Las cooperativas tienen debilidades: como cualquier negocio, dependen de sus miembros, clientes, directores, funcionarios y empleados. Esta cercanía puede ser un sentido de pertenencia, pero también un grado poco saludable de autoconfianza. Los controles se ven comprometidos en este contexto; porque todos se conocen, es común pensar que "nunca harían algo inapropiado". La confianza es una parte importante del cooperativismo, pero si se utiliza para eludir los procesos establecidos, puede ser una fuente de riesgo.
El control, por otro lado, protege a quienes hacen lo correcto, reduce las tasas de error, previene abusos y aclara las responsabilidades. La separación de funciones lo muestra claramente: una sola persona no debería tener la capacidad de iniciar, autorizar, ejecutar y registrar una transacción (incluso si puede conciliarla), porque hacerlo podría permitir que los errores o irregularidades pasen desapercibidos.
Una cooperativa gestiona de manera inadecuada el riesgo operativo si solo reacciona tras haber sufrido una pérdida. La administración contemporánea demanda un cambio de enfoque, pasando de la reacción a la prevención.
Según lo estipulado por la norma ISO 31000, la gestión de riesgos implica la identificación, análisis, evaluación, tratamiento, seguimiento y comunicación de este. En el contexto del riesgo operativo, este proceso exige que la cooperativa tenga un conocimiento profundo de sus actividades, identifique posibles fallos, evalúe las repercusiones y establezca controles pertinentes.
El proceso de gestión debe iniciar con preguntas simples pero cruciales:
- ¿Qué podría salir mal?
- ¿Por qué podría suceder?
- ¿Cuáles serían las consecuencias?
- ¿Qué controles están en lugar?
- ¿Realmente son efectivos?
- ¿Quién se encarga de su supervisión?
- ¿Qué acciones tomaríamos si se materializa el evento?
Las respuestas a estas interrogantes facilitan la creación de mapas de riesgos, la revisión de procedimientos, la definición de indicadores de alerta, el fortalecimiento de capacitación y el desarrollo de planes de contingencia. Además, ayudan a identificar el riesgo inherente —el que existe antes de implementar controles— y el riesgo residual que persiste después de su implementación.
Responsabilidad Compartida con Definiciones Claras
La gestión del riesgo operacional no es exclusiva del responsable de riesgos, el Consejo de Vigilancia o la auditoría interna. Cada empleado involucrado en las operaciones asume una parte del riesgo. No obstante, aunque la responsabilidad sea colectiva, esto no implica que no haya asignaciones específicas.
El Consejo de Administración tiene la tarea de aprobar políticas, identificar los principales riesgos y supervisar la ejecución de las acciones necesarias por parte de la alta dirección. Esta última, a su vez, debe implementar dichas políticas, destinar recursos adecuados, definir claramente las responsabilidades y fomentar un entorno donde se reporten incidentes sin demora.
Las unidades operativas deben adherirse a los procedimientos establecidos y gestionar los riesgos inherentes a sus actividades. Las áreas responsables de riesgos y cumplimiento deben proporcionar metodologías efectivas, colaborar en las evaluaciones y monitorear las exposiciones al riesgo. La auditoría interna tiene el deber de ofrecer una evaluación objetiva sobre el diseño y funcionamiento de los controles establecidos.
Todo lo mencionado debe ser considerado con un enfoque proporcional. Las estructuras organizativas pueden variar según el tamaño de la cooperativa; sin embargo, las responsabilidades esenciales deben permanecer inalteradas.
Una cultura que aprende de sus errores
La cultura institucional desempeña un papel decisivo. Cuando los empleados temen informar los errores, los problemas permanecen ocultos hasta que se convierten en pérdidas importantes. Cuando los directivos minimizan los incidentes o justifican excepciones, transmiten el mensaje de que los procedimientos son negociables.
Reportar un error de buena fe no debe confundirse automáticamente con una conducta fraudulenta.
Un documento omitido, una autorización indebida, una contraseña compartida o una recomendación de auditoría ignorada pueden convertirse en el punto de partida de una pérdida económica o de una crisis institucional.
Por esta razón, la gestión del riesgo operacional debe formar parte de la gobernanza, la estrategia y la cultura de toda cooperativa. No es solamente una exigencia técnica: constituye una responsabilidad ética frente a los asociados.
La solidaridad cooperativa necesita confianza, pero la confianza sostenible requiere integridad, transparencia y control. Una cooperativa protege verdaderamente a sus miembros cuando transforma cada procedimiento bien ejecutado, cada alerta atendida y cada error corregido en una defensa del patrimonio común.
En definitiva, los controles no debilitan la confianza: la protegen. Y gestionar adecuadamente el riesgo operacional es una de las formas más concretas de preservar la estabilidad, la credibilidad y la sostenibilidad de las cooperativas.
Las personas: conocimiento, conducta y responsabilidad
Las personas constituyen el componente más importante de una cooperativa. Son quienes toman decisiones, atienden a los asociados, ejecutan los procedimientos y utilizan los sistemas. Sin embargo, su actuación también puede originar errores, incumplimientos, abusos o fraudes.
El riesgo asociado a las personas no significa que los empleados y directivos sean necesariamente deshonestos. Incluye situaciones como falta de capacitación, cansancio, sobrecarga laboral, instrucciones poco claras, desconocimiento de las normas, supervisión insuficiente y asignación inadecuada de responsabilidades.
Un empleado puede registrar incorrectamente una operación porque no recibió el entrenamiento necesario. Otro podría omitir una verificación debido a la presión por atender rápidamente a los asociados. Un directivo puede intervenir indebidamente en la aprobación de un préstamo porque no comprende los límites de sus atribuciones o porque mantiene una relación personal con el solicitante.
También existen conductas deliberadas: apropiación de recursos, manipulación de registros, divulgación de información confidencial, aceptación de beneficios indebidos, falsificación de documentos o colaboración con terceros para defraudar a la institución.
Los signos de esta fuente de riesgo incluyen: 1. Nunca tomar vacaciones, o tomarlas con menos frecuencia. 2. Empleados que se resisten a compartir información sobre algunas operaciones. 3. Concentración de los empleados en el conocimiento crítico. 4. Personal que rota frecuentemente en posiciones sensibles. 5. Discrepancias de efectivo una y otra vez. 6. Cambios injustificados en el comportamiento o estilo de vida. 7. Empleados que violan repetidamente los procedimientos. 8. Relaciones personales o económicas no declaradas. 9. Presiones para aprobar operaciones de inmediato.
La gestión de este riesgo requiere selección adecuada del personal, capacitación continua, evaluación del desempeño, rotación razonable de funciones y vacaciones obligatorias en puestos sensibles. También exige códigos de conducta, canales confidenciales de denuncia, declaración de conflictos de intereses y consecuencias proporcionales frente a los incumplimientos.
Un proceso es el conjunto de actividades mediante las cuales la cooperativa transforma una solicitud, una información o un recurso en un resultado. Por ejemplo, el proceso de crédito comprende la recepción de la solicitud, evaluación, aprobación, formalización, desembolso, seguimiento y recuperación.
Los procesos protegen a la institución cuando están claramente definidos, documentados y supervisados. Por el contrario, se convierten en fuentes de riesgo cuando son incompletos, innecesariamente complejos, contradictorios, desactualizados o desconocidos por quienes deben aplicarlos.
Una cooperativa puede tener un buen manual de crédito, pero si este no refleja las operaciones actuales o se incumple habitualmente, el documento se convierte en una formalidad sin efecto real.
Compartir esta nota