Artículo publicado en la edición 250 de la Revista Microfinanzas
https://statuscomunicaciones.pe/microfinanzas/M250.pdf
“Existe un riesgo evidente cuando se produce una falla, una desviación o un incidente operativo. Pero coexiste con él una exposición mucho más silenciosa: que una forma particular de interpretar las excepciones se repita hasta convertirse en la manera habitual de decidir”
De la excepción a la norma tácita
- Toda excepción operativa nace con una justificación razonable: una urgencia de atención al cliente, una fricción del proceso o un caso atípico. La primera vez genera incomodidad (se consulta, se evalúa, se documenta). Al no registrarse consecuencias adversas inmediatas, la memoria institucional archiva la desviación como precedente exitoso: “se resolvió y no pasó nada”. Con el tiempo, el atajo reaparece con respaldo previo: “esto ya lo autorizamos antes”.
- A la tercera o cuarta repetición, la excepción ha perdido su carácter de anomalía. La compuerta de emergencia diseñada en el manual termina convertida en la rutina del día a día: firmas que se regularizan tarde por costumbre, controles duales que se delegan por confianza, verificaciones que se omiten para no trabar el flujo operativo. La política no cambió. Cambió la forma de decidir. En ese momento toma forma el algoritmo humano.
El caso que lo explicó todo
- En 1986, la NASA lanzó el transbordador Challenger pese a que ingenieros de campo habían alertado sobre el riesgo de las juntas tóricas bajo temperaturas extremas. La socióloga Diane Vaughan, en su investigación exhaustiva publicada en 1996, demostró que la tragedia no fue producto de negligencia ni de dolo. Fue el resultado de algo más perturbador: la normalización de la desviación. Durante años, la organización toleró pequeñas anomalías técnicas que nunca derivaron en accidente. Esa ausencia de consecuencias fue interpretada como evidencia de seguridad, hasta que el sistema entero redefinió como aceptable lo que en realidad era una falla latente.
- Ninguna organización opera transbordadores, pero todas enfrentan la misma dinámica. El control omitido que nunca activó una auditoría termina siendo el control que nadie ejerce. El expediente que se regularizó después. El comité que se documentó antes de reunirse. La verificación que se dio por sentada porque el flujo no podía detenerse.
Los dos algoritmos
Toda organización opera bajo dos sistemas paralelos:
- El algoritmo formal: lo que la política exige, el procedimiento estipula y la matriz de riesgos exhibe con pulcritud técnica.
- El algoritmo humano: lo que el personal aprendió que realmente funciona para resolver la casuística diaria, lo que la supervisión tolera para evitar demoras, aquello sobre lo que nadie vuelve a preguntar.
El riesgo no radica en la existencia del criterio profesional, indispensable en organizaciones que operan bajo marcos regulatorios de gestión integral de riesgos, sino en la velocidad con que ambos algoritmos se distancian. El Comité de Basilea y el marco COSO ERM coinciden en un punto central: la efectividad del control no reside en el diseño estático de las herramientas, sino en los comportamientos y decisiones cotidianas de quienes ejecutan los procesos.
Lo que los directorios deben preguntarse
- La gestión del riesgo de personas no se agota en detectar dolo o fraude manifiesto. La pregunta más difícil, y la más necesaria, es otra: ¿qué prácticas cotidianas de nuestra institución ya dejaron de provocar preguntas?
- Ninguna arquitectura formal de control es más sólida que el criterio de quien ejecuta el proceso. El verdadero riesgo no comienza cuando alguien decide romper un límite. Comienza mucho antes: el día en que ese límite deja de incomodar.