Riesgos 2027: lo que debe estar en la mesa del Consejo

Ciberseguridad, fiscalización, IA, agua y terceros ya aparecen en las matrices. La pregunta es qué decisión se está posponiendo y quién responde por ella.

En las organizaciones mexicanas ya estamos en la época de presupuestos, planes de auditoría y presentaciones de estrategia. La matriz casi siempre ya está hecha: ciberseguridad en rojo, cumplimiento en naranja, algún riesgo emergente con flecha hacia arriba. El asunto es qué decisiones se toman a partir de eso y cómo se integran en la estrategia del siguiente año.

En ASG Risk hemos contrastado los temas que vemos en la mesa —comercio exterior, fiscalización, inteligencia artificial, ciberseguridad, crecimiento económico, agua, terceros y talento— con Risk in Focus 2026/2027 (se abre en una pestaña nueva), publicado por la Internal Audit Foundation del Instituto de Auditores Internos (IIA), con el Global Risks Report 2026 (se abre en una pestaña nueva) del Foro Económico Mundial (WEF) y con información de México. Hay coincidencias claras y precisiones que conviene hacer antes de pronosticar el apocalipsis corporativo de cada año.

Cambiarle el año a la matriz es relativamente sencillo. Preparar a la organización requiere bastante más trabajo.

— ASG Risk

En Risk in Focus 2026/2027 (se abre en una pestaña nueva), el 80% de los participantes latinoamericanos coloca a la ciberseguridad entre sus cinco principales riesgos; el 61%, a la disrupción digital, incluida la inteligencia artificial (IA); y el 52%, a la incertidumbre geopolítica y macroeconómica. En Norteamérica son 85%, 69% y 43%, respectivamente. Son percepciones regionales, no tasas de incidentes ni un diagnóstico representativo de todas las empresas mexicanas: hubo 512 respuestas latinoamericanas, 52 de México, en una encuesta levantada entre marzo y mayo de 2026.

El WEF sitúa la confrontación geoeconómica como el principal riesgo en los horizontes de 2026 y 2028. El 1 de julio (se abre en una pestaña nueva), la oficina del Representante Comercial de Estados Unidos informó que su país no había acordado extender el Tratado entre México, Estados Unidos y Canadá (T-MEC) en su forma actual. El tratado continúa vigente; Banxico explicó en agosto (se abre en una pestaña nueva) que se activaron revisiones anuales. Para una empresa mexicana, las preguntas son cuánto depende de un cliente estadounidense, qué insumos importa, qué supuestos sostienen su margen y qué tan rápido podría ajustar su operación.

En lo fiscal, el Paquete Económico 2027 (se abre en una pestaña nueva) presentado en septiembre plantea ingresos tributarios equivalentes al 15.9% del producto interno bruto (PIB). Al 15 de octubre de 2026, la Cámara de Diputados había aprobado la Ley de Ingresos 2027 (se abre en una pestaña nueva) y la había remitido al Senado. Ese avance legislativo no equivale a una ley promulgada. Para el Consejo, conviene separar los cambios propuestos de las obligaciones vigentes y exigir evidencia en compras, contratación y cuentas por pagar: ¿podemos demostrar qué recibimos, quién lo recibió y cómo se relaciona con la operación?

La disciplina de evidencia también sirve para enfrentar el fraude, que figura entre los cinco principales riesgos para el 38% de los participantes latinoamericanos, frente al 18% en Norteamérica. Esa comparación del IIA se refiere al fraude en general, no específicamente al fiscal. No basta con documentar una operación: hay que revisar quién la autoriza, quién puede modificarla y cómo se investigan las excepciones.

Con la IA, contar cuántos procesos se «metieron a IA» mide poco. Conviene revisar qué resultado se busca, qué pasos se eliminan y qué decisiones necesitan intervención humana. OWASP identifica (se abre en una pestaña nueva) la inyección de instrucciones y la autonomía excesiva entre los riesgos relevantes: un documento o correo puede contener instrucciones maliciosas y el sistema puede tener permisos que excedan su función. Un ejemplo hipotético: un agente que lee facturas no debería poder cambiar cuentas bancarias o liberar pagos sin controles y autorizaciones independientes del modelo.

En ciberseguridad, la discusión útil para 2027 es la capacidad de recuperación: cuánto tiempo puede operar la empresa sin determinados sistemas, cuándo se probó la restauración de respaldos y quién decide durante un incidente. Un respaldo existente no sustituye una restauración ensayada.

México creció 0.5% en 2025, según la cifra publicada (se abre en una pestaña nueva) por el Instituto Nacional de Estadística y Geografía (INEGI) el 24 de agosto de 2026, todavía identificada como preliminar. En su Informe Trimestral abril-junio (se abre en una pestaña nueva), publicado el 26 de agosto, Banxico estimó un crecimiento de 1.5% para 2026, con rango de 1.0% a 2.0%, y de 2.0% para 2027, con rango de 1.2% a 2.8%; también anticipó una desaceleración mayor a la prevista para el tercer trimestre. Son pronósticos, no resultados. Una inversión debe soportar escenarios de menores ventas, cobranza más lenta o mayores costos, sin ignorar cuánto cuesta posponerla.

Sobre el agua, en su boletín del 8 de octubre (se abre en una pestaña nueva), la Administración Nacional Oceánica y Atmosférica de Estados Unidos (NOAA) prevé que El Niño continúe de fuerte a muy fuerte hasta enero-marzo de 2027. Eso no equivale a sequía generalizada ni determina por sí solo la lluvia en cada región. Para el negocio, la pregunta es qué plantas, proveedores y rutas son vulnerables tanto a restricciones de suministro como a inundaciones, y qué alternativas reales tienen. El análisis debe aterrizarse por instalación y cuenca, no depender de una etiqueta climática nacional.

Terceros y talento completan la conversación. Conviene revisar durante toda la relación quién subcontrata funciones críticas, qué accesos conserva y cuántos procesos dependen de un mismo proveedor tecnológico. La continuidad debe probarse, no darse por supuesta en el contrato. En el IIA, capital humano aparece entre los cinco principales riesgos para el 37% en Latinoamérica y el 45% en Norteamérica. La pregunta práctica es quién tiene capacidad para cuestionar una salida de IA, una excepción o una interrupción.

Lo que conviene llevar a la mesa antes de aprobar el plan 2027

• Comercio y margen: mapear la dependencia de clientes y proveedores expuestos al T-MEC y probar escenarios de operación.
• Fiscal y evidencia: fortalecer la trazabilidad en compras, contratación y cuentas por pagar, distinguiendo propuestas de obligaciones vigentes.
• IA y ciberseguridad: limitar permisos, exigir controles independientes en operaciones de alto impacto y ensayar la restauración de respaldos.
• Agua y extremos climáticos: identificar instalaciones, proveedores y rutas expuestos, con alternativas de abastecimiento y continuidad.
• Terceros y talento: revisar concentración, accesos y capacidad de respuesta de proveedores, y formar a quienes deben cuestionar las decisiones.

Conclusión

La inquietud para 2027 es cómo se combinan estos riesgos: un tercero comprometido puede exponer información; una interrupción puede presionar la liquidez; una meta comercial difícil puede incentivar que alguien se salte un control. Antes de aprobar el siguiente plan de auditoría, en ASG Risk proponemos llevar una pregunta a la mesa: de todo lo que ya reconocemos como relevante, ¿qué decisión estamos posponiendo y quién se está haciendo responsable?

Una versión de este análisis se publicó en el newsletter de LinkedIn de José Carlos Ortiz Avila.

Escrito por

José Carlos Ortiz Avila

Socio Líder de Gobierno, Riesgo y Cumplimiento