Ciberataques, exposición a ESG y fallos de terceros. Estos son algunos de los centros de atención más comunes de la gestión de riesgos corporativos.
El problema es que algunas organizaciones todavía ven la gestión de riesgos como una función reactiva y puramente impulsada por el cumplimiento. Como resultado, hay una falta de visibilidad que pone en peligro las operaciones. Además se pone en juego la reputación, los costes y el valor a largo plazo.
La buena noticia es que los departamentos jurídicos y los consejos de administración están en una posición única para cambiar este paradigma. Con el marco de gobernanza adecuado, pueden convertir la gestión del riesgo corporativo en una ventaja estratégica.
El contexto de 2026 aumenta la presión. Según el Allianz Risk Barometer 2026, elaborado con 3.338 expertos en riesgos de 97 países, los ciberincidentes son el primer riesgo empresarial por quinto año consecutivo (42 % de las respuestas). La inteligencia artificial es la categoría que más sube: pasa del puesto 10 al 2. Los cambios legislativos y regulatorios ocupan el cuarto lugar.
Puntos clave
- La gestión de riesgos corporativos identifica, evalúa, trata y supervisa los riesgos que afectan a la estrategia, el cumplimiento y la reputación de la empresa.
- En las sociedades cotizadas españolas, el consejo de administración no puede delegar la política de control y gestión de riesgos (art. 529 ter LSC).
- La comisión de auditoría supervisa la eficacia de los sistemas de gestión de riesgos.
- Un proceso eficaz sigue seis pasos, desde el contexto y los criterios hasta el reporte periódico al consejo.
- Los riesgos jurídicos y de gobernanza exigen datos centralizados sobre consejos, sociedades, asuntos y contratos.
¿Qué es la gestión de riesgos corporativos?
La gestión de riesgos corporativos es el proceso mediante el cual una organización identifica, evalúa, mitiga y supervisa los riesgos que podrían afectar a su rendimiento, cumplimiento o reputación. Esto incluye riesgos operativos, responsabilidades legales, exposiciones financieras, amenazas cibernéticas y desafíos relacionados con ESG.
Una gestión eficaz de los riesgos corporativos integra personas, procesos y sistemas. Así se garantiza que los riesgos no sólo se documentan, sino que se gestionan activamente y se elevan cuando es necesario.
Históricamente, la gestión de riesgos corporativos ha estado estrechamente asociada a las funciones de cumplimiento. Aunque los expertos jurídicos y de cumplimiento siguen desempeñando un papel central, la gestión del riesgo de forma aislada no es factible. Particularmente para las organizaciones que operan en múltiples jurisdicciones y gestionan estructuras de entidades complejas.
Riesgo corporativo y riesgo empresarial: ¿en qué se diferencian?
Los dos términos se usan a menudo como sinónimos, pero no miden lo mismo:
- Riesgo empresarial: afecta a la actividad diaria del negocio. Por ejemplo, la caída de la demanda o la pérdida de un cliente clave.
- Riesgo corporativo: compromete a la organización en su conjunto. Incluye la gobernanza, la responsabilidad de los consejeros, la reputación y la continuidad del grupo.
En la práctica, el riesgo corporativo es el que llega al consejo de administración. Si quiere profundizar en el enfoque global, consulte nuestra guía sobre gestión del riesgo empresarial (ERM).
Tipos de riesgos corporativos
Cada empresa tiene su propio mapa de riesgos. Aun así, la mayoría de los programas parten de estas seis categorías:
| TIPO DE RIESGO | QUÉ CUBRE | EJEMPLO |
| Estratégico | Decisiones que afectan al rumbo de la empresa | Una adquisición mal evaluada |
| Operativo | Fallos de procesos, personas o sistemas | Un ataque de ransomware que paraliza la facturación |
| Financiero | Liquidez, tipos de interés, divisas y crédito | Un cliente importante que deja de pagar |
| Jurídico y de cumplimiento | Normativa, contratos, litigios y responsabilidad de los administradores | Una sanción por incumplir el RGPD |
| Reputacional | Confianza de clientes, inversores y reguladores | Una crisis en redes sociales tras un incidente de datos |
| ESG y geopolítico | Clima, derechos humanos, sanciones internacionales y aranceles | Restricciones comerciales que cortan un proveedor clave |
Estas categorías se solapan. Un ciberataque es un riesgo operativo, pero también jurídico (notificación a la AEPD) y reputacional. El Global Risks Report 2026 del Foro Económico Mundial sitúa la confrontación geoeconómica como el riesgo con más probabilidades de provocar una crisis global en 2026. Su impacto llega a contratos, cadenas de suministro y filiales en el extranjero.
Por qué la fragmentación de la supervisión de riesgos no es una opción
A pesar de saber lo esencial que es, algunas organizaciones siguen luchando para que la colaboración entre equipos sea natural. Lo más frecuente es que haya buenas intenciones, pero problemas para transformar las ideas en operaciones. Después de todo, cuando las cosas funcionan de una determinada manera durante tanto tiempo, es difícil cambiar.
Hemos separado tres retos clave que muestran lo riesgosa que es la supervisión fragmentada de los riesgos:
- Silos departamentales: Cuando los datos relacionados con los riesgos están dispersos en sistemas y equipos desconectados, la organización pierde claridad. Esta fragmentación aumenta la probabilidad de que se produzcan filtraciones de datos, retrasos en los informes y decisiones mal informadas.
- Responsabilidad incoherente: La falta de funciones claramente definidas para identificar, escalar y responder a los riesgos provoca fallos en la gobernanza. Sin responsabilidad, las acciones críticas se escapan de las manos. El resultado no son sólo retrasos operativos, sino posibles incumplimientos y daños a la reputación.
- Visibilidad limitada del Consejo: Muchos de los informes de riesgos que se entregan a los consejos de administración son retrospectivos y carecen de un análisis prospectivo. Sin información oportuna y contextualizada, los miembros del consejo tienen que tomar decisiones estratégicas en la oscuridad. Por consecuencia, se socava tanto la supervisión de riesgos como la planificación a largo plazo.
Todo esto hace casi imposible una gestión proactiva de los riesgos corporativos.
¿Los informes de riesgos llegan al consejo por correo electrónico y en versiones distintas?
Centralice la documentación de riesgos, el orden del día y las actas de sus comisiones en un único espacio seguro con Board Portal. Vea cómo funciona Board Portal
Quién es responsable de la gestión de riesgos corporativos
La responsabilidad final recae en el consejo de administración. Sin embargo, la ejecución se reparte entre varias funciones. Conviene distinguir lo que exige la ley de lo que recomiendan los códigos de buen gobierno.
Lo que exige la Ley de Sociedades de Capital
Para las sociedades cotizadas, la Ley de Sociedades de Capital (texto consolidado a 3 de enero de 2025) fija dos obligaciones concretas:
- Art. 529 ter.1.b): el consejo no puede delegar la determinación de la política de control y gestión de riesgos, incluidos los fiscales.
- Art. 529 quaterdecies: la comisión de auditoría supervisa la eficacia del control interno, la auditoría interna y los sistemas de gestión de riesgos.
Además, el art. 31 bis del Código Penal exime o atenúa la responsabilidad penal de la persona jurídica si dispone de un modelo de prevención eficaz. Ese modelo debe identificar las actividades en las que pueden cometerse delitos. Esto afecta también a sociedades no cotizadas.
Lo que recomienda la CNMV
El Código de Buen Gobierno de las sociedades cotizadas de la CNMV (revisado en 2020) va más allá. Se aplica bajo el principio de «cumplir o explicar»:
- Recomendación 45: la política de riesgos debe identificar los riesgos financieros y no financieros, incluidos los reputacionales y los relacionados con la corrupción. También debe fijar el nivel de riesgo aceptable.
- Recomendación 46: la sociedad debe contar con una función interna de control y gestión de riesgos, supervisada por una comisión del consejo.
Para las sociedades no cotizadas, estas recomendaciones son una buena referencia de gobierno corporativo, aunque no sean obligatorias.
El modelo de las tres líneas
Muchas organizaciones reparten las funciones según el modelo de las tres líneas del Instituto de Auditores Internos (IIA):
| LÍNEA | QUIÉN | QUÉ HACE |
| Órgano de gobierno | Consejo y comisión de auditoría o de riesgos | Aprueba la política y el apetito de riesgo, y supervisa |
| Primera línea | Dirección y responsables de negocio | Gestiona los riesgos en el día a día |
| Segunda línea | Riesgos, cumplimiento y departamento jurídico | Define metodologías, asesora y vigila |
| Tercera línea | Auditoría interna | Aporta una evaluación independiente |
El departamento jurídico suele situarse en la segunda línea. Su información (litigios, contratos, mandatos, sanciones) alimenta directamente el informe de riesgos del consejo.
¿Su comisión de auditoría prepara el informe de riesgos a partir de hojas de cálculo dispersas?
Organice las reuniones de comisiones, los documentos de soporte y el seguimiento de recomendaciones en una sola plataforma. Explore la gestión segura de comisiones y consejos
Cómo gestionar los riesgos corporativos en 6 pasos
La mayoría de los marcos reconocidos comparten la misma secuencia. Así funciona en la práctica:
- Fijar el contexto y los criterios. Defina los objetivos, el alcance y el apetito de riesgo aprobado por el consejo.
- Identificar los riesgos. Combine entrevistas con la dirección, revisión de procesos, auditorías previas y análisis del entorno normativo.
- Analizar y evaluar. Valore cada riesgo por probabilidad e impacto. Una matriz de 5 x 5 es el formato más habitual.
- Tratar el riesgo. Elija entre evitarlo, reducirlo con controles, transferirlo (por ejemplo, con un seguro o una cláusula contractual) o aceptarlo.
- Supervisar. Asigne un responsable y unos indicadores clave de riesgo (KRI) a cada riesgo prioritario.
- Informar y registrar. Lleve al consejo un informe periódico con la evolución de los riesgos y las decisiones tomadas.
Los dos marcos de referencia son COSO ERM, centrado en vincular riesgo y estrategia, e ISO 31000, una norma de principios aplicable a cualquier organización. Le explicamos cómo aplicarla en nuestra guía de ISO 31000 y gestión de riesgos.
Apetito de riesgo y KRI: qué debe ver el consejo
El apetito de riesgo es el nivel de riesgo que la empresa acepta para cumplir sus objetivos. Sin él, el consejo no puede juzgar si una exposición es tolerable.
Los KRI convierten ese apetito en señales de alerta medibles. Algunos ejemplos útiles para el ámbito jurídico:
- Número de mandatos de consejeros que vencen en los próximos seis meses.
- Contratos críticos con vencimiento o preaviso en el trimestre.
- Asuntos jurídicos con presupuesto superado o provisión sin actualizar.
- Recomendaciones de auditoría abiertas fuera de plazo.
La gobernanza como primer enfoque de la gestión de riesgos empresariales
Para avanzar, el programa y la estrategia de gestión de riesgos deben ir más allá de las listas de comprobación del cumplimiento. La solución es replantear la gestión de riesgos corporativos a través de la gobernanza. De tal modo las organizaciones podrán jugar con una visión más amplia y garantizar un mejor cumplimiento.
Esto implica tres grandes cambios:
1. Elevar las funciones jurídicas y del Consejo en la estrategia de riesgos
Los responsables jurídicos y de gobernanza desempeñan un papel más importante que el de limitarse a decir sí o no a las propuestas. ¿Qué pasa si se les otorga un papel central en la identificación y mitigación del riesgo sistémico? Habrá menos margen para la exposición normativa y las lagunas en la gobernanza de los datos.
Paso práctico: Implicar al Director Jurídico o al Departamento de Operaciones Jurídicas en los comités de riesgos de la empresa para que puedan compartir información relevante con el consejo. Asegúrese de que los miembros del consejo reciben actualizaciones en tiempo real sobre los riesgos legales y operativos críticos a través de un portal seguro y centralizado para el consejo.
2. De los registros estáticos de riesgos a la supervisión dinámica
Los enfoques tradicionales de la gestión de riesgos corporativos suelen basarse en registros anticuados y actualizaciones lentas. Este enfoque suele ser criticado por su falta de flexibilidad y lentitud. Sin embargo las cosas han cambiado gracias a LegalTech. El método moderno proporciona colaboración en tiempo real entre todas las partes necesarias.
Caso práctico: Utilizar plataformas de colaboración para realizar un seguimiento de los asuntos jurídicos, las exposiciones de las entidades y los indicadores de riesgo contractual, vinculándolos dinámicamente a métricas de gobernanza más amplias.
3. Vincular riesgo, estrategia y resultados
Puede parecer obvio, pero a menudo no lo es: algunas organizaciones siguen tratando la supervisión de riesgos como una función independiente. Sin embargo, las empresas resistentes integran la gestión del riesgo corporativo en su planificación estratégica. Esto les permite alinear las prioridades ASG, los objetivos de crecimiento y las presiones normativas locales de forma cohesionada.
Caso práctico: Los riesgos de máxima prioridad deben formar parte del orden del día de las reuniones del consejo de administración. Deben estar claramente relacionados con los indicadores clave de rendimiento. Al igual, deben relacionarse con los objetivos estratégicos y las iniciativas centradas en las partes interesadas. También es esencial tener en cuenta los riesgos específicos de cada jurisdicción. Esto en particular para las organizaciones que operan en varias regiones.
Ventajas de la gestión integrada de riesgos
Como resultado de la adopción de la gestión de riesgos corporativos basada en la gobernanza, se obtendrán beneficios cuantificables. A continuación se enumeran algunos de ellos:
- Mayor transparencia: Los consejos de administración y los ejecutivos acceden a los mismos datos sobre riesgos en tiempo real.
- Responsabilidad más clara: Las funciones y responsabilidades se formalizan y supervisan.
- Respuesta más rápida: La colaboración interfuncional permite una mitigación preventiva.
- Confianza normativa: La supervisión demostrable refuerza la postura de cumplimiento.
Cómo apoya la tecnología la supervisión de riesgos jurídicos y de gobernanza
Una herramienta de ERM gestiona el registro y la matriz de riesgos. Pero gran parte de la información que necesita el consejo vive en el departamento jurídico: actas, mandatos, contratos y asuntos en curso. La Suite DiliTrust centraliza esa parte jurídica y de gobernanza.
Board Portal: el riesgo en el orden del día
- Vincule los informes de riesgos a cada punto del orden del día, con permisos por documento.
- Organice las reuniones de la comisión de auditoría o de riesgos en espacios propios.
- Genere un borrador de acta con IA a partir de la transcripción, que el secretario revisa y valida.
- Con Ask Lini, prepare el informe de la comisión al consejo y convierta recomendaciones abiertas en tareas con responsable y fecha.
Gestión de Entidades Jurídicas: control a nivel de grupo
- Mantenga actualizados los datos societarios, mandatos y órganos de cada filial.
- Reciba recordatorios de vencimientos y plazos de cumplimiento.
- Gestione los apoderamientos con el plugin de delegaciones (activable).
Gestión de Asuntos Jurídicos y Gestión de Contratos
- Gestión de Asuntos Jurídicos (Matter Management): centralice las solicitudes internas y siga presupuestos, plazos y asuntos inactivos en cuadros de mando.
- Gestión de Contratos: Risk Detector revisa los contratos frente a los playbooks que define su equipo. Las alarmas avisan de vencimientos y preavisos.
Las funciones de IA dependen del plan contratado y siempre requieren revisión humana.
¿Todavía consolida a mano los riesgos jurídicos antes de cada consejo?
Reúna consejos, sociedades, asuntos y contratos en una misma plataforma y llegue a la reunión con datos actualizados. Recorra la Suite DiliTrust con un experto
La gestión del riesgo empresarial empieza por la gobernanza
El papel del consejo de administración en la gestión de los riesgos corporativos nunca ha sido más crítico. Esta supervisión requiere algo más que concienciación, necesita las herramientas y la mentalidad adecuadas para tener éxito.
Las organizaciones pueden generar no solo cumplimiento, sino confianza. Esto es posible al integrar la gestión de riesgos corporativos en los procesos de gobernanza y utilizar la tecnología para respaldar la visibilidad y el control.
La Suite DiliTrust reúne en una misma plataforma la gestión de consejos de administración, la gestión de entidades jurídicas y la gestión de asuntos jurídicos. Así, el departamento jurídico y el consejo trabajan con la misma información sobre riesgos.
Guía gratuita: cómo elegir una solución de gestión de consejos
Compare funciones de documentación, permisos, actas y seguimiento de tareas antes de digitalizar el reporte de riesgos a su consejo. Descargue la guía
Preguntas frecuentes sobre la gestión de riesgos corporativos
¿Qué tipos de riesgos corporativos existen?
Los más habituales son estratégicos, operativos, financieros, jurídicos y de cumplimiento, reputacionales, y ESG o geopolíticos. Suelen solaparse: un ciberataque es a la vez un riesgo operativo, jurídico y reputacional.
¿Quién es responsable de la gestión de riesgos corporativos en una empresa?
El consejo de administración aprueba la política de riesgos y supervisa su aplicación. En las cotizadas españolas es una facultad indelegable (art. 529 ter LSC), y la comisión de auditoría supervisa la eficacia de los sistemas. La dirección gestiona los riesgos en el día a día, y las funciones de riesgos, cumplimiento y jurídico vigilan.
¿Qué diferencia hay entre COSO ERM e ISO 31000?
COSO ERM vincula la gestión de riesgos con la estrategia y el rendimiento, y está muy extendido en grupos cotizados. ISO 31000 es una norma de principios y directrices, aplicable a cualquier organización y sector. Muchas empresas combinan ambos.
¿Qué software usan los departamentos jurídicos para supervisar riesgos corporativos?
Suelen combinar una herramienta de ERM para la matriz de riesgos con plataformas jurídicas para el resto. Estas centralizan reuniones del consejo, datos societarios, asuntos y contratos. La Suite DiliTrust cubre esa parte jurídica y de gobernanza en una misma plataforma.
¿Cómo se puede automatizar el reporte de riesgos al consejo de administración?
El primer paso es dejar de enviar informes por correo electrónico. Un portal del consejo permite vincular los informes de riesgos al orden del día y controlar quién accede a cada documento. Con Board Portal, la IA también propone borradores de actas y tareas de seguimiento que el secretario valida.
