Riesgo cibernético en lenguaje financiero: cómo traducir escenarios cyber a pérdidas esperadas, VaR y apetito de riesgo

De qué trata

Joaquín Galermes, actuario y especialista en modelos de riesgos de Safe-U, presentó en la IV Jornada Anual de Riesgos (17 de septiembre de 2026) cómo convertir el riesgo cibernético en cifras que un directorio puede usar para decidir.

Las 41 diapositivas parten de por qué un semáforo de colores no responde cuánto invertir ni qué atender primero, introducen el estándar abierto FAIR (Factor Analysis of Information Risk) y su árbol de frecuencia y magnitud de pérdida, y lo aplican a un caso conductor de un banco con USD 240 millones de ingreso operativo. El caso termina en una pérdida anual esperada, un VaR y un TVaR, en el efecto de cada control sobre una parte distinta del modelo y en la comparación de dos métricas de retorno de la inversión.

Objetivos

• Explicar por qué el riesgo cibernético expresado en colores no permite decidir inversión ni prioridades.
• Presentar el método FAIR y cómo se descompone una estimación difícil en partes que sí se pueden estimar.
• Mostrar con un caso cómo se calculan la pérdida esperada, el VaR y el TVaR, y cómo se evalúa el efecto de los controles.

Ideas clave

1. Un incidente cibernético cruza todo el estado de resultados: ingresos, liquidez, capital, cumplimiento y continuidad de la operación.
2. FAIR es un estándar abierto de The Open Group y un vocabulario común: descompone el riesgo en frecuencia de pérdida (amenaza por vulnerabilidad) y magnitud de pérdida (primaria más secundaria); da un rango con su incertidumbre, no una certeza.
3. Dos fuentes no se promedian si miden cosas distintas: USD 6.29 millones es el costo total de una brecha de datos en el sector financiero y USD 1.70 millones es el costo de recuperar un ransomware sin el rescate.
4. En el caso, la pérdida anual esperada es de USD 1.01 millones, pero el VaR al 95 % es de USD 4.93 millones y el TVaR al 95 %, de USD 7.36 millones; el año típico lo paga la operación y el año malo, el regulador y los clientes.
5. Cada control mueve una parte distinta del modelo, y la pregunta del directorio pasa de qué riesgo está en rojo a cuánto se tolera, cuánto invertir y si se mejoró.