Gestión Integral de Riesgos:
Mejores Prácticas
Agosto 2006
Firma miembro de
*connectedthinking
*connectedthinking
Origen del estudio del Committee of Sponsoring
Organizations of the Treadway Commission (COSO)
Lo nuevo de COSO
¿Por qué surge COSO II-ERM?
• Debido a la preocupación y al aumento del interés
en la gestión de riesgo durante la segunda mitad de
los años 90, el comité de las organizaciones que
patrocinaban la Comisión de Treadway (COSO)
determinó que había una necesidad de un marco
común de Gestión Integral de Riesgo
• En el 2001 la Comisión contrató a
PricewaterhouseCoopers para desarrollar un marco
para evaluar y mejorar la gestión de riesgo en las
organizaciones
• COSO - ERM se crea ampliando a COSO I para la
gestión integral de riesgo pero no para sustituir el
marco de control interno
• En Septiembre de 2004 se publicó el estudio ERM
(Enterprise Risk Management) Integrated
Framework
2
Origen del estudio del Committee of Sponsoring
Organizations of the Treadway Commission (COSO)
1. Es un proceso…
2. realizado por la junta directiva, la
gerencia y demás personal de la
entidad,…
3. basado en el establecimiento de
estrategias para toda la empresa, …
4. diseñadas para identificar eventos
potenciales que puedan afectar a la
entidad, y gerenciar los riesgos dentro
del apetito de riesgo…
5. para proporcionar una seguridad
razonable referente al logro de los
objetivos del negocio
Fuente: Enterprise Risk Management — Integrated Framework Septiembre, 2004
Espiñeira, Sheldon y Asociados firma miembro de la organización mundial PricewaterhouseCoopers
3
Origen del estudio del Committee of Sponsoring
Organizations of the Treadway Commission (COSO)
COSO II - ERM: Marco de Gestión Integral
de Riesgo (Enterprise Risk Management)
COSO I: Control Interno - Marco
Conceptual Integrado
po
e
R
rte
m
Cu
ien
m
i
pl
Monitoreo
Información y Comunicación
Actividades de Control
Evaluación de Riesgos
to
Unidad A
Unidad B
Actividad 1
Actividad 2
e
Op
es
ic on
ra
Ambiente de Control
Espiñeira, Sheldon y Asociados firma miembro de la organización mundial PricewaterhouseCoopers
4
Componentes del COSO-ERM
Objetivo Nuevo
Componente Ampliado
Componente Ampliado
Componente Ampliado
Nuevo Componente
Componente Ampliado
Nuevo Componente
Nuevo Componente
Componente Ampliado
Considera las
actividades de todos los
niveles de la
organización 5
Componentes de COSO-ERM
Ambiente de Control
6
Componente COSO-ERM: Ambiente de Control
Enmarca el tono de la organización, influenciando la conciencia del riesgo en su personal.
Es la base del resto de los componentes y provee disciplina y estructura.
Este componente establece:
• Una filosofía de gestión integral de
riesgo
• Nivel de riesgo que la alta gerencia
asume (Apetito de riesgo)
• Rol supervisorio de la junta directiva en
la gestión integral de riesgo
• La integridad y los valores éticos
• Una estructura de gestión integral de
riesgos: Sistemas de delegación de
autoridad, roles y responsabilidades y
líneas de reporte
• Estándares de recursos humanos:
habilidad y competencia de los
empleados
7
Componente COSO-ERM: Ambiente de Control
Filosofía de Gestión de Riesgo - Ejemplo
Enseñar
con
palabras y
acciones
“ERM debe proveer a nuestra
organización de capacidades
superiores para identificar, evaluar, y
gestionar en amplio espectro los
riesgos en todos los niveles de
cargo a fin de mejorar el
entendimiento y manejo de los
riesgos. Para ello debe proveer:
• Aceptación responsable del riesgo
• Apoyo para el comité ejecutivo y
junta directiva en la creación de
portafolio de riesgos
• Considerar los diferentes riesgos
en la toma de decisiones… “
8
Componente COSO-ERM: Ambiente de Control
Filosofía de Gestión de Riesgo
Cultura de Riesgo y Control
• La cultura de riesgo fluye desde la
filosofía y el apetito de riesgo de la
entidad
• Una gestión integral de riesgo es
exitosa y eficiente, cuando la
organización mantiene una cultura de
riesgo positiva; esto es que toda la
entidad tenga conciencia de los
riesgos y cumpla con los ocho (8)
componentes COSO -ERM
9
Componente COSO-ERM: Ambiente de Control
Integridad y Valores Éticos
• Son comunicados por medio de un código formal
de conducta
• Establecimiento de canales de comunicación y
denuncia
• Compromiso de los empleados en comunicar
aquellas situaciones que se consideren
incumplimiento del código de ética y conducta
• Deben ser mostrados con acciones
La efectividad de la gestión integral de riesgo, nunca superará la integridad y
los valores éticos de las personas que crean, administran y monitorean las
actividades de la entidad
10
Componente COSO-ERM: Ambiente de Control
Integridad y Valores Éticos
Estructura del Código de Conducta
Secciones del Código
- Visión, misión y objetivos
- Manifiesto de la Presidencia Ejecutiva exhortando al
cumplimiento del Código
- Declaración de los valores éticos de la organización
- Las responsabilidades individuales y
organizacionales
- Lineamientos éticos y medidas disciplinarias
- Guía o canales para resolver las cuestiones éticas
- Glosario de términos
11
Componente COSO-ERM: Ambiente de Control
Integridad y Valores Éticos
Canales de denuncia
Opción 1
Opción 2
Opción 3
Identificación del denunciante
Anonimato Parcial
Anonimato Total
Identificación de la
identidad de la persona
que denuncie
irregularidades
Se conoce al denunciante
pero no se divulga su
identidad
Conservación del
anonimato absoluto de la
identidad de la persona
que denuncie
irregularidades
Esta es una de las
opciones más utilizada.
Cuenta con canales de
comunicación bajo el
control de unidades de
gestión de ética y
conducta
Cuenta con canales de
comunicación
confidenciales para
conservar el anonimato
Canales abiertos de
comunicación
Fax, buzón de voz, números telefónicos directos y correo electrónico
12
Componente COSO-ERM: Ambiente de Control
Estructura organizacional
Está diseñada de acuerdo al tamaño y naturaleza de las actividades de la entidad
• Facilita la efectividad de gestión
integral de riesgo
• Define áreas clave de
responsabilidad
• Establece líneas de reporte
13
Componente COSO-ERM: Ambiente de Control
Estructura organizacional
Existen diferentes alternativas de estructura organizacional, donde los
roles y responsabilidades, así como las líneas de reporte pueden
presentar debilidades y fortalezas diferentes
Junta Directiva
• Opción A: Lidera la gestión de
riesgo: existe una unidad de gestión de
riesgo que coordina todas las actividades en la organización, reporta al
Comité de
Comité
de
comité de riesgo. Auditoría interna es responsable
por
la evaluación de
riesgo
auditoría
CEO
la efectividad de los procesos, prueba
los controles clave establecidos
para la repuesta al riesgoGrupo de alta gerencia
Auditor Interno
Senior
CFO CTO Legal CIO
Gerencia
Integral de
riesgo
Auditoría
Interna
Unidades de
Negocio
Aseguramiento
Fraude
Seguro
PCN
Seguridad de
Información
14
Componente COSO-ERM: Ambiente de Control
Estructura organizacional
Existen diferentes alternativas de estructura organizacional, donde los
roles y responsabilidades, así como las líneas de reporte pueden
presentar debilidades y fortalezas diferentes
Junta de
Directiva
• Opción B: Lidera la gestión
riesgo y aseguramiento: existe una
unidad de gestión de riesgo que es reponsable de los riesgos y el
de
aseguramiento del cumplimiento Comité
de
las
actividades
Comité de Auditoríade la gestión de
Riesgo
CEO
riesgo
Grupo de alta gerencia
Auditor Interno
Senior
CFO CTO Legal CIO
Unidades de
Negocio
Gerencia
Integral de
riesgo
Auditoría
Interna
Aseguramiento
Fraude
Seguro
PCN
Seguridad de
Información
15
Componente COSO-ERM: Ambiente de Control
Estructura organizacional
Existen diferentes alternativas de estructura organizacional, donde los
roles y responsabilidades, así como las líneas de reporte pueden
presentar debilidades y fortalezas diferentes
Junta Directiva
• Opción C: Las funciones de
la gerencia de riesgo son lideradas por
auditoría interna
Comité de
Auditoría y Riesgo
CEO
Grupo de alta gerencia
CFO CTO Legal CIO
Auditor Interno
Senior/ CRO
Unidades de Negocio
Auditoría Interna y
Gerencia de Riesgo
Aseguramiento
Fraude
Seguro
PCN
Seguridad de
Información
16
Componente COSO-ERM: Ambiente de Control
Estructura organizacional
Existen diferentes alternativas de estructura organizacional, donde los
roles y responsabilidades, así como las líneas de reporte pueden
presentar debilidades y fortalezas diferentes
Junta Directiva
• Opción D: Estructura descentralizada,
donde no existe una unidad
específica de riesgo sino que cada unidad deComité
negocio
es responsable
de Auditoría
de la gestión de riesgo
CEO
Grupo de alta gerencia
CFO CTO Legal CIO
Auditor Interno
Senior
Auditoría
Internal
Unidades de
Negocio
Aseguramiento
Fraude
Seguro
PCN
Seguridad de
Información
17
Componente COSO-ERM: Ambiente de Control
Asignación de autoridad y responsabilidades
ROLES Y FUNCIONES DE LA GESTIÓN DE RIESGO
Junta Directiva
• Velar y supervisar la adecuada administración y control de los riesgos
• Tomar decisiones
sobre las pérdidas financieras por reducción del patrimonio que la
Gerencia
de Riesgo
organización
pueda sufrir
causa
de la materialización
deriesgo
los riesgos
• Garantizar
el cumplimiento
dela plan
estratégico
de gestión de
integral de la Institución
• Aprobar los planes de acción resultantes de la identificación, evaluación y medición de los
Presidencia
riesgos
y las acciones mitigantes
• Delegarlos
la responsabilidad,
en el Comité
degestión
Riesgo,del
deriesgo
entender
todosasociados
los riesgos
la
• Establecer
mecanismos adecuados
para la
integral
al de
mayor
usoorganización
de tecnología Designar delegados de riesgo para cada unidad de negocios y apoyo
• Asegurar que los requisitos sistemáticos, organizativos, procedimentales y culturales
Coordinadores
de Riesgo
por Unidad
Negocio
estén establecidos
para administrar
todos losde
riesgos
• Administrar los riesgos
• Participar activamente en las auto-evaluaciones del riesgo integral en su área.
Comité
de Riesgo
• Realizar
seguimiento
de los indicadores de riesgo.
•
Designar
al
responsable
la materialización
Unidad de Administración
Integral de Riesgo.
• Seguir y reportar las pérdidasdepor
de los riesgos
• Supervisar el desempeño y el cumplimiento de los objetivos de la Unidad de
Administración Integral de Riesgo con respecto a la gestión de riesgos
Auditoría
Interna
• Aprobar la metodología diseñada por la Unidad de Administración Integral de Riesgo
• Supervisar el cumplimiento de las políticas y procedimientos de la gestión del riesgo integral
para identificar, medir, controlar, monitorear y valorar los diversos riesgos asumidos por
• Revisar el marco general de la gestión del riesgo integral
la organización
18
Componente COSO-ERM: Ambiente de Control
Normas de recursos humanos, habilidades y competencias
• Establecen las normas de orientación, adiestramiento,
evaluación, promoción, compensación, y acciones de
remediación, manejo esperado de niveles de integridad,
comportamiento ético y competencia
• Envían mensajes de acciones disciplinarias ante violaciones
de comportamiento esperado que no pueden ser toleradas
• La capacidad del personal de la organización refleja el
conocimiento y las habilidades necesitados para realizar las
tareas asignadas
• Permite a la gerencia alinear los costos-beneficios
19
Componentes de COSO-ERM
Establecimiento de Objetivos
20
Componente COSO-ERM: Establecimiento de Objetivos
Dentro del marco de la definición de la misión y visión, la gerencia
establece las estrategias y objetivos
• La gestión integral de riesgo se
asegura que la gerencia cuente con
un proceso para definir objetivos
que estén alineados con la misión y
visión, con el apetito de riesgo y
niveles de tolerancia
• Los objetivos se clasifican en
cuatro categorías:
• Estratégicos
• Operacionales
• Reporte o presentación de
resultados
• Cumplimiento
21
Componente COSO-ERM: Establecimiento de Objetivos
Apetito de Riesgo
Es el máximo nivel de riesgo que los accionistas están
dispuestos a aceptar
Medio
Excediendo
el Apetito de
Riesgo
establecimiento de la
estrategia
• La gerencia lo expresa como
un balance entre:
crecimiento, riesgo y retorno.
Dentro del
Apetito de
Riesgo
Bajo
Impacto
Alto
• Es una guía en el
• Dirige la asignación de
recursos
Bajo
Medio
Probabilidad
Alto
• Alinea la organización,
personal, procesos e
infraestructura
Componente COSO-ERM: Establecimiento de Objetivos
Tolerancia al Riesgo
Son los niveles aceptables de variación de las metas fijadas
Estrategia de negocio
Variación
Inaceptable
Límite de
tolerancia
Desempeño
Real
Meta Fijada
Límite de
tolerancia
Variación
Inaceptable
• La tolerancia al
riesgo se puede
medir
preferiblemente
en las mismas
unidades que los
objetivos
relacionados
Tiempo
23
Componente COSO-ERM: Establecimiento de Objetivos
Tolerancia al Riesgo
Estrategia de negocio
Límite de
tolerancia
Desempeño
Real
20% TDC en relación
con la cartera total
22%
Límite de
tolerancia
18%
Tiempo
Colocación de tarjeta de crédito
24
Componentes de COSO-ERM
Identificación de Eventos
25
Componente COSO-ERM: Identificación de Eventos
Se identifican eventos potenciales que si ocurren pueden afectar a la entidad.
Base para los componentes: evaluación de riesgos y respuesta al riesgo
• La gerencia reconoce que la
incertidumbre existe, lo cual se
traduce en no poder conocer con
exactitud cuándo y dónde un
evento pudiera ocurrir, así como
tampoco sus consecuencias
financieras
• En este componente se identifican
los eventos con impacto negativo
(riesgos) y con impacto positivo
(oportunidades)
26
Componente COSO-ERM: Identificación de Eventos
Impacto positivo – impacto negativo
Evento: Devaluación cambiaria
Riesgo:
Deuda Externa
Oportunidad:
Inversión en moneda extranjera
Evento: Aumento de precios afectando los productos de 1000 grs
Riesgo:
Disminución de las ventas
Oportunidad:
Ventas de productos de 250 grs
27
Componente COSO-ERM: Identificación de Eventos
Eventos
• La gerencia identifica los eventos potenciales que afectan la puesta en
práctica de la estrategia o el logro de los objetivos, pudiendo tener
impactos positivos o negativos
• Incluso los eventos con baja posibilidad de ocurrencia se consideran
si el impacto en un objetivo es alto
• Los eventos se identifican en todos los niveles de la organización
Factores Influyentes
• La gerencia reconoce la importancia de entender los factores internos
y externos y el tipo de eventos que pueden generar
28
Componente COSO-ERM: Identificación de Eventos
Factores Externos
Económicos
• Disponibilidad de capital
• Incumplimiento de créditos
• Seguros
Ambiente Natural
Políticos
• Contaminación
• Cambios gubernamentales
• Energía
• Legislación
• Desastres naturales
• Regulaciones
• Incumplimiento
• Concentración
• Liquidez
• Financiamiento
• Flujo de caja
• Mercado
• Precios
Tendencias tecnológicas
• E-business, E-commerce
• Tecnologías emergentes
• Interrupciones
• Desempleo
• Huelgas
29
Componente COSO-ERM: Identificación de Eventos
Factores Internos
Tecnología
• Datos
• Mantenimiento
• Distribución
• Confidencialidad
Personal
Proceso
• Competencia del personal
• Diseño
• Salud e higiene
• Ejecución
• Ética e integridad
• Proveedor /
dependencias
• Integridad
• Disponibilidad
• Capacidad
• Sistemas
• Selección
• Desarrollo
• Implantación
Infraestructura
• Disponibilidad de activos
• Capacidad de activos
• Acceso a capital
• Desempeño y
rendimiento
• Disponibilidad
30
Componente COSO-ERM: Identificación de Eventos
Económicos
Medio Ambiente
Políticos
Personal
Procesos
Infraestructura
Nuevos competidores
Lluvias
Control de
comisiones
Objetivo
mantener
margen 10%
Expira contrato
colectivo
Lentitud respuesta
Nuevos canales
31
Componentes de COSO-ERM
Evaluación de Riesgo
32
Componente COSO-ERM: Evaluación de Riesgo
Permite que una entidad entienda el grado en el cual los eventos potenciales
pudieran afectar los objetivos del negocio
• Determina riesgos a partir de dos
perspectivas: Probabilidad e
Impacto
• Entre las técnicas se utiliza
determinar riesgos y normalmente
también se utiliza medir los
objetivos relacionados
• En la evaluación de riesgos, la
gerencia considera eventos
previstos e inesperados
• Los riesgos inherentes y residuales
son evaluados
33
Componente COSO-ERM: Evaluación de Riesgo
Riesgo Inherente
Es el riesgo en una organización en ausencia de acciones que podrían
alterar el impacto o la frecuencia de ocurrencia de ese riesgo
Riesgo Residual
Es el riesgo que resulta después que la gerencia ha implantado
efectivamente acciones para mitigar el riesgo inherente
34
Componente COSO-ERM: Evaluación de Riesgo
Estimar probabilidad e impacto
• Los acontecimientos potenciales se evalúan a partir de dos
perspectivas: probabilidad e impacto
• En la determinación de impacto, la gerencia utiliza normalmente una
medida igual, o congruente según lo utilizado para el establecimiento
del objetivo
• El horizonte del tiempo usado para determinar riesgos debe ser
constante con el horizonte del tiempo de la estrategia y de los
objetivos
35
Componente COSO-ERM: Evaluación de Riesgo
Técnicas de evaluación
• Técnicas Cualitativas
- Impacto Vs. Probabilidad
• Técnicas Semi-cuantitativa
- Se usa un análisis cualitativo asignando
valores monetarios al riesgo
• Técnicas Cuantitativas
- Técnicas Probabilísticas
• Valor en Riesgo VaR
• Riesgo de Flujo de Caja
• Distribuciones de pérdidas
• Back-testing
- Técnicas no probabilísticas
• Análisis de sensibilidad
• Análisis de escenarios
• Benchmarking
36
Componente COSO-ERM: Evaluación de Riesgo
Técnicas de evaluación: Cualitativas
• Autoevaluación: Es el proceso en el cual las unidades funcionales de
la organización, de forma subjetiva, identifican los riesgos inherentes
a sus actividades, evalúan el nivel de control existente y determinan
los puntos de mejora que se deben realizar
• Talleres Grupales (Workshops)
• Cuestionarios
• Como resultado de la aplicación de cualquiera de esta técnicas se
obtiene el catálogo de riesgos, ponderando la probabilidad de
ocurrencia e impacto en los objetivos del negocio
Probabilidad de ocurrencia
Impacto
Altamente probable
Alto
Posiblemente probable
Medio
Remotamente probable
Bajo
37
Componente COSO-ERM: Evaluación de Riesgo
Técnicas de evaluación
Riesgos
1
Multas por violaciones a las normas
2
Deterioro de imagen
3
Devaluación de la moneda mayor al 15%
4
Huelgas que afectan la respuestas a clientes
5
Morosidad de la cartera
6
Falla en la integridad de la información
7
Alta concentración (colocaciones en pocos
clientes)
8
Bajo retorno de la inversión
Probabilidad
Impacto
38
Componente COSO-ERM: Evaluación de Riesgo
Técnicas de evaluación
Distribución de riesgos de forma representativa, de acuerdo
con el nivel de exposición
Impacto Patrimonial
Devaluación de la
moneda mayor al
15%
Falla en la integridad
de la información
Multas violaciones
ambientales y
sanitarias
Deterioro de imagen
Morosidad de la
cartera
Huelgas que afectan
las respuestas a
clientes
Probabilidad de ocurrencia
39
Componentes de COSO-ERM
Respuesta al riesgo
40
Componente COSO-ERM: Respuesta al riesgo
Evaluar posibles respuestas
Las respuestas deben ser evaluadas en función de alcanzar el riesgo
residual alineado con los niveles de tolerancia al riesgo y pueden estar
enmarcadas en las siguientes categorías:
Mitigar el Riesgo
Compartir el Riesgo
41
Componente COSO-ERM: Respuesta al riesgo
Evaluar posibles respuestas
Evitar el Riesgo
• Reducir la expansión de una línea
Compartir el Riesgo
• Compra de seguros contra pérdidas
de productos a nuevos mercados
• Vender una división, unidad de
negocio o segmento geográfico
altamente riesgoso
• Dejar de producir un producto o
servicio altamente riesgoso
inesperadas significativas
• Contratación de outsourcing para
procesos del negocio
• Compartir el riesgo con acuerdos
sindicales o contractuales con
clientes, proveedores u otros socios
de negocio
Aceptar el Riesgo
Mitigar el Riesgo
• Fortalecimiento del control interno
• Auto-asegurarse (Self-insuring)
contra pérdidas
• Aceptar los riesgos de acuerdo a
los niveles de tolerancia de riesgo
en los procesos del negocio
• Diversificación de productos
• Establecimiento de límites a las
operaciones y monitoreo
• Reasignación de capital entre
unidades operativas
42
Componente COSO-ERM: Respuesta al riesgo
Evaluar los costos versus beneficios de las respuestas
• Los costos de diseñar e implantar una respuesta deben ser
considerados, así como los costos de mantenerla
• Los costos y los beneficios de la implantación de las respuestas al riesgo
pueden ser medidos cualitativa o cuantitativamente, típicamente la
unidad de medición es consistente con la utilizada en el establecimiento
de los objetivos y tolerancia al riesgo
• La gerencia debe considerar los riesgos adicionales que pueden resultar
de una respuesta, así como también las posibles oportunidades
43
Componentes de COSO-ERM
Actividades de Control
44
Componente COSO-ERM: Actividades de Control
Políticas y procedimientos que ayudan a la gerencia a asegurar que las
respuestas a los riesgos son ejecutadas, de forma apropiada y oportuna
• Están presentes en todos los
niveles y áreas funcionales de la
organización para lograr los
objetivos del negocio
• Incluye un rango de actividades,
tales como:
- Aprobaciones
- Autorizaciones
- Verificaciones
- Conciliaciones
- Seguridad de los activos
- Desempeño de las operaciones
- Segregación de funciones
45
Componente COSO-ERM: Actividades de Control
Políticas y procedimientos
• Las actividades de control usualmente involucran el establecimiento
de una política (lo que debe ser hecho) y los procedimientos para
ejecutar la política
• Cuando las políticas están formalmente documentadas pueden ser
implementadas amplia, consciente y consistentemente en toda la
organización
• Si se identifican desviaciones en el cumplimiento de las políticas y
procedimientos deben ser investigadas y tomar las acciones
correctivas
46
Componente COSO-ERM: Actividades de Control
Integración con las respuestas al riesgo
La selección de las actividades de control incluye:
• Considerar su relevancia y lo adecuado para responder ante el riesgo
• Cómo se interrelacionan con otras actividades de control y con los
objetivos de la entidad
Objetivo: Conocer el cliente objetivo (target) de ventas de un nuevo
producto
Riesgo: Carencia de suficiente conocimiento de factores externos,
tales como necesidades potenciales de los clientes
Respuesta: Reducir el riesgo mediante el análisis del
comportamiento histórico de los clientes y realizar investigaciones
de mercado
Actividad de control: Monitorear el comportamiento de los clientes
mediante reportes mensuales y la validación de la data existente
47
Componente COSO-ERM: Actividades de Control
Tipo de Actividades de Control
Diferentes tipos de controles:
Controles
preventivos
Diseñados para evitar riesgos, errores o incidentes
antes de su ocurrencia
Controles
detectivos
Diseñados para detectar de forma rápida riesgos,
errores o incidentes
Controles
correctivos
Diseñados para remediar o reducir daños como
consecuencia de riesgos, errores o incidentes
ocurridos
48
Componentes de COSO-ERM
Información y comunicación
49
Componente COSO-ERM: Información y comunicación
La información relevante, debe ser identificada, capturada, procesada y
comunicada en la oportunidad y forma adecuada
• Los sistemas de información
deben apoyar la toma de
decisiones y la gestión de
riesgo (ERM)
• La gerencia debe enviar un
mensaje al personal
resaltando su responsabilidad
ante el ERM
• El personal debe entender su
rol en el ERM así como su
contribución individual en
relación con el trabajo de otros
50
Componente COSO-ERM: Información y comunicación
Información
• Estrategia y sistemas integrados
• Integración con las operaciones
• Profundidad y puntualidad de la información
• Calidad de la información
• Se puede obtener de fuentes internas y externas
Revisión de información histórica vs. actual
Uso de Sistemas Integrados SAP, Peoplesoft, JD Edwards.
Disponibilidad de consultas vía Intranet o Internet
51
Componente COSO-ERM: Información y comunicación
Comunicación
• La comunicación interna debe proveer al personal y a la organización
en relación al ERM:
-
Un lenguaje común de riesgo
La importancia y relevancia del ERM
Los objetivos de la organización
El apetito de riesgo y la tolerancia al riesgo de la organización
Los roles y responsabilidades del personal y sus funciones de apoyo a la
gestión de riesgos
- Los comportamientos aceptables y no aceptables son claramente
transmitidos al personal
- Existencia de canales de comunicación internos y externos
• Los canales de comunicación externos (ejemplo: proveedores,
consumidores y reguladores) proveen información necesaria para
mejorar la calidad de productos y servicios, así como anticiparse a las
tendencias de mercado, problemas u oportunidades
52
Componente COSO-ERM: Información y comunicación
Comunicación
• Creación de Comités de atención de reclamos o de calidad
• Convenciones internas de ventas y conferencias de resultados del
negocio
• Líneas internas de denuncias anónimas y políticas de “whistleblower”
• Carteleras, publicaciones, e-mails informativos
• Independencia de funciones
• Lineamientos de interacción con la alta gerencia y junta directiva
• Interacción y definición de canales para compartir información del
Back y Front-Office
53
Componentes de COSO-ERM
Monitoreo
54
Componente COSO-ERM: Monitoreo
El ERM es monitoreado, evaluando la presencia y funcionamientos de sus
componentes a lo largo del tiempo
La eficacia de los otros
componentes del ERM se
sigue mediante:
- Actividades de
supervisión continua
- Evaluaciones separadas
55
Componente COSO-ERM: Monitoreo
Actividades de supervisión continua
• Se realizan normal y recurrentemente en cada
una de las actividades de la organización
• Son ejecutadas sobre la base de un esquema de
tiempo real
• Son más efectivas que las evaluaciones
separadas, lo cual hace que el monitoreo
continuo pueda identificar rápidamente cualquier
desviación
56
Componente COSO-ERM: Monitoreo
Evaluaciones separadas
• Se enfocan directamente a la efectividad del
ERM y las actividades de supervisión continua
• El responsable de la evaluación debe entender
las actividades de la entidad y de cada
componente del ERM evaluado
• Se debe corroborar el diseño del ERM y los
resultados de las pruebas realizadas contra los
indicadores establecidos inicialmente por la
gerencia
57
Componente COSO-ERM: Monitoreo
Evaluaciones separadas
• Autoevaluación de las
áreas de la
organización
• Evaluaciones de
auditoría interna
• Evaluaciones de
auditoría externa
Riesgos
Riesgos de Seguridad
Reputación Lógica
Riesgos de
Riesgos de
Seguridad de
Manufactura
Información Auditoría
Ger
Riesgos
Regulatorios
Interna
Riesgos
Tecnológicos
Riesgos Riesgos
de Fraude Financieros
58
Su mundo
© 2006. “PricewaterhouseCoopers”. Todos los derechos reservados.
Nuestra gente*
Descargar

Slide 1