Administración de Riesgos y Continuidad de Negocio Costa Rica Presentación III Seminario Gestión de Tesorerías Nacionales Agosto 2012 José Adrián Vargas B.

CONTENIDO Aspectos generales y normativos Acciones y resultados Consideraciones finales

1. Aspectos generales y normativos Valoración del Riesgos se establece como uno de los componentes del sistema de control interno, en la Ley General de Control Interno. (LGCI).

Aspectos generales y normativos La LGCI ( No. 8292)fue aprobada en el año 2002. Complemento Normas Generales de Control Interno La Contraloría General de la República emitió las Directrices para el Sistema Específico de Valoración de Riesgo en el año 2005, señalando obligatoriedad de aplicación a partir del 1 de junio de 2006. Conforme las Directrices , cada institución debe conformar su SEVRI, como responsabilidad de jerarca institucional. La Tesorería Nacional estableció metodología e instrumento para valoración de riesgo en al año 2006. El Ministerio de Hacienda estableció las orientaciones estratégicas para el SEVRI institucional en el año 2006, tomando como base el desarrollo metodológico de la TN.

Ley General de Control Interno VALORACIÓN DEL RIESGO Ley General de Control Interno Deberes del Jerarca y los Titulares Subordinados sobre VALORACIÓN DEL RIESGO c) Adoptar las medidas necesarias para el funcionamiento adecuado del sistema de valoración del riesgo y para ubicarse por lo menos en un nivel de riesgo organizacional aceptable. d) Establecer los mecanismos operativos que minimicen el riesgo en las acciones a ejecutar.

Sistema Específico de Valoración del Riesgo Institucional Se entenderá como Sistema Específico de Valoración del Riesgo Institucional al conjunto organizado de componentes de la Institución que interaccionan para la identificación, análisis, evaluación, administración, revisión, documentación y comunicación de los riesgos institucionales relevantes. .

Acciones y resultados

2.1 Definición de la metodología Basada en el método DELPHY (criterio experto) Revisión de riesgos por: Objetivos, áreas, sectores, actividades o tareas.. (procesos). Identificación Riesgos involucrados Nivel de Riesgo = Impacto x probabilidad Evaluación de controles existentes Adoptar medidas y concretar acciones para minimizar los riesgos. Seguimiento.

Valoración de Riesgo Matriz 1:Identificación de Riesgos Matriz 2: Evaluación de factores de riesgo Factores de Riesgos Probabilidad Impacto Nivel Riesgo Controles Existentes Acción Responsable Fecha cumplimiento Producto final

Valoración de Riesgo 3.- Completar la Matriz # 3 “Identificación y Seguimiento de Acciones ” Factores Riesgo Nivel Riesgo Acciones para minimizar riesgo Resultado esperado Estado de cumplimiento Justificación sobre el Estado de cumplimiento Responsable Fecha Cumplimiento

Un ejemplo

2.1 Metodología: Resultados A partir de la evaluación se identifican acciones que conforman plan de acción o de administración de riesgos Revisión periódica de la evaluación para actualizar valoraciones y eventualmente establecer nuevas acciones. Seguimiento a nivel institucional de las acciones.

2.2. Oficialización de Política Institucional para la Planificación y la Administración de los riesgos en procesos de TI. Junio 2011

2.3 Definición de mecanismo de evaluación periódico de la política institucional de riesgos TI Junio 2011 Objetivo Definiciones Ámbito de aplicación Roles y responsabilidades Operación Disposiciones finales

3. Resultados y acciones específicas Desarrollo de metodología de valoración de riesgo a partir de la investigación sobre experiencias en otras instituciones . Adopción de la metodología a nivel institucional MH. Aplicación de la metodología a nivel de la TN. ( base procesos sustantivos) Elaboración de plan de acción para los riesgos pertinentes. Ejecución de acciones establecidas en el plan: destacando adopción de sitio alterno para sistemas de información con garantía de continuidad 99.9%, definición de política de respaldo de la información, capacitación de funcionarios. Se migraron sistemas a centro de procesamiento de datos privado de clase mundial, certificado TIER 4 Actualización periódica de la evaluación de riesgos. Elaboración de Plan de Continuidad de Negocio para la DGI del MH. Plan de Continuidad de Negocio por parte del BCR y de los bancos cajeros auxiliares. Todos los bancos cajeros auxiliares disponen de sitios alternos y de un PCN.

3. Consideraciones Finales Se ha consolidado un enfoque conceptual de general aplicación debidamente formalizado en normativa y alineado con prácticas internacionales Complementariamente a la normativa general , con enfoque institucional en el MH se ha establecido una política formal debidamente estructurada. El instrumento de evaluación es una herramienta fundamental para que la política se operacionalice. Se han concretado acciones específicas de impacto que disminuyen riesgos operativos. El proceso está en desarrollo, aún tenemos retos importantes por delante y creemos que el enfoque institucional que se ha dado no solo es consecuencia del enfoque organizacional de la TI sino que genera importantes beneficios. Se valora el desarrollo o adquisición de una herramienta computadorizada más elaborada para realizar la valoración

Muchas gracias