Si usted es CRO, deje de ser el que solo avisa
Pasa a ser el que puede probar cuándo avisó. Y esa diferencia no es de método: es de posición en la mesa.
Prof. Mario Héctor Vogel · Creador del Sistema VEFS™ · 31 de julio de 2026Un consejero mira la pantalla, señala un indicador en rojo y hace la pregunta más razonable del mundo: ¿y esto desde cuándo pasa?
Todos miran al director de riesgos.
Y él, que conoce ese número mejor que nadie en la sala, que sabe cómo se calcula y de dónde sale cada componente, tiene que contestar que va a averiguarlo.
Las dos actas de arriba son de esa misma reunión. Mismo número, misma fecha, mismo punto del orden del día.
Y ninguna de las dos está mal escrita.
La primera es exactamente lo que corresponde cuando alguien informa. La segunda es lo que corresponde cuando alguien propone y el Consejo resuelve.
El problema no está en la redacción. Está en que la redacción delata qué lugar ocupó usted en esa sala.
El rol del CRO —Chief Risk Officer, director de riesgos— dentro del Consejo de Administración de un banco o una cooperativa de ahorro y crédito cambia cuando cada alerta lleva su umbral, la fecha en que lo superó y un responsable con nombre.
Sin ese registro, el CRO informa el estado y el Consejo decide. Con él, deja de ser el que avisa y pasa a ser el que puede probar cuándo avisó.
La trazabilidad de las decisiones de riesgo, que ISO 31000 y COSO ERM reconocen, deja de ser un requisito de auditoría interna y se convierte en su posición en la mesa.
¿Qué es hoy un director de riesgos en la mesa de un Consejo?
Es el que informa el estado.
Trae el tablero, señala lo que está en rojo, explica de dónde sale cada número, y el Consejo de Administración —o el Directorio, según la institución— decide qué hacer con esa información.
Es un rol honesto, es necesario, y no tiene nada de malo. Pero tiene una consecuencia que casi nadie nombra en voz alta: quien informa no participa de la decisión.
¿Por qué informar y decidir son dos lugares distintos?
Porque el que informa aporta insumo, y el que decide asume consecuencia.
Son dos posiciones diferentes en la misma sala, con dos responsabilidades diferentes. Y en la mayoría de las instituciones —con Consejo o con Directorio, es igual— el director de riesgos está del lado del insumo.
Esto ocurre en más de una mesa, y no son las mismas en todas las instituciones.
En un banco hay al menos dos. En el Comité de Riesgos usted suele estar del lado de la propuesta: es su terreno, y ahí decide o codecide. En el Directorio vuelve al lado del insumo. Y es el Directorio el que queda registrado en el acta.
En una cooperativa de ahorro y crédito el mapa es otro, y en un punto es más exigente. Suele haber una sola mesa técnica —el Consejo de Administración— y junto a ella un Comité de Vigilancia que no es un comité técnico sino un órgano de control electo, que responde a la Asamblea de socios.
Dicho de otro modo: en un banco su informe lo lee un comité. En una cooperativa, su informe lo puede terminar leyendo un socio.
Es la misma persona, con la misma información, ocupando lugares distintos según la sala.
Este artículo trata del órgano que aprueba el acta, porque es el que deja rastro.
No hace falta creerme. Está escrito, y usted lo puede verificar esta tarde.
Esa diferencia de redacción es toda la distancia entre los dos lugares.
Tomar conocimiento no es un verbo que proteja a nadie.
¿Y si yo no redacto el acta?
En un banco mediano o grande, no la redacta. La escribe la Secretaría del Directorio, y muchas veces usted la lee dos semanas después de la reunión.
Eso no invalida nada. Lo desplaza.
Porque el acta no registra lo que usted quiso decir: registra lo que usted puso sobre la mesa. Si lo que presentó fue un informe, el acta dice que se tomó conocimiento. Si lo que presentó fue una propuesta con umbral, fecha y responsable, la Secretaría no tiene otra forma de redactarlo.
El acta no se cambia escribiéndola distinto.
Se cambia llevando algo distinto.
Y si no tiene acceso al libro, hay un atajo: pida el orden del día de las últimas seis reuniones. Ahí va a ver, sin leer una sola acta, si su punto se llama «informe» o se llama «decisión».
¿Por qué la fecha cambia quién habla?
Porque un estado se informa, y un tiempo obliga.
Cuando alguien dice «este indicador está en rojo», la respuesta razonable de la mesa es «hay que revisarlo». Nadie actúa mal: es la respuesta correcta a esa frase.
Cuando alguien dice «este indicador está en rojo desde hace sesenta días», la respuesta razonable es otra. Es: ¿y qué hacemos hoy?
¿Qué convierte una preocupación en una urgencia?
Una fecha. No un número más grande. No un color más intenso. Una fecha.
Y el motivo es simple: el color no se acumula y el tiempo sí.
Dos indicadores en rojo se ven idénticos en cualquier pantalla aunque uno haya cruzado su umbral ayer y el otro hace dos meses. En una cooperativa de 48 millones con el 62 % del fondeo en cuarenta socios, el primero acumula USD 14.568 y el segundo USD 874.080. En un banco de 320 millones con el 41 % en 150 clientes, USD 56.208 contra USD 3.372.480.
El mismo color. Sesenta veces de diferencia.
No es una hipótesis: en ocho cooperativas intervenidas de América Latina y España las señales estuvieron a la vista durante meses, y ninguna fuente pública informa desde cuándo.
Y acá está el punto que conviene leer despacio, porque es todo el artículo en una idea.
El que tiene la fecha es el único que puede afirmar que hay que decidir hoy.
Ese es el momento exacto en que un CRO deja de ser el que informa.
No porque alguien le haya dado más autoridad. No porque haya cambiado el organigrama.
Porque tiene el único dato que obliga.
¿Qué deja de ser un CRO cuando trae un número?
Deja de ser el que trae malas noticias sin número.
Y esa es una condena silenciosa que muchos directores de riesgo cargan sin decírselo a nadie: en la mayoría de las reuniones, su intervención es la que incomoda y no resuelve.
Compárelas así:
«Hay que revisar la concentración» es un problema para la mesa.
«Esto cuesta USD 14.568 por día» es alguien que trajo una decisión.
La primera frase abre una tarea sin dueño. La segunda abre una discusión con dos salidas: se corrige, o se acepta el costo.
Las dos son decisiones. Y las dos son del órgano de gobierno, no suyas.
¿Por qué un número cambia quién queda incómodo?
Sin número, el incómodo es el que avisa. Es el que trajo el problema a una reunión que venía bien.
Con número, el incómodo es el que posterga. Porque ahora postergar tiene un precio escrito, y ese precio corre durante la postergación.
Esa inversión —de quién queda incómodo en la sala— es lo más importante que produce una cifra por hora.
¿Qué deja de ser frente a auditoría interna?
Deja de estar solo.
Hoy defiende, sin ayuda, una cifra que no está en los libros. Y esa es probablemente la conversación más incómoda que tiene en todo el año, porque es la única donde no juega de local.
¿Por qué una cifra extracontable lo deja expuesto?
Porque la carga de la prueba es enteramente suya.
Auditoría no tiene que demostrar que la cifra está mal. Él tiene que demostrar que está bien, y eso es mucho más difícil.
Lo que cambia esa conversación es una distinción que se puede explicar en treinta segundos.
Una pérdida no registrada es un hecho que ya ocurrió, que la norma obliga a reconocer, y que alguien omitió. Eso es una incorrección material, y no se defiende: se corrige.
Un costo de oportunidad nunca se registra, y no por omisión sino por naturaleza. Un asiento necesita dos partes, y algo que nunca se generó no tiene contra qué anotarse. No es que falte la cuenta: es que no puede existir.
Con eso resuelto, deja de discutirse si la cifra debería estar en los libros. Se discute dónde sí queda: en el acta, con fecha.
Y ahí ocurre lo que, a mi juicio, es la consecuencia más importante de todo esto.
En el momento en que el órgano de gobierno toma nota de esa cifra en un acta, la cifra deja de ser del CRO.
Pasa a ser de la institución.
Y a partir de ahí, él ya no la defiende: la administra.
Ese traspaso es posible por una razón concreta: la cuenta se puede rehacer. Cinco divisiones que cualquiera reconstruye en una servilleta, sin parámetros ocultos: la metodología está publicada con sus tres supuestos declarados.
Un número que nadie puede verificar sigue siendo del que lo trajo, para siempre. Uno que se rehace en dos minutos deja de ser «el número del CRO» y pasa a ser «nuestro número».
En una cooperativa esto pesa más todavía, y por un motivo que un banco no tiene: ese número puede terminar en una Asamblea, delante de socios que no son financistas.
Un modelo cerrado no se explica en una Asamblea.
Cinco divisiones, sí.
¿Y el día que el supervisor pregunte?
Es la pregunta que más desvela a un director de riesgos, y la que menos se dice en voz alta. Y no es la misma conversación que la de auditoría interna: auditoría es un colega que trabaja en la misma institución. El supervisor, no.
Empecemos por lo que un supervisor no va a hacer.
No va a exigirle una métrica que no está en ninguna norma. Y tampoco va a objetarla: no está obligado a opinar sobre una herramienta interna de gestión, y en general no lo hace.
Lo que sí pregunta, y pregunta siempre, es otra cosa:
¿Cuándo se detectó esta situación, y qué hizo la institución al respecto?
Esa pregunta hoy se contesta con memoria, con correos viejos y con la buena voluntad de quien la reconstruye. Y suele referirse a señales que el Dashboard no informa, que son las más difíciles de reconstruir después.
Con umbral, fecha y responsable escritos, se contesta con un documento.
No se trata de tener una métrica que el supervisor apruebe. Se trata de tener una respuesta el día que pregunte.
¿Esto es un insumo del ICAAP o algo separado?
Acá conviene ser preciso, porque la respuesta corta es que no reemplaza nada.
El ICAAP —y el ILAAP, donde aplica— evaluúan la suficiencia de capital y de liquidez frente a los riesgos asumidos. Se hacen una vez al año, con escenarios declarados, y el supervisor los revisa.
Si su institución no tiene ICAAP —y muchas cooperativas no lo tienen— el equivalente es su informe periódico de riesgos y sus indicadores PERLAS ante el supervisor. El razonamiento es el mismo: hay un documento periódico donde usted declara cómo gestiona, y hay una pregunta que llega después.
Esto no es ninguno de los dos, y no compite con ellos.
Lo que aporta es un registro continuo de cuándo cada señal cruzó su umbral y qué se decidió al respecto. Es decir: el material con el que se escribe la sección de gobierno de esos procesos, en vez de reconstruirla de memoria en el mes previo a la entrega.
Dónde encaja, para el que necesita ubicarlo en una carpeta:
Como insumo del marco de apetito de riesgo, porque le pone umbral y fecha a límites que hoy se declaran sin ninguna de las dos.
Como anexo al informe periódico de riesgos —del Comité de Riesgos en un banco, del Consejo en una cooperativa—, que es donde se discute lo que todavía no se resolvió.
Y como respaldo ante el Comité de Vigilancia, que en una cooperativa es el primero que va a mirar si usted advirtió y cuándo.
Y NO como sustituto de ningún proceso regulatorio. Quien lo presente así va a tener una conversación corta y mala.
¿Cuáles son los dos escenarios en que se juega su carrera?
Todo director de riesgos vive entre dos condenas posibles. Casi nunca se dicen en voz alta, y sin embargo están presentes en cada decisión de levantar o no levantar una alerta.
Y conviene decir algo antes de seguir, porque cambia la escala del problema. En muchas instituciones medianas, el área de riesgos es una persona. A veces dos.
Cuando el acta dice «a propuesta del área de riesgos», en un banco eso nombra a un equipo. En una cooperativa nombra, en la práctica, a usted.
Y en una institución chica, equivocarse no significa cambiar de área: significa irse.
Si levanta la alerta y no pasa nada, queda como alarmista. Y la próxima vez que levante una, va a pesar menos. No porque alguien se lo diga: porque así funciona.
Si no la levanta y pasa algo, queda como negligente. Y esa no tiene próxima vez.
¿Por qué esa disyuntiva no tiene salida hoy?
Porque las dos condenas se juzgan por el resultado.
Y el resultado no depende de él. Depende de lo que la mesa haga con la advertencia, y de lo que ocurra después en el mercado, en la cartera o en el país.
Se lo evalúa, entonces, por algo que no controla. Es una posición insostenible, y la mayoría de los CRO la sostiene igual, en silencio, durante años.
Con un umbral definido por escrito, una fecha registrada y un responsable con nombre, ninguna de las dos condenas lo alcanza.
Porque ya no se discute si tuvo razón.
Se discute qué hizo el órgano de gobierno con lo que él puso sobre la mesa a tiempo.
Y quiero ser muy claro con algo, porque este párrafo se puede leer mal.
Esto no es «cúbrase las espaldas». Es exactamente lo contrario.
Un CRO que sabe que su advertencia queda registrada con fecha advierte más, no menos. Deja de calcular si conviene levantar la mano. Deja de estimar el costo personal de equivocarse.
Y una institución donde el director de riesgos advierte sin calcular su costo personal es una institución mejor gobernada.
Eso no es un beneficio para él. Es un beneficio para quienes confiaron su dinero, y para el supervisor. En la Caja Popular Santiago Apóstol, el factor decisivo no fue una herramienta: fue que cada directivo empezó a recibir información distinta según su cargo.
¿Esto lo convierte en el que previó la crisis?
Después de todo lo anterior, conviene poner un límite antes de que alguien lo pida.
No. No lo convierte en eso.
Nadie puede prometer previsión. El que la promete pierde al primer director de riesgos técnico que lo lea, y con toda la razón: si existiera un método para prever crisis financieras, no se lo estaría contando alguien en un artículo.
Lo que sí hace es otra cosa, y es más modesta y más útil.
Lo convierte en el que puede demostrar cuándo lo supo.
¿Y eso alcanza?
Depende de para qué.
Para evitar que una crisis ocurra, no siempre. Hay cosas que no dependen de él ni de su institución.
Para resolver la posición de una persona cuando la crisis ocurre, alcanza y sobra.
¿Qué cambia en la sala, en concreto?
Todo lo anterior es una tesis. Acá está lo observable, que es lo único que se puede comprobar.
El orden del día
Deja de decir «informe del área de riesgos». Empieza a decir «decisión sobre concentración de fondeo».
Parece un detalle de redacción. No lo es: un punto que se llama «informe» se puede escuchar y pasar al siguiente. Un punto que se llama «decisión» no.
El acta
Deja de decir «se tomó conocimiento». Empieza a decir «se resolvió, a propuesta del área de riesgos».
Este es el cambio más concreto de todos, y el más fácil de verificar: está escrito, está firmado y está archivado.
El tiempo de su intervención
Deja de ser el punto que se pasa rápido para llegar a los temas importantes.
Un punto con dos salidas posibles —se corrige o se acepta el costo— obliga a tratarse. No por insistencia suya: por la estructura de lo que está planteado.
Lo que aparece la primera vez
Y hay algo que pasa casi siempre, y conviene adelantarlo.
La primera vez que alguien busca en las actas desde cuándo figura un tema, encuentra que figura hace más tiempo del que recordaba.
Ese suele ser el primer hallazgo. Y lo produce el ejercicio, no ninguna herramienta.
¿Por dónde empieza esto, y qué cuesta?
Empieza con una pregunta en la próxima reunión, y no cuesta nada.
Elija un indicador que esté en rojo y pregunte: ¿desde cuándo?
¿Y si nadie sabe la fecha?
Ese es el primer hallazgo, y ya lo tuvo sin comprar nada ni contratar a nadie.
Después, tres columnas en una planilla: umbral, fecha y responsable con nombre, para las tres señales que le parezcan más caras. Un área no decide: decide una persona. Si quiere partir de una lista ya armada, acá están las diez, una por una.
Si no recuerda la fecha exacta, ponga la más antigua que pueda probar. El número le va a dar subestimado, y eso juega a su favor: nadie discute una cifra conservadora. Hay un registro gratuito para anotar las diez, aunque una planilla también sirve.
Preguntas frecuentes
Hoy el CRO informa el estado: trae el tablero, señala lo que está en rojo y el Consejo de Administración —o el Directorio, según la institución— decide qué hacer con esa información. Quien informa aporta insumo; quien decide asume consecuencia. La diferencia queda escrita en el acta: «se tomó conocimiento del informe» frente a «se resolvió, a propuesta del área de riesgos».
Porque un estado se informa y un tiempo obliga. Ante «este indicador está en rojo», la respuesta razonable es «hay que revisarlo». Ante «está en rojo desde hace sesenta días», la respuesta es ¿qué hacemos hoy? El color no se acumula y el tiempo sí: en una cooperativa de 48 millones con el 62 % del fondeo en cuarenta socios, un día son USD 14.568 y sesenta días son USD 874.080.
Con tres datos por cada señal: el umbral definido antes y por escrito, la fecha en que ese umbral se superó, y un responsable con nombre. Un área no decide: decide una persona. Si no se recuerda la fecha exacta, conviene registrar la más antigua que pueda probarse —el acta del último comité donde el tema figuró, el cierre mensual donde el número ya estaba fuera de rango—. El resultado queda subestimado, y eso facilita defenderlo.
Distinguiendo dos cosas. Una pérdida no registrada es un hecho ocurrido que la norma obliga a reconocer y que alguien omitió: eso es una incorrección material y se corrige. Un costo de oportunidad nunca se registra, y no por omisión sino por naturaleza: un asiento necesita dos partes, y algo que nunca se generó no tiene contra qué anotarse. Su registro natural es el libro de actas, con fecha.
Un supervisor no exige una métrica que no está en ninguna norma ni suele objetarla. Lo que pregunta siempre es cuándo se detectó la situación y qué hizo la institución al respecto. Sin registro, eso se contesta con memoria y correos viejos. Con umbral, fecha y responsable escritos, se contesta con un documento.
No. El ICAAP y el ILAAP evalúan la suficiencia de capital y liquidez una vez al año. En instituciones sin ICAAP, el equivalente es el informe periódico de riesgos y los indicadores PERLAS. Esto no sustituye ninguno de los dos: aporta un registro continuo de cuándo cada señal cruzó su umbral y qué se decidió, que es el material con el que se escribe la sección de gobierno de esos procesos.
El problema es que las dos condenas posibles —alarmista si advierte y no pasa nada, negligente si no advierte y pasa algo— se juzgan por el resultado, que no depende de él. Con umbral, fecha y responsable registrados, deja de discutirse si tuvo razón y pasa a discutirse qué hizo el órgano de gobierno con lo que se puso sobre la mesa a tiempo.
Tres cosas observables. El orden del día deja de decir «informe del área de riesgos» y pasa a decir «decisión sobre». El acta deja de decir «se tomó conocimiento» y pasa a decir «se resolvió, a propuesta del área de riesgos». Y el punto deja de ser el que se pasa rápido, porque un punto con dos salidas —se corrige o se acepta el costo— obliga a tratarse.
Un consejero mira la pantalla, señala un indicador en rojo y pregunta desde cuándo.
Y esta vez la respuesta es una fecha, un umbral y un nombre.
Deja de ser el que avisa.
Pasa a ser el que puede probar cuándo avisó.
La metodología que produce esas tres columnas está publicada, y la calculadora es gratuita y no pide registro: rentabilidadyestrategia.com/radar-cro