Gestión de Riesgos

1. Gestión de Riesgos Ing. Franklin Aranaga Meneses Órgano de Control Institucional Octubre, 2012

2. Agenda • Objetivos del taller • Conceptos • Modelo: Norma AS/NZS 4360:2004 • Aspectos a tener en cuenta • Pasos sugeridos • Beneficios de la gestión de riesgos • Roles

3. I. Objetivos del taller • Presentar el marco conceptual de la Gestión de Riesgos • Valorar el rol activo de los funcionarios y empleados públicos en la implementación del control interno en los procesos administrativos y operativos de la entidad • Destacar la importancia de la gestión de riesgos en un manejo eficiente y orientado al cumplimiento de los objetivos institucionales • Mejorar la cultura de control interno en el FONCODES.

4. II. Conceptos • Riesgo • Control • Gobierno • Control Interno • Mapa de Riesgos • Gestión de Riesgos • Apetito por el riesgo • Tolerancia al riesgo

5. II. Conceptos • Riesgo: La posibilidad de que ocurra un acontecimiento que tenga impacto en el alcance de los objetivos. El riesgo se mide en términos de impacto y probabilidad. Por otro lado peligro es la potencialidad de ocurrencia de un daño, pérdida o lesión

6. II. Conceptos Fuente: http://www.coool-stuff.com/tag/stupidity/

7. II. Conceptos Peligro: cualquier cosa que puede causar daño Ejemplo: escaleras = un peligro Gente subiendo o bajando =situación peligrosa (personal interactuando con el peligro) =evento peligroso (expone a una persona a daño) Tropezón o resbalón Fuente: http://elpeligrodelamor007.blogspot.com/2009_11_22_archive.html

8. II. Conceptos Fuente: http://www.cartoonstudio.co.uk/health-and-safety-cartoons.html

9. II. Conceptos • Inherente: es aquel que está directamente relacionado con la naturaleza de los procesos desarrollados, en ausencia de controles. • Residual es el riesgo subsistente una vez aplicados los controles. Riesgo residual = Riesgo inherente - Control

10. II. Conceptos • Control: Cualquier medida que tome la dirección, el Consejo y otras partes, para gestionar los riesgos y aumentar la probabilidad de alcanzar los objetivos y metas establecidos. La dirección planifica, organiza y dirige la realización de las acciones suficientes para proporcionar una seguridad razonable de que se alcanzarán los objetivos y metas.

11. II. Conceptos Alto Riesgo Administrado Logro de Objetivos Ineficacia por exposición Ineficacia por controles Ineficacia por controles Bajo Desinformado Gerenciado Obsesionado - Controles + Fuente: Introducción a la evaluación de riesgos. Gustavo Macagno

12. II. Conceptos • Gobierno: La combinación de procesos y estructuras implantados por el Consejo de Administración para informar, dirigir, gestionar y vigilar las actividades de la organización con el fin de lograr sus objetivos.

13. II. Conceptos • Control Interno: Concepto fundamental de la administración y control, aplicable en las entidades del Estado para describir las acciones que corresponde adoptar a sus titulares y funcionarios para preservar, evaluar y monitorear las operaciones y la calidad del servicio.

14. II. Conceptos • Control Interno: Conforme al COSO, es un proceso efectuado por el Directorio de una organización, la gerencia y demás personal, diseñado para proveer seguridad razonable respecto al logro de los objetivos relacionados con: • Efectividad y eficiencia de las operaciones • Confiabilidad de los reportes financieros • Cumplimiento con leyes y regulaciones aplicables

15. II. Conceptos Coso: Corresponde a las siglas en inglés del comité de Organizadores y Patrocinadores de la Comisión Treadway, organismos que en conjunto emitieron el informe con recomendaciones referentes al Control Internoque lleva su nombre. Origen: Estados Unidos, 1985, se forma una comisión patrocinada diversas instituciones, con el objetivo de identificar las causas de la presentación de información financiera en forma fraudulenta o falsificada. En1987 emite un informeque contenía una serie de recomendaciones en relación al control interno de cualquier empresa u organización. La comisión Treadway, debatió durante más de cinco años y finalmente en 1992, se emite el informe COSO, el cual tuvo gran aceptación y difusión en gran parte debido a la diversidad y autoridad que posee el grupo que se hizo cargo de la elaboración del Informe. o t s n e e n i o e m i t c i r l a o p r p e m p e u O R C 2 d Ambiente de Control 1 a d d i v a i t d B Evaluación de Riesgos c i v d A i A t a c d d A i Actividades de Control a n d U i n U Información y Comunicación Monitoreo (Seguimiento) • COSO : Control Interno - Marco Conceptual Integrado

16. II. Conceptos Evolución del Control Interno en el Perú Ley Nº 29743 – Ley que modifica el Articulo 10ª de la Ley Nº 28716, Ley de Control Interno de las Entidades del Estado Guía para la Implementación del Control Interno RC 458-2008 - CGR Ley Nº 28716 de Control Interno de las Entidades del Estado Ley • 2011 • 2009 COSO II Gestión de Riesgos Corporativos – Marco Integrado • 2008 D.U Nº 067-2009 Decreto de Urgencia que modifica el Art. 10 de la Ley Nª 28716 Ley Marco Modernización del Estado Ley Nº 27658 • 2006 • 2004 Normas de Control Interno RC 320-2006-CGR • 2002 • 1992 Ley Orgánica del Sistema Nacional de Control y de la Contraloría General de la República Nº 27785 - CGR COSO I Control Interno Marco Integrado (Comisión Treadway)

17. II. Conceptos Ley 27785, ART. 2°, OBJETO DE LA LEY propender al: APROPIADO OPORTUNO Y EFECTIVO Ejercicio del control gubernamental para PREVENIR Y VERIFICAR Mediante Aplicación de: PRINCIPIOS, SISTEMAS Y PROCEDIMIENTOS TÉCNICOS la: finalidad Contribuir y orientar el mejoramiento de sus actividades y servicios en beneficio de la Nación.

18. II. Conceptos • Promover y optimizar laeficiencia, eficacia, transparencia y economía en las operaciones de la entidad, así como la calidad de los servicios públicos que presta; • Cuidar y resguardar los recursosy bienes del Estado contra cualquier forma de pérdida, deterioro, uso indebido y actos ilegales, así como, en general, contra todo hecho irregular o situación perjudicial que pudiera afectarlos; • Cumplir la normatividad aplicable a la entidad y a sus operaciones; • Garantizar la confiabilidad y oportunidad de la información; • Fomentar e impulsar la práctica de valores institucionales; • Promover el cumplimiento de los funcionarios o servidores públicos de rendir cuentas por los fondos y bienes públicos a su cargo o por una misión u objetivo encargado y aceptado. Objetivos de la implantación del Control Interno (Ley N° 28716)

19. II. Conceptos Resolución 320-2006-CG

20. II. Conceptos COSO: Marco conceptual integrado, 1992 COSO ERM: Marco de Gestión Integral de Riesgo, 2004

21. II. Conceptos • Mapa de Riesgos: representación gráfica (usualmente en cuadrantes) de los riesgos de una entidad/proceso/procedimiento, conforme a un criterio de probabilidad e impacto • Gestión de Riesgos: un proceso para identificar, evaluar, manejar y controlar acontecimientos o situaciones potenciales, con el fin de proporcionar un aseguramiento razonable respecto del alcance de los objetivos de la organización.

22. II. Conceptos • Es un proceso continuo que fluye por toda la entidad • Es realizado por su personal en todos los niveles de la organización • Se aplica en el establecimiento de la estrategia • Se aplica en toda la entidad, en cada nivel y unidad, e incluye adoptar una perspectiva del riesgo a nivel conjunto de la entidad • Está diseñado para identificar acontecimientos potenciales que, de ocurrir, afectarían a la entidad y para gestionar los riesgos dentro del nivel de riesgo aceptado • Es capaz de proporcionar una seguridad razonable al consejo de administración y a la dirección de una entidad • Está orientada al logro de objetivos dentro de unas categorías diferenciadas, aunque susceptibles de solaparse

23. II. Conceptos Estrategia de riesgos Arquitectura de riesgos • La arquitectura de riesgos especifica los roles, responsabilidades, comunicación y estructura de reporte de los riesgos • La estrategia de riesgos, apetito, actitudes y filosofía están definidas en la política de gestión de riesgos Proceso de Gestión de Riesgos Protocolos de riesgos • Los protocolos de riesgos son presentados en la forma de lineamientos de riesgos para la organización e incluyen las reglas y los procedimientos, así como la identificación de la metodología a emplear, herramientas y técnicas que deberán ser usadas Fuente: A structured approach to Enterprise Risk Management (ERM) and the requirements of ISO 31000. The Public Risk Management Association. 2010

24. II. Conceptos Una política de gestión de riesgos debería incluir lo siguiente: • Objetivos de control interno y de gestión de riesgos (gobierno) • Una declaración de la actitud de la organización para con los riesgos (estrategia) • Descripción de la cultura consciente de los riesgos o ambiente de control • Nivel y naturaleza del riesgo que es aceptable (apetito de riesgo) • Organización de la gestión de riesgos y acuerdos (arquitectura) • Detalle de los procedimientos para el reconocimiento de riesgos y su priorización (evaluación de riesgos) • Lista de documentación para analizar y reportar riesgos (protocolos de riesgo) • Requerimientos de mitigación de riesgos y mecanismos de control (respuesta al riesgo) • Asignación de los roles de la administración y sus responsabilidades • Prioridades y temas de entrenamiento en gestión de riesgos • Criterios para efectuar el monitoreo y benchmarking de riesgos • Asignación de los recursos apropiados para la gestión de riesgos • Actividades y prioridades relacionadas a la gestión de riesgos para el año venidero Extraído de: A structured approach to Enterprise Risk Management (ERM) and the requirements of ISO 31000. The Public Risk Management Association. 2010

25. II. Conceptos • Apetito por el riesgo: el nivel de riesgo que la organización está dispuesta a asumir en su búsqueda de rentabilidad y valor • Tolerancia al riesgo: el nivel de variación que la organización está dispuesta a asumir en caso de desviación a los objetivos empresariales trazados

26. II. Conceptos Apetito por el riesgo Tolerancia al riesgo Fuente: Gestión Integral de Riesgos. PWC. 2009

27. III. Modelo: Norma AS/NZS 4360:2004 • Norma Australiana / Neozelandesa publicada en 1995, 2ed en1999 y 3ed 2004 • Suministra una guía genérica para la gestión de riesgos en general, “Enterprise Risk Management (ERM)”.

28. III. Modelo: Norma AS/NZS 4360:2004 • Administración de riesgos es el término aplicado a un método lógico y sistemático de establecer el contexto, identificar, analizar, evaluar, tratar, monitorear y comunicar los riesgos asociados con una actividad, función o proceso de una forma que permita a las organizaciones minimizar pérdidas y maximizar oportunidades.

29. III. Modelo: Norma AS/NZS 4360:2004 Comunicación y consulta 1. Establecer el contexto Objetivos Grupos de interés Criterios Definir elementos clave 2. Identificación de riesgos Qué puede suceder ? Cómo puede suceder ? 3. Análisis de riesgos Revisar controles Probabilidades Consecuencias Nivel de riesgo 4. Evaluar los riesgos Evaluar riesgos Ranking 5. Tratar los riesgos Identificar opciones Seleccionar las mejores respuestas Desarrollar planes de gestión de riesgos Implementar Monitoreo y revisión

30. 1. Establecer el contexto • Identificar una persona con el conocimiento (control interno y riesgos) a nivel operativo • La organización está basada en la gestión por procesos? Tiene metas y resultados esperados? • Identificar los objetivos institucionales – grupal • Recordaris: riesgo es todo aquello que pudiera afectar el logro de los objetivos • Se puede comenzar por riesgos de la entidad y luego bajar a nivel de cada proceso, comenzando por los más críticos • Es importante la participación de todas las partes interesadas • Posteriormente se pueden clasificar y definir los tipos de riesgos

31. 2. Identificación de Riesgos • Esta etapa busca identificar los riesgos que deben ser gestionados • Riesgo que no sea identificado, es excluido en cualquier análisis posterior • Qué puede suceder: impida el logro de los objetivos o responsabilidades asignadas, afecte la eficiencia de mis funciones, genere pérdidas (tiempo, imagen, recursos, etc.) • Los riesgos se identifican independientemente de que estén bajo el control de la entidad o no

32. Técnicas de Recopilación de Información 2. Identificación de Riesgos Herramientas y Técnicas de identificación de riesgos Técnicas de Diagramación Diagrama causa/efecto Tormenta de Ideas Técnica Delphi Diagrama flujo de proceso Cuestionarios y encuesta Entrevistas Inventario de Riesgo Análisis FODA

33. 2. Identificación de Riesgos • Clasificación del riesgo: • Riesgo Estratégico: Se asocia con la forma en que se administra la Entidad. • Riesgos Operativos: Comprende los riesgos relacionados tanto con la parte operativa como técnica de la entidad, incluye riesgos provenientes de deficiencias en los sistemas de información, en la definición de los procesos, en la estructura de la entidad, la desarticulación entre dependencias, lo cual conduce a ineficiencias, oportunidades de corrupción e incumplimiento de los compromisos institucionales. • Riesgos Financieros: Se relacionan con el manejo de los recursos de la entidad que incluye, la ejecución presupuestal, la elaboración de los estados financieros, los pagos, manejos de excedentes de tesorería y el manejo sobre los bienes de cada entidad. • Riesgos de Cumplimiento: Se asocian con la capacidad de la entidad para cumplir con los requisitos legales, contractuales, de ética pública y en general con su compromiso ante la comunidad. • Riesgos de Tecnología: Se asocian con la capacidad de la Entidad para que la tecnología disponible satisfaga las necesidades actuales y futuras de la entidad y soporte el cumplimiento de la misión.

34. 2. Identificación de Riesgos Riesgos estratégicos del FONCODES Riesgo de focalización: que los diferentes esfuerzos de entidades del Estado no sean identificados y por lo tanto no se atienda apropiadamente a la población objetivo. El proceso de definición de la población objetivo podría contemplar un enfoque integral de acción del Estado, tanto del gobierno nacional, como así también de los gobiernos locales y regionales; asimismo el identificar las actividades versus los actores podría colaborar en identificar matricialmente "cruces" en las intervenciones, evitando que el Estado invierte dos veces en lo mismo, deje desantendidos a grupos poblacionales o atienda insuficientemente Riesgo de control de resultados: el no contar con herramientas que permitan medir el desempeño, conforme a metas en el tiempo y que las mismas cumplan con los resultados esperados, conlleva a un riesgo de no controlar adecuadamente las actividades, para ello podría necesitarse desarrollar una normatividad apropiada, un esquema de control permanente de los indicadores, gestión de riesgos y capacitación de los trabajadores promoviendo su especialización Riesgo de priorización: en términos generales que los emprendimientos a nivel nacional no sean categorizados ni se estimen factores que permitan discernir la prioridad en la asignación del capital en base a identificar los riesgos, asimismo que el resultado del emprendimiento no sea medible o no se establezcan metas, con el consiguiente esquema de control Riesgo de no orientación: en la medida que FONCODES es un programa que promueve y fomenta el desarrollo de capacidades productivas y de inversión, en la medida que no sintonice sus propuestas con las de los pobladores y no los ayude a viabilizar mediante orientación técnica, conforme a las estrategias que haya desarrollado, podrían darse iniciativas positivas, que sin embargo por una falta de control y orientación no logren los resultados esperados Riesgo de articulación de actores: que no se articulen actores importantes en la generación de bienestar, como puede ser: ministerios de salud, producción, educación, agricultura y tecnología (Concytec, Inictel, entre otros), generando sinergias tanto en calidad de recursos, oportunidad en la intervención y brechas a cubrir

35. Categorías de Riesgos

36. 2. Identificación de Riesgos

37. 2. Identificación de Riesgos

38. Estados del monitoreo

39. 3. Análisis de Riesgos • El análisis de riesgos involucra prestar consideración a las fuentes de riesgos, sus consecuencias y las probabilidades de que puedan ocurrir esas consecuencias • Implica determinar: fuentes del riesgo, posibilidad, consecuencias, responsables, acciones • La lista de riesgo debe ser excluyente • Se deben identificar los controles o acciones que ayuden a minimizarlos

40. 3. Análisis de Riesgos • Cualitativos. El análisis cualitativo utiliza formatos de palabras o escalas descriptivas para describir la magnitud de las consecuencias potenciales y la probabilidad de que esas consecuencias ocurran. • Semi-cuantitativos. El número asignado a cada descripción no tiene que guardar una relación precisa con la magnitud real de las consecuencias o probabilidades. • Cuantitativos. Uso de datos numéricos para la determinación de los riesgos.

41. 4. Evaluar los riesgos • La evaluación de riesgos involucra comparar el nivel de riesgo detectado durante el proceso de análisis con criterios de riesgo establecidos previamente • El propósito de la evaluación de riesgos es tomar decisiones basadas en los resultados del análisis de riesgos (tratamiento de riesgos y la prioridad)

42. 4. Evaluar los riesgos

43. 4. Evaluar los riesgos Matriz de riesgos

44. 4. Evaluar los riesgos Probable Posible Improbable Probabilidad Análisis Cualitativo Impacto Leve Moderado Catastrófico Análisis Cuantitativo

45. 4. Evaluar los riesgos Fuente: Introducción a la evaluación de riesgos. Gustavo Macagno

46. 4. Evaluar los riesgos Fuente: Introducción a la evaluación de riesgos. Gustavo Macagno

47. 4. Evaluar los riesgos Presentación KPMG Advisory

48. 5. Tratar los riesgos • El tratamiento de los riesgos involucra identificar el rango de opciones para tratar los riesgos, evaluar esas opciones, preparar planes para tratamiento de los riesgos e implementarlos • Evaluar las opciones para tratar los riesgos • Preparar planes de tratamiento • Implementar planes de tratamiento

49. 5. Tratar los riesgos Fuente: Gestión Integral de Riesgos. PWC. 2009

50. 5. Tratar los riesgos Fuente: Administración de Riesgos. AS/NZS 4360:1999, página 17.