Supervisión del Riesgo Operativo La experiencia de la SBS Perú

Presentación del tema: "Supervisión del Riesgo Operativo La experiencia de la SBS Perú"— Transcripción de la presentación:

1 Supervisión del Riesgo Operativo La experiencia de la SBS Perú
Jorge Dominguez Gallegos Julio 2012

2 Agenda Principales conceptos Marco Normativo Diagnóstico sectorial
Gestión del riesgo operacional Gestión de la continuidad del negocio Gestión de la seguridad de la información Base de datos de eventos de pérdida por riesgo operacional Requerimiento de Capital Métodos Proceso de autorización ASA Herramientas Team Risk Risk Manager IG-Rop

3 Principales conceptos y definiciones

4 Definición de Riesgo Entendiendo el riesgo como la incertidumbre de los que puede suceder (-) Menor Riesgo (+) Mayor Riesgo ¿Dónde estaría este riesgo? Entras corriendo a la terraza de un departamento del piso 20, que sabes que está congelada y no tiene baranda. Fuente: Presentación de ACME Consultora

5 Enfoque tradicional y moderno

6 El riesgo y el negocio financiero
CARA: te pagan US$ 130 Compras una oportunidad de lanzar una moneda a US$ 100 SELLO: te pagan US$ 20 Esperanza (E) = * * = Fuente: Presentación de ACME Consultora

7 Accionista sólo pierde US$ 10
En el negocio financiero 100 90 CARA: Pagan US$ (+30) Accionista gana US$ 30 10 SELLO: Pagan US$ (-80) Accionista sólo pierde US$ 10 Esperanza (E) = * * = 10 Fuente: Presentación de ACME Consultora

8 Rs = F(V, A) Que hay de Nuevo en la Gestión de Riesgos: Donde:
Rs = Riesgo V = Vulnerabilidad A = Amenaza

9 Amenaza ¿Qué tan amenazada está la empresa por hechos o situaciones que le puedan producir un daño? Entendiendo los factores de riesgo se puede conocer mejor las amenazas

10 Amenaza (A) Posibilidad de que un evento se presente con una cierta intensidad, en un sitio especifico y dentro de un periodo de tiempo definido. Frecuencia y diversidad de amenazas Mayor frecuencia mayor amenaza Magnitud de los daños y pérdidas materiales Mayor magnitud de los daños está asociado a una mayor amenaza SE PUEDE UTILIZAR: KRI de los factores de riesgo por línea de negocio Valor de las pérdidas Nro. de incidentes frecuentes por sector + +

11 Vulnerabilidad ¿Qué tan vulnerable es una empresa según sus características? B A Considerando su estructura, la empresa A es más vulnerable que la empresa B, ante el mismo evento natural (por ejemplo un terremoto) La gestión de riesgos funciona como un blindaje que hace a la empresa menos o más vulnerable ante eventos que la puedan impactar.

12 Vulnerabilidad (V) + + -
Exposición Está referida a la zona de impacto de una amenaza. Una mayor exposición está asociado a una mayor vulnerabilidad. Fragilidad Está referida a las condiciones de desventaja o debilidad relativa de la empresa frente a una amenaza A mayor fragilidad mayor vulnerabilidad. Resiliencia Está referida al nivel de capacidad de recuperación de la empresa ante un evento con efectos negativos. A mayor resiliencia menor vulnerabilidad Vulnerabilidad (V) ¿Qué tan vulnerable es una empresa? La gestión de riesgos funciona como un blindaje que expone en menor medida a la empresa a posibles amenazas. + + -

13 Indicador de Riesgo (RS)
El índice del riesgo operacional estaría en función de la Vulnerabilidad y Amenaza, y estas variables a su vez en 5 variables. V = F(Q1, Q2, Q3) Rs = F(V, A) A = F(Q4, Q5) Índice de Riesgo Operacional Evaluación de la gestión de riesgos KRI Evaluación de la Continuidad del negocio BDEP Valor de la pérdida N° de Incidentes frecuentes del sector Ratio Pérdida/Req. Patrimonial Riesgo Vulnerabilidad Amenaza InRop Q1 Q2 Q3 Q4 Q5

14 Indicador de Riesgo Operacional

15 Marco Normativo

16 2012 Evolución de Regulación en Riesgo Operacional Modificación
Norma de Capital Res. SBS N°

17 Gestión del Riesgo Operacional (Res. 2116-2009)
Procesos internos Personas Continuidad del Negocio (Circ. G-139) Seguridad Información (Circ. G-140) Tecnología Eventos Externos Patrimonio Efectivo por Riesgo Operacional Res

18 Diagnóstico Sectorial

19 Gestión del riesgo operacional en los bancos del SFP
Gestión del riesgo operacional, evaluada en cada empresas supervisada a través de cada uno de los 8 componentes de la gestión integral de riesgos. Componente adicional, gestión de proyectos. “Información y comunicación”: componente más desarrollado (15 bancos en “Adecuado”) “Establecimiento de objetivos”: componente “Adecuado” en un número importante de bancos (9); sin embargo, con número relevante de empresas (4) con este componente “Insatisfactorio” “Ambiente interno”: componente que requiere un mayor esfuerzo por parte de los bancos. Situación a diciembre de 2010

20 Gestión de la continuidad de negocios en los bancos del SFP
Situación a febrero de 2011

21 Gestión de la seguridad de la información en los bancos del SFP
Situación a febrero de 2011

22 Situación de base de datos de eventos de pérdida
Antigüedad de información recolectada El 89% de los bancos (16) aseguran contar con información completa y confiable con una antigüedad mayor a 2 años Cinco bancos (28%) contarían con información confiable con una antigüedad igual o mayor a 4 años. Basado en cuestionario enviado a los 18 bancos del SFP Pérdidas por Línea de Negocio

23 Requerimiento de Capital

24 Requerimiento de Capital
Capital Regulatorio Capital regulatorio tiene por fin asegurar que bancos soporten importantes pérdidas sin causar una crisis bancaria que podría amenazar la integridad del sistema financiero >= 10.0% APRC + APRM + APROp Importante El APR por riesgo operacional deberá ser multiplicado por un factor según tabla CAMBIOS PROPUESTOS A LA RES Tope del 25% El requerimiento patrimonial por riesgo operacional será como máximo el 25% de los requerimientos patrimoniales por riesgo de crédito y de mercado. Es decir, no tienen que reservar el capital que excede ese límite. Nuevo Cronograma de Factor de Ajuste En la norma anterior, a partir de julio de 2012 tenían que cambiar el factor de ajuste de 0.5 a 1. Propuesta: De julio 2012 a junio 2013: Factor de ajuste = 0.6 De julio 2013 a junio 2014: Factor de ajuste = 0.8 De julio 2014 en adelante: Factor de ajuste = 1 Periodo Factor de ajuste Julio de Junio de 2011 0,40 Julio de 2011 – Junio de 2012 0,50 Julio de 2012 – En adelante 1,00

25 CAPITAL RIESGO OPERACIONAL
ENFOQUES CAPITAL RIESGO OPERACIONAL Facilidad para Implementar Método del Indicador Básico Método Estándar y Estándar Alternativo Método Avanzado Sensibilidad al riesgo El regulador puede crear incentivos para que, con el fin que el requerimiento de capital sea más sensible al riesgo, las empresas tiendan hacia el método avanzado

26 A Octubre 2011, el patrimonio requerido por riesgo operacional supera los S/. 800 millones en el sistema financiero. El requerimiento se constituye de manera progresiva Dic bancos y 1 financiera en Método Estándar Res. SBS N° Requerimiento de patrimonio efectivo por riesgo operacional Dic bancos y 1 financiera en Método Estándar Inicio de Vigencia de Res. 2115 Nuevo cronograma de factor de ajuste Factor de ajuste 0.4 0.4 0.5 Abril 2009 Julio 2009 Julio 2010 Julio 2011 Julio 2012

27 Autorización de Método Estándar Alternativo
ACTIVIDADES PREVIAS PROCESO FORMAL ACCIONES COMPLEMENTARIAS Empresa manifiesta interés y remite autoevaluación SBS recibe solicitud de autorización Evaluaciones periódicas para evaluar situación de acciones requeridas SBS evalúa información remitida por empresa Se realiza la evaluación: Reuniones de trabajo Validación en Línea de Negoc Solicitud de información complementaria Reunión para informar de resultados de evaluación SBS emite Resolución con resultado Empresa inicia proceso de mejora Autorizando Denegando Empresa prepara solicitud de autorización: Declaración de cumplimiento Informe de Cumplimiento Indefinida Con plazo definido (Oficio con acciones Requeridas)

28 Aspectos evaluados en autorización ASA
REQUISITOS PARA METODO ASA EVALUACION ADICIONAL EN CONTINUIDAD DEL NEGOCIO R1: Participación activa del Directorio y la Gerencia General. R2: Función de gestión del riesgo operacional. R3: Programa de capacitación profesional. R4: Metodología para la gestión del riesgo operacional. R5: Recursos suficientes. R6: Reportes periódicos sobre exposición al riesgo operacional. R7: Procedimientos para asegurar cumplimiento. R8: Incentivos a la apropiada gestión del riesgo operacional. R9: Base de datos de eventos de pérdida por riesgo operacional. R10: Gestión de la continuidad del negocio. R11: Gestión de la seguridad de la información. R12: Revisión periódica independiente por Auditoría Interna. R13: Revisión periódica de una Sociedad de Auditoría Externa. Políticas y organización para GCN Análisis de impacto y evaluación Plan de gestión de crisis Planes de continuidad Planes de emergencia Plan de recuperación de servicios Pruebas de continuidad del negocio EVALUACION ADICIONAL EN SEGURIDAD DE LA INFORMACION Políticas y organización para GSI Gestión de activos Seguridad de personal Seguridad lógica Seguridad física y ambiental Seguridad de operaciones y comunicación Seguridad en el desarrollo Gestión de incidentes.

29 Herramientas de Supervisión

30 Objetivos de Evaluación
Team Risk Objetivos de Evaluación Aspectos a Evaluar Ambiente interno Establecimiento de objetivos Identificación de riesgos Evaluación de riesgos Tratamiento Actividades de control Información y comunicación Monitoreo Gestión de proyectos OBJETIVO 1 1. Participación del Directorio 2. Participación de la Gerencia . OBJETIVO 2 Por cada Objetivo Se evalúa según Calidad (X) Cerca mejor práctica 1 Adecuado 2 Necesita Mejora 3 Req. de Acción Supervisora = F (X, Y) Insatisfactorio 5 No se conoce 6 Importancia (Y) Conocimiento de la Empresa Consolidando Puntuaciones Y Poco Importante 1 Importante 2 Muy Importante 3 Acciones Supervisoras X (De 15.1 a 17 )

31 Posibles Resultados de S
Modelo de Implementación Team Risk Formula de Puntuación Permite determinar una medida de criticidad, la que se utiliza para priorizar los proyectos necesarios para el cumplimiento de los objetivos previamente definidos. Fórmula de Puntuación Utilizada Score = f (C, I) (Ver Detalle) Enfoque Exigente Enfoque Moderado Enfoque Flexible RANGOS Límite Mayor Menor Bajo Medio Alto Exigente S Moderado Posibles Resultados de S Flexible C,I Bajo un Enfoque Exigente Sci Ci Score (C) = α (p . Ci )^ (1/α) Score = (α.β) . (p. C)^ (1 / prom(α, β)) . [(1-p).I] ^ (1 / prom(α, β)) S(C) S(I) Sci Ii Score(I) = β [(1-p) . Ii] ^ (1/β) C,I

32 Clasificación de empresas

33 Informe de Gestión por WEB
Contenido Aplicación web utilizada desde el 2007 para el envío del informe anual de gestión de riesgo operacional. Se está realizando la actualización de la información requerida. Ventajas Conocer la gestión del riesgo operacional que realizan las empresas, a través de información actualizada y completa. Recolectar información estándar actualizada. Comunicar nuestras expectativas supervisoras. Realizar evaluaciones sectoriales Inicio de operación : Marzo 2012 Se comunicará en forma previa mediante un oficio

34 Líneas de negocio y tipo de producto

35 ASPECTOS DE EVALUACION
Risk Manager Cada pregunta se asocia a uno o más aspectos a evaluar AUTOEVALUACION 1 ASPECTOS DE EVALUACION Aspecto Evaluar 1 Aspecto Evaluar 2 . Aspecto Evaluar N Criterio1 Criterio2 Criterio N AUTOEVALUACION 2 Criterio1 Criterio2 Criterio N WORKFLOW Coordinador define acción y monitorea Reportes de Gestión Situación de empresa y sector Monitoreo del Workflow Evaluador realiza acción y actualiza respuesta

36 Reportes de Gestión por Empresa

37 Proyecto: Central de eventos de pérdida: CPRO
Objetivo: Obtener información para evaluar fuentes de pérdidas por riesgo operacional, mejorar las competencias de los sistemas supervisados para gestionar este riesgo y facilitar el desarrollo de modelos avanzados

38 Ejercicios sectoriales de continuidad de negocios (en estudio)
Nivel de preparación de las empresas ante un evento de contingencia A nivel individual A nivel sectorial Empresas supervisadas y otros como: BCR, MEF, Telcos, otros Sólo empresas supervisadas Verificado mediante supervisión Verificado mediante ejercicios sectoriales Funciona ? Los ejercicios sectoriales son el único medio para conocer el nivel de preparación de los sistemas supervisados ante eventos de contingencia de gran impacto

39 GRACIAS