Instituto de Auditores Internos y Gobierno Corporativo (IAIGC) PRESENTACIÓN PARA Instituto de Auditores Internos y Gobierno Corporativo (IAIGC) PORQUÉ GESTIONAR RIESGOS - RIESGO OPERATIVO JUNIO DE 2008 EDUARDO OJEDA CONSULTOR eojedajaques@gmail.com

PORQUÉ GESTIONAR EL RIESGO? AGENDA PORQUÉ GESTIONAR EL RIESGO? INTRODUCCIÓN CONCEPTO DE RIESGO ADMINISTRACIÓN DE RIESGOS DECISIONES FRENTE AL RIESGO ¿PORQUÉ GESTIONAR EL RIESGO OPERATIVO?

CONCEPTO DE RIESGO Probabilidad de ocurrencia de un evento no deseado, esperado o inesperado, que puede producir pérdida (económica, de valores, imagen), produciendo impacto adverso sobre las ganancias o el capital

FACTOR DE RIESGO SITUACIÓN, CARACTERÍSTICA , CIRCUNSTANCIA O ATRIBUTO , CUYA PRESENCIA SE ASOCIA CON UN AUMENTO DE LA PROBABILIDAD DE OBTENER UN DAÑO O PÉRDIDA

TIPOS DE RIESGO - teoría general PAÍS TECNOLOGÍA INFORMACIÓN ESTRATEGIA RIESGOS LEGALES NEGOCIOS PERSONAL ORGANIZACIÓN OPERACIÓN -E.OJEDA

TIPOS DE RIESGO - bancos ESTRATEGIA CONCENTRACIÓN LIQUIDEZ OTROS PAIS RIESGOS . BASICOS MERCADO CRÉDITO OPERATIVO -E.OJEDA

TIPOS DE RIESGO - SEGUROS ESTRATEGIA TECNICO DEL SEGURO LIQUIDEZ NORMATIVO LEGAL RIESGOS . MERCADO CRÉDITO OPERACIONAL TECNOLOGICO -E.OJEDA

OPERACIÓN TIPOS DE RIESGO ERRORES FRAUDES REGISTRO Y CONTABILIZACIÓN DESASTRES INCUMPLIMIENTO -E.OJEDA

TECNOLOGÍA DE INFORMACIÓN TIPOS DE RIESGO EQUIPOS - SISTEMAS PRIVACIDAD TECNOLOGÍA DE INFORMACIÓN INTEGRIDAD DISPONIBILIDAD -E.OJEDA

PERSONAL TIPOS DE RIESGO IDONEIDAD FORMACIÓN ROTACIÓN COMPENSACIÓN INCENTIVOS LIDERAZGO EJECUTIVO COMUNICACIONES E.OJEDA

EJEMPLO DE FACTORES Y RIESGOS AUSENCIA DE POLÍTICAS FALTA DE NORMAS DE EVALUACIÓN PERSONAL NO CAPACITADO PERSONAL DESHONESTO AUSENCIA O FALTA DE CONTROL RIESGO QUE SE CONCRETEN NEGOCIOS NO DESEADOS QUE SE OTORGUEN PRÉSTAMOS IRRECUPERABLES MALAS DECISIONES, ERRORES, INCUMPLIMIENTO NORMATIVO IRREGULARIDADES, FRAUDES ERRORES INVOLUNTARIOS Y VOLUNTARIOS, PÉRDIDAS

ADMINISTRACION DE RIESGOS 1 7 Establecer el contexto 6 2 Identificar riesgos 3 informar - Decidir Analizar riesgos Monitorear - revisar 4 Evaluar riesgos Briefly describe an risk assessment process as per the flowchart above. For further information see the AUS/NZ 4360:2004 Risk Management Standard 5 Tratar riesgos

Administración de riesgos mapa de riesgos – plan de acción Modo de gestión a privilegiar Prevención, reorganización de procesos y controles, capacitación, sistemas Frecuencia Tratar con urgencia Riesgos ‘recurrentes’ Riesgos ‘preocupantes’ alta Modo de gestión a privilegiar Riesgos ‘menores’ Riesgos ‘excepcionales’ baja Atenuar Seguros autoseguros Tratar posteriormente moderado alto impacto

Administración de riesgos mapa de riesgos – plan de acción alto Prioridad alta impacto Prioridad media Prioridad baja bajo bajo frecuencia alto

TRATAR RIESGOS DECISIONES FRENTE AL RIESGO ELIMINAR PRODUCTO O LÍNEA DE NEGOCIOS CONTRATOS DE SEGURO AVALES Y GARANTÍAS VENTA DE CARTERA SECURITIZACIÓN MEDIDAS PARA REDUCIR FRECUENCIA Y SEVERIDAD EVALUACIÓN Y SEGUIMIENTO CON O SIN PROVISIONES EVITAR RIESGO TRANSFERIR RIESGO CONTROLAR EL RIESGO RETENER EL RIESGO

¿POR QUE GESTIONAR EL RIESGO ?

¿Por qué gestionar el riesgo? OPERAMOS EN UN AMBIENTE CON MAYORES RIESGOS PÉRDIDAS IMPORTANTES CAUSADAS POR PROBLEMAS DE RIESGO, CREDITO, MERCADO Y OPERATIVO. DEFICIENTE GESTIÓN DE RIESGOS HA SIDO UN FACTOR CLAVE EN LA BANCARROTA O DEBILITAMIENTO DE EMPRESAS. REDUCIR PÉRDIDAS POR RIESGOS PARA DISPONER DE UN AMBIENTE DE CONTROL INTERNO ROBUSTO EMISIÓN DE ESTADOS FINANCIEROS CONFIABLES CUMPLIMIENTO DE REGULACIONES HEMOS MANEJADORIESGOS, NO GESTIONADO RIESGOS ¿Por qué gestionar el riesgo?

Establecer esquemas eficientes y efectivos de administración y control de todos los riesgos a los que se encuentran expuestas contar con procesos formales de administración integral de riesgos que permitan identificar, medir, controlar / mitigar y monitorear las exposiciones de riesgo que están asumiendo. Adecuada administración de procesos, personas y tecnología Definición formal de políticas, procesos y procedimientos Identificación de procesos críticos Planificación y administración del capital humano Administración servicios tercerizados Políticas y procedimientos de Seguridad de la información Planes de contingencia y de continuidad de negocios EL REGULADOR DEMANDA

AMBIENTE CON MAYOR Y NUEVOS RIESGOS SOFISTICADOS PRODUCTOS EXTERNALIZACIÓN DE PROCESOS CRECIMIENTO Y RENTABILIDAD REGULACIONES CRECIENTES DINERO = ÉXITO, RELAJACIÓN MORAL MERCADOS COMPETITIVOS NUEVAS TECNOLOGIAS - E-BUSINESS GLOBALIZACIÓN NECESIDAD DE INNOVACIÓN – MÁS CALIDAD – MENOS COSTOS

PORQUÉ GESTIONAR RIESGOS ? PREGUNTAS

Conclusión: ¿Por qué gestionar? INDEPENDIENTE DE LA REGULACIÓN, QUE DEBEMOS CUMPLIR EL AMBIENTE EN EL QUE SE DESARROLLAN LOS NEGOCIOS NOS PONE COMO EXIGENCIA DE SOBREVIVENCIA EL TENER QUE ADMINISTRAR LOS RIESGOS Y HAY QUE GESTIONARLOS INTEGRALMENTE

RIESGO OPERATIVO

RIESGO OPERATIVO BASILEA El riesgo de pérdidas resultantes de una falta de adecuación o de una falla de los procesos, del personal y de los sistemas internos o bien por causa de acontecimientos externos. Esta definición incluye el riesgo legal, pero excluye el riesgo estratégico y el de reputación.

PARA QUÉ GESTIONAR RIESGO OPERATIVO ? DETECTAR RIESGOS MITIGAR RIESGOS MEJORAR PROCESOS Y CONTROL INTERNO MEJORAR CALIDAD DE SERVICIO ASIGNAR CAPITAL INCORPORAR COSTO AL PRECIO DE PRODUCTOS MEJORAR MEDICIÓN RENTABILIDAD LINEAS

Gestión de riesgo operativo incidentes Mapeo Procesos de negocio Auto evaluación evaluaciòn Mapa de riesgos Reporte de incidentes eventos Prioridad alta Prioridad media Datos eventos externos Datos Eventos Internos Prioridad baja INDICADORES CLAVE Análisis Normal escenarios GESTIÒN INTEGRAL TABLERO DE MANDO COMPROMISOS, SEGUIMIENTO

PARA LA GESTIÓN SE REQUIERE ORGANIZACIÓN INFRAESTRUCTURA PLATAFORMA H/S MODELOS RRHH Comité Unidad especilizada gestores REGLAS GESTIÓN Identificar, medir Decisión frente riesgo Optimizar límites Asignación costos capital ESTRATEGIA Tolerancia indicadores POLÍTICAS Proced. Línea resp.

PILAR I - RIESGO OPERATIVO ASPECTOS CUALITATIVOS -estándar El banco debe contar con una unidad de gestión del riesgo operativo El sistema de medición del RO debe estar integrado en los procesos habituales de gestión del riego y la información utilizada en el proceso de medición y control Debe informarse periódicamente a la dirección de las unidades de negocio, alta gerencia y consejo El sistema debe estar bien documentado Los auditores externos y/o internos deben examinar en forma periódica los procesos de gestión y sistemas de medición

BASE DE DATOS DE EVENTOS RIESGO OPERATIVO incidentes Reporte de incidentes eventos SE REQUIERE DATOS DE BUENA CALIDAD PARA TOMAR BUENAS DECISIONES LA CANTIDAD DE DATOS ES RELEVANTE PARA EMPLEAR MODELOS PREDICTIVOS baja Datos eventos externos Datos Eventos Internos ES NECESARIO EL USO DE DATOS INTERNOS Y EXTERNOS, PARA TOMAR MEJORES DECISIONES Análisis Normal escenarios

PILAR I - RIESGO OPERATIVO datos de pérdidas Se debe realizar seguimiento de los datos internos de pérdida Hay que documentar los procedimientos para evaluar la relevancia de los datos históricos de pérdida Las estimaciones de cargo de capital se deben basar en un período mínimo de cinco años. (método AMA) Los procesos internos de recopilación de pérdidas deben satisfacer ciertos criterios El sistema de estimación debe utilizar datos externos Se debe utilizar análisis de escenarios Se debe identificar factores básicos del entorno y control interno que puedan modificar perfil de riesgo

PILAR I - RIESGO OPERATIVO procesos internos de recopilación de datos El banco debe ser capaz de asignar los datos de pérdida a cada línea de negocio. Los datos de pérdida deben ser integrales e incluir todas las actividades y ubicaciones geográficas Las actividades excluidas deben ser justificadas en cuanto a su materialidad Se debe establecer un umbral mínimo de reporte de pérdidas. Se debe recopilar información de la fecha del evento, recuperaciones y causas Hay que definir criterios para la asignación de pérdidas por eventos sucesivos, Las pérdidas por riesgo operativo relacionadas con riesgo de crédito se registran pero no se considerarán para el cálculo de cargo de capital, las operativas de mercado sí se consideran

GESTIÓN INTEGRADA - COORDINADA GESTIÓN DE CALIDAD Satisfacción del cliente ADMINISTRACIÓN RIESGO OPERATIVO Efectividad continuidad Basilea ISO ADMINISTRACIÓN ACTIVOS DE LA INFORMACIÓN Confidencialidad Integridad continuidad BUENAS PRACTICAS GESTIÓN TI ISO CONTROL INTERNO Seguridad Confiabilidad COSO - COBIT

ESTÁNDARES – MEJORES PRÁCTICAS

Alineación metodología TEMAS CON GESTIÓN COORDINADA Calidad total Continuidad de negocios Riesgo operativo seguridad información Prevención Lavado activos Fraudes Coordinación Alineación metodología Liderazgo Modelo común cumplimiento legal Control inerno Reingeniería de procesos Gestión Reclamos

GESTIÓN DEL RIESGO OPERATIVO PREGUNTAS ???

CONCLUSIONES los riesgos deben ser bien gestionados por los beneficios que reporta al negocio, a saber: Se limita la frecuencia e impacto de eventos no deseados Se adopta la decisión más conveniente frente a un riesgo Disminuyen pérdidas y costos operativos. Mejora la seguridad Control Interno sólido Aumenta la calidad de servicio Se resguarda la imagen de la institución.

CONCLUSIONES GESTIÓN DEL RIESGO OPERATIVO – UTILIZAR COMO REFERENCIA ESTÁNDARES Y MEJORES PRÁCTICAS. IDENTIFICAR , MEDIR, MONITOREAR, MAPAS. DEFINIR METODOLOGÍAS, INFRAESTRUCTURA, INDICADORES CLAVE. BASES DE DATOS. ESENCIAL CALIDAD, CANTIDAD, DIVERSIDAD GESTIÓN INTEGRADA PROYECTOS Y MODELOS DOCUMENTAR EL SISTEMA – ACTUALIZAR GESTIÓN PARA MEJORAMIENTO CONTINUO

FIN PRESENTACIÓN ¡GRACIAS! EXPOSITOR: EDUARDO OJEDA CONSULTOR eojedajaques@gmail.com