Marco de apetito de riesgo
La entidad debe establecer el apetito de riesgo, es decir, los niveles y tipos de riesgos que está dispuesta a asumir con el fin de cumplir con el plan de negocio.
El marco de apetito de riesgo (MAR) es el conjunto de políticas, metodologías, procedimientos, controles y umbrales y/o límites a partir del cual la entidad: (i) identifica los riesgos asociados al plan de negocio, (ii) evalúa si dichos riesgos se asumen, mitigan, evitan o transfieren, y (iii) monitorea y controla que dichos riesgos se encuentren dentro de los umbrales y/o límites definidos por la Alta Gerencia (AG) y aprobados por la Junta Directiva (JD).
Un adecuado MAR debe como mínimo:
Ser difundido y comprendido por la AG, la JD, quien(es) desarrolle(n) la función de gestión de riesgos, el comité de riesgos, la auditoría interna, el revisor fiscal y las unidades de negocio de la entidad.
Ser consistente con el plan de negocio, las actividades que desarrolla la entidad, su perfil de riesgo, y sus niveles de capital y liquidez, así como con los demás requerimientos regulatorios, las condiciones de las economías y los mercados en donde esta opera y su gestión de los riesgos.
Incluir elementos cualitativos y cuantitativos, para lo cual, por lo menos se deben medir las pérdidas o niveles de riesgo que la entidad está dispuesta a asumir. A nivel cuantitativo, estas deben expresarse cómo mínimo en términos de capital, rentabilidad, volatilidad y/o liquidez, en el caso en que aplique.
Incluir un análisis prospectivo de tal manera que le permita a la entidad anticiparse y prepararse para la materialización de los riesgos tanto en escenarios normales como adversos.
Definir objetivos, controles y umbrales y/o límites frente a las pérdidas o los niveles de riesgo que la entidad está dispuesta a asumir, con un desglose para cada una de las actividades significativas que desarrolle y por jurisdicción donde opere. Esto debe incluir la definición de la capacidad y tolerancia a los riesgos asumidos.
Ser parte del proceso de toma de decisiones de la JD y la AG y de la evaluación y seguimiento de los riesgos.
Estar documentado.
Etapas del SIAR
La entidad debe atender las siguientes etapas del SIAR, las cuales deben estar en línea con el MAR.
Identificación: Consiste en determinar los riesgos (actuales y potenciales) inherentes a las actividades que desarrolla o planea desarrollar la entidad. En el caso de la implementación de nuevas actividades o modificación sobre las que están en operación y/o cambios en el plan de negocio, esta etapa debe realizarse previamente.
Medición: Consiste en cuantificar y/o evaluar la exposición a los riesgos inherentes a las actividades que desarrolla o planea desarrollar la entidad y su impacto en caso de materializarse. Esta medición debe ser cualitativa y/o cuantitativa.
Control: Consiste en establecer los mecanismos tendientes a mitigar y/o minimizar la posibilidad de ocurrencia e impacto de la materialización de los riesgos inherentes a las actividades que desarrolla la entidad. Los controles deben permitirle a la entidad conocer el grado de cumplimiento de sus políticas, estrategias, procedimientos, metodologías, controles, umbrales y/o límites y marco regulatorio, así como contar con información actualizada, confiable, oportuna y completa.
Monitoreo: Consiste en realizar un seguimiento permanente y efectivo a las fuentes de riesgo, al perfil de riesgo, a las desviaciones frente a los límites y/o umbrales, a la efectividad de los controles implementados y al posible impacto de la materialización de los riesgos. Adicionalmente, debe facilitar la rápida detección y corrección de las deficiencias en el SIAR. El monitoreo debe ser intensivo en relación con las deficiencias identificadas en la gestión de los riesgos y en los correctivos y acciones de mejora.
Políticas del SIAR
Es el conjunto de directrices sobre las cuales se fundamenta la gestión de los riesgos de la entidad. Estas políticas deben: (i) ser claras y de conocimiento y cumplimiento de todos los funcionarios de la entidad y verse reflejadas en las responsabilidades y facultades que estos desempeñan y (ii) estar soportadas e implementadas a través de procedimientos, estrategias, metodologías, modelos, controles y umbrales y/o límites.
La entidad debe como mínimo definir y adoptar políticas y procedimientos que le permitan cumplir con lo siguiente:
Gestión de riesgos
Divulgar el SIAR y el MAR a la JD, la AG, a quien(es) desarrolle(n) la función de gestión de riesgos, el comité de riesgos, el revisor fiscal, la auditoría interna y a las unidades de negocio de la entidad.
Divulgar las políticas y elementos del SIAR, incluidos los lineamientos de conducta o ética al interior de la entidad a fin de promover la cultura de riesgo y tomar las medidas correctivas y de mejora en caso de incumplimiento.
Instrumentar las etapas del SIAR y sus elementos.
Revisar periódicamente la idoneidad y funcionamiento del SIAR y actualizarlo cuando resulte necesario.
Definir y aprobar los mercados y actividades que la entidad desarrolla y/o planea desarrollar o modificar, así como su composición de activos, pasivos y capital.
Gestionar los riesgos inherentes a los nuevos mercados, procesos y/o actividades.
Definir, monitorear y reportar los umbrales y límites del MAR y niveles máximos de exposición, concentración y pérdida tolerada por tipo de riesgo, con un desglose de las posiciones por sector económico, actividad, plazo, tipo de operación, reasegurador, contraparte, vinculados, partes relacionadas, área geográfica y divisa, cuando aplique.
Contar con criterios para exigir, aceptar y realizar el avalúo de las garantías y contragarantías, cuando aplique. Lo anterior, sin perjuicio de las garantías exigidas por los administradores de los sistemas de negociación de valores, sistemas de registro de operaciones sobre valores, bolsas de valores, bolsas de bienes y productos agropecuarios, agroindustriales o de otras materias primas, el sistema de compensación y liquidación de operaciones y cámaras de riesgo central de contraparte.
Tomar e implementar las acciones necesarias, incluidas las disciplinarias, ante: (i) cambios inesperados en la exposición de riesgo, (ii) activación del sistema de alertas tempranas e (iii) incumplimiento de los límites internos y/o regulatorios. De igual forma implementar los lineamientos de cuándo y a quiénes se escalan y reportan los eventos mencionados anteriormente.
Implementar las medidas necesarias ante la materialización de los riesgos y la revisión periódica de la efectividad de dichas medidas.
Diseñar e implementar los planes de contingencia y la gestión y plan de continuidad del negocio, así como realizar la revisión periódica de la efectividad de dichos planes.
Administrar el registro de eventos de riesgo operacional.
Contratar seguros y tercerizar en personas naturales y/o jurídicas el desarrollo de sus procesos, siempre que no implique la delegación de la profesionalidad.
Gobierno de riesgos y control
Asignar el personal y los recursos físicos, económicos y tecnológicos para el desarrollo, implementación y mantenimiento adecuado del SIAR, así como las cualidades mínimas que estos deben tener.
Capacitar al personal de la entidad para fortalecer sus competencias en materia de gestión de riesgos y para asegurar la efectiva ejecución de las funciones asignadas.
Contar con lineamientos de conducta o ética que orienten la actuación de los funcionarios de la entidad para el efectivo y oportuno funcionamiento del SIAR.
Evaluar la correspondencia entre el plan de negocio y los niveles de capital y liquidez y el MAR de la entidad, así como con las funciones y atribuciones asignadas a la AG, la JD, a quien(es) desarrolle(n) la función de gestión de riesgos, el comité de riesgos, el revisor fiscal y la auditoría interna.
Identificar, administrar, revelar, comunicar y resolver los conflictos de interés en concordancia con el código de ética o de conducta de la entidad y la legislación vigente.
Gestionar, comunicar y aprobar las operaciones intragrupo y con vinculados y partes relacionadas.
Adecuar el sistema de control interno al SIAR.
Determinar los incentivos adecuados acordes con una prudente asunción de riesgos y con el MAR, los objetivos a largo plazo y los niveles de capital y liquidez de la entidad.
Información
Comunicar a la JD, comité de riesgos y a la AG sobre la gestión de los riesgos, así como los hallazgos y recomendaciones de quien(es) desarrolle(n) la función de gestión de riesgos, la auditoría interna y el revisor fiscal.
Atender los requerimientos de información por parte de la Superintendencia Financiera de Colombia (SFC) y/o demás autoridades competentes, así como contar con los mecanismos para validar la calidad de la información suministrada.