ACSDA – VIII Asamblea Anual Panel: El Riesgo Operacional y su apropiada administración. Continuidad del Negocio - PCN (Business Continuity Management – BCM) DECEVAL S.A Peace of Mind LA GARANTIA DE UN NEGOCIO CONTINUO Preparado por: Jorge Hernán Jaramillo Ossa Presidente DECEVAL S.A. El Salvador : 30 de Marzo de 2006 © 2000 Andersen Legal All rights reserved.

El interés creciente por el manejo del riesgo operacional Impacto Sistémico - Colapso del Mercado Crisis Financieras Crisis Reputacional “Pérdida de Confianza” Administración del Riesgo operacional - Continuidad integral de los negocios Impacto en la Infraestructura del mercado Impacto Económico Impacto en Otros Mercados Globalización

Quienes tienen un interés principal por esta temática ? IOSCO- CPSS Grupo de los 30 ISSA Recomendaciones Sobre Administración Del riesgo Operacional Asociaciones De la Industria Autoridades locales Basilea II

El Control y mitigación del riesgo operacional Proceso continuo Identifique los Principales Objetivos, procesos y recursos de negocio Identifique los riesgos Analice y Evalúe Los riesgos Determine, diseñe e implemente Medidas de Mitigación y control Monitoree y Revise de manera permanente Estratégico Internos Estratégicos Operacionales Criterios de aceptación Aceptar el riesgo Efectividad Operacional Probabilidad ocurrencia Controlarlo Potencialidad Externos Políticos – Regulatorios Ambientales/naturales Tecnológicos Económicos/mercado Procesos de Soporte Efectos/ impacto Transferirlo Control

El proceso de contingencia de negocios Proceso continuo Identifique los Principales Objetivos, procesos y recursos de negocio Desarrolle un Análisis de Impacto de negocio Determine las estrategias y acciones de continuidad Implemente las acciones y medidas de continuidad Prueba y Mantenimiento del plan Estratégico Riesgos Operacionales Determinación del MAO y continuidad De procesos críticos Procesos de backup Sistemático Operacional Riesgos financieros Sistemas alternos y Redundantes, backup Y recuperación Administración De los datos y registros Robusto y planeado Procesos de Soporte Impacto Operacional Reducir la exposición, Impacto y pérdida de Recursos y procesos Recursos y Compromiso Clasifique por importancia Impacto Financiero Gente, infraestructura, Telecomunicaciones, Sist. De Informaciòn Acuerdos con Entidades Externas Manejo continuidad

Tipos de planes involucrados en el BCM Business resumption plans (BRP) are advanced arrangements for reestablishing critical business processes following an interruption or event. For example, a BRP provides the blueprint for reestablishing company operations at a different location following a disaster such as a tornado or hurricane. Disaster recovery plans (DRP) are advanced arrangements used to recover critical data, operating systems, applications, and associated hardware following an interruption or impact (e.g. power failure). DR planning also includes telecommunication systems and networks. Emergency response (or preparedness) procedures (ERP) are procedures for protecting people and property during an emergency such as a fire or tornado. These emergency response procedures are normally a component, along with communications plans, of the crisis management program. Crisis communications plans are the scripts for how the company will communicate to employees (and their families), customers, suppliers or vendors, shareholders, regulators and the general public following a disaster or negative incident. Fuente: National Institute of Standards and Technology (NIST) - USA © 2000 Andersen Legal All rights reserved.

PCN – No es un documento, es un proceso de negocio en DECEVAL S.A. Compromiso de la Alta Gerencia Planificación de Recuperación de Instalaciones Planificación del Manejo de Crisis Administración y Manejo de Crisis Respuesta a emergencia y restauración de instalaciones Business Continuity Management Planificación de la Continuidad del Negocio Planificación de la Recuperación de la Tecnología Restauración de los Procesos críticos Planificación del Sitio Alterno de Trabajo Restauración de las Aplicaciones críticas Planificación de Recursos Humanos Reubicación del personal Personal Crítico Fuente: Business Continuity Institute (BCI)

Pilares del PCN - BCM en DECEVAL Compromiso de la alta dirección y del mercado Gerencia de Riesgos y Administración de incidentes Desarrollo de la estrategia de negocio y reconocimiento de la importancia del Depósito en los procesos del mercado Disminución del tiempo de recuperación de los procesos críticos de negocio Capacitación y entrenamiento para asumir la contingencia Interna y Externa © 2000 Andersen Legal All rights reserved.

Mapa de procesos Críticos Custodia de Valores Cliente Análisis de Valores 02 B Solicitud de Información del Sistema de Saldos o del Sistema de Referencias 03 B Administración Custodio Internacional 04 B 12 B 01 A Ejercicio de Derechos Patrimoniales y Sociales Administración de la Base de Datos CONTINGENCIA 05 B 11 B Mantenimiento y Actualización del Sistema de Saldos Administración de Emisiones Desmaterializadas 06 B 10 B 07 B 9 B Administración de hardware y software 08 B Administración de Cuentas para Admón. Valores y CYL Operaciones Entrega contra Pago

Sistemas de Soporte CONTINGENCIA Soporte Técnico Telecomunicaciones Auditoría 13 B 14 B Cierre de Operaciones 22 B 15 B CONTINGENCIA Nómina Administración de Seguridad de Riesgo Físico 21 B 16 B 17 B Correspondencia Gastos 20 B 18 B 19 B Compras Administración de Activos, Suministros e Instalaciones

PR4 Metodología PR4 R R R R P ESTAURACION ECUPERACION EANUDACION Reparar/Restaurar facilidades y contenidos “Regreso a casa” R ECUPERACION Recuperar Todas las Demás Operaciones Reanudar las Operaciones Sensibles al Tiempo en la Localidad Alterna R EANUDACION Manejo de Crisis Contener el Daño Activar Organización de Recuperación R ESPUESTA P REVENCION Protección de los Activos Corporativos Manejo de riesgos © 2000 Andersen Legal All rights reserved.

El antes, el durante y el después Prevención Respuesta Restauración ANTES DURANTE DESPUES PROCESOS INSTALACIONES Reanudación Vuelta a la Normalidad Recuperación Decisión DESASTRE Metodología PR4 © 2000 Andersen Legal All rights reserved.

Sitios de respaldo en caso de contingencia total © 2000 Andersen Legal All rights reserved.

SEDE ALTERNA OPERATIVA - S.A.O. Permite que el Depósito pueda funcionar humana y tecnológicamente respondiendo por la operatividad del mercado Cuenta con 43 puestos de trabajo para atender las principales operaciones del negocio y a clientes. 10 de los cuales están destinados a nuestros clientes en caso de que ellos no puedan realizar sus operaciones en sus instalaciones.

DATA CENTER – D.C. Cuenta con la infraestructura para soportar el equipamiento y aplicaciones críticas del Depósito. Permite el enrutamiento de los clientes a un centro que cumpla con los elementos de hardware, software, seguridad y telecomunicaciones, enmarcados dentro de los requerimientos tecnológicos y operativos definidos por Deceval. Componentes físicos Seguridad física. Sistema anti-incendio. Sistema de climatización de ambiente. Energía eléctrica. Sala de trabajo. Desastre natural. Mantenimiento y soporte.

Centros de Contingencia

Otras medidas de protección Replicación de datos a centro alterno. Backup de datos almacenado en custodio y centro alterno. Sistemas críticos redundantes : comunicaciones, seguridad, certificador digital Configuración de todos los sistemas críticos guardados en sitio alterno Documentos principales del negocio guardado en custodio y en centro alterno. Replica de todos los principales documentos del negocio : información principal de clientes, tarjeta de firmas autorizadas, tarjeta de mensajeros Especificaciones técnicas de seguridad de hardware y software Manual del plan de contingencia en el centro alterno. Lista del recursos humano - Direcciones, teléfonos. Sistemas críticos de operación en sede alterna operativa.

Nuestra Matriz de Riesgos: Evaluación del Business Impact Analysis - BIA Describa el escenario a analizar Describa las causas que puede generar el escenario de falla Describa los efectos que derivan de las causas Describa la acción inmediata a realizar una vez se presenta el evento EVALUACION DEL Business Impact Analysis - BIA Califique el impacto, la probabilidad y el riesgo de ocurrencia según las definiciones previamente dadas. Describa los tipos de controles que considera para mitigar dicho riesgo

Nuestra Matriz de Riesgos EVALUACION DEL BIA

¿Cuál quiere usted que sea su expresión la próxima vez que ocurra un desastre? © 2000 Andersen Legal All rights reserved.

La organización debe estar preparada en los aspectos más importantes: ¿Cuál quiere usted que sea su expresión la próxima vez que ocurra un desastre? La organización debe estar preparada en los aspectos más importantes: TECNOLOGIA ORGANICE EL GRUPO HUMANO CAPACITACION IMPLEMENTE LAS ESTRATEGIAS PROBAR – PROBAR Y PROBAR © 2000 Andersen Legal All rights reserved.

Organigrama DECEVAL S.A. BCM Equipo de Gestión Equipo de Auditoria Equipo de manejo de crisis Equipo de Contingencia Equipo Financiero y Administrativo Equipo de Informática y Tecnología Equipo de Operaciones Equipo de Apoyo Logístico © 2000 Andersen Legal All rights reserved.

Pruebas del plan de continuidad Para el año 2006 Deceval realizará 4 pruebas del plan de continuidad de negocios con el fin de validar los cuatro grupos de estrategias definidos: Estrategias preventivas Estrategias de recuperación Estrategias de restauración Estrategias de manejo de crisis En la ejecución de un plan de pruebas principalmente se deberá: Probar el plan de evacuación. Probar los sistemas de alerta. Probar conectividad y telecomunicaciones. Probar el desempeño de los equipos de respaldo destinados para atender la contingencia. Monitorear el porcentaje de uso de los equipos, dispositivos de red y canales de comunicación. © 2000 Andersen Legal All rights reserved.

Pruebas del plan de continuidad Probar la habilidad de acceder a registros y recursos vitales, sistemas o software para el manejo de datos y equipos. Probar el desempeño del sistema en ambiente contingente. Probar los procesos definidos para atender la contingencia. Validar tiempos de desplazamiento y por actividad. Probar los tiempos objetivo de recuperación. Probar los puntos objetivo de recuperación. Probar el conocimiento del plan de continuidad de los colaboradores. Probar otros sistemas como S.E.B.R.A., Bancolombia Tidis, Alterno Tidis, Creation Online “LA META DE PROBAR Y EJERCITAR EL PLAN DE CONTINUIDAD DE NEGOCIO NO ES ENCONTRAR SI FUNCIONA, SI NO DEMOSTRAR QUE ESTAMOS PREPARADOS PARA LAS CONTINGENCIAS TOTALES O PARCIALES.” RECUERDA QUE EL RECURSO HUMANO ES MUY IMPORTANTE © 2000 Andersen Legal All rights reserved.