Riesgo operacional 

¿Qué es el riesgo operacional?

Se le denomina "riesgo operacional" a toda posible contingencia que pueda provocar pérdidas a una empresa a causa de errores humanos, de errores tecnológicos, de procesos internos defectuosos o fallidos, o a raíz de acontecimientos externos (fraudes, accidentes, desastres, etc).

Esta clase de riesgo es inherente a todos los sistemas y procesos realizados por humanos. Así entendido, el riesgo operacional incluiría también el "riesgo legal", pero excluiría otros conceptos como el "riesgo estratégico" y el "riesgo reputacional".

"El riesgo operacional es considerado actualmente de gran impacto en las organizaciones, sin embargo no siempre fue así [...] es desde su reglamentación en el acuerdo de Basilea II cuando el mundo empresarial y especialmente el sector financiero se dan cuenta de la vasta importancia que tiene, desarrollando medidas y programas de gestión de riesgo operativo". (Riesgo operacional en los procesos de compra en una PYME del sector real, Karina Cruz & Rafael Ricardo)

 

¿Qué es un sistema de administración de riesgo operacional?

El Sistema de Administración del Riesgo Operativo se compone de un conjunto de elementos tales como políticas, procedimientos, documentación, estructura organizacional, registro de eventos, órganos de control, plataforma tecnológica, divulgación de información y capacitación, mediante los cuales se identifica, mide, controla y monitorea el riesgo operativo. Así mismo se complementa con la definición de riesgo establecida en el presente manual. En tal sentido, ICETEX distingue y enfoca su gestión conforme las etapas y elementos que componen el SARO.

¿Cuáles son los factores del riesgo operacional?

Existen algunos factores de riesgo operativo que deben ser considerados por las organizaciones:

1. Recursos humanos 

Uno de los factores de riesgo operacional son las actividades desempeñadas por las personas, ya sea por la competencia, conducta ética o atribuciones que tenga un funcionario.

Cuando un empleado tiene acceso a transacciones que no son de su competencia, puede llegar a cambiar información sensible o tener a su disposición datos confidenciales de los clientes o de la compañía, lo que puede resultar en fraudes, robos, sabotajes, etc. 

2. Falta de segregación de funciones 

Uno de los principios de control interno de una empresa es la segregación de funciones. Esta consiste en  separar las actividades para que las responsabilidades de una o varias áreas de la compañía no recaigan en una sola persona. De ese modo ningún funcionario debe gestionar todas las etapas de una transacción.

Cuando no hay segregación de funciones, un usuario podría acceder a transacciones para realizar acciones no autorizadas o fraudulentas. Por eso, es un factor de riesgo operativo.

Muchos bancos, como el JP Morgan Chase, el Banco Barings o el Banco Société Générale, han sufrido grandes pérdidas por una inadecuada segregación de funciones. 

3. Administración de usuarios y contraseñas 

Los sistemas, la infraestructura, la disponibilidad de almacenamiento y el procesamiento de la red de una empresa son factores de riesgo operacional.

En ese sentido, si un usuario accede a sistemas de información que son sensibles para la compañía o cuenta con acceso a usuarios o a contraseñas que no son de su responsabilidad, puede aumentarse el riesgo de pérdida de confidencialidad o exponer los datos a modificaciones no autorizadas. 

4. Fallas en los procesos

Los flujos o las etapas de desarrollo de productos o servicios, así como el registro interno de clientes o las transacciones que no han sido ingresadas de forma correcta en el sistema pueden originar un posible riesgo operativo.

En esta misma categoría de factores de riesgo operacional entran aquellas transacciones que han sido registradas de forma incompleta, con información imprecisa o fuera del periodo contable correspondiente. Cuando se utiliza un formato incorrecto para ingresar los datos o se registran sin contrastar con los datos existentes, se pueden afectar de forma grave los registros contables.

Pasos para reducir la subjetividad en la gestión del riesgo operativo

Uno de esos nuevos objetivos es la reducción de la subjetividad para calificar los riesgos. La base para reducir la subjetividad es hacerlo en todas las etapas del proceso de gestión. A continuación le mostramos cómo hacerlo.

1. Identificar los riesgos

Para apuntar al objetivo desde la identificación, se debe contar con técnicas formales. A su vez, el personal debe estar capacitado en dichas técnicas y debe ser guiado por un experto. 

Algunas herramientas formales que se deben considerar son las siguientes:

• revisión en flowchart y documentación de procesos
•  técnica Delphi
• entrevistas
• análisis causa-raíz (ishikawa)
•  diagrama causa-efecto
• análisis DOFA (SWOT)

Contar con las herramientas adecuadas es solo el comienzo, pues deben ser escogidas adecuadamente con la metodología de la organización.

2. Calificar los riesgos

Otro paso para reducir la subjetividad consiste en hacerlo al momento de calificar los riesgos en términos de sus atributos principales: impacto y frecuencia (o probabilidad según la metodología).

Es importante que los niveles cuenten con criterios de escogencia, que permitan clasificar sin lugar a dudas un riesgo en uno de los niveles. Además, deben definirse no solo unos niveles cualitativos de frecuencia e impacto, sino también asignar rangos de pesos porcentuales para cada nivel con el fin de acercarse a un modelo más cuantitativo.

3. Calificar los controles

El siguiente paso se debe concentrar en calificar adecuadamente los controles en sí mismos antes de evaluar el nivel de mitigación que aporta a cada riesgo.

Además de identificar y calificar los controles, es importante poder hacerlo de acuerdo con unos criterios o unas variables estandarizadas que la organización considere que se deben tener en cuenta para la implementación de un control.

EJEMPLO:

Naturaleza del control: si el control es automático, manual y, más importante que esto, si es adecuado que tenga esa naturaleza, pues no todos los controles se pueden automatizar.

Tipo de control: si el control es preventivo, correctivo o detectivo y si es adecuado que sea de ese tipo.

Responsable del control: se tiene asignado, no se tiene asignado.

Documentación del control: está documentado, no está documentado o solo parcialmente.

Evidencia del control: deja evidencia conservada, deja evidencia no conservada o no deja evidencia.