Definición de riesgo operacional
Es la posibilidad de que la entidad incurra en pérdidas por las deficiencias, fallas o inadecuado funcionamiento de los procesos, la tecnología, la infraestructura o el recurso humano, así como por la ocurrencia de acontecimientos externos asociados a éstos. Incluye el riesgo legal.
Riesgo Legal (RLG): Es la posibilidad de pérdida en que incurre una entidad al ser sancionada u obligada a indemnizar daños como resultado del incumplimiento de normas o regulaciones y obligaciones contractuales.
El riesgo legal surge también como consecuencia de fallas en los contratos y transacciones, derivadas de actuaciones malintencionadas, negligencia o actos involuntarios que afectan la formalización o ejecución de contratos o transacciones. Aplica a todas las actividades e incluye a terceros que actúen en representación de la entidad respecto de los procesos y/o actividades tercerizadas.
Adicionalmente, para propósitos de la gestión del riesgo operacional se debe tener en cuenta las siguientes definiciones:
Pérdidas: Cuantificación económica de la ocurrencia de un evento de riesgo operacional, así como los gastos derivados de su atención.
Pérdida Bruta: Se entiende como la pérdida antes de recuperaciones de cualquier tipo.
Pérdida Neta: Se entiende como la pérdida después de tener en consideración los efectos de las recuperaciones. La recuperación es un hecho independiente, relacionado con el evento de pérdida bruta, que no necesariamente se efectúa en el mismo periodo por el que se perciben fondos o flujos económicos.
Ámbito de aplicación
Las entidades sometidas a la inspección y vigilancia de la SFC deben cumplir con las instrucciones contenidas en el presente numeral, salvo las señaladas en el subnumeral 1.2.1. de la Parte I del presente Capítulo.
Componentes
La entidad debe desarrollar, establecer, implementar y mantener una gestión del riesgo operacional, acorde con su importancia por tamaño e interconectividad en el sistema financiero y los entornos económicos y de los mercados en donde esta opera, así como con el perfil y marco de apetito de riesgo, plan de negocio, naturaleza, estructura, tamaño, complejidad, diversidad de las actividades que desarrolle y actividades de apoyo, estas últimas realizadas directamente o a través de terceros, que les permita identificar, medir, controlar y monitorear eficazmente este riesgo. Para llevar a cabo dicha gestión deben existir las políticas, procedimientos, controles, metodologías, modelos y sistemas de información para su instrumentación.
Etapas
Para la administración del riesgo operacional, la entidad debe desarrollar las siguientes etapas:
Identificación
La entidad debe identificar los riesgos operacionales a que está expuesta, teniendo en cuenta los factores de riesgo internos o externos.
Para identificar el riesgo la entidad debe como mínimo:
Identificar y documentar la totalidad de los procesos.
Establecer metodologías de identificación, con el fin de determinar los riesgos operacionales de cada uno de los procesos.
Con base en las metodologías establecidas en desarrollo del literal anterior, identificar los riesgos operacionales, potenciales y ocurridos, en cada uno de los procesos.
La etapa de identificación debe realizarse previamente a la implementación o modificación de cualquier proceso, producto, servicio o canal, así como en los casos de fusión, adquisición, cesión de activos, pasivos y contratos, entre otros.
Factores internos
Procesos: Es el conjunto de actividades que se interrelacionan entre sí para la transformación de elementos de entrada en productos o servicios y que buscan satisfacer una necesidad.
Tecnología: Es el conjunto de herramientas empleadas para soportar los procesos de la entidad. Esto incluye elementos de hardware, software y telecomunicaciones.
Infraestructura: Es el conjunto de elementos de apoyo para el funcionamiento de una organización. Entre otros se incluyen edificios, espacios de trabajo, almacenamiento y transporte.
Recurso Humano: Es el conjunto de personas vinculadas directa o indirectamente con la ejecución de los procesos de la entidad. Para los efectos del presente Capítulo, se entiende que existe vinculación directa en aquellos eventos en que la relación se encuentra soportada en un contrato de trabajo en los términos de la legislación vigente y la vinculación indirecta corresponde a toda relación jurídica de prestación de servicios diferente a aquella que se origina en un contrato de trabajo.
Factores externos
Son situaciones asociadas a la fuerza de la naturaleza u ocasionadas por terceros, que escapan en cuanto a su causa y origen al control de la entidad.
Medición
La entidad debe medir la probabilidad de ocurrencia de los riesgos operacionales identificados y su impacto en caso de materializarse. Esta medición debe ser cualitativa y, cuando se cuente con datos históricos, cuantitativa. Para la determinación de la probabilidad de ocurrencia se debe considerar un horizonte de tiempo mínimo de un año.
En el proceso de medición de los riesgos operacionales la entidad debe desarrollar, como mínimo, los siguientes pasos:
Establecer la metodología de medición individual y consolidada susceptible de aplicarse a los riesgos operacionales identificados. La metodología debe ser aplicable tanto a la probabilidad de ocurrencia como al impacto.
Aplicar la metodología establecida en desarrollo del literal anterior para lograr una medición de la probabilidad de ocurrencia y del impacto de los riesgos operacionales identificados en la totalidad de los procesos de la entidad.
Determinar el perfil de riesgo inherente de la entidad.
En el caso de los EC, los organismos cooperativos de grado superior de carácter financiero, el Banco de Comercio Exterior de Colombia S.A. (Bancoldex), la Caja Promotora de Vivienda Militar y de Policía, la Financiera de Desarrollo Nacional S.A. (FDN), la Financiera de Desarrollo Territorial (Findeter), el Fondo Nacional del Ahorro (FNA) y el Fondo para el Financiamiento del Sector Agropecuario (Finagro), la medición de la probabilidad de ocurrencia de los riesgos operacionales y su impacto en caso de materializarse, debe realizarse de forma cuantitativa utilizando los registros de eventos para estimar la probabilidad de ocurrencia de los riegos operacionales cuando:
Se cuente con datos históricos conforme a lo establecido en el numeral 4.2.2 de la Parte III “Registro de eventos de riesgo operacional de alta calidad”.
Se midan el Indicador de Pérdida Interna (IPI) con base en la información del Registro de Eventos de Riesgo Operacional, es decir, haciendo uso del Componente de Pérdida (CP) de acuerdo con lo establecido en el subnumeral 1.3.1.1 del Anexo 13 del presente Capítulo.
Control
La entidad debe tomar medidas para controlar el riesgo inherente al que se ve expuesta con el fin de disminuir la probabilidad de ocurrencia y/o el impacto en caso de que se materialice.
Durante esta etapa la entidad debe, como mínimo:
Establecer la metodología con base en la cual se definen las medidas de control de los riesgos operacionales.
De acuerdo con la metodología establecida en desarrollo del literal anterior, implementar las medidas de control sobre cada uno de los riesgos operacionales.
Determinar las medidas que permitan asegurar la continuidad del negocio.
Estar en capacidad de determinar el perfil de riesgo operacional neto de la entidad.
Sin perjuicio de lo establecido en el subnumeral anterior, la entidad puede decidir si transfiere, mitiga, acepta o evita el riesgo operacional, en los casos en que esto sea posible.
La utilización de ciertas medidas como la contratación de un seguro o tercerización (outsourcing), puede ser fuente generadora de otros riesgos operacionales, los cuales deben ser administrados por la entidad.
Tercerización - Outsourcing
La entidad podrá contratar bajo la modalidad de tercerización a personas naturales y/o jurídicas para el desarrollo de sus procesos, siempre que no implique la delegación de la profesionalidad. En todo caso, la entidad debe: (i) realizar un análisis de riesgo para determinar los procesos y/o actividades a tercerizar; (ii) comprender el riesgo operacional asociado a los procesos y/o actividades tercerizadas; (iii) contar con políticas eficaces para incorporar en su estrategia de riesgos, aquellos derivados de la tercerización; y (iv) determinar dentro de los procesos y/o actividades tercerizadas aquellos que se consideren críticos. Tratándose de los procesos y/o actividades identificadas como críticos para la entidad, se debe cumplir como mínimo con los siguientes requerimientos:
Definir los criterios y procedimientos a partir de los cuales se seleccionarán los terceros.
Incluir en los contratos que se celebren con los terceros, o en aquellos que se prorroguen a partir de la vigencia del presente Capítulo, al menos, los siguientes aspectos:
Obligaciones de las partes.
Niveles de servicio.
Operación en situaciones contingentes.
Gestión de los riesgos operacionales que puedan afectar el cumplimiento de las obligaciones del tercero.
Acuerdos de confidencialidad sobre la información manejada y las actividades desarrolladas.
Gestionar los riesgos que se derivan de la prestación del servicio por parte del tercero, en particular, cuando atiende a varias entidades.
Contar con los procedimientos necesarios para verificar el cumplimiento de las obligaciones por parte del tercero.
Incluir dentro del alcance de las evaluaciones que haga quien(es) desarrolle(n) la función de gestión de riesgos y la auditoría interna, las actividades tercerizadas.
Administración de la continuidad del negocio
De acuerdo con su estructura, tamaño, objeto social y actividades de apoyo, la entidad debe definir, implementar, probar y mantener la gestión para la continuidad del negocio, el cual incluya elementos como: prevención y atención de emergencias, administración en escenarios de crisis, planes de contingencia y capacidad de retorno a la operación normal de la entidad.
Los planes de continuidad del negocio deben cumplir, como mínimo, con los siguientes requisitos:
Haber superado las pruebas necesarias para confirmar su eficacia y eficiencia.
Ser conocidos por todos los interesados.
Cubrir por lo menos los siguientes aspectos: identificación de los riesgos que pueden afectar la operación, actividades a realizar cuando se presentan fallas, alternativas de operación y regreso a la actividad normal.
Considerar los controles, la capacidad de monitoreo de los canales, entre otros aspectos que se requieran cuando exista un aumento en el uso o prestación de servicios a través de los canales de atención, o en aquellos eventos en que la operación lo amerite.
Prever las medidas necesarias para garantizar que los funcionarios, colaboradores o terceros que desempeñen funciones críticas en la entidad vigilada puedan continuar laborando a través de trabajo remoto o en diferentes instalaciones, en eventos tales como: desastres naturales, pandemias, disturbios, entre otros.
Establecer los mecanismos y procedimientos para acatar los protocolos que expidan las autoridades gubernamentales para la prevención de riesgos derivados de eventos sanitarios, sociales, catastróficos, etc., tales como pandemias, desastres naturales, disturbios, entre otros, de tal forma que se garantice la continuidad de la operación y la prestación de los servicios a los consumidores financieros en condiciones de seguridad y calidad.
Definir los eventos en los cuales se debe conformar un comité de atención de emergencias, el cual debe sesionar durante el periodo de contingencia. Dicho comité debe informar a la JD sobre la evolución de la situación y la efectividad en la aplicación de los planes de acción dispuestos para atenderla.
Monitoreo
La entidad debe hacer un monitoreo continuo a la gestión de los riesgos y a su perfil de riesgo. Para el efecto debe cumplir, como mínimo, con los siguientes requisitos:
Desarrollar un proceso de seguimiento efectivo, que facilite la rápida detección y corrección de las deficiencias en la gestión de riesgo operacional. Dicho seguimiento debe tener una periodicidad acorde con los riesgos operacionales potenciales y ocurridos, así como con la frecuencia y naturaleza de los cambios
en el entorno operacional. En cualquier caso, el seguimiento debe realizarse con una periodicidad mínima semestral.
Establecer indicadores descriptivos y/o prospectivos que evidencien los potenciales riesgos operacionales.
Asegurar que los controles estén funcionando en forma oportuna, efectiva y eficiente.
Capacitación
Las entidades deben diseñar, programar y coordinar planes de capacitación sobre el SARO dirigidos a todas las áreas y funcionarios.
Tales programas deben, cuando menos cumplir con las siguientes condiciones:
Periodicidad anual.
Ser impartidos durante el proceso de inducción de los nuevos funcionarios.
Ser impartidos a los terceros siempre que exista una relación contractual con éstos y desempeñen funciones de la entidad.
Ser constantemente revisados y actualizados.
Contar con los mecanismos de evaluación de los resultados obtenidos con el fin de determinar la eficacia de dichos programas y el alcance de los objetivos propuestos.
Reglas especiales en materia de órdenes de embargo
En consideración a que el incumplimiento del marco normativo en materia de órdenes de embargo provenientes de autoridades judiciales y administrativas, contenida en los artículos 593 y 594 de la Ley 1564 de 2012 (Código General del Proceso), el numeral 5.1. del Capítulo I, Título IV, Parte I de la Básica Jurídica - CBJ, el Estatuto Tributario y demás normas concordantes, generan un riesgo legal en los términos del subnumeral 4.1. de la presente Parte, las entidades deben contar con mecanismos que permitan como mínimo:
Contar con las medidas, controles y sistemas de información necesarios para que sus funcionarios reciban, procesen, acaten, atiendan y den respuesta a los mandatos judiciales y administrativos de forma completa, oportuna y conforme al procedimiento establecido en la ley. En este sentido las entidades deben conservar los archivos y documentos relacionados con estas órdenes y su gestión, conforme al artículo 96 del EOSF, para lo cual pueden utilizar el medio idóneo conforme a la ley, velando por la adecuada disponibilidad de la información.
Identificar la condición de inembargabilidad de los recursos al momento de la celebración de cualquier contrato de depósito, en los términos del inciso tercero del subnumeral 5.1.6 del Capítulo I, Título IV, Parte I de la CBJ o al momento de las actualizaciones periódicas de información, en los términos del subnumeral 4.2.2.2.1.6. del Capítulo IV, Título IV, Parte I de la CBJ, en caso de que tal información no haya sido obtenida al momento de la vinculación.
Capacitar permanentemente al recurso humano responsable de la atención de las órdenes de embargo, de tal manera que esté actualizado respecto de la normatividad y el procedimiento aplicable en cada caso en particular.
Garantizar la observancia de los límites de inembargabilidad señalados en la normatividad aplicable, así como los límites de las medidas, sin exceder los montos de los embargos ordenados por las autoridades judiciales o administrativas.
Contar con los controles necesarios para verificar que se atiendan de forma completa y oportuna las solicitudes de los consumidores financieros, las autoridades y demás interesados, relacionadas con las órdenes de desembargo.
Contar con las medidas de seguimiento y control de estos mecanismos, con el fin de asegurar la oportunidad y calidad en la atención y cumplimiento de las órdenes de embargo.