Clase 02 · Taxonomía de riesgos bancarios

← 01 · Qué es el riesgo y cómo se gobierna · Índice de la parte · 03 · Riesgo de crédito de cartera y concentración →

Parte 11 — Gestión integral de riesgos · Nivel: Profesional — perfil bancario · Duración: 90 minutos

🎯 Propósito

Construir el mapa completo de los riesgos de un banco y aprender a leerlo. Una taxonomía no es una lista: es la estructura que determina quién responde por cada riesgo, cómo se mide y con qué se cubre. Un riesgo sin lugar en la taxonomía es un riesgo sin dueño.

La clase anterior definió el riesgo. Esta lo clasifica, y no por afán taxonómico: cada categoría tiene una forma de medirse, un responsable y un tratamiento de capital distintos. Y añade lo que las taxonomías clásicas dejan fuera, que es donde suelen estar las sorpresas.

📚 Objetivos

Al finalizar podrás:

1. Clasificar cualquier evento de pérdida en la categoría de riesgo que le corresponde.
2. Distinguir riesgos financieros, no financieros y transversales.
3. Explicar cómo un riesgo se transforma en otro y por qué eso complica la medición.
4. Construir una matriz de riesgos con probabilidad, impacto y control.
5. Detectar los riesgos que ninguna categoría clásica captura.

Agenda de 90 minutos

La clase dura noventa minutos y se recorre en cinco tramos. No es un horario rígido: es el orden en que los bloques de esta página se sostienen unos a otros, y por eso conviene respetarlo aunque cambien los tiempos.

Los diez primeros minutos se dedican a recuperar la clase anterior, porque casi todo lo que aquí se explica supone algo que ya se vio. Los veinticinco siguientes desarrollan los conceptos con la fuente oficial a la vista: las referencias del final de la página no son un adorno bibliográfico, se consultan mientras se estudia. Del minuto 35 al 55 se resuelve el ejemplo guiado paso a paso, sin saltarse ninguno, porque el error típico vive precisamente en el paso que parece obvio. Los veinticinco minutos siguientes son de práctica con datos propios o sintéticos —nunca reales de terceros—, que es cuando se comprueba si se entendió. Los diez últimos cierran con las preguntas de comprobación y el registro del entregable.

Si el tiempo aprieta, lo que se recorta es la práctica y se traslada al laboratorio de la parte; lo que no se recorta nunca es el ejemplo guiado.

🧩 Conceptos centrales

Los cuatro primeros términos son los ejes de la clasificación; los cuatro siguientes, la matriz y sus dos lecturas. El riesgo de segundo orden es el que la taxonomía tiende a perder: un riesgo de mercado que se convierte en riesgo de crédito porque el deudor estaba descalzado no aparece en ninguna de las dos casillas.

🧠 Modelo mental

El modelo mental es una matriz de dos ejes: el riesgo inherente que tiene una actividad por naturaleza y el residual que queda después de los controles. La distancia entre ambos es lo que aportan los controles, y medirla es lo que permite saber si valen lo que cuestan.

Los riesgos no ocurren en compartimentos: ocurren en cadena.

un ciberincidente (RIESGO TECNOLÓGICO)
  → interrumpe pagos (RIESGO OPERACIONAL)
  → los clientes retiran depósitos (RIESGO DE LIQUIDEZ)
  → el banco vende activos con descuento (RIESGO DE MERCADO)
  → publican el caso (RIESGO REPUTACIONAL)
  → el supervisor sanciona (RIESGO DE CUMPLIMIENTO)
  → el negocio pierde viabilidad (RIESGO ESTRATÉGICO)

Medir cada riesgo por separado y sumar subestima siempre el total. Por eso existen las pruebas de estrés integradas (clase 13) y por eso el capital económico no es la suma de los capitales por riesgo (clase 14).

📖 Desarrollo

1. Riesgos financieros

Los riesgos financieros son los que se miden con modelos y consumen capital regulatorio. La tabla los recoge.

2. Riesgos no financieros

Los no financieros producen las pérdidas más frecuentes y se miden peor. La tabla los recoge.

3. Riesgos transversales

Algunos riesgos atraviesan las dos categorías y no tienen dueño natural. La tabla los recoge.

ESTRATÉGICO     decisiones de negocio erróneas o entorno que cambia
                se manifiesta como caída sostenida de rentabilidad
                NO tiene capital regulatorio asignado, y es el que más bancos ha matado

REPUTACIONAL    pérdida de confianza
                se manifiesta como fuga de depósitos y de clientes
                es el amplificador de todos los demás

CLIMÁTICO       físico (eventos) y de transición (cambio de política y tecnología)
                se manifiesta a través de crédito, mercado, operacional y legal
                → clase 15

El riesgo estratégico y el reputacional no se «gestionan» como los demás: no tienen una métrica única ni un capital asignado. Se gestionan reduciendo la probabilidad de los riesgos que los desencadenan y preparando la respuesta.

4. Riesgo inherente y residual

La diferencia entre ambos es el efecto de los controles, y medirla obliga a evaluarlos. El esquema la muestra.

RIESGO INHERENTE  ──── CONTROLES ────► RIESGO RESIDUAL ──── comparar con APETITO
  probabilidad × impacto              probabilidad × impacto
  sin controles                       con controles operando

ERROR FRECUENTE: evaluar el residual asumiendo que los controles funcionan
CORRECCIÓN:      el residual se estima con la EFECTIVIDAD PROBADA del control,
                 no con su diseño

5. Matriz de riesgos

La matriz reúne todo con su probabilidad y su impacto. La tabla muestra su forma y su uso.

IMPACTO
  crítico │  M  │  A  │  A  │  C  │  C  │
  alto    │  B  │  M  │  A  │  A  │  C  │
  medio   │  B  │  B  │  M  │  A  │  A  │
  bajo    │  B  │  B  │  B  │  M  │  A  │
  mínimo  │  B  │  B  │  B  │  B  │  M  │
          └─────┴─────┴─────┴─────┴─────┘
           raro  poco  posi- prob- casi
                 prob. ble   able  cierto
                    PROBABILIDAD

  B bajo   M moderado   A alto   C crítico

LO QUE LA MATRIZ HACE BIEN
  ordena la conversación, obliga a comparar, prioriza recursos

LO QUE LA MATRIZ HACE MAL
  un evento de probabilidad "rara" e impacto "crítico" aparece como moderado
  y es exactamente el perfil de los eventos que quiebran bancos

CORRECCIÓN: los riesgos de impacto crítico se tratan aparte,
            por escenario y no por matriz

6. Riesgos que la taxonomía clásica no captura

Hay riesgos que ninguna casilla recoge y que aparecen en las interacciones. La tabla los recoge, y esta idea vuelve en la clase 16.

· CONCENTRACIÓN         no es un riesgo: es un multiplicador de todos
· CONTAGIO              la falla de otro banco te alcanza
· MODELO DE NEGOCIO     tu negocio deja de ser viable aunque nada falle
· TERCEROS Y CADENA     el riesgo está fuera de tu perímetro
· DATOS                 calidad, linaje y gobierno de la información
· ALGORÍTMICO           decisiones automáticas sesgadas o no explicables

Los tres últimos crecen con la digitalización y son el objeto de la Parte 14.

🧮 Ejemplo guiado

El ejemplo clasifica los riesgos de una entidad y construye su matriz. Conviene fijarse en los que no encajan en ninguna casilla: son los que la clase 16 vuelve a tratar.

Situación. El comité de riesgos evalúa un evento y debe clasificarlo, medirlo y decidir.

EVENTO
  Un proveedor de verificación de identidad falla durante 11 horas.
  Durante ese lapso, el banco mantiene abierta la contratación digital
  con un procedimiento de contingencia manual simplificado.
  Resultado: 3 400 cuentas abiertas con verificación reducida.
  Dos semanas después se detecta que 62 de ellas usan identidades falsas
  y han recibido 480 millones en transferencias de origen sospechoso.

Paso 1 — clasifica el evento en la taxonomía.

ORIGEN                        riesgo de TERCEROS (proveedor crítico)
MANIFESTACIÓN INMEDIATA       riesgo OPERACIONAL (falla de proceso de control)
CONSECUENCIA REGULATORIA      riesgo de CUMPLIMIENTO (prevención de lavado)
CONSECUENCIA LEGAL            riesgo LEGAL (responsabilidad por las cuentas)
CONSECUENCIA PÚBLICA          riesgo REPUTACIONAL
AMPLIFICADOR                  decisión de mantener el canal abierto → riesgo ESTRATÉGICO

el evento pertenece a SEIS categorías
si se registra solo como "operacional", se pierde la mitad de la historia

Paso 2 — cuantifica cada componente.

OPERACIONAL   costo de revisión de las 3 400 cuentas
              3 400 × 28 000 (costo unitario de revisión)  =  95,2 millones
              cierre y bloqueo de 62 cuentas                =   4,1
CUMPLIMIENTO  sanción estimada por deficiencias de control  = 320,0
LEGAL         contingencia por reclamos de terceros         = 140,0
              (provisión estimada, rango 60–260)
REPUTACIONAL  fuga estimada 0,3 % de la base
              1 900 clientes × 96 000 × 3,89 (VP 5 años)    = 709,5
TOTAL ESTIMADO                                                1 268,8 millones

Paso 3 — compara con la decisión que originó todo.

¿por qué se mantuvo la contratación abierta durante la falla?
  ingreso comercial estimado de 11 horas de contratación: 12,4 millones

DECISIÓN: se arriesgaron 1 268,8 por 12,4
RAZÓN 102 a 1 en contra

Paso 4 — reconstruye por qué se tomó esa decisión.

· la meta comercial del trimestre estaba en riesgo
· el procedimiento de contingencia existía y estaba "aprobado"
· nadie tenía autoridad explícita para cerrar el canal
· la decisión la tomó el área comercial: PRIMERA LÍNEA
· la segunda línea se enteró al día siguiente

FALLA DE GOBIERNO, no de proceso:
el procedimiento de contingencia no definía QUIÉN decide
mantenerlo o suspenderlo, ni con qué criterio

Paso 5 — sitúa el evento en la matriz, antes y después.

INHERENTE   probabilidad: posible     impacto: crítico   → CRÍTICO
CONTROL     verificación de identidad automatizada
            efectividad evaluada: "efectiva"
            efectividad PROBADA en escenario de indisponibilidad: NUNCA SE PROBÓ
RESIDUAL declarado antes del evento: MODERADO
RESIDUAL real:                       CRÍTICO

Paso 6 — extrae la lección de medición.

el residual estaba mal estimado porque:
  · se evaluó el control en operación normal
  · no se evaluó el procedimiento de contingencia como control
  · el control de contingencia nunca se probó

REGLA: un control de contingencia no probado
       se clasifica como INEFECTIVO

Paso 7 — decisiones del comité.

1. TAXONOMÍA
   registrar el evento en las seis categorías, con la pérdida asignada
   a cada una; la base de pérdidas operacionales recibe 99,3 millones,
   no 1 268,8: el resto se registra donde corresponde

2. GOBIERNO
   todo procedimiento de contingencia debe declarar quién decide
   suspender el servicio, con qué criterio y en qué plazo

3. CONTROLES
   los controles de contingencia se prueban con la misma exigencia
   que los ordinarios; sin prueba, se clasifican como inefectivos

4. PROVEEDORES
   verificación de identidad: activar proveedor alterno (Parte 10, clase 16)

5. INCENTIVOS
   revisar si la meta comercial trimestral indujo la decisión

Interpreta: el evento se registró inicialmente como «incidente operacional de proveedor». Clasificarlo bien mostró que la pérdida operacional era el 8 % del total y que el origen no era técnico sino de gobierno. Una taxonomía existe para eso: si el evento se registra en la categoría equivocada, la corrección también será la equivocada.

🏦 Del cliente al banco

El cliente ve un servicio y el banco ve un conjunto de riesgos con dueños distintos. La tabla enfrenta las dos lecturas.

🧪 Práctica

El laboratorio pide clasificar una lista de riesgos y detectar los de segundo orden. Dos de los propuestos son de segundo orden y no encajan en la taxonomía.

En labs/lab-01.md, sección de taxonomía:

1. Clasifica quince eventos de pérdida en la taxonomía completa.
2. Traza la cadena de transformación de tres de ellos.
3. Construye la matriz de riesgos de un banco sintético con inherente y residual.
4. Identifica tres riesgos que la taxonomía clásica no captura en tu contexto.

⚠️ Errores frecuentes

Los síntomas de la tabla describen riesgos que nadie gestionaba. Las causas son categorías sin dueño y riesgos de segundo orden no identificados.

❓ Preguntas de comprobación

1. ¿Por qué medir cada riesgo por separado y sumar subestima el total?
2. ¿Qué diferencia el riesgo inherente del residual y cómo debe estimarse este último?
3. ¿Por qué la matriz de riesgos falla precisamente con los eventos que quiebran bancos?
4. ¿Por qué la concentración no es un riesgo sino un multiplicador?
5. ¿Qué riesgos crecen con la digitalización y no aparecen en la taxonomía clásica?

📥 Entregable

Guarda en portfolio/parte-11/clase-02/:

• los quince eventos clasificados en la taxonomía completa;
• las tres cadenas de transformación trazadas;
• la matriz de riesgos con inherente, control y residual;
• los riesgos no capturados identificados, con su justificación.

🔐 Seguridad, ética y límites

Trabaja siempre con datos sintéticos o propios: nunca uses datos reales de terceros, números de cuenta, documentos de identidad ni antecedentes crediticios ajenos. Este material es formativo y no constituye asesoría financiera, tributaria ni legal; las tasas, comisiones, límites y normas citados cambian y deben verificarse en la fuente oficial vigente del país donde se aplique. Cuando un cálculo alimente una decisión que afecte a otra persona, registra los supuestos y quién los aprobó.

📗 Fuentes y verificación

• Basel Committee on Banking Supervision (2021). Revisions to the Principles for the Sound Management of Operational Risk. BIS. Definición y categorías del riesgo operacional. https://www.bis.org/bcbs/publ/d515.htm
• Basel Committee on Banking Supervision (2019). Overview of Pillar 2 supervisory review practices and approaches. BIS. Riesgos que el Pilar 2 exige cubrir más allá del Pilar 1.
• COSO (2017). Enterprise Risk Management — Integrating with Strategy and Performance. COSO. Criterio para ordenar riesgos por objetivo y no por área.
• ISO (2018). ISO 31000: Risk management — Guidelines. ISO. Vocabulario común de identificación y evaluación de riesgos.
• Hull, J. (2018). Risk Management and Financial Institutions (5.ª ed.). Wiley. Capítulos 1 y 2: panorama de riesgos.
• Verificación local: revisa la taxonomía de riesgos exigida por tu supervisor y las categorías de la base de eventos de pérdida operacional.