Riesgos operativos y de mercado

Clasificación del riesgo antes de medirlo

El riesgo es la combinación de un evento incierto y su posible impacto en los objetivos. En las empresas de activos digitales, las pérdidas pueden derivarse de fallas de software, acciones del personal, interrupciones de servicios externos, falta de liquidez, cambios legales o movimientos del mercado. Estas causas no son intercambiables. Un incidente operativo puede causar una pérdida de mercado; un shock de mercado puede dejar al descubierto controles operativos débiles. Por lo tanto, la gestión de riesgos debe describir la causa, la exposición, los controles, los supuestos de probabilidad o de escenarios, el impacto y el riesgo residual después de la mitigación.

El NIST Cybersecurity Framework (CSF) 2.0 proporciona un marco organizativo voluntario con las funciones Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. NIST Special Publication 800-61 Revision 3 (2025) aborda consideraciones de respuesta a incidentes en el marco del CSF 2.0. Estas son referencias útiles para el riesgo cibernético, pero no prueban que un proveedor sea seguro o cumpla con la ley. Los controles operativos también requieren gestión empresarial, rendición de cuentas legal y aseguramiento independiente adecuado.

Fallas operativas y dependencias

Debilidades humanas y de procesos

Las fallas operativas incluyen instrucciones de pago incorrectas, separación insuficiente de funciones, cambios de configuración no autorizados, conciliaciones incompletas, registros perdidos y procedimientos de recuperación no probados. Un control de separación de funciones significa que ninguna persona puede iniciar y aprobar una acción sensible sin las verificaciones prescritas. La definición clara de funciones es especialmente importante para las instituciones que transfieren activos de clientes, mantienen registros financieros o emiten informes públicos. Un registro inmutable en una cadena de bloques no puede corregir por sí solo un proceso de aprobación defectuoso.

El riesgo de terceros surge cuando una organización depende de alojamiento en la nube, infraestructura de negociación, proveedores de datos, servicios de custodia o bibliotecas de software críticas. Un acuerdo de nivel de servicio establece expectativas contractuales; no garantiza que un proveedor pueda resistir una interrupción. La debida diligencia debe abarcar la subcontratación, la resiliencia, la supervisión de la seguridad, la notificación de incidentes, los derechos de acceso, las pruebas de auditoría y una estrategia de salida. La concentración de muchos servicios en un solo proveedor puede crear un punto común de falla, aunque cada servicio parezca sólido por separado.

Incidentes cibernéticos y límites de recuperación

Los controles de seguridad buscan reducir tanto la frecuencia de los incidentes como su impacto. Entre las capacidades habituales se incluyen la gestión de accesos, la revisión de cambios, la supervisión, las copias de seguridad, la restauración probada, los planes de respuesta y la aprobación independiente de operaciones de alto impacto. En las actividades con activos digitales, algunas transferencias no autorizadas no pueden revertirse mediante procesos técnicos ordinarios. Por lo tanto, la preparación debe incluir la escalación a las instituciones o autoridades pertinentes, la conservación de registros y datos de transacciones, y comunicaciones creíbles con los clientes. NIST SP 800-61 Rev. 3 fomenta la integración de la respuesta a incidentes en la gestión de riesgos más amplia, en lugar de esperar hasta después de un incidente.

Riesgos de mercado sin predicciones de precios

Volatilidad, liquidez y deslizamiento

La volatilidad es el grado en que el precio de mercado cambia con el tiempo. La liquidez es la capacidad de negociar sin mover sustancialmente el precio ni tener que esperar demasiado. El deslizamiento es la diferencia entre el precio solicitado o esperado y el precio de ejecución obtenido. Un mercado puede mostrar un precio indicativo y, al mismo tiempo, tener poca profundidad ejecutable. Las órdenes grandes, las condiciones de tensión o las interrupciones de la negociación pueden aumentar el deslizamiento. Un analista debe medir la exposición utilizando escenarios observados y supuestos documentados, no prometer resultados futuros estables.

El riesgo de concentración existe cuando una organización depende en gran medida de un activo, una contraparte, una ubicación o un servicio. El riesgo de contraparte es la posibilidad de que otra parte no cumpla una obligación contractual. El riesgo de liquidación se refiere al incumplimiento de la entrega de efectivo o activos según lo acordado. La exposición al precio y la titularidad legal no son lo mismo: un cliente puede tener un derecho contractual frente a un intermediario, en lugar de controlar directamente un activo. Del mismo modo, el valor de la garantía puede cambiar mientras la obligación del préstamo subyacente permanece, lo que genera presión sobre el margen incluso cuando el software funciona según lo previsto.

Integridad del mercado y calidad de la información

Los mercados pueden verse afectados por manipulación, divulgaciones engañosas, conflictos de intereses, operaciones ficticias o interrupciones que perjudiquen la ejecución justa. Las operaciones ficticias consisten en transacciones que crean una apariencia engañosa de actividad, en lugar de reflejar una demanda económica genuina; las definiciones legales y las pruebas dependen del mercado y la jurisdicción. El volumen informado públicamente no siempre se audita de forma independiente. Los profesionales deben considerar la procedencia de los datos, las metodologías, las plataformas de negociación, la actividad de partes relacionadas y la diferencia entre los precios informados y las ofertas ejecutables. La International Organization of Securities Commissions (IOSCO) publicó 18 Policy Recommendations for Crypto and Digital Asset Markets en noviembre de 2023, que abordan el abuso de mercado, los conflictos, la custodia, el riesgo operativo y la distribución minorista.

Del registro de riesgos a la acción

Probabilidad, impacto y responsables

Un registro de riesgos documenta un evento, un responsable, la exposición, el control, la evaluación, la mitigación y la fecha de revisión. Las escalas cualitativas pueden ser útiles, pero deben tener definiciones coherentes. Una calificación «alta» sin pruebas ni un proceso de decisión es poco más que una etiqueta. Utilice varios escenarios plausibles, entre ellos una interrupción de un tercero durante un mercado volátil, congestión simultánea de pagos y una falla en una aprobación interna. Para cada escenario, pregunte cómo se detecta, qué servicio continúa, quién puede actuar y cómo reciben los clientes y los reguladores las comunicaciones obligatorias.

Resiliencia y obligaciones de interés público

La continuidad del negocio busca mantener los servicios críticos durante una interrupción; la recuperación ante desastres se centra en restablecer las capacidades después de un evento grave. El objetivo de tiempo de recuperación (RTO) es el tiempo previsto para reanudar un servicio, y el objetivo de punto de recuperación (RPO) es la cantidad tolerada de pérdida de datos expresada en tiempo. Son parámetros de planificación, no garantías. Algunos registros de transacciones pueden reconstruirse a partir de fuentes independientes, pero los registros de identidad de clientes, las aprobaciones y las correspondencias del libro mayor interno quizá no tengan un reemplazo en la cadena de bloques. Por lo tanto, las copias de seguridad y la restauración deben reflejar el proceso empresarial completo, no solo los datos del libro mayor distribuido.

Para los directivos y el personal del sector público, la proporcionalidad es esencial. Un pequeño proyecto educativo, un custodio institucional y un sistema de pagos públicos difieren en impacto, responsabilidades y exposición. Cada uno necesita un apetito de riesgo documentado y límites de escalación adecuados a su función. Además, los organismos públicos requieren transparencia, contratación legal, confidencialidad y continuidad de los servicios esenciales. Los directorios deben recibir métricas útiles para la toma de decisiones: incidentes, controles atrasados, pruebas de recuperación, cuasiincidentes, exposiciones importantes a la concentración y hallazgos de auditoría sin resolver.

Una pregunta final útil es: «Si nuestros supuestos preferidos fallan, ¿qué pruebas demuestran que podemos reconocer el problema y proteger a las personas afectadas?». Esa pregunta evita afirmar que la tecnología elimina el riesgo. Convierte una matriz de riesgos genérica en un compromiso operativo con responsables medibles y procedimientos probados.

Enfoque del examen: Distinga los riesgos operativos, cibernéticos, de liquidez, de contraparte, de mercado y legales; interprete el RTO y el RPO; y relacione la evaluación de riesgos con responsables concretos, pruebas de controles, procedimientos de escalación y decisiones sobre el riesgo residual.