |
Bajo |
Aceptar y monitorear |
A partir de esta priorización, la organización cuenta con una base objetiva para definir la estrategia de atención más adecuada para cada escenario.
Apetito de riesgo: la decisión que TI no puede tomar sola
El apetito de riesgo establece el nivel de exposición que el negocio está dispuesto a asumir antes de incorporar controles adicionales. Por ello, su definición no corresponde únicamente al CIO, sino que requiere el acuerdo entre el CEO, el CFO y, en los sectores regulados, las áreas legal y de cumplimiento, para asegurar que el nivel de exposición responda a las prioridades de la empresa.
Con ese acuerdo documentado, las iniciativas tecnológicas pueden evaluarse con mayor agilidad y bajo un mismo marco de referencia. En nuestra experiencia, las organizaciones que trabajan de esta manera reducen entre un 40% y un 60% los tiempos de aprobación de proyectos tecnológicos.
Los cinco errores más comunes en la gestión de riesgos de TI en LATAM
Contar con un marco de gestión de riesgos no garantiza, por sí mismo, una menor exposición. La diferencia suele estar en cómo ese marco se lleva a la práctica y se integra en las decisiones del negocio. En organizaciones de LATAM, estos son los errores que con mayor frecuencia limitan su efectividad:
- Gestionar el riesgo como un ejercicio anual: Actualizar el mapa de calor únicamente para el comité de auditoría hace que deje de reflejar los cambios que enfrenta la organización a lo largo del año.
- No acordar el RTO y el RPO con el negocio: Los objetivos de recuperación deben definirse en función del impacto que una interrupción tendría sobre la operación, no únicamente desde TI.
- Firmar contratos con proveedores sin cláusulas de continuidad: La ausencia de responsabilidades y procedimientos previamente acordados dificulta responder ante interrupciones del servicio.
- Invertir en ciberseguridad de forma reactiva: En muchas organizaciones, las inversiones llegan después de un incidente. En América Latina, el tiempo promedio para detectar una brecha supera los 200 días, lo que amplía significativamente su impacto.
- Dejar al CIO fuera del comité de riesgo corporativo: Sin la participación de TI, las decisiones estratégicas se toman con una visión incompleta de la exposición tecnológica.
El nuevo rol del CIO en la gestión del riesgo tecnológico
El CIO ya no participa únicamente para identificar riesgos tecnológicos, sino para traducirlos a un lenguaje que facilite la toma de decisiones del negocio. Esto implica convertir información técnica en criterios que permitan evaluar el impacto operativo, financiero y estratégico de cada iniciativa.
Cuando el riesgo tecnológico se gestiona bajo ese enfoque, deja de convertirse en un factor que retrasa la innovación. Por el contrario, proporciona la información necesaria para evaluar cada iniciativa con mayor rapidez, priorizar las inversiones tecnológicas y tomar decisiones con mayor certeza.
Martin Vaglio
Managing Director & Co-Founder @ RDIT | Technology Strategy | Cost Optimization | Vendor Management | AI, Governance & Transformation | HOLO SaaS
Desde hace más de 20 años acompaña a CIOs, CFOs, CPOs y directorios de organizaciones líderes en América Latina en la definición de estrategias de TI, la optimización de costos, la transformación tecnológica y el gobierno de capacidades digitales. En RD combina consultoría estratégica y la plataforma SaaS HOLO para ayudar a las organizaciones a convertir la tecnología en una ventaja competitiva.
