MODULO II.
-
LOS RIESGOS EN LA
EMPRESA
GESTION DE RIESGOS DE
COMPLIANCE
• RIESGO: ES LA POSIBILIDAD DE QUE OCURRA UN
EVENTO DAÑOSO A LA EMPRESA, ES UNA AMENAZA QUE
SE ORIGINA POR CIRCUNSTANCIAS PROPIAS O AJENAS DE
LA ACTIVIDAD DE LA SOCIEDAD, QUE PUEDEN AFECTAR
ADVERSAMENTE LA CAPACIDAD DE LA ORGANIZACIÓN
PARA LOGRAR SUS OBJETIVOS Y EJECUTAR SUS
ESTRATEGIAS, LOS HAY DE DIVERSAS CLASES.
DEL ENTORNO
CLASES OPERATIVOS
DE
RIESGO DEL MERCADO
EN LA
EMPRESA DE LA NATURALEZA
CLIMATICOS
PRECIO DE INSUMO Y
PRODUCTOS
CLASES LEGAL
DE
RIESGO LABORAL
EN LA
EMPRESA
CORRUPCIÓN
II
CREDITICIOS
CONTROLA LA ACCION DE
DIRECTIVOS Y PERSONAL
DE LA SOCIEDAD Y DE
TERCEROS EN LAS
OPERACIONES Y RECURSOS
DE LA SOCIEDAD
CONTROL
INTERNO
CONTROL DE
RIESGOS
• 3.-CONTROL DE RIESGOS: CONJUNTO DE
PROCESOS, PROCEDIMIENTOS Y ACCIONES
PROGRAMADADOS PARA SER REALIZADOS
POR TODOS LOS MIEMBROS DE LA
SOCIEDAD PARA EVITAR, PREVENIR,
SUPRIMIR O DISMINUIR RIESGOS COMO LA
PERDIDA, MENOSCABO O DISTRACCION DE
RECURSOS O DE INFORMACION, PARA
MITIGAR LOS RIESGOS OPERACIONALES, DE
MERCADO, EL RIESGO CREDITICIO U SOBRE
TODO LOS ESTRATEGICOS, CONFORME A
ALGUNO DE LOS DISTINTOS MODELOS
EXISTENTES QUE PERMITAN DAR
FELXIBILIDAD A SU IMPLEMENTACIÓN EN EL
INTERIOR DE LAS ESTRUCTURAS
CORPORATIVAS.
RIESGOS ESTRATEGICOS.
La posibilidad de que
factores internos y/o
externos afecten la
estabilidad y permanencia
en el tiempo de la
sociedad.
CODIGO DE PRINCIPIOS Y
MEJORES PRACTICAS DE
GOBIERNO CORPORATIVO
• 1 Ataques cibernéticos y robo de información.
• 2 Uso del teléfono, del internet, las redes privadas y las redes sociales dentro de las
instalaciones de la sociedad.
• 3 Continuidad del negocio y la recuperación de información en caso de desastres.
• 4 Efectos de los cambios económicos y regulatorios del país y del extranjero.
• 5 Disrupción en el modelo de negocio.
• 6 Cambios climáticos y sus efectos en la cadena de suministros.
• 7 Movimientos geopolíticos, sociales y migración.
• 8 Efectos en la reputación y la confianza en la marca.
• 9 Ausencia de innovación y desarrollo de nuevos negocios.
• 10 Ausencia de un plan formal de sucesión en la sociedad.
La identificación, cuantificación y administración de los riesgos estratégicos es importante
para guiar las distintas actividades de la sociedad, asegurando su estabilidad y permanencia
en el tiempo en beneficio de los accionistas y los terceros interesados.
GESTION DE
RIESGOS (ISO
31000)
1.- 3.-
2.- ANALISIS
IDENTIFICACION EVALUACION
COMPONENTES DE
APRECIACION DEL RIESGO
• El CO debe estar consultando y comunicando a todas las fases del
proceso con las partes interesadas de la empresa, tanto internas
como externas, con objeto de obtener sus opiniones sobre todos los
aspectos relacionados con los riesgos, identificación de nuevos
riesgos, causas y consecuencias de los mismos, medidas adoptadas
para su gestión,, sin esto la evaluación de riesgo no seria exitosa.
• El análisis del riesgo en las empresas se debe hacer en función su
tamaño y estructura, en una pequeña no es necesario realizar
procesos complejos.
.SIMPLICIDAD: EL CO debe
procurar mantener el
proceso de evaluación de
riesgos simple y
consistente con el tamaño
de la organización. Los
procesos complejos
APRECIACION mueren
DEL RIESGO AVANZAR POCO A POCO:
Es mejor comenzar con
algo pequeño pero eficaz e
ir mejorándolo y
aumentando la
complejidad con el tiempo.
“ lo mejor es enemigo de lo
bueno”
ESTABLECIMIENTO DEL
CONTEXTO
• identificar, analizar y
evaluar riesgos, es
conocer muy bien LA
ORGANIZACIÓN Y SU
CONTEXTO, analizando y
entendiendo de forma
completa todos los
factores internos y
externos que le impactan.
ACTIVIDAD.- (GIRO DE LA EMPRESA)
STAKEHOLDERS
ENTENDE FACTORES DE RIESGO (DINERO EN
R EL EFECTIVO, TEMAS AMBIENTALES,
ETC)
NEGOCIO
PROCESOS (COMO SE REALIZA LA
ACTIVIDAD EN LA EMPRESA)
RELACIÓN CON ENTES PÚBLICOS.
Estructura societaria: Que tipo de
sociedad es, como se compone la
empresa, como esta integrado el
órgano de administración, etc.
ANALIZA
R LA
Estructura organizativa: Numero y
ESTRUC
perfil de empleados, el organigrama,
las áreas y sus departamentos, TURA DE
LA
órganos y comités que existen.
Proceso de toma de decisiones:
EMPRES
Personas apoderadas y autorizadas
para tomar decisiones, atribuciones y
A
competencias de los directivos..
EL ENTORNO
REGULATORIO
EL CO DEBE ANALIZAR CUAL
Legislación Normas de Normas y
ES EL ENTORNO REGULATORIO
estándares
aplicable: procedimiento aplicables a la DE LA ORGANIZACIÓN, ES DECIR,
Leyes y internos: actividad de la EL CONJUNTO DE LEYES Y
normas que Políticas organización: NORMAS, TANTO INTERNAS COMO
son de internas, Certificados de EXTERNAS, QUE DEBEN SER
estandarización RESPETADAS POR LA EMPRESA.
aplicación a la procedimiento emitidos por
sociedad, s internos, terceros
circulares, códigos de independientes.
guías y conducta.
recomendacio
nes de las
entidades
supervisoras si
es sujeto de
ello.
DELIMITACION DE LAS RESPONSABILIDADES DEL
COMPLIANCE
• El CO debe tener bien delimitado las competencias y las áreas dentro de la
organización que están bajo la responsabilidad del CO.
• Para evitar lagunas o malos entendidos, se debe documentar por escrito cuales
son las competencias de compliance, debe ser aprobado por la Alta dirección y
ser difundido y conocido por todos los miembros de la empresa.
• Las áreas que normalmente están relacionados con el compliance, son aquellas
relacionadas con las normas de conducta y con la defensa de los intereses de
las terceras partes interesadas con las que se relaciona la empresa.
AREAS RESPONSABILIDAD DEL
COMPLIANCE
AREAS
PREVENCION PREVENCION PREVENCION PREVENCION
´PREVENCION CODIGO DE
DE RIESGOS SOBORNO Y LAVADO DE CONFLICTO CANAL DE
DE FRAUDE CONDUCTA
PENALES CORRUPCION DINERO DE INTERES DENUNCIAS
IDENTIFICACIÓN DE LOS
RIESGOS
• Una vez que se tiene el contexto y reconocidos
todos los factores internos y externos que pueden
afectar a la organización, se debe pasar a realizar la
identificación de los riesgos de compliance, la
relación detallada de los acontecimientos o de los
escenarios que, en caso de que sucedieran, podrían
dar lugar a perdidas económicas, financieras o
reputacionales como consecuencia del
incumplimiento de las normas políticas internas.
• No todos los riesgos se materializan, la mayoría casi
nunca, pero es esencial identificaros y
posteriormente evaluarlos.
• La identificación de los riesgos de compliance debe hacerse en base al
conocimiento que el CO tiene de la organización, conociendo el contexto y
con las opiniones e información de todos los involucrados, el mapa de
riesgos será los mas completo y exacto posible., los resultados de las
revisiones, monitorizaciones y auditorias realizadas anteriormente, las
reclamaciones de los clientes o las denuncias recibidas por el canal de
denuncias son también fuentes valiosas para la identificación de
potenciales riesgos de compliance.
• Este ejercicio de identificación de riesgos, debe ser dinámico, se debe
actualizar ese universo de riesgos, y cada que se identifique uno nuevo
agregarlo, debiendo realizarse un ejercicio de verificación continua y
periódica (una vez al año) para comprobar o descartar que existan nuevos
riesgos que no estén adecuadamente identificados.
• .Existe obligación de obtener autorizaciones o
licencias para desarrollar el objeto social, o para
operar algunos productos o servicios en especial
• .Existe alguna obligación de registro o
autorización administrativa para el
nombramiento de determinados cargos o
administradores
RIESGOS • Se envían a tiempo y forma las información o
RELACIONADOS avisos regulatorios.
CON LA • Se disponen de mecanismos y procedimientos
ACTIVIDAD para conocer la nueva legislación y normativa que
afecta a la organización
• .existen procedimientos para ejercer el debido
control sobre las personas en las que se
externalizan servicios.
• .Existen mecanismos adecuados de selección del
personal que den confianza sobre la integridad y
honestidad de los nuevos empleados.
RIESGOS RELACIONADOS CON
LOS PRODUCTOS O SERVICIOS
.- Existen
mecanismos y
procedimientos
.- Se presta un para garantizar que .- Existen
asesoramiento no se ofrece a los mecanismos para
adecuado a los clientes información garantizar que la
clientes sobre los errónea, incompleta publicidad que
productos y o confusa sobre los realiza la empresa
servicios que se bienes o servicios es clara y no
ofrecen. que se ofrecen, engañosa.
tanto antes como
después de la
contratación.
Se cumplen con
todos los requisitos .- Los clientes .- Existen
regulatorios con pueden reclamar y mecanismos
relacion a la sus solicitudes son adecuados de
publicidad de atendidas adecuada selección de
productos o y oportunamente. proveedores.
servicios.
.-Se manejan datos
de carácter
personal de
personas físicas,
cuenta con la
necesaria
protección.
RIESGOS RELACIONADOS CON
LOS CANALES DE DISTRIBUCION
.-Existen mecanismos
para analizar y conocer a .- Se siguen
.- Se distribuyen profundidad a las procedimientos para
productos a través de personas que van a asegurarse que no se
agentes o prescriptores. actuar en nombre de la contratan agentes de
organización ante de su mala reputación.
contratación.
.- Existen salvaguardas
adecuadas en los
.- Se supervisa la labor
cotratos y acuerdos de
de los agentes
distribución con terceras
partes.
• .- Existen potenciales riesgo de conflicto de interés entre la
empresa, sus administradores y empleados y otras terceras
personas (clientes, proveedores) que no se están
gestionando ni prevenidos.
• .- Existen mecanismos y procedimientos que garanticen la
separación de funciones para prevenir el fraude interno y los
errores involuntarios.
• .- Existen controles para conocer y autorizar, en su caso,
RIESGOS actividades externas a la empresa de empleados y directivos.
RELACIONADOS
• .- Existen mecanismos y procedimientos para controlar el
CON LA
uso que hacen los empleados de los recursos, equipos y
CONDUCTA sistemas que la empresa, pone a su disposición para el
desarrolla de la actividad profesional.
• .- Alguno de los empleados o administradores ha sido
imputado o condenado por algún delito o esta siendo
procesado a la fecha.
• .- Existen mecanismos para controlar y limitar la entrega o
recepción de regalos o invitaciones de clientes, proveedores
y otras personas.
• **UNA VEZ IDENTIFICADO LOS RIESGOS, SE DEBEN DOCUMENTAR, LO QUE
NORMALMENTE SE HACE DE FORMA QUE SE VAYA DESGLOSANDO EL RIESGO EN
DISTINTOS NIVELES DE DETALLE, LO QUE SE HACE DE MANERA GRADUAL HASTA
LLEGAR A UNA DESCRIPCION DETALLADA DEL ESCENARIO DE RIESGOS
IDENTIFICADOS:
• POR EJEMPLO EN EL DE ACTIVIDAD:
RIESGO NIVEL 1: LA ACTIVIDAD COMO TAL
• RIESGO NIVEL 2:
• .-LICENCIAS Y PERMISOS.
• .- IMPLANTACION DE NUEVA NORMATIVIDAD
• .- ACTIVIDAD TRANSFRONTERIZA
• .-AGENTES PRESCRIPTORES
• RIESGO NIVEL 3:
• .-LICENCIAS Y PERMISOS: no se cuenta con las necesarias autorizaciones o
licencias, no cumple con requisitos de las autorizaciones o licencias, se
opera con productos que no cuentan con permisos.
• .- IMPLANTACION DE NUEVA NORMATIVIDAD: Hay falta de conocimiento
de nuevos requisitos regulatorios, se aplica tardíamente los nuevos
requisitos regulatorios, se interpretan erróneamente los requisitos
regulatorios.
• .- ACTIVIDAD TRANSFRONTERIZA: se opera con productos o servicios que
no cumplen con los requisitos regulatorios del país de destino, se realizan
actividades en otras jurisdicciones.
ANALISIS DE
RIESGO
• Una vez identificados y
relacionados los riesgos
de compliance de la
organización, se debe
proceder a su análisis y
evaluación, se debe
conocer cual es el riesgo
inherente y el riesgo
residual de cada uno de
los riesgos que
componen el universo
de riesgos de una
organización.
RIESGO INHERENTE
Es el riesgo que por su naturaleza no se *** este riesgo se mide por el cruce
pueda separar de la actividad que realiza de dos parámetros, impacto y
la empresa, es decir, el riesgo intrínseco probabilidad.
de las distintas actividades y áreas de
negocio son considerar los sistemas de
control que haya implantados
El impacto: se refiere a las consecuencias de
cualquier tipo (económicas, financieras, patrimoniales,
reputacionales, etc) que tendría el evento de riesgo si se
llegara a producir.
La probabilidad: Se refiere a la expectativa
puramente teórica de que se produzca el evento de
riesgo, sin considerar las medidas mitigantes que
puedan estar implantando o que se puedan implantar y
teniendo en cuenta exclusivamente las características y
el contexto de la organización, es decir, el sector
económico en el que opera, las actividades que realiza,
las zonas geográficas en las que presta sus servicios, el
tamaño y otras características relevantes.
El riesgo inherente es el
punto de partida necesario El resultado de la
para proceder a la identificación y análisis de
evaluación de cada uno de los riesgos de compliance
los riesgos, de ahí la deberá ser
importancia de que se convenientemente
realice de forma rigurosa y documentado.
concienzuda.
.- La persona o personas
.- El departamento o
responsables de cada
departamentos implicados.
riesgos (risk owner)
.- La persona o el
.- La fecha de inclusión del departamento que ha
riesgo en el registro. sugerido la inclusión del
riesgo en el registro.
El siguiente paso del proceso consiste en la identificación y
definición de los controles que existen en la organización
para prevenir, evitar o mitigar los riesgos previamente
identificados.
Los controles pueden ser:
DEFINICIÓN
.- De prevención.
DE
CONTROLE
S
.-De reacción
.- De detección.
CONTROLES DE PREVENCION
• el objetivo es evitar el riesgo, prevenirlo antes de que se produzca, entre los
controles que se pueden implementar de manera preventiva:
• .- Políticas y procedimientos de compliance: son controles bajo la forma
de normas internas de la empresa, que pueden venir motivadas por
obligaciones legales o establecerse como controles internos voluntarios de
la empresa.
• .- Controles organizativos:
• .-Controles de procesos
CONTROLES DE REACCION
• Los controles de reacción son controles que se realizan con posterioridad a la
materialización del riesgo, con animo de fomentar conductas positivas y de que
los incumplimientos o fallos de control que puedan existir tengan consecuencias
disciplinarias, pudiendo ser de dos tipos:
• .- Medidas disciplinarias: Cuando se incumpla con las políticas y procedimientos
se deben aplicar medidas disciplinarias que hayan sido previamente diseñadas y
difundidas, aplicados con rigor y sin excepciones y las medidas deben de ser
proporcionales al incumplimiento que castigan.
• .- Incentivos: Pueden diseñarse para favorecer conductas adecuadas en la
sociedad, tales como premios, promociones, remuneraciones económicas, bonos
etc.
•
CONTROLES DE DETECCIÓN
• Los controles de detección, son controles que se realizan con posterioridad a la materialización del riesgo pero en una
fase temprana, de forma que pueden corregirse inmediatamente después de su detección, entre los controles de
detección que se pueden implantar podemos señalar,:
• Monitorización de compliance: Las revisiones de compliance sobre potenciales riesgos o controles
constituyen controles de detección eficaces.
• Indicadores de riesgo: su objetivo principal es detectar posibles fallos de control en una fase temprana.
• Análisis de reclamaciones: Son una fuente muy confiable para detectar posibles fallos de control o malas practicas
en la organización.
• Canal de denuncia: el canal de denuncia interno y las investigaciones derivadas de denuncias de practicas
irregulares también son fuentes validas para detectar deficiencias de control en la organización.
EVALUACION DE CONTROLES
• Una vez identificados y definidos los controles
asociados a cada riesgo, es necesario proceder a su
evaluación, analizando su diseño y su efectividad de
su funcionamiento.
• Los controles pueden ser automáticos o manuales,
siendo mas seguros y robustos los primeros, en
ocasiones, a pesar de que el control este bien
diseñado sus funcionamiento puede no ser eficaz
debido a deficiencias en la forma en la que se esta
ejecutando., de la misma forma un control puede
estar siendo ejecutado correctamente pero estar mal
diseñado, por lo que su efectividad global será
deficiente.
• El principal objetivo de
la evaluación de riesgos
es disponer de una
herramienta que nos
permita tomar
decisiones en cuanto al
tratamiento de riesgos,
es decir, decidir en cada
caso si hay que actuar o
no, qué tipo de
actuación tenemos que
realizar, con qué
urgencia o prioridad se
debe actuar.
• Para realizar dicha
evaluación de los
riesgos, se debe estimar
en cada caso cual es el
riesgo residual.
RIESGO RESIDUAL
• ES EL RIESGO QUE ASUME LA EMPRESA TRAS HABER
APLICADO LOS CONTROLES Y LAS MEDIDAS DE
PREVENCIÓN. EL RIESGO RESIDUAL SE MIDE, POR
TANTO, POR EL CRUCE DEL RIESGO INHERENTE Y LA
EFECTIVIDAD DE LOS CONTROLES ASIGNADOS A
CADA RIESGO.
•
• EL RIESGO RESIDUAL ES EL RIESGO QUE LA
ORGANIZACIÓN ESTA ASUMIENDO Y, POR TANTO,
DEBE SER NECESARIAMENTE CONOCIDO Y ACEPTADO
POR SUS ORGANOS DE ADMINISTRACION Y
DIRECCION.
TRATAMIENTO DE LOS
RIESGOS
• APETITO DE RIESGO: EL RIESGO CERO ABSOLUTO NO EXISTE, SIEMPRE
DEBE HABER UN UMBRAL TOLERABLE DE RIESGO QUE LAS
ORGANIZACIONES ESTEN DIPUESTAS A ASUMIR. POR ELLO NO QUIERE
DECIR QUE ESTA ASUNCIÓN DE RIESGOS DE HAGA DE FORMA
INCONSCIENTE O DESORDENADA, SINO QUE DEBE HACERSE DE FORMA
CONSCIENTE Y BIEN DOCUMENTADA.
• EL APETITO DE RIESGO SE PUEDE DEFINIR COMO LA CANTIDAD DE RIESGO,
A NIVEL GLOBAL, QUE LOS MIEMBROS DE LA ALTA DIRECCIÓN DE UNA
ORGANIZACIÓN ESTN DISPUESTOS A ACEPTAR EN SU BUSQUEDA DE VALOR.
GESTIÓN CONTINUA DEL CO
.- REALIZAR .-DEFINIR E
.- SUPERVISAR DE
EVAUACIONES IMPLANTAR
FORMA CONTINUA DE
PERIODICAS DE LOS CONTROLES
LOS RIESGOS Y
RIESGOS Y DE LOS ADICIONALES CUANDO
CONTROLES.
CONTROLES. SE NECESARIO.
.- DEFINIR
INDICADORES DE REALIZAR EL
.- RECOMENDAR
RIESGO QUE SEGUIMIENTO DE LA
MEDIDAS RE
PERMITAN LA IMPLEMENTACIÓN DE
REMEDIACIÓN DE LAS
MONITORIZACION LAS MEDIDAS DE
DEFICIENCIAS
PERMANENTE DE LOS REMEDIACIÓN
IDENTIFICADAS.
RIESGOS MAS ACORDADAS.
RELAVANTES.
INFORMAR A LA ALTA DIRECCIÓN
SOBRE LAS DEFICIENCIAS
RELEVANTES IDETIFICADAS Y LAS
PRINCIPALES INCIDENCIAS EN LA
IMPLEMENTACIÓN DE MEDIDAS
CORRECTORAS.
GESTIÓN DE RIESGOS DESPUÉS DE
LA IDENTIFICACIÓN, ANÁLISIS Y
EVALUACIÓN
A) EVITAR EL RIESGO TOMANDO LA DECISIÓN DE NI INICIAR O DE NO
CONTINUAR CON LA ACTIVIDAD QUE PROVOCA EL RIESGO.
B) ACEPTAR E INCLUSO AUMENTAR EL RIESGO CON EL OBJETIVO DE
APROVECHAR LA OPORTUNIDAD.
C) ELIMINAR LA FUENTE DE RIESGO.
D) MODIFICAR LA PROBABILIDAD
E) CAMBIAR LAS CONSECUENCIAS
F) COMPARTIR EL RIESGO
G) MANTENER EL RIESGO EN BASE A UNA DECISION INFORMADA.
ACCOUNTABILITY
EN LA EMPRESA
• Los miembros de la empresa, se comprometen todos y
cada uno de ellos con los resultados de la gestión de tal
manera que respondan por ella, ya sea grupal o
individualmente.
PROACTIVIDAD: HACER
LO QUE SE REQUIERA, CON
COMPROMISO: HACERSE
Y QUIEN SE NECESITE PARA
DUEÑO DE LO QUE NOS
DAR EL RESULTADO (NO
TOCA, TITULAR DE LO
ESPERAR QUE ME
ASIGNADO
CUESTIONES O REVISEN
PARA HACERLO).
RESPONSABILIDAD:
ASUMIR LAS
CONSECUENCIAS DE LO
REALIZADO Y SUS
EFECTOS, NO JUSTIFICARSE
NI CULPAR A TERCEROS.
SER PROFESIONAL.