cuestionario pregunta si tenemos un sistema de gestión de riesgos, qué cuenta como respuesta

Sistema formal o solo una evaluación de riesgos

Esto varía según la lista de verificación, pero en la mayoría de los casos no se pregunta si alguna vez ha estimado riesgos — se pregunta si esto se hace de manera estructurada y repetible. Un sistema en este sentido significa: los riesgos han sido identificados, existe una forma de evaluarlos (probabilidad e impacto), se han vinculado medidas a ellos, y se revisan periódicamente. Establecer un riesgo en una lista una sola vez como respuesta a esta lista de verificación generalmente no cuenta como "sistema"; una parte fija de las operaciones comerciales — aunque sea solo una actualización anual de una hoja de cálculo de Excel con responsabilidad por riesgo — generalmente sí cuenta.

En listas de verificación de tipo CSRD (derivadas del módulo básico de EFRAG VSME), la gestión de riesgos a menudo se solicita específicamente para temas de sostenibilidad: clima, derechos humanos en la cadena, gobernanza. Si ha establecido este proceso solo para riesgos financieros u operacionales y no para sostenibilidad, entonces "no" suele ser la respuesta honesta a esa parte específica, aunque en general sí realice gestión de riesgos. Algunos clientes hacen esta pregunta como cuestión independiente, otros como parte de un bloque más amplio sobre quiénes están en el consejo de administración y cómo está compuesto — gobernanza y gestión de riesgos se combinan regularmente en las listas de verificación porque la estructura de supervisión a menudo también supervisa la gestión de riesgos.

Lo que el módulo básico de VSME y la ley contra el blanqueo de capitales solicitan como prueba

El módulo básico de EFRAG VSME solicita una descripción de políticas y prácticas, no un sistema certificado como ISO 31000 — en la mayoría de los casos es suficiente una descripción breve y fáctica de cómo se identifican y controlan los riesgos. Si la pregunta proviene de un banco o asegurador, el vínculo a menudo está en la Ley de Prevención del Blanqueo de Capitales y la Financiación del Terrorismo: esta obliga al cliente mismo a realizar investigación de clientes, y por lo tanto el cliente a menudo quiere saber si su propia organización mantiene los riesgos bajo control — incluidos los riesgos de integridad —. Si no dispone de un sistema formal de gestión de riesgos pero sí de elementos aislados como una política de sanciones o un canal de denuncia, a menudo es más preciso mencionar esos elementos aislados que sugerir un sistema que no existe.