RIESGO OPERACIONAL, ENFOQUE EN PROCESOS Cuando hablamos de riesgo operativo se hace referencia a las potenciales pérdidas para la entidad causadas por deficiencias directas o indirectas en los sistemas de información o en los controles internos, afectando la capacidad de la institución para responder con sus compromisos de manera oportuna. El riesgo operativo está asociado a factores como: Procesos internos, personas, tecnología de información y los eventos externos. RIESGO OPERACIONAL Podemos definir el Riesgo Operativo como cualquier situación que pueda evitar que la organización cumpla con sus objetivos. "…la posibilidad de que se produzcan pérdidas debido a eventos originados en fallas o
insuficiencia de procesos, personas, sistemas internos, tecnología y en la presencia de eventos externos imprevistos." 1 En cualquier caso, las pérdidas operacionales pueden ser directas, indirectas y de coste de oportunidad. Por ello antes de iniciar un proceso de definición e implantación de un sistema de riesgo operacional, se deben establecer claramente los objetivos en relación con el mismo. Estos objetivos pueden ser cualitativos, cuantitativos o mixtos.
Objetivos cualitativos: Detectar los riesgos (actuales y potenciales) para tomar decisiones acerca de o los que no desea mantener y desea reducir. Detectar aquellos riesgos poco frecuentes pero que podrían suponer grandes o pérdidas. Mejorar continuamente los procesos y sistemas de control para minimizar los o riesgos en los que se puede incurrir. Objetivos cuantitativos: Crear conciencia en la organización sobre el nivel y naturaleza de los eventos o de pérdida operacional. Asignar fondos para la cobertura del mismo. o Medir correctamente la eficiencia de las líneas de negocio. o Objetivos Mixtos: Evaluar la conveniencia y eficiencia de implantar procedimientos de control o interno. Evaluar la eficacia de las medidas reductoras de riesgo. o
RIESGO DE PROCESOS Con la finalidad de garantizar la optimización de los recursos y la estandarización de las actividades, las Entidades Financieras deben contar con procesos definidos de conformidad con sus políticas y estrategias establecidas. El definir un proceso tiene como objetivo: maximizar el servicio que presta y minimizar el desperdicio de los recursos humanos, materiales y de tiempo; contar con un diseño debidamente documentado; tener información continua y estar siempre enfocado al cliente. Con frecuencia, los procesos son complejos y contienen demasiadas actividades dentro de uno solo, complicando su entendimiento y ejecución, por lo que conveniente agruparlos en macro procesos, procesos y subprocesos. Los primeros son todos aquellos con los cuales debe operar 1
Resolución No. JB-2005-834 Artículo 2 Numeral 2.3
la institución y es muy general; los procesos son una desagregación del macro proceso, es una identificación de la actividad que hace el ente y los subprocesos son una división de los anteriores. Una organización es una cadena de procesos: Gobernantes, Productivos y De Apoyo, de los cuales se desprenden los Procesos críticos, relacionados con el crecimiento de volúmenes de negocios y complejidad de productos, mayor oferta de servicios, etc., por ello para que exista un apropiado ambiente de gestión de riesgos de operación las entidades deberán definir formalmente políticas para: el diseño, control, actualización y monitoreo. El identificar los procesos críticos, permitirán implementar mecanismos o alternativas que ayuden al fondo a evitar incurrir en pérdidas, poner en riesgo la continuidad de sus operaciones y permanencia. LINEAMIENTOS DEL COMITÉ DE BASILEA Respecto al riesgo de operación están en los documentos: “Prácticas Adecuadas para la Gestión y Supervisión de los Riesgos de Operación”, mismas que deben ser aplicados por las
Entidades Financieras para la gestión de estos riesgos, que es un conjunto de principios para administrar el riesgo operativo que contempla:
Desarrollo de un ambiente apropiado de Gestión de Riesgos. Gestión de riesgos: identificación, evaluación, monitoreo y mitigación/control. Papel de los supervisores. Papel de la divulgación.
Dan la base para que las instituciones desarrollen un mejor manejo de cada uno de sus riesgos y permite ubicar a la Superintendencia de Bancos y Seguros de Ecuador de frente a los nuevos desafíos planteados a nivel internacional con el nuevo acuerdo de capital del Comité de Basilea, esto en virtud de la gran importancia que revierte al riesgo operativo, incluyéndoselo por tanto dentro de los riesgos que es necesario cubrir con capital. El riesgo operativo está presente en todas las actividades de una entidad financiera, y en cualquier empresa u organismo, desde el primer instante de su vida, por ello el propósito de esta norma radica en la obligatoriedad de las instituciones de implantar una adecuada gestión y control integral de todos estos riesgos, con el objeto de prevenir, evitar, reducir y eliminar pérdidas esperadas y no esperadas. Define el nivel de riesgo mínimo que la institución está dispuesta a asumir en el ambiente de su negocio, protegiendo los recursos bajo su control y administración, sean éstos propios o de sus clientes. Con el adecuado proceso de administración de riesgos reportará las exposiciones de riesgo que enfrentan, con la finalidad de proteger los recursos e intereses de quienes los del público y garantizar el equilibrio operativo de las instituciones financieras, al tiempo que contribuye a una precisa valoración de los resultados obtenidos en las operaciones y genera una real retribución a los recursos propios. MEDICIÓN DEL RIESGO OPERACIONAL Se proponen tres métodos para calcular los requerimientos de capital por riesgo operacional. En orden creciente de sofisticación y sensibilidad al riesgo, estos métodos son:
EL MÉTODO DEL INDICADOR BÁSICO. Es equivalente al capital promedio de los tres últimos años como porcentaje fijo (denotado como alfa α = 15%) de sus ingresos brutos anuales positivos. Al calcular este
promedio, se excluirán tanto del numerador como del denominador los datos de cualquier año en el que el ingreso bruto anual haya sido negativo o igual a cero. La exigencia de capital puede expresarse del siguiente modo: KBIA = *Σ(GI1…n x α)+/n
Donde: KBIA = Exigencia de capital en el Método del Indicador Básico. GI = Ingresos brutos anuales medios, cuando sean positivos, de los tres últimos años. n = Número de años (entre los tres últimos) en los que los ingresos brutos fueron positivos. α = Porcentaje Fijo igual al 15%. Si los ingresos brutos negativos de un banco distorsionan su exigencia de capital en virtud del Primer Pilar, los supervisores considerarán las actuaciones supervisoras oportunas en el Segundo Pilar. Los ingresos brutos se definen como los ingresos netos en concepto de intereses más otros ingresos netos ajenos a intereses (conforme a las definiciones de los supervisores nacionales y/o las normas contables nacionales). Se pretende que esta medida: 1. Sea bruta de cualquier provisión dotada (por ejemplo, por impago de intereses). 2. Sea bruta de gastos de explotación, incluidas cuotas abonadas a proveedores de servicios de subcontratación (a diferencia de las cuotas abonadas en concepto de servicios que se subcontratan, las cuotas que reciben aquellos bancos que proporcionan servicios de subcontratación deberán incluirse en la definición de ingresos brutos). 3. Excluya los beneficios/pérdidas realizados de la venta de valores de la cartera de inversión (Los beneficios/pérdidas realizados procedentes de valores clasificados como “mantenidos hasta el vencimiento” y “en venta”, que
habitualmente constituyen partidas de la cartera de inversión (por ejemplo, en determinadas normas contables), también se excluyen de la definición de ingresos brutos). 4. Excluya partidas extraordinarias o excepcionales, así como los ingresos derivados de las actividades de seguro. El Método de Indicador básico es poco sensible al riesgo que puede asumir la entidad bancaria, ya que al determinar un factor de 15% de manera general no distingue el perfil de riesgo en cuanto se refiere a líneas de negocio o productos que en el giro del negocio bancario se ejecuta; este método debería ser utilizado por entidades cuyas estructuras de negocio son muy sencillas y homogéneas, además de que como requisito mínimo para su aplicación se deben incorporar las recomendaciones dadas por el Comité de Supervisión Bancaria de Basilea, en cuanto se refiere a prácticas adecuadas para la gestión y supervisión de Riesgo Operativo.
EL MÉTODO ESTÁNDAR. Es Método Estándar es un poco más afinado que el enfoque anterior, ya que define ocho unidades básicas de negocio a las que aplica unos % ( β) que giran sobre un indicador de tamaño (GI ), el procedimiento para el cálculo de cargo de capital por riesgo operativo se basa en el ingreso bruto de cada línea de negocio. El requerimiento
de capital de cada línea de negocio se calcula multiplicando el ingreso bruto por un factor (denominado beta) que se asigna a cada una de las líneas, el Beta se utiliza como una aproximación a la relación que existe en el conjunto del sector bancario entre el historial de pérdidas debido al riesgo operativo de cada línea de negocio y el nivel agregado de ingresos brutos generados por esa misma línea de negocio, como se puede observar a continuación:
Cabe mencionar que, en el Método Estándar, se calcula el ingreso bruto de cada línea de negocio y no el obtenido por la institución en su conjunto. Así, por ejemplo, en finanzas corporativas, el indicador es el ingreso bruto generado por la línea de negocio de finanzas corporativas. La exigencia total de capital se calcula como la media de tres años de la suma simple de las exigencias de capital regulador en cada una de las líneas de negocio cada año. Para un año dado, los requerimientos de capital negativos (resultantes de ingresos brutos negativos) en cualquiera de las líneas de negocio podrán compensar los requerimientos positivos en otras líneas de negocio sin límite alguno. No obstante, cuando el requerimiento de capital agregado para todas las líneas de negocio dentro de un año en concreto sea negativo, el argumento del numerador para ese año será cero (quiere decir que el factor resultante se suma como cero y no un valor negativo). El requerimiento total de capital puede expresarse como: KTSA= ,Σaños 1-3 max*Σ(GI1-8 x β1-8),0]}/3
Donde: KTSA = la exigencia de capital en el Método Estándar GI1-8 = Los ingresos brutos anuales de un año dado, como se define en el Método del Indicador Básico, para cada una de las ocho líneas de negocio. β1-8 = Un porcentaje fijo, establecido por el Comité, que relaciona la cantidad de capital requerido con el ingreso bruto de cada una de las ocho líneas de negocio, que se detallan a continuación:
Los requisitos que establece Basilea II para el enfoque Estándar son: Cumplir con mejores practicas BIS Alta dirección involucrada en el margo de gestión del RO. El sistema de gestión de RO debe ser conceptualmente coherente y aplicado de forma íntegra a toda la entidad Sistemas de identificación y evaluación de riesgos, analizando productos/actividades/ procesos/ sistemas/ eventos externos relevantes Especial valoración del impacto del RO en lo que se refiere a baja frecuencia/alto impacto Captura de eventos de pérdida en una base de datos interna
Cabe señalar que Basilea II considera además el denominado Método Estándar Alternativo (ASA), que es igual al Método Estándar, salvo que en dos líneas de negocio: banca minorista (al detalle) y banca comercial, se sustituye a los ingresos brutos por los préstamos y anticipos, que multiplicados por un factor fijo “m” y por el beta de la banca minorista y de la banca comercial respectivamente, se obtiene el requerimiento de capital. ASA por riesgo operativo en el caso de la banca minorista (la misma fórmula básica es aplicable a la banca comercial) puede expresarse como:
KRB = βRB x m x LARB Donde: KRB = Es el requerimiento de capital de la línea de negocio de banca minorista
βRB = Es el factor beta de la línea de negocio de banca minorista
LARB = Es el importe total pendiente de los préstamos y anticipos (no ponderados por riesgo y brutos de provisiones), promediado durante los tres últimos años. m = 0,035 Para la aplicación de ASA, los préstamos y anticipos totales por línea de negocio correspondientes a estos dos tipos de cartera crediticia serán:
Banca Minorista: Préstamos y anticipos a PYME tratadas como minoristas y derechos de cobro adquiridos frente a minoristas. Banca Comercial: Préstamos y anticipos totales incluyen las cantidades utilizadas de las siguientes carteras crediticias: empresas, soberanos, bancos, financiación especializada, PYME tratadas como empresas y derechos de cobro adquiridos frente a empresas. También deberá incluirse el valor contable de los valores mantenidos en la cartera de inversión.
En el método ASA, los bancos pueden añadir la banca comercial y minorista (si lo desean) utilizando un factor beta del 15%. Asimismo, aquellos bancos que sean incapaces de desagregar sus ingresos brutos en las otras seis líneas de negocio pueden agregar los ingresos brutos totales de esas seis líneas de negocio utilizando un factor beta del 18%, (Saldo promedio créditos comerciales y minoristas últimos tres años * factores 0.15 * 0.035 + aporte al margen bruto de otras líneas de negocios * factor 0.18). Al igual que en el Método Estándar, el requerimiento total de capital en el método ASA se calcula como la suma simple de los requerimientos de capital regulador para cada una de las ocho líneas de negocio.
LOS MÉTODOS DE MEDICIÓN AVANZADA (AMA ). En el Método de Medición Avanzada (AMA) 2, el requerimiento de capital regulador será igual a la medida de riesgo generada por el sistema interno del banco para el cálculo del riesgo operativo utilizando los criterios cuantitativos y cualitativos aplicables a los AMA, es importante señalar que la utilización del AMA está sujeta a la aprobación del supervisor. Los requisitos cualitativos para AMA son: Cumplir con las “Sound Practices” BIS3. Alta dirección involucrada en el margo de gestión del RO. El sistema de gestión de RO debe ser conceptualmente coherente aplicado de forma íntegra a toda la entidad. Suficiencia de RRHH (cantidad + calidad) en las áreas de negocio generadoras de riesgo, áreas de control y auditoria interna Existencia de unidad independiente de RO dentro del área de riesgos, que realice la codificación e implementación de la gestión de este tipo de riesgo (incluye elaboración de manuales de procedimiento y manuales metodológicos). Involucración alta dirección.
2
Comité de Supervisión Bancaria. Convergencia Internacional de Medidas y normas de capital. Marco revisado. Junio 2004. 3 Comité de Supervisión Bancaria de Basilea. “Buenas prácticas para la Gestión y Supervisión del Riesgo Operativo”. Banco de Pagos Internacionales. Febrero 2003
Integración del RO en la gestión diaria de la entidad. Reporting regular a diferentes niveles de exposiciones y pérdidas por RO. Las metodologías de cuantificación deben estar perfectamente documentadas. Revisión por parte de auditoría interna/externa de los sistemas de medición, tanto a nivel de unidades de negocio como la unidad de RO. Los auditores externos y el regulador deben verificar que los sistemas internos de validación de los modelos funcionan y que los flujos de datos y los procesos asociados a la medición son trasparentes y accesibles.
Los Requisitos cuantitativos para AMA: La estimación de la pérdida inesperada debe utilizar datos internos de la entidad, debe tener en cuenta el entorno específico del banco (control interno), debe incluir la realización de análisis de escenarios y asimismo debe contemplar la utilización de datos externos – en la práctica supone integrar la metodología LDA con las autoevaluaciones o score cards. El banco debe demostrar que la metodología utilizada, y en particular la función de distribución de pérdidas, recoge los eventos de poca frecuencia y alta severidad característicos de algunos de los eventos de pérdida del RO. Intervalo de confianza del 99,9% - capitalizar la peor pérdida operativa en 1000 años. El uso de correlaciones para la agregación de riesgos esta condicionado a la demostración de que las correlaciones son generadas internamente y se demuestra que la metodología de cálculo es rigurosa, aplicada con integridad y teniendo en cuanta las incertidumbres alrededor de su cálculo. La agregación de riesgos tiene serias dificultades debido a la dificultad de estimar las correlaciones existentes entre cada uno de ellos.
Requisitos especiales del AMA sobre los datos internos: Los eventos de pérdida deben estar vinculados con las áreas de negocio, actividades, procesos y productos de la entidad. Se exige un período mínimo de 5 años, transitoriamente 3 años.
Debe realizarse un “mapeo” obligatorio a las áreas de negocio / eventos de
pérdida del BIS. Esto supone en la práctica un problema de ADAPTACIÓN de cada una de las estructuras internas a los ejes establecidos por BIS. Además, deben estar claramente determinados los criterios de asignación de pérdidas a las áreas de negocio (muy relevante, ya que a menudo hay solapamientos entre áreas o incluso no esta claro a que categoría de pérdida hay que asociar un evento). Requisitos especiales del AMA sobre los datos internos: La no recogida de pérdidas en ciertas áreas/zonas deben estar justificadas (no materialidad)
Es aceptable establecer un nivel de truncamiento (“de minimis level”) por
debajo del cual no se recojan pérdidas (se citan 10.000 USD. Sin embargo, esto trae consecuencias adversas en la cuantificación por el sesgo al alza de la tendencia central de las severidades). Análisis de escenarios: Opinión de expertos y datos externos para evaluar la exposición a eventos severos Derivar pérdidas plausibles
Evaluar eventos simultáneos múltiples Evaluar cambios en las correlaciones
Mitigación del riesgo: Evaluar cambios en las correlaciones. En el AMA se reconoce el papel de los seguros como mitigadores del R.O. Con un límite máximo del 20% de los requerimientos de capital. Rating mínimo A de la compañía de seguros. Pólizas de más de un año. Compañía de seguros ajena al grupo.
Uso parcial Se permitirá utilizar el AMA para algunas partes de la operativa y el indicador básico o el enfoque estándar en el resto sujeto a:
La parte cubierta con el AMA debe ser significativa. Plan de extensión total del AMA presentado al supervisor. La parte cubierta por el AMA satisface los requisitos cualitativos para ello.
Por tanto, el cumplimiento de los requerimientos de la Directiva de Capital para adoptar cualquier de los métodos establecidos (Básico, Estándar o AMA) implica l a implantación de una serie de requerimientos cuantitativos en la medición del nivel de riesgo, y una serie de requerimientos cualitativos que incorporamos a continuación: Criterios de admisión / Basilea II Cumplimiento de las "Sound Practices for the Management and Supervision of Operational Risk". Documentación de políticas, controles y procedimientos internos relativos al sistema de gestión del riesgo operacional. Asignación de responsabilidades claras a la Unidad de Gestión del Riesgo Operacional. Validación y exámen periódico independiente de los procesos de gestión y sistemas de evaluación del riesgo operacional. Recursos suficientes para aplicar la metodología en las principales líneas de negocio y en los ámbitos de control y auditoría Participación activa del Consejo de Administración y de la Alta Dirección en la vigilancia del marco de gestión. Sistema de gestión conceptualmente sólido y aplicado en su totalidad.
Indicador Básico
Modelo Estándar
Modelo Avanzado
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
Comentarios
MARCO DE GESTIÓN DEL RIESGO OPERACIONAL
ASIGNACIÓN RECURSOS
DE
CUADRO DE MANDO DE RIESGO OPERACIONAL
Sistema periódico de reporting a la dirección de las unidades de negocio, a la Alta Dirección y al Consejo de Administración. Análisis sistemático de las pérdidas relevantes en cada línea de negocio. Sistema de gestión del riesgo operacional perfectamente integrado dentro de los procesos de gestión del riesgo de la Entidad. Utilización, en el sistema de cálculo del riesgo operacional, de análisis de escenarios y factores que reflejen el entorno del negocio y los sistemas de control interno. Utilización, en el sistema de cálculo del riesgo operacional, de datos internos y datos externos. Identificación de eventos situados en las "colas" de la distribución de probabilidad (criterio de solidez). Cálculo basado en 5 años mínimo de observación de datos internos de pérdida (3 años la primera vez que se utilice el modelo avanzado). Integridad de los datos internos de pérdida. Establecimiento de un umbral mínimo para la recopilación de datos. Metodologías de incorporación de datos externos y procedimientos periódicos de revisión de la adecuación de los mismos.
*
*
*
*
BASE DE DATOS DE PÉRDIDAS
*
SISTEMAS MEJORA CONTINUA
*
METODOLOGÍAS CUALITATIVAS (CUESTIONARIOS, KRI's)
*
DE
*
*
*
METODOLOGÍAS CUANTITATIVAS, MOTOR DE CÁLCULO
*
*
METODOLOGÍAS CUANTITATIVAS, DATOS EXTERNOS
Tecnología La norma ecuatoriana prevé lo establecido en el Capítulo V “De la gestión del riesgo operativo”, del Título X “De la gestión y administración de riesgos” del Libro I “Normas generales para la aplicación de la ley general de instituciones del sistema finan ciero” de la
Codificación de Resoluciones de la Superintendencia de Bancos y Seguros, y en lo referente a riesgo operativo en las tecnologías de información establece: “Las instituciones controladas deben contar con la tecnología de información que garan tice la
captura, procesamiento, almacenamiento y transmisión de la información de manera oportuna y confiable; evitar interrupciones del negocio y lograr que la información, inclusive aquella bajo
la modalidad de servicios provistos por terceros, sea íntegra, confidencial y esté disponible para una apropiada toma de decisiones”.
En la actualidad, esas comprobaciones son realizadas por el sistema de planificación de recursos empresariales de la empresa. ADMINISTRACIÓN DE PROCESOS La Administración de procesos es un tema fundamental para la adecuación de los mismos al las exigencias del mercado, procurando que todos los procesos trabajen en armonía para maximizar la eficiencia de las instituciones financieras. Por tanto exige de las organizaciones el establecimiento de procesos estructurados, que garanticen el cumplimiento de la misión, visión y objetivos estratégicos; es por ello eso que la norma propone que las entidades financieras administren adecuadamente los siguientes aspectos, los cuales se interrelacionan entre sí: 1. Procesos gobernantes o estratégicos.- Se considerarán a aquellos que proporcionan directrices a los demás procesos y son realizados por el directorio u organismo que haga sus veces y por la alta gerencia para poder cumplir con los objetivos y políticas institucionales. Se refieren a la planificación estratégica, los lineamientos de acción básicos, la estructura organizacional, la administración integral de riesgos, entre otros. 2. Procesos productivos, fundamentales u operativos.- Son los procesos esenciales de la entidad destinados a llevar a cabo las actividades que permitan ejecutar efectivamente las políticas y estrategias relacionadas con la calidad de los productos o servicios que ofrecen a sus clientes. 3. Procesos habilitantes, de soporte o apoyo.- Son aquellos que apoyan a los procesos gobernantes y productivos, se encargan de proporcionar personal competente, reducir los riesgos del trabajo, preservar la calidad de los materiales, equipos y herramientas, mantener las condiciones de operatividad y funcionamiento, coordinar y controlar la eficacia del desempeño administrativo y la optimización de los recursos. Adicionalmente, la norma dispone que las entidades identifiquen, aún en los servicios provistos por terceros, sus procesos críticos, es decir, aquellos que en caso de una interrupción, pondrían en peligro la continuidad de las operaciones; por lo cual, se justifica plenamente establecer planes de contingencia y de continuidad del negocio. Además las entidades deberán vigilar el cumplimiento de los procesos y someterlos a una mejora continua, para lo cual, deben desarrollar políticas para identificar, diseñar, medir, analizar, actualizar y controlar los procesos. ADMINISTRACIÓN DEL RECURSO HUMANO. Consiste en el proceso a través del cual las instituciones planifican y gestionan el recurso humano para promover su desempeño eficiente y alcanzar los objetivos individuales de las personas y los objetivos institucionales. Con la finalidad de que se promueva una cultura laboral y se alcance un trabajo eficiente y eficaz es necesario que las entidades definan políticas y procesos para la administración del recurso humano, conforme con su filosofía y sus propias necesidades. Existen ciertos aspectos relacionados con el personal, que toda organización deberá considerar al momento de establecer esas políticas: reclutamiento, selección, determinación de competencias, contratación, planes de carreras, evaluaciones de desempeño, criterios de remuneración, motivación, clima organizacional, higiene y seguridad, condiciones físicas y ambientales, rotación, finalización de la relación laboral, entre otros.
Para considerar la existencia de un apropiado ambiente de gestión de riesgo operativo, las instituciones controladas deberán definir formalmente políticas para un adecuado diseño, control, actualización y seguimiento de los procesos. Estos aspectos han sido incluidos en tres grupos de procesos para la administración del recurso humano:
Los procesos de incorporación.- Que comprenden la planificación de necesidades, el reclutamiento, la selección, la contratación e inducción de nuevo personal; Los procesos de permanencia.- Que cubren la creación de condiciones laborales idóneas; la promoción de actividades de capacitación y formación que permitan al personal aumentar y perfeccionar sus conocimientos, competencias y destrezas; la existencia de un sistema de evaluación del desempeño; desarrollo de carrera; rendición de cuentas; e incentivos que motiven la adhesión a los valores y controles institucionales. Los procesos de desvinculación.- Que comprenden la planificación de la salida del personal por causas regulares, preparación de aspectos jurídicos para llegar al finiquito y la finalización de la relación laboral.
ADMINISTRACIÓN DEL RIESGO OPERATIVO DEL FACTOR DE PROCESOS. La normativa de riesgos emitida por la Superintendencia de Bancos y Seguros en lo relativo a la Administración del Riesgo y más en lo puntualmente relacionado con el Riesgo Operacional, no está orientada a exigir a las entidades controladas el desarrollo de sofisticadas metodologías de estimación de necesidades de capital por el riesgo de operación, sino, más bien, busca promover y guiar a las entidades controladas en el desarrollo de un apropiado ambiente de gestión de este riesgo, conforme con los principios establecidos por el Comité de Supervisión Bancaria de Basilea. La administración del riesgo operativo por procesos, permitirá a los administradores de las entidades identificar, medir, mitigar y monitorear sus operaciones expuestas a éste riesgo en el desarrollo de sus actividades. La identificación del riesgo operativo por procesos es una actividad continua, orientada a reconocer y entender los riesgos existentes en cada operación efectuada, de tal forma que permita minimizar pérdidas y maximizar las oportunidades. Para administrar adecuadamente el riesgo operativo en necesario que los procesos sean establecidos por tipo de actividad de acuerdo con los productos y servicios que genera, detallándose por escrito todo el movimiento realizado. La administración del riesgo de operación es responsabilidad de:
El Directorio u organismo que haga sus veces. Comité de Administración Integral de Riesgos.- Organismo colegiado, conformado al menos con: Un vocal del directorio o del organismo que haga sus veces, que no sea miembro del Comité de Auditoria, quien lo presidirá; El máximo o primer representante legal de la institución de que se trate.
La administración integral del riesgo operacional por procesos contempla:
Identificación: El directorio debe decidir la adopción de determinados riesgos, cuando hayan definido, entre otros aspectos, su estrategia de negocio, políticas, procedimientos, estructura funcional, objetivo de la entidad y el tipo de producto, a ser a ofrecidos a sus afiliados o socios.
La identificación del riesgo es un proceso continuo y se dirige a reconocer y entender los riesgos existentes en cada operación efectuada, y así mismo, a aquellos que pueden surgir de iniciativas de nuevos productos. Las políticas y estrategias del fondo deben definir el nivel de riesgo considerado como aceptable; este nivel se manifiesta en límites de riesgo puestos en práctica a través de políticas, normas, procesos y procedimientos que establecen la responsabilidad y la autoridad para fijar esos límites, los cuales pueden ajustarse si cambian las condiciones o las tolerancias de riesgo. Generalmente de la investigación del riesgo operativo por procesos surgen planes de mejora, edición de manuales de productos, manuales de funciones, reformas a instructivos, etc.
Medición: Una vez identificados los riesgos de operación por procesos deben ser cuantificados o medidos con el objeto de determinar el cumplimiento de las políticas, los límites fijados y el impacto económico para la Entidad, permitiendo a la administración disponer los controles o correctivos necesarios. Las metodologías y herramientas para medir este tipo de riesgo deben reflejar la complejidad de las operaciones y de los niveles de riesgos asumidos, la que verificará periódicamente su eficiencia para justificar actualizaciones o mejoras según demanden sus necesidades. Se debe iniciar un proceso de recopilación de información a través de la conformación de bases de datos para que a futuro se puedan estimar pérdidas esperadas e inesperadas atribuibles a este riesgo. La medición de la cultura de riesgos operacionales y control interno tiene como objetivo apreciar la madurez, sensibilidad e identificación de la institución en relación con el ámbito de los riesgos operacionales y controles. Esta medición considera los cinco componentes del estudio de Control Interno-Marco Conceptual del comité, los cuales son: ambiente de control, evaluación de riesgos, actividades de control, información y comunicación, seguimientos de controles y riesgos. La medición del riesgo, como es sabido, consiste en obtener la distribución de probabilidad de las pérdidas en un horizonte determinado. Control: Debe implantarse un sistema de control que permita verificar si los procesos identificados cumplen y reflejan las actividades realizadas y los servicios prestados. Como parte del sistema de control interno, la administración establecerá los controles administrativos, financieros, contables y tecnológicos necesarios, para asegurar que está administrando adecuadamente los riesgos operacionales por procesos, conforme las políticas aprobadas para el efecto, para lo cual los controles deben formar parte integral de las actividades regulares de la entidad para generar respuestas oportunas. Monitoreo: El monitoreo permite verificar si efectivamente se están aplicando las estrategias establecidas y si los procesos son los más indicados y reflejan la realidad del mismo, obteniendo los resultados esperados. Los directivos, dentro de sus competencias, harán seguimiento sistemático de las exposiciones de riesgo y de los resultados de las acciones adoptadas, lo cual significa un monitoreo permanente a través de un sistema de información para el riesgo operacional por procesos, lo que le permitirá contar con información suficiente para apoyar la toma de decisiones, que permita la generación de informes permanentes al
menos mensuales: oportunos, objetivos, relevantes, consistentes y dirigidos a sus socios y funcionarios. Si el riesgo de operación no es administrado adecuadamente podría ocasionar pérdidas importantes que colocarían a la institución en una situación de riesgo a la seguridad y solidez. RESPONSABILIDADES EN LA ADMINISTRACIÓN DEL RIESGO OPERATIVO. La gestión del riesgo operativo involucra la participación y la responsabilidad de los máximos organismos de administración de las entidades, es por eso que la norma define responsabilidades específicas tanto para el Directorio u organismo que haga sus veces cuanto para el Comité y Unidad de Riesgos, siempre, bajo el contexto de las entidades en la norma de administración integral de riesgos, dichas funciones se refieren principalmente a:
La creación de una cultura organizacional con principios y valores de comportamiento ético que propicie la gestión eficaz del riesgo operativo; El establecimiento de políticas formales para la administración de los procesos, del recurso humano, de la tecnología de información y de los eventos externos; La implementación de un esquema de gestión de riesgo operativo con políticas, procesos y procedimientos para su identificación, medición, control y monitoreo, y; La definición de un plan de continuidad del negocio; entre las principales.
Como se puede apreciar, la norma sobre riesgo operacional no está orientada a exigir de las entidades controladas la aplicación, por el momento, de métodos cuantitativos de estimación de requerimientos de capital por el riesgo operativo, sino, más bien, busca promover y guiar a las entidades controladas en el desarrollo de un apropiado ambiente de gestión de este riesgo a través de la aplicación de prácticas sanas de gestión conforme con las recomendaciones del Comité de Supervisión Bancaria de Basilea; y de esta forma contribuir a la solidez y seguridad del sistema financiero mediante una administración adecuada del riesgo operativo que deben llevar a cabo las instituciones controladas y una supervisión preventiva con enfoque de riesgos que debe aplicar el organismo de control. ADMINISTRACIÓN DE LA TECNOLOGÍA DE INFORMACIÓN En cuanto a la tecnología, la expectativa es que las instituciones cuenten con una tecnología de información que soporte adecuadamente las operaciones y procesos de las entidades, siendo necesario cumplir los siguientes objetivos: Planifiquen ordenadamente sus requerimientos actuales y futuros de tecnología. Establezcan toda una serie de requisitos y condiciones de seguridad y de continuidad del negocio. Generaren información íntegra, disponible y confidencial. Aseguren que la tecnología no afecte al normal desenvolvimiento de sus operaciones.
IDENTIFICACIÓN DE RIESGOS OPERACIONALES. Descripción y definición de los principales procesos aplicados a operaciones para el Fondo de Cesantía de los Empleados del Instituto de Seguridad Social de las Fuerzas Armadas (ISSFA). La administración de las operaciones y los procesos, buscan en todas y cada una de sus etapas cuantificar el riesgo que éstas involucran y a la vez determinar la viabilidad que representa la colocación de recursos en el Fondo de Cesantía de Empleados del ISSFA.
A continuación se hace una breve descripción y definición de los procesos más importantes del Fondo de Cesantía de los Empleados del ISSFA. 1. Proceso de afiliación. El objetivo del proceso es registrar en el sistema del fondo los ingresos de los empleados, nuevos funcionarios, personal civil y militar de otros organismos de las Fuerzas Armadas que labora en el ISSFA, cuya afiliación es voluntaria. La base legal en la cual que se fundamenta éste proceso es el “Reglamento del Fondo de Cesantía de los Empleados del ISSFA”, por lo tanto los directivos del fondo son responsables de éste proceso. Se ha definido dos clases de AFILIACION al Fondo de Cesantía: Afiliación obligatoria.- Se produce a partir de la fecha del nombramiento o suscripción del contrato como empleado del ISSFA. Afiliación voluntaria.- Esta es para el personal militar y civil de otros organismos de las Fuerzas Armadas que laboran en el ISSFA, para lo cual deberán presentar una solicitud escrita.
El Departamento de Recursos Humanos del ISSFA le proporciona al Fondo de Cesantía la información actualizada de los datos personales, fechas de ingreso y salida, sueldo y datos personales de los empleados para la afiliación correspondiente. Los afiliados obligados o voluntarios, pierden la calidad de socios del fondo por las siguientes causas:
Por fallecimiento del afiliado, caso en el cual, quienes hayan sido designados por el afiliado, recibirán el 100% de la cuotas en los ocho días posteriores a la acreditación de la citada condición. Por la separación voluntaria del afiliado, de la Institución por cualquier causa. Por expulsión.4
Los socios voluntarios, pueden retirarse del fondo cuando estos manifiesten su voluntad de hacerlo y no podrán reingresar al mismo. Descripción del proceso. 1. El departamento de Recursos Humanos, entrega nombramientos o suscribe contrato con los nuevos funcionarios, con lo cual automáticamente pasan a ser afiliados del Fondo. 2. Si el personal militar y civil que laboran en el ISSFA y son de otros organismos de Fuerzas Armadas, desea afiliarse, llenará una solicitud de afiliación debidamente firmada. 3. El Departamento de Recursos Humanos del ISSFA, entrega al fondo información actualizada de los datos personales de los empleados para la afiliación correspondiente. 4. Recibida la información, los funcionarios del fondo, ingresan el total de aportes y en el sistema generan la cuenta individual. 2. Proceso de recaudación y aportes 4
Reglamento del Fondo de Cesantía de Empleados del ISSFA, Art. 8
El objetivo de éste proceso es el control, recuperación y registro de los aportes y dividendos de los préstamos otorgados. Los aportes individuales son retenidos automáticamente de las remuneraciones de los afiliados por el Departamento de Recursos Humanos del ISSFA y transferidos mensualmente, conjuntamente con los aportes patronales a la Tesorería del Fondo para su inversión inmediata. Los recursos que ingresan al Fondo de Cesantía, se destinan de la siguiente manera: Los aportes individuales, patronales y adicionales de los afiliados, van acumulándose en un fondo de capitalización individual, al que se le suman mensualmente, en forma proporcional a su aporte, el 90% de las utilidades generadas por las inversiones realizadas con los recursos del Fondo. El 10% restante de las utilidades anuales, más otros ingresos adicionales al Fondo, se destinan para gastos administrativos y de capital del Fondo.
Los registros contables incluyen un sistema de auxiliares que refleja en una cuenta individual para cada socio, las aportaciones mensuales y la parte de las utilidades que le corresponden. Descripción del proceso 1. El Fondo debe procesar los descuentos a efectuara a los afiliados y se remite listado al departamento de Recursos Humanos del ISSFA y a Tesorera de las Farmacias de Fuerzas Armadas (FARFA). 2. El departamento de Recursos Humanos del ISSFA y Tesorería de FARFA, reciben la información remitida por el Fondo, y realizan los descuentos correspondientes y remiten al Fondo los descuentos realizados. 3. El Fondo recepta, concilia y depura información proveniente de Recursos Humanos del ISSFA y de Tesorería de FARFA y carga la información a las cuentas individuales. 4. Genera reporte de las aportaciones recuperadas en el mes. 5. Notifica a Contabilidad los pagos recibidos. 3. Proceso de Servicios de créditos.
Subproceso: Créditos quirografarios El objetivo de éste proceso es otorgar préstamos ordinarios y extraordinarios a los afiliados, de acuerdo al financiamiento del fondo y a su capacidad económica, con el fin de coadyuvar en la satisfacción de sus necesidades. Son responsables del proceso la comisión de crédito del fondo de cesantía de empleados, conformada por el vicepresidente del fondo quien lo preside y dos vocales suplentes elegidos en el seno del directorio. Para ello cuenta con el correspondiente instructivo para la concesión de los créditos quirografarios, en el que se establece entre otros: Las condiciones para que los socios sean beneficiarios de éste tipo de crédito. Las condiciones financieras, como: cuantía de los créditos, capacidad de endeudamiento individual, plazos, intereses, garantías, formas de pago, mora. Especificaciones para el trámite de solicitud. Condiciones a la separación del fondo. El procedimiento para el desembolso de los créditos.
Descripción del proceso 1. El fondo proporciona información al afiliado sobre las condiciones, requisitos, monto y plazos de los préstamos. 2. Receptar la solicitud de crédito del afiliado y la documentación de respaldo (copia de cédula, 3 últimos roles de pago). 3. El fondo verificar el saldo de la cuenta individual del solicitante. 4. Verificación de la capacidad de pago del afiliado. 5. Determinar monto y plazo de crédito al que puede acceder. 6. Generar tabla de amortización y aprobar crédito 7. El tesorero del fondo emite cheque remite al gerente para la firma. 8. El tesorero firma y cancela crédito al afiliado. Los créditos se otorgan en orden de recepción de solicitudes, y se considera de mayor importancia la variable de capacidad de pago del socio, asegurando la recuperación del crédito.
Subproceso: Créditos hipotecarios. El objetivo de este proceso es otorgar y garantizar los recursos entregados en forma de créditos hipotecarios a los afiliados. La base legal con que se respalda este proceso es el Reglamento del Fondo de Cesantía de los Empleados del ISSFA y el Instructivo para la concesión de créditos hipotecarios para los socios del fondo de cesantía. La ejecución de éste proceso es el Consejo de Administración del Fondo de Cesantía de Funcionarios y Empleados del ISSFA, quienes otorga a sus socios préstamos hipotecarios los cuales se regula mediante el instructivo para la concesión de éstos créditos, en el que se establece entre otros: La finalidad que considera su concesión para financiar vivienda u otros bienes de patrimonio familiar. Las condiciones respecto a quienes acceden al derecho en calidad de sujetos de crédito. Las condiciones financieras, como: cuantía de los créditos, capacidad de endeudamiento individual, plazos, intereses, garantías, formas de pago, seguro, mora. Especificaciones para el trámite de solicitud. Procedimiento para el desembolso de los créditos. Descripción del proceso 1. El fondo proporciona información al afiliado sobre las condiciones, requisitos, monto y plazos de los préstamos. 2. Receptar la documentación básica de respaldo (copia de cédula, 3 últimos roles de pago). 3. Generar y legalizar solicitud de crédito. 4. La Comisión de crédito del fondo analiza y verifica la capacidad de endeudamiento del afiliado, roles de pago, deudas con el ISSFA y determina monto y plazo de crédito al que puede acceder. 5. La Comisión de crédito recepta y analiza la documentación del bien objeto del crédito (Escrituras, registro de la propiedad, avalúo del inmueble). Si cumplen con lo establecido aprueba los créditos de acuerdo a la disponibilidad de recursos 6. El fondo informa al afiliado la probación del crédito para que proceda con trámite de elaboración y legalización de la minuta.
7. Una vez que el afiliado haya realizado todos los trámites pertinentes, entrega las escrituras con el bien hipotecado a favor del fondo. 8. El Tesorero emite y firma el cheque para cancelación del crédito y entrega al gerente para la firma respectiva. SOLUCIONES PARA MINIMIZAR EL RIESGO OPERATIVO La atención a los riesgos de Tecnologías de la Información constituye una necesidad urgente hoy en día, a fin de salvaguardar la información contra el uso, revelación, modificación y accesos no autorizados. Para minimizar este evento de riesgo operativo, las Instituciones además de políticas y procedimientos de seguridad de la Información, requieren poder disponer de un Sistema de Administración de las seguridades de acceso a la información que incluya perfiles y atributos de los usuarios, autenticación y control de niveles de autorización y pistas de auditorías.
FrameWork Web Security Plataforma de Administración que ayuda a mitigar o minimizar el riesgo de la Seguridad Lógica.
Las instituciones financieras actualmente intercambian información electrónica con sus clientes, Proveedores y Socios de Negocios prácticamente desde cualquier parte del mundo, pero esta información muchas veces está desprotegida y de fácil acceso a personas ajenas al negocio que podrían intencionalmente o por desconocimiento adulterarla o dañarla ocasionado pérdidas financieras.
MTRA Módulo de Transmisión y Recepción de Archivos. Es un Sistema de Gestión y Monitoreo de actividades de transferencias de archivos.
Otro evento de riesgo operativo, no menos importante que los dos anteriores, es la administración de servicios y contratos provistos por terceros, es decir contar con herramientas que aseguren una adecuada selección y clasificación de los proveedores, así como un seguimiento a sus contratos.
Administración de Proveedores y Contratos
Estas tecnologías están dirigidas a todas las instituciones del sistema financiero públicas y privadas, conscientes de la importancia de mejorar sus Sistemas de Control Interno para disminuir pérdidas financieras por fallas operativas y consecuentemente obtener mejoras en sus indicadores de eficiencia. Particularmente nuestras soluciones van orientadas a minimizar el riesgo operativo indicado en la resolución de la Junta Bancaria JB-2005-834 concerniente a “Tecnología de la Información” y “Servicios Provistos por Terceros”.
Dado que esta resolución está basada en principios y recomendaciones del comité de Supervisión Bancaria de Basilea, nuestras herramientas pueden ser implementadas en cualquier entidad financiera del exterior.
BIBLIOGRAFÍA
COMITÉ DE SUPERVISIÓN BANCARIA. Convergencia Internacional de Medidas y normas de capital. Marco revisado. Junio 2004. COMITÉ DE SUPERVISIÓN BANCARIA DE BASILEA. “Buenas prácticas para la Gestión y Supervisión del Riesgo Operativo”. Banco de Pagos Internacionales. Febrero 2003
LIBRO I.- NORMAS GENERALES PARA LA APLICACIÓN DE LA LEY GENERAL DE INSTITUCIONES DEL SISTEMA FINANCIERO SUPERINTENDENCIA DE BANCOS Y SEGUROS;
LINCOGRAFÍA
http://repositorio.uasb.edu.ec/bitstream/10644/1048/1/T-0653-MFGRFlores-Administraci%C3%B3n%20de%20riesgo%20operativo.pdf http://www.riesgooperacional.com/docs/documentos/ecuador/Ecuador%20R iesgo%20operativo%20ultima%20actualizacion.pdf
