RIESGO OPERACIONAL1. Definición de riesgo operacional

Se entiende por riesgo operacional a la posibilidad de ocurrencia de pérdidas financieras por deficiencias o fallas en los procesos internos, en la tecnología de información, en las personas o por ocurrencia de eventos externos adversos. Esta definición incluye el riesgo legal, pero excluye el riesgo estratégico y el de reputación.

2. Fuentes de riesgo operacional

Procesos Internos.-Es la posibilidad de pérdidas financieras relacionadas con el diseño inapropiado de los procesos críticos, o con políticas y procedimientos inadecuados o inexistentes que puedan tener como consecuencia el desarrollo deficiente de las operaciones y servicios o la suspensión de los mismos.En tal sentido, podrán considerarse entre otros, los riesgos asociados a las fallas en los modelos utilizados, los errores en las transacciones, la evaluación inadecuada de contratos o de la complejidad de productos, operaciones y servicios, los errores en la información contable, la inadecuada compensación, liquidación o pago, la insuficiencia de recursos para el volumen de operaciones, la inadecuada documentación de transacciones, así como el incumplimiento de plazos y presupuestos planeados.

PersonasEs la posibilidad de pérdidas financieras asociadas con negligencia, error humano, sabotaje, fraude, robo, paralizaciones, apropiación de información sensible, lavado de dinero, inapropiadas relaciones interpersonales y ambiente laboral desfavorable, falta de especificaciones claras en los términos de contratación del personal, entre otros factores. Se puede también incluir pérdidas asociadas con insuficiencia de personal o personal con destrezas inadecuadas, entrenamiento y capacitación inadecuada y/o prácticas débiles de contratación.

Tecnología de InformaciónEs la posibilidad de pérdidas financieras derivadas del uso de inadecuados sistemas de información y tecnologías relacionadas, que pueden afectar el desarrollo de las operaciones y servicios que realiza la institución al atentar contra la confidencialidad, integridad, disponibilidad y oportunidad de la información.Las instituciones pueden considerar de incluir en ésta área, los riesgos derivados a fallas en la seguridad y continuidad operativa de los sistemas TI, a errores en el desarrollo e implementación de dichos sistemas y su compatibilidad e integración, problemas de calidad de información, inadecuada inversión en tecnología y fallas para alinear la TI con los objetivos de negocio, con entre otros aspectos. Otros riesgos incluyen la falla o interrupción de los sistemas, la recuperación inadecuada de desastres y/o la continuidad de los planes de negocio.

Eventos ExternosPosibilidad de pérdidas derivadas de la ocurrencia de eventos ajenos al control de la empresa que pueden alterar el desarrollo de sus actividades, afectando a los procesos internos, personas y tecnología de información. Entre

otros factores, se podrán tomar en consideración los riesgos que implican las contingencias legales, las fallas en los servicios públicos, la ocurrencia de desastres naturales, atentados y actos delictivos, así como las fallas en servicios críticos provistos por terceros. Otros riesgos asociados con eventos externos incluyen: el rápido paso de cambio en las leyes, regulaciones o guías, así como el riesgo político o del país.

En coordinación con el sector financiero, el Comité de Basilea ha identificado los siguientes tipos de eventos que pueden resultar en pérdidas sustanciales por riesgo operativo:

Fraude Interno

Pérdidas derivadas de algún tipo de actuación encaminada a defraudar, apropiarse de bienes indebidamente o incumplir regulaciones, leyes o políticas empresariales en las que se encuentra implicada, al menos, una parte interna a la empresa; no se consideran los eventos asociados con discriminación en el trabajo. Esta categoría incluye eventos como: fraudes, robos (con participación de personal de la empresa), sobornos, entre otros.

Fraude Externo

Pérdidas derivadas de algún tipo de actuación encaminada a defraudar, apropiarse de bienes indebidamente o soslayar la legislación, por parte un tercero. Esta categoría incluye eventos como: robos, falsificación, ataques informáticos, entre otros.

Relaciones laborales y seguridad en el puesto de trabajo

Pérdidas derivadas de actuaciones incompatibles con la legislación o acuerdos laborales, sobre higiene o seguridad en el trabajo, sobre el pago de reclamaciones por daños personales, o sobre casos relacionados con discriminación en el trabajo.

Clientes, productos y prácticas empresariales

Pérdidas derivadas del incumplimiento involuntario o negligente de una obligación profesional frente a clientes concretos (incluidos requisitos fiduciarios y de adecuación), o de la naturaleza o diseño de un producto.

Daños a activos materiales

Pérdidas derivadas de daños o perjuicios a activos físicos como consecuencia de desastres naturales u otros eventos de fuentes externas.

Interrupción del negocio y fallos en los sistemas

Pérdidas derivadas de incidencias o interrupciones en el negocio y de fallas en los sistemas.

Ejecución, entrega y gestión de procesos

Pérdidas derivadas de errores en el procesamiento de operaciones o en la gestión de procesos, así como de relaciones con contrapartes comerciales y proveedores. Esta categoría incluye eventos asociados con: captura de transacciones, ejecución y mantenimiento, monitoreo y reporte, entrada y documentación de clientes, gestión de cuentas de clientes, contrapartes de negocio, vendedores y proveedores.

3. Gestión del riesgo operativo: Identificación, Evaluación, Medición, Monitoreo y Control

Como principio general, las entidades financieras deben contar con una estrategia aprobada por el Directorio estableciendo principios para la identificación, medición, control, monitoreo y mitigación del riesgo operativo.Las estrategias y políticas deberían ser implementadas por la Función de Gestión de Riesgo, responsable de identificar y gestionar todos los riesgos. La Función de Gestión de Riesgo puede incluir sub-unidades especializadas por riesgos específicos.Las entidades financieras deberían desarrollar su propio enfoque y metodología para la gestión de riesgos, de acuerdo con su objeto social, tamaño, naturaleza y complejidad de operaciones y otras características. La implementación del sistema de gestión de riesgo operativo debería considerar todas las etapas de gestión de riesgo, incluyendo la identificación, evaluación, medición, monitoreo y control.

I. IdentificaciónLa identificación efectiva del riesgo considera tanto los factores internos como externos que podrían afectar adversamente el logro de los objetivos institucionales.

II. EvaluaciónPara todos los riesgos operativos materiales que han sido identificados, la entidad debería decidir si usa procedimientos apropiados de control y/o mitigación de los riesgos o asumirlos.Para aquellos riesgos que no pueden ser controlados, el banco debería decidir si los acepta, reduce el nivel de actividad del negocio expuesta o se retira de esta actividad completamente.Todos los riesgos materiales deberían ser evaluados por probabilidad de ocurrencia e impacto a la medición de la vulnerabilidad de la entidad a este riesgo. Los riesgos pueden ser aceptados, mitigados o evitados de una manera

consistente con la estrategia y el apetito al riesgo institucional. Cuando sea posible, la entidad debería usar controles internos apropiados u otras estrategias de mitigación, como los seguros.

III. MediciónLas entidades financieras deberían estimar el riesgo inherente en todas sus actividades, productos, áreas particulares o conjuntos de actividades o portafolios, usando técnicas cualitativas basadas en análisis expertos, técnicas cuantitativas que estiman el potencial de pérdidas operativas a un nivel de confianza dado o una combinación de ambos.

IV. MonitoreoUn proceso efectivo de monitoreo es esencial para una gestión adecuada del riesgo operativo.Un monitoreo regular de las actividades puede ofrecer la ventaja de detectar rápidamente y corregir deficiencias en las políticas, procesos y procedimientos de gestión del riesgo operativo.El monitoreo regular también fomenta la identificación temprana de cambios materiales en el perfil de riesgo, así como la aparición de nuevos riesgos. El alcance de las actividades de monitoreo incluye todos los aspectos de la gestión del riesgo operativo en un ciclo de vida consistente con la naturaleza de sus riesgos y el volumen, tamaño y complejidad de las operaciones.

V. ControlDespués de identificar y medir los riesgos a los que está expuesta, la entidad financiera debería concentrarse en la calidad de la estructura de control interno. El control del riesgo operativo puede ser conducido como una parte integral de las operaciones o a través de evaluaciones periódicas separadas, o ambos. Todas las deficiencias o desviaciones deben ser reportadas a la gerencia.

VI. ReporteDebe existir un reporte regular de la información pertinente a la alta gerencia, al directorio, al personal y a partes externas interesadas, como clientes, proveedores, reguladores y accionistas. El reporte puede incluir información interna y externa, así como información financiera y operativa.

Recomendaciones Es importante que las regulaciones de todos los países de la Región converjan hacia una definición única

de riesgo operacional, lo que facilitaría la homogeneización de conceptos y mejoraría el intercambio de información y colaboración entre los distintos supervisores.

Los supervisores deberán profundizar la revisión de los estándares de gestión del riesgo operacional que han desarrollado los bancos de sus países, promoviendo la creación de unidades especializadas que sean capaces de enfrentarse a la creciente complejidad que está alcanzando el análisis de este riesgo.

En el contexto de la globalización de los grupos financieros, que usan diferentes métricas en diferentes mercados y países, se debe potenciar la colaboración y coordinación de los supervisores de la Región para asegurar una supervisión efectiva del riesgo operacional a nivel de grupo financiero.

El Riesgo País

Indice denominado Emerging Markets Bond Index Plus (EMBI+). Mide el grado de "peligro" que entraña un país para las inversiones extranjeras.

(*) Indica el nivel de incertidumbre para otorgar un préstamo a un país. Mide la capacidad de dicho país para cumplir con los pagos de los intereses y del principal de un crédito al momento de su vencimiento. Dicho en otros términos determina cuál sería la predisposición de un país -mejor sería decir de un gobierno- para honrar las obligaciones contraídas con sus acreedores.

Cuanta menor certeza exista de que el país honre sus obligaciones, más alto será el EMBI de ese país, y viceversa.

¿Quién lo establece?

El EMBI+ es elaborado por el Banco de Inversiones J. P. Morgan, de Estados Unidos, que posee filiales en varios países latinoamericanos. ¿Qué variables financieras se toman en cuenta?

J. P. Morgan analiza el rendimiento de los instrumentos de la deuda de un país, principalmente el dinero en forma de bonos, por los cuales se abona una determinada tasa de interés en los mercados.

El riesgo país es, técnicamente hablando, la sobre tasa que se paga en relación con los intereses de los Bonos del Tesoro de Estados Unidos, país considerado el más solvente del mundo.

¿Cómo surge el valor del "riesgo-país?

Surge de la diferencia entre las tasas que pagan los Bonos del Tesoro estadounidense (que se asume son las de menor riesgo en el mercado, sin considerar los múltiples y graves riesgos existentes en los EE.UU. o provocados por los EE.UU.) y las que pagan los Bonos del respectivo país. De esta manera, se da una referencia del riesgo que se corre al invertir en un determinado país en función de la deuda externa que éste tiene.

¿Cómo se determina esa sobre tasa?

Se evalúan, entre otros, aspectos como el nivel de déficit fiscal, las turbulencias políticas, aspectos sociales, el crecimiento de la economía, riesgo monetario (inflación, tipo de cambio, tasas de interés) y la relación ingresos-deuda.

Las principales consecuencias (de un alto riesgo país) son una merma de las inversiones extranjeras y un crecimiento económico menor.

¿Cómo se expresa el Riesgo País?

Se expresa en puntos básicos (centésimas de punto porcentual) y manifiesta la diferencia que hay entre la rentabilidad de una inversión considerada sin riesgo, como son los Bonos de la Reserva Federal del Tesoro Estadounidense (FED) a 30 años, y la tasa que debe exigirse a las inversiones en el país al que corresponde el indicador; así:

Rendimiento de Bono del país de análisis - Rendimiento de Bono de Estados Unidos ) x 100 = Riesgo País

Por ejemplo

Si el 8 de julio de 2004 los Bonos de EE.UU rendían 5,22% de interés anual y el EMBI de Ecuador marcó 931 puntos (equivalentes a 9,31%), la tasa mínima que exigiría un inversionista para invertir en ese país debería ser: 5.22 + 9.31 = 14,53% o, de lo contrario, optaría por inversiones alternativas.

El riesgo país calculado con base en el EMBI se sustenta en la idea de que la tasa de interés de los bonos de Estados Unidos está conformada solo por el premio a la espera, ya que se considera que la posibilidad de que el Gobierno de Estados Unidos no pague sus obligaciones es muy baja (menor que cualquier otra) y por tanto el riesgo implícito en sus bonos es prácticamente inexistente (menor que cualquier otro). Si el premio a la espera es igual en todos los países, entonces la diferencia entre tasas será el componente de riesgo del país analizado.

¿Qué significa para los inversores este índice?

Es una orientación. Implica que el precio por arriesgarse a hacer negocios en determinado país es más o menos alto. Cuanto mayor es el riesgo, menos proyectos de inversión son capaces de obtener una rentabilidad acorde con los fondos colocados.

¿Qué efectos tiene para una economía ser catalogada como "riesgosa"?

Las principales consecuencias son una merma de las inversiones extranjeras y un crecimiento económico menor, lo cual puede significar desocupación y bajos salarios para la población.

El Riesgo Reputacional

La reputación - usando una definición operativa para la gestión de riesgos - es un cúmulo de percepciones y opiniones que tienen los diferentes stakeholders (clientes, trabajadores, proveedores, inversionistas, la comunidad cercana y la sociedad....) sobre una organización. No se debe confundir con la imagen, que es una noción vecina: una imagen se puede fabricar, hay un fuerte elemento de marketing, una articulación con la gestión de la marca, por ello existen asesores de imagen. Una buena gestión de imagen no quiere decir necesariamente una buena gestión del riesgo reputacional.

El riesgo reputacional es toda acción, evento o situación que podría impactar negativa o positivamente en la reputación de una organización. A veces, puede tratarse de la acción de terceros, que tratan de afectar la reputación de una organización, con rumores o propaganda negativa, a partir de debilidades existentes o de debilidades inventadas. Es un riesgo que tiene también un aspecto positivo-oportunidad, pues un evento a primera vista desfavorable puede contribuir a confirmar una buena reputación, como la de la capacidad de hacer frente a situaciones críticas.

Es un riesgo que por naturaleza deriva de la materialización de otros riesgos y de su gestión deficiente (operacional, estratégico, de mercado, de liquidez, de crédito, legal, etc.); muchas veces se trata de riesgos latentes. No sólo viene de los otros riesgos, pero puede a su vez provocarlos (ej.: puede causar falta de acceso al crédito, es decir riesgo de liquidez, lo que puede llevar en casos extremos a la quiebra). Se origina en fin de cuentas sobre todo en grandes fallas de control interno (en el post anterior mencionamos la noción de control interno permanente) y de gobierno corporativo.

¿Cómo se gestiona el riesgo reputacional?

Primera etapa indispensable:

identificar las fuentes potenciales de riesgos reputacionales: se debe identificar todas las fallas internas posibles; pueden ser también débiles capacidades de respuesta a escenarios externos adversos. Según ciertos autores, forma parte del riesgo operacional (lo que no es la visión del Acuerdo Basilea II para las entidades financieras); es cierto que la mayoría de las fuentes potenciales de ese riesgo son riesgos operacionales, como los fraudes internos y externos, problemas de calidad (piensen en lo que sucede a una firma automotriz cuando hay accidentes por una pieza defectuosa).

el riesgo reputacional puede ser generado por un cúmulo de malas decisiones estratégicas o de malas decisiones crediticias también, que pueden hacer que la confianza en la organización afectada baje y se sea más fácilmente víctima de rumores.

La medición de este riesgo es muy difícil, pues las consecuencias financieras muchas veces son indirectas y su intensidad es muy variable, con un alto grado de incertidumbre; por ejemplo pueden ir de costos relativamente controlables de reemplazo de piezas defectuosas a juicios multimillonarios o el abandono de un producto importante o la paralización de una inversión, o traducirse en pérdidas de clientes y entonces de ingresos, a través de un período que puede ser muy variable, y a veces fatal. Esa dificultad de medición, aunada a su carácter "desagradable para el ego", hace que sea un riesgo muchas veces olvidado y peor administrado

Recomendaciones1. Para administrar este riesgo, el tratamiento preventivo es lo más eficaz.2. Mejorar todo el dispositivo de control interno permanente de todos los riesgos para reducir

probabilidades y riesgos latentes3. Iintegrar la preocupación reputacional en la gestión de la empresa, no desalentar la "cultura de la alerta a

los superiores"4. . Auto-examinar el gobierno corporativo; p.ej.: ¿se está dando demasiado poder a áreas con mayor

apetito por el riesgo y por la contabilidad creativa?5. . "Ponerse en los zapatos" de los stakeholders: contacto continuo y transparente con ellos, saber qué les

interesa más, analizar y reducir brechas respecto de sus expectativas, no alimentar expectativas irrealistas.

6. Una herramienta esencial es el dispositivo de gestión de crisis; con organigrama, responsables, roles, procedimientos, "simulaciones de crisis"; en caso de crisis, dominar la comunicación es clave (timing, forma, contenido).