EL ROL DE AUDITORIA INTERNA Y EL ENFOQUE DE AUDITORIA

BASADA EN RIESGOS

Víctor Mancilla

Banrural, Guatemala

Victor.mancilla@banrural.com.gt

Contenido

• Marco regulatorio

• Líneas de defensa

• Principios COSO

• Apetito de riesgo

• Cadena de valor

• Cuadro de mando integral

• Matrices de riesgos

• Mapa de calor

• Conclusiones

Ley de Bancos y Grupos Financieros

• ARTICULO 55. Riesgos. Los bancos y las empresas que integran grupos financieros deberán contar con procesos integrales que incluyan, según el caso, la administración de riesgos de crédito, de mercado, de tasas de interés, de liquidez, cambiario, de transferencia, operacional y otros a que estén expuestos, que contengan sistemas de información y un comité de gestión de riesgos, todo ello con el propósito de identificar, medir, monitorear, controlar y prevenir los riesgos.

Ley de Bancos y Grupos Financieros

• ARTICULO 57. Control interno. Los bancos y las empresas que integran grupos financieros deben mantener un sistema de control interno adecuado a la naturaleza y escala de sus negocios, que incluya disposiciones claras y definidas para la delegación de autoridad y responsabilidad, separación de funciones, desembolso de sus fondos, la contabilización de sus operaciones, salvaguarda de sus activos, y una apropiada auditoria interna y externa independiente, así como una unidad administrativa responsable de velar porque el personal cumpla estos controles y las leyes y disposiciones aplicables.

Normativa prudencial relacionada con la gestión de riesgos

• Reglamento para la Administración Integral de Riesgos

• Reglamento para la Administración del Riesgo de Crédito

• Reglamento para la Administración del Riesgo Tecnológico

• Reglamento para la Administración del Riesgo Cambiario Crediticio

• Reglamento para la Administración del Riesgo de Liquidez

• Aspectos relativos a la Administración del Riesgo de Crédito, de Liquidez y Operacional

Normas Internacionales para el Ejercicio Profesional de la Auditoría Interna

• 2010 – Planificación

• El director ejecutivo de auditoría debe establecer un plan basado en los riesgos, a fin de determinar las prioridades de la actividad de auditoría interna. Dichos planes deberán ser consistentes con las metas de la organización.

Normas Internacionales para el Ejercicio Profesional de la Auditoría Interna

• 2120.A1 – La actividad de auditoría interna debe evaluar las exposiciones al riesgo referidas a gobierno, operaciones y sistemas de información de la organización, con relación a lo siguiente:

• Logro de los objetivos estratégicos de la organización,

• Fiabilidad de integridad de la información financiera y operativa,

• Eficacia y eficiencia de las operaciones y programas,

• Protección de activos, y

• Cumplimiento de leyes, regulaciones, políticas, procedimientos y contratos.

Basilea II, ISO 31000, y COSO Basilea II

Pilar I Riesgo de crédito Riesgo de Mercado Riesgo de Tipo de Cambio Riesgo Operacional

ISO 31000 Principios de gestión del riesgo Estructura para la gestión del riesgo Proceso de gestión del riesgo

COSO 8 Elementos 4 Objetivos 4 Niveles de alcance

Líneas de defensa

Relación entre los principios, estructura de soporte y proceso de gestión de riesgo

Proceso de gestión del riesgo

Identificación de Riesgos

Desarrollo de Criterios de Evaluación

Evaluación de Riesgos

Evaluación de Interacción de Riesgos

Priorización de Riesgos

Respuesta a Riesgos

Respuesta a los riesgos

• Evitarlo • Transferirlo • Compartirlo

• Asumirlo

Coso II ERM

Principios COSO

• Ambiente de Control

1 Integridad y valores éticos

2 Funcionamiento del control interno

3 Estructura, líneas de reporte, autoridad y responsabilidad

4 Reclutar, desarrollar y retener el talento

5 Asignar responsables del control interno

Principios COSO

• Evaluación de Riesgos

6 Identificación y evaluación de riesgos relacionados con los objetivos

7 Determinación de cómo deben ser administrados los riesgos

8 Considerar la posibilidad de fraude en la evaluación de riesgos

9 Evaluar cambios en el entorno que impacten significativamente en el CI

• Actividades de Control

10 Seleccionar y desarrollar actividades de control para mitigar los riesgos

11 Seleccionar y desarrollar actividades de control sobre TI

12 Establecer políticas y procedimientos para implementar actividades de control

Principios COSO

• Información y Comunicación

• 13 Manejo de información relevante para soportar el funcionamiento del CI

• 14 Comunicar al personal información sobre objetivos y responsabilidades del CI

• 15 Comunicar a terceros sobre aspectos que afectan el funcionamiento del CI

• Monitoreo

• 16 Evaluaciones concurrentes para verificar el funcionamiento del CI

• 17 Evaluar y comunicar las deficiencias en el CI en forma oportuna

Apetito de riesgo

• El apetito de riesgo es el nivel de riesgo que la empresa quiere aceptar

• La tolerancia al riesgo es la desviación respecto del apetito • La capacidad de riesgo es el nivel máximo de riesgo que una

organización puede soportar en la persecución de sus objetivos

El proceso de fijación del apetito de riesgo debe ser específico para cada empresa y debe estar a cargo del órgano máximo

Apetito de riesgo

Apetito de riesgo

Acciones que un directorio puede tomar para ayudar a formar un enfoque de Gestión Inteligente de Riesgos: 1. Definir el rol de supervisión del directorio 2. Fomentar una Cultura Inteligente de Riesgo 3. Ayudar a la gerencia a incorporar la Inteligencia al Riesgo en la estrategia 4. Ayudar a definir el apetito al riesgo 5. Ejecutar el proceso de Gobierno Inteligente de Riesgo 6. Comparar y evaluar el proceso de Gobierno

Apetito de riesgo

Pasos del Modelo de Gestión de Riesgos

• Definición del marco estratégico • Establecimiento de principios • Descripción organizativa • Asignación de niveles de riesgo • Metodología de cálculo • Comunicación, actividades de control, supervisión

Apetito de riesgo

Ventajas de su implantación • Estrategia

• Mejora la planificación estratégica • Aumenta la efectividad del proceso de toma de decisiones • Desarrolla esquemas de seguimiento y medición del

desempeño más eficientes, completos y justos

• Operaciones • Mejora el análisis coste-beneficio de las decisiones • Asigna recursos de forma más eficiente

Apetito de riesgo

• Información • Comunica la actitud de la alta dirección frente al riesgo • Considera todos los grupos de interés y sus preferencias • Desarrolla un sistema de reporte integrado • Crea una comunicación basada en pautas comunes

• Cumplimiento

• Cumplir con la legislación y las mejores prácticas de

gestión • Mejorar la transparencia • Implantar una cultura de gestión de riesgos

Selección del Nivel de Riesgo

Valor

agregado

esperado

Nivel de Riesgo

Riesgo óptimo Riesgo excesivoRiesgo insuficiente

Procesos Principales

• Planificación

• Mercadeo

• Desarrollo y diseño de productos

• Tesorería

• Captación

• Colocación

• Suscripción

• Emisión

• Reaseguro

• Siniestros

• Administración de carteras y cobros

• Servicios

• Fidecomisos

• Gobierno y control

• Información financiera y no financiera

• Infraestructura y aprovisionamiento

• Talento humano

Cadena de Valor

Cuadro de Mando Integral

Escalas para medir el riesgo

Escalas para medir el riesgo

Matriz de riesgos

Matriz de riesgos

Matriz de riesgos

Matriz de riesgos

Cédula de consolidación

CÓDIGO:

FECHA:

EDICIÓN

MACROPROCESO: TESORERÍA OBSERVACIONES:

PROCESO:

ÁREA:

COMPILADORES:

HERRAMIENTAS Y TÉCNICAS:

C A M B C A M B C A M B C A M B

4 3

3.- ANÁLISIS DE RIESGOSMODELO ESTÁNDAR DE CONTROL INTERNO - NIVEL 04 1.0

REF.IMPACTO PROBABILIDAD

RIESGO

REMANENTE

NIVEL DEL

RIESGO

APTITUD DE LAS ACTIVIDADES DE CONTROL EXISTENTESRIESGO IDENTIFICADO

FECHA DE IDENTIFICACIÓN DE RIESGOS DUEÑO DE PROCESO GERENTE MACROPROCESO

ELABORADO POR: REVISADO POR: APROBADO POR:

R02

ALTO 9 MODR01 12 CRITALTA 0.25

1

R03

Mapa de calor

Mapa de Calor

Conclusiones: • La gestión de los riesgos no es una opción, es una exigencia

inherente al qué hacer de cualquier negocio y en el caso de la industria financiera es, además, mandatorio.

• La gestión de riesgos es un proceso integral que debe estar alineado con los objetivos estratégicos corporativos.

• La gestión de riesgos administrada estratégicamente se constituye en una ventaja competitiva para la empresa.

• Un aspecto crítico que debe estar definido con precisión es el nivel de apetito de riesgo, tolerancia al riesgo y capacidad de riesgo

Conclusiones:

• El auditor interno está obligado por las NIEPAI a realizar la actividad de aseguramiento de los procesos de gestión de riesgos, gobierno y control.

• El auditor al diseñar su plan de trabajo debe priorizar la evaluación de los riesgos más relevantes de los principales procesos misionales, con base en el resultado del mapa de riesgos.

• Para cumplir con su objetivo, el auditor, debe desarrollar competencias para manejar apropiadamente conceptos de planeación estratégica, mercadeo, gestión de riesgos, gestión de procesos y de talento humano.

• Es aconsejable la implementación de una herramienta de control de la ejecución de la estrategia, que puede ser el Cuadro de Mando Integral (CMI o BSC), que permita dar seguimiento a la alineación entre los planes operativos, la estructura organizacional y los objetivos estratégicos.

¡MUCHAS GRACIAS!