¿La muerte del ESG y el nacimiento del EDG?

Hace unas semanas participé como jurado de tesis profesionales en el campus parisino de la escuela de negocios EMlyon Business School. Entre los proyectos presentados por los estudiantes, varios abordaban la implementación de la normativa de protección de datos personales y específicamente del Reglamento General de Protección de Datos (RGPD) dentro de empresas de distintos sectores en Europa y en otros países.

Como cabía esperar en este tipo de tesis profesionales, las presentaciones abordaban aspectos muy concretos de la implementación: presupuesto, organización del proyecto, medidas de seguridad o formación de los empleados. Sin embargo, lo que terminó captando mi atención era la manera en que sus autores justificaban su utilidad y la inversión económica.

Lo interesante era que, en los proyectos presentados por los estudiantes basados en casos reales, la conformidad regulatoria dejaba progresivamente de presentarse como una obligación legal para convertirse en una ventaja competitiva. Poder demostrar a clientes, usuarios, socios comerciales e inversionistas que los datos estaban protegidos se transformaba en un argumento de venta, en una herramienta para generar confianza.

Aquellas presentaciones me dejaron con una impresión persistente. La protección de datos parece estar siguiendo la misma trayectoria que los criterios ESG hace dos décadas y en ese sentido, está pasando progresivamente del ámbito de la conformidad regulatoria al de la creación de valor para la empresa.

El gran ausente del ESG

Durante los últimos veinte años, el lenguaje dominante de la responsabilidad corporativa ha sido el ESG: Environmental, Social and Governance (medioambiente, social y gobernanza). Empresas, reguladores, agencias de rating e inversores han utilizado estas tres letras para evaluar la sostenibilidad y la calidad del gobierno corporativo.

Sin embargo, algo ha cambiado, ya que las cuestiones digitales han dejado de ser meros asuntos técnicos gestionados por departamentos informáticos o de tecnología. Como reflejaban las experiencias presentadas por los estudiantes de EMlyon en sectores tan diversos como el financiero, el industrial o el farmacéutico, hoy esos temas determinan la capacidad de una empresa para proteger su reputación, conservar la confianza de sus clientes, asegurar la continuidad de sus operaciones e incluso preservar su valor económico.

Paradójicamente, esa dimensión no dispone de una categoría propia dentro del marco ESG. El componente ambiental cuenta con indicadores relativamente consensuados como emisiones contaminantes, huella de carbono, consumo energético o gestión de residuos.

El componente social mide aspectos como diversidad, condiciones laborales o impacto sobre las comunidades y, por otro lado, la gobernanza evalúa la estructura de dirección, control de las organizaciones y el proceso de decisiones corporativas.

Pero ¿Dónde se mide la protección de datos o la ciberseguridad en los reportes de responsabilidad corporativa o el manejo ético de los datos que confían los clientes? ¿Dónde se evalúa el uso responsable de la inteligencia artificial en dichos informes? Resulta difícil identificar un espacio específico en los informes ESG para estas cuestiones como la protección de datos, la resiliencia frente a los ciberataques o la utilización responsable de la inteligencia artificial.

Formalmente, estos temas suelen quedar absorbidos dentro de la "G" de Governance. En la práctica, cada vez resulta más evidente que constituyen una categoría propia ya que el riesgo digital ha alcanzado una magnitud comparable a los riesgos que originalmente justificaron la creación del ESG [1].

Una filtración masiva de datos puede destruir valor empresarial en cuestión de días al divulgar información de clientes. Precisamente ese riesgo apareció de forma recurrente en varias de las tesis presentadas en EMlyon Business School. Un ciberataque puede paralizar operaciones globales y poner en peligro incluso la seguridad de personas y bienes, como mostraba uno de los proyectos de tesis basado en la experiencia profesional de un estudiante del sector de la industria automovilística. Un uso irresponsable de sistemas de inteligencia artificial puede desencadenar litigios, sanciones regulatorias y daños reputacionales difíciles de reparar [2].

Y todo ello ocurre en un contexto en el que las empresas dependen más que nunca de los datos y de los procesos totalmente digitalizados para operar. Por ello, quizás estemos asistiendo al inicio de una transición silenciosa. El ESG no desaparece. Pero su centro de gravedad se desplaza.

La dimensión digital está adquiriendo tal relevancia que ya no puede seguir siendo tratada como un simple subapartado de la gobernanza. Merece convertirse en un pilar autónomo de evaluación [3].

Esta evolución también podría transformar la manera en que los inversores evalúan a las empresas. Del mismo modo que hoy analizan el impacto ambiental, las políticas sociales o la calidad de la gobernanza, no resulta difícil imaginar que terminen otorgando un peso creciente a la madurez digital de una organización. La capacidad de proteger datos, gestionar riesgos cibernéticos o desplegar sistemas de inteligencia artificial responsables podría convertirse en un indicador tan relevante como la huella de carbono, el respeto del medioambiente o la composición de un consejo de administración.

Tal vez el marco que dominará la próxima década no sea ESG, sino EDG: Environmental, Digital and Governance.

La D de Digital incluiría cuestiones que hoy aparecen dispersas en múltiples normativas, reportes y estándares como protección de datos de clientes y relacionados, ciberseguridad, gobierno del dato, inteligencia artificial responsable, soberanía digital y resiliencia tecnológica.

Al salir de aquellas defensas de tesis en la escuela de negocios EMlyon, me quedó la idea de que los estudiantes además de estar presentando proyectos de cumplimiento de las leyes de protección de datos, estaban describiendo cómo se construye la confianza en una economía digital.

Y si la confianza se ha convertido en uno de los activos más valiosos de una empresa, quizá haya llegado el momento de darle también una letra propia.

Notas:

[1] Mélançon, G., & Pinède, N. (2023). Gouvernance des données et intelligibilité : une approche méthodologique en contexte universitaire. Communication & Organisation, (64), 67-81.

Rosé, J.-J., & Delattre, M. (Dirs.). (2022). RSE et numérique. Une vision francophone. EMS Éditions.

[2] World Economic Forum. (2025). The Global Risks Report 2025 (20th ed.). Geneva: World Economic Forum. https://reports.weforum.org/docs/WEF_Global_Risks_Report_2025.pdf

[3] Mocquet, Bertrand « RSE, gouvernance, numérique : un triangle dramatique ? ». Management des Technologies Organisationnelles, vol. 13, n.º 2, 2021, pp. 49-59.