El internet y la globalización han traído grandes oportunidades a personas y empresas, han transformado la forma en que vivimos, cómo nos comunicamos, cómo compramos, etc. Sin embargo, este avance implica riesgos para los que el mundo simplemente no estaba preparado.

A manera de ejemplo y sólo para entrar en el tema, anteriormente la gente, para robarte, literalmente tenía que llevarse el objeto o dinero; ahora basta con que tengan tu información (a través de phishing o hacking). El daño es mayor para una empresa, mientras que el riesgo es menor y la ejecución es más sencilla para el infractor.

La tecnología se mueve mucho más rápido que la legislación, y al eliminar las fronteras en el mundo virtual, la ley se vuelve obsoleta e inaplicable, haciendo la persecución de los delitos muy complicada. Si a esto sumamos el efecto de la globalización —una tendencia a que se reduzcan o desaparezcan los mercados locales y se vuelva un único mercado global—, se agregan complicaciones que nos hacen vulnerables a los riesgos.

¿CUÁLES SON LOS RIESGOS?

Sería muy difícil hacer una lista simple de los riesgos y sus soluciones, pues éstos dependen de muchos factores que son particulares para cada lugar, persona y empresa: la naturaleza del negocio, los sistemas de control que se tengan implementados, el nivel de integridad de la gente y su cultura laboral, la administración de riesgos que se tenga, etcétera.

Se han detectado algunos, pero siguen apareciendo nuevos con la tecnología actual y seguirán surgiendo muchos más conforme ésta vaya evolucionando. Por ejemplo, cuando inició Internet, los bancos te daban un disco para instalar una aplicación a través de la cual, con las debidas credenciales y medidas de seguridad, podías tener acceso a sus servidores y consecuentemente a tus cuentas y operaciones. Eso ya es obsoleto, ahora accedes desde tu navegador y sus servidores están en la “nube”.

Estas dos formas de trabajar, ambas en Internet, presentan riesgos diferentes —tan variados como las empresas mismas—. Se pueden agrupar en tres grandes rubros independientemente de sus causas.

Riesgo patrimonial: se refiere a aquél en el que el daño es directamente orientado a obtener de manera ilícita los bienes y recursos de la empresa, y es con frecuencia directamente proporcional al beneficio que obtiene quien lo perpetra.

El más común, relacionado con Internet y la globalización, es el cyber fraude, que de acuerdo a la ACFE (2013) ha aumentado desde la existencia del Internet y se calcula en más de 100 mil millones de dólares. Un componente básico del fraude es el engaño y es mucho más fácil lograrlo en el mundo virtual que en el mundo real. Los fraudes pueden ir desde enviar correos que simulan ser una solicitud genuina de una institución financiera o proveedor de servicios, para obtener información y así tener acceso a sus cuentas; tener dispositivos electrónicos que puedan interceptar información para obtener dicha información; hasta hacking de cuentas de instituciones y proveedores de servicios; robo de identidad, entre otros.

Riesgo reputacional: no tiene relación alguna con el beneficio que puede obtener quien lo perpetra.

En julio del 2012 un empleado “bromista” de Burger King subió a las redes sociales una fotografía de él pisando la lechuga, con el título de Esta es la lechuga que tú comes en Burger King. Como vemos, a pesar de que el perpetrador no obtuvo ningún beneficio por hacerlo, las consecuencias en el negocio pudieron ser devastadoras, pero lo peor es que contra esto hay muy poco que la empresa pueda hacer para evitarlo.

Internet, a través de las redes sociales, una vez más tuvo un papel relevante en el daño causado, pues igual que los memes y videos que se hacen virales, las malas noticias impactan de la misma manera.

Es importante que las empresas pongan este tipo de riesgo en el radar, pues si no estás consciente de ello, no sabrás cómo mitigarlo cuando se presente. Este es el riesgo que más empresas ignoran, quizá porque es muy especulativo —cuándo, cómo y dónde pueda suceder—, dejando a las empresas indefensas.

El daño reputacional puede ser causado por múltiples conductas deshonestas de los empleados, en algunos casos como “broma”, en otros con la intención de perjudicar a la organización, y en algunos, aun sin intentar dañar a la empresa, pero buscando obtener un beneficio personal o un logro profesional (escándalos mediáticos). Por ejemplo, el caso de Walmart en México en 2012, a pesar de que no se ha podido demostrar ninguna actividad criminal por parte de la empresa, el costo fue muy alto; se ha estimado que la pérdida del valor accionario en la bolsa fue de cuatro millones y medio de dólares aproximadamente, sin considerar el costo de oportunidad.

Riego consecuencial: en cualquiera de los casos, adicionalmente a los daños causados por los riesgos patrimonial y reputacional, existen otros daños consecuenciales, por ejemplo, los costos legales relacionados por las investigaciones.

Para Walmart, el gasto de las investigaciones y ampliación de su programa de cumplimiento le ha costado 439 mil dólares.

¿QUÉ DEBEN HACER LAS EMPRESAS?

Los medios convencionales de control de conducta de la gente ya no tienen la efectividad que tenían anteriormente, por ejemplo, las videocámaras en sucursales pueden tener un efecto limitado, dado que el estado mental del criminal ya no se centra en el robo material de bienes o dinero, por lo tanto, observar su conducta en el lugar de trabajo no nos revela mucho de su posible actividad criminal.

Por si fuera poco, la legislación, que no evoluciona a la velocidad de la tecnología, también ha dejado a los perpetradores impunes, haciendo impráctico depender de las leyes para recuperarse de los posibles daños causados.

Si tienen planes de ética y cumplimiento éstas son algunas recomendaciones generales de lo que las empresas deben hacer para reducir estos riesgos:

1. Identificar y catalogar los riesgos: una vez identificados, hacer un plan de administración para mitigar, reducir, transferir o absorber éstos, dependiendo del posible impacto que puedan tener.

2. Promover una cultura ética dentro de la empresa: la cultura es un conjunto de valores compartidos por los miembros de un grupo y no se puede imponer, se puede gestionar. Para ello, tiene que venir de la más alta dirección, como un compromiso serio y con convicción; después de todo, como dice mi amigo

Frank Bucaro: “Los empleados oyen con los ojos, no con los oídos, lo que ven es lo que van a hacer”.

Ésta debe incluir acciones como capacitación a todos los niveles de la empresa y abrir canales de denuncia para que los empleados sean “los ojos” de la empresa sin temor a represalias.

3. Evaluar y monitorear la conducta honesta de los empleados: algunas leyes como la Sarbanes Oxley y los lineamientos de la OCDE para tener un programa efectivo de ética y cumplimiento, recomiendan evaluar y monitorear la conducta honesta de los candidatos y empleados. Esto se puede hacer a través de tests, investigaciones de antecedentes y evaluaciones periódicas.

Como vemos, cada día dependemos más de la honestidad de la gente y menos de los sistemas de control.