Columna de opinión | Más allá de la ciberseguridad: cómo enfrentar los riesgos que amenazan a las organizaciones

José Lagos Docente U Ejecutivos Facultad de Economía y Negocios Universidad de Chile

Una empresa puede proteger sus servidores y mantener una exposición crítica. Los riesgos emergentes obligan a ampliar la mirada. En el actual escenario, un cambio geopolítico, una nueva tecnología o una relación personal pueden combinarse hasta comprometer información, continuidad y confianza. El desafío consiste en reconocer esas conexiones antes de que la organización pierda capacidad de respuesta.

Un riesgo emergente puede surgir de una amenaza nueva, pero también de una vulnerabilidad conocida, cuyo contexto cambia. La incertidumbre sobre sus consecuencias y sobre la eficacia de los controles exige revisar supuestos. Tensiones comerciales, escasez hídrica, cambios regulatorios y dependencia de proveedores, son algunos aspectos que pueden interactuar de una determinada manera, que la empresa todavía comprende insuficientemente. Una matriz construida únicamente con incidentes históricos difícilmente captará esas combinaciones.

La tecnología agrega velocidad y alcance. Un agente de inteligencia artificial con permisos excesivos podría ejecutar operaciones indebidas; una voz clonada podría inducir una transferencia; varios proveedores podrían depender de la misma infraestructura digital. Evaluar estos escenarios exige preguntar qué puede fallar, cómo se propagaría el daño y cuánto tiempo requerimos para intervenir.

El caso de Nvidia introduce una dimensión incómoda. El 8 de noviembre de 2026, su ex CEO, Jensen Huang, reconoció públicamente una infidelidad. Ese día, el directorio anunció una investigación independiente ante reportes sobre una posible operación de inteligencia extranjera dirigida contra él. También señaló que no tenía motivos para creer comprometidos la seguridad nacional o los secretos de la compañía. Estos comunicados no acreditan espionaje ni filtración de información.

Sin embargo, este caso invita a examinar cuándo la vida privada adquiere relevancia corporativa. Una relación afectiva, por sí sola, no demuestra una falla empresarial. La exposición aparece cuando puede interferir en decisiones, generar conflictos de interés, facilitar acceso a información o crear condiciones para la coerción. El análisis debe centrarse en esas consecuencias y respetar la privacidad de las personas.

Los vínculos íntimos y las vulnerabilidades humanas tienen una larga historia. Su dimensión emergente puede estar en la combinación con tecnologías estratégicas, rivalidades geopolíticas y difusión digital. Una situación personal podría convertirse en una vía de presión sobre quien concentra información o autoridad. También podrían circular acusaciones falsas o contenidos manipulados. Y, en ese aspecto, la respuesta empresarial necesita verificar hechos antes de sancionar o comunicar.

Para los directorios, esta convergencia exige revisar la concentración de poder y las excepciones que se conceden a los altos ejecutivos. En este aspecto, surgen preguntas como: ¿quién puede cuestionar una instrucción del gerente general?, ¿qué decisiones requieren autorización independiente? y ¿existe un canal confidencial para advertir conflictos o presiones? El desempeño comercial de un líder debería convivir con controles verificables sobre sus facultades.

La preparación debe traducirse en acciones concretas: gestionar conflictos de interés, limitar accesos según funciones, confirmar instrucciones sensibles por canales independientes y proteger a quienes reportan preocupaciones de buena fe. Asimismo, conviene ensayar crisis que combinen una denuncia sobre un ejecutivo, una posible filtración y desinformación. El ejercicio debe comprobar quién investiga, quién decide y cómo se mantiene la operación mientras se aclaran los hechos.

Otro aspecto importante es que es necesario observar señales débiles, tales como solicitudes para omitir controles, accesos excepcionales, dependencia excesiva de una persona o alertas que nadie investiga. Cada señal relevante, requiere un responsable y un plazo de revisión. Reconocer que falta evidencia permite investigar y adoptar medidas proporcionales. Esperar una certeza absoluta puede consumir el tiempo disponible para actuar.

En el caso de las empresas chilenas, ¿cuánto dependen sus defensas de que una persona siempre actúe correctamente? Gestionar riesgos emergentes implica preparar a la organización para decisiones equivocadas, cambios inesperados y combinaciones todavía poco comprendidas. El directorio debería exigir escenarios que incluyan a la propia alta dirección y comprobar que los controles funcionan también cuando la instrucción viene desde la cima.