Riesgos
Informe de riesgos
En un entorno cada vez más complejo, una gestión de riesgos eficaz, integrada en la gestión corporativa y alineada con la estrategia de la compañía, constituye una ventaja competitiva clave
La gestión de riesgos constituye un pilar esencial en las prácticas de gestión empresarial, orientado a garantizar el cumplimiento de los objetivos estratégicos. Es una responsabilidad compartida por todos los miembros de Ferrovial, desde el Consejo de Administración hasta cada uno de los empleados.
El Consejo de Administración ha definido una Política en materia de Control y Gestión de Riesgos (en adelante, «la Política»), en línea con COSO ERM y el Modelo de Tres Líneas como estándares internacionales de referencia. Esta tiene por objeto proporcionar a los empleados de Ferrovial un marco general de actuación para el control y gestión de los riesgos de cualquier naturaleza, incluidos los riesgos estratégicos, financieros y de información sobre sostenibilidad, operativos y de cumplimiento, que puedan surgir en el cumplimiento de los objetivos empresariales y la estrategia global de Ferrovial. Se revisa al menos cada tres años; la última actualización tuvo lugar en 2025.
La Política se complementa con otras políticas corporativas y normativas internas y se desarrolla a través del Procedimiento de Gestión de Riesgos (FRM) de Ferrovial, así como de procedimientos específicos relativos a los diferentes dominios de riesgo (áreas o actividades de riesgo) alineados con la metodología global COSO ERM.
Respecto de los riesgos específicos de información financiera, Ferrovial tiene desarrollado un sistema de control interno (SCIIF) fundamentado en el Marco de Control Interno elaborado por el Committee of Sponsoring Organizations of Treadway Commission (“COSO”), que recoge los requerimientos en virtud de su cotización en España, Países Bajos y el Nasdaq y a las disposiciones de la Ley Sarbanes-Oxley (SOX). Las principales características del sistema SCIIF vienen recogidas en la nota 7.2. de los Estados Financieros Consolidados.
En el ámbito de la sostenibilidad, Ferrovial sigue las recomendaciones del Task Force on Nature-related Financial Disclosures (TNFD) y las del Task Force on Climate-Related Financial Disclosures (TCFD) que se incluyen en el presente informe y de los que se puede encontrar información relevante, entre otros puntos, en:
- IRO-1: DESCRIPCIÓN DE LOS PROCESOS PARA DETERMINAR Y EVALUAR LOS IMPACTOS, LOS RIESGOS Y LAS OPORTUNIDADES MATERIALES RELACIONADOS CON EL CLIMA.
- SBM-3: IMPACTOS, RIESGOS Y OPORTUNIDADES MATERIALES Y SU INTERACCIÓN CON LA ESTRATEGIA Y EL MODELO O MODELOS DE NEGOCIO.
Los riesgos de cumplimiento se gestionan mediante el marco general de COSO ERM y se rigen por el marco de las Políticas de Cumplimiento de Ferrovial, adaptadas, cuando es necesario, para cumplir las leyes aplicables en cada jurisdicción donde Ferrovial desarrolla sus actividades, siendo especialmente relevantes el Código Penal neerlandés, el Código Penal español, la Ley estadounidense Foreign Corrupt Practices Act y la Ley británica Bribery Act.
El Programa de Cumplimiento se evalúa anualmente bajo la supervisión del Departamento de Cumplimiento, el Departamento Fiscal y el Órgano de Cumplimiento Tributario, y se informa al Comité de Auditoría y Control y al Consejo de Administración. Más información en la sección G1-1: Políticas de cultura corporativa y de conducta empresarial del Estado de Información No Financiera y de Sostenibilidad Consolidado.
Los riesgos operativos se gestionan mediante el marco general de COSO ERM y son supervisados por el Departamento de Riesgos Corporativos, tal y como se detalla en el apartado “Gestión Eficaz del Riesgo: Ferrovial Risk Management (FRM)”.El proceso de Gestión de Riesgos de Ferrovial, definido en la Política, incluye la identificación, evaluación, gestión, monitorización y reporte de riesgos dentro de la organización y se rige por los siguientes principios:
- Debe cubrir los posibles factores de riesgo que puedan estar presentes en la consecución de los objetivos estratégicos.
- Está integrado en los procesos de Ferrovial, especialmente en aquellos relacionados con la estrategia y la planificación, o que tienen un mayor impacto en la consecución de los objetivos estratégicos.
- El enfoque de identificación, gestión y control de riesgos es homogéneo y sistemático en todo el Grupo y busca la implicación en la toma de decisiones de las partes interesadas.
- Se centrará no solo en los riesgos inminentes, sino también en los emergentes. Ferrovial entiende que los riesgos emergentes son riesgos nuevos o conocidos que están cambiando o se presentan de una nueva forma. Son difíciles de cuantificar y de establecer la probabilidad de su materialización, ya que su impacto es a medio/largo plazo. Además, tienen el potencial de tener un impacto significativo en el negocio.
- La comunicación de los principales riesgos que puedan afectar a la consecución de los objetivos estratégicos será transparente y sin demora, permitiendo a los órganos de gobierno de Ferrovial actuar en caso necesario.
- Se compartirán responsabilidades en procesos clave para buscar la diversificación de funciones críticas que mitiguen el riesgo de fraude y errores.
- Se llevará a cabo conforme a las leyes y reglamentos aplicables y respetando los principios de comportamiento incluidos en el Código de Ética Empresarial.
- Se buscará la mejora continua a través de evaluaciones periódicas del proceso de FRM, siendo verificadas tanto interna como externamente.
GOBERNANZA DEL MODELO
El Consejo de Administración es responsable de establecer el nivel de riesgo que la Sociedad está dispuesta a asumir en el desarrollo de su actividad (apetito al riesgo de Ferrovial), así como de diseñar, implementar y mantener los sistemas internos adecuados de gestión y control de riesgos que permitan alcanzar los objetivos estratégicos.
La Comisión de Auditoría y Control asiste al Consejo de Administración en el cumplimiento de sus responsabilidades. Entre sus funciones, está la de supervisar y evaluar la efectividad de los sistemas de control y gestión de los riesgos del Grupo Ferrovial, entre los que se encuentran los riesgos estratégicos, financieros, de sostenibilidad, operacionales y de cumplimiento.
El Consejero Delegado y los miembros del Comité de Dirección son responsables de la implementación de la Política en todo el Grupo.
Riegos Corporativos, reporta directamente a la Comisión de Auditoría y Control del Consejo de Administración. Es independiente de las líneas de negocio y es responsable de desarrollar el proceso de gestión de riesgos (FRM). Adicionalmente, informa trimestralmente al Comité de Dirección,
semestralmente a la Comisión de Auditoría y Control, y al menos una vez al año al Consejo de Administración
Alineados con el Modelo de las Tres Líneas:
- La primera línea engloba a todos los gestores de negocio, es responsable de la identificación y gestión de los riesgos asociados a la consecución de los objetivos en su área de actividad.
- La segunda línea, compuesta por ciertas direcciones a nivel divisional y corporativo, incluyendo Riesgos Corporativos, es responsable de establecer políticas y estrategias con respecto a sus riesgos específicos y de su supervisión en toda la organización.
- Auditoría Interna actúa como tercera línea independiente, proporciona garantías a la alta dirección y a la Comisión de Auditoría y Control sobre el correcto funcionamiento del Sistema de Gestión de Riesgos y Controles.
APETITO AL RIESGO
El Consejo de Administración establece el apetito al riesgo que la organización está dispuesta a asumir en la consecución de los objetivos estratégicos del Grupo Ferrovial que incluye tanto manifestaciones cualitativas de apetito como métricas cuantificadas de seguimiento. Este proceso involucra a la Alta Dirección, que tras analizar su potencial impacto sobre el plan estratégico, propone la revisión de las métricas existentes y la inclusión de nuevas que faciliten el alineamiento de la organización. El apetito al riesgo es un elemento clave de la gestión de riesgos, formando parte de la Política, y ha sido reevaluado en el año 2025.
Ferrovial ha definido una escala de apetito que abarca desde la aversión hasta una alta disposición de asumir riesgos. Para las principales áreas críticas —Cumplimiento Normativo, Crecimiento, Desempeño Operacional, Gestión Financiera, Medioambiente y Seguridad y Salud—, se han definido manifestaciones cualitativas que reflejan el nivel de riesgo aceptado en el marco de los objetivos estratégicos. Adicionalmente, se han incorporado métricas específicas para los factores más relevantes, lo que permite cuantificar el apetito y facilitar su seguimiento. El grado de cumplimiento del apetito aprobado se monitoriza y se informa periódicamente a la Comisión de Auditoría y Control. El objetivo es alinear a la compañía utilizando el apetito como herramienta de gestión y toma de decisiones.
GESTIÓN EFICAZ DEL RIESGO: FERROVIAL RISK MANAGEMENT (FRM)
El proceso de Gestión de Riesgos, definido en FRM, comprende la identificación, evaluación, gestión, seguimiento y reporte de riesgos en el Grupo Ferrovial.
La identificación y valoración se realiza dos veces al año e involucra a todas las divisiones de negocio y áreas geográficas del Grupo Ferrovial. El enfoque es ascendente, comienza en los proyectos y avanza por la estructura jerárquica de la compañía mediante ejercicios de validación hasta llegar al Comité de Dirección. Utilizando las escalas corporativas, se valora el riesgo inherente – previo a las medidas de control específicas aplicadas para mitigar el riesgo – y residual -considerando las medidas de control específicas – analizando en ambos la probabilidad de ocurrencia y el potencial impacto en el Grupo a través de dos ejes de análisis diferentes, económico y reputacional.
El objetivo es poder priorizar y asignar correctamente los recursos de la compañía, identificando los riesgos con mayor impacto y desviación respecto del apetito definido. Para todos los riesgos que superen un umbral determinado de la escala, el proceso requiere la identificación de planes de acción. Adicionalmente durante el 2025, se ha desarrollado un sistema de alerta a través de indicadores de riesgo (KRIs) para todos los riesgos con impacto crítico o alto. Riesgos Corporativos realiza una monitorización periódica de esta información, reportando trimestralmente al Comité de Dirección y dos veces al año a la Comisión de Auditoría y Control.
Por otra parte, la identificación y valoración de riesgos emergentes se realiza anualmente y es parte fundamental de la visión de anticipación que tiene la función, este proceso involucra a equipos multidisciplinares del Grupo complementado por información de fuentes externas, tal y como Gartner, el World Economic Forum (WEF) o el CRO Forum.
El proceso de gestión de riesgos es revisado periódicamente con el objetivo de mejora continua. Ferrovial ha iniciado durante el año 2025 un proyecto de actualización del modelo FRM, que incluye la implementación de un nuevo sistema GRC, que estará operativo en 2026. Este GRC servirá, además, como una plataforma unificada para otras áreas que gestionan o supervisan riesgos específicos y, cuando corresponda, estos dominios se integrarán con el FRM. Con estas mejoras se dan por cumplidas las recomendaciones de las revisiones más recientes recogidas en la última auditoría interna y en un ejercicio de consultoría externa, ambas llevados a cabo en los últimos dos años. Adicionalmente, en colaboración con un consultor externo y de forma anual, se realiza una autoevaluación y un análisis comparativo (benchmark) con empresas del sector de ámbito internacional.
El Consejo de Administración y la Comisión de Auditoría y Control realizan una evaluación anual de la eficacia de los sistemas de gestión y control de riesgos incluidos en la sección 9. Declaración de Gobierno Corporativo. Declaraciones del Consejo sobre la Gestión del Riesgo del Informe de Gobierno Corporativo de este informe. En 2025 se basaron, entre otros, en los siguientes recursos:
- Su propia valoración respecto de la información presentada por la dirección del Grupo, entre la que se encuentra una autoevaluación del sistema de gestión de riesgos. Durante 2025, la Comisión de Auditoría y Control revisó el mapa de riesgos de Ferrovial en mayo y su posterior actualización en diciembre. Además, recibe periódicamente información sobre la evolución de los principales riesgos del mapa y sus planes de mitigación.
- El análisis proporcionado por el departamento de Auditoría Interna.
- Auditoría externa respecto de los riesgos de reporte tanto de información financiera como de sostenibilidad.
Cabe destacar que Ferrovial cuenta con una sólida cultura de gestión de riesgos presentes en todas sus divisiones, apoyada por diferentes iniciativas como programas periódicos de formación en materia de riesgos, y la inclusión de métricas específicas de gestión de riesgos dentro de los incentivos financieros para la alta dirección. El Consejo de Administración recibe cada año formación especializada y actualizada, orientada a fortalecer su función de supervisión de riesgos y otras áreas relevantes. Estas sesiones formativas, que abordan temas clave como ciberseguridad y sostenibilidad, aseguran que los miembros del Consejo dispongan de los conocimientos más avanzados y pertinentes, favoreciendo así la mejora continua de los procesos de toma de decisiones.
FERROVIAL RISK MANAGEMENT
PRINCIPALES RIESGOS
El gráfico muestra los eventos de riesgo más relevantes que amenazan la ejecución de la estrategia corporativa de Ferrovial.
A continuación, se describen los eventos de riesgo más relevantes, su impacto potencial y las principales medidas de control implantadas para mitigar su impacto y/o probabilidad de ocurrencia. Además, se indica para cada uno de ellos el nivel de apetito de riesgo que Ferrovial está dispuesto a asumir de acuerdo con la Política de Control y Gestión de Riesgos.
De acuerdo con la cotización de Ferrovial en Nasdaq, Ferrovial está obligada a hacer público y presentar un informe anual en el Formulario 20-F, que incluye una descripción detallada de los factores de riesgo inherentes que pueden afectar a Ferrovial y que está disponible en la página web de Ferrovial www.ferrovial.com.
| Evento de riesgo | Descripción | Impacto potencial | Control measures |
|---|---|---|---|
| Inestabilidad Geopolítica
|
A los desafíos derivados de los conflictos en Ucrania y Oriente Medio que pueden generar volatilidad de precios y/o la reaparición de cuellos de botella a escala global, se suma la incertidumbre ante posibles cambios regulatorios y comerciales impulsados por Estados Unidos. Tales medidas pueden afectar tanto la competitividad como el acceso a determinados mercados, incrementando los costes operativos y la complejidad en la gestión de proyectos globales. |
|
– Introducción de mecanismos de revisión de precios en los contratos. – Negociación de precontratos con proveedores y subcontratistas. – Planificación anticipada de suministros, desde la fase de estudio y licitación. – Monitorización de las tendencias del mercado y planificación del suministro. – Hedging de materiales y tipos de interés. |
| Ciberamenazas
|
Las ciberamenazas suponen un riesgo relevante y sostenido para las organizaciones dada la creciente integración de productos y servicios digitales en entornos hiperconectados. Los conflictos bélicos que amparan amenazas esponsorizadas por estados, la proliferación del crimen organizado y la utilización de la Inteligencia Artificial (IA) como potenciador de amenazas ya existentes dan como resultado ataques más exitosos y de mayor impacto tales como ataques a cadenas de suministro, disrupción de activos, phishing, robo de identidad digital, fraude, etc. En consecuencia, las infraestructuras pueden ser vulnerables a estas amenazas, pudiendo afectar a la normal operación de los activos, a su capacidad para generar el valor esperado y a la reputación de la compañía. |
|
– Modelo Global de Seguridad, basado en NIST CSF e ISO 27002, certificado ISO 27001 (auditado anualmente). – Capacidades y controles de seguridad evaluados periódicamente que implementan el modelo de seguridad. – Comité y Comunidad Global de Ciberseguridad como palancas para el despliegue de capacidades de seguridad. – Pólizas de seguro con cobertura ante ciberincidentes de diversa índole. – Establecimiento de acuerdos formales de colaboración con Agencias Nacionales e Internacionales de Ciberseguridad. – Capacidades avanzadas y potenciadas por IA de protección, detección y respuestas ante amenazas. |
| Disponibilidad de proyectos generadores de valor
|
Los grandes proyectos de promoción y operación de infraestructuras de transporte están expuestos a un mercado altamente competitivo y sujeto a decisiones políticas y movimientos sociales que pueden impactar en la disponibilidad de proyectos atractivos para la compañía.Todo esto puede afectar al crecimiento de Ferrovial y su capacidad para alcanzar sus objetivos estratégicos. |
|
– Análisis de nuevos mercados. – Propuestas de proyectos de infraestructuras no solicitadas (unsolicited proposals). – Revisión del perfil de riesgo por tipo de proyecto. |
| Seguridad y salud
|
Pueden producirse accidentes en los emplazamientos e instalaciones de nuestros proyectos y activos de infraestructura, lo que puede perturbar gravemente nuestras operaciones y causar daños a nuestros empleados o clientes, lo que a su vez podría tener un efecto material adverso en nuestra actividad, situación financiera, resultados de operaciones y reputación. |
|
– Integración de la seguridad y salud en el trabajo como valor fundamental de la compañía. – Implantación de una estrategia de seguridad, salud y bienestar, incluyendo un enfoque más operativo. – Planes anuales de seguridad, salud y bienestar. – Involucración activa de la alta dirección en materia de seguridad, salud y bienestar. – Premios Presidente de Seguridad, Salud y Bienestar. – Implantación de sistemas de prevención de seguridad y salud. – Formación continuada para empleados. – Campañas de concienciación y sensibilización. – Plan de auditoría de los sistemas de gestión. – Coberturas de responsabilidad civil y profesional. |
| Retención y atracción de talento  |
La alta demanda de profesionales cualificados unido a las bajas tasas de desempleo en algunos de los mercados objetivos en los que Ferrovial opera y la pérdida de atractivo del sector de la construcción para los nuevos profesionales, aumentan el riesgo de atraer y retener talento. Esto podría afectar nuestra competitividad y tener un efecto adverso en nuestro negocio, situación financiera y resultados operativos. |
|
– Plan de identificación y potenciación del talento en la organización. – Potenciar la atracción de talento local. – Planes específicos para personal clave. – Promoción del talento diverso; equidad e inclusión. |
| Diseño, construcción y operación de Proyectos  |
La estrategia de Ferrovial está enfocada hacia proyectos técnicamente complejos y con largos periodos de maduración, en cuyo desarrollo pueden aparecer numerosos factores de riesgo, a veces de difícil previsión.
Estas circunstancias pueden provocar incumplimientos en calidad, plazos o en los rendimientos esperados, dando lugar a disputas con clientes, contrapartes o afectar los propios intereses de la compañía. Además, la creciente actividad en el entorno legal estadounidense, caracterizado por alta litigiosidad y regulación compleja, puede aumentar los conflictos legales, los costes y el riesgo reputacional para la compañía. |
|
– Revisión del perfil de riesgo por tipo de proyecto. – Cláusulas contractuales de protección. – Transferencia al mercado asegurador de ciertos riesgos (Seguros de Responsabilidad Civil, Daños y Construcción, entre otros) |
| Complejidad Regulatoria
|
La cotización en nuevos mercados supone el cumplimiento de requisitos de información y control cuyo incumplimiento podría acarrear sanciones de los organismos reguladores, así como la pérdida de confianza de inversores, clientes y analistas. |
|
– Desarrollo del proceso de control interno sobre la información financiera de acuerdo con la legislación Sarbanes-Oxley (SOX) de EE. UU. – Campaña de comunicación con grupos de interés. – Programa de Cumplimiento |
| Cambio climático
|
Ferrovial está expuesta a riesgos derivados del cambio climático. Por una parte, existen riesgos físicos, como eventos climáticos extremos, que pueden afectar a las infraestructuras. Además, hay riesgos de transición, dado que las tendencias globales para reducir las causas y consecuencias del cambio climático pueden conllevar efectos económicos (como el incremento del coste de las materias primas), regulatorios, tecnológicos y/o reputacionales. |
|
– Proceso de identificación y valoración de los riesgos asociados al cambio climático a los que la compañía se puede ver expuesta. – Revisión del Deep Decarbonization Path. – Herramientas de control y monitorización. – Implementación de recomendaciones del Task force on Climated-related Financial Disclosures (TCFD). |
| Ética e integridad
|
La compañía presenta riesgo de comisión, por parte de sus empleados o colaboradores, de actos que puedan suponer un incumplimiento de las normas y exigencias de integridad, transparencia y respeto a la legalidad y a los derechos humanos, en particular actos de corrupción. |
|
– Programa de Cumplimiento destinado a la prevención de actos contrarios a la ética e integridad, siguiendo los criterios de DOJ – Sistema de gestión de compliance penal y antisoborno certificado (UNE-ISO 19601 e ISO 37001). – Plan de formación y comunicación específico para fomentar una cultura ética y prevenir la corrupción. |
| Riesgos financieros (ver nota 5.4. de los Estados Financieros Consolidados para más información)
|
Los negocios de la compañía se ven afectados por cambios en variables financieras como los tipos de interés, los tipos de cambio, la inflación, el crédito, o la liquidez. |
|
– Políticas de gestión de riesgos
– Análisis y gestión activa de la exposición al riesgo de las principales variables – Gestión eficaz de alternativas |
RIESGOS EMERGENTES
El proceso FRM también identifica, evalúa y supervisa los riesgos emergentes causados por agentes externos con un impacto potencial significativo a largo plazo en el negocio. Entre otros, destacan los siguientes riesgos:
| Evento de riesgo | Descripción | Impacto potencial | Medidas de control |
|---|---|---|---|
| Tecnologías disruptivas en materia de movilidad |
Varias tecnologías y tendencias emergentes tienen el potencial de cambiar los patrones de movilidad a largo plazo de una manera que podría afectar negativamente al negocio. El aumento de la automatización de vehículos tiene el potencial de disminuir la disposición de viajeros a pagar por infraestructuras que ahorren tiempo en carretera, mientras que la expansión de la IA podría provocar la pérdida de empleos entre los actuales usuarios que se desplazan al trabajo. |
|
– Monitoreo de tendencias emergentes para garantizar la resiliencia del modelo de negocio ante los potenciales cambios. – Ejercicios de análisis de escenarios. – Asociaciones estratégicas con empresas líderes. |
| Sostenibilidad / viajes aéreos |
La percepción de que los viajes aéreos no contribuyen a la sostenibilidad podría provocar una posible disminución en los desplazamientos aéreos debido a una combinación de factores, como los efectos del cambio climático, riesgos para la salud y una creciente conciencia sobre el impacto ambiental del turismo. Este cambio podría afectar primero a los vuelos de negocios, que podrían reducirse para alinearse con las nuevas políticas de sostenibilidad, y posteriormente impactar en los vuelos de ocio/turismo, que podrían disminuir como resultado de una mayor concienciación medioambiental. |
|
– Monitoreo y análisis continuo de tendencias emergentes. – Análisis de escenarios. |
