La Superintendencia de Bancos de Ecuador a través de la Norma de control para la gestión del riesgo operativo da los lineamientos que deben tener en cuenta las entidades del sector financiero público y privado para una adecuada administración del riesgo operativo.
A través de la Resolución N° SB-2021-2126 del 2 de diciembre de 2021, la Superintendencia de Bancos de Ecuador sustituyó el Capítulo V “Norma de control para la gestión del riesgo operativo” del Título IX “De la gestión y administración de riesgos” del Libro I “Normas de control para las entidades de los sectores financieros público y privado”.
De acuerdo con lo dispuesto en la norma, el sector financiero público son los bancos y las corporaciones, mientras que el sector financiero privado son los bancos múltiples, los bancos especializados, las entidades de servicios financieros y las entidades de servicios auxiliares del sistema financiero.
Por otro lado, en esta norma el riesgo operativo es entendido como “la posibilidad de que se ocasionen pérdidas por eventos derivados de fallas o insuficiencias en los factores de: procesos, personas, tecnología de la información y por eventos externos. El riesgo operativo incluye el riesgo legal, pero excluye los riesgos sistémico, estratégico y de reputación”.
En general, para la administración integral de este tipo de riesgos, según la norma, las entidades controladas deben definir políticas, procesos, procedimientos y metodologías para la gestión del riesgo operativo como un riesgo específico.
Igualmente, deben adoptar un modelo basado en el esquema de las tres líneas de defensa considerando su objeto social, tamaño, naturaleza, complejidad de sus operaciones y otras características propias.
La administración del riesgo operativo también debe permitir a las entidades controladas la identificación, medición, control y monitoreo de la exposición que tienen a este riesgo en el desarrollo de sus negocios y operaciones.
A continuación podrás conocer los principales aspectos de la Norma de control para la gestión del riesgo operativo. Entre otros temas, te contaremos sobre las etapas de la administración del riesgo, los factores de riesgo operativo y la gestión de incidentes.
Además, te mostraremos cómo a través de nuestro Sistema de Gestión de Riesgos Operativos, ORM, facilitamos a las entidades el cumplimiento de esta norma.
Para una gestión adecuada y efectiva del riesgo operativo, la norma establece que las entidades controladas deben ejecutar las siguientes acciones:
Según el artículo 5 de la norma, las entidades controladas deben identificar los riesgos operativos por línea de negocio, tipo de evento, factor de riesgo operativo y las fallas o insuficiencias. Para hacer esto deben utilizar una metodología que esté debidamente documentada y aprobada, que además incorpore el uso de herramientas que se ajusten a las necesidades de la entidad.
Con respecto a los tipos de eventos de riesgo operativo, deben considerar por lo menos los siguientes:
Después de haber identificado los riesgos operativos y las fallas o insuficiencias relacionadas con los factores de riesgo, tal como lo específica el artículo 6, las entidades deben medir el riesgo determinando su probabilidad de ocurrencia e impacto que puede tener para esta.
Esto con el fin de tener una visión clara de la exposición a este riesgo y poder tomar decisiones y acciones de manera oportuna, es decir, si se va mitigar, transferir, asumir o evitar el riesgo reduciendo sus efectos.
Adicionalmente, deben implementar mecanismos de cuantificación periódica sobre los eventos de pérdidas producidos por este tipo de riesgos para así poder reevaluar la declaración de tolerancia institucional ante el riesgo operativo.
El artículo 7 de la norma señala la importancia del control para la administración del riesgo operativo. En general, los controles deben ser parte integral de las actividades regulares de la entidad controlada para poder generar respuestas oportunas ante eventos de riesgo operativo y las fallas o insuficiencias que los ocasionaron.
Y las entidades controladas también deben implementar mecanismos efectivos para mitigar los riesgos relacionados a los factores del riesgo operativo.
Las entidades controladas, de acuerdo con el artículo 8, deben realizar un monitoreo permanente de los riesgos asociados a sus procesos, nivel de exposición y también deben contar con un esquema de reportes que les permita tener información suficiente, pertinente y oportuna para la toma de decisiones. Entre otros aspectos, este reporte debe incluir:
Sumado a esto, los informes trimestrales dirigidos al comité de administración integral de riesgos de la entidad deben incluir:
Esto con el objetivo de que puedan ser analizados con una perspectiva de mejora constante del desempeño en la gestión del riesgo operativo; además, para establecer o modificar políticas, procesos, procedimientos y metodologías.
Adicional a las cuatro etapas de identificación, medición, control y monitoreo de los riesgos operativos, el artículo 9 de la norma indica que las entidades controladas deben conformar bases de datos centralizadas que les permita registrar, ordenar, clasificar y disponer de información sobre los riesgos y eventos de riesgo operativo de orden legal, de seguridad de la información y de continuidad del negocio.
Además del efecto cuantitativo de pérdida producida y estimada, la frecuencia y probabilidad y otra información que consideren necesaria y oportuna para estimar las pérdidas atribuibles a este tipo de riesgo. La unidad de riesgo operativo es la responsable de administrar esta base de datos.
La norma también indica, artículo 10, que las entidades deben definir una política de comunicación formal de los eventos de riesgo operativo que deban informar interna o externamente, esta debe estar sujeta a revisión periódica según las estrategias organizacionales. Igualmente, deben implementar un proceso para evaluar el impacto de la información a comunicar en función a su gestión de riesgos.
Para disminuir la probabilidad de tener pérdidas atribuibles al riesgo operativo, las entidades controladas deben administrar este riesgo para cada uno de sus factores, es decir:
El artículo 13 indica que para garantizar la optimización de los recursos y la estandarización de las actividades, las empresas deben adoptar un enfoque eficiente y eficaz de gestión por procesos.
Este debe estar basado en el estándar ISO 9001 y entre otros elementos puede incluir:
1. El mapa de procesos según la estrategia y las políticas adoptadas por la entidad. Los procesos deben estar agrupados así:
2. La asignación de los procesos productivos a las líneas de negocio según los productos y servicios generados. Ningún proceso debe estar sin asignación a una línea de negocio.
3. Una metodología para el diseño, control, actualización, seguimiento y medición de los procesos. Entre otros aspectos, esta metodología debe contener:
4. Inventarios actualizados de los procesos existentes, estos deben tener la siguiente información: tipo de proceso, nombre del proceso, responsables, línea de negocio, fecha de aprobación y fecha de actualización.
5. La separación de funciones para evitar concentraciones de carácter incompatible, es decir, aquellas tareas que ejecuta una sola persona y que podría facilitar la realización o el ocultamiento de fraudes, errores, omisiones u otros eventos de riesgo operativo.
6. Indicadores para cada uno de los procesos para poder medir la efectividad de estos.
Con respecto a este factor, el artículo 14 de la norma dice que las empresas deben administrar el recurso humano de forma tal que les permita gestionar los riesgos asociados a este. En este sentido deben:
De acuerdo con el artículo 15 de la norma, las entidades controladas deben contar con tecnología de la información que permita garantizar la captura, procesamiento, almacenamiento y transmisión de la información de forma segura, oportuna y confiable; además, evitar que haya interrupciones del negocio y lograr que la información esté disponible para la toma de decisiones.
De esta manera, las entidades deben, entre otras cosas:
Sobre este cuarto factor de riesgo operativo, la norma dice que las entidades deben considerar la posibilidad de pérdidas a causa de eventos ajenos a su control, por ejemplo: fallas en los servicios públicos, desastres naturales, ataques cibernéticos, atentados y otros actos delictivos que pueden afectar el desarrollo normal de sus actividades.
Así mismo, la norma indica que la gestión de los riesgos relacionados con eventos externos debe formar parte de la administración de la continuidad del negocio, buscando así garantizar su capacidad de operación de forma continua y minimizar las pérdidas en caso de presentarse una interrupción.
Los incidentes son todos aquellos sucesos que puedan afectar el normal funcionamiento de los servicios de una organización.
El artículo 17 de la norma establece que las entidades controladas deben desarrollar e implementar planes de respuesta y recuperación para gestionar los incidentes, especialmente aquellos que estén relacionados con sus servicios críticos, en línea con la tolerancia al riesgo definida por la entidad y teniendo en cuenta las mejores prácticas de la industria.
Para llevar a cabo esta gestión de incidentes, las entidades deben considerar, por lo menos:
Para dar cumplimiento a la Norma de control para la gestión del riesgo operativo de una manera adecuada, más simple y eficiente, es recomendable que las entidades del sector financiero público y privado se apoyen en herramientas tecnológicas que faciliten la administración del riesgo operativo.
Con el Sistema de Gestión de Riesgos Operativos de Pirani, ORM, podemos ayudar a las entidades como la tuya a ejecutar fácilmente cada una de las etapas de la gestión de riesgos indicadas en la norma:
A través del módulo de Riesgos de nuestro sistema en tu empresa pueden crear los diferentes riesgos operativos a los que están expuestos, determinar sus causas y consecuencias y asociarlos a los procesos, que pueden crear en el módulo de Procesos especificando si son de tipo estratégico, misional o de apoyo, así como si son un macroproceso, un proceso o un subproceso.
En Pirani pueden crear y parametrizar la matriz de riesgos, es decir, establecer los niveles de riesgo y las variables de probabilidad e impacto según la metodología utilizada en la organización.
Después de tener la matriz creada, en la creación de los riesgos identificados pueden calificar tanto la probabilidad como el impacto que estos tendrían, según las variables definidas en la matriz. Una vez lo hagan, pueden ver la ubicación de cada uno de los riesgos inherentes en la matriz de riesgos.
El módulo de Controles de nuestro Sistema de Gestión de Riesgos Operativos les permite crear los controles para mitigar la probabilidad o el impacto de los riesgos operativos identificados, además, a través de las variables de diseño y ejecución que definan, pueden establecer la solidez de estos.
Los controles pueden ser correctivos, detectivos o preventivos y pueden asociarse fácilmente a los riesgos, de esta manera, se obtiene el riesgo residual.
Además de los controles, el sistema también les permite crear planes de acción para un adecuado tratamiento de los riesgos operativos. En estos planes se puede incluir información como nombre, descripción, fecha de inicio, fecha de finalización, responsable y las actividades que conforman el plan.
Por medio del módulo de Reportes van a poder visualizar y descargar diferentes informes sobre la gestión de los riesgos operativos, por ejemplo, el perfil de riesgos por procesos, el perfil de riesgo organizacional, la evolución de la matriz de riesgos (inherentes y residuales), los eventos por estado, entre otros.
Adicionalmente, gracias a la centralización de toda la información pueden realizar un monitoreo continuo a la gestión que realizan y de esta forma, pueden tomar decisiones oportunas que beneficien a la entidad.
Con respecto a la base de datos centralizada sobre riesgos y eventos de riesgo operativo, Pirani a través del módulo de Eventos les permite registrar los diferentes eventos de riesgo operativo que puedan presentarse. En el sistema pueden agregar información sobre estos: nombre, descripción, dónde ocurrió, fecha de inicio y fecha de descubrimiento, si genera pérdidas y adjuntar evidencia.
¿En tu empresa ya conocen nuestro Sistema de Gestión de Riesgos Operativos, ORM?
Solicita ayuda aquí si eres cliente →
Somos Pirani → 
