Durante años, la pregunta que organizaba el trabajo de los Chief Risk Officers era: ¿cómo evitamos que esto salga mal? Era una pregunta legítima, pero insuficiente. En un entorno donde los riesgos materializan más rápido a medida que el mundo se vuelve más interconectado, esa pregunta ya no basta. La pregunta que define a los líderes de riesgo de 2025 y 2026 es otra: ¿hasta qué punto somos capaces de absorber una disrupción, adaptarnos y salir adelante sin comprometer el valor que entregamos a clientes, mercados y reguladores?
La distinción no es semántica. Es estratégica.
La resiliencia operacional ha dejado de ser una función defensiva del área de riesgos para convertirse en un indicador de la calidad del gobierno corporativo, de la madurez del liderazgo y de la credibilidad organizacional ante inversores, reguladores y mercados. Las organizaciones que demuestran respuestas calmadas y controladas bajo presión se diferencian claramente. La infraestructura resiliente y las operaciones bien gobernadas son cada vez más consideradas activos estratégicos, no costos operativos.
De la prevención al músculo estratégico
El paradigma de gestión de riesgos no financieros ha completado una transición que llevaba una década gestándose. Hasta mediados de la década pasada, la resiliencia operacional era sinónimo de planes de continuidad del negocio guardados en cajones, simulacros anuales de recuperación ante desastres y políticas de backup que nadie había probado en condiciones reales. La resiliencia era un ejercicio de cumplimiento.
Hoy, la resiliencia ya no es opcional: es fundamental. Los reguladores en Europa, Medio Oriente y Asia-Pacífico han elevado el estándar. Una de las regulaciones más definitorias es la Ley de Resiliencia Operacional Digital de la UE (DORA), vigente desde enero de 2025, que establece un marco riguroso para que las entidades financieras puedan resistir, responder y recuperarse de todo tipo de interrupciones.
Y aunque DORA aplica formalmente al sector financiero europeo, su influencia se extiende mucho más allá. Sus cinco pilares —gestión del riesgo TIC, reporte de incidentes, pruebas de resiliencia, supervisión de terceros e intercambio de información— están siendo replicados progresivamente en otras jurisdicciones y sectores. Para los líderes de riesgo en Iberoamérica, esto no es una tendencia lejana: es la dirección inequívoca hacia donde se mueven los estándares regulatorios regionales.
Lo que dicen los datos: el riesgo no financiero domina la agenda del CRO
El 2025 RMA CRO Outlook Survey, elaborado en colaboración con Oliver Wyman a partir de las respuestas de 177 CROs y líderes senior de instituciones financieras norteamericanas, ofrece uno de los panoramas más completos sobre el estado real de la función de riesgo. Los tres principales riesgos identificados en la encuesta fueron no financieros: ciberseguridad, fraude y crimen financiero, y riesgo tecnológico. Los CROs señalan que el fraude y las amenazas cibernéticas son el principal factor que incrementa los presupuestos de la función de riesgo, y que los reguladores se han sumado a su foco en los riesgos no financieros.
Las cifras son contundentes. El riesgo cibernético fue el número uno, citado por el 63% de los encuestados como un riesgo de primer nivel. El fraude (44%) regresó al top cinco en el segundo lugar, y el riesgo tecnológico llegó al tercer puesto con un 38%.
El dato más revelador, sin embargo, no está en el ranking de riesgos. Está en la velocidad: el 93% de los encuestados destacó la necesidad de que las organizaciones se adapten a la creciente velocidad del riesgo, mientras que el 84% reportó enfrentar estándares regulatorios más altos.
La resiliencia, en este contexto, no es solo la capacidad de recuperarse. Es la capacidad de responder con la velocidad que el entorno exige.
El modelo integrado de resiliencia: más allá de los silos de función
Uno de los errores más frecuentes que cometen las organizaciones de sectores regulados al intentar construir resiliencia operacional es replicar la misma lógica de silos que ya demostró sus limitaciones en la gestión de riesgos: la continuidad del negocio en una dirección, la ciberseguridad en otra, la gestión de riesgos de terceros en una tercera, cada una con sus propios marcos, sus propios indicadores y sus propios canales de reporte.
El modelo integrado de resiliencia parte de una premisa opuesta: las capacidades de resiliencia deben construirse como un sistema unificado que comparte arquitectura, datos y gobernanza. Esto implica articular, en una función coherente, tres componentes que hoy operan con demasiada frecuencia de manera desconectada.
El primero es la continuidad del negocio bajo ISO 22301, que establece los requisitos para identificar los servicios y procesos críticos, definir tolerancias al impacto y validar los planes de recuperación bajo escenarios plausibles. El segundo es la ciberseguridad y la resiliencia digital, cuyo estándar de referencia actualizado es el NIST Cybersecurity Framework 2.0, que incorpora una función explícita de gobernanza a las cinco capacidades originales —identificar, proteger, detectar, responder y recuperar— reconociendo que sin responsabilidad directiva la resiliencia técnica no se traduce en resiliencia organizacional. El tercero es la gestión del riesgo de terceros, un componente que no debe verse como un problema de adquisiciones, sino como un proceso colaborativo con múltiples partes interesadas, donde un solo ejercicio de mapeo de servicios o análisis de impacto al negocio que incluya a terceros es innegociable.
El papel del liderazgo ejecutivo: de la supervisión al diseño cultural
Ningún marco técnico genera resiliencia por sí solo. El componente más difícil —y el más diferenciador— es la cultura organizacional de resiliencia, y esa cultura no se construye desde los comités de riesgo: se construye desde la alta dirección.
En las organizaciones más maduras, la resiliencia operacional está integrada en la toma de decisiones estratégica. Los consejos directivos reciben métricas de resiliencia con la misma regularidad e importancia con que reciben métricas financieras. Los escenarios de estrés no son ejercicios anuales de cumplimiento, sino herramientas vivas de planificación estratégica. Los CROs no reportan después de que ocurre una crisis: participan en las decisiones que determinan cuánta exposición al riesgo es aceptable antes de que la crisis se materialice.
En 2026, la resiliencia operacional ya no se contempla simplemente como un requisito defensivo o un ejercicio de cumplimiento. En cambio, se trata cada vez más como un marcador visible de la calidad del gobierno corporativo, la madurez del liderazgo y la credibilidad organizacional, con una intensidad supervisora que continúa creciendo alrededor de la resiliencia operacional y de terceros.
Para los líderes de banca, salud, logística y tecnología en la región iberoamericana, esto tiene una implicación directa: la resiliencia operacional no es una inversión que se justifica solo cuando ocurre un incidente. Es una inversión que se justifica —y se mide— en el diferencial de confianza que genera ante reguladores, clientes y socios estratégicos en el día a día.
Del cumplimiento a la capacidad diferenciadora
La trayectoria es clara. Las organizaciones que construyen resiliencia operacional como una capacidad estratégica integrada —y no como una colección de planes de contingencia aislados— están acumulando un activo intangible que se vuelve visible en los momentos que más importan: ante una crisis cibernética, ante una disrupción en la cadena de suministro, ante un cambio regulatorio abrupto, ante una auditoría de un regulador con estándares más exigentes.
La pregunta para los CROs, directores de riesgo operacional y líderes de PMO en sectores regulados no es si construir esa capacidad. Es si su organización está construyendo la resiliencia del pasado —reactiva, fragmentada, orientada al cumplimiento— o la resiliencia del presente: estratégica, integrada y diseñada para convertirse en ventaja competitiva sostenible.
Las organizaciones que sobrevivirán a la próxima disrupción no son las que tengan el plan más detallado guardado en su repositorio de gestión documental. Son las que hayan convertido la resiliencia en un reflejo organizacional, sostenido por el liderazgo, medido con rigor y practicado con regularidad antes de que el entorno lo exija.
Esta capacidad de base es la que sostiene la resiliencia empresarial frente a la crisis.
Preguntas frecuentes
¿Qué es la resiliencia operacional y en qué se diferencia de la continuidad del negocio?
El Comité de Basilea la define como la capacidad de un banco de seguir entregando sus operaciones críticas a través de la disrupción. La continuidad del negocio recupera procesos después de que algo se rompe; la resiliencia operacional asume que se va a romper y diseña para seguir operando igual. La diferencia práctica es el alcance: continuidad es un plan, resiliencia es una arquitectura que integra tecnología, ciber, terceros y continuidad bajo una misma gobernanza.
¿Qué es la tolerancia a la disrupción y quién la aprueba?
Es el nivel de disrupción que la organización está dispuesta a aceptar en cada operación crítica, bajo escenarios severos pero plausibles. No es lo mismo que el apetito de riesgo: el apetito es una postura estratégica, la tolerancia a la disrupción es un límite operativo medible, por servicio, en horas o en volumen de transacciones no procesadas. Los Principios de Resiliencia Operacional del Comité de Basilea (BCBS, marzo 2021) la ubican en el Principio 1: la aprueba el directorio, y el directorio debe además fijar qué pasa cuando las capacidades del banco no alcanzan para cumplir la tolerancia que él mismo declaró.
¿Cuáles son los siete principios de resiliencia operacional del Comité de Basilea?
Gobernanza; gestión del riesgo operacional; planificación y pruebas de continuidad; mapeo de interconexiones e interdependencias; gestión de la dependencia de terceros; gestión de incidentes; y tecnología de la información y comunicación, incluida ciberseguridad. Son siete, no cinco ni doce. El cuarto es el que más se saltea y el que más duele: sin el mapa de interconexiones, los otros seis se aplican sobre una organización que la dirección cree conocer.
¿Qué exige DORA y a quién aplica realmente?
DORA es el Reglamento (UE) 2022/2554, aplicable desde el 17 de enero de 2025. Se organiza en nueve capítulos, no en cinco pilares: los cinco pilares son una agrupación práctica del mercado, no la estructura legal. Alcanza a veinte tipos de entidades financieras europeas y, por primera vez, a los proveedores terceros de servicios TIC. En noviembre de 2025 las autoridades europeas designaron a los primeros diecinueve proveedores críticos bajo supervisión directa. Para una entidad de LATAM que opera en Europa o le presta servicios a una entidad europea, DORA ya la alcanza por contrato.
¿Cuánto cuesta realmente una interrupción operacional?
La caída de CrowdStrike del 19 de julio de 2024 costó a las empresas del Fortune 500 unos 5.400 millones de dólares en pérdidas directas, según Parametrix. La banca fue el segundo sector más golpeado, con 1.149 millones. El número que un directorio debería mirar es otro: solo entre el 10% y el 20% de esa pérdida estaba cubierta por pólizas cíber. El 80% restante lo absorbieron los balances. Un incidente en un proveedor, no en la propia infraestructura.
¿Cuáles son hoy los principales riesgos en la agenda del CRO?
Según el 2025 RMA CRO Outlook Survey, elaborado con Oliver Wyman sobre 177 CROs y líderes senior de riesgo de instituciones financieras norteamericanas, los tres primeros son no financieros: riesgo cibernético con 63%, fraude y crimen financiero con 44%, y riesgo tecnológico con 38%. La novedad de esa edición es la quinta posición: el riesgo de terceros entró al top five con 32%. El 93% señaló que la industria debe adaptarse a la velocidad con la que hoy se materializa el riesgo.
La formación y el desarrollo profesional no son un gasto, sino una inversión estratégica que impulsa el crecimiento individual y organizacional. Priorizar la capacitación es clave para mantenerse competitivo en un entorno laboral en constante evolución.
¿Te has preguntado cómo gestionar eficazmente estos riesgos?
¡No busques más!
En Iberoamericana Educación Ejecutiva, hemos creado programas pensando en tus necesidades de información y formación.
Nuestros expertos internacionales han diseñado un completo Programa al respecto para brindarte las herramientas necesarias para comprender y enfrentar estos desafíos de manera efectiva.
¡No esperes más para inscribirte!
Los programas de formación ya están disponibles y estamos aquí para ayudarte a ampliar tus conocimientos y habilidades en esta área crucial.
