ADMINISTRACION DE RIESGOS Auditoria Tecnología Informática

Australia/New Zealand Risk Management Standard 4360 US – 11 de septiembre Enron, Global Crossing, Tyco WorldCom Sarbanes-Oxley Act of 2002 Antecedentes

El concepto de Gestión de Riesgos Toma Fuerza también en el Nuevo Entorno Regulatorio.... A nivel internacional: Basilea 1 Basilea 2 Basilea 3 ISO9000 Standar AS/NZ 4360 de 1999: Norma Neozelandesa sobre administración de riesgo Ley Sarbanes Oxley(EEUU) A nivel nacional: Superintendencia Bancaria: Circular externa 050 del año 2001 y Carta Circular 031 del 2002 sobre SARC: Sistema de administración de riesgo crediticio Circular externa 052 del 2002 de la Superbancaria sobre SEARS: Sistema Especial de Administración de riesgos de seguros Superintendencia de Valores: Resolución 138 del año 2001 sobre el sistema general de riesgos. Superintendencia de Sociedades Superintendencia de Servicios Públicos

Y QUÉ ES UN RIESGO? NUEVA VISION RIESGO, ES CUALQUIER IMPEDIMENTO, OBSTÁCULO, AMENAZA, PROBLEMA, QUE PUEDE IMPEDIRLE A ORGANIZACIÓN ALCANZAR SUS OBJETIVOS DE NEGOCIO VISION ANTERIOR: Eventos que suscitasen una posibilidad de fraude, sustracción de activos, faltas a la ética y la moral. Riesgos estaba únicamente referido a la gestión de riesgos físicos y cubiertos por pólizas de seguros.

El pasado El riesgo en forma individual Evaluación e identificación de riesgos Enfoque a todos los riesgos Mitigación de riesgos No dueños de riesgos Cuantificación desordenada de riesgos El riesgo no es mi responsabilidad Evaluado El futuro Riesgo como estrategia de negocio Desarrollo de portafolio de riesgos Enfoque a riesgos críticos Optimización de riesgos Responsabilidades definidas Mapa de Procesos, Medición y monitoreo Riesgo responsabilidad de cada uno Auto evaluación Pasado y futuro en la gestión de riesgos

CONCEPTOS BASICOS DE RIESGO INCERTIDUMBRE  Es lo contrario de la certidumbre.  Siempre existe.  Se asocia con el hecho de que el futuro no se comporte de acuerdo con lo esperado

RIESGO ………. diferente de …. INCERTIDUMBRE Es la parte inevitable de los procesos de toma de decisiones en general y de los procesos de inversión en particular.  Está asociado tanto a un resultado favorable como a un resultado adverso.  La medición efectiva y Cuantitativa del riesgo se asocia con la probabilidad de una pérdida en el futuro. Incertidumbre Riesg o CONCEPTOS BASICOS DE RIESGO

Desarrollo del criterio para evaluar el Riesgo AS/NZS 4360 MONITOREO Y REVISIÓN COMUNICACIÓN Y CONSULTA ESTABLECER EL CONTEXTO IDENTIFICACIÓN DE RIESGOS ANÁLISIS DE RIESGOS EVALUACIÓN DEL RIESGO TRATAR EL RIESGO

MONITOREO Y REVISIÓN COMUNICACIÓN Y CONSULTA ESTABLECER EL CONTEXTO IDENTIFICACIÓN DE RIESGOS ANÁLISIS DE RIESGOS EVALUACIÓN DEL RIESGO TRATAR EL RIESGO Establecer el contexto estratégico Establecer el contexto Organizacional Establecer el contexto de Gestión de riesgo Definir los criterios de la evaluación de riesgos Definir la estructura de riesgos El respaldo de la alta dirección es un elemento clave. Desarrollo del criterio para evaluar el Riesgo AS/NZS 4360

La identificación requiere un proceso amplio, sistemático y estructurado. Realizar un análisis de lo que puede suceder Analizar como puede suceder Definir las herramientas y técnicas para la identificación (listas de verificación, experiencia, registros, lluvia de ideas, etc) MONITOREO Y REVISIÓN COMUNICACIÓN Y CONSULTA ESTABLECER EL CONTEXTO IDENTIFICACIÓN DE RIESGOS ANÁLISIS DE RIESGOS EVALUACIÓN DEL RIESGO TRATAR EL RIESGO Desarrollo del criterio para evaluar el Riesgo AS/NZS 4360

El análisis resulta de la combinación de cálculos de consecuencia y posibilidad en el contexto de las medidas de control existentes. Definir las herramientas y técnicas para el análisis. Analizar los controles existentes Realizar un análisis de consecuencia y probabilidad o posibilidad Definir el tipo de análisis (cualitativo y/o cuantitativo) MONITOREO Y REVISIÓN COMUNICACIÓN Y CONSULTA ESTABLECER EL CONTEXTO IDENTIFICACIÓN DE RIESGOS ANÁLISIS DE RIESGOS EVALUACIÓN DEL RIESGO TRATAR EL RIESGO Desarrollo del criterio para evaluar el Riesgo AS/NZS 4360

Las decisiones del análisis deben dar cuenta de la consideración de tolerabilidad de los riesgos asumidos. Realizar análisis:  Cualitativo  Semi – cuantitativo  Cuantitativo  Análisis de sensibilidad MONITOREO Y REVISIÓN COMUNICACIÓN Y CONSULTA ESTABLECER EL CONTEXTO IDENTIFICACIÓN DE RIESGOS ANÁLISIS DE RIESGOS EVALUACIÓN DEL RIESGO TRATAR EL RIESGO Desarrollo del criterio para evaluar el Riesgo AS/NZS 4360

MONITOREO Y REVISIÓN COMUNICACIÓN Y CONSULTA ESTABLECER EL CONTEXTO IDENTIFICACIÓN DE RIESGOS ANÁLISIS DE RIESGOS EVALUACIÓN DEL RIESGO TRATAR EL RIESGO Identificar opciones para el tratamiento de riesgos (Evitar, reducir probabilidad, reducir consecuencia, transferir, retener) Evaluar opciones de tratamiento (costo / beneficio) Preparar planes de tratamiento Implementar Si los riesgos no encajan en la categoría medios o bajos deberán analizarse el tratamiento apropiado Desarrollo del criterio para evaluar el Riesgo AS/NZS 4360

La Gestión del Riesgo Riesgo de Mercado Riesgo de Liquidez Riesgo de Crédito Riesgo Legal Lavado de Activos Estratégico Reputacional Riesgo Operacional Niveles de Riesgo

Operaciones Finanzas Tecnología Capital Humano Competencia Regulación Medio ambiente Crecimiento Global Reputación Tradicional: Perspectiva Financiera Perspectiva: Visión Empresarial Riesgos Financieros Riesgos de Seguros Riesgo en Inversiones Riesgo Cambiario Gestión de Riesgo: Mayor cobertura del negocio

ADMINISTRACIÓN DE RIESGOS “Todo el mundo tiene una perfecta visión retrospectiva, pero nadie posee una visión perfecta del futuro”. La administración de riesgos comprende:  Identificación de los factores de riesgo.  Cuantificación del riesgo.  Evaluación de las posibles pérdidas.  Establecimiento de Límites de tolerancia al riesgo.  El Control de riesgos en la operación. CONCEPTOS BASICOS DE RIESGO

METODOS BASICOS PARA REDUCCIÓN DEL RIESGO 1.Evitando el Riesgo. Tomar la decisión de no exponerse a un determinado riesgo. 2.Prevención y Control de perdidas. Tomar medidas para disminuir la probabilidad o gravedad de la pérdida. 3.Retención del Riesgo. La Autoprotección. 4.Transferencia del Riesgo. Trasladar el riesgo a otros :  Venta de activos riesgosos.  Compra de Pólizas de Seguros.

CONTROL DE RIESGOS. ORGANISMOS RESPONSABLES DEL CONTROL DE RIESGOS  Consejo de Administración o Junta Directiva  Comité de Riesgos.  Area de Créditos.  Area de Tesorería.  Auditoría Interna.  Revisoría Fiscal. CONCEPTOS BASICOS DE RIESGO

La posibilidad de sufrir un daño o pérdida Un factor, elemento o camino que incluye peligros inciertos El peligro o probabilidad de pérdida de un asegurado El monto que una aseguradora esta dispuesta a perder DEFINICIÓN DE RIESGO

Se ubica en el futuro 1.Es posible, no seguro, que vaya a ocurrir 2.Puede causar pérdidas 3.Sus efectos potenciales cambian a lo largo del tiempo PROPIEDADES DE UN RIESGO

CAUSAS DEL RIESGO “ DAÑO Y DESTRUCCIÓN DE ACTIVOS “ * Terremoto / Maremoto * Inundación/Anegaciones * Erupciones volcánicas * Vientos * Rayos POR DESASTRES NATURALES

POR ACTOS MALINTENCIONADOS DE TERCEROS * Actos Terroristas * Asaltos * Vandalismo * Disturbios Civiles * Virus de computador * Sabotaje de terceros que intervienen en la prestación de servicios de la empresa.

POR ACTOS MALINTENCIONADOS DE LOS EMPLEADOS * Sabotaje de empleados que intervienen en la prestación de servicios de la empresa. * Paros laborales (Cese de Actividades) * Daños y desastres a propósito causados por los empleados.

MODELO DE CAUSAS DEL RIESGO TÍPICAS CAUSAS DEL RIESGO “ FRAUDE MODELO DE CAUSAS DEL RIESGO TÍPICAS CAUSAS DEL RIESGO “ FRAUDE “ POR CAUSAS INTENCIONALES * Concentración de funciones sensitivas en una misma persona * Falsificación de títulos valores / documentos negociables (cheques, pagarés, etc). * Alteración de documentos negociables en datos de entrada al sistema. * Falsificación de documentos no negociables que contienen datos de entrada al sistema. * Alteración de documentos no negociables en los datos de entrada al sistema. * Alteración de los datos registrados en los archivos del computador. * Rutinas mal intencionadas en los programas de computador. * Suplantación electrónica de clientes (usuarios externos) con derechos de acceso al sistema de computador. * Suplantación física de clientes (usuarios externos) con derechos de acceso al sistema de computador. * Suplantación de terminales con derecho de acceso al computador. * Baja moral de los empleados. * Baja moral de los clientes de la empresa. * Complicidad entre empleados y clientes.

POR ACTOS ACCIDENTALES ( CASOS FORTUITOS) * Inapropiadas instalaciones eléctricas. * Inapropiadas instalaciones físicas. * Mal funcionamiento de los equipos de oficina.

CAUSAS DEL RIESGO “ HURTO (ROBO) POR ACTOS MALINTENCIONADOS DE TERCEROS * Concentración de funciones sensitivas en una misma persona. * Baja moral de los empleados. * Complicidad entre empleados.

CAUSAS DEL RIESGO “ PERDIDA DE NEGOCIOS Y CREDIBILIDAD PUBLICA” POR ACTOS MALINTENCIONADOS DE LOS EMPLEADOS. POR ACTOS MALINTENCIONADOS DE LOS EMPLEADOS. X Paros laborales (cese de actividades) X Sabotaje de los empleados. X Prestar, deliberadamente, servicios de mala calidad a los clientes. X Servicio inoportuno y demorado a los clientes. X Dar versiones inexactas de la situación de la empresa X Incumplimiento (engaño a los clientes). X Deliberadamente, violar privacidad y buen nombre de los clientes.

POR ACTOS FORTUITOS ( ACCIDENTALES ) X Inexactitud de la información entregada a los clientes. X Servicios inoportuno y demorado. X Interrupciones en las líneas de comunicación de datos. X Interrupciones en los servicios de computador.

CAUSAS DEL RIESGO “ SANCIONES LEGALES “ POR ACTOS MALINTENCIONADOS DE LOS EMPLEADOS POR ACTOS MALINTENCIONADOS DE LOS EMPLEADOS è Retención indebida de aportes fiscales recaudados por la empresa. è Retención indebida de aportes parafiscales recaudados por la empresa. è Omisión deliberada del recaudo de aportes fiscales o parafiscales.

è Omitir recaudos obligados por la Ley. è Recaudar impuestos inferiores a las establecidas en la Ley. è Retener aportes parafiscales recaudados. è No disponibilidad de los sistemas de computador para producir reportes exigidos por la Ley. POR ACTOS MALINTENCIONADOS DE LA EMPRESA

POR ERRORES DE LA EMPRESA Y DE LOS EMPLEADOS ( CASOS FORTUITOS O ACCIDENTALES ) POR ERRORES DE LA EMPRESA Y DE LOS EMPLEADOS ( CASOS FORTUITOS O ACCIDENTALES ) è No enviar reportes a las entidades del gobierno en las fechas establecidas. è Omitir el recaudo de impuestos que obliga la ley. è Errores en el calculo de impuestos recaudados. è Errores en el calculo de aportes parafiscales. è Omitir pago de impuestos recaudados. è Omitir pago de aportes parafiscales recaudados. è Inexactitud de las cifras de reportes utilizados para tomar decisiones. è Omisión de utilización de reportes producidos para la toma de decisiones. è Omitir producción de reportes que sirven para soportar la toma de decisiones. è imposibilidad de utilizar el sistema de computador para producir los reportes para la toma de decisiones.

POR ACTOS ACCIDENTALES (Casos Fortuitos) è Divulgación accidental de información que constituye ventaja competitiva. è Interrupciones accidentales del servicio por daños en los sistemas de computador. è Obsolencia tecnológica. è Mala atención de los clientes por parte de los empleados. è Mala calidad de los servicios ofrecidos a los clientes. è Divulgar accidentalmente información sobre el estado de la empresa. è Divulgar accidentalmente la mala situación financiera de la empresa. CAUSAS DE RIESGO “ DESVENTAJA COMPETITIVA “