En un entorno donde los informes, matrices y dashboards de riesgos se multiplican, una pregunta continua sin respuesta en muchas organizaciones: ¿por qué, incluso contando con políticas, controles y apetito de riesgo definidos, las decisiones del día a día siguen produciendo sorpresas desagradables? Este capítulo aborda justamente el eslabón que falta entre lo que está escrito en el papel y lo que ocurre en la práctica: la cultura de riesgo.

En este episodio damos continuidad al recorrido iniciado en el capítulo sobre apetito de riesgo, pero con un enfoque que permite escucharlo de forma totalmente independiente. Pasamos de la intención declarada – cuánto riesgo estamos dispuestos a asumir – y nos adentramos en el terreno del comportamiento real, donde valores, incentivos, miedos, presiones y ejemplo de la alta dirección determinan si el apetito de riesgo se respeta o se ignora.

A partir de normas y marcos de referencia internacionales, mostramos que la cultura de riesgo dejó de ser un tema “blando”. El episodio dialoga con la ISO 31000, con modelos de gestión integrada de riesgos como el COSO ERM y con estándares emergentes, como el Organisational Risk Culture Standard (ORCS), además de frameworks de risk intelligent culture desarrollados por consultoras globales. En lugar de tratar la cultura de forma abstracta, pasamos a verla en dimensiones observables: liderazgo y ejemplo desde la cúpula, ética e integridad, apertura al challenge, competencia en riesgo, aprendizaje a partir de incidentes, incentivos y recompensas, uso de datos y tecnología.

También exploramos cómo estas dimensiones se conectan con las tres líneas (IIA) (gestión, funciones de riesgo/compliance y auditoría interna) y con el papel de los consejos, comités y alta administración. Analizamos por qué reguladores, organismos internacionales y buenas prácticas de gobernanza en sectores críticos ya tratan la cultura de riesgo como un factor de resiliencia, confianza y continuidad del negocio, y no solo como un discurso de “buenas intenciones”.

El episodio fue diseñado para oyentes de nivel intermedio a avanzado en gobernanza, riesgos, seguridad y auditoría, que conviven a diario con presión por resultados, restricciones presupuestarias, exposición a la opinión pública y riesgos operacionales relevantes. La idea es ofrecer un contenido técnico, pero práctico y aplicable, que ayude a transformar conceptos en una agenda concreta.

A lo largo de la conversación, avanzamos en tres movimientos principales:

• Estructurar la cultura de riesgo: entender sus elementos clave, relacionarla con el apetito de riesgo, las normas y los frameworks, y posicionarla dentro de la estrategia y de la gobernanza corporativa.

• Medir la cultura de riesgo: presentar la lógica de los modelos de madurez, el uso combinado de encuestas, entrevistas, indicadores de incidentes y people analytics, y cómo todo esto puede traducirse en dashboards e informes consistentes para la alta dirección.

• Evolucionar el comportamiento frente al riesgo: discutir caminos de cambio gradual, alineación de incentivos, fortalecimiento de la seguridad psicológica, mejora de la calidad de las conversaciones sobre riesgo y aprendizaje estructurado a partir de errores y casi accidentes.

Más que entregar un “checklist de cultura”, este capítulo te invita a dar un paso concreto: iniciar un diagnóstico sencillo de cultura de riesgo en tu área. A partir de la observación de decisiones reales, de las reacciones del liderazgo ante las malas noticias, de la percepción de coherencia entre discurso y práctica y de la calidad del diálogo entre las tres líneas, ya es posible construir un primer mapa y, a partir de ahí, conectar ese diagnóstico con estándares como el ORCS, con la ISO 31000 y con frameworks de cultura de riesgo inteligente.

Al fin y al cabo, el apetito de riesgo es intención; la cultura de riesgo es comportamiento. Y el comportamiento puede – y debe – ser estructurado, medido y evolucionado a lo largo del tiempo.