El Sistema de Administración del Riesgo Operativo (SARO) es una de las exigencias regulatorias que más tiempo consume a los equipos de riesgo y cumplimiento en entidades vigiladas por la Superintendencia Financiera de Colombia (SFC). Y sin embargo, sigue siendo uno de los marcos menos entendidos fuera del área de riesgo.

Qué es exactamente el SARO

El SARO es el marco que exige la SFC (Circular Externa 041 de 2007 y sus modificaciones posteriores) para que las entidades vigiladas identifiquen, midan, controlen y monitoreen su riesgo operativo — es decir, el riesgo de pérdidas por fallas en procesos, personas, sistemas, o eventos externos.

No es un documento único. Es un sistema de gestión completo que incluye, entre otros elementos:

  • Políticas de administración del riesgo operativo, aprobadas por la Junta Directiva.
  • Una matriz de riesgos por proceso.
  • Una base de datos de eventos de riesgo operativo (pérdidas reales, no solo potenciales).
  • Indicadores de riesgo (KRIs).
  • Planes de continuidad del negocio.

Los errores más comunes al implementarlo

En nuestra experiencia acompañando equipos de riesgo, los problemas casi nunca son de desconocimiento normativo — son de operación:

  1. La matriz de riesgos se actualiza una vez al año, cuando la operación cambia constantemente. Para cuando llega la auditoría, ya no refleja la realidad del negocio.
  2. La base de datos de eventos vive en una hoja de cálculo que solo una persona sabe mantener, y que no se cruza con los indicadores del resto de la organización.
  3. Los controles existen en papel, pero nadie puede demostrar que se ejecutan de forma consistente — lo cual es, en la práctica, lo primero que revisa un auditor externo o la propia SFC.

Qué exige la SFC en la práctica

Más allá de tener los documentos, la Superintendencia espera poder verificar trazabilidad: que cada control tenga evidencia de ejecución, que cada evento de riesgo esté registrado con su análisis de causa raíz, y que los indicadores realmente se usen para tomar decisiones — no que existan solo para el reporte.

Esa es, en el fondo, la diferencia entre un SARO que cumple con la forma y uno que reduce el riesgo real de la operación.

¿Tu equipo está gestionando el SARO en hojas de cálculo dispersas? Conversemos sobre cómo centralizarlo sin agregar más carga operativa al equipo.