Gestión de riesgos (página 3)

A continuación, explicaremos brevemente los métodos investigado:

2.6.1.                Magerit 2.0 (9).

            Su sigla significa "Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información", fue creado por el Consejo Superior de Administración Electrónica y promueve su utilización como respuesta a la percepción de que la Administración y en general toda la sociedad, depende de forma creciente de las tecnologías de la información para el cumplimiento de su misión.  La razón de ser de Magerit está directamente relacionada con la generalización del uso de los medios electrónicos, informáticos, que supone unos beneficios evidentes para los ciudadanos; pero también da lugar a ciertos riesgos que deben minimizarse con medidas de seguridad que generen confianza.

2.6.1.2.                       Objetivos de Magerit:

•    Crear conciencia  a los responsables de los sistemas de información de la existencia de riesgos y de la necesidad de atajarlos a tiempo.

•    Ofrecer un método sistemático para analizar tales riesgos.

•    Ayudar a descubrir y planificar las medidas oportunas para mantener los riesgos bajo control.

•    Apoyar la preparación a la Organización para procesos de evaluación, auditoría, certificación o acreditación, según corresponda en cada caso.

Asimismo, Magerit cuida la uniformidad de los informes que recogen hallazgos y las conclusiones de un proyecto de análisis y gestión de riesgos: modelo de valor, mapa de riesgos, evaluación de salvaguardas, estado de riesgo, informe de insuficiencias y plan de seguridad.

La versión 2.0 está estructurada en 3 libros: "Método", "Catálogo de Elementos" y  "Guía de Técnicas".

En el libro Nº 1 referido a los Métodos se describe la metodología desde 3 ángulos diferentes:

•    Capítulo 2: Describe los pasos para realizar un análisis del estado de riesgo y para gestionar su mitigación.  Es una presentación netamente conceptual.

•    Capítulo 3: Describe las tareas básicas para realizar un proyecto de análisis y gestión de riesgos, entendiendo que no basta con tener los conceptos claros, sino que es conveniente pautar roles, hitos y documentación para que la realización del proyecto de análisis y gestión de riesgos esté bajo control en todo momento.

•    Capítulo 4: Aplica la metodología al caso del desarrollo de sistemas de información, en el entendimiento que los proyectos de desarrollo de sistemas deben tener en cuenta los riesgos desde el primer momento, tanto los riesgos a que están expuestos, como los riesgos que las propias aplicaciones introducen en el sistema.

 En el libro Nº 2 referido a "Catálogo de Elementos", como su nombre lo indica se ofrece un catálogo, abierto a ampliaciones, que marca unas pautas en cuanto a: tipo de activos, dimensiones de valoración de los activos, criterios de valoración de los activos, amenazas típicas sobre los sistemas de información y salvaguardas a considerar para proteger el sistema de información.

En este libro se persigue los siguientes objetivos:

•    Por una parte, facilitar la labor de las personas que acometen el proyecto, en el sentido de ofrecerles elementos estándar a los que pueden adscribirse rápidamente, centrándose en lo específico del sistema objeto del análisis.

•    Por otra parte, homogeneizar los resultados de los análisis, promoviendo una terminología y unos criterios uniformes que permitan comparar e incluso integrar análisis realizados por diferentes equipos.

Y un tercer libro dedicado a  "Guía de Técnicas", el cual aporta luz adicional y guías sobre algunas técnicas que se emplean habitualmente para llevar a cabo proyecto de análisis y gestión de riesgos: técnicas específicas para el análisis de riesgo, análisis mediante tablas, análisis algorítmico, árboles de ataque, técnicas generales, análisis coste-beneficio, diagramas de flujo de datos, diagramas de procesos, técnicas gráficas, planificación de proyectos y sesiones de trabajo (entrevista, reuniones y presentaciones).

       2.6.2.         Metodología Gestión Integral de Riesgos en Organizaciones "GIRO".

Esta metodología esta basada en la teoría del Análisis Global de Peligros, en los planteamientos de la Society of Riese Análisis (SRA) y la Global Association of Risk Profesionals (GARP), y ha sido aplicado con gran éxito en empresas y corporaciones en distintos países de América Latina.

El Método "GIRO" es un Sistema de Gestión de Riesgos, que incorpora los siguientes elementos:

Ø   Escalas de medición relativa de la probabilidad y las consecuencias, construidas y adaptadas a las condiciones propias de cada Entidad.

Ø   El concepto "vulnerabilidad" como elemento clave para determinar el impacto de los eventos posibles.

Ø   El concepto de "nivel aceptable de riesgo" para determinar la seguridad de referencia.

Ø   El concepto de "escenario de riesgo" como unidad objetivo de análisis, lo que permite puntualizar en forma diferencial la evaluación.

Ø   Siete factores determinantes de la vulnerabilidad, para cada escenario: personas, valores, operación, ambiente, imagen empresarial e información.

Ø   Estrategias predefinidas para la intervención del riesgo en cada escenario evaluado.

Ø   Un sistema de "contabilidad de riesgos" que permite conocer el estado y distribución de los riesgos en el sistema (perfil de riesgo) en un momento de tiempo determinado.

Ø   Un sistema de "contabilidad de costos" para determinar el valor de cada una de las medidas de intervención planteadas para cada escenario.

Ø   Indicadores de gestión y calidad para determinar variables como: impacto de las medidas de intervención, eficacia y eficiencia de las medidas proyectadas, rentabilidad de las medidas, índices de vulnerabilidad del sistema, estabilidad del sistema ante los riesgos, etc.  Un sistema de medición para determinar la variación lograda en los resultados de los "niveles aceptables de riesgo" en el sistema.

Esta metodología tiene la característica importante de ser aplicable a cualquier tipo de amenaza, ya sean del tipo: social, tecnológica o natural; y de ser uniforme y coherente, ya que aplica criterios corporativos a todos los riesgos por igual.

Esta metodología está enmarcada dentro de los criterios de Gestión de Riesgos e incorpora los conceptos de Calidad Total, Planeación Estratégica, etc.  y todas las herramientas de evaluación como Árbol de Fallas y Árbol de Eventos, etc.

       2.6.3.         ORM Gestión del Riesgo Operativo de Monitor Plus TM(10).

Está metodología ha sido creada para el manejo específicamente de los Riesgos Operacionales, la empresa Plus Technologies & Innovations ha desarrollado el  Software Operacional Risk Manager de Monitor Plus TM (ORM).

El ORM ofrece un avanzado y eficaz Modelo de Gestión de Riesgos Operacionales con un enfoque proactivo e integral par la automatización de la Gestión Cualitativa y Cuantitativa de los mismos.

Fue desarrollado basado en las recomendaciones realizadas de las mejores prácticas para la identificación, análisis, control, seguimiento y monitoreo de los riesgos operacionales por parte de organizaciones como COSO, en lo que se refiere a mecanismos para la adecuada evaluación del control interno y metodologías de análisis para la medición del capital por riesgos operacionales del Comité de Basilea (11).

Este ha roto el paradigma de la medición Cualitativa v/s Cuantitativa, y se han integrado ambos enfoques.  ORM permite a las organizaciones financieras contar con un modelo de autoevaluación de los Riesgos Operacionales y a la vez tener un eficiente mecanismo de Recolección de Eventos de pérdidas.

Componente de ORM- Sistema de Autoevaluación:

Ø   Metodología: Con ORM, la entidad podrá poner en práctica la propuesta metodológica de gestión de riesgos alineada con los principios de la Planificación Estratégica.

Ø   ORM – Autoevaluación: Permite contar con un versátil Mapa de Riesgos de los procesos de la entidad.  Este multifacético ambiente brinda visiones tanto por unidades organizativas como por tipo de proceso y con amplia funcionalidad.

Ø   ORM – Base de Datos de Pérdidas: Buscando la eficacia y el mayor beneficio se creo esta base de datos, considerando obviamente los lineamientos de Basilea para la aplicación del Método de Medición Avanzada (AMA).  Este enfoque potencia a la investigación de los factores que pueden originar pérdidas y puede influir directamente en la reducción del capital requerido por Riesgos Operacionales.

Además ORM le permite a la entidad:

·         Centralizar el registro de las pérdidas históricas.

·         Identificar los eventos de fraudes y fallas operacionales

·         Automatizar los procesos de investigación por presunción de pérdidas inesperadas.

·         Enviar y administrar alertas tempranas y oportunas.

·         Obtener datos históricos.

·                     Modelar el capital en riesgo según las regulaciones vigentes.

       2.6.4.         Estándar Australiano/Neozelandés AS/NZ 4360:1999(12):

Este método fue creado por el Comité OB/7 de la junta de estándares de Australia y Nueva Zelanda en el año 1999, sobre administración de riesgos como una revisión de AS/NZ 4360:1995 Administración de Riesgos.  

De acuerdo con el estándar anterior, es decir AS/NZ 4360:1995, los objetivos son los siguientes:

•    Proveer un marco conceptual genérico para el establecimiento del contexto.

•    Identificación  del Riesgo

•    Análisis del Riesgo

•    Evaluación del Riesgo

•    Tratamiento del Riesgo

•    Monitoreo y Comunicación del Riesgo

ELEMENTOS DEL PROCESO DE LA GESTION DE RIESGOS SEGÚN EL METODO AUSTRALIANO/NEOZELANDES

Fuente Propia

Elementos Principales

Los elementos principales del proceso de administración del riesgo, son los siguientes:

a.             Establecer el contexto: Establecer el contexto estratégico, organizacional y de administración del riesgo en el cual el resto del proceso tomará lugar. Se deben en primer término, establecer los criterios contra los cuales se evaluarán los riesgos y definir la estructura del análisis.

b.            Identificación de riesgos: Identificar qué, por qué y cómo las cosas pueden suceder como la base para mayores análisis.

c.             Análisis de riesgos: Determinar los controles existentes y los riesgos analizados en términos de consecuencia y probabilidad en el contexto de esos controles. El análisis debe considerar el rango de consecuencias potenciales y como probablemente esas consecuencias pueden ocurrir. La consecuencia y la probabilidad  son combinadas para producir un nivel de riesgo estimado.

d.            Evaluación de riesgos: Comparar los niveles de riesgo estimados contra el criterio preestablecido. Esto permite priorizar los riesgos así como identificar las prioridades  de la administración. Si los niveles de riesgo establecido son bajos, entonces los riesgos podrían caer en una categoría aceptable y podría no necesitarse un tratamiento.

e.             Tratamiento de riesgos: Aceptar y monitorear los riesgos de prioridad baja. Para otros riesgos, desarrollar e implementar un plan de manejo específico dentro del cual se incluyen consideraciones de fundamento.

f.             Monitorear y revisar: Monitorear y revisar el desempeño del sistema de administración y los cambios que podrían afectarlo.

g.            Comunicación y consulta: Comunicación y consulta apropiada con accionistas internos y externos no solo en cada estado del proceso de administración del riesgo sino en lo concerniente a la totalidad del proceso.

Este estándar especifica los elementos del proceso de administración de riesgos, pero no tiene como propósito forzar a la uniformidad en el sistema de administración del riesgo.  Es genérico e independiente de cualquier sector industrial o económico.  El diseño e implementación del sistema de administración del riesgo estarán influenciados necesariamente por las necesidades de la organización, sus objetivos particulares, sus productos y servicios, y los procesos y prácticas específicas empleadas.

La terminología usada en este estándar ha sido escogida para que sea congruente, en lo posible, con un amplio rango de disciplinas de riesgos y administración de riesgos. 

Este estándar para su mejor entendimiento y posterior desarrollo, provee al lector de una guía de definiciones de términos utilizados dentro de él.

2.6.5.                Modelo Risk Universe (13).

Este modelo fue creado por Ernst & Young, presenta los múltiples riesgos a los que se enfrentan las entidades y que han de ser gestionados adecuadamente.

Este modelo clasifica los riesgos del negocio en 6 categorías:

1.- Entorno del Negocio: Riesgo de que factores externos e independientes de la gestión de las empresas puedan influir directa o indirectamente de manera significativa en el logro de sus objetivos y estrategias.

2.- Transacciones: Riesgo de que se produzca una pérdida o costo de oportunidad en la empresa, debido a la inadecuada estrategia de fusiones y adquisiciones de empresas y/o de inversión o desinversión de activos.

3.- Operaciones: Riesgo de que se produzca una pérdida o costo de oportunidad en la empresa debido a que las operaciones no pueden ser procesadas de forma oportuna y adecuada o bien, a ineficiencias en los procedimientos o en la asignación de los recursos.

4.- Información: Riesgo de que se produzca una pérdida o coste de oportunidad debido a una inadecuada o incorrecta utilización de la información que dispone la empresa, ya sea porque no está completa y/o porque no es oportuna.

5.- Financiero: Riesgo de que la empresa no pueda conseguir el financiamiento adecuado, y oportuno para realizar sus inversiones.

6.- Gobierno Corporativo: Riesgo de que se produzca una pérdida o un costo de oportunidad debido a una incorrecta actuación de los consejeros y directivos de la empresa, que impide la maximización del valor de la empresa a largo plazo para los grupos de interés.

De acuerdo con este modelo, del universo de riesgos se han de identificar los riesgos más relevantes para la entidad, es decir, aquellos que si ocurrieran no serían aceptables por sus grupos de interés ni por los principios del buen gobierno corporativo, y que afectarían significativamente el logro de los objetivos estratégicos.

Además las entidades se han de focalizar en los riesgos más relevantes, en el marco de un Sistema de Gestión de Riesgos integrado en el negocio y basado en la creación de valor.

2.6.6.NTP 537 Modelo Simplificado de Evaluación, Gestión Integral de Riesgo y Factor Humano (14).

Este método es desde nuestro punto de vista complementario a la Gestión de Riesgos, está enfocado en el factor más importante dentro de la entidad como lo es el recurso humano que labora dentro de ella, y que por ende será quien ayudará directamente en el cumplimiento de sus objetivos.

Teniendo en cuenta que la clave de la eficiencia dentro de una entidad está en las personas, las que constituyen su capital más valiosos  es que este modelo está diseñado como un instrumento para detectar cuales son los aspectos esenciales en los que la mejora es más necesaria u oportuna.  No trata de una detección exhaustiva de puntos débiles, sino de un diagnóstico de aquellos aspectos que puedan tener serias implicaciones en el éxito de la estrategia empresaria.

Para la elaboración de este modelo, se extrajo de los diferentes sistemas de Gestión de Calidad y Riesgos Laborales, aquellos aspectos comunes más relevantes sobre la importancia del factor humano en aras de la excelencia de la Gestión de Riesgos.

El aporte de este modelo es que pretende facilitar la necesaria visión global del nivel de excelencia de una organización, bajo el planteamiento de que las personas juegan un papel crucial.  Esto debe ser anterior a evaluar aspectos más concretos de la gestión de riesgos y poder tomar conciencia de que, en la mayoría de las ocasiones, los objetivos plantados no se alcanzan debidamente porque la cultura de la empresa que se pretende implementar no se arraiga en un proceso de cambio, el cual siempre va ser complejo.

Esta metodología se desarrolla básicamente a través de 6 formularios de evaluación, los cuales se basan en los aspectos más relevantes del factor recurso humano. 

Formularios de Evaluación:

o      Formulario 1: Liderazgo y Estrategia.

o      Formulario 2: Organización del trabajo.

o      Formulario 3: Comunicación.

o      Formulario 4: Cooperación.

o      Formulario 5: Formación.

o      Formulario 6: Cultura de Empresa.

Cada formulario excepto el 6, contiene las siguientes partes:

a.         Aspecto que evalúa el formulario y columna con los cinco requisitos que se van a puntuar.

b.        Listado de premisas cuyo cumplimiento se pretende evaluar (en total 15,  tres para cada uno de los cinco requisitos del formulario), en cada uno de los 3 sistemas de gestión analizados: sistema de gestión de la calidad, sistema de gestión de la prevención de riesgos laborales y sistema de gestión del medio ambiente.

c.         Espacio para la suma de resultados.

La evaluación de un aspecto determinado se realiza mediante cinco requisitos numerados que aparecen debajo del nombre del formulario respectivo.  A cada uno de los 5 requisitos se le asignan 3 premisas a las que hay que responder para el ámbito de la Calidad, Seguridad y Medio Ambiente.

El formulario 6 constituye una excepción, pues la respuesta no se diferencia para cada sistema de gestión, sino que simplemente se responde de manera general y puntuando con 0, 0.5 ó 1.

Para la interpretación de los resultados, este modelo nos muestra una tabla de resultados donde se anotan los puntos obtenidos en cada uno de los cinco primeros formularios para cada uno de los 3 ámbitos estudiados, y se calculan los totales obtenidos en cada uno de ellos.  Se indican también los porcentajes obtenidos respecto a la puntuación máxima.

La puntuación obtenida en el Formulario 6, en él que las respuestas se responden de manera general se anota en la última columna de la tabla.

Para mejor entendimiento de este modelo a continuación se mostrará una tabla de resultado y un modelo de evaluación.

(1)           Calidad / (2) Prevención de riesgos laborales / (3) Medio Ambiente

2.6.7.                     Modelo del Pulmón.

Los modelos de gestión se han transformado en una prioridad para las compañías, apuntando a un fortalecimiento de los sistemas de Gestión de Riesgos.  El Modelo Pulmón incorpora  al riesgo la gestión de calidad, como una actividad complementaria en todo el nivel de la organización, permitiendo a las compañías generar  y preservar el valor, manteniendo un desarrollo sostenido del negocio en un largo plazo.

Valor, Calidad y riesgo son conceptos que se encuentran íntimamente ligados. Según el modelo de los Pulmones, la expectativa de un objetivo es la línea a partir de la cual se agrega valor o se asegura valor. El llamado "Modelo de los pulmones" (por su singular Forma) propone que ambas gestiones son complementarias, apoyándose mutuamente para maximizar el valor de la compañía.   Más del 80% de las acciones de calidad involucran componentes de riesgo y viceversa.

 El propósito de la gestión es evitar que los resultados de un objetivo sean menores que la expectativa y el propósito de la gestión de calidad es conseguir que los resultados de un objetivo sean iguales o mejores que las expectativas.

 Sin embargo, las gestiones de riesgo y calidad implican un costo que la compañía debe asumir, por lo tanto, las acciones destinadas a asegurar o agregar valor se justifican solo si su beneficio es mayor que su costo.   El análisis realizado indica que más del 90% de las acciones que aseguran valor tienen un costo muy inferior a su beneficio, mientras que en el caso de la gestión de calidad algunas de estas acciones se evalúan como proyectos que pueden o no ser realizados.

 La gestión de calidad y riesgo se realiza a todo nivel y las acciones concretas, al igual que los objetivos estratégicos van descendiendo de nivel organizacional y estructural hasta llegar a los procesos o actividades propias de cada área, con el fin de maximizar los impactos positivos y minimizar los impactos negativos sobre los objetos de riesgo.

 Los objetos de riesgo definidos por el modelo del pulmón son tres: personas, medio ambiente y negocio.  Esto significa, aquellos que pueden verse impactados por una buena o mala gestión.

 Los sujetos de riesgo, es decir, aquellos que pueden impactar positiva o negativamente a los objetos de riesgo dependiendo de una buena o mala gestión son, en general: insumos, procesos, productos y descartes.

 La cultura de riesgo estaba centrada históricamente en la seguridad de las personas y en los últimos años se ha abierto a temas medio ambientales.   Con el desarrollo de este modelo la visión se ha ampliado hasta incorporar variables de negocios que anteriormente se veían solo como tema de calidad y también se asocio el concepto de calidad a las personas y el medio ambiente.

 Sin embargo, aunque el modelo teórico es integro e involucra a las distintas partes del negocio su implementación a requerido varios años, como consecuencia de la resistencia al cambio o el desconocimiento existente en algunos niveles de la organización.

   Esta figura representa el valor de una compañía como una rueda que se encuentra sobre una rampa o pendiente, explicando en forma mas concreta la relación entre ambas gestiones: Calidad y riesgo.  El objetivo propuesto es que esta rueda suba cumpliendo con las expectativas.

Las expectativas pueden ser medidas a través de indicadores de desempeño los cuales pueden ser producción, tasas de accidentabilidad, niveles de consumo energético, etc.

 En la figura anterior los mínimos y máximos aceptables del indicador están representados por los asteriscos.

El valor de la compañía (rueda) caerá en la medida que se generen incidentes o no conformidad.  De manera inversa el valor del la compañía accederá en la medida que se produzcan logros y mejoras.

 Como ya se ha mencionado. La gestión de riesgo y calidad esta íntimamente ligada por la rueda del valor.  La gestión de riesgo tiene como función servir de cuña para impedir que el valor de la compañía descienda.   Esto sólo se logra, evitando se produzcan los incidentes y no conformidades, y mitigando sus impactos o perdidas.  Se puede decir que esta gestión, no sólo sirve de cuña sino en cierto momento puede llegar a empujar esta rueda, permitiendo que suba por la pendiente o mejor dicho, aumente el valor.

 La gestión de calidad tiene como función tirar hacia arriba la rueda, permitiendo que el valor de la compañía ascienda.

Por esto debe provocar los eventos y estados de mejora deseados y potenciar sus impactos o ganancias.  Se puede decir que esta gestión no solo sirve para aumentar el valor, sino que en cierto momento pueda llegar que la rueda caiga, asegurándolo.

Si solo se realizará gestión de calidad sin implementarse gestión de riesgo, la cuerda que tira la rueda podría sostenerla por un tiempo desconocido, pero también podría llegar a cortarse con la ocurrencia de cualquier incidente, haciendo que la rueda caiga incluso aún más bajo que el indicador mínimo aceptable.   De igual forma, si solamente se realizará gestión de riesgo, esta sería una cuña para sostener la rueda, pero no la haría subir la pendiente y cualquier incidente lago mayor podría hacer que la rueda aplaste la cuña y caiga.   Ambas situaciones tiene como lógico resultado una baja en el valor de la compañía.

 Como conclusión la gestión de riesgo y gestión de calidad no pueden ser tratadas en forma independiente o ajena al proceso de negocio.   El mejor escenario corresponde al caso en que la gestión de riesgo apoye la gestión de calidad y viceversa.

 Basándose en el modelo de los pulmones y la rueda del valor se resumen todas las ideas, que se dividen en dos partes principales.   La primera de ella corresponde al mapa de riesgo y la segunda, al mapa de oportunidades.

2.6.8.                Cartilla Guía de "Administración del Riesgo" (15)

Esta Cartilla Guía fue creada en el año 2001, por el Departamento Administrativo de la Función Pública de Colombia, y está dedicada específicamente a la Gestión de Riesgo implementada en la Administración del Estado, de acuerdo con la normativa vigente en ese país.

Tiene por objeto fortalecer aspectos relevantes de la Función de la Administración Pública, además de dar cumplimiento a los principios constitucionales de moralidad, igualdad, eficacia, economía, etc., mediante la descentralización de funciones, recordando que una de las finalidades sociales del Estado es el bienestar general y el mejoramiento de la calidad.

Pretende que los usuarios de la guía puedan identificar, analizar y manejar permanentemente los riesgos, garantizando el cumplimiento de objetivos institucionales, la supervivencia de la entidad y el fortalecimiento de la credibilidad de la misma ante la ciudadanía.

Su objetivo general es garantizar el cumplimiento de la misión y objetivos institucionales de la entidad de la administración pública a través de la prevención y administración del riesgo.

Los objetivos específicos son:

a.         Brindar una herramienta que facilite a las entidades una adecuada administración del riesgo.

b.        Generar una visión general acerca de la administración y evaluación de riesgos, así como del papel de la alta y media gerencia en coordinación con la Oficina de Control Interno.

c.         Proteger los recursos del Estado.

d.        Introducir dentro de los procesos y procedimientos la administración de riesgo.

e.         Hacer participes a todos los funcionarios en la búsqueda de acciones encaminadas a prevenir los riesgos.

f.         Asegurar el cumplimiento de normas, leyes y regulaciones.

Esta metodología se basa en 7 etapas:

1.-     Directrices Generales:  

·               Compromiso de la alta Gerencia.

·               Conformación de un equipo de trabajo.

2.-     Valoración del Riesgo: Esta consta de 3 etapas: la identificación, el análisis y la determinación del nivel del riesgo, las cuales son de singular interés para desarrollar con éxito la administración de riesgo e implementar una política al respecto en la entidad.  Para cada una de estas etapas se sugiere tener en cuenta la mayor cantidad de datos disponibles y contar con la participación de las personas que ejecutan los procesos par lograr que las acciones determinadas alcances los niveles de efectividad esperados.

3.-     Manejo del Riesgo: Cualquier esfuerzo que emprendan las entidades en torno a la valoración del riesgo llega a ser en vano, si no se culmina en un adecuado manejo y control de los mismos, definiendo acciones factibles y efectivas, tales como la implantación de políticas, estándares, procedimientos y cambios físicos, que hagan parte de un plan de manejo.

Para el manejo del riesgo se puede tener en cuenta alguna de las siguientes opciones:

-           Evitar el riesgo.

-           Reducir el riesgo.

-           Dispersar y atomizar el riesgo.

-           Transferir el riesgo.

-           Asumir el riesgo         .

4.-     Plan de Manejo de Riesgos: Para la elaboración es necesario tener en cuenta si las acciones propuestas reducen la materialización del riesgo y hacer una evaluación jurídica, técnica, institucional, financiera y económica, es decir considerar la viabilidad de su opción.  La selección de las acciones más convenientes para la entidad se puede realizar con base en los siguientes factores:

a.- El nivel de riesgo.

b.- El balance entre el costo de la implementación de cada acción contra el beneficio de la misma.

5.-     Elaboración del Mapa de Riesgos: Este puede ser entendido como la representación o descripción de los distintos aspectos tenidos en cuenta en la valoración de los riesgos que permite visualizar todo el proceso de la valoración del riesgo y el plan de manejo de estos.

6.-     Monitoreo: Una vez diseñado y validado el plan para administrar los riesgos, es necesario monitorearlo permanentemente teniendo en cuenta que estos nunca dejan de representar una amenaza para la organización, el monitoreo es esencial para asegurar que dichos planes permanecen vigentes y que las acciones están siendo efectivas.  El monitoreo debe estar a cargo de los responsables del área y de la Oficina de Control Interno y su finalidad principal será la de aplicar los correctivos y ajustes necesarios para asegurar un efectivo manejo del riesgo.

7.-     Autoevaluación: Se debe realizar con base en los indicadores de gestión diseñados para tal fin y los resultados de los monitoreos aplicados en diferentes períodos.  Así mismo, se evaluará como ha sido el comportamiento del riesgo y si se han presentado nuevos riesgos que deban ser combatidos.

       2.6.9.         Análisis Funcional de Operatividad (AFO): Hazard and Operability (HAZOP) (16)   Descripción:

El HAZOP es una técnica de identificación de riesgos inductiva basada en la premisa de que los riesgos, los accidentes o los problemas de operabilidad, se producen como consecuencia de una desviación de las variables de proceso con respecto a los parámetros normales de operación en un sistema dado y en una etapa determinada. Por tanto, ya se aplique en la etapa de diseño, como en la etapa de operación, la sistemática consiste en evaluar, en todas las líneas y en todos los sistemas las consecuencias de posibles desviaciones en todas las unidades de proceso, tanto si es continuo como discontinuo. La técnica consiste en analizar sistemáticamente las causas y las consecuencias de unas desviaciones de las variables de proceso, planteadas a través de unas "palabras guía".

El método surgió en 1963 en la compañía Imperial Chemical Industries, ICI, que utilizaba técnicas de análisis crítico en otras áreas. Posteriormente, se generalizó y formalizó, y actualmente es una de las herramientas más utilizadas internacionalmente en la identificación de riesgos en una instalación industrial.

La realización de un análisis HAZOP consta de las etapas que se describe a continuación.

  Etapas:  

1.      Definición del área de estudio: Consiste en delimitar las áreas a las cuales se aplica la técnica. En una determinada instalación de proceso, considerada como el área objeto de estudio, se definirán para mayor comodidad una serie de subsistemas o líneas de proceso que corresponden a entidades funcionales propias: línea de carga a un depósito, separación de disolventes, reactores, etc.

2.      Definición de los nudos: En cada uno de estos subsistemas o líneas se deberán identificar una serie de nudos o puntos claramente localizados en el proceso. Por ejemplo: depósito de almacenamiento.

Cada nudo deberá ser identificado y numerado correlativamente dentro de cada subsistema y en el sentido del proceso para mejor comprensión y comodidad. La técnica HAZOP se aplica a cada uno de estos puntos. Cada nudo vendrá caracterizado por variables de proceso: presión, temperatura, caudal, nivel, composición, viscosidad, etc.

La facilidad de utilización de esta técnica requiere reflejar en esquemas simplificados de diagramas de flujo todos los subsistemas considerados y su posición exacta.

El documento que actúa como soporte principal del método es el diagrama de flujo de proceso, o de tuberías e instrumentos.

3.      Aplicación de las palabras guía: Las "palabras guía" se utilizan para indicar el concepto que representan a cada uno de los nudos definidos anteriormente que entran o salen de un elemento determinado. Se aplican tanto a acciones (reacciones, transferencias, etc.) como a parámetros específicos (presión, caudal, temperatura, etc.). La tabla de abajo presenta algunas palabras guía y su significado.

4.      Definición de las desviaciones a estudiar: Para cada nudo se plantea de forma sistemática todas las desviaciones que implican la aplicación de cada palabra guía a una determinada variable o actividad. Para realizar un análisis exhaustivo, se deben aplicar todas las combinaciones posibles entre palabra guía y variable de proceso, descartándose durante la sesión las desviaciones que no tengan sentido para un nudo determinado.

Paralelamente a las desviaciones se deben indicar las causas posibles de estas desviaciones y posteriormente las consecuencias.

En la tabla anterior se presentan algunos ejemplos de aplicación de palabras guía, las desviaciones que originan y sus causas posibles.

5.      Sesiones HAZOP: Las sesiones HAZOP tienen como objetivo la realización sistemática del proceso descrito anteriormente, analizando las desviaciones en todas las líneas o nudos seleccionados a partir de las palabras guía aplicadas a determinadas variables o procesos. Se determinan las posibles causas, las posibles consecuencias, las respuestas que se proponen, así como las acciones a tomar.

En el caso de procesos discontinuos, el método HAZOP sufre alguna modificación, tanto en su análisis como en la presentación de los datos finales.

6.      Informe final:  El informe final consta de los siguientes documentos:

o           Esquemas simplificados con la situación y numeración de los nudos de cada subsistema.

o           Formatos de recogida de las sesiones con indicación de las fechas de realización y composición del equipo de trabajo.

o           Análisis de los resultados obtenidos. Se puede llevar a cabo una clasificación cualitativa de las consecuencias identificadas.

o           Listado de las medidas a tomar. Constituye una lista preliminar que debería ser debidamente estudiada en función de otros criterios (coste, otras soluciones técnicas, consecuencias en la instalación, etc.) y cuando se disponga de más elementos de decisión.

o           Lista de los sucesos iniciadores identificados.

7.   Ámbito de aplicación: La mayor utilidad del método se realiza en instalaciones de proceso de relativa complejidad o en áreas de almacenamiento con equipos de regulación o diversidad de tipos de trasiego. Es uno de los métodos más utilizados que depende en gran medida de la habilidad y experiencia de los miembros del equipo de trabajo para identificar todos los riesgos posibles.

En plantas nuevas o en fase de diseño, puede ayudar en gran medida a resolver problemas no detectados inicialmente. Además, las modificaciones que puedan surgir como consecuencia del estudio pueden ser más fácilmente incorporadas al diseño. Por otra parte, también puede aplicarse en la fase de operación y en particular ante posibles modificaciones.

8.   Recursos necesarios: El grupo de trabajo estable estará constituido por un mínimo de cuatro personas y por un máximo de siete. Podrá invitarse a asistir a determinadas sesiones a otros especialistas.

Se designará a un Coordinador/Director del grupo, experto en HAZOP, y que podrá ser el técnico de seguridad, y no necesariamente una persona vinculada al proceso. Aunque no es imprescindible que lo conozca en profundidad, si debe estar familiarizado con la ingeniería de proceso en general.

 Ventajas e inconvenientes del método: El método, principalmente cubre los objetivos para los que se ha diseñado, y además:

·           Es una buena ocasión para contrastar distintos puntos de vista de una instalación.

·           Es una técnica sistemática que puede crear, desde el punto de vista de la seguridad, hábitos metodológicos útiles.

·           El coordinador mejora su conocimiento del proceso.

·           No requiere prácticamente recursos adicionales, con excepción del tiempo de dedicación.

Los principales inconvenientes, pueden ser:

·           Al ser una técnica cualitativa, aunque sistemática, no hay una valoración real de la frecuencia de las causas que producen una determinada consecuencia, ni tampoco el alcance de la misma.

·           Las modificaciones que haya que realizar en una determinada instalación como consecuencia de un HAZOP, deben analizarse con mayor detalle además de otros criterios, como los económicos.

·           Los resultados que se obtienen dependen en gran medida de la calidad y capacidad de los miembros del equipo de trabajo.

2.7.      Selección del Modelo de Gestión de Riesgos.

Después de realizar una identificación y evaluación de los diversos métodos existentes, para organizar la implementación de las funciones básicas que deben llevarse a cabo para una Gestión de Riesgos, la siguiente tabla nos muestra en resumen los métodos que se revisaron:

En primer lugar se observa metodología del tipo Software, la cual al tratar de implementarla nos significaría un costo alto al adquirir estos programas (precio fluctúa entre los 800 y 1.000 dólares), también habría que invertir en la parte informática de la empresa y en la capacitación del personal para interiorizarse de cómo funciona y cuales son sus aplicaciones de más importancia.  Además este tipo de método están enfocados a los riesgos del tipo TI (tecnología información), por lo que sería mejor implementarlos en entidades como lo es el Servicio de Impuestos Internos quién trabaja con gran información del tipo tecnológica informática, en sus procesos de Rentas, Pago de Contribuciones en línea, etc.

Con respecto al Método Risk Universe creado por la Empresa Ernst & Young, podemos señalar que abarca una gran cantidad de riesgos con respecto al negocio, pero su gran limitación es que existe muy poca información sobre él, como para poder implementarlo en alguna entidad.

Con respecto al Modelo del Pulmón, nos parece muy interesante la complementación que realiza de la Gestión de Calidad y la Gestión de Riesgos, y estamos de acuerdo que van de la mano pero desde el punto de vista que la Entidad en la cual se realizará la implementación requiere de entregar un servicio de alta calidad, nos parece que en este aspecto la Dirección de Vialidad esta apuntando hacia la certificación de sus procesos.

Por lo que nuestra metodología escogida sería el Método  Estándar Australiano Neozelandés, el cual  nos parece de mejor entendimiento y más fácil implementación ya que es aplicable a una actividad, una etapa de un proceso, etc.  También este puede aplicarse en todos los niveles de una organización ya sea estratégico u operacional.

CAPITULO III: AUDITORÍA INTERNA Y CONTROL INTERNO DENTRO DE LA GESTIÓN DE  RIESGOS.

En este capítulo conoceremos los términos de auditoria, su significado algunos antecedentes históricos  y como es la función de la Auditoria Interna dentro de la Gestión de Riesgos, además conceptos generales de los gobiernos corporativos, las diversas definiciones del Control Interno como el C.O.S.O. I y II.

3.1          Generalidades.

       3.1.1.         Nacimiento del Concepto de Auditoría (17).

Auditoría viene del inglés "to audit", que significa verificar, inspeccionar, a su vez el término inglés "audit." encuentra su origen al igual que la palabra española audiencia, en las voces latinas "audire"=oír y "auditio"=acto de oír.

 La acepción o significado del término auditoría ha experimentado notables cambios con el transcurso del tiempo, para terminar siendo una de las palabras de acepción más compleja de la moderna economía y administración. El termino auditoría significa inspeccionar, revisar, verificar e investigar. 

                  3.1.2.         Antecedentes Históricos de Auditoría.

Las auditorías han existido aproximadamente desde el siglo XV.  El origen exacto de las auditorías de informes financieros es objeto de controversia, pero se sabe que hacia el siglo XV, algunas familias pudientes establecidas en Inglaterra recurrían a los servicios de auditores para asegurarse de que no había fraude en las cuentas que eran manejadas por los administrados de sus bienes. Sin embargo, la auditoría en su acepción más restringida o  verdadera auditoría, consiste en la comprobación de la veracidad de la verdadera auditoría, en la comprobación de la veracidad de la información contable facilitada por sociedades generalmente privadas y de  naturaleza mercantil, no nace en Europa hasta después de la revolución industrial, ya en pleno siglo XIX, aunque con un desarrollo muy desigual en unos y otros países.

Fue entonces cuando, como consecuencia del desarrollo extraordinario de la sociedad anónima como forma jurídica de empresa, surgió la necesidad de que la información contable facilitada a los accionistas y a los acreedores respondiera realmente a la situación patrimonial y económica – financiero de la empresa.

La auditoría como profesión fue reconocida en Gran Bretaña por la Ley de Sociedades de 1862, en la que se establecía la conveniencia de que las empresas llevaran un sistema metódico y normalizado de contabilidad y la necesidad de efectuar une revisión independiente de sus cuentas.

En 1879 se le impuso en Gran Bretaña a las entidades bancarias la obligación de someter las cuentas anuales al juicio de un auditor independiente.

En 1880 la Reina Victoria les confirió a los auditores de Inglaterra y Gales el derecho a llamarse Chartered Accountants.

Desde 1862 hasta 1900, la profesión de auditor se desarrollo extraordinariamente en Inglaterra y se introdujo en los Estados Unidos de América hacia 1900. Antes de esa fecha, muchos contadores públicos o auditores titulados ingleses y escoceses  se habían ido ya a los Estados Unidos para prestar asistencia técnica a los inversionistas británicos, en aquella era de rápida industrialización en Norteamérica.

En Francia, la ley de 24 de julio de 1867, que durante un siglo ha sido considerada la carta constitucional básica del derecho de sociedades, regula la figura de comisaría de cuentas, cuya misión es presentar a la Junta General de la Sociedad un informe sobre las cuentas anuales de la misma preparadas por los administradores.

El Código de Comercio Italiano de 1882 supuso un importante paso adelante en el camino del control de las sociedades mercantiles por auditores independientes. Sin embargo, la historia de la auditoría en Italia, a diferencia de Alemania, en donde la auditoría se introduce tardíamente, se remonta a la época de las ciudades-estado, y en 1851 se fundó en Venecia la que fue, probablemente, la primera asociación de auditores.

En esta época, segunda mitad del siglo XIX, los objetivos de la auditoria eran fundamentalmente dos:

•         La detección y prevención de fraudes.

•         La detección y prevención de errores.

Hasta comienzos del siglo XX, el trabajo de los auditores se concentraba principalmente en el balance que los empresarios tenían que presentar a sus banqueros en el momento que decidieran solicitar un préstamo. Por aquella época la cuenta de pérdidas y ganancias era vista como un documento confidencial del que los terceros no podían disponer.

Fue a partir de 1900 cuando a la auditoría o contaduría  pública, como se le llamaba en los Estados Unidos de América, se le asignó  el objetivo de analizar la rectitud de los estados financieros. Después de esa fecha la función del auditor como detective fue quedando atrás, y el objetivo principal del trabajo del auditor paso hacer la determinación de la rectitud o razonabilidad  con la que  los estados financieros reflejan la situación patrimonial y financiera de la compañía, así como el resultado de sus operaciones.

3.2.      Concepto de Auditoría Interna(18).

La Auditoría Interna está encargada de examinar todo tipo de operaciones realizadas por un ente, lo que la hace diferente de la auditoría de estados financieros, ya que está última centra su interés en lo que se relaciona con la información expuesta por los estados financieros relativa a la situación financiera y los resultados económicos del periodo auditado. En cambio, la Auditoría Interna ejecuta sus actividades de examen con el propósito de formular juicios técnicos sobre la calidad y confiabilidad de la información y los sistemas de información general; acerca de la validez, vigencia y adhesión a las políticas, normas y procedimientos generales y particulares aplicados en cada una de las áreas y unidades de la entidad; y sobre la vigencia y efectividad de los controles directos incorporados en las operaciones.

Otra de las finalidades de la Auditoría Interna es evaluar el desempeño en las tareas que les han sido encomendadas a los miembros componentes del equipo humano de la organización.

Es decir, verificar si las personas se desempeñan con sujeción a las políticas y normas preestablecidas, si las tareas se desarrollan de acuerdo con los procedimientos definidos y si están permitiendo avanzar adecuadamente hacia el cumplimiento de las metas y logro de los objetivos para los cuales fueron establecidos.

Igualmente, la Auditoría Interna cumple con proporcionar a la dirección superior del ente, información independiente y objetiva, diferente de aquella que fluye por los conductos regulares de comunicación establecidos por la organización.

Finalmente, la Auditoría Interna debe asegurar la eficiencia en el desempeño de las responsabilidades asignadas a los miembros de la organización, por cuanto, a través del examen critico de las actuaciones, tiene que estar en condiciones de detectar las  debilidades, desviaciones y fallas potenciales o existentes y proponer las medidas correctivas que correspondan.

El ámbito de acción de la Auditoría Interna deberá comprender a la organización como un todo y, en particular, cada una de las unidades componentes. Sin dejar de lado la interacción de la organización con su entorno o medio ambiente.

El alcance de la Auditoría Interna debe comprender necesariamente el examen y la evaluación de la adecuación y efectividad del sistema de control interno de la organización, la evaluación de la eficiencia y eficacia del sistema de información administrativo, y la evaluación de la calidad del desempeño de los miembros en el cumplimiento de sus responsabilidades.

Al final del trabajo de auditoría, el auditor deberá emitir un informe en el que exprese su opinión técnica fundada respecto de la calidad con que se esta administrando la organización o una área especifica de ella.

Se ha definido a la Auditoría Interna, dependiendo del alcance del trabajo y campo de acción cubierto, como:

•    Una función asesora del nivel ejecutivo máximo en la administración eficiente de las operaciones realizadas por la organización.

•    Una función encargada de verificar el funcionamiento efectivo y adecuado del sistema de control interno, pasando a constituirse en control indirecto o control de controles.

•    Una función de evaluación de la gestión de una organización  y del desempeño de cada una de sus unidades.

•    Una función de evaluación de los resultados obtenidos, medidos en función de los recursos de todo tipo empleados, las metas y objetivos prefijados.

Según Ruben  O. Rusenas, "La Auditoría Interna es una función de alta y gran jerarquía, que requiere profesionales especializados, inteligentes, capaces e íntegros.

L. B Sawyer, "La Auditoría Interna es la evaluación independiente de las diversas operaciones y sistemas de control dentro de una organización, a fin de determinar si las políticas y procedimientos establecidos son aplicados, los estándares fijados son alcanzados, los recursos son utilizados eficiente y económicamente, los planes trazados son realizados de manera eficiente y si los objetivos de la organización se están realizando".

3.3.      La Auditoría Interna como actividad independiente y objetiva(19).

Los auditores internos deben ser ajenos a las actividades que auditan.

Los auditores alcanzan su independencia cuando pueden llevar a cabo su trabajo con libertad, objetividad, apego a las normas, estándares internacionalmente aceptados y que rigen la actividad del profesional auditor interno. La independencia nos permite rendir juicios imparciales, hecho esencial para una apropiada conducta de los mismos auditores. La independencia se logra a través de un adecuado posicionamiento en la organización de la empresa y su objetividad. La posición organizacional de la Auditoría Interna debe ser relevante para asegurar acciones efectivas sobre los hallazgos y recomendaciones de auditoría.

La objetividad requiere que los auditores internos tengan una actitud de independencia mental y una honesta confianza sobre el resultado de su trabajo. El establecer procedimientos, diseñar, instalar y operar sistemas no son funciones de auditoria; el llevar a cabo tales actividades presume perder la objetividad e independencia del auditor.

Ø     ACTIVIDAD DE ASEGURAMIENTO: Es el examen objetivo de evidencias con la finalidad de realizar una evaluación independiente de los procesos de Gestión de Riesgos, Control y Gobierno de la Organización.

Ø     ACTIVIDAD DE CONSULTORÍA: Actividades de asesoramiento y servicios relacionados, de naturaleza y alcances diversos, previamente acordados y dirigidos a añadir valor y a mejorar los procesos de Gobierno y Gestión de Riesgos.

Ø     AGREGAR VALOR: La Auditoría Interna debe tener la capacidad de aportar comentarios que permitan a nuestras organizaciones ganar en productividad, mejorar procesos, disminuir costos, mejorar los servicios para tener clientes satisfechos y aumentar la relación riesgo-entorno.

3.4.      ¿Qué no debe esperarse de una Auditoría Interna?

Un Departamento de Auditoría Interna no debería ser reconocido por las características que, a título informativo y sin carácter taxativo, se enumeran a continuación:

a)                    Convertirse en un lugar de retiro o de estacionamiento de Directivos en desgracia u obsoletos y, en general, de personal con el que no se sabe bien que hacer.

b)                    Desarrollar una mentalidad "policíaca", inquisitiva, pretendiendo sorprender en fallos o deficiencias al personal de la empresa.

c)                    Ser una agrupación de "delatores" que trasmiten a la Dirección sospechas, impresiones sin consistencia real o puramente subjetivas, o denuncias recibidas de otros departamentos o personas.

d)                    Ser un depósito de la empresa, al cual se requiera para echar mano de su personal cada vez que aparezca un incendio a  apagar en la empresa.

e)                    Convertirse en un simple auxiliar de la Auditoría Externa o un enemigo permanente de la misma o de otros Departamentos de la organización.

f)                     Devenir en un departamento sin categoría ni prestigio en la empresa, que se dedique a tareas rutinarias e intrascendentes de control e inspección.

3.5.      La Auditoría como técnica de análisis y supervisión de riesgos.

La empresa moderna tiene dentro de sus principales intereses el enfrentamiento de manera activa a los riesgos  que afectan su estabilidad y seguridad integral. De esta manera es importante la búsqueda de alternativas que permitan el tratamiento de estos riesgos de manera  conciente y  razonada, de aquí que una de las técnicas más utilizadas hoy en gran parte del mundo, es el desarrollado por la Administración ó Gerencia de riesgos,  que es caracterizada por muchos como una técnica gerencial, que posibilita de manera integral detectar, evaluar y manejar los riesgos de pérdida a los que se enfrenta la empresa moderna.

Para cumplir ese objetivo el analista de riesgo despliega acciones propias de la dirección y gestión de empresa con la especificidad de las ciencias y técnicas aplicables a los riesgos y las herramientas para su gestión. Como parte fundamental de esa labor directiva debe procurar la máxima coordinación con todas las áreas operativas de la empresa en la circulación fluida que tenga relación con los riesgos.

Una de las actuaciones de análisis  y supervisión de riesgos más efectiva está constituida por la realización de Auditorías, herramientas fundamentales para la comprobación del cumplimiento de los planes de seguridad y base de la mejora permanente de los mismos.

La auditoría es una herramienta fundamental en el tratamiento de los riesgos,  ya que es una función independiente ubicada dentro del organigrama empresarial, con la finalidad de verificar si las actividades se están realizando de acuerdo con las normas y procedimientos establecidos por los niveles de dirección y si responden a los mejores métodos de operación y control.

La auditoría tiene el objetivo de ayudar a los miembros de la organización en el desempeño efectivo de sus responsabilidades;  cuando este objetivo se logra, es porque la auditoría ha proporcionado análisis, evaluaciones, recomendaciones, asesoría  e información respecto a las actividades que se han auditado (serían los posibles riesgos detectados dentro de cada área que componga la empresa).

Los objetivos fundamentales de la auditoría son:

·                     Mantenimiento de un sistema de control interno efectivo.

·                     Cumplimiento de las normas y procedimientos establecidos para el logro de los objetivos de la empresa.

·                     Identificación de las áreas donde ocurren desviaciones y posibles riesgos. 

3.6.      Normas de Auditoría según Instituto de Auditores Internos(20).

Las normas de auditoría establecen los lineamientos básicos que el profesional debe seguir en el cumplimiento de su labor (y en esto no hay legislación alguna que sustituya las normas).

Como el objeto de éstas normas es el ejercicio de una actividad profesional, no cabe otra alternativa que esa misma profesión dicte su contenido.

Las normas que rigen son emanadas del Instituto Internacional de Auditoría y se refieren a:

·         La condición básica para el ejercicio de la auditoría que es la independencia del auditor en relación al objeto de la auditoría.

·         Las características necesarias en cuanto a capacidad profesional, tanto de la Unidad de Auditoría Interna como del propio auditor interno.

·         Las normas para el desarrollo de la auditoría que incluyen los contenidos básicos referidos a las características propias de la ejecución de la labor, la documentación y las técnicas a emplear.

·         Las normas sobre la administración del Departamento de Auditoría Interna.

Normas del Instituto de Auditores Internos:

* NORMAS SOBRE ATRIBUTOS

1. Propósito, Autoridad y Responsabilidad

•     Independencia y Objetividad

•     Independencia de la Organización

•     Objetividad Individual

•     Impedimentos a la Independencia u Objetividad