Riesgos

Ferrovial, en el cumplimiento de sus objetivos empresariales, está expuesta a una diversidad de factores de riesgo derivados de la naturaleza de los sectores en los que opera, de los países en los que se ubican sus actividades y de los diversos marcos regulatorios a los que está sujeta. La gestión de riesgos se fomenta en todo el Grupo y se integra en todos los procesos clave, desde la gestión de activos hasta las fusiones y adquisiciones.

Política

La compañía dispone de una Política de Control y Gestión de Riesgos, alineada con el modelo de las tres líneas de defensa, utilizando el estándar internacional COSO como referencia, que establece el marco general de actuación para el control y gestión de los diferentes riesgos que el equipo directivo puede encontrar en la consecución de los objetivos empresariales y la estrategia general de Ferrovial. Siguiendo las directrices de COSO, el apetito de riesgo hacia nuestros objetivos estratégicos ha sido determinado por el Consejo de Administración, y se han identificado los objetivos y la tolerancia para factores de riesgo clave, integrándolos en la toma de decisiones.

La política, aprobada por el Consejo de Administración, se actualiza al menos cada tres años y se comunica a toda la organización para su puesta en práctica, adicionalmente los empleados reciben formación específica sobre los sistemas internos de gestión y control del riesgo relacionados con las actividades que desarrollan.

Consejo de Administración

El Consejo de Administración de Ferrovial identifica y analiza los riesgos asociados a la estrategia y actividades de la Sociedad y sus negocios, de acuerdo con la Política de Control y Gestión de Riesgos. Es responsable de la supervisión de la gestión de riesgos, de establecer el apetito de riesgo, así como de las medidas adoptadas para contrarrestar el riesgo asumido. Sobre la base de la evaluación de riesgos, el Consejo diseña, implementa y mantiene sistemas internos adecuados de gestión y control de riesgos.

El Consejo de Administración cuenta con las competencias adecuadas para desempeñar su función de supervisión de riesgos. Además, se ha establecido un plan para proporcionar al Consejo de Administración diversas sesiones de formación relacionadas con su función de supervisión de riesgos, entre otras áreas. La formación anual abarca temas clave junto con sesiones periódicas, según sea necesario, sobre temas específicos, como la ciberseguridad y la sostenibilidad. El objetivo es seguir desarrollando el conocimiento también mediante la formación sobre ciertos riesgos, y mejorar los procesos de toma de decisiones.

Comisión de Auditoría y Control

La Comisión de Auditoría y Control asiste al Consejo de Administración en el cumplimiento de sus responsabilidades, discutiendo las políticas de la Compañía con respecto a la evaluación y la gestión de riesgos, y supervisando el sistema de control y gestión de riesgos corporativos de la Compañía.

Auditoria Interna

La función de Auditoría Interna, actuando como tercera línea de defensa, supervisa el sistema de gestión de riesgos de la compañía a través de auditorías internas de los diversos procesos de gestión del riesgo que la compañía dispone (financieros, operativos, cumplimiento, etc.), emitiendo recomendaciones para corregir las debilidades, en su caso, detectadas.

Departamento de Riesgos Corporativos

El departamento de Riesgos Corporativos, independiente de las líneas de negocio y actuando como segunda línea de defensa, es el responsable de desarrollar el proceso de gestión de riesgos, denominado Ferrovial Risk Management. De este modo, se garantiza una gestión de riesgos homogénea en Ferrovial y se informa periódicamente a la Comisión de Auditoría y Control y, en su caso, al Consejo de Administración de los riesgos que amenazan la consecución de los objetivos de negocio y el cumplimiento de los objetivos de riesgo aprobados por el Consejo de Administración.

Por otro lado, como parte de la segunda línea de defensa, ciertas divisiones y direcciones corporativas en su área de responsabilidad, son responsables de establecer políticas y estrategias con respecto a sus riesgos específicos y del monitoreo y supervisión de la gestión de riesgos en toda la organización.

Gestores de negocio

Los gestores de negocio, actuando como primera línea de defensa, son responsables de la identificación y gestión de los riesgos asociados con el logro de los objetivos en su área de actividad.

Ferrovial Risk Management

La política se complementa con el procedimiento de Ferrovial Risk Management (FRM) que describe en detalle los diferentes componentes del riesgo (identificación, evaluación, gestión, seguimiento y reporte) y las actividades que realiza el grupo.

La identificación y evaluación de riesgos, incluida en FRM, es un proceso ascendente impulsado por el Comité de Dirección e implantado en todas las áreas de negocio de la empresa, bajo la supervisión periódica de la Comisión de Auditoría y Control del Consejo de Administración. El proceso es llevado a cabo dos veces al año.

Mediante la aplicación de una métrica común, el proceso permite identificar con antelación los eventos de riesgo y valorarlos en función de su probabilidad de ocurrencia y de su posible impacto sobre los objetivos empresariales, incluida la reputación corporativa. De esta forma, se priorizan los riesgos con mayor valoración con el objetivo de tomar las medidas de mitigación más idóneas según la naturaleza del riesgo, así como aprovechar las oportunidades que de la correcta gestión de los riesgos puedan derivarse.

Para cada evento de riesgo identificado se realizan dos valoraciones: una inherente, anterior a las medidas específicas de control implantadas para mitigar el riesgo, y otra residual, después de implantar medidas específicas de mitigación.

En un proceso de mejora continua, Ferrovial lleva a cabo periódicamente revisiones del proceso de gestión de riesgos mediante la realización de una auditoría interna y un ejercicio de consultoría externo con objetivo de detectar debilidades y mejorar el desempeño del proceso de acuerdo con las mejores prácticas internacionales comparables.

Riesgos emergentes

El proceso FRM también identifica, evalúa y monitoriza los riesgos emergentes. En este sentido, Ferrovial ha lanzado una iniciativa que supone un importante avance en la gestión proactiva de los riesgos emergentes de Ferrovial, que servirá como herramienta de apoyo en la toma de decisiones.

En marzo de 2025, el primer taller de riesgos emergentes reunió expertos de distintas unidades de negocio de Ferrovial para identificar y analizar posibles riesgos que amenazan a la compañía. Entre los identificados, destacamos notablemente los siguientes:

• El riesgo emergente de la informática cuántica ha destacado como uno de los más significativos para Ferrovial. La tecnología cuántica aplicada a la informática dota a ésta de una capacidad de procesamiento exponencialmente superior a la del sistema tradicional, basado en código binario.
  • Impacto: este aumento podría aumentar significativamente los riesgos de amenazas cibernéticas, ya que los métodos de cifrado convencionales pueden volverse inadecuados frente a las capacidades de la informática cuántica. Esto puede conducir a una mayor vulnerabilidad a los ciberataques, el robo de información y las interrupciones operativas.
  • Acciones mitigantes: para mitigar estos riesgos, realizamos seguimiento del progreso de la tecnología y los casos de uso en la industria, y formamos asociaciones estratégicas con socios con capacidades suficientes para desarrollar tecnologías de protección frente a los retos de la computación cuántica.
• Otro riesgo emergente identificado son los cambios en los patrones de movilidad. Varias tecnologías y tendencias emergentes tienen el potencial de cambiar los patrones de movilidad a largo plazo de una manera que podría afectar negativamente al negocio de Ferrovial.
  • Impacto: el aumento de la automatización de vehículos tiene el potencial de disminuir la disposición de los viajeros a pagar por infraestructuras que ahorren tiempo en carretera, mientras que la expansión de la inteligencia artificial podría provocar la pérdida de empleos entre los actuales usuarios que se desplazan al trabajo, lo que potencialmente disminuiría la demanda general de desplazamientos.
  • Acciones mitigantes: para hacer frente a este riesgo, estamos monitoreando de cerca estas y otras tendencias emergentes con el fin de garantizar la resiliencia de nuestro modelo de negocio ante los cambios en los patrones de movilidad de personas y bienes. Además de monitorear las tendencias, estamos llevando a cabo ejercicios de análisis de escenarios y estableciendo asociaciones estratégicas con empresas líderes.