En algún momento de las últimas semanas, un inversionista limitado (LP) te pidió tu política de gestión de riesgos. Dijiste que se la enviarías. No tienes una.
Así suele empezar esto y, si por eso llegaste aquí, no eres el único. La mayoría de los fondos que gestionan menos de unos cientos de millones no tienen una política de riesgos por escrito hasta que alguien ajeno a la firma la pide.
La solicitud casi siempre llega durante la debida diligencia operativa y, por lo general, no tiene nada que ver contigo en particular. Los inversionistas institucionales se la piden a todos, y los cuestionarios basados en el marco de debida diligencia de ILPA han ampliado de forma constante lo que esperan que un fondo pueda demostrar.
Bien. El documento que necesitas preparar es más corto y menos intimidante de lo que imaginas. En cambio, la plantilla que encontrarás al buscar te llevará por el camino equivocado, y ese es el problema más molesto. Es, en gran parte, la razón por la que existe esta guía.
Qué es realmente una política de riesgos
Si quitas la jerga de los marcos de referencia, el documento responde cuatro preguntas.
¿Qué podría salir mal aquí? ¿Cuáles de esas situaciones estamos dispuestos a aceptar? ¿Quién decide y quién actúa? ¿Y qué pasa cuando alguna de ellas ocurre?
Eso es todo. De ocho a quince páginas en la mayoría de los casos. Si la tuya va camino a superar las treinta, probablemente la confundiste con otra cosa.
Conviene aclarar tres cosas que no es, porque la confusión es frecuente.
No es un registro de riesgos. El registro es una lista que se actualiza con exposiciones específicas, sus responsables y su estado. La política es el conjunto de reglas que rigen el funcionamiento de ese registro. Con el tiempo necesitarás ambos, y conviene empezar por la política.
No es un manual de cumplimiento. El cumplimiento se ocupa de las reglas que te imponen desde fuera. La gestión de riesgos se ocupa de las exposiciones que has decidido asumir. Son problemas distintos y requieren estructuras distintas.
Y no es un documento escrito para impresionar a nadie. Subrayaría esto si pudiera. Las mejores políticas de riesgos que he leído son aburridas, específicas y algo incómodas en ciertos pasajes, porque alguien intentó describir lo que la firma haría en realidad, en lugar de lo que sonaría defendible en una reunión.
Por qué la estás redactando: importa más de lo que parece
Conviene detenerse en lo que motivó la decisión, porque eso determina lo que termina en el documento.
Los fondos suelen llegar aquí por cuatro motivos. Un LP la pidió durante la debida diligencia operativa (ODD), que es, por mucho, el más común. Un banco o un administrador de fondos quiere verla antes de continuar. Un regulador la exige, si estás dentro del ámbito regulado, algo que no ocurre con la mayoría de los fondos de capital de riesgo y fondos de cripto; volveré a eso. O algo salió mal y ahora hay una política.
Ese último es el peor motivo y, por desgracia, no es raro. Las políticas redactadas después de un incidente casi siempre se ajustan demasiado a lo que acaba de ocurrir y pasan por alto lo que aún no ha sucedido. Si estás redactando esto después de un mal trimestre, una disciplina útil es dedicar deliberadamente más tiempo a los riesgos que no se materializaron que al que sí ocurrió.
El problema con todas las plantillas que encontrarás
Esta es la parte que te ahorrará dos semanas.
Busca una plantilla de política de gestión de riesgos y encontrarás muchísimas. ISO 31000. COSO. La que tu proveedor preferido de gobernanza, riesgo y cumplimiento (GRC) esté regalando este mes. Para ser justos, son documentos buenos y quienes los redactaron sabían lo que hacían.
Pero todos parten del mismo supuesto, y ese supuesto no se cumple en tu caso.
Suponen que tus riesgos están dentro de tu propia organización.
Lo cual tiene todo el sentido, porque se redactaron para empresas. El riesgo de un fabricante está en su cadena de suministro, su planta, su personal y sus datos. Cosas que posee y dirige. Los marcos dividen esos riesgos en operativos, financieros, estratégicos, de cumplimiento y reputacionales, y para una empresa de tres mil empleados esa clasificación es perfectamente razonable.
Ahora mira tu firma.
Supongamos que son once personas. Has invertido doscientos millones en treinta y ocho empresas del portafolio. Tu riesgo operativo interno es real, pero moderado: un equipo pequeño, unos cuantos sistemas, algunas transferencias bancarias y unos pocos conflictos que gestionar.
Tu exposición real está dentro de treinta y ocho empresas que no controlas, que no puedes dirigir y cuyo funcionamiento interno, en la mayoría de los casos, no puedes conocer sin preguntarle a alguien.
Llena una plantilla estándar y producirás un documento cuidadoso y bien estructurado que describirá quizá el quince por ciento de tu riesgo. Y parecerá completo, que es lo peligroso.
| Dentro de la firma | Fuera de la firma | |
| Ejemplos | Ciberseguridad. Persona clave. Error de valuación. Fraude en transferencias bancarias. Conducta del personal. Conflictos. | Fracaso de una empresa del portafolio. Conducta indebida de un fundador. Exposición a sanciones. Colapso de una contraparte. Suplantación de identidad. Reclasificación regulatoria. |
| Quién lo controla | Tú. | Tú no. |
| Cobertura habitual de la política | Exhaustiva. | Casi nula. |
| Proporción de la exposición real | Pequeña. | La mayor parte. |
Cómo redactar la parte interna
Bien. Esta es la parte poco atractiva, y tienes que hacerla. Es la sección que un LP leerá con más atención, así que vale la pena dedicarle esfuerzo.
Persona clave. Qué ocurre si un socio general (GP) se retira, fallece o es destituido. Los inversionistas institucionales lo preguntan constantemente y casi nadie lo tiene por escrito. Bastan dos párrafos: quién lo sustituye, qué constituye un evento de persona clave conforme al contrato de sociedad limitada (LPA) y qué hace el fondo mientras tanto.
Fraude en transferencias bancarias y controles de pago. Esto merece bastante más espacio que el resto porque es, por mucho, la forma más probable en que un fondo de tu tamaño termine perdiendo dinero.
El ataque es aburrido y funciona. Alguien compromete o suplanta una cuenta de correo electrónico, la de un fundador, la de un abogado o, en ocasiones, la tuya, y envía nuevas instrucciones bancarias para una transferencia que ya estaba prevista. Las instrucciones parecen correctas. El contexto es el adecuado. El momento resulta creíble porque el atacante ha estado leyendo la conversación. El dinero sale, y sale rápido.
El compromiso del correo electrónico empresarial figura de forma constante entre las categorías con mayores pérdidas reportadas en las estadísticas anuales del FBI sobre delitos en internet, y la víctima típica no es un banco. Es una organización de un tamaño parecido al tuyo, con controles parecidos a los tuyos, un viernes por la tarde.
Tu política necesita tres cosas aquí, y no cuestan nada. Doble autorización por encima del umbral que elijas. Verificación por un canal independiente ante cualquier cambio en las instrucciones de transferencia; es decir, llamar a un número que ya tenías, en lugar de usar el que viene en el correo. Y una regla por escrito que establezca que la urgencia nunca justifica omitir ninguno de los dos controles.
La tercera importa más que las otras dos, porque todo el ataque se basa en la urgencia.
Ciberseguridad y datos. Medidas proporcionales a tu tamaño. Un fondo de once personas no necesita la política de seguridad de la información de un banco, y redactar una produce un documento que nadie sigue. Autenticación multifactor (MFA) en todos los sistemas, protección de dispositivos, un gestor de contraseñas y una postura explícita sobre dónde se almacenan los datos del fondo y quién puede acceder a ellos.
Valuación. Quién valúa las posiciones, con qué criterios y quién revisa esas valuaciones. Si inviertes en etapas tempranas y mantienes la valuación de la última ronda, dilo claramente, sin adornarlo.
Conflictos de interés. Inversiones personales, puestos en consejos de administración y asignación de inversiones entre el fondo y cualquier vehículo de coinversión. Es tedioso redactarlo, y es la sección que un LP revisará línea por línea.
Información relevante no pública. Si los integrantes de tu equipo participan en consejos de administración, tienen acceso a información. Explica qué se hace con ella.
Cómo redactar la parte externa, que las plantillas omiten por completo
Ahora viene la sección que describe la mayor parte de tu riesgo real y que no aparece en ninguno de los documentos estándar.
Para cada categoría de exposición externa, la política debe indicar cuatro cosas. Qué vigilamos. Con qué frecuencia. Quién actúa. Y qué exige escalar el asunto.
Voy a ser directo con el segundo punto, porque ahí es donde falla la mayoría de estos documentos.
Casi todas las políticas de riesgos de fondos que he leído incluyen una frase como “monitoreo continuo de las empresas del portafolio”. En la práctica, significa “lo investigaremos si surge algo”. Todos en la sala lo saben. Nadie lo dice en voz alta.
Si tu política te compromete a realizar una revisión trimestral, te has comprometido a un retraso promedio en la detección de unos cuarenta y cinco días y, en el peor de los casos, de noventa. Una inclusión en una lista de sanciones que se publique en la segunda semana del trimestre pasa once semanas sin revisarse.
Ese podría ser un riesgo perfectamente aceptable para tu estrategia y tu portafolio. Pero debería ser una decisión, no un accidente. Deja la cifra por escrito. Una política que dice “continuo” y significa “de vez en cuando” se lee de maravilla hasta que alguien te pide demostrar que la cumples.
Como mínimo, conviene cubrir estas categorías:
Sanciones y listas de vigilancia. Inclusiones que afecten a empresas del portafolio, sus directivos, sus contrapartes o sus jurisdicciones. OFAC y sus equivalentes publican actualizaciones de forma continua, no según tu calendario.
Medios adversos. Litigios, medidas regulatorias y periodismo de investigación. Conviene recordar que una parte considerable de la información relevante aparece primero en la prensa regional, en idiomas que tu equipo no lee.
Cambios en registros mercantiles. Cambios de domicilio social a otra jurisdicción, cambios de consejeros, transferencias de acciones y nuevas subsidiarias. En cripto esto es habitual, no excepcional, y una empresa puede haber cambiado de forma sustancial ocho meses después de que hiciste la transferencia.
Antecedentes de fundadores y directivos. Nuevos litigios, cargos no revelados y emprendimientos anteriores que vuelven a surgir de formas que te afectan.
Exposición a contrapartes. El exchange, custodio o socio bancario del que depende una empresa de tu portafolio. Su colapso se convierte en tu problema y, por lo general, te enterarás tarde.
Suplantación de identidad y ataques a la marca. Canales falsos de Telegram, cuentas clonadas en redes sociales y servicios de soporte suplantados. Todo ocurre después del cierre y, por definición, es invisible para cualquier proceso de onboarding. Ahora es lo bastante común como para figurar en la política, en lugar de quedar en la lista mental de preocupaciones de alguien.
Hemos escrito en detalle sobre por qué toda esta parte del panorama de riesgos queda fuera del alcance de la debida diligencia durante el onboarding, por si quieres leer la explicación completa.
El apetito de riesgo, en un lenguaje que cualquiera pueda usar
Este es el concepto que la mayoría de las guías para principiantes vuelve confuso. Intentaré mantenerlo claro.
El apetito de riesgo es simplemente esto: ¿qué haríamos en realidad?
¿Invertiríamos en una empresa cuyo fundador haya sido objeto de una medida regulatoria? ¿Bajo qué condiciones y quién lo autoriza?
¿Mantendríamos una posición en una empresa cuya principal contraparte sea sancionada? ¿Durante cuánto tiempo? ¿Qué nos llevaría a salir?
¿A partir de qué nivel de concentración en una sola jurisdicción empezamos a sentirnos incómodos?
Escribe las respuestas antes de encontrarte en esa situación. Esa es toda la razón de ser de esta sección, y no creo que la mayoría de las guías lo diga con suficiente claridad: la respuesta que darás bajo presión, con capital ya comprometido y un fundador al teléfono, no es la que darías con calma un martes, sin nada en juego.
Estás redactando este documento para ponerle límites a tu yo del futuro, que será más optimista que tú ahora y estará bastante más cansado.
Escalamiento y respuesta
Mantén esta sección breve y específica.
Niveles de gravedad, o como quieras llamarlos. Un puesto responsable definido para cada uno, en lugar de “el equipo”. Un plazo de respuesta para cada nivel. Y una definición clara de qué situaciones deben escalarse al comité de inversión (IC) o a los socios.
Una alerta dirigida a un grupo es una alerta dirigida a nadie, algo sobre lo que ya hemos escrito con más detalle del estrictamente necesario.
Asigna a la política su propia fecha de revisión
Una vez al año es el mínimo. También después de cualquier incidente relevante y de cualquier cambio sustancial en la estrategia o la exposición.
Aquí hay un peligro real que conviene señalar. Podría decirse que una política de riesgos redactada una vez y nunca revisada es peor que no tener ninguna, porque deja constancia de un control que parece existir, pero que no está funcionando.
Si más adelante un LP o un supervisor pregunta cómo monitoreas las empresas del portafolio, tu política dice que lo haces cada trimestre y la última revisión fue hace catorce meses, tendrás que explicar la diferencia entre el proceso que declaras y el que sigues en realidad. Esa conversación es bastante peor que no haber redactado nunca la política.
Así que no te comprometas a hacer cosas que no tienes intención de cumplir. Deja por escrito los compromisos que sí cumplirás, aunque resulten menos impresionantes.
Cómo se ve cuando está terminada
Unas doce páginas. Específica. Aburrida. Nadie disfrutará leerla, y está bien.
La prueba que yo aplicaría es esta: ¿podría alguien que se incorporó a la firma el lunes abrir el documento y saber qué hacer cuando el jueves se active una alerta de sanciones sobre una empresa del portafolio?
Si la respuesta es sí, funciona.
Si la respuesta honesta es “iría a preguntarle a alguien”, entonces lo que tienes es un documento sobre tener una política.
Preguntas frecuentes
Un documento que responde cuatro preguntas: qué podría salir mal, cuánto de ese riesgo estás dispuesto a aceptar, quién decide y qué ocurre cuando algo sale mal. Todo lo demás en los marcos estándar desarrolla esas cuatro preguntas.
Más de lo que la gente espera. Una política redactada porque un LP la pidió durante la debida diligencia es distinta de una redactada después de un incidente, y ambas difieren de una que se escribe porque el fondo ya no puede depender de criterios informales. Reconocer con honestidad qué motivó la decisión evita que el documento termine siendo genérico.
Las plantillas cubren de forma competente la parte interna (riesgos operativos, financieros, de persona clave y de ciberseguridad) y omiten casi por completo la parte externa. Ahí se concentra la mayor parte del riesgo real de un fondo: en quién inviertes, con quién realizas operaciones y qué les ocurre después de que se completa la transferencia.
Qué verificas antes de comprometer capital, qué sigues verificando después, contra qué fuentes, con qué frecuencia, quién revisa los resultados y qué exige escalar el asunto. Todo debe estar redactado con suficiente claridad para que una persona recién contratada pueda seguirlo sin preguntarle a nadie.
Indica qué aceptarás, qué no y dónde está el límite, con un lenguaje que permita actuar. “Tenemos un apetito de riesgo moderado” es una frase vaga. “No invertimos cuando un beneficiario controlador aparece en una lista de sanciones, y cualquier noticia en medios adversos relacionada con fraude se remite al grupo de socios antes de la siguiente reunión del comité de inversión” es una política.
Alrededor de doce páginas, específicas y aburridas. Nadie disfrutará leerlas, y está bien. La revisión anual es el mínimo, además de las revisiones posteriores a cualquier incidente relevante o cambio sustancial en la estrategia o la exposición. La fecha de revisión debe figurar en el propio documento; de lo contrario, sin que nadie lo note, termina convirtiéndose en ficción.
La parte interna, no. Es un trabajo poco atractivo que solo tú puedes hacer, y conviene desconfiar un poco de quien afirme lo contrario. Una herramienta puede ejecutar la parte externa una vez que esté por escrito: las verificaciones, las nuevas verificaciones y el rastro de evidencia que las respalda.
Conclusión
Redactar una política de riesgos consiste, en su mayor parte, en un trabajo poco atractivo que ningún proveedor puede hacer por ti, y yo desconfiaría un poco de quien afirme lo contrario. Las secciones internas te corresponden a ti. Las declaraciones de apetito de riesgo te corresponden a ti. El criterio depende por completo de ti.
Pero hay una línea en todo el documento que determina si la parte externa es real o decorativa: el compromiso de frecuencia. Si lo único que puedes escribir con honestidad es “trimestral”, entonces la política describe un portafolio que revisas cuatro veces al año.
Existimos para que puedas escribir algo distinto en esa línea. Beady AI monitorea de forma continua empresas del portafolio, fundadores y contrapartes para detectar sanciones, medios adversos, cambios en registros mercantiles y suplantación de identidad, con cada señal vinculada a su fuente original. Agenda una sesión y probaremos la plataforma con tus inversiones reales, lo que también resulta una forma eficiente de averiguar si la política que estás por redactar es una que realmente puedes cumplir.
