BUSCAR
ÍNDICE
ACUERDO 423 DE 2007
(agosto 14)
Diario Oficial No. 46.743 de 6 de septiembre de 2007
INSTITUTO DE SEGUROS SOCIALES
Por medio del cual se aprueba el Manual de Políticas y Metodología para la Administración del Riesgo –Manual SARO– en el ISS.
EL CONSEJO DIRECTIVO DEL INSTITUTO DE SEGUROS SOCIALES,
en uso de las facultades legales, en especial las conferidas en los numerales 1 y 8 del artículo 12 del Decreto 461 de 1994, y
CONSIDERANDO:
Que mediante Circular Externa número 48 del 22 de diciembre de 2006, la Superintendencia Financiera de Colombia impartió a las entidades vigiladas las instrucciones relativas para la adopción de un Sistema de Administración de Riesgo Operativo (SARO), fijando las bases y lineamientos mínimos que deben implementarse para el desarrollo del SARO;
Que la Circular antes enunciada, adicionó el Capítulo XXII a la Circular Externa 100 de 1995, que se aplica en materia exclusiva a la administración de riesgo operativo;
Que el numeral 3.2.4.1 de la Circular Externa 048 de 2006, dispone que sin perjuicio de las funciones asignadas al órgano directivo, deberá además establecer las políticas generales relativas al SARO, aprobar el manual de riesgo operativo y sus actualizaciones;
Que en mérito de lo expuesto,
ACUERDA:
ARTÍCULO 1o. Aprobar el Manual de Políticas y Metodología para la Administración del Riesgo –Manual SARO– en el ISS, cuyo contenido es el siguiente:
“MANUAL DE POLÍTICAS Y METODOLOGÍA PARA LA ADMINISTRACIÓN DE RIESGOS EN EL ISS
INSTITUTO DE SEGUROS SOCIALES
Bogotá, D. C., agosto de 2007
PRESENTACION
El Instituto de Seguros Sociales, desde marzo de 2003, ha venido trabajando en el desarrollo de la cultura de la Gestión del Riesgo, los primeros pasos se dieron con la sensibilización que la Oficina de Control Interno realizó sobre el tema y la adopción de una matriz de riesgo complementada a la sugerida por el Departamento Administrativo de la Función Pública, aprovechando la fortalezas de algunas personas especializadas en el tema, que lo direccionaron con los parámetros generales de este organismo.
Esta guía pretende oficializar y estandarizar la metodología a aplicar para adelantar una efectiva gestión del riesgo en los procesos de la institución y convertirla en elemento fundamental para garantizar las metas y objetivos a través de la dinámica de autocontrol y auto evaluación, generando así su aplicación por cada líder de proceso y cada servidor de la entidad.
INTRODUCCION
El manejo de los riesgos, es un tema que se ha venido estudiando desde hace varios años en el mundo de los negocios, las grandes empresas y proyectos, con el fin de lograr eficientemente el cumplimiento de las metas y los objetivos planteados. La forma de abordar el tema es variada dependiendo de la complejidad y tipo de operaciones que se desarrollen.
La administración o gestión del riesgo como disciplina en el quehacer empresarial e incluso personal, se basa en una serie de estrategias que permiten mitigar, dispersar o prevenir la ocurrencia de hechos que puedan obstaculizar el logro de los objetivos o el cumplimiento de las funciones.
En la administración pública la Administración del Riesgo nace como obligación a partir del Decreto 1537 de 2001, como gestión de riesgo corporativo; aunque el enfoque de riesgo como rol de las Oficinas de Control Interno ya existía dentro de la práctica de las normas de auditorías nacionales e internacionales.
Los primeros pasos fueron presentados por el Departamento Administrativo de la Función Pública, mediante la Guía de Administración del Riesgo expedida en diciembre de 2001, en su primera versión y ajustada en julio de 2004; hoy encontramos esta guía actualizada en abril de 2006 para una tercera edición, en la cual se realizó un ajuste para enfocarla al nuevo Modelo Estándar de Control Interno –MECI–, adoptado mediante el Decreto 1599 de 2005, el cual empalma el Control Interno al MODELO COSO de 1992, así como la racionalización de trámites del Departamento Administrativo de la Función Pública.
En las vigencias de 2006 y 2007, el Instituto ha propendido por dinamizar la práctica de la gestión por riesgos, para ello ha considerado importante tomar como base, los estándares internacionales en el tema, que además fueron adoptados por la Norma Técnica Colombiana NTC 5254:2004, actualizada recientemente, sobre los que además han sido base para los lineamientos de los entes de control de la institución como la Superintendencia Financiera de Colombia a través de las Circulares Externas número 048 de diciembre de 2006 y número 041 de junio de 2007.
Políticas institucionales que rigen la gestión del riesgo
Definición
Son mecanismos de control, que se materializan en criterios orientadores para la toma de decisiones respecto al tratamiento de los riesgos al interior de la entidad pública; constituyen las guías de acción que le permitan a la organización, coordinar y administrar los eventos que puedan afectar su operación y el logro de sus objetivos.
Objetivos
Dotar al ISS de los parámetros que establezcan medidas de respuesta a los riesgos.
Definir, implementar, probar y mantener un proceso para administrar la continuidad del negocio que incluya elementos metodológicamente probados para identificar, analizar, valorar y tratar los riesgos de acuerdo con priorización y economía en términos de costo/beneficio.
Permitir un seguimiento periódico de los perfiles de riesgo, de las exposiciones a pérdidas y sobre los avances en el tiempo en el tratamiento de los riesgos tanto operativos como estratégicos, con informes periódicos de las diferentes instancias que participan en la Administración del Riesgo en el ISS.
Políticas institucionales generales
La Administración del Riesgo dentro del Instituto de Seguros Sociales, hace parte esencial e integral de la gestión administrativa y dentro de este propósito se busca el cumplimiento de su misión, el cumplimiento de los objetivos y el alcance de metas, el fortalecimiento del Control Interno, el mejoramiento de la actividad administrativa, el cumplimiento de los lineamientos y el logro de los objetivos estratégicos, en aras de la transparencia y la probidad en las actuaciones, con fundamento en los principios señalados en el artículo 209 de la Constitución Política de 1991.
La Administración del Riesgo, por sus características y beneficios será de obligatoria ejecución y cumplimiento; deberá incluirse dentro de la concertación de objetivos para la evaluación del desempeño y dentro de los planes operativos anuales como compromiso institucional.
El Sistema de Administración del Riesgo deberá estar alineado con el plan estratégico, con los demás sistemas de gestión del Instituto, como el Sistema de Gestión de la Calidad, el Sistema de Desarrollo Administrativo, y con los demás componentes del Sistema de Control Interno.
La identificación de los principales factores de riesgo debe estar asociada con el ejercicio de las funciones administrativas, tanto gerenciales como misionales; debe señalar cómo se manifiestan los riesgos, su descripción y valoración, estableciendo la mejor manera de prevenirlos y combatirlos, para lo cual se deberá:
a) Impulsar en el Instituto, la cultura en materia de Administración del Riesgo, para ello la entidad en cada uno de sus niveles mantendrá el control sobre el estado de los riesgos y los tratamientos relacionados con los procesos de que son responsables, desde el nivel nacional hasta el seccional;
b) Verificar periódicamente el cumplimiento de las responsabilidades establecidas para cada uno de los roles propuestos en este manual y demás funcionarios que participen en la Administración del Riesgo;
c) Asegurar el cumplimiento de las normas internas y externas relacionadas con la Administración del Riesgo, aplicando para ello los estándares internacionales y las normas promulgadas por los entes competentes en Colombia, sobre la materia;
d) Permitir la prevención de conflictos de interés en la obtención de información en las diferentes etapas de la Administración del Riesgo, especialmente para el registro de eventos de riesgo;
e) Permitir la identificación de los cambios en los controles y los perfiles de riesgo;
f) Generar el registro de eventos en el cual se garantice la integridad, oportunidad, confiabilidad y disponibilidad de la información allí contenida;
g) Desarrollar e implementar planes de continuidad del negocio;
h) Implementar e instrumentar las diferentes etapas y elementos de la Administración del Riesgo;
i) Adoptar como media de seguimiento, la realización de una revisión semestral sobre el estado de la gestión de riesgos en la entidad;
j) Realizar y actualizar periódicamente este manual, así como divulgar los cambios para que permita conocer oportunamente las modificaciones correspondientes;
k) Mantener la metodología para la identificación, medición y control frente a la Administración del Riesgo.
Responsables de la Administración del Riesgo en el ISS
Las instancias y sus funciones son las que para el efecto defina del Consejo Directivo mediante acuerdo y el Presidente mediante resolución conforme con sus atribuciones legales.
Objetivos y elementos de la del Riesgo
Objetivo general
El Sistema de Administración del Riesgo en el Instituto de Seguros Sociales tendrá como objetivo principal la fijación de políticas, procesos y procedimientos, criterios, registros, controles, estrategias y la estructura organizacional requeridos para eliminar, mitigar, trasladar o compartir los riesgos que puedan afectar el normal desarrollo de la misión institucional.
Objetivos específicos
-- Crear una cultura de administración y evaluación de riesgos, consolidado en un ambiente de control adecuado para el Seguro Social.
-- Definir una orientación clara y planeada frente a la Administración del Riesgo.
-- Difundir los conocimientos base necesarios para la identificación y evaluación del riesgo.
-- Establecer dentro de los procesos y procedimientos las acciones de mitigación frente a la Administración del Riesgo.
-- Generar la participación de los colaboradores del Seguro Social en la Prevención y Administración del Riesgo.
-- Garantizar la promulgación y el cumplimiento de las políticas de Administración del Riesgo para el Seguro Social.
-- Integrar los diferentes procesos institucionales que conllevan a la efectiva Administración del Riesgo.
Aspectos a tener en cuenta para implementar la Gestión o Administración del Riesgo en el ISS
Para la implementación y mantenimiento de la Administración del Riesgo del Instituto de Seguros Sociales se deberá tener en cuenta:
a) Las políticas o lineamientos generales establecidos en el presente acuerdo;
b) Los procedimientos aplicables para la adecuada implementación y funcionamiento del Sistema de Administración del Riesgo, constituida por este manual, los documentos y registros que evidencien la operación efectiva del Sistema y los informes al Consejo Directivo, Presidente, órganos de control y responsables de la implantación y seguimiento del Sistema;
c) El área definida como responsable para coordinar la implementación, puesta en marcha y seguimiento del Sistema de Administración del Riesgo;
d) Los registros de eventos del riesgo, que incluya como mínimo en los términos establecidos por la Superintendencia Financiera;
e) La plataforma tecnológica que se adquiera o desarrolle para garantizar la adecuada Administración del Riesgo;
f) La divulgación de la información interna y externa, en los términos establecidos por la Superintendencia Financiera;
g) Los planes de capacitación sobre el Sistema de Administración del Riesgo, los cuales se deberán diseñar, programar y coordinar de acuerdo con los parámetros establecidos por la Superintendencia Financiera y deberán dirigirse a todas las áreas y funcionarios del Instituto, así como a las personas o entidades con las que el ISS contrate la realización de sus procesos.
Marco legal
h) Constitución política de Colombia. Artículos 209 y 269;
i) Ley 87 de 1993, por la cual se establecen normas para el ejercicio del control interno en las entidades y organismos del Estado y se dictan otras disposiciones, artículo 2o, literal a). “Proteger los recursos de la organización, buscando su adecuada administración ante posibles riesgos que los afectan”. (Artículo 2o, literal f). “Definir y aplicar medidas para prevenir los riesgos, detectar y corregir las desviaciones que se presenten en la organización y que puedan afectar el logro de los objetivos”;
j) Ley 489 de 1998. Estatuto Básico de Organización y Funcionamiento de la Administración Pública;
k) Decreto 1826 - 1994 Reglamentan Ley 87 de 1993;
l) Decreto 2145 de 1999, por el cual se dictan normas sobre el Sistema Nacional de Control Interno de las Entidades y Organismos de la Administración Pública del Orden Nacional y Territorial y se dictan otras disposiciones. Modificado parcialmente por el Decreto 2593 del 2000;
m) Decreto 1537 de 2001, por el cual se reglamenta parcialmente la Ley 87 de 1993 en cuanto a elementos técnicos y administrativos que fortalezcan el Sistema de Control Interno de las entidades y organismos del Estado que en el parágrafo del artículo 4o señala los objetivos del Sistema de Control Interno (...) define y aplica medidas para prevenir los riesgos, detectar y corregir las desviaciones...y en su artículo 3o establece el rol que deben desempeñar las Oficinas de Control Interno (...) que se enmarca en cinco tópicos (...) valoración de riesgos. Así mismo establece en su artículo 4o la Administración del Riesgo, como parte integral del fortalecimiento de los Sistemas de Control Interno en las entidades públicas (...);
n) Decreto 188 de 2004, por el cual se modifica la estructura del Departamento Administrativo de la Función Pública y se dictan otras disposiciones;
o) Decreto 1599 de 2005, por el cual se adopta el Modelo Estándar de Control Interno para el Estado colombiano y se presenta el Anexo Técnico del MECI 1000:2005;
p) Directiva Presidencial 09 de 1999, lineamientos para la implementación de la política de lucha contra la corrupción;
q) Circular Externa número 048 de 2006 - Superintendencia Financiera de Colombia;
r) Circular Externa número 041 de 2007 - Superintendencia Financiera de Colombia.
Elementos principales de la Administración del Riesgo
Los elementos principales que conforman el proceso de Administración del Riesgo son:
-- Establecimiento del contexto.
-- Identificación de riesgos.
-- Análisis de riesgos.
-- Evaluación de riesgos.
-- Tratamiento de riesgos.
-- Comunicación y consulta.
-- Monitoreo y revisión
La relación entre estos elementos se representan en la siguiente gráfica:
Gráfico No. 1
Establecimiento del contexto
Es la definición de la relación entre la organización y su entorno, identificando las fortalezas, debilidades, oportunidades y amenazas de la organización. El contexto incluye los aspectos financieros, operativos, competitivos, políticos (percepciones públicas/imagen), sociales, de clientes, culturales y legales de las funciones de la organización.
Consiste en entender la organización, sus objetivos, estrategias, capacidades y habilidades, así como identificar todos aquellos objetos (áreas procesos, proyectos) de la organización a las cuales podría aplicar un análisis de riesgo.
Permite a través del conocimiento del entorno y de la organización, establecer las políticas y criterios generales que serán utilizados para implementar el enfoque de Administración del Riesgo en cualquier área de la organización.
Se debe establecer el contexto externo e interno del ISS, así como el contexto específico que aplica para cada proceso o parte de la entidad, antes de continuar con el desarrollo de los elementos de identificación, análisis, evaluación, tratamiento y monitoreo de riesgos.
Contexto externo o estratégico
Define los parámetros básicos dentro de los cuales los riesgos serán administrados, y el alcance del resto del proceso de Administración del Riesgo.
Permite entender el entorno en el que opera el Instituto, definiendo las relaciones de la entidad con su ambiente externo de negocios para identificar oportunidades y amenazas, incluyendo los aspectos financieros, operativos, competitivos, políticos (percepción pública y de imagen), sociales, de clientes, culturales y legales.
Es necesario identificar las partes externas interesadas o stakeholders externos, considerando sus objetivos, expectativas y percepciones, para establecer las políticas de comunicación con ellos.
Contexto interno u organizacional
Consiste en conocer la entidad y sus capacidades, sus metas y objetivos y las estrategias vigentes para lograrlos.
Permite identificar fortalezas y debilidades, teniendo en cuenta aspectos tales como la capacidad directiva, financiera, operativa, tecnológica, competitiva y de talento humano.
Es necesario identificar las partes internas interesadas o stakeholders internos, considerando sus objetivos, expectativas y percepciones, para establecer las políticas de comunicación con ellos. Definir el contexto interno antes de comenzar el estudio de Administración del Riesgo es importante por las siguientes razones:
-- La Administración del Riesgo se desarrolla en el contexto de los objetivos, metas y estrategias de la organización.
-- Los eventos que impidan o dificulten el logro de las metas o el cumplimiento de los objetivos del Instituto, son los principales riesgos que deben ser administrados.
-- Las políticas y metas de la organización ayudan a definir los criterios mediante los cuales se decide si un riesgo es aceptable o no, y constituye la base para las opciones de tratamientos.
-- Los objetivos específicos y los riesgos de los procesos, actividades y proyectos críticos, deben ser considerados a la luz de los objetivos del Instituto como un todo.
Contexto específico
Corresponde al contexto del área, actividad, proceso o parte de la entidad sobre la cual se aplicará el proceso de Administración del Riesgo.
Debido a que el Instituto ha adoptado un enfoque de operación basado en procesos, para cada uno de los procesos se deben tener en cuenta los siguientes aspectos:
-- Establecer los objetivos generales y específicos del proceso (deben tomarse de las definiciones contenidas en el manual de cada proceso).
-- Establecer la interrelación del proceso con los demás de la Entidad (identificación de los stakeholders del proceso).
-- Delimitar la actividad de inicio y de finalización del proceso.
-- Realizar desagregación del proceso en actividades macro.
-- Identificar las debilidades y fortalezas del proceso.
-- Definir el responsable o responsables del proceso.
Identificación de riesgos
Definición de Riesgo: Para efectos de la aplicación de este Manual se tendrá en cuenta la definición del Departamento Administrativo de la Función Pública, que lo define como “toda posibilidad de ocurrencia de una situación que pueda entorpecer el normal desarrollo de las funciones de la Entidad y le impidan el logro de sus objetivos” concordante con la norma australiana AS/NZS 4360 sobre gestión del riesgo, retomada por Colombia en la Norma NTC-5254, que lo define como “la posibilidad de que suceda algo que tendría impacto en los objetivos. Se mide en términos de consecuencia y posibilidad de ocurrencia”.
La Identificación del Riesgo, por su parte, consiste en identificar los hechos como base para posterior análisis mediante el establecimiento de un marco de acción específico que permita entender el objeto sobre el cual se aplicará el proceso de Administración del Riesgo. Consiste además en definir los criterios específicos del análisis de riesgos y determinar el nivel de aceptación del riesgo que la institución está dispuesta aceptar para este proceso.
La Identificación de Riesgos le permitirá al ISS, poder describir el riesgo, definir sus características, los agentes generadores, las causas y los efectos para los Macroprocesos, Procesos/Subprocesos y Actividades de la Entidad, permitiendo, de esta forma, establecer un marco de acción específico para entender el objeto sobre el cual se aplicará el proceso de Administración del Riesgo. Consiste además en definir los criterios específicos del análisis de riesgos y determinar el nivel de aceptación del riesgo que la institución está dispuesta a aceptar para este proceso.
Mediante el establecimiento de un marco de acción específico que permita entender el objeto sobre el cual se aplicará el proceso de Administración del Riesgo.
La identificación responde al ¿QUÉ?, ¿COMO? ¿Y PORQUÉ? se pueden originar los hechos como base para posterior análisis.
Los pasos para la identificación del riesgo, son los siguientes:
-- Identificar áreas de impacto.
-- Identificar fuentes de riesgo.
-- Realizar la identificación detallada de los riesgos.
-- Documentar los riesgos.
Identificación de áreas de impacto
Dentro del proceso de identificación de riesgos, el primer paso consiste en identificar las áreas de impacto para cada uno de los procesos analizados.
Se entiende como área de impacto todo objeto en riesgo que corresponde a un recurso, bien u oportunidad a la cual la organización le debe asignar un valor, y cuya afectación podría comprometer el cumplimiento de sus objetivos y metas. Por este motivo, las áreas de impacto deben ser protegidas o maximizadas.
A continuación se presenta una clasificación de las áreas de impacto. Esta clasificación también se conoce con el nombre de “áreas de impacto genéricas”:
-- Activos y recursos básicos.
-- Costos de actividades.
-- Desempeño.
-- Intangibles.
-- Ingresos y derechos.
-- Personas o Comunidad.
-- Programación de Actividades.
-- Clima Organizacional.
-- Recursos de tecnología de la información.
Como puede observarse, los recursos de tecnología de la información se presentan aparte, a pesar de estar comprendidos dentro de los activos y recursos básicos, debido a sus características particulares.
Gráfico No. 3
Para identificar las áreas de impacto, se debe tomar cada una de las áreas de impacto genéricas y determinar las que se dan en el proceso analizado, personalizándolas de acuerdo con los procedimientos internos de la Entidad.
Todas las áreas de impacto se deben tener en cuenta. Cualquier área descartada por alguna razón, debe ser registrada para asegurar que luego no sea omitida u olvidada.
Ejemplo: Si se toma el proceso Activos Fijos, algunas de las áreas de impacto identificadas serían: Bienes en servicio, Software SCAF e Información incluida en el sistema.
A continuación se detallan un poco más las áreas de impacto genéricas:
Activos y recursos básicos
-- Activos: (Bienes físicos y derechos de la Institución tales como cuentas por cobrar, patentes, licencias, derechos de autor).
-- Pasivos: Deudas con terceros.
-- Capital: Es la deuda de la Entidad con sus dueños.
-- Recursos de Tecnología de Información (TI):
-- Recurso o Talento Humano: Empleados, Contratistas civiles.
Costos de actividades
Costos directos, Costos indirectos, Costo de reposición y/o Reconstrucción, Indemnizaciones. Sanciones.
Desempeño
Productividad, calidad.
Intangibles
Conocimiento, reputación, good will, confianza, seguridad.
Ingresos y derechos
Ventas, comisiones, intereses, regalías.
Personas o comunidad
Afiliados, vecinos o transeúntes, localidad, ciudad, país, balance social.
Programación de Actividades
Nuevos productos, inversiones de oportunidad, innovación tecnológica.
Clima Organizacional
Valores éticos, moral empleados, accountability (contabilización adecuada), estabilidad.
Activos de Tecnología de Información
Información, archivos de datos y bases de datos, documentación de sistemas, manuales de usuarios, archivos de imágenes, innovación tecnológica, documentación sistemas, documentación procedimientos operacionales y soporte, documentación planes de contingencia.
Software: Aplicativos, software operacional, de comunicaciones, de desarrollo y utilitarios.
Activos físicos: Equipos de computación y telecomunicaciones, medios magnéticos, unidades de suministro de energía, aire acondicionado, instalaciones físicas.
Documentos en papel: Contratos, guías, documentación de la empresa, documentación de resultados importantes para el negocio.
Comerciales: Reputación e imagen de la empresa.
Identificación de las fuentes de riesgo
El segundo paso para identificar los riesgos, consiste en identificar la fuente de riesgo es decir, todo individuo, grupo humano, entidad, elementos físicos o fenómeno del entorno de los cuales se pueden derivar eventos que podrían afectar las áreas de impacto (objetos en riesgo del Seguros Social cuya ocurrencia se puede evitar (minimizar o maximizar) para incrementar la posibilidad del logro de los objetivos y metas.
A continuación se presenta una clasificación de fuentes de riesgo, basadas en el estándar internacional AS/NZS: 4360. Esta clasificación también se conoce con el nombre de “fuentes de riesgo genéricas”:
-- Relaciones comerciales y legales.
-- Comportamiento del talento o recurso humano.
-- Circunstancias políticas y legislativas.
-- Actividades y controles gerenciales.
-- Circunstancias económicas (internas y externas).
-- Eventos naturales.
-- Aspectos tecnológicos y técnicos (internas y externos).
-- Actividades individuales.
Gráfico No. 4
Para identificar las fuentes de riesgo se debe tomar cada una de las fuentes de riesgo genéricas y determinar las que pueden presentarse en el proceso analizado, personalizándolas de acuerdo con los procedimientos internos de la Entidad.
Todas las fuentes de riesgo se deben tener en cuenta. Cualquier fuente de riesgo descartada por alguna razón se debe registrar para asegurar que luego no sea omitida u olvidada.
Para el proceso Activos Fijos que se tomó como ejemplo se tendría entonces:
Áreas de Impacto: Bienes en servicio, Software SCAF, información incluida en el sistema.
Fuentes de Riesgo: Responsable a cargo de los bienes en servicio, funcionario responsable de la digitación de documentos en el sistema.
A continuación se detallan un poco más las fuentes de riesgo genéricas:
Relaciones comerciales y legales
-- Competencia.
-- Proveedores de bienes o servicios de la Entidad.
-- Entidades financieras.
-- Afiliados (cotizantes y sus beneficiarios, empleadores, pensionados).
Comportamiento del talento o recurso humano
-- Sindicatos.
-- Asociaciones de usuarios, agremiaciones de empleados.
-- Grupos de presión y manifestaciones.
-- Afiliados (cotizantes y sus beneficiarios, empleadores).
Circunstancias políticas y legislativas
-- Presencia de guerrilla o grupos armados fuera de la ley.
-- Organos legislativos.
-- Inseguridad o incertidumbre jurídica.
Actividades individuales y gerenciales (intencionales o no intencionales)
-- Directivos y empleados (errores o delitos).
-- Allegados o familiares de Directivos y empleados.
-- Personas ajenas a la institución como bandas o mafias organizadas, hackers (intrusos sin malas intenciones, curiosidad, ataques no específicos); crakers (intrusos con malas intenciones o ataques premeditados).
Circunstancias económicas
-- Banca y organismos de economía mundial.
-- Banco Emisor y reguladores locales como Superintendencia Nacional de Salud, Superintendencia Financiera de Colombia.
-- Fenómenos macroeconómicos como la inflación, el desempleo y Macroeconómicos como la solidez, la liquidez, la demanda del aseguramiento en los tres negocios en la institución, etc.
-- Mercado de valores.
Eventos naturales
-- Fenómenos climáticos.
-- Fenómenos eléctricos.
-- Fenómenos sísmicos.
-- Fenómenos marítimos.
Aspectos Tecnológicos y Técnicos (internos o externos)
-- Datos.
-- Aplicativos.
-- Plataforma tecnológica (software operativo, hardware, equipos de soporte, telecomunicaciones.
-- Instalaciones (estructurales, eléctricas, hidráulica, equipos de refrigeración, telefónicas).
Realizar la identificación detallada de los riesgos
Gráfico No. 5
Técnicas para identificar los Riesgos:
Matriz de fuentes y Áreas Impacto
Escenario: Proceso / Actividad / Proyecto / Localidad.. (3) Dónde ?
Dentro del elemento “Establecer el Contexto” se identificó el proceso, su objetivo, metas, sus áreas de impacto y fuentes de riesgo. Ahora es necesario continuar con la identificación detallada del riesgo.
Para hacer la identificación detallada del riesgo se toma el área de Impacto y se pregunta QUÉ LE PODRÍA OCURRIR (consecuencia o efecto) por la actuación una fuente de riesgo determinada.
Continuando con el ejemplo de activos fijos, debe preguntarse QUÉ LE PODRÍA OCURRIR (consecuencia o efecto) al área de impacto “bienes en servicio” por la falta de cuidado o conservación del responsable de estos (fuente de riesgo). Teniendo en cuenta que el objetivo del proceso Activos Fijos es el registro, identificación, ubicación y conservación de estos para el cabal desarrollo de las funciones de la Entidad, se puede encontrar que el BIEN EN SERVICIO podría perderse por robo o por sustracción, sufrir deterioro o desmantelamiento debido a la falta de cuidado o de diligencia del responsable, ya sea intencional o no intencional. En este caso, algunos de los riesgos identificados serían: pérdida de activos, deterioro, desmantelamiento.
Para optimizar la identificación detallada de riesgos se debe:
-- Descomponer los procesos a los niveles mínimos de desagregación requerida e identificar los riesgos del negocio en los procesos de mayor nivel.
-- Excluir los subprocesos y actividades propias de control (Excepto si en el subproceso se materializan riesgos inherentes relevantes).
-- Utilizar los subprocesos de menor nivel, solo como referencia para ubicar los puntos de origen y materialización de las causas.
-- Analizar cada área de impacto con relación a todas las fuentes de riesgo iniciando por la de mayor impacto en los objetivos y metas (o viceversa).
-- Revaluar las áreas de impacto y fuentes de riesgo previamente identificadas.
-- Identificar todos los riesgos reales o potenciales posibles, estén o NO, aparentemente bajo el control de la organización.
-- Identificar solo los riesgos que se materialicen dentro del contexto específico.
-- Describir en detalle cada riesgo con todos sus componentes.
-- Procurar no describir desviaciones del control como riesgos o causas.
-- Integrar riesgos con la misma área de impacto y cuyas causas y sus posibles controles sean similares.
-- Integrar riesgos con diversas áreas de impacto, cuyas causas sean similares.
-- Verificar que ningún riesgo esté antecedido por las palabras: ausencia de, falta de, poco(a), escaso(a) o que corresponda a deficiencias de control. En caso de que esto ocurra se debe eliminar, ya que no está correctamente identificado o analizar si es una causa.
-- Tener en cuenta que un riesgo puede tener más de un efecto o consecuencia, tales como: lesiones, fallecimientos, sanciones, daño de la información, pérdidas económicas, daño de bienes-interrupción de servicios, daño de imagen, daño al ambiente, pérdida de mercado.
-- Verificar que ningún riesgo sea igual a un efecto. En caso que esto ocurra, se debe eliminar el riesgo o replantearlo.
Las CONSECUENCIAS o IMPACTOS sobre las áreas de impacto pueden ser cuantificables o no cuantificables:
Consecuencias cuantificables:
-- Pérdida de activos/ Pasivos/Capital (quiebra).
-- Pérdida de vidas (Comunidad).
-- Pérdida de Mercado (Clientes/prospectos).
-- Costos por reposición o reconstrucción.
-- Pérdida de Ingresos (Por Aportes/Recobros/Rendimientos).
-- Pérdida de Ingresos por Derechos de Autor.
-- No aprovechamiento de oportunidades/fortalezas.
-- Sanciones legales (Nacionales o Internacionales).
-- Indemnizaciones.
-- Costos excesivos.
Consecuencias no cuantificables - intelectuales (Soft Loss):
-- Talento Humano (Conocimiento).
-- Propiedad Intelectual.
-- Tecnología Innovadora.
-- Servicios.
-- Reputación.
-- Investigación y Desarrollo.
-- Pérdida de Imagen.
-- Pérdida de Good Hill.
-- Pérdida de Confianza.
-- Seguridad.
-- Estabilidad
-- Beneficios a la Comunidad.
Las CAUSAS (que responden al PORQUÉ, QUÉ y CÓMO lo hace la fuente de riesgo) pueden ser intencionales (deliberadas) o no intencionales (accidentales):
-- Obtener ventajas competitivas deshonestas (Competencia).
-- Inviabilidad económica de los proveedores (Proveedores).
-- Precios superiores a la competencia (Costos/competencia).
-- Acceso accidental o doloso a sistemas, aplicativos o a información sensible por parte de empleados o terceros (Hackers).
-- Iliquidez (Costos/Carga impositiva/Acceso a Bancos).
-- Recursos no disponibles cuando se requieren (Proveedores).
-- Tiempo suspensión servicio de TI (total - parcial) (Errores).
-- Desmotivación (Decisiones Gerenciales).
-- Pérdida de pertenencia (Decisiones Gerenciales).
-- Resistencia al cambio (Recursos Humanos).
Documentar los riesgos
La documentación de un riesgo implica la definición de cada uno de los siguientes elementos:
-- Area: Función asignada con el riesgo (unidad, proceso, actividad, transacción).
-- Descripción: corta y detallada: (qué, por qué, cómo, cuándo, dónde).
-- Categoría: según naturaleza/área de impacto/fuente/regulación/etc.
-- Propietario: Responsable de administrarlo.
-- Controles: que mitigan el riesgo.
-- Valoraciones del riesgo: (absoluta/con controles/con tratamiento).
-- Escalas de consecuencias/probabilidades a ser consideradas.
-- Criterios de aceptación de alta gerencia (tolerancia al riesgo).
-- Eventos de pérdida históricos.
-- Objetivos del negocio que podrían ser afectados y cómo podrían ser afectados.
-- Tratamientos en procesos (evaluación/implementación).
Resumen del proceso de identificación de riesgos
A continuación se resume gráficamente el proceso de identificación de riesgos, utilizando como ejemplo el proceso de adquisiciones:
Gráfico No. 6
Gráfico No. 7
Categorización de los riesgos
Los organismos nacionales e internacionales, según su especialidad, han dividido los riesgos en categorías para un mejor entendimiento, algunas son:
Riesgo estratégico
Se asocia con la forma en que se administra el ISS. El manejo del riesgo estratégico se enfoca a asuntos globales relacionados con la misión y el cumplimiento de los objetivos estratégicos, la clara definición de políticas, diseño y conceptualización de la Entidad por parte de la alta gerencia.
Riesgo operativo
Se entiende por Riesgo Operativo, la posibilidad de incurrir en pérdidas por deficiencias, fallas o inadecuaciones, en el recurso humano, los procesos, la tecnología, la infraestructura o por la ocurrencia de acontecimientos externos. Esta definición incluye el riesgo legal de custodia y reputacional, asociados a tales factores.
Riesgo legal o de cumplimiento
Es la posibilidad de pérdida en que incurre la Entidad al ser sancionada, multada u obligada a indemnizar daños como resultado del incumplimiento de normas o regulaciones y obligaciones contractuales.
Riesgo de custodia
Es la posibilidad de pérdida en que se incurre por la pérdida de los valores mantenidos bajo custodia debido a la insolvencia, negligencia o a una acción fraudulenta del custodio.
Es la posibilidad de pérdida en que se incurre por desprestigio, mala imagen, publicidad negativa, cierta o no, respecto de la Institución y sus prácticas de negocios, que cause pérdida de clientes, disminución de ingresos o procesos judiciales.
Riesgo financiero
Se relaciona con el manejo de los recursos, que incluye, la ejecución presupuestal, la elaboración de los estados financieros, los pagos, manejo de excedentes de tesorería y el manejo sobre los bienes de la Entidad. De la eficiencia y transparencia en el manejo de los recursos, así como su interacción con las demás áreas dependerá en gran parte el éxito o fracaso de esta.
Riesgo de tecnología
Se asocian con la capacidad para que la tecnología disponible satisfaga las necesidades actuales y futura de la Entidad y soporte el cumplimiento de la misión.
Análisis de riesgos
En esta etapa se busca obtener el entendimiento y conocimiento de los riesgos identificados de tal manera que se pueda recopilar información que permita el cálculo del nivel de riesgo al cual está expuesto el objeto en la actualidad, identificar los controles existentes implementados para mitigar el impacto ante la ocurrencia de los riesgos, permitiendo de esta manera valorar los niveles de riesgo, la efectividad de los controles.
El objetivo del análisis de riesgo es llegar a determinar el Nivel de Riesgo, para ello deben identificarse las gestiones, sistemas técnicos y procedimientos para controlar el riesgo y evaluar las fortalezas y debilidades de cada uno; se puede realizar a través de herramientas y técnicas como las listas de chequeo, lluvia de ideas, análisis de sistemas, análisis de escenarios. Esta parte del análisis es denominada Valoración de Riesgos con Controles; como se muestra en el siguiente gráfico.
Gráfico No. 8
Análisis / Valoración de Riesgo: Estimación
Consecuencia o Impacto
Es el resultado de un evento (Causa) expresado cualitativa o cuantitativamente, sea este una pérdida, perjuicio, desventaja o ganancia.
Podría haber más de una Consecuencia derivada de un evento.
-- Las Consecuencias son consideradas en relación con las áreas de Impacto (Objetos a Riesgo) que podrían afectar el logro de los objetivos y metas.
-- Los eventos pueden tener una simple ocurrencia o una serie de ocurrencias.
Tabla No. 1
| Consecuencia | Valor |
| Catastrófica | 5 |
| Mayor | 4 |
| Moderada | 3 |
| Menor | 2 |
| Insignificante | 1 |
Para evitar subjetividades es fundamental establecer para cada calificación de la CONSECUENCIA los criterios de calificación de CATASTROFICA (calificación 5), MAYOR (calificación 4), MODERADA (calificación 3), MENOR (calificación 2) e INSIGNIFICANTE (calificación 1); pero las consecuencias, independientemente pueden ser de diferente tipo, para la metodología que se adopta se clasifican en tres: de RECURSO HUMANO, ECONOMICAS y de REPUTACION, de acuerdo con la siguiente tabla:
Tabla No. 2
| RANGO CONSECUENCIA | RECURSOS HUMANOS | PÉRDIDAS ECONOMICAS | PÉRDIDA DE REPUTACION | VALOR |
| CATASTROFICO | Pérdida de la vida humana o incapacidad total | Pérdida mayores a $200.000 millones. | Afectación de la imagen a nivel nacional. | 5 |
| MAYOR | Pérdida de miembros superiores. Incapacidad entre 3 y 6 meses | Pérdida entre $10.000 y $200.000 millones. | Afectación de la imagen a nivel de departamentos tipo A o internamente en toda la organización. | 4 |
| MODERADO | Pérdida de miembros inferiores o incapacidad entre 2 y 3 meses | Pérdida entre $1.000 y $10.000 millones. | Afectación de la imagen a nivel de departamentos tipo B. | 3 |
| MENOR | Pérdida parcial de miembros inferiores o superiores, o incapacidad entre 1 y 2 meses. | Pérdida entre 50 y 1.000 millones. | Afectación de la imagen a nivel de departamentos tipo C. | 2 |
| INSIGNIFICANTE | Incapacidad menor a un mes. | Pérdida menor a $50 millones. | Afectación de la imagen a nivel de un área. | 1 |
Al calificar el IMPACTO O CONSECUENCIA del riesgo, debe tenerse en cuenta que debe hacerse por el tipo de esta que prevalezca, es decir, de Recurso Humano, Pérdida Económica o Pérdida de Reputación.
Probabilidad
Se utiliza como una descripción general de probabilidad, frecuencia o posibilidad.
Probabilidad: Es la posibilidad de un evento específico o resultado, medido por la rata de eventos específicos o resultados sobre el número total de posibles eventos o resultados. (rango entre 0 y 1 o porcentaje).
Frecuencia: Es una medida del coeficiente de ocurrencia de un evento expresado como la cantidad de ocurrencias de un evento en un tiempo dado (una vez cada día, una vez cada semana, una vez cada 15 días, una vez cada mes, etc.).
Posibilidad: Expresión cualitativa de la probabilidad.
Para efectos de la metodología explicada en el presente manual, se utilizará la siguiente tabla para su medición:
Tabla No. 3
| Probabilidad | Valor |
| Casi Cierta | 5 |
| Muy probable | 4 |
| Moderada | 3 |
| Poco Probable | 2 |
| Rara | 1 |
Tipos generales de probabilidad
Tabla No. 4
| RANGO PROBABILIDAD | POSIBILIDAD | PROBABILIDAD MATEMATICA | FRECUENCIA | VALOR |
| CASICIERTA | Ocurra la mayoría de veces | Mayor o igual 0.5 y menor o igual que 1.0 | Error cada 2 operaciones | 5 |
| MUY PROBA | Posiblemente ocurre varias veces | Mayor o igual 0.1 y menor que 0.5 | Error cada 10 operaciones | 4 |
| MODERADA | Alguna posibilidad de que el evento ocurra | Mayor o igual que 0.02 y menor que 0.1 | Error cada 100 operaciones | 3 |
| POCO | Insignificante posibilidad de que el evento ocurra | Mayor o igual que 0.01 y menor que 0.02 | Error cada 1.000 operaciones | 2 |
| RARA | Puede ocurrir en circunstancias excepcionales | Menor que 0.001 | Error cada 10.000 operaciones | 1 |
La calificación de la PROBABILIDAD en cada uno de los rangos: CASI CIERTA (Calificación 5), MUYPROBABLE (Calificación 4), MODERADA (Calificación 3), POCO PROBABLE (Calificación 2), RARA (calificación 1); puede medirse en términos MATEMATICOS (0 a 1) y de FRECUENCIA según el número de errores por determinado número de operaciones como se muestra en la tabla anterior.
Nivel de severidad
El nivel de severidad se obtiene al multiplicar el impacto por la probabilidad. El resultado se reflejará en una matriz como la que se muestra a continuación:
Grafico No. 9
Tabla No. 5
Para la consecuencia y la probabilidad se adopta una calificación en 5 categorías, así para cada para dar origen a 4 Niveles de Severidad, como sigue:
Determinación de Niveles de Severidad:
Cuadrantes en que se originan los Niveles de Severidad
Gráfico No. 10
Se consideran cuatro niveles de severidad, los cuales se reflejan en la matriz resultante de multiplicar Consecuencia por probabilidad, como se observa en seguida:
DEFINICIÓN DE CADA NIVEL DE SEVERIDAD
Tabla No. 6
| EXTREMA | Riesgo extremo, se requiere acción inmediata. Planes de tratamiento requeridos, implementados y reportados a la Junta de Directores y al Presidente. |
| ALTA | Riesgo Alto, requiere atención de la alta gerencia. de tratamiento requeridos, implementados y reportados a los gerentes de unidades. |
| MODERADA | Riesgo Moderado, la responsabilidad gerencial debe ser especificada. Riesgo aceptable – Administrado con procedimientos normales de control. |
| BAJA | Riesgo Bajo, se administra con procedimientos rutinarios. insignificante no se requiere ninguna acción. |
La Matriz de Evaluación y Respuesta a los Riesgos, de acuerdo con el análisis del significado de la posición del riesgo en la Matriz, según la celda que ocupa, aplicando los siguientes criterios:
-- Si el riesgo se ubica en la Zona de Riesgo Aceptable, significa que su probabilidad o frecuencia es baja y su consecuencia o impacto es leve, lo cual permite a la Entidad aceptarlo, es decir, el riesgo se encuentra en un nivel que puede asumirse sin necesidad de tomar otras medidas de control diferentes a las que se poseen.
-- Si el riesgo se ubica en la Zona de Riesgo Inaceptable, su probabilidad o frecuencia es alta y su gravedad catastrófica, por tanto, es aconsejable eliminar la actividad que genera el riesgo en la medida que sea posible, de lo contrario se deben implementar controles de Prevención para reducir la probabilidad del riesgo, de Protección para disminuir la gravedad o Compartir el riesgo si es posible a través de pólizas de seguros u otras opciones que estén disponibles.
-- Si el riesgo se sitúa en cualquiera de las otras zonas (riesgo tolerable, moderado o importante) se deben tomar medidas para llevar los Riesgos a la Zona Aceptable o Tolerable, en lo posible. Las medidas dependen de la celda en la cual se ubica el riesgo, así: los Riesgos de consecuencia leve y probabilidad alta se previenen; los Riesgos con consecuencia moderada y probabilidad leve, se protege la entidad y se comparte el riesgo, si es posible; también es posible combinar estas medidas con prevención cuando el riesgo presente una probabilidad alta y media, y el consecuencia sea moderada o catastrófica.
-- En los casos en los cuales se comparte la pérdida ocasionada por un riesgo a través de los contratos de seguros, la Entidad debe tener en cuenta que asume la parte del riesgo que el seguro no cubre.
-- Cuando la probabilidad del riesgo sea media y su consecuencia leve, se debe realizar un análisis del costo-beneficio con el que se pueda decidir entre prevenir el riesgo, asumirlo o compartirlo.
-- Cuando el riesgo tenga una probabilidad baja y consecuencia catastrófica se debe tratar de compartir el riesgo y proteger la Entidad en caso de que este se presente.
-- Siempre que el riesgo sea calificado con consecuencia catastrófica la Entidad debe diseñar planes de emergencia, contingencia y recuperación, para protegerse en caso de su ocurrencia.
Valoración de Riesgo Absoluto
“Es el máximo riesgo sin los efectos mitigantes de la Administración del Riesgo” –DAFP–.
“Es la evaluación de la consecuencia y probabilidad que ignora los controles que están vigentes, excepto los controles inherentes, tales como el comportamiento racional por parte de los empleados” Estándares internacionales.
'Es la máxima pérdida posible. “Es la pérdida derivada del peor escenario posible”. –otras fuentes–.
Grafico No. 11
< GRÁFICA NO INCLUIDA. VER ORIGINAL EN D.O. No.46.743 - SEP.06-2007 EN LA CARPETA “ANEXOS” O EN LA PÁGINA WEB www.imprenta.gov.co>
Factores de Riesgo que inciden en la calificación de la Consecuencia o de la Probabilidad.
Teniendo en cuenta que Factor de Riesgo es toda característica o condición o conjunto de condiciones proveniente del ambiente o del contexto general de control de cada organización cuya presencia o comportamiento incide en una mayor o menor consecuencia o probabilidad de materialización de una o varias causas asociadas a un riesgo o conjunto de riesgos, algunos de los factores son los siguientes:
Factor de riesgo de vulnerabilidad
Es toda característica o condición proveniente del contexto o del ambiente general de control de cada organización, cuya presencia o comportamiento incide en una mayor o menor consecuencia o probabilidad de materialización de una o varias causas asociadas a un riesgo o conjunto de riesgos.
Ejemplo de factores de riesgo que inciden en la valoración de la consecuencia o de la probabilidad:
Ambiente de Control:
-- Valores Ciudadanos.
-- Nivel de Seguridad del entorno.
-- Estabilidad Social, Política y Económica.
-- Calidad de la comunicación Externa/Interna.
-- Grado supervisión Alta Gerencia (Gobernabilidad Corporativa).
-- Grado monitoreo independiente (Auditoría Externa/Interna).
-- Conciencia de control de la gerencia.
-- Presión en el cumplimiento de objetivos y metas excesivas.
-- Idoneidad del Personal.
-- Moral y Valores éticos del personal.
-- Rotación del personal.
-- Ambiente de Control General de TI.
Ambiente de Negocios (Externo/Interno)
-- Rápido Crecimiento.
-- Nuevos Productos.
-- Mercados Desconocidos.
-- Productos o actividades ajenas a la actividad principal del negocio.
Características del Proceso Actividad/Transacciones
-- Complejidad.
-- Grado de Manualidad o de Automatización.
-- Grado de Cambios.
-- Calidad de Documentación.
-- Negociabilidad objetos financieros (efectivo, títulos valores, activos fijos).
-- Concentración (funciones, decisiones, operaciones, transacciones).
Materialidad
-- Valor en Riesgos de Activos.
-- Valor en Riesgos de Capital.
-- Valor en Riesgos de Pasivos.
-- Valor en Riesgos de Ingresos.
-- Valor en Riesgos de Egresos.
Legales
-- Estabilidad/Inestabilidad de las leyes.
-- Orden Jurídico.
-- Oportunidad fallos jurídicos.
Ambiente Físico e Instalaciones
-- Localización susceptible a inundaciones, químicos.
-- Susceptibilidad a variaciones de voltaje.
-- Susceptibilidad a variaciones de temperatura.
-- Susceptibilidad a variaciones de humedad, polvo, tierra.
-- Susceptibilidad a radiaciones electromagnéticas.
Comunicaciones
-- Pobre unión del cableado.
-- Líneas Dial - up (Conmutadas).
Software
-- Interfaces de usuario complicadas o poco amigables.
-- Divulgación de las debilidades de control del software.
-- Calidad Documentación.
Valoración del riesgo con controles
Qué es control.
Norma AS/NZ 4360 lo define como las políticas, procesos, dispositivos, prácticas u otras acciones que actúan para eliminar o minimizar los riesgos adversos o mejorar oportunidades positivas. Proveen una seguridad razonable relativa al logro de los objetivos.
La norma IIAes toda acción tomada por la gerencia para mejorar la probabilidad de que todos los objetivos y metas establecidas sean alcanzados. El control es el resultado de la adecuada planeación, organización y dirección por la gerencia.
El procedimiento que se debe seguir para cada uno de los riesgos identificados se muestra en el siguiente cuadro:
Grafico No. 12
< GRÁFICA NO INCLUIDA. VER ORIGINAL EN D.O. No.46.743 - SEP.06-2007 EN LA CARPETA “ANEXOS” O EN LA PÁGINA WEB www.imprenta.gov.co>
Consideraciones para la identificación de controles existentes
-- Iniciar el proceso en orden descendente, iniciando por el riesgo de mayor severidad, tomando como referencia cada una de las causas del riesgo.
-- No omitir ningún control existente dentro del proceso, para obviar duplicidades y superposiciones, con los controles planeados (tratamientos).
-- Diseñar o identificar primero los controles de mayor cobertura (que mitigan las causas de mayor probabilidad o reducen significativamente las consecuencias) y que a su vez sean los de mayor efectividad.
-- En los riesgos subsiguientes, antes de incluir nuevos controles, identificar y evaluar controles ya descritos y vinculados a los riesgos de mayor severidad.
-- Analizar primero si los controles actuales pueden ser optimizados, antes de planear nuevos.
Grafico No. 13
Cobertura individual del control
Es muy importante determinar si el control, si el impacto de cada control actúa o aplica sobre la “Consecuencia” o sobre la “probabilidad” de ocurrencia de las causas de cada riesgo que mitiga. La cobertura de un mismo control es diferente para cada riesgo.
Categorías de control
Para calificar el impacto de los controles es necesario establecer categorías de estos, para este manual adoptáremos como categorías, según su Implementación, es decir Manual, Automático o Combinado.
Estado de control
Comprende la aplicación de la acción del control sobre las causas de riesgo identificado, para el Manual se establecen los estados APLICA (Puntaje 2), NO APLICA (puntaje 1), NO DEFINIDO (Puntaje 0).
Evaluación del control
Es calificar la efectividad o efecto mitigante del control, para este Manual se utilizarán las categorías siguientes:
-- Efectivo (Verificado), con calificación 5
-- Efectivo (No verificado), con calificación 4
-- No Efectivo (verificado), con calificación 3
-- No efectivo (No verificado), con calificación 2
-- No decidido, con calificación 1
-- No definido, con calificación 0
Medición del riesgo con controles
Gráfico No. 14
< GRÁFICA NO INCLUIDA. VER ORIGINAL EN D.O. No.46.743 - SEP.06-2007 EN LA CARPETA “ANEXOS” O EN LA PÁGINA WEB www.imprenta.gov.co>
La valoración de los riesgos requiere de un análisis utilizando las siguientes fuentes de información las cuales representa un mayor grado de confianza en la incertidumbre que pueda generar el proceso:
-- Juicio de grupo de expertos.
-- Propietarios de los procesos.
-- Registros históricos.
-- Experiencias relevantes.
-- Experiencias en el sector.
-- Literatura especializada.
-- Investigación de mercados.
-- Experimentos y Prototipos.
-- Modelos de simulación económicos, de ingeniería y otros.
Utilización y ajuste de los avances realizado por el ISS en la Identificación y Análisis del Riesgo
El ISS podrá utilizar la matriz de riesgos definida en la Guía para el mejoramiento de procesos, como herramienta complementaria o de apoyo para hacer control continuo al proceso, pero teniendo en cuenta que debe ajustarse a los elementos conceptuales de este manual, tal matriz básica es la siguiente:
MATRIZ DE RIESGOS (Primera parte)
DEPENDENCIA: FECHA REVISION:
MACROPROCESO:
PROCESO: CODIGO:
SUBPROCESO:
Tabla No. 7
| No | NOMBRE DEL RIESGO | CAUSA DE (DESCRIPCION) | PROBABILIDAD | IMPACTO | CONTROL EXISTENTE | NIVEL DE RIESGO |
Evaluación de riesgos
La evaluación de riesgos incluye comparar el nivel de riesgo encontrado durante el proceso de análisis contra el criterio de riesgo establecido previamente y decidir si los riesgos pueden ser aceptados.
Si el nivel establecido del riesgo es bajo, entonces el riesgo se puede considerar dentro de una categoría aceptable y tratarlo puede no ser necesario.
El análisis de riesgo y los criterios contra los cuales los riesgos son comparados en la valoración deben ser considerados sobre la misma base, así: evaluaciones cualitativas incluyen la comparación de un nivel cualitativo de riesgo contra criterios cualitativos y evaluaciones cuantitativas involucran la comparación de niveles estimados de riesgo contra criterios que pueden ser expresados como números específicos de frecuencia, fatalidad o valores monetarios.
El producto de una evaluación de riesgo es una lista de riesgos con prioridades para una acción posterior. Si los riesgos resultantes caen dentro de las categorías de riesgos bajo y moderados deberían ser monitoreados y revisados periódicamente para asegurar que se mantienen máximo en Moderado. Si los riesgos caen en Alto o Extremo deberían ser tratados utilizando una o más opciones incluidas dentro del tratamiento de los riesgos.
Tratamiento de riesgos
Después de valorar y priorizar los riesgos, y dependiendo del nivel de exposición, se debe determinar la opción de tratamiento que más conviene aplicar en cada caso. El tratamiento de riesgos incluye la identificación de la gama de opciones de tratamiento del riesgo, la evaluación de las mismas, la preparación de planes de tratamiento de riesgos y su posterior implementación: es identificar, registrar, evaluar y elegir el conjunto de opciones para mejorar el control existente, hasta niveles aceptables.
Las opciones de tratamiento que se relacionan a continuación no son mutuamente excluyentes ni serán apropiadas en todas las circunstancias.
Opciones para Tratar los Riesgos (No excluyentes)
| IGNORAR/EVITAR | No realizar la actividad que tiene la probabilidad de generar el riesgo. Debe tenerse en cuenta que la prevención del riesgo no sea inapropiado por alguna aversión al riesgo porque se puede llevar a: 1. Evitar o ignorar riesgos sin importar costos ni la información disponible. 2. Error en el tratamiento. 3. Dejar que las decisiones las tomen otros. 4. Aplazar o diferir la decisión que no puede evitar. |
| ACEPTAR | Es asumir totalmente el riesgo, para ello se debe establecer plan para financiar el tratamiento. Aceptar la pérdida residual y elaborar los planes de contingencia para su manejo. |
| REDUCIR | Reducir o controlar la probabilidad de Ocurrencia. Implica tomar medidas encaminadas a disminuir tanto la probabilidad como el impacto. Para disminuir la probabilidad pueden ser: 1. Auditoría o programas de verificación de cumplimiento. 2. Cambio de condiciones contractuales. 3. Revisión formal de especificaciones, requerimientos, diseño. 4. Inspección y procesos de control. 5. Inversiones y Gestión de portafolio. 6. Gestión de proyectos. 7. Mantenimiento Correctivo. 8. Aseguramiento de Calidad, Gestión y Normalización. 9. Investigación y Desarrollo Tecnológico. 10. Supervisión. 11. Ensayos. 12. Disposiciones organizacionales. 13. Técnicas de control. Para disminuir las consecuencias o impacto, pueden ser: 1. Planes de contingencias. 2. Arreglos contractuales. 3. Condiciones contractuales. 4. Planes de recuperación de desastres. 5. Planes de control de fraudes. 6. Reducción de exposición a fuentes de riesgo. 7. Planeación del Portafolio 8. Políticas de control de precios. 9. Separación o reubicación de una actividad o de recursos. 10. Relaciones públicas. |
| TRANSFERIR | Reduce su efecto a través del traspaso de las pérdidas a otras organizaciones, como en el caso de los contratos de seguros o a través o de otros medios que permiten distribuir una porción del riesgo con otra entidad, como en los contratos a riesgo compartido, pero es posible que el nivel general de riesgo no disminuya para la empresa. Cuando se transfiere total o parcialmente un riesgo nace un nuevo riesgo y es el que la organización ha transferido, no lo haga efectivamente. |
| RETENER | Después de Reducir o Transferir el riesgo hay parte del riesgo que se ha retenido, debe implementarsen planes para manejar sus consecuencias así como la identificación de un medio de financiación, puede ocurrir también la retención de un riesgo si se ha fallado en su identificación. También existe el caso que un riesgo se retiene cuando hay una falla para identificar o transferir apropiadamente el riesgo... |
Evaluación de las opciones para tratamientos de riesgos
Deben evaluarse las opciones sobre la base de reducción del riesgo, ya sea en forma individual o combinada, su costo debe ser proporcional a los beneficios obtenidos de tal suerte que debe preferirse la opción con mejor costo y mejores beneficios.
Preparación de planes de tratamiento
El tratamiento del riesgo puede actuar sobre un factor de riesgo, sobre un control actual o incrementando los controles existentes; para definir y hacer seguimiento del tratamiento hasta su implementación, en concreto, se tendrá en cuenta la siguiente documentación
- DESCRIPCION: Definición y Características del Tratamiento.
- ELEMENTO/PROCESO: Asociado al Tratamiento 3.
- COBERTURA: Alta-Media-Baja.
- EFECTO MITIGADOR: Control/Factor de Riesgo (tanto del riesgo como del control).
- RIESGOS: Reducidos o mitigados por el tratamiento.
- PROPIETARIO: A quién se asignó el tratamiento.
- TIPO: Corto plazo, Plan Anual, Plan Estratégico.
- ESTADO: Registrado, Completado, en Seguimiento, Diferido o aplazado.
- FECHAS CLAVE: De Registro, de Terminado o de Seguimiento.
- PRIORIDAD: Alta, Media, Baja.
- RECURSO: Humanos, Técnicos, Financieros.
- PROGRESO: Documentación del estado en cada seguimiento.
- PLANES DE ACCION: Asociados al tratamiento.
Políticas para el tratamiento del riesgo en el ISS
Son mecanismos de Control, que se materializan en criterios orientadores para la toma de decisiones respecto al tratamiento de los Riesgos al interior de la Entidad; constituyen las guías de acción que le permitan a la organización, coordinar y administrar los eventos que puedan afectar su operación y el logro de sus objetivos.
Para fijarlas se toma como base el resultado de la calificación y evaluación obtenida en el elemento Análisis de Riesgos, y la Priorización de riesgos en los diferentes niveles, procesos de la Entidad. Se orientan a la fijación de parámetros que establezcan medidas de respuesta a los riesgos, de acuerdo con los objetivos institucionales y las características de la Entidad, para ello se tendrá en cuenta:
- El ámbito donde se realiza la identificación, valoración y adopción de medidas para manejar el riesgo (Macroprocesos. Procesos / Subprocesos y Actividades).
- El significado de las escalas de calificación de los Riesgos (tanto de la frecuencia como de gravedad).
- Los lineamientos sobre las prioridades y parámetros, para establecer las siguientes medidas de respuesta o tratamiento del riesgo: Aceptar, evitar, reducir y compartir.
- De disminuir los mayores Riesgos actuando sobre los agentes generadores, las causas y los efectos identificados, a través de la priorización de los Riesgos más graves y la medición de sus efectos en los Macroprocesos.
Implementación de planes de tratamiento de riesgos o planes de acción
Es la agrupación lógica de los tratamientos por objetivos, por responsables, por sectores, por prioridades u otra clasificación a fin de controlar su implementación y monitorear los resultados esperados.
Requiere de un sistema de gestión efectivo que especifique los métodos seleccionados, asigne responsabilidades y obligaciones individuales con respecto a las acciones y las monitoree con respecto a los criterios especificados; después del tratamiento queda un riesgo residual y debe tomarse la decisión si aceptarlo o retenerlo o volver hacer el proceso de tratamiento.
Debe documentarse teniendo en cuenta lo siguiente:
- PROPIETARIO: Responsable del Plan de Acción.
- ACCIONES PROPUESTAS: Compendio de Tratamientos.
- RECURSOS: Humanos, Financieros, Tecnológicos, etc.
- RESPONSABILIDADES: Asignaciones a responsables.
- CRONOGRAMA: Actividades y Compromisos.
- INFORMES: Mecanismos y frecuencia de revisión del Plan.
- MONITOREO: Estado de avance en cada seguimiento.
- FECHAS CLAVE: De registro, de terminación o de seguimiento.
Comunicación y Consulta
Es el proceso interactivo de intercambio de información y opiniones, que involucra múltiples mensajes a cerca de la naturaleza del riesgo y la gestión del riesgo.
Comunicarse y consultar tanto con los stakeholders internos como externos en la medida que sea apropiado, en cada etapa del proceso de Administración del Riesgo, y en lo concerniente al proceso como un todo.
Se busca con la comunicación adecuada:
- Mejorar el entendimiento y preocupación de las personas sobre los riesgos y del proceso de gestión del riesgo.
- Asegurar que las diferentes perspectivas de los stakeholders han sido consideradas.
- Asegurar que todos los participantes en el proceso de gestión del riesgo, son conscientes de sus roles y responsabilidades.
- Aprender de los stakeholders o partes involucradas con la Entidad o con el proceso, tanto internos como externos, que pueden afectar o pueden verse afectados, tales como: Junta Directiva, Presidencia, Gerentes, funcionarios, sindicato, afiliados a las tres unidades de negocio, comunidad en general nacional o internacional, competencia, proveedores, entidades estatales y la competencia.
- Construir y mantener una cultura de gestión del riesgo.
Partes relacionadas o stakeholders
Se deben identificar los sujetos que son afectados con el proceso, área a la cual se le identificaran los riesgos, estos pueden ser:
Junta Directiva
Presidencia
Vicepresidencias y Direcciones
Gerencia Seccional
Gerente de área
Afiliados (empresas o trabajadores o independientes y sus beneficiarios)
Sindicatos y gremios
Usuarios Internos
Contratistas y Proveedores
Medios de Comunicación
Competencia
Asociaciones de Usuarios
Entidades del sector o del Gobierno
Entes de control
Legisladores y Reguladores o de control Contraloría, Superintendencias.
Monitoreo y revisión
Es verificar, supervisar o medir el progreso de una actividad, acción o sistema de manera regular a fin de IDENTIFICAR CAMBIOS que puedan afectar el nivel de desempeño o los resultados requeridos o esperados.
Pocos riesgos permanecen estáticos, por lo tanto, riesgos y la efectividad de sus medidas de control necesitan ser monitoreados continuamente para asegurar que circunstancias cambiantes no alteren las prioridades.
Revisiones progresivas son esenciales para asegurar que los planes de la administración permanecen relevantes. Los factores que afectan la probabilidad y la consecuencia de un resultado pueden cambiar al igual que los factores que afectan la viabilidad o el costo de las opciones de tratamiento.
Existe diferentes opciones para realizar monitoreo, uno es a través de la AUTOEVALUACION DEL CONTROL o CSA (siglas en inglés), o por la AUTOEVALUACION DEL RIESGO YEL CONTROL o CRSA (Siglas en inglés).
Opción de monitoreo CRSA
“Es el proceso formal y documentado, en el cual la Presidencia o equipos de trabajo directamente involucrados en una función del negocio, juzgan la efectividad (Control) del proceso y determinan, si la posibilidad de alcanzar alguno o todos los objetivos del negocio (Riesgos) está razonablemente asegurada”. “Es la revisión sistemática de los procesos para asegurar que los controles son todavía efectivos y apropiados para mitigar los riesgos” AS/NZS: 4360 2004.
Opción de monitoreo a través del registro histórico de eventos de pérdida
Evento de pérdida es un “incidente o suceso, que ocurre en un determinado lugar” durante un determinado “período de tiempo”, con una “consecuencia negativa”, financiera o de otra índole. Es la materialización del Riesgo: Causa /Evento.
Beneficios del registro de eventos de Pérdida
< GRÁFICA NO INCLUIDA. VER ORIGINAL EN D.O. No.46.743 - SEP.06-2007 EN LA CARPETA “ANEXOS” O EN LA PÁGINA WEB www.imprenta.gov.co>
Indicadores para medir los eventos de pérdida
Es una colección de datos históricos por periodos de tiempo relacionados con algún evento cuyo comportamiento puede indicar una mayor o menor exposición a determinados riesgos. No indica la materialización del riesgo, pero puede indicar que algo esta mal y se debe investigar.
Documentación de los eventos de pérdida
Se seguirá para ello, como mínimo, las normas de la Superintendencia Financiera de Colombia, en tal sentido el registro de los eventos de pérdida debe ser único para la entidad y contener la totalidad de eventos que:
- Generan pérdidas y afectan el estado de resultados de la entidad.
- Generan pérdidas y no afectan el resultado de resultados de la entidad. En este caso su evaluación será cualitativa.
- No generan pérdidas y por lo tanto no afectan el estado de resultados de la entidad. En este caso la evaluación será cualitativa.
Debe contener la siguiente información.
Referencia:
Código interno que relacione el evento en forma secuencial.
Fecha de inicio del evento:
Fecha en que se inicia el evento, día, mes, año, hora.
Fecha de finalización del evento:
Fecha en que finaliza el evento, día, mes, año, hora.
Fecha del descubrimiento:
Día en que se descubre el evento, día, mes, año, hora.
Fecha de Contabilización:
Fecha en que se registra contablemente la pérdida por el evento, día, mes, año, hora.
Divisa:
Moneda extranjera en la que se materializa el evento.
Cuantía:
El monto de dinero (moneda legal) a que asciende la pérdida.
Cuantía total recuperada:
El monto de dinero recuperado por acción directa de la entidad. Incluye las cuantías recuperadas por seguros.
Cuantía recuperada por seguros:
Corresponde al monto de dinero recuperado por el cubrimiento a través de un seguro.
Clase de evento:
La clasificación de evento de pérdida se hará teniendo en cuenta la categorización de los riesgos del numeral 5.2.6 de este manual (riesgo estratégico, operativo, legal o de cumplimiento, de custodia, reputacional, financiero, de tecnología), considerando, dentro de los riesgos financieros, la siguiente clasificación realizada por el Comité Basilea:
1. Fraude Interno
Actividades no autorizadas
Hurto y fraude.
2. Fraude Externo
Hurto y fraude
Seguridad de los Sistemas.
3. Relaciones laborales y seguridad en el puesto de trabajo
Relaciones laborales
Higiene y seguridad en el trabajo
Seguridad y discriminación.
4. Clientes, productos y prácticas empresariales.
Adecuación y divulgación de información y confianza
Prácticas empresariales o de mercadeo improcedente
Productos defectuosos
Selección, patrocinio y riesgos
Actividades de Asesoramiento.
5. Daño a activos materiales
Desastres y otros acontecimientos
Pérdidas humanas por causas externas (Terrorismo y vandalismo).
6. Incidencias en los negocios y fallos en los sistemas
Sistemas
7. Ejecución, entrega y gestión de procesos
Recepción, ejecución y mantenimiento de operaciones
Seguimiento y presentación de informes
Aceptación de clientes y documentación
Gestión de cuentas de clientes
Contrapartes comerciales
Distribuidores y proveedores.
Producto/servicio afectado:
Identifica el producto a servicio afectado.
Cuentas afectadas del Plan Unico de Cuentas –PUC–:
Identificar las cuentas del “Plan Unico de Cuentas” (PUC) afectadas, de acuerdo con el evento de pérdida identificado.
Proceso:
Identifica el proceso afectado.
Tipo de pérdida:
Identifica el tipo de pérdida de acuerdo con la siguiente clasificación:
- Generan pérdidas y afectan el estado de resultados de la Entidad.
- Generan pérdidas y no afectan el estado de resultados de la Entidad.
- No generan pérdidas y por lo tanto no afectan el estado de resultados de la entidad.
Descripción del evento:
Descripción detallada del evento.
Líneas Operativas:
Identificación según clasificación suministrada por la Superintendencia Financiera de Colombia.
GLOSARIO
Aceptación de riesgo
Una decisión informada de aceptar las consecuencias y probabilidad de un riesgo en particular.
Administración del Riesgo
La cultura, procesos y estructuras que están dirigidas hacia la administración efectiva de oportunidades potenciales y efectos adversos.
Análisis árbol de eventos
Una técnica que describe el rango y secuencia posibles de los productos que podrían surgir de un evento iniciado.
Análisis árbol de fallas
Un método de ingeniería de sistemas para representar las combinaciones lógicas de varios estados del sistema y causas posibles que pueden contribuir a un evento especificado (denominado evento superior o “top event”).
Análisis de modos y efectos de fallas (FMEA)
Un procedimiento por el cual se analizan modos de fallas potenciales en un sistema técnico. Se puede extender un FMEA para realizar lo que se denomina análisis de modo, efecto y criticidad de fallas (FMECA). En un FMECA, cada modo de falla identificado es ordenado de acuerdo a la influencia combinada de su probabilidad de ocurrencia y severidad de sus consecuencias.
Análisis de riesgo
Un uso sistemático de la información disponible para determinar cuan frecuentemente pueden ocurrir eventos especificados y la magnitud de sus consecuencias.
Análisis de sensibilidad
Examina cómo varían los resultados de un cálculo o modelo a medida que se cambian los supuestos o hipótesis individuales.
Azar de riesgo
Una fuente de daño potencial o una situación con potencial para causar pérdidas.
Consecuencia
Es el impacto o el producto de un evento expresado cualitativa o cuantitativamente, sea este una pérdida, perjuicio, desventaja o ganancia. Podría haber un rango de productos posibles asociados a un evento.
Control de riesgos
La parte de Administración del Riesgo que involucra la implementación de políticas, estándares, procedimientos y cambios físicos para eliminar o minimizar los riesgos adversos.
Costo: actividades
Tanto directas como indirectas, involucrando cualquier impacto negativo, incluyendo pérdidas de dinero, de tiempo, de mano de obra, interrupciones, problemas de relaciones, políticas e intangibles.
Evaluación de riesgo
El proceso global de análisis de riesgo y evaluación de riesgo.
Evaluación de riesgos
El proceso utilizado para determinar las prioridades de Administración del Riesgo comparando el nivel de riesgo respecto de estándares predeterminados, niveles de riesgo objetivos u otro criterio.
Evento:
Un incidente o situación, que ocurre en un lugar particular durante un intervalo de tiempo particular.
Evitar un riesgo
Una decisión informada de no verse involucrado en una situación de riesgo.
Financiamiento de riesgos
Los métodos aplicados para fondear el tratamiento de riesgos y las consecuencias financieras de los riesgos. (En algunas industrias financiamiento de riesgos se refiere sólo al fondeo de las consecuencias financieras de los riesgos).
Frecuencia
Una medida del coeficiente de ocurrencia de un evento expresado como la cantidad de ocurrencias de un evento en un tiempo dado. Ver también Probabilidad.
Identificación de riesgos
El proceso de determinar qué puede suceder, por qué y cómo.
Ingeniería de riesgos
La aplicación de principios y métodos de ingeniería a la Administración del Riesgo.
Interesados
Aquella gente y organizaciones que pueden afectar, ser afectados por, o percibir ellos mismos ser afectados, por una decisión o actividad. (El término puede incluir también partes interesadas tal como lo define la ISO 14050:1998 y la AS/NZS ISO 14004:1996.
Monitoreo
Comprobar, supervisar, observar críticamente, o registrar el progreso de una actividad, acción o sistema en forma sistemática para identificar cambios.
Organización
Una compañía, firma, empresa o asociación, u otra entidad legal o parte de ella, sea o no incorporada, pública o privada, que tiene sus propias funciones y administración.
Partes relacionadas o stakeholders
Son los sujetos afectados con el proceso o área a la cual se le identificaran los riesgos. También se conocen como partes involucradas o partes interesadas.
Pérdida
Cualquier consecuencia negativa, financiera o de otro tipo.
Probabilidad
La probabilidad de un evento específico o resultado, medido por el coeficiente de eventos o resultados específicos en relación a la cantidad total de posibles eventos o resultados. La probabilidad se expresa como un número entre 0 y 1, donde 0 indica un evento o resultado imposible y 1 indica un evento o resultado cierto.
Proceso de Administración del Riesgo
La aplicación sistemática de políticas, procedimientos y prácticas de administración a las tareas de establecer el contexto, identificar, analizar, evaluar, tratar, monitorear y comunicar riesgos.
Reducción de riesgos
Una aplicación selectiva de técnicas apropiadas y principios de administración para reducir las probabilidades de una ocurrencia, o sus consecuencias, o ambas.
Retención de riesgos
Intencionalmente o sin intención retener la responsabilidad por las pérdidas, o la carga financiera de las pérdidas dentro de la organización.
Riesgo residual
El nivel restante de riesgo luego de tomar medidas de tratamiento del riesgo.
Riesgo
La posibilidad de que suceda algo que tendrá un impacto sobre los objetivos. Se lo mide en términos de consecuencias y probabilidades.
Transferir riesgos
Cambiar la responsabilidad o carga por las pérdidas a una tercera parte mediante legislación, contrato, seguros u otros medios. Transferir riesgos también se puede referir a cambiar un riesgo físico, o parte el mismo a otro sitio.
Tratamiento de riesgos
Selección e implementación de opciones apropiadas para tratar el riesgo.
BIBLIOGRAFIA
Norma AS/NZS 4360:1999, Estándar Australiano Administración del Riesgo.
ICONTEC, Norma Técnica Colombiana NTC 5254, mayo 2004.
Departamento Administrativo de la Función Pública, Guía de Administración del Riesgo, abril 2006. G.I.T., Soluciones Integrales Ltda., Seminario Gestión del Riesgo.
Superintendencia Financiera de Colombia, Circulares Externas números 048/06 y 041/07.
ARTÍCULO 2o. Delegar en el Presidente del Instituto la reglamentación necesaria para el desarrollo de los aspectos relativos al sistema de Administración del Riesgo que se requiera para su operatividad.
ARTÍCULO 3o. Publicar el contenido de este acuerdo en el Diario Oficial, de conformidad con lo previsto en el literal c) del artículo 119 de la Ley 489 de 1998.
ARTÍCULO 4o. El presente acuerdo rige a partir de la fecha de su expedición y deroga las disposiciones que le sean contrarias.
Comuníquese, publíquese y cúmplase.
Dado en Bogotá, D. C., a 14 de agosto de 2007.
El Presidente,
EDMUNDO CONDE ZAMORANO.
La Secretaria,
CLARA IVY GONZÁLEZ MARROQUÍN.