PROGRAMA DE GESTIÓN DE RIESGOS DE CMPC

Gobernanza de Riesgos en CMPC

CMPC asegura que la supervisión de la gestión de riesgos esté encomendada a un comité dedicado del máximo órgano de gobierno, compuesto exclusivamente por directores independientes y no ejecutivos, de acuerdo con las mejores prácticas de gobierno corporativo. El Comité de Riesgos, Auditoría y Cumplimiento de CMPC está compuesto por los directores Hernán Rodríguez Wilson, Bernardo Larraín Matte, Ximena Corbo Urzúa y Francisco Ruiz-Tagle Edwards. Sus principales responsabilidades incluyen aprobar y supervisar la ejecución del plan anual de auditoría interna; aprobar y monitorear la estrategia de cumplimiento de la empresa; hacer seguimiento a las acciones derivadas de la implementación del modelo de prevención de CMPC; y monitorear la ejecución integral de la estrategia de gestión de riesgos de la compañía, que incluye, entre otras áreas, la ciberseguridad.

El Programa de Gestión de Riesgos de CMPC se estructura según el modelo de tres líneas de defensa, garantizando una clara asignación de responsabilidades para la identificación, gestión, supervisión y aseguramiento independiente de los riesgos. Esta estructura permite a la empresa mantener un enfoque integrado y efectivo para la gobernanza de riesgos, alineado con estándares internacionales como ISO 31000 y COSO ERM.

A continuación, se describe cómo se implementa cada línea de defensa dentro del marco de gobernanza de riesgos de CMPC:

• Primera Línea de Defensa: En CMPC, todas las áreas administrativas, funcionales y operacionales son responsables de identificar y gestionar los riesgos asociados a sus actividades. Esto significa que la propiedad del riesgo está claramente asignada a nivel de unidad de negocio, donde los equipos operacionales supervisan y gestionan activamente los riesgos como parte de sus responsabilidades centrales. Estas áreas también participan en la implementación de medidas de control y en el reporte a los comités relevantes, asegurando un enfoque integrado y transversal de la gestión de riesgos en toda la organización.
• Segunda Línea de Defensa: CMPC cuenta con una estructura de gobernanza consolidada que respalda la supervisión de la gestión de riesgos a través de diversas funciones y comités especializados. La Gerencia Corporativa de Riesgo y Cumplimiento es responsable de la implementación, mejora continua y supervisión del programa de riesgo, incluyendo su monitoreo, reporte y alineación con las mejores prácticas internacionales. Además, el Comité de Riesgos, Cumplimiento y Auditoría y el Comité de Sostenibilidad y Regulación apoyan los esfuerzos de supervisión y proporcionan orientación estratégica, mientras que los dueños ejecutivos de cada categoría de riesgo supervisan individualmente sus respectivas fuentes de riesgo. En conjunto, estas estructuras aseguran el cumplimiento de los objetivos de gestión de riesgos y el control regulatorio en toda la empresa.
• Tercera Línea de Defensa: El Departamento de Auditoría Interna de CMPC proporciona un aseguramiento independiente y objetivo respecto a la calidad y nivel de implementación de los controles internos y medidas de mitigación de riesgos. Este departamento reporta directamente al Directorio a través del Comité de Riesgos, Auditoría y Cumplimiento, manteniendo su independencia de las funciones operacionales y de supervisión. A través de auditorías periódicas, el Departamento de Auditoría Interna evalúa la efectividad del programa de gestión de riesgos, verifica el cumplimiento regulatorio y promueve la mejora continua identificando debilidades y áreas de mejora.

Programa de Gestión de Riesgos de CMPC

Empresas CMPC y sus subsidiarias están expuestas a un conjunto de riesgos inherentes a sus negocios. El Programa de Gestión de Riesgos de CMPC busca identificar y gestionar los riesgos principales que puedan afectar la estrategia y los objetivos del negocio.

CMPC implementa un proceso metodológico integral para la gestión de riesgos, compuesto por seis etapas estructuradas: comunicación y consulta; definición de alcance, contexto y criterios; evaluación de riesgos; tratamiento; monitoreo y revisión; y registro y reporte. Este enfoque se aplica a nivel de toda la organización, desde niveles estratégicos hasta operacionales, y cubre todos los tipos de riesgos materiales, independientemente de su origen (financieros, operacionales, legales, ambientales, entre otros). La identificación de riesgos se realiza a través de sesiones participativas como talleres, donde los riesgos son identificados y priorizados. Un riesgo se clasifica como material cuando su nivel de exposición en un escenario de pérdida máxima se califica como al menos «alto» según la escala de severidad establecida. A partir de ese punto, los riesgos se analizan, evalúan y gestionan en función de su criticidad.

El proceso de evaluación de riesgos incluye una etapa clave para determinar si un riesgo identificado es aceptable, basándose en el apetito de riesgo definido por la compañía. Esta evaluación se realiza utilizando una matriz que considera criterios de severidad (o impacto) y probabilidad, lo que permite identificar si los riesgos se encuentran dentro de la zona de tolerancia al riesgo de la empresa. Solo aquellos riesgos cuyo nivel residual supere los umbrales «aceptables» definidos deben abordarse con planes de tratamiento específicos, siguiendo una lógica de costo-beneficio. Este enfoque alinea el nivel deseado de exposición al riesgo con los objetivos estratégicos de la empresa y establece límites claros para cada categoría de riesgo.

La exposición al riesgo es monitoreada continuamente por la Gerencia Corporativa de Riesgo y Cumplimiento y evaluada formalmente de manera trimestral durante las sesiones del Comité de Riesgos, Auditoría y Cumplimiento. Durante estas reuniones, se revisan los análisis de riesgo actualizados, la efectividad de los controles implementados, la evolución de indicadores clave y otras iniciativas dentro del programa de riesgos. Los resultados se registran dentro del programa corporativo de gestión de riesgos, el cual consolida la información en reportes que respaldan el análisis de tendencias, la anticipación de escenarios críticos y el fortalecimiento de la resiliencia organizacional en un entorno dinámico. Tanto en los procesos de desarrollo de productos y servicios como en la evaluación de proyectos, se consideran los temas de gestión de riesgos, principalmente para identificar aquellos riesgos que podrían afectar el cumplimiento de los objetivos establecidos y, así, determinar medidas para anticipar tales eventos.

Todos los riesgos identificados son analizados para determinar su naturaleza material. Para este propósito se utiliza una tabla de severidad, tal como se establece en la metodología. Un riesgo es «material»* cuando su nivel potencial de riesgo, en un escenario de pérdida máxima, es al menos «alto» según la escala de severidad, lo que determina el Nivel de Riesgo Residual, ayudando a identificar aquellos con mayor exposición. Este procedimiento de identificación considera regulaciones modificadas o nuevas, además de procedimientos de debida diligencia en materia de derechos humanos. Lo anterior significa que el riesgo detectado ingresará al Programa de Gestión de Riesgos, continuando así con el esquema paso a paso del procedimiento metodológico, lo que resulta en un mayor nivel de supervisión gerencial.

*¿Qué son los riesgos materiales? Son riesgos que, de materializarse, tendrían un impacto significativo en la Compañía y sus objetivos estratégicos. La Unidad de Auditoría Interna asiste en este proceso con una opinión independiente sobre la calidad y grado de implementación de los controles críticos y medidas de tratamiento.

El programa corporativo de gestión de riesgos es auditado por diversas entidades externas certificadas e independientes al menos anualmente, verificando temas como gobernanza, metodología, estándares internacionales en los que se basa el programa, política, procedimiento e identificación y análisis de riesgos específicos, todo bajo el marco ISO 31000. Durante los últimos dos años, las auditorías externas que se han llevado a cabo y que han considerado la revisión de todo el programa de gestión de riesgos son respecto a ISO 14001, ISO 45001, ISO 50001 e ISO 9001.

Tanto en los procesos de desarrollo de productos y servicios como en la evaluación de proyectos, se consideran los temas de gestión de riesgos, principalmente para identificar aquellos riesgos que podrían afectar el cumplimiento de los objetivos establecidos y, así, determinar medidas para anticipar tales eventos.

CMPC cuenta con una política de compensaciones, indemnizaciones e incentivos para ejecutivos y gerentes, delineada en el Compendio de Políticas y Procedimientos de Gobierno Corporativo. Anualmente, se determinan indicadores relacionados con la gestión de riesgos de actividades críticas del negocio, alineados con la estrategia 2030 de la compañía.

Además, el programa de Gestión de Riesgos incorpora el monitoreo de riesgos emergentes, incluyendo, por ejemplo, los riesgos causados por ciberataques a plantas industriales, de la manera más adecuada, con el objetivo de minimizar potenciales efectos adversos.

Dos ejemplos de riesgos emergentes que CMPC ha identificado son:

1. Disrupciones arancelarias discrecionales

Descripción del riesgo: Un arancel es un costo adicional pagado por el importador o absorbido por el exportador, que afecta el flujo comercial de una empresa. Si bien la imposición de aranceles entre países es una práctica común y esperada, este riesgo se refiere a la imposición repentina, unilateral y arbitraria de aranceles o barreras comerciales por parte de economías clave, careciendo de previsibilidad y creando incertidumbre.

Estas medidas representan un cambio fundamental y estructural en la forma en que se conduce el comercio internacional, pasando de un sistema basado en reglas predecibles a uno donde la imprevisibilidad política y el unilateralismo se convierten en la norma. Esto genera incertidumbres y efectos en cascada que antes eran menos prominentes o comprendidos, impactando directamente las operaciones de CMPC.

Los aranceles no solo resultan en costos directos, sino que también pueden generar cargos adicionales inesperados. Las empresas pueden verse obligadas a renegociar contratos, ajustar la logística, explorar rápidamente nuevos mercados y, a veces, absorber parte del costo para retener a los clientes.

CMPC ha identificado esto como un riesgo emergente para la empresa, basándose en las siguientes consideraciones:

• La imposición unilateral, abrupta y discrecional de aranceles es un riesgo creciente dado el contexto macroeconómico y político actual, particularmente desde Estados Unidos y potencialmente otras economías a largo plazo.
• Aunque el sector forestal chileno (incluyendo madera y celulosa) pueda estar inicialmente exento o sujeto a aranceles más bajos, el riesgo y la incertidumbre permanecen. Aunque el impacto pueda no ser inmediato, podría materializarse a mediano o largo plazo.
• Este es un riesgo externo, impulsado por el contexto macroeconómico más amplio.

Impacto potencial: Los impactos potenciales de este riesgo incluyen:

• Aumento de costos directos o indirectos si los productos de CMPC se ven afectados por aranceles discrecionales, lo que resulta en una reducción directa de los márgenes de utilidad.
• Pérdida de competitividad, ya que los productos de CMPC pueden volverse más caros que los de países no sujetos a dichos aranceles, reduciendo su atractivo comercial y pudiendo llevar a una pérdida de participación de mercado.
• Incertidumbre en la planificación estratégica debido a la imprevisibilidad de potenciales medidas arancelarias, lo que dificulta a CMPC desarrollar proyecciones financieras confiables y planes de inversión a largo plazo. Este impacto es principalmente de naturaleza estratégica, creando incertidumbre que afecta la toma de decisiones futura en lugar de causar repercusiones financieras inmediatas. También puede requerir que CMPC reevalúe y adapte fundamentalmente su estrategia comercial internacional en el futuro.
• Reorganización de la cadena de suministro y aumento de costos operacionales, ya que CMPC puede necesitar buscar proveedores alternativos o reorientar flujos logísticos para mitigar parte del riesgo arancelario, lo que conlleva mayores costos de transporte y operación.

Gestión del Riesgo: CMPC monitorea continuamente los riesgos macroeconómicos, incluidas las potenciales medidas arancelarias, y realiza análisis de escenarios para evaluar y comprender sus posibles impactos.

2. Desincronización fenológica debido al cambio climático

Descripción del riesgo: El cambio climático está alterando progresivamente las condiciones ambientales que regulan los ciclos naturales de las especies, incluyendo variables como temperatura, precipitación y estacionalidad. Como resultado, eventos biológicos clave como la floración, fructificación, brotación o dispersión de semillas pueden ocurrir en momentos diferentes a los observados históricamente.

Estos cambios pueden crear desajustes temporales entre las especies forestales y otros componentes del ecosistema con los que tienen relaciones ecológicas significativas, como polinizadores, dispersores de semillas u otras especies que contribuyen a los procesos de regeneración natural. A medida que estos efectos se intensifican, diversas funciones ecológicas que sustentan la biodiversidad y la resiliencia de los ecosistemas forestales podrían verse afectadas.

CMPC considera esto como un riesgo emergente porque, aunque los efectos del cambio climático en los ecosistemas son ampliamente conocidos, existe evidencia creciente de alteraciones en los patrones fenológicos de múltiples especies, y aún persiste incertidumbre respecto a la magnitud, velocidad y alcance que estos cambios podrían tener en la dinámica a largo plazo de los ecosistemas forestales.

Impacto potencial en CMPC: De materializarse este riesgo, podría afectar los procesos naturales que contribuyen a la regeneración y funcionamiento de los ecosistemas forestales, llevando a cambios en la composición de especies, biodiversidad funcional y la capacidad de adaptación de los bosques ante perturbaciones ambientales.

Además, las disrupciones entre especies que dependen unas de otras para completar sus ciclos de vida podrían reducir la efectividad de procesos ecológicos clave —como la polinización, la dispersión de semillas o la regeneración natural— afectando así la estabilidad y resiliencia de ciertos ecosistemas.

A largo plazo, estos cambios podrían aumentar los desafíos asociados a la conservación de la biodiversidad, la gestión sostenible de los recursos forestales y el mantenimiento de los servicios ecosistémicos que sustentan la productividad y el equilibrio ambiental de las regiones donde opera la empresa.

Gestión del Riesgo: CMPC monitorea constantemente las variables climáticas y los cambios en los patrones fenológicos de especies relevantes para los ecosistemas donde opera la empresa, lo que podría llevar a ajustes en la gestión forestal, así como en la planificación y gestión a largo plazo de los activos forestales.