Ver Presentación

EL ROL DE AUDITORIA INTERNA
Y EL ENFOQUE DE AUDITORIA
BASADA EN RIESGOS
Víctor Mancilla
Banrural, Guatemala
[email protected]
Contenido
• Marco regulatorio
• Líneas de defensa
• Principios COSO
• Apetito de riesgo
• Cadena de valor
• Cuadro de mando integral
• Matrices de riesgos
• Mapa de calor
• Conclusiones
Ley de Bancos y Grupos Financieros
•
ARTICULO 55. Riesgos. Los bancos y las empresas que
integran grupos financieros deberán contar con procesos
integrales que incluyan, según el caso, la administración de
riesgos de crédito, de mercado, de tasas de interés, de liquidez,
cambiario, de transferencia, operacional y otros a que estén
expuestos, que contengan sistemas de información y un comité
de gestión de riesgos, todo ello con el propósito de identificar,
medir, monitorear, controlar y prevenir los riesgos.
Ley de Bancos y Grupos Financieros
• ARTICULO 57. Control interno. Los bancos y las empresas que
integran grupos financieros deben mantener un sistema de control
interno adecuado a la naturaleza y escala de sus negocios, que
incluya disposiciones claras y definidas para la delegación de
autoridad y responsabilidad, separación de funciones, desembolso de
sus fondos, la contabilización de sus operaciones, salvaguarda de sus
activos, y una apropiada auditoria interna y externa independiente,
así como una unidad administrativa responsable de velar porque el
personal cumpla estos controles y las leyes y disposiciones aplicables.
Normativa prudencial relacionada con
la gestión de riesgos
• Reglamento para la Administración Integral de Riesgos
• Reglamento para la Administración del Riesgo de Crédito
• Reglamento para la Administración del Riesgo Tecnológico
• Reglamento para la Administración del Riesgo Cambiario
Crediticio
• Reglamento para la Administración del Riesgo de Liquidez
• Aspectos relativos a la Administración del Riesgo de Crédito,
de Liquidez y Operacional
Normas Internacionales para el Ejercicio
Profesional de la Auditoría Interna
• 2010 – Planificación
• El director ejecutivo de auditoría debe establecer un plan basado en los
riesgos, a fin de determinar las prioridades de la actividad de auditoría
interna. Dichos planes deberán ser consistentes con las metas de la
organización.
Normas Internacionales para el Ejercicio
Profesional de la Auditoría Interna
• 2120.A1 – La actividad de auditoría interna debe evaluar las exposiciones al
riesgo referidas a gobierno, operaciones y sistemas de información de
la organización, con relación a lo siguiente:
• Logro de los objetivos estratégicos de la organización,
• Fiabilidad de integridad de la información financiera y operativa,
• Eficacia y eficiencia de las operaciones y programas,
• Protección de activos, y
• Cumplimiento de leyes, regulaciones, políticas, procedimientos y
contratos.
Basilea II, ISO 31000, y COSO
Basilea II
Pilar I
Riesgo de crédito
Riesgo de Mercado
Riesgo de Tipo de Cambio
Riesgo Operacional
ISO 31000
Principios de gestión del riesgo
Estructura para la gestión del riesgo
Proceso de gestión del riesgo
COSO
8 Elementos
4 Objetivos
4 Niveles de alcance
Líneas de defensa
Relación entre los principios, estructura de
soporte y proceso de gestión de riesgo
Proceso de gestión del riesgo
Identificación de
Riesgos
Desarrollo de
Criterios de
Evaluación
Evaluación de
Riesgos
Evaluación de
Interacción
de Riesgos
Priorización de
Riesgos
Respuesta a
Riesgos
Respuesta a los riesgos
• Evitarlo
• Transferirlo
• Compartirlo
• Asumirlo
Coso II ERM
Principios COSO
• Ambiente de Control
1
2
3
4
5
Integridad y valores éticos
Funcionamiento del control interno
Estructura, líneas de reporte, autoridad y responsabilidad
Reclutar, desarrollar y retener el talento
Asignar responsables del control interno
Principios COSO
• Evaluación de Riesgos
6 Identificación y evaluación de riesgos relacionados con los objetivos
7 Determinación de cómo deben ser administrados los riesgos
8 Considerar la posibilidad de fraude en la evaluación de riesgos
9 Evaluar cambios en el entorno que impacten significativamente en el
CI
• Actividades de Control
10 Seleccionar y desarrollar actividades de control para mitigar los
riesgos
11 Seleccionar y desarrollar actividades de control sobre TI
12 Establecer políticas y procedimientos para implementar actividades
de control
Principios COSO
• Información y Comunicación
• 13 Manejo de información relevante para soportar el funcionamiento
del CI
• 14 Comunicar al personal información sobre objetivos y
responsabilidades del CI
• 15 Comunicar a terceros sobre aspectos que afectan el funcionamiento
del CI
• Monitoreo
• 16 Evaluaciones concurrentes para verificar el funcionamiento del CI
• 17 Evaluar y comunicar las deficiencias en el CI en forma oportuna
Apetito de riesgo
• El apetito de riesgo es el nivel de riesgo que la empresa
quiere aceptar
• La tolerancia al riesgo es la desviación respecto del apetito
• La capacidad de riesgo es el nivel máximo de riesgo que una
organización puede soportar en la persecución de sus
objetivos
El proceso de fijación del apetito de riesgo debe ser específico
para cada empresa y debe estar a cargo del órgano máximo
Apetito de riesgo
Apetito de riesgo
Acciones que un directorio puede tomar para ayudar a formar un
enfoque de Gestión Inteligente de Riesgos:
1. Definir el rol de supervisión del directorio
2. Fomentar una Cultura Inteligente de Riesgo
3. Ayudar a la gerencia a incorporar la Inteligencia al Riesgo en la
estrategia
4. Ayudar a definir el apetito al riesgo
5. Ejecutar el proceso de Gobierno Inteligente de Riesgo
6. Comparar y evaluar el proceso de Gobierno
Apetito de riesgo
Pasos del Modelo de Gestión de Riesgos
•
•
•
•
•
•
Definición del marco estratégico
Establecimiento de principios
Descripción organizativa
Asignación de niveles de riesgo
Metodología de cálculo
Comunicación, actividades de control, supervisión
Apetito de riesgo
Ventajas de su implantación
• Estrategia
• Mejora la planificación estratégica
• Aumenta la efectividad del proceso de toma de decisiones
• Desarrolla esquemas de seguimiento y medición del
desempeño más eficientes, completos y justos
• Operaciones
• Mejora el análisis coste-beneficio de las decisiones
• Asigna recursos de forma más eficiente
Apetito de riesgo
• Información
• Comunica la actitud de la alta dirección frente al riesgo
• Considera todos los grupos de interés y sus preferencias
• Desarrolla un sistema de reporte integrado
• Crea una comunicación basada en pautas comunes
• Cumplimiento
• Cumplir con la legislación y las mejores prácticas de
gestión
• Mejorar la transparencia
• Implantar una cultura de gestión de riesgos
Selección del Nivel de Riesgo
Riesgo insuficiente
Riesgo óptimo
Riesgo excesivo
Valor
agregado
esperado
Nivel de Riesgo
Procesos Principales
• Planificación
• Siniestros
• Mercadeo
• Administración de carteras y cobros
• Desarrollo y diseño de productos • Servicios
• Tesorería
• Fidecomisos
• Captación
• Gobierno y control
• Colocación
• Información financiera y no financiera
• Suscripción
• Infraestructura y aprovisionamiento
• Emisión
• Talento humano
• Reaseguro
Cadena de Valor
Cuadro de Mando Integral
Escalas para medir el riesgo
Escalas para medir el riesgo
Matriz de riesgos
Matriz de riesgos
Matriz de riesgos
Matriz de riesgos
Cédula de consolidación
3.- ANÁLISIS DE RIESGOS
CÓDIGO:
FECHA:
MODELO ESTÁNDAR DE CONTROL INTERNO - NIVEL 04
EDICIÓN
ELABORADO POR:
MACROPROCESO: TESORERÍA
REVISADO POR:
1.0
APROBADO POR:
OBSERVACIONES:
PROCESO:
ÁREA:
COMPILADORES:
HERRAMIENTAS Y TÉCNICAS:
FECHA DE IDENTIFICACIÓN DE RIESGOS
C
REF.
R01
R02
R03
RIESGO IDENTIFICADO
A
M
B
IMPACTO
4
ALTO
C
A
M
B
PROBABILIDAD
3
ALTA
C
A
M
GERENTE MACROPROCESO
B
NIVEL DEL
RIESGO
12
DUEÑO DE PROCESO
CRIT
C
APTITUD DE LAS ACTIVIDADES DE CONTROL EXISTENTES
A
M
B
RIESGO
REMANENTE
0.25
9
1
MOD
Mapa de calor
Mapa de Calor
Conclusiones:
•
La gestión de los riesgos no es una opción, es una exigencia
inherente al qué hacer de cualquier negocio y en el caso de la
industria financiera es, además, mandatorio.
•
La gestión de riesgos es un proceso integral que debe estar
alineado con los objetivos estratégicos corporativos.
•
La gestión de riesgos administrada estratégicamente se
constituye en una ventaja competitiva para la empresa.
•
Un aspecto crítico que debe estar definido con precisión es el
nivel de apetito de riesgo, tolerancia al riesgo y capacidad de
riesgo
Conclusiones:
•
El auditor interno está obligado por las NIEPAI a realizar la actividad
de aseguramiento de los procesos de gestión de riesgos, gobierno y
control.
•
El auditor al diseñar su plan de trabajo debe priorizar la evaluación
de los riesgos más relevantes de los principales procesos
misionales, con base en el resultado del mapa de riesgos.
•
Para cumplir con su objetivo, el auditor, debe desarrollar
competencias para manejar apropiadamente conceptos de
planeación estratégica, mercadeo, gestión de riesgos, gestión de
procesos y de talento humano.
•
Es aconsejable la implementación de una herramienta de control de
la ejecución de la estrategia, que puede ser el Cuadro de Mando
Integral (CMI o BSC), que permita dar seguimiento a la alineación
entre los planes operativos, la estructura organizacional y los
objetivos estratégicos.
¡MUCHAS GRACIAS!