Para tomar mejores decisiones, ya no basta con revisar controles o vulnerabilidades de manera aislada. Cristian Barría, Subgerente de Riesgo Operacional y Tecnológico de Itaú Chile, explica a ZonaCISO por qué comprender el negocio es el punto de partida para anticipar riesgos cada vez más conectados.
La transformación digital amplió el mapa de dependencias de las instituciones financieras. Servicios cloud, fintech, APIs, automatización y cadenas de terceros conviven hoy en operaciones que deben mantenerse seguras, continuas y confiables, incluso cuando parte de su infraestructura está fuera del control directo de la organización.
Ese escenario exige conectar las miradas de Negocio, Tecnología, Ciberseguridad, Continuidad y Riesgo. Ya no se trata solo de identificar una vulnerabilidad o medir un tiempo de recuperación, sino de comprender qué servicio puede verse afectado, cuáles son sus dependencias y qué decisión debe tomar la organización.
Desde tu experiencia, ¿cómo ha cambiado la relación entre el riesgo operacional, el riesgo tecnológico y la ciberseguridad dentro de las instituciones financieras?
Antes, el riesgo operacional, el tecnológico y la ciberseguridad tendían a gestionarse con metodologías, equipos y miradas distintas. Hoy esa separación es cada vez menos sostenible.
Las instituciones financieras son cada vez más empresas tecnológicas. La transformación digital ha impulsado fuertemente la adopción de servicios cloud, la externalización de capacidades críticas y una mayor dependencia de terceros. A esto se suma la aparición y consolidación de las Fintech, que han venido a resolver y simplificar muchos servicios para los clientes, obligando también a la banca tradicional a adoptar tecnología de una manera mucho más ágil. Todo esto necesariamente cambia la forma en que evaluamos y gestionamos los riesgos. Ya no podemos abordar los riesgos de manera independiente, porque finalmente todos convergen en un mismo punto: la capacidad de la institución para entregar sus servicios de manera segura, continua y confiable.
Por eso, creo que hoy no basta con preguntarnos si una plataforma es segura o si contamos con determinados controles. Tenemos que entender en detalle el negocio que soporta, conocer todo su ecosistema, sus dependencias tecnológicas, los terceros involucrados y los impactos que nos podría generar. Y ahí aparece, a mi juicio, uno de los principales desafíos de las instituciones más estructuradas: ¿quién es responsable del riesgo cuando participan tantas áreas y proveedores distintos? La respuesta no debiera ser concentrar todas las responsabilidades en una sola función, sino lograr una mirada integral sin diluir la responsabilidad de cada actor. Negocio, tecnología, ciberseguridad y riesgo tienen roles distintos, pero necesitan entender el mismo ecosistema, compartir una visión común del riesgo y trabajar de manera coordinada. Creo que hacia ahí está evolucionando la gestión de riesgos.
¿Cuáles son actualmente los escenarios de riesgo más difíciles de anticipar y gestionar en una industria cada vez más digital e interconectada?
Creo que uno de los escenarios más difíciles de anticipar es aquel que nace de la interdependencia y la concentración. Hoy dependemos cada vez más de servicios cloud, proveedores tecnológicos, Fintech, APIs y cadenas de terceros sobre los cuales no necesariamente tenemos el mismo nivel de visibilidad o control directo.
Un segundo escenario es la velocidad con que estamos incorporando nuevas tecnologías. La inteligencia artificial es probablemente el mejor ejemplo: genera enormes oportunidades, pero también introduce riesgos que todavía estamos aprendiendo a dimensionar, desde el uso y exposición de información hasta la dependencia de modelos y proveedores, la toma automatizada de decisiones o la aparición de nuevas formas de fraude y ataques.
Y agregaría un tercero: los escenarios que individualmente parecen poco relevantes, pero que al combinarse generan un impacto significativo. Por ejemplo, una vulnerabilidad, una mala configuración, una dependencia no identificada o una falla operacional pueden ser manejables de manera aislada. El problema aparece cuando varias de estas condiciones coinciden.
¿Cómo se identifican los procesos realmente críticos para el negocio y se determina cuánto tiempo puede permanecer interrumpido un servicio antes de generar un impacto relevante?
Hoy en día, existen metodologías bastante maduras para identificar los procesos y servicios críticos, considerando el impacto y a partir de ello determinar cuánto tiempo puede tolerarse su indisponibilidad.
Sin embargo, creo que la discusión más interesante es que la frontera de lo que consideramos crítico se está ampliando y los tiempos de interrupción aceptables son cada vez menores. Antes, muchos procesos financieros podían operar con ventanas más extensas; hoy tenemos clientes permanentemente conectados, operaciones en tiempo real y una dependencia creciente de la tecnología. Una indisponibilidad que antes era tolerable, hoy puede transformarse rápidamente en pérdidas, fraude o impactos reputacionales y regulatorios.
Por eso, creo que la cantidad de servicios que debemos considerar críticos probablemente seguirá aumentando y, al mismo tiempo, sus tiempos de recuperación serán cada vez más exigentes. Las expectativas de los clientes y del regulador van justamente en esa dirección.
Más que preguntarnos solamente “qué es lo crítico dentro de lo crítico”, debemos incorporar resiliencia desde el diseño, considerando distintos escenarios de falla y las dependencias necesarias para mantener o recuperar los servicios de punta a punta.
Construir arquitecturas resilientes tiene un costo, pero muchas veces hemos realizado esas inversiones después de experimentar un incidente, y ahí la solución termina siendo mucho más costosa. El desafío, entonces, no es solo determinar cuánto tiempo podemos estar interrumpidos, sino cuánto estamos dispuestos a invertir desde el diseño para evitar que una falla termine afectando significativamente a nuestros clientes.
¿De qué forma deberían coordinarse las áreas de riesgo, tecnología, ciberseguridad, continuidad operacional y negocio para evitar que cada una gestione los riesgos de manera aislada?
Creo que el primer punto es entender que la solución no está en que todas las áreas hagan lo mismo. Riesgo, tecnología, ciberseguridad, continuidad y negocio tienen responsabilidades y especialidades distintas, y eso es necesario. El problema aparece cuando cada una construye su propia visión del riesgo y terminamos mirando una misma situación desde perspectivas que no necesariamente se conectan. Siento que esto ocurre bastante en organizaciones más grandes.
Por eso, creo que el punto de encuentro debe ser el servicio que entregamos al cliente. Tecnología puede estar preocupada de la disponibilidad, Ciberseguridad de una vulnerabilidad, Continuidad de los tiempos de recuperación y Negocio de mantener operativo un producto, pero todos deben entender qué servicio están protegiendo, sus procesos, tecnologías, datos, terceros y dependencias.
Aquí Riesgo Operacional tiene un rol especialmente relevante. Por su conocimiento transversal de los procesos y del negocio, y su posición como segunda línea, puede conectar estas distintas miradas y traducir exposiciones técnicas en escenarios y consecuencias para el negocio. No para reemplazar a las áreas especialistas, sino para desafiar, monitorear y aportar una visión integral del riesgo.
Finalmente, integración no significa diluir responsabilidades. Cada área debe mantener claramente su rol, pero necesitamos un lenguaje y una visión común que permitan entender cómo las distintas exposiciones pueden combinarse y terminar afectando a la organización y, finalmente, a nuestros clientes.
¿Cómo se traduce un riesgo tecnológico u operacional en información clara que permita a la alta dirección y al directorio comprender su impacto y tomar decisiones?
Creo que uno de los principales desafíos de quienes trabajamos en riesgo es traducir la complejidad. La alta dirección y el directorio no necesitan necesariamente conocer el detalle técnico, sino entender qué podría ocurrir, qué servicio o proceso podría verse afectado, cuál sería el impacto y qué decisión se requiere.
Por eso, debemos avanzar desde comunicar solamente hallazgos o indicadores hacia comunicar escenarios de riesgo. Informar vulnerabilidades críticas, obsolescencia o brechas de control es relevante, pero adquiere otro significado cuando explicamos cómo podrían afectar un servicio financiero, a nuestros clientes o generar pérdidas y exposición regulatoria. Ahí Riesgo Operacional puede aportar conectando la información especializada con sus consecuencias para el negocio.
Para que esa conversación sea efectiva también debemos tener claridad sobre el apetito de riesgo. La alta dirección y el directorio deben haber acordado qué niveles de exposición están dispuestos a aceptar, porque eso permite determinar qué situaciones requieren acciones, escalamiento o una decisión. No podemos llevar cada vulnerabilidad o incidente al directorio, debemos escalar aquello que pueda comprometer el apetito definido o requiera una decisión que exceda las atribuciones de la gestión.
Un buen reporte de riesgos, entonces, no debería terminar diciendo “tenemos este riesgo”. Debería mostrar dónde estamos respecto de nuestro apetito y permitir decidir: ¿invertimos para reducir la exposición?, ¿la mitigamos de otra forma?, ¿modificamos el servicio?, ¿o estamos conscientemente dispuestos a aceptarla? Al final, nuestro trabajo es lograr que una situación que comienza siendo técnica termine expresándose como una decisión de negocio. Cuando el directorio entiende el escenario, el riesgo deja de ser solamente un indicador y pasa a formar parte de la estrategia de la organización.
¿Qué desafíos plantean los proveedores tecnológicos, los servicios en la nube y la concentración de servicios críticos en determinados terceros?
Creo que el principal desafío es reconocer que la transformación digital nos ha llevado a depender cada vez más de terceros. Cloud, SaaS y proveedores especializados nos entregan capacidades, escalabilidad e innovación, por lo que el desafío no es evitar esa dependencia, sino entenderla y gestionarla adecuadamente.
Hay un principio que para mí es fundamental: podemos externalizar un servicio, pero no la responsabilidad por el riesgo. Frente al cliente y al regulador, finalmente es la institución financiera la que debe responder.
Uno de los mayores desafíos está en la concentración. Podemos tener múltiples proveedores y creer que estamos diversificados, pero varios pueden depender del mismo proveedor cloud, redes de telecomunicaciones o componentes tecnológicos. A esto se suma que muchos son proveedores globales y no todas las instituciones tienen el mismo poder de negociación para exigir condiciones contractuales, niveles de servicio o capacidades de resiliencia específicas.
También debemos evitar asumir que estar en cloud significa automáticamente ser resiliente. La resiliencia depende de cómo diseñamos la arquitectura, sus dependencias y nuestra capacidad real de recuperación frente a distintos escenarios.
Por eso, más que evaluar solamente certificaciones, contratos o niveles de servicio, necesitamos entender qué rol cumple cada tercero dentro de nuestros servicios críticos, de quién depende y qué alternativas reales tenemos si deja de operar. Cuando esa concentración o dependencia no puede eliminarse, debemos hacerla visible, fortalecer nuestra resiliencia y decidir conscientemente cuánto riesgo estamos dispuestos a asumir.
¿Cómo están influyendo las nuevas exigencias regulatorias, la inteligencia artificial y la automatización en el mapa de riesgos de las instituciones financieras?
Creo que estamos viviendo dos fuerzas que avanzan simultáneamente. Por un lado, la regulación está elevando las exigencias sobre resiliencia, ciberseguridad, protección de datos, terceros y responsabilidad de las instituciones. Por otro, la inteligencia artificial y la automatización están transformando los procesos a una velocidad probablemente mayor que nuestra capacidad tradicional para evaluar sus riesgos.
La IA no necesariamente introduce riesgos completamente nuevos. Muchas veces amplifica riesgos que ya conocíamos. Una decisión incorrecta, un fraude, una fuga de información o un error operacional pueden ahora producirse con mayor velocidad, escala y nivel de automatización. Algo similar ocurre con la automatización: reducimos tareas manuales y errores, pero una falla puede propagarse rápidamente y afectar miles de operaciones antes de que una persona pueda intervenir.
Esto también desafía a la regulación. La tecnología evoluciona más rápido que las normas, por lo que las instituciones no pueden esperar que exista una exigencia específica para comenzar a gestionar un riesgo.
Pero también creo que existe un desafío para quienes trabajamos en Riesgo. No podemos evaluar tecnologías nuevas utilizando únicamente herramientas y formas de trabajo tradicionales. Tenemos que incorporar IA, automatización y analítica también en nuestra propia gestión, para analizar mayores volúmenes de información, identificar señales tempranas y realizar un monitoreo más oportuno de los riesgos.
El desafío, entonces, es doble: incorporar riesgo desde el diseño de las nuevas tecnologías y, al mismo tiempo, modernizar la propia función de Riesgo. Nuestro rol no debería ser frenar la innovación, sino evolucionar junto con ella y ayudar a que la organización pueda adoptarla de manera responsable.
¿Qué aprendizajes te ha dejado liderar esta área y cómo crees que evolucionará el rol de los responsables de riesgo operacional y tecnológico durante los próximos años?
Uno de los principales aprendizajes que me ha dejado liderar equipos de riesgo es que para gestionar riesgos primero hay que entender el negocio. Podemos tener muy buenas metodologías y especialistas técnicos, pero si no comprendemos cómo funciona un servicio, qué necesita el cliente y cuáles son las prioridades de la organización, difícilmente podremos dimensionar correctamente sus riesgos.
También he aprendido que ser segunda línea no significa solamente controlar o cuestionar. Tenemos que ser capaces de desafiar con independencia, pero al mismo tiempo construir confianza con el negocio y con las áreas especialistas. Cuando Riesgo es incorporado tempranamente a las conversaciones y no solamente cuando existe un problema o se requiere una aprobación, podemos aportar mucho más valor.
Hacia adelante creo que nuestro rol va a evolucionar significativamente. Necesitaremos profesionales que entiendan cada vez más de negocio y tecnología, capaces de conectar riesgos operacionales, tecnológicos, ciberseguridad, terceros, datos e inteligencia artificial, y traducir esa complejidad en decisiones.
Y también tendremos que transformar nuestra propia forma de trabajar, incorporando analítica, automatización e inteligencia artificial para anticiparnos más y depender menos de evaluaciones retrospectivas.
Creo que el desafío de los próximos años será pasar de una función que tradicionalmente ha explicado qué salió mal o qué podría salir mal, hacia una que ayude a la organización a anticiparse y tomar mejores decisiones. Para mí, ahí está el verdadero valor de Riesgo: no evitar que la organización tome riesgos, sino ayudarla a entender cuáles está tomando y acompañarla a tomarlos de manera consciente.