La entidad debe contar con una estructura organizacional apropiada para la gestión de los riesgos y cumplimiento del SARE, la cual debe estar en línea con el negocio y riesgos a los que está expuesta. Esta estructura debe incluir:
Los procedimientos que le permitan a la entidad la toma de decisiones informadas, la gestión de los riesgos, diseño y seguimiento del SARE, y el reporte y rendición de cuentas.
Las funciones y responsabilidades claramente definidas para las áreas y el personal de la entidad que participan en la gestión de riesgos, así como procedimientos para evaluar su desempeño.
Las unidades de negocio de la entidad deben hacer parte de la gestión integral del riesgo en la medida en que estas toman y/o generan exposición al riesgo y por tanto son responsables de su continua gestión. Por lo anterior, las políticas, prácticas, estrategias, procedimientos, metodologías, modelos y umbrales y/o límites de gestión de riesgos deben estar integradas en las actividades que desarrollan las unidades de negocio.
Para la adecuada gestión de los riesgos a nivel consolidado, la entidad controlante debe: (i) contar con la información suficiente de las subordinadas, teniendo en cuenta las posibles restricciones de acceso por confidencialidad de la información para la entidad que consolida, e (ii) implementar los mecanismos de coordinación y de reporte que resulten necesarios.
Junta Directiva
La JD debe como mínimo cumplir con las siguientes funciones y responsabilidades:
Aprobar el plan de negocio de la entidad y verificar su cumplimiento.
Aprobar y verificar el cumplimiento de (i) las políticas del SARE, (ii) la tolerancia al riesgo, (iii) la estructura de gobierno de riesgos, (iv) las estrategias para gestionar los riesgos y los conflictos de interés y su revelación; así como sus actualizaciones. Para lo anterior debe verificar que sean acordes con el perfil de riesgo, el plan de negocio, la naturaleza, el tamaño, la complejidad y diversidad de las actividades que desarrolle la entidad, y los entornos económicos y de los mercados en donde esta opera.
Aprobar los lineamientos de los informes internos que se le presenten en relación con la gestión de los riesgos, así como sus actualizaciones.
Aprobar las medidas a implementar y realizar seguimiento a su aplicación y efectividad, cuando se presenten: (i) incrementos materiales en la exposición a los riesgos, y (ii) debilidades en el SARE para realizar una gestión de los riesgos acorde con las economías y mercados en donde opera la entidad, el marco regulatorio, el plan de negocio y el perfil de riesgo de la entidad, y (iii) las acciones correctivas y de mejora, una vez se hayan superado las instancias previas en la estructura de gobierno.
Monitorear, por lo menos una vez al año, la efectividad e idoneidad del SARE para realizar una adecuada gestión de los riesgos y su concordancia con el plan de negocio y las economías y mercados en donde opera la entidad, así como aprobar las acciones de mejora.
Aprobar, por lo menos una vez al año, la política de capacitación del personal que hace parte de la estructura del gobierno de riesgos de la entidad, así como los lineamientos en materia de ética o conducta y control interno relacionados con el SARE.
Las decisiones que tome la JD en desarrollo de las atribuciones antes mencionadas deben constar por escrito en el acta de la reunión respectiva y estar debidamente motivadas.
Representante legal
•
El representante legal debe, bajo la dirección y supervisión de la JD, ejecutar y monitorear la implementación y cumplimiento del plan de negocio y el SARE, razón por la cual debe como mínimo cumplir con las siguientes funciones y responsabilidades:
•
3.2.1. Gestión de riesgos
•
Someter a aprobación de la JD (i) el plan de negocio, (ii) las políticas SARE, (iii) la tolerancia al riesgo, (iv) la estructura de gobierno de riesgos, (v) las estrategias para gestionar los riesgos y los conflictos de interés y su revelación (vi) los lineamientos de los informes internos que se le presenten en relación con la gestión de los riesgos; así como sus actualizaciones. De igual forma debe velar por su cumplimiento.
Aprobar el manual del SARE, el plan de contingencia y el plan de continuidad del negocio. Este último debe contemplar los riesgos asociados a la interconectividad con otras infraestructuras y/o entidades vigiladas o proveedores (terceros).
Evaluar la idoneidad del plan de continuidad del negocio y de contingencia y verificar que se contemplen en el presupuesto para su oportuna ejecución.
Monitorear que el SARE resulte adecuado para gestionar los riesgos y sea acorde con el perfil de riesgo, plan de negocio, naturaleza, tamaño y complejidad de la entidad, el marco regulatorio y las condiciones de las economías y mercados en donde esta opera.
Velar porque el registro de eventos de riesgo operacional cumpla con los criterios de integridad, confiabilidad, disponibilidad, cumplimiento, efectividad, eficiencia y confidencialidad de la información allí contenida, así como porque exista un procedimiento para alimentar dicho registro.
Propender por la calidad y consistencia de la información.
Revisar las políticas del SARE al menos una vez al año y proponer a la JD para su respectiva aprobación los ajustes correspondientes.
Reportes e información
Informar trimestralmente a la JD sobre el desempeño de la entidad y su situación financiera, el estado de la cultura de riesgos y los problemas identificados en la gestión de riesgos junto con las respectivas recomendaciones.
Informar oportunamente a la JD sobre: (i) los cambios o desviaciones frente al plan de negocio, (ii) cualquier situación o evento de riesgo que puedan comprometer la viabilidad del negocio o la confianza del público y garantizar que se tomen las medidas correctivas y/o acciones de mejora.
Informar a la JD su análisis del resultado de los reportes recibidos de quien(es) desarrolle(n) la función de gestión de riesgos.
Informar oportunamente a la SFC sobre cualquier situación o evento de riesgo que comprometa la viabilidad del negocio o la confianza del público, así como las causas que la originaron y las medidas que pondrán en marcha para corregir o enfrentar dicha situación.
Función de gestión de riesgos
La entidad debe desarrollar la gestión de riesgos de tal forma que sea organizacionalmente independiente de las unidades de negocio, áreas de tecnología y demás dependencias que podrían generar conflictos de interés. Quien(es) desarrolle(n) dicha función debe(n): (i) tener acceso directo a la JD, la AG, a las unidades de negocio y demás dependencias de la entidad, así como a sus registros e información y (ii) contar con el nivel jerárquico, el poder de decisión y la autoridad suficiente para cumplir con sus funciones y responsabilidades y para hacer recomendaciones y seguimiento a las medidas tomadas por la administración en respuesta a los problemas y oportunidades de mejora identificados.
Quien(es) desarrolle(n) la gestión de riesgos en la entidad debe(n) como mínimo cumplir con las siguientes funciones y responsabilidades:
Gestión de riesgos
Elaborar con el representante legal el manual del SARE y sus actualizaciones.
Desarrollar las políticas, los procedimientos, las metodologías, los modelos, los controles del SARE y el plan de continuidad de negocio y plan de contingencia. Presentar al representante legal las actualizaciones que resulten pertinentes.
Evaluar, en coordinación con las demás áreas involucradas en la gestión de riesgos, el plan de continuidad del negocio y contingencia y el perfil al riesgo, incluido los riesgos inherentes de las nuevas actividades y/o mercados y su impacto en el perfil y gestión de riesgos de la entidad.
Pronunciarse sobre las operaciones que no cumplan con las políticas y/o controles de riesgo establecidos por la entidad o regulatorios y reportarlas a la mayor brevedad al representante legal y a los responsables de las unidades de negocio.
Administrar el registro de eventos de riesgo operacional y coordinar la recolección de la información para dicho registro y, a partir de este, generar información que contribuya a la gestión de riesgos.
Asesorar a la JD sobre operaciones, eventos o actividades que puedan afectar la exposición y perfil de riesgos de la entidad, generar desviaciones frente al plan de negocio o comprometer la viabilidad del negocio.
Evaluar la coherencia entre el perfil de riesgo con la tolerancia al riesgo y el plan de negocio y emitir las correspondientes recomendaciones, cuando resulte necesario.
Reportes e información
Reportar semestralmente a la JD y al representante legal, la evolución del riesgo operacional y su consistencia con el plan de negocio, los controles implementados y el monitoreo que se realice sobre el mismo, así como las acciones preventivas y correctivas implementadas o por implementar y el área responsable. En todo caso, se les debe informar oportunamente cuando se presenten incrementos significativos en la exposición al riesgo.
Asegurar que la JD y la AG estén oportuna y debidamente informados sobre:
Los cambios en las condiciones del entorno económico, político y de los mercados, tanto local como externo, que puedan afectar el perfil de riesgo actual y futuro de la entidad y/o comprometer el cumplimiento de los controles y políticas del SARE.
Los riesgos inherentes a las nuevas actividades y/o mercados y su impacto en el perfil y gestión de riesgos de la entidad.
Reportar de forma oportuna y comprensible a la AG y a los responsables de las unidades de negocio y los problemas identificados en la gestión del riesgo, junto con las respectivas recomendaciones.
Auditoría interna
Sin perjuicio de las funciones y responsabilidades establecidas en el Capítulo IV, Título I, Parte I de la Circular Básica Jurídica, la Auditoría Interna es la responsable de:
Evaluar anualmente la efectividad y cumplimiento del SARE, o cuando se presenten situaciones que requieran su revisión e informar a quien(es) desarrolle(n) la función de gestión de riesgos, al representante legal, al comité de auditoría y a la JD los resultados de dicha evaluación, así como el seguimiento a las recomendaciones, acciones de mejora y cumplimiento del plan de auditoría.
Realizar el seguimiento a las recomendaciones o fallas identificadas en la gestión de riesgos que resulten de las evaluaciones de la SFC y de la propia auditoría interna, así como de los planes de acción y medidas adoptadas por la entidad.
Informar a la SFC aquellas situaciones cuya materialidad pueda afectar el desarrollo del negocio y las acciones correctivas y de mejora que no hayan sido atendidas por la entidad.
La evaluación realizada por la auditoría interna respecto del SARE debe responder a los cambios en el entorno y en el perfil de riesgo de la entidad, así como basarse en los riesgos que esta enfrenta.
Revisor Fiscal
Sin perjuicio de las funciones asignadas en otras disposiciones, el revisor fiscal debe incluir dentro de su plan de auditoria la evaluación periódica del cumplimiento de las instrucciones del SARE y debe elaborar un reporte anual con las conclusiones obtenidas en el proceso de evaluación y revisión del mismo, el cual debe quedar incluido en el dictamen sobre los estados financieros. Los mencionados reportes deben estar a disposición de la SFC.
Así mismo, el revisor fiscal debe informar de manera oportuna a: (i) la asamblea de accionistas o equivalentes, (ii) la JD, (iii) el representante legal y (iv) la SFC, sobre las irregularidades materiales que advierta en el cumplimiento de las instrucciones establecidas en el presente Capítulo y sobre las deficiencias en los controles internos. Dicho reporte debe estar debidamente documentado, incluyendo los resultados alcanzados, las acciones sugeridas y la respuesta de la entidad frente a sus observaciones.