Gestión de riesgos no financieros: lo que hay detrás de una hoja de cálculo

Hay una conversación que se repite en las reuniones de dirección desde hace dos años. Alguien pregunta por el riesgo climático de la compañía, y la respuesta llega en forma de presentación con semáforos verdes, ámbar y rojos que nadie sabe muy bien de dónde salen. Todo el mundo asiente. Nadie pregunta cómo se calcularon.

Esa conversación se ha vuelto incómoda por una razón concreta: ahora hay alguien fuera de la sala haciendo la misma pregunta. Y ese alguien es el banco.

Esta guía trata de cómo pasar de los semáforos a algo defendible. No es un manual de cumplimiento normativo —hay muchos y bastante buenos— sino una explicación de por qué la gestión de riesgos no financieros ha dejado de ser un ejercicio de reporting para convertirse en una variable que aparece en la conversación de crédito. .

Qué son, y por qué el nombre engaña

La etiqueta "no financieros" es desafortunada. Sugiere que estos riesgos viven en otro sitio, lejos de la cuenta de resultados, cuando lo que ocurre es justo lo contrario: son riesgos financieros a los que todavía no se les había puesto precio.

Una planta en zona inundable no es un asunto ambiental. Es una interrupción de producción, un coste de reposición y una prima de seguro que sube. Un proveedor con problemas laborales no es un asunto social: es un contrato que puede romperse y un cliente grande que te saca del concurso. La diferencia con el riesgo de crédito o de mercado no está en la naturaleza del daño, sino en que llevamos décadas midiendo unos y muy poco tiempo midiendo los otros.

Lo que ha cambiado con la normativa europea es esa segunda parte. La CSRD introdujo el concepto de doble materialidad, que suena académico pero significa algo bastante práctico: hay que mirar en dos direcciones. Cómo afecta el entorno a la empresa —una sequía, una subida del precio del carbono, un cambio regulatorio que deja obsoleta una instalación— y cómo afecta la empresa al entorno. La primera dirección es la que interesa a un director financiero. La segunda es la que interesa a un regulador. Y desde hace poco, ambas interesan a quien concede el crédito.

Las tres familias, sin la letanía

Los riesgos ESG suelen presentarse como tres bloques ordenados. En la práctica se comportan de forma muy distinta:

Los ambientales se dividen en dos naturalezas que conviene no mezclar. Los físicos dependen de dónde están las cosas: una nave, una cantera, un centro logístico. Se evalúan por localización y escenario climático, y su horizonte suele ser largo. Los de transición dependen de a qué te dedicas: sector, dependencia energética, exposición a mecanismos como el ETS o el CBAM. Estos son mucho más inmediatos y, en el mercado español, los que más margen comprimen hoy.

Los sociales son los que más han cambiado de estatus. Con la CSDDD, la responsabilidad se extiende a la cadena de suministro, y eso convierte un problema de un proveedor a miles de kilómetros en un problema propio, legal y operativo. Es el ámbito donde más empresas descubren que no tienen ni idea de lo que pasa dos escalones más abajo.

Los de gobernanza son los que menos titulares generan y los que mejor predicen los problemas. Concentración de decisiones en una sola persona, ausencia de controles internos, litigios abiertos, rotación alta en puestos clave. Cualquiera que haya analizado empresas sabe que ahí está la mitad de las señales de alarma. La novedad no es que importen: es que ahora hay que documentarlos.

De la narrativa al número

El salto difícil no es identificar riesgos. Cualquier equipo de dirección puede hacer una lista razonable en una tarde. El salto difícil es medirlos de forma que aguanten una pregunta.

Decir "tenemos un riesgo medio de interrupción por eventos climáticos" no significa nada. Significa algo decir que dos de los cuatro centros productivos están en zona de riesgo de inundación bajo un escenario RCP 4.5 a horizonte 2030, que representan el 40% de la capacidad, y que existe un plan de continuidad probado para uno de ellos.

La diferencia entre las dos frases es la que separa un informe de un análisis. Y es exactamente la diferencia que nota un verificador externo o un analista de riesgos.

COSO ERM: por qué este marco y no otro

Cuando una empresa decide estructurar su gestión de riesgos, la pregunta razonable es qué marco usar. Hay varios. COSO ERM se ha impuesto en la práctica por una razón poco glamurosa: es el que ya habla la auditoría interna.

Eso importa más de lo que parece. Un marco de riesgos que solo entiende el departamento de sostenibilidad es un marco huérfano. COSO permite que el responsable de sostenibilidad y el director financiero discutan sobre lo mismo usando las mismas palabras, y que el auditor reconozca la estructura sin necesidad de que se la expliquen.

El modelo se apoya en cuatro movimientos que, contados sin jerga, son bastante intuitivos:

Quién responde de qué. Si la supervisión de estos riesgos no está asignada a alguien concreto en el consejo o en la dirección, no hay gestión: hay un documento. Es el paso que más proyectos hunde y el que menos tiempo se le dedica.

Qué queremos conseguir. Los riesgos se evalúan contra objetivos. Una empresa que no ha decidido qué va a hacer con la transición energética no puede evaluar su riesgo de transición, porque no tiene contra qué medirlo.

Cuánto duele y cuánto probable es. Aquí es donde el trabajo se vuelve técnico, y donde hablaremos de riesgo inherente y residual más abajo.

Y luego, seguir mirando. Un mapa de riesgos de hace dieciocho meses es un documento histórico. La normativa exige evaluar en tres horizontes —menos de un año, hasta cinco, más de cinco— y eso obliga a revisarlo periódicamente.

Riesgo inherente y riesgo residual: el punto donde casi todos fallan

Esta es la parte de la metodología que más se maltrata, y merece detenerse.

El riesgo inherente es el que existe si no haces nada. El residual es el que queda después de aplicar los controles que tienes. La diferencia entre ambos es, literalmente, el valor de tu trabajo de gestión.

El error habitual es aplicar un porcentaje único de reducción a los dos ejes. "Nuestros controles son efectivos al 60%, luego el riesgo baja un 60%". Suena razonable y es incorrecto, porque los controles no actúan igual sobre la probabilidad que sobre el impacto.

Un ejemplo. Una empresa cerámica con riesgo de subida del coste energético tiene cuatro controles: un contrato de suministro a largo plazo, una cobertura financiera de precio, un plan de eficiencia con inversión aprobada y una cláusula de repercusión al cliente.

Los dos primeros reducen la probabilidad de que el coste suba. Los dos últimos no evitan nada, pero reducen el impacto cuando sube. Tratarlos como equivalentes distorsiona el resultado.

Y hay un segundo error, más sutil: sumar la efectividad de todos los controles como si fueran independientes. Cuatro controles con un 50% de efectividad darían, multiplicados, una reducción del 94%. Absurdo. En la práctica los controles se solapan. El contrato a largo plazo y la cobertura financiera atacan el mismo problema —el precio de la energía— así que el segundo aporta poco cuando ya tienes el primero. Si esa empresa quisiera reducir de verdad su exposición, tendría que actuar sobre el consumo, que es otra causa.

Esa conclusión —dónde poner el siguiente euro— es lo que un mapa de riesgos bien construido devuelve y una lista de semáforos no.

Un último apunte, y es el que más credibilidad da ante un tercero: el riesgo residual nunca baja a cero, y conviene ponerle un límite. Ningún conjunto de controles debería poder reducir un riesgo más de dos niveles en la escala. Sin ese tope, la matriz se convierte en un ejercicio de autocomplacencia, y es lo primero que detecta un revisor externo.

Dos calendarios normativos, y solo uno se ha relajado

Aquí está el cambio que más ha modificado el panorama en los últimos meses, y el que más empresas siguen sin ver.

En Europa conviven dos bloques regulatorios que funcionan de forma independiente.

El de información corporativa —CSRD, ESRS, VSME— define quién tiene que reportar. Este bloque se ha relajado. El paquete Ómnibus elevó los umbrales de forma sustancial y retrasó la entrada de nuevas olas de empresas. Muchas compañías medianas que se estaban preparando descubrieron que ya no estaban obligadas, y bastantes concluyeron que el asunto se había aplazado.

El bloque bancario —CRR3, CRD6 y las directrices de la Autoridad Bancaria Europea— define otra cosa: qué tiene que evaluar un banco antes de conceder financiación. Y ese no se ha relajado.

Las directrices EBA/GL/2025/01, aplicables desde enero de 2026 para la mayoría de entidades y desde enero de 2027 para las pequeñas y no complejas, obligan a los bancos a evaluar el riesgo ESG de cada empresa a la que financian, a integrarlo en la concesión y la revisión del crédito y a pedirle información para poder hacerlo.

Ahí está el detalle que más consecuencias tiene: cuando el cliente no aporta el dato, la norma permite al banco estimarlo con medias sectoriales, aunque le exige reducir esa práctica a medida que mejore la información disponible.

Traducido: no contestar no es neutro. Una empresa que gestiona bien pero no lo documenta acaba evaluada como la media de su sector, que casi nunca le favorece. La que sí lo documenta juega con su perfil real.

Este mecanismo es también la razón de que en febrero de 2026 el Consejo de Finanzas Sostenibles, dependiente del Ministerio de Economía, lanzara Eco-Track: una herramienta gratuita para que las pymes puedan entregar información de sostenibilidad a sus bancos partiendo del estándar VSME. Es una señal bastante clara de por dónde va el asunto.

La CSDDD y el problema de mirar hacia abajo

La directiva de diligencia debida amplía la responsabilidad a la cadena de suministro, y ese es un cambio de escala considerable. Auditar lo que ocurre dentro de la propia empresa es un problema resoluble. Auditar a proveedores en otros países, y a los proveedores de esos proveedores, es un problema distinto.

La respuesta práctica no es auditar a todo el mundo —no es viable— sino priorizar por criticidad y exposición. Qué proveedores son insustituibles, cuáles operan en geografías o sectores de mayor riesgo, y cuáles concentran una parte relevante del gasto. El resto se cubre con declaraciones y cláusulas contractuales, sabiendo que eso es una cobertura parcial.

Cómo llega esto al coste de capital

Conviene ser preciso aquí, porque es donde más se exagera.

El ESG no entra en el precio del crédito por una sola vía. Entra por tres, y con pesos distintos.

El margen ligado a sostenibilidad es el más visible: préstamos con objetivos vinculados y un diferencial que se ajusta según cumplimiento. La horquilla de mercado observada suele situarse entre 5 y 15 puntos básicos. Es real, pero se usa sobre todo en operaciones grandes y sindicadas; en un bilateral de tres millones a una empresa mediana aparece poco.

El rating interno es la vía que sí alcanza al mid-market, y es más importante que la anterior aunque se vea menos. El perfil ESG entra como factor modificador en la clasificación interna de riesgo, que a su vez alimenta el precio ajustado a riesgo. No se percibe como un descuento verde: se percibe como estar un escalón más arriba o más abajo en la parrilla.

La valoración de garantías es la más directa y la que menos se menciona. La certificación energética de un inmueble y su exposición a riesgo físico afectan a lo que vale, y eso afecta al LTV, al importe concedido y a las condiciones. Aquí el efecto no es sobre la probabilidad de impago, sino sobre la pérdida esperada si ocurre.

Y hay un cuarto efecto, que para muchas empresas pesa más que los tres anteriores: la disponibilidad. Que la operación salga o no salga, en cuánto tiempo, y con qué exigencias adicionales. Para un director financiero con un vencimiento en tres meses, eso vale bastante más que quince puntos básicos.

Lo que no se puede afirmar es que una buena gestión ESG garantice un descuento en el tipo. Depende de la entidad, del producto, del sector y de la operación. Lo que sí se puede afirmar es que la ausencia de datos se traduce en estimaciones conservadoras, y que las estimaciones conservadoras nunca juegan a favor.

La puntuación como herramienta interna, no como trofeo

Un ESG Score tiene sentido si sirve para decidir. Como cifra para poner en una presentación, no aporta gran cosa.

Su utilidad real es doble: permite ver qué áreas están arrastrando el conjunto —de ahí que tenga sentido desglosar por ejes ambiental, social y de gobernanza, con pesos explícitos— y permite anticipar cómo evaluará un tercero antes de que lo haga. Saber que el eje de gobernanza está en 71 y el ambiental en 61 dice dónde trabajar. Saber que la nota global es 68 no dice nada.

Y hay una condición innegociable para que un score sea defendible: tiene que llevar versión de metodología. Una puntuación sin la explicación de cómo se calculó no la acepta ningún tercero, con razón.

El problema con las hojas de cálculo

Hay que decir esto con matiz, porque el argumento fácil —"Excel es malo"— no es cierto y quien lleva años trabajando así lo sabe.

Excel es excelente para calcular. El problema no es el cálculo: es todo lo demás.

Cuando el mismo dato tiene que servir para el informe de sostenibilidad, para la respuesta al banco y para el cuestionario de un cliente grande, y cada uno lo pide en un formato distinto, empiezan a existir tres versiones del mismo número. Cuando un verificador pregunta de dónde sale una cifra concreta y la respuesta implica abrir cuatro archivos y llamar a una persona que ya no está en la empresa, hay un problema de trazabilidad. Y cuando llega el ejercicio siguiente y hay que rehacer la recogida desde cero, hay un problema de coste que se repite cada año.

Ninguno de esos tres es un problema de fórmulas. Son problemas de continuidad, de procedencia del dato y de escala. Y son exactamente los que un sistema resuelve y una hoja de cálculo no, por buena que sea.

El indicador que mejor resume esto —y que, no por casualidad, es el que las directrices bancarias piden a las entidades— es la cobertura: qué porcentaje de la información está respaldada por dato medido y qué porcentaje es estimación. Una empresa que puede decir "el 91% de nuestros datos son medidos, el 9% estimado, y aquí está el detalle" está en otra conversación que una que entrega un informe sin distinguir.

Qué hace Voombu, y qué no

Voombu es la infraestructura donde ese dato vive: se captura una vez y alimenta los distintos marcos —CSRD y ESRS, GRI, GHG Protocol, VSME y el resto— sin volver a recopilarlo para cada uno. Sobre esa base, el módulo de riesgos aplica metodología COSO ERM con distinción entre riesgo inherente y residual, y genera documentación trazable, con el origen de cada métrica identificable hasta la fuente.

Conviene ser explícito con los límites. Voombu no audita ni emite ratings. Prepara la información para que un tercero pueda verificarla, que es una función distinta y complementaria. Y no sustituye el criterio de un consultor: un mapa de riesgos requiere decidir qué es material, qué queda fuera y por qué, y esas son decisiones profesionales que ninguna herramienta toma por ti.

Lo que sí resuelve es que ese criterio deje de vivir en hojas de cálculo y pueda aplicarse de forma consistente, año tras año y sobre toda una cartera si hace falta.

Lo que conviene tener claro para 2026

Tres ideas, si hay que quedarse con pocas.

La primera es que la obligación de reportar y la necesidad de responder son dos cosas distintas, y solo una se ha relajado. Una empresa fuera del ámbito de la CSRD sigue teniendo que contestar cuando le pregunten sus bancos, sus clientes grandes o los programas de financiación europea.

La segunda es que el trabajo real no está en el informe, sino en la estructura que lo sostiene. Un informe se puede hacer en tres semanas con esfuerzo. Un sistema que permita repetirlo cada año, con trazabilidad y sin empezar de cero, es otra cosa —y es lo que marca la diferencia a partir del segundo ejercicio.

Y la tercera, quizá la más incómoda: quien no aporta el dato no deja de ser evaluado. Simplemente lo es con una media sectorial que rara vez le favorece. La elección no es entre medir o no medir. Es entre medirte tú o que te midan por defecto.

Preguntas frecuentes

¿Qué diferencia hay entre riesgo financiero y no financiero? El financiero se refiere a volatilidad de activos, liquidez y crédito. El no financiero abarca factores operativos, legales, ambientales y reputacionales. La distinción es más histórica que conceptual: ambos acaban en la cuenta de resultados, pero los segundos llevan menos tiempo midiéndose de forma sistemática.

¿Sigue siendo obligatorio reportar bajo CSRD? Depende del tamaño. Tras el paquete Ómnibus los umbrales subieron de forma sustancial y muchas empresas medianas quedaron fuera del ámbito obligatorio. Pero salir del ámbito de la CSRD no elimina las peticiones de información que llegan por otras vías: bancos, clientes sujetos a la directiva y programas de financiación pública.

¿Cómo afecta esto al tipo de interés de mi empresa? Por tres vías. En operaciones vinculadas a sostenibilidad, con ajustes de margen que en el mercado europeo suelen moverse entre 5 y 15 puntos básicos. En el rating interno de la entidad, donde el perfil ESG actúa como factor modificador. Y en la valoración de las garantías, especialmente inmobiliarias. El efecto concreto varía según entidad, producto y operación, así que conviene desconfiar de quien prometa una cifra cerrada.

¿Por qué COSO ERM y no otro marco? Porque es el que ya usa la auditoría interna, y eso hace que el trabajo sea reconocible por terceros. Un marco de riesgos que solo entiende el equipo de sostenibilidad tiene un problema de traducción cada vez que hay que explicarlo fuera.

¿Qué es un KRI? Un indicador que mide la exposición a un riesgo antes de que se materialice. En sostenibilidad puede ser la intensidad de carbono por unidad producida, el porcentaje de proveedores en zonas de estrés hídrico o la antigüedad media de las certificaciones energéticas de los activos. Su utilidad depende de que se revise con frecuencia: un KRI anual es un dato histórico.

¿Un software sustituye a una consultora? No. Decidir qué es material, qué riesgos quedan fuera del alcance y cómo se valora un control que existe pero no está formalizado son decisiones de criterio profesional. Lo que una plataforma resuelve es la parte que no requiere criterio: recoger, estructurar, dejar rastro y poder repetirlo. Casualmente, también es la parte que consume la mayoría de las horas.

¿Cómo se prepara la información para una verificación externa? Garantizando que cada cifra tenga origen identificable, método de cálculo documentado, fecha y responsable, y que quede claro qué es dato medido y qué es estimación. Un verificador no espera perfección: espera poder rastrear. Los huecos declarados se gestionan; los huecos silenciosos generan salvedades.

¿Qué riesgos sociales prioriza la CSDDD? Derechos humanos y condiciones laborales en la cadena de suministro, con foco en trabajo forzoso, seguridad laboral y degradación ambiental asociada. Dado que auditar la cadena completa no es viable para la mayoría de empresas, el enfoque razonable es priorizar por criticidad del proveedor, geografía y volumen de gasto.