En el anterior post vimos que la auditoría de crisis es una buena herramienta para trabajar en prevención de riesgos y para elaborar el manual de comunicación de crisis. Lo que se persigue es diagnosticar el ‘estado de salud’ en el que se encuentra la organización en materia de gestión de crisis. En definitiva, lo que buscamos al realizar una auditoría de crisis es anticiparnos al riesgo y fortalecernos ante él.

En esta segunda parte abordaré cuáles son los aspectos que suelen analizarse en las auditorías de crisis.

1. Histórico de crisis de la compañía.

Podemos empezar por analizar el histórico de crisis: siempre es interesante conocer qué crisis ha vivido la compañía y cómo se resolvieron. Analizaremos, por ejemplo:

• la estrategia seguida;
• actuaciones realizadas ante diferentes contingencias acaecidas;
• quién ejercicio de portavoz y cómo desempeñó su papel;
• cómo fue la relación con medios;
• qué impacto tuvo la crisis en las RRSS;
• cómo fue la reacción de los distintos públicos;
• cuánto tiempo se tardó en volver a una situación de normalidad operativa, etc.

Conocer el histórico de crisis forma parte del aprendizaje: evidenciará éxitos de gestión y errores que no se deben volver a cometer.

2. Identificación de riesgos y subriesgos.

Todas las compañías se encuentran amenazadas, en mayor o menor manera, por riesgos de gobernanza, económico-financieros, jurídicos, laborales, ambientales, etc. El factor clave de la auditoría será identificar, más allá de los riesgos que son generales para toda organización, los subriesgos existentes en cada categoría. Los subriesgos sí son diferenciales y, por tanto, dependen de la naturaleza del negocio. No tiene los mismos subriesgos una industria alimentaria que un despacho de abogados, como es obvio. Importante también a la hora de identificar riesgos es poner el foco no solo en el grado de cumplimiento normativo, sino también en cuestiones éticas.

Pueden servir como guía las siguientes categorías de riesgos:

• De gobernanza: son riesgos derivados de la gestión de la alta dirección, que afectan a sus directivos y altos cargos. También se derivan de su relacionamiento con sus públicos de interés. Aquí se englobaría, por ejemplo, riesgos de corrupción, conflictos en la Junta Directiva o en el Consejo de Administración, retribuciones indebidas, ‘puertas giratorias’, etc.
• Económico-financieros: son los derivados de la gestión económica de la entidad. Tienen que ver, principalmente, con su solvencia y la cuenta de resultados (impagos, morosidad, resultados negativos, etc.).
• Riesgos jurídicos, legales: son los asociados a posibles procesos judiciales contra la compañía.
• Sistemas y seguridad: ciberataques, escuchas, etc.
• Riesgos laborales, derivados de la relación entre la empresa y sus empleados, y de la propia actividad de la compañía. Toda compañía está expuesta a que sus miembros puedan sufrir accidentes laborales, por ejemplo, o a que sus empleados protagonicen conflictos o vayan a la huelga. En esta categoría también se tendrían en cuenta potenciales procesos de reestructuración en los que hubiera que presentar un ERTE, un ERE, etc.
• Factores de riesgo ambiental, derivados de la relación con el entorno: contaminación, gestión de residuos, uso de los recursos naturales por parte de la compañía, etc.
• Riesgos exógenos, derivados de factores ajenos a la gestión de la compañía: accidentes fortuitos, atentados, catástrofes naturales, etc.
• Riesgos propios de la actividad: dependerán de cada tipo de empresa (logísticos, alertas sanitarias, recall de producto, etc.)

3. Matriz de riesgos.

Una vez identificados los riesgos, se debe realizar una matriz de riesgos para medir la probabilidad de concurrencia y el nivel de impacto. La probabilidad se obtiene de la información que trasladaron los directores en las entrevistas en base a los conocimientos del estado del negocio en sus áreas. De esta manera se puede determinar si un riesgo es muy probable, medianamente probable o poco probable. Asimismo, la matriz de riesgos debe reflejar el impacto en la reputación corporativa de cada riesgo concreto, siendo alto, medio o bajo.

Las matrices de riesgo nos ayudan a visualizar las amenazas potenciales en cada área. Sirven, por tanto, para poner el foco en aquellos riesgos de mayor probabilidad y mayor impacto. La información que se desprende de las matrices es vital para las compañías dado que les ayuda a establecer un escenario de vigilancia sobre los riesgos situados en la cuadrícula superior derecha, e incluso iniciar medidas correctoras para minimizarlos.

4. Indicadores de valoración de los riesgos y niveles de alerta.

En la auditoría hay que analizar si la compañía cuenta o no con indicadores para evaluar, de una forma lo más objetiva posible, la gravedad de las señales de riesgos. Si existen esos indicadores, deben reflejarse en el informe e incluir posibles actualizaciones de los mismos. Si la compañía no dispone de ellos, en la auditoría se señalará que se debería proceder a realizar unas tablas de valoración con parámetros claramente definidos para  poder evaluar de manera rápida y objetiva una situación crítica. Estas tablas de evaluación deben combinar el resultado (cuantitativo) del impacto del riesgo en la compañía desde el punto de vista económico y legal, con el resultado del impacto en su reputación (cualitativo), que tendrá mucho que ver con la probabilidad de difusión mediática y la conversación en las redes sociales.

Con los parámetros o indicadores de las tablas de valoración bien definidos, se obtienen distintos niveles de alerta, siendo lo más común definir cuatro escenarios: incidente, crisis leve, crisis grave, crisis muy grave. Lo ideal es que esta información se integre en los procedimientos de gestión de crisis de la compañía y se defina la estrategia de comunicación en cada escenario. Es este un claro ejemplo de por qué decimos que la auditoría ayuda a anticiparnos y es clave en prevención de riesgos y para realizar el manual de comunicación de crisis.

5. Mapa de stakeholders.

¿Cómo se relaciona la compañía con sus públicos de interés? En comunicación de crisis es fundamental conocer quiénes son los stakeholders de la compañía y cómo es la relación que se tiene con ellos. En la auditoría debemos analizarlo para obtener un mapa de stakeholders que revele cuánto de hostiles o de favorables son esos públicos y el grado de relacionamiento que tenemos con ellos. De esta manera se obtiene una fotografía que será muy útil para identificar a posibles aliados que pudieran conformar una ‘red de seguridad’ a la que movilizar si estallara una crisis reputacional. De la misma manera, el mapa ayuda a trabajar en prevención de crisis en tanto en cuanto nos revela quiénes son los públicos más hostiles con los que puede ser necesario iniciar o mejorar la relación existente.

Conocer el histórico de crisis de la compañía, mapear sus riesgos y analizar la probabilidad de concurrencia de los mismos, establecer los niveles de alerta y conocer el comportamiento de tus principales públicos son, como hemos visto, aspectos fundamentales para analizar en la auditoría. De ella se obtiene información esencial para trabajar la prevención de riesgos y para el manual de crisis. Pero quedaría aún un último e interesantísimo punto de análisis que dejaré para un próximo capítulo: el análisis de los recursos humanos y materiales con los que cuenta la organización para afrontar posibles comunicaciones críticas.