Descargas

Gestión de riesgos y oportunidades

En Aleatica, nuestra gestión de riesgos se caracteriza por ser proactiva y ágil, permitiéndonos anticipar amenazas y potenciar oportunidades en un entorno global volátil.

Mantenemos vigentes nuestras Políticas de Riesgos y operamos bajo la certificación internacional ISO 31000, que ratifica nuestro compromiso con los más altos estándares de gestión.

Una gestión eficaz de riesgos y oportunidades permite a Aleatica proteger y crear valor, fortalecer la resiliencia organizacional, apoyar el crecimiento sostenible y reforzar la confianza de las partes interesadas.

Proceso para determinar el apetito de riesgo de los riesgos identificados

Nuestra Norma de Gestión de Riesgos, aprobada por el Consejo de Administración y basada en COSO ERM e ISO 31000, define cómo determinamos el apetito y la tolerancia al riesgo. El Consejo de Administración es el responsable de fijar la estrategia de riesgos, el apetito y las tolerancias de la compañía.

El apetito es la cantidad de riesgo que el Consejo está dispuesto a aceptar para alcanzar nuestros objetivos. Sirve de referencia a las unidades de negocio y funciones para definir sus controles. Para cada riesgo principal, identificado con las escalas de impacto y probabilidad, fijamos un nivel de tolerancia. Ese nivel no puede superar nuestra capacidad de riesgo y debe estar alineado con el apetito. Comparamos la exposición residual de cada riesgo con su tolerancia. Si la supera, adoptamos controles o planes de mitigación adicionales hasta situarla por debajo del umbral, y damos prioridad a los riesgos con mayor desviación.

Aceptamos un riesgo cuando se ajusta a la tolerancia o cuando el costo de mitigarlo supera claramente su beneficio, y siempre justificamos la decisión. Evitar un riesgo suele ser una decisión del Consejo cuando el riesgo residual sigue sin ser compatible con el apetito. El Comité de Auditoría y Riesgos supervisa que las exposiciones se mantengan dentro de los límites.

Gobernanza de la gestión de riesgos

Nuestra gobernanza se estructura bajo el modelo de las tres líneas de defensa, fortaleciendo una supervisión integral impulsada por el Consejo de Administración y el Comité de Auditoría y Riesgos. 
Como hito fundamental, en 2025 mantuvimos satisfactoriamente la certificación ISO 31000.

Mejora continua del sistema de gestión de riesgos y oportunidades

El año 2025 fue un periodo de consolidación tras la unificación de las áreas de Auditoría y Riesgos realizada en 2024:

Sinergia riesgos-auditoría

La unidad de riesgos revisa todos los programas de trabajo de auditoría para asegurar que el enfoque esté estrictamente alineado con los riesgos críticos.

Actualización normativa

Revisamos integralmente la taxonomía de riesgos y actualizamos la norma de Continuidad de Negocio, integrando un nuevo formato de Análisis de Impacto al Negocio (BIA) que incluye requerimientos del nuevo marco de ciberseguridad.

Indicadores dinámicos

Integramos indicadores clave de desempeño e indicadores clave de riesgos en el reporte trimestral a los consejos.

Cultura de riesgo

Durante 2025 reforzamos nuestra Cultura de Riesgo adoptando el marco ERM 2017 de COSO (Integrating with Strategy and Performance) y ejecutando acciones de sensibilización en todos los niveles:

838

Horas totales de formación en gestión de riesgos

508

Seminario en línea sobre riesgos derivados del cambio climático — participantes

5

Artículos en la revista interna

2,854

Mensajes informativos en pantallas — minutos totales

4

Comunicados sobre Riesgos

2

Artículos en revistas externas

Talleres

sobre riesgos emergentes

Como parte de la evaluación de desempeño del Comité Ejecutivo se considera la actitud y mentalidad del colaborador hacia la gestión de riesgos, influyendo directamente en su retribución.

Estas iniciativas contribuyen a fortalecer la conciencia sobre los riesgos, la rendición de cuentas y las capacidades de toma de decisiones en todos los niveles de la organización.

Proceso de gestión de riesgos y oportunidades

A través de nuestro marco de Gestión Integral de Riesgos, en la Compañía identificamos, evaluamos, controlamos, supervisamos y reportamos de forma continua todo el espectro de riesgos y oportunidades estratégicas, financieras, operativas y de cumplimiento a los que estamos expuestos como organización:

1. Identificación
Los riesgos son identificados por las personas propietarias en cada una de las Unidades de Negocio y áreas funcionales. Para apoyar en la identificación, contamos con una taxonomía de riesgos (universo) que se actualiza periódicamente y que refleja los riesgos potenciales a los que está sujeta la organización. En este universo se integran los riesgos ASG, tales como ambientales, derechos humanos, seguridad laboral, entre otros. También se integran los riesgos de cambio climático, alineados a la categorización sugerida por el TCFD (Task Force on Climate-related Financial Disclosure). Todos los riesgos son clasificados con base en las categorías definidas en la taxonomía de riesgos con el objetivo de analizar su exposición, facilitar su agregación y reporte, y mostrar su interacción con otros riesgos y no únicamente de forma individual.
Los riesgos son evaluados de acuerdo con los criterios de impacto y probabilidad de ocurrencia. La evaluación considera tres valoraciones: una inherente, previa a la adopción de controles para mitigar el riesgo; otra residual, posterior a la adopción de controles; y una evaluación objetivo, tras la implementación de planes de acción/mitigación. Se cuenta con una herramienta informática que da apoyo a todo el proceso.

Con relación con los riesgos, las Unidades de Negocio y áreas Funcionales definen las actividades de control y los planes de mitigación para cada riesgo identificado, documentándolos y supervisándolos de manera continua. Es importante considerar que, aunque centramos nuestros esfuerzos en mitigar los riesgos, algunos de ellos están fuera de nuestro control, como los cambios en las regulaciones, condiciones políticas, económicas o sociales, y la volatilidad de los tipos de cambio. No obstante, estos riesgos son identificados y evaluados, y se realiza un seguimiento periódico sobre ellos. A cada riesgo se le asigna un responsable, quien debe asegurar su correcta gestión y la adecuada implementación de planes de mitigación.

Periódicamente, la Dirección de Riesgos junto con las Unidades de Negocio y Funciones Corporativas monitorean el progreso de los planes de mitigación, así como el comportamiento o evolución de los riesgos.

Los riesgos más significativos, así como los cambios materiales, son comunicados y revisados por la Dirección Ejecutiva, incluyendo los directores regionales. El estatus de los riesgos y las acciones de mitigación se reportan al menos trimestralmente a los Comités y/o Consejos de cada Unidad de Negocio, del Grupo y en el Comité de Sostenibilidad. Adicionalmente, las personas en los principales puestos directivos de la organización y de las Unidades de Negocio, certifican trimestralmente el conocimiento de sus riesgos, controles y medidas de mitigación (bajo su ámbito de responsabilidad) que apoyen a controlar o reducir su exposición.

Principales riesgos

Nuestra organización se enfrenta a una variedad de riesgos e incertidumbres que pueden afectar significativamente nuestro desempeño y la consecución de nuestros objetivos. A continuación, se presentan los riesgos más relevantes identificados hasta el momento.
Riesgo
Descripción
Medidas de mitigación
Cambios y/o reequilibrio de concesiones
Riesgo de que cambios en condiciones contractuales o en el proceso de reequilibrio económico-financiero no se gestionen adecuadamente, afectando la rentabilidad o viabilidad de la concesión.
Gestión contractual con cláusulas de reequilibrio, revisión tarifaria y resolución de controversias; gestión activa con el otorgante; control financiero de obras; revisión de modelos financieros; plan de gestión de crisis; programa comunitario/social.
Progreso de la construcción
Riesgo de retrasos en proyectos de construcción o expansión de infraestructura atribuibles a gestión propia, contratistas, permisos o liberación del derecho de vía, afectando tiempos de entrega y puesta en operación.
Planes de construcción con hitos y rutas críticas; gestión del cambio; evaluación y penalización de contratistas; seguimiento de derecho de vía; equipo calificado; auditorías internas; reuniones de seguimiento.
Sobrecostes
Riesgo de que los costes reales superen significativamente los presupuestos aprobados por mala planificación, cambios de alcance, volatilidad de precios o reclamaciones de contratistas.
Monitoreo de presupuestos real vs. aprobado; gestión contractual y del cambio; evaluación de contratistas con cláusulas de penalización; provisiones de contingencia.
Concentración del negocio
Riesgo de depender excesivamente de pocas concesiones, mercados o países, incrementando la vulnerabilidad ante cambios adversos en esos segmentos.
Análisis de oportunidades de expansión y alianzas; análisis de impacto ante caída de tráfico, cambios regulatorios o impagos.
Integridad / mantenimiento de infraestructura
Riesgo de deterioro, falla o colapso de activos físicos por mantenimiento inadecuado, fallas de diseño, fin de vida útil o cargas excesivas, causando interrupciones, costes de reparación o pérdida de valor.
Programas de mantenimiento mayor y menor; inspecciones técnicas periódicas; cobertura de seguros; indicadores de desempeño de activos; inventario del ciclo de vida; controles de carga.
Continuidad del negocio
Riesgo de interrupción de procesos críticos e incapacidad de recuperarlos dentro de los tiempos y niveles de servicio establecidos.
Marco de continuidad del negocio (BCP, DRP, gestión de crisis); programa de seguros; programas de mantenimiento y monitoreo.
Estandares
Cambio climático (impactos físicos)
Riesgo de daños a infraestructura e interrupciones operativas por eventos climáticos agudos (inundaciones, huracanes, incendios) o crónicos (aumento del nivel del mar, temperaturas extremas).
Sensibilización y formación; evaluaciones de adaptación climática; mitigación de emisiones; manuales de riesgos físicos y transicionales; marco de continuidad; programa de seguros.
Seguridad de las personas usuarias
Riesgo de accidentes o incidentes en infraestructuras gestionadas que causen lesiones o fallecimientos a conductores, pasajeros o peatones.
Estrategia de seguridad vial con PRA y enfoque de Sistema Seguro; análisis de tramos de concentración de accidentes; señalización; herramientas de monitoreo de siniestralidad; campañas de formación.

Ciberseguridad

Riesgo de accesos no autorizados, robo de datos, interrupción de sistemas o extorsión por ciberataques, afectando la confidencialidad, integridad y continuidad de operaciones.
Firewalls y antimalware; Directorio Activo; normativas internas de usuarios; pruebas de penetración y auditorías; plan de recuperación ante desastres (DRP); programa de concientización; renovación tecnológica.
Entorno económico – político – social
Riesgo de impacto negativo en resultados u operaciones por cambios adversos en el entorno macroeconómico, político o social (recesiones, protestas, huelgas, cambios regulatorios, etc.).
Monitoreo del entorno fiscal, regulatorio y geopolítico; análisis de escenarios y stress testing; diversificación geográfica; instrumentos financieros de cobertura; cabildeo; participación en foros; plan de continuidad y gestión de crisis.

Riesgos emergentes

Aleatica se enfrenta a riesgos emergentes, es decir, nuevos riesgos o riesgos inciertos cuya exposición puede incrementarse debido a cambios en el entorno externo. Estos escenarios pueden afectar a la organización en el mediano y largo plazo, por lo que requieren un seguimiento constante.

Los riesgos emergentes se evalúan periódicamente mediante ejercicios de análisis del horizonte que examinan los posibles impactos en el modelo de negocio, los activos de infraestructura, las partes interesadas y los objetivos estratégicos a largo plazo de Aleatica. Entre los riesgos emergentes más relevantes para nuestro negocio destacan:

Uso y regulación de la inteligencia artificial
La IA ofrece oportunidades para mejorar la eficiencia y la innovación, pero también implica riesgos significativos, como sesgos algorítmicos, falta de transparencia, desplazamiento laboral, vulnerabilidades en seguridad y privacidad, así como dilemas éticos y regulatorios. La gestión responsable de la IA exige controles preventivos, evaluaciones de impacto y vigilancia continua ante nuevas normativas.
Los retos sociales y ambientales se han intensificado, con impactos directos en la operación y reputación de las empresas. Factores como el cambio climático, la escasez de recursos naturales, la evolución de las normativas de sostenibilidad y las crecientes expectativas de comunidades y usuarios requieren estrategias de adaptación, cumplimiento y comunicación transparente.
El aumento y sofisticación de los ciberataques, impulsados por la digitalización y la IA, representan un riesgo creciente para la continuidad operativa y la protección de la información.

El entorno regulatorio global es cada vez más exigente, especialmente en temas de datos, sostenibilidad y derechos humanos, lo que obliga a las empresas a adaptar procesos y reportes de manera continua.

Las tensiones internacionales y la reconfiguración de cadenas de suministro impactan costos, plazos y acceso a recursos clave para los proyectos de infraestructura.

Estos riesgos, junto con otros como la polarización social, la volatilidad económica y los desafíos asociados a la transición energética, exigen una gestión proactiva, integral y dinámica para anticipar y mitigar su impacto en la organización.

En 2025 Aleatica priorizó dos riesgos emergentes:

el uso y la regulación de la inteligencia artificial y la geopolítica y las cadenas de suministro.

Nombre

Uso y regulación de la inteligencia artificial

Categoría

Tecnológico

Descripción

A medida que aumenta la adopción de la IA en la organización, Aleatica ha establecido un marco integral de gobernanza y gestión de riesgos, diseñado para que las tecnologías de IA se desplieguen de forma coherente con los valores de la Compañía, sus obligaciones regulatorias y su apetito de riesgo. Este marco incluye una Política de Uso Responsable de la Inteligencia Artificial, una unidad específica de Inteligencia Artificial y una supervisión periódica a cargo del Comité Ejecutivo y del Comité de Auditoría y Riesgos.

Impacto

La Compañía ha implementado procesos para identificar, inventariar y clasificar las iniciativas de IA, apoyados en una metodología formal de evaluación de riesgos de IA que analiza los posibles impactos en materia de cumplimiento, privacidad, ciberseguridad, calidad de los datos, transparencia, sesgos y supervisión humana. Las iniciativas de IA se someten a una revisión multidisciplinar en la que participan las áreas de negocio, tecnología, jurídica, privacidad, ciberseguridad y gestión de riesgos, lo que garantiza que los riesgos se identifiquen, evalúen y mitiguen de manera adecuada antes del despliegue.

Acciones de mitigación

Además, Aleatica promueve programas de sensibilización y formación para fomentar el uso responsable de la IA en toda la organización. La Compañía realiza un seguimiento continuo de la evolución regulatoria y de los riesgos emergentes asociados a la IA, con el fin de que su marco de gobernanza se mantenga alineado con los requisitos legales cambiantes y con las mejores prácticas del sector. Con estas medidas, Aleatica busca aprovechar los beneficios de la innovación impulsada por la IA y, al mismo tiempo, salvaguardar los derechos humanos, la protección de datos, la transparencia y la confianza de los grupos de interés.

Nombre

Inestabilidad geopolítica y disrupción de la cadena de suministro

Categoría

Geopolítico

Descripción

Las tensiones internacionales y la reconfiguración de las cadenas de suministro globales representan un riesgo externo creciente para los proyectos de infraestructura de Aleatica. Junto con presiones asociadas, como la polarización social, la volatilidad económica y los retos de la transición energética, estas dinámicas exigen una gestión de riesgos proactiva, integral y dinámica para anticipar su posible impacto en la organización.

Impacto

Los conflictos armados, las sanciones o las tensiones comerciales entre países pueden interrumpir el flujo de insumos críticos, encareciendo los costos y generando escasez. La concentración de proveedores en regiones políticamente inestables aumenta la vulnerabilidad ante huelgas, nacionalizaciones o cambios abruptos en aranceles y normas de exportación. Las restricciones sobre materias primas estratégicas pueden paralizar las operaciones o elevar de forma repentina los costos de producción. La relocalización (reshoring) o el nearshoring forzados por presiones geopolíticas implican inversiones no planificadas y renegociaciones contractuales. Además, la exposición a proveedores vinculados con violaciones de derechos humanos o trabajo forzoso genera riesgos reputacionales y de cumplimiento en marcos como la CSRD/ESRS o la debida diligencia en la cadena de valor. La volatilidad cambiaria derivada de crisis geopolíticas también afecta los márgenes y la planificación financiera a largo plazo.

Acciones de mitigación

Monitoreo y análisis del entorno fiscal, regulatorio, macroeconómico y geopolítico; interacción activa con reguladores y asociaciones sectoriales; seguimiento de actualizaciones normativas a través de asesores externos; participación en foros y asociaciones del sector; procesos de diligencia debida y monitoreo de proveedores; y evaluación periódica de los posibles impactos en las operaciones, los proyectos y los proveedores críticos.