Identificación y evaluación de riesgos SOX Identificación y evaluación de riesgos Titelseite 1 (nur Text) zweite Zeile optional

¿Qué es un riesgo? Es la posibilidad de que se produzca un evento, el cual normalmente tiene un efecto negativo amenazando los objetivos de los procesos (tiempos, costos, alcances y calidad).

Identificación y evaluación de riesgos ¿Que puede ir mal? Identificación de riesgos ¿Cuales son las consecuencias? Análisis de consecuencias ¿Cual es el impacto y con que frecuencia? Evaluación del riesgos Administración de riesgos

Sugerencias para la identificación de riesgos Recepción y emisión de información incorrecta o incompleta. Recepción y emisión de información después de los tiempos establecidos. Información NO recibida o NO emitida. Ubicar las actividades en las que se maneja información delicada o confidencial Listar los errores comunes y recurrentes que se presentan en los procesos. Enumerar los conflictos y problemas que se presentan constantemente entre usuarios de todas las áreas involucradas en un proceso. Identificar las actividades que necesitan ser autorizadas por los Gerentes y la Dirección. Listar la fallas y/o conflictos de los sistemas utilizados por lo usuarios.

Sugerencias para la identificación de riesgos Identificar las actividades en donde NO se da cumpliendo a las políticas y aquellas que NO están reguladas por ninguna política. Identificar las actividades en donde se pueda presentar el incumplimiento a leyes, contratos, convenios o regulaciones. Considerar antecedentes de hechos presentados en el pasado. Revisar las actividades que no se encuentren automatizadas (Excel, autorizaciones en papel, conciliaciones manuales, etc.). Localizar las actividades nuevas o que han cambiado significativamente. Considerar las actividades obsoletas y las no actualizadas. Recordar que los riesgos normalmente se provisionan. Revisión de conflictos, requerimientos y pendientes por resolver.

Ejemplos de riesgos Crédito y cobranzas Ventas efectuadas a clientes sin solvencia. Que la información de nuevos clientes no se obtenga oportunamente. Análisis e interpretación errónea de la información de clientes. No reconocimiento de cuentas incobrables. Que no se respeten los limites de créditos establecidos en las políticas. Saldos de cuentas por cobrar muy antiguos. Inversiones No existencia, falta o errores en las investigaciones previas a la inversión. Información no disponible, incorrecta o inoportuna necesaria para estudios de inversión. Inversiones no funcionales, ociosas u obsoletas.

Ejemplos de riesgos Nomina Pagos a empleados ficticios. Pagos incorrectos a empleados. Falta de pago a empleados. Aplicación errónea de la información de las nominas (cuentas contables). Clasificación incorrecta de los empleados (localidades y centros de costo). Control inadecuado de los descuentos en la nomina. Falta de provisión de los beneficios futuros a empleados (vacaciones, prima vacacional, plan de pensiones, etc.). Compras Sobre existencias de materia prima y producto terminado. Registro de materiales y servicios no recibidos. Material recibido no registrado. Registro incorrecto de materia prima y productos terminado (cantidad y monto). Compras de importes menores no comprobadas.

Ejemplos de riesgos Ventas Venta de mercancía a clientes ficticios. Devoluciones y rechazos excesivos de productos. Falta de aplicación a las políticas o reglamentos. Ventas realizadas sin entrega de mercancía. Envío de mercancía de ventas no registradas. Registro incorrecto de ventas. Cargos por incumplimiento de contratos, convenios, licitaciones o pedidos especiales. No reconocimiento de provisiones en el periodo correspondiente (descuentos por pronto pago, publicidad, fletes, incumplimiento de contratos, exhibiciones, promociones, exclusividad, etc.).

Consecuencias Área Riesgo Consecuencia Crédito y cobranzas Ventas efectuadas a clientes sin solvencia. NO COBRO DE LA VENTA Inversiones Inversiones no funcionales, ociosas u obsoletas. NO TRAE NINGUN BENEFICIO, O EL BENEFICIO NO ES EL ESPERADO Nomina Control inadecuado de los descuentos en la nomina. DESCUENTOS EXCESIVOS O NO APLICACIÓN DE LOS DESCUENTOS Compras Registro de materiales y servicios no recibidos. COSTOS Y GASTOS SIN SOPORTE Ventas Envío de mercancía de ventas no registradas. NO COBRO DE LA VENTA / PERDIDA DE LA MERCANCIA

Evaluación de riesgos Riesgo es un Para poder conocer el peligro potencial de los riesgos, se requiere evaluar su impacto y ocurrencia; solo así estaremos en condiciones de delimitar los controles que mitiguen o eliminen esos riesgos. Evento con un Menor / Remoto, Es muy poca la posibilidad de que suceda. Casi nunca ha sucedido Impacto y frecuencia con un Moderado, Probablemente suceda. La mitad de las veces ha ocurrido Efecto Critico / Probable, Casi es seguro que ocurra con efectos negativos y prolongados. Es muy probable que haya sucedido Menor / Remoto Moderado Fatal / Inminente, Es seguro que ocurra provocando un colapso en la empresa. Es seguro que haya sucedido Critico / Probable Fatal / Inminente

Evaluación de riesgos Impacto: Nivel Descripción Probabilidad: Nivel Menor Puede absorberse la consecuencia pronto bajo condiciones normales de operación Moderado Evento que puede manejarse bajo las condiciones normales de operación. Crítico Evento crítico que puede tener un impacto negativo y prolongado. Fatal Controles ineficaces, podría llevar al colapso de las empresas. 1 2 3 4 Probabilidad: Nivel Descripción Remota La oportunidad de que ocurran eventos futuros es poco probable (<10%) Moderada La oportunidad de que ocurran eventos futuros es más que remota, pero con menos probabilidades (10% <50%) Posible Futuros eventos es probable que se produzcan, es probable que ocurran en la mayoría de las circunstancias (50% <80%) Inminente El evento se espera que se produzca en la mayoría de las circunstancias (80% <100%) 1 2 3 4

Probabilidad Moderada (3x1=3) Matriz de evaluación de riesgos Fatal Alto Impacto (1x4=4) Riesgo Critico (2 x 4 =8) Riesgo Fatal (3 x 4 =12) (4 x 4 =16) Impacto Moderado (1x3=3) (2x 3=6) (3 x 3 =9) (4 x 3=12) Bajo impacto (1x2=2) Riesgo Moderado (2x 2 =4) (3 x 2 =6) (4 x 2 =8) Baja Probabilidad (2x1=2) Probabilidad Moderada (3x1=3) Alta Probabilidad (4 x 1 =4) 4 Critico 3 IMPACTO Moderado 2 Menor Impacto 1 Probabilidad 1 Remoto 2 Moderado 3 Posible 4 Inminente PROBABILIDAD