Sesión 121 Basilea II y IT Governance: Implantación de una Medición y Control Efectivos sobre el Riesgo Operativo. José Angel Arias A.

Transcripción

1 Sesión 121 Basilea II y IT Governance: Implantación de una Medición y Control Efectivos sobre el Riesgo Operativo José Angel Arias A., CISA Grupo Consult Presentación A lo largo de sus 11 años de participación en proyectos con el sector financiero en México e internacionalmente, la firma ha consolidado su práctica de consultoría en Administración del Riesgo La metodología propuesta está basada en la aplicación de la normatividad nacional e internacional a casos prácticos de la banca 2

2 Agenda de la sesión Objetivos de aprendizaje Antecedentes: Administración Integral del Riesgo Definición de tipos de riesgo Regulación sobre el riesgo Por qué administrar el riesgo operativo? Estrategias ante el riesgo operativo Metodología para la medición del riesgo operativo Conclusiones 3 Objetivos de Aprendizaje Familiarizar a los participantes con los lineamientos establecidos por el Comité de Basilea para efectos de la medición y creación de reservas para el Riesgo Operativo de las empresas financieras a nivel mundial Sensibilizar a los participantes acerca del impacto que esto tendrá en la creación y administración de bases de datos predictivas para el cálculo de reservas, así como para las áreas de auditoría responsables de su revisión Proponer una metodología práctica que permita a los participantes contar con herramientas para la implantación de una medición efectiva del riesgo operativo de acuerdo con lo establecido por Basilea II Proporcionar elementos prácticos de diseño de indicadores de riesgo que puedan formar parte de un tablero de control directivo de las instituciones financieras 4

3 Administración Integral de Riesgos (AIR) Normatividad Internacional Normatividad Nacional Acuerdo de Basilea II Banca Multiple y de desarrollo Circular Única Sarbanes-Oxley Casas de Bolsa Aseguradoras S 11.6 y S Incrementar transparencia en revelación del valor real de la empresa 2. Prevenir pérdidas inesperadas en el Sector Financiero y por lo tanto evitar TODAS crisis AFORES Puntos para operar derivados 5 Administración Integral de Riesgos (AIR) Riesgo Crediticio Enron Fraudes Parmalat Riesgo de Mercado Cedant Riesgo de Liquidez Interrupción de operaciones y fallas en sistemas Banco de Nueva York London Stock Exchange Riesgo de Legal Cartera incobrable Fobaproa (IPAB) Long Term Capital Mgmt Riesgo operativo según normatividad internacional Riesgo Tecnológico Riesgo Operativo Fluctuaciones de mercado Banco Barings Procter and Gamble Tesoreria condado Orange 6

4 Definición de riesgos Riesgo Crediticio es la perdida potencial por la falta de pago de una contraparte en las operaciones de la empresa. Riesgo de Mercado es la perdida potencial por cambios desfavorables en los factores de riesgo que afectan la valuación o sobre los resultados esperados. Riesgo de Liquidez es la perdida potencial por la imposibilidad o dificultad de renovar pasivos o contratar otros en condiciones normales. Riesgo Tecnológico es la perdida por daños, interrupción, alteración o fallas derivadas del uso o dependencia de tecnologías de la información en la prestación de servicios bancarios. Riesgo Legal es la perdida potencial por el incumplimiento de las disposiciones legales y administrativas aplicables a la emisión de resoluciones administrativas y judiciales desfavorables. Riesgo Operativo es el riesgo de pérdida debido a la inadecuación o a fallos imprevistos de los procesos, el personal y los sistemas internos o bien a causa de acontecimientos externos. 7 Regulación de riesgos para Banca Múltiple México: Circular Única: Establece objetivos, manuales, políticas y lineamientos mínimos a implementar en administración integral de riesgos. Define tipos de riesgos y su administración. Determina funciones y responsabilidades de organismos responsables de Administración Integral de Riesgos. Internacional: Acuerdo de Basilea II: Pilar I: Requerimientos de Capital mínimos Pilar II: Proceso de Supervisión Calculo y administración adecuada del nivel de reservas de capital de acuerdo a su nivel de riesgo (crediticio, financiero y operativo) para cada banco con actividad internacional. Presenta 4 principios para evaluar el desempeño de gestión integral de riesgos por parte de supervisores. Pilar III: Disciplina de Mercado Divulgación del alcance de prácticas, capital y exposición al riesgo y desempeño. 8

5 Cómo calcular Requerimientos mínimos de capital? Balance General Banco Activos Créditos: Consumidor Comerciales Hipotecaria VaR Crediticio Instrumentos financieros: VaR Renta fija Mercado (cetes, bonos, etc) Capitales (Acciones nacionales, acciones extranjeras, etc) Otros Activos Depósitos Otros Pasivos Capital Reservas de Capital por: Riesgo Crediticio Riesgo Financiero Riesgo Operativo Pasivos Capital VaR Operativo Requerimiento mínimo de capital Ponderación de los VaRs crediticio, Financiero y Operativo Afecta todas las áreas del negocio 9 Clasificación del riesgo operativo Clasificación Ejemplos Control Interno Violación de límite de autoridad en firma de cheques. Facturar en el centro de costos equivocado. Registrar una factura inexistente o ficticia en el ERP. Liquidación Depositar pago a cliente equivocado. Monto de cheque alterado. Custodia Extravío de documentos cuentas por cobrar. Extravío de una garantía. Control de Procesos Funcionamiento inadecuado de los sistemas de información Retraso o afectación al negocio por fallas en los sistemas Daño patrimonial por robo o afectación de información 1

6 Dos estrategias ante el riesgo operativo Auditoría Administración Revisión Integración Controles Detección Medición impacto eventos de perdidas Corrección a errores de control Anticipación a errores de controles 11 Basilea II propone 3 métodos Medición Avanzada Complejidad Indicadores Básico Estándar Reservas Capital = Sumatoria de cada Línea de negocio del porcentaje fijo (asignado por Basilea llamado Beta ) Reservas Capital = Sistema de medición Interna del Banco (libertad para elegir el método adecuado). del promedio anual de los últimos 3 años Reservas Capital = Porcentaje fijo (15%) del promedio anual de los de la utilidad bruta positiva generada por Cada unidad de negocio. Requisitos: últimos 3 años de utilidad bruta Positiva. Requisitos: No existen. Bancos pequeños y locales. Requisitos: Tener área independiente Auditoria. Seguimiento y reporte consistente de perdidas operativas. Mapeo de unidades de negocio Según Basilea II. Tener un área independiente de Cumplir con requisitos Estándar Debe capturar eventos de poca Frecuencia y alto impacto. Medida de riesgo al 99.9% de nivel de confianza. Mínimo de 3 a 5 años de información. Reservas Capital no menor a 75% Método Estándar. Administración de riesgo operativo. Precisión 12

7 Qué método elegir? Incentivos a seleccionar el método más sofisticado ya que entre más exacto el método menor será el capital de reservas. Sin embargo, la selección del método depende de: Grado de Complejidad en las operaciones del banco Actividad internacional Monto de operaciones Tamaño base de datos 13 Unidades de negocio: Finanzas corporativas Negociación y ventas Banca minorista Pagos y liquidación Servicios de agencia Metodología para la medición del riesgo operativo 1.- Mapear e identificar riesgos en procesos 2.- Clasificar riesgos según tipo de evento y unidad de negocio 3.- Establecer Apetito de riesgo por unidad de negocio y tipo de evento Tipos de eventos: Fraude interno Fraude externo Clientes, productos y prácticas de negocios Ejecución, cumplimiento y administració 7.- Analizar Riesgo, Retorno y Costo Cobertura por tipo de evento y unidad de negocio (Pirámide decisiones) Riesgo Retorno Riesgo Operativo 4.- Estimar probabilidad ocurrencia riesgo según tipo de evento y unidad de negocio para calcular requerimentos de capital (Matriz de riesgo operativo) Costo Cobertura Administración de activos Intermediación minorista 5.- Desarrollar KRIs para monitorear riesgo 6.- Realizar Back-tests Interrupción de operaciones y fallas de sistemas Practicas de empleo y seguridad laboral Daño a activos fijos 14

8 Metodología: Administración del riesgo y el BSC Las metodologías tradicionales para el diseño e implantación de tableros de control directivos (BSC, Baldridge) integran temas operativos, de negocio, de crecimiento y de atención a clientes, pero rara vez reconocen la importancia de medir el riesgo como un tema paralelo. Los modelos generales que pueden ser usados como base, es recomendable crear un Modelo a la medida. PRODUCTIVIDAD PRODUCTIVIDAD RIESGO OPERATIVO RIESGO OPERATIVO NIVEL NIVEL DE DE SERVICIO SERVICIO CONTROL CONTROL INTERNO INTERNO CONTROL CONTROL DE DE PROCESOS PROCESOS CUSTODIA CUSTODIA LIQUIDACIÓN LIQUIDACIÓN FORTALECIMIENTO FORTALECIMIENTO OPERATIVO OPERATIVO DESARROLLO DESARROLLO HUMANO HUMANO Existen áreas de efectividad que reflejan el desempeño pasado de la organización, mientras que otras están pensadas para medir el desempeño futuro. Administrar el riesgo implica medir impacto de errores operativos para predecir el valor de pérdidas futuras. 15 Metodología: Definir los tipos de riesgo a medir NIVEL DE RIESGO PRODUCTIVIDAD PRODUCTIVIDAD NIVEL DE CONTROL NIVEL DE CONTROL SERVICIO SERVICIO INTERNO INTERNO FORTALECIMIENTO OPERATIVO FORTALECIMIENTO OPERATIVO RIESGO RIESGO OPERATIVO OPERATIVO CONTROL DE CONTROL DE CUSTODIA LIQUIDACIÓN PROCESOS CUSTODIA LIQUIDACIÓN PROCESOS DESARROLLO HUMANO DESARROLLO HUMANO Control Interno Liquidación Control de Procesos Evitar el riesgo operativo (errores y malos manejos). Contar con procesos seguros. Contar con procesos que se puedan supervisar. Evitar el riesgo en el manejo físico de dinero o valores en tránsito. Evitar el riesgo en la disposición o entrega de recursos a terceros. Asegurar que los procesos concluyen. Asegurar que los resultados de los procesos son correctos. Asegurar que se tienen acciones alternas en caso de contingencia. Evitar el riesgo en la guarda y recuperación de valores, Custodia documentos de soporte y garantía. Monitorear la efectividad del proceso de recuperación. La medición del Riesgo Operativo implica conocer, cuantificar y clasificar errores y pérdidas generadas por la operación 16

9 Un proyecto de administración del riesgo implica un despliegue de actividades de gran alcance, por lo que la primera etapa deberá estar orientada a áreas críticas de desempeño: CATEGORÍAS DE TIPOS DE EVENTO Fraude Interno Actividades no autorizadas Robo y Fraude Fraude Externo Robo y Fraude Seguridad de Sistemas Prácticas de empleo y seguridad en el trabajo Relaciones laborales Seguridad del ambiente Diversidad y discriminación Clientes, Productos y Prácticas de Negocios Responsabilidad legal, fiduciaria y de divulgación Prácticas de negocio o mercado impropias Errores en productos Selección, patrocinio y exposición Actividades de consejería Daño a Activos Físicos Desastres y otros eventos Interrupción de operaciones y fallas de sistemas Sistemas Ejecución, cumplimiento y administración de procesos Captura de Transacciones, ejecución y mantenimiento Monitoreo e informes Custodia de documentos Administración de cuentas de clientes Contrapartes financieras Proveedores y prestadores de servicios Corporate Finance Trading and Sales TESORERÍA Agency services / custody LÍNEAS DE NEGOCIO Asset Management Retail Brokerage RH Payment and Settlement Retail Banking COMERCIAL Commercial Banking Tipos de Efectos de pérdida: Quebrantos Errores de liquidación Reclamaciones Daño a activos Multas Demandas Información trimestral de Indicadores de Exposición: Número e importes de eventos de pérdida Variables financieras Variables operativas 17 Metodología: Definir fuentes de información Una vez definidos los tipos de riesgo, se tiene que realizar un trabajo sumamente detallado para identificar qué indicadores permiten medir cada riesgo en cada área y qué variables intervienen: Variables obtenidas de la operación diaria del negocio Variables del entorno del negocio que no se encuentran en bases de datos de la empresa Variables de la operación contenidas en bases de datos de la empresa 18

10 Total Formalizado Rechazadas Suc ,2, 1,, 8, 6, 4, 2, Ene-1 Feb-1 Mar-1 A br-1 May-1 Jun-1 Jul-1 A go-1 Sep-1 Oct-1 Nov-1 Dic-1 Ene-2 Feb-2 Cartera Total Cartera Vigente Cartera Vencida E ne -1 F eb -1 M a r-1 Ab r-1 M a y-1 J un -1 Jul-1 Ago -1 S ep -1 O c t-1 N ov -1 D ic -1 E ne -2 F eb -2 Cartera Total 888, , ,52 82, , , , , ,958 97,56 1,3,945 1,13,371 1,11,999 1,125,37 Cartera Vigente 479,24 464, , , , ,795 55,88 57, , ,73 726, ,317 86,6 815,642 Cartera Ve ncida 49,323 49,346 36,368 37,929 37,577 39,56 38,526 36,477 36, ,83 34,69 34,54 34,399 39,665 Metodología: Definir fuentes de información Es importante identificar los puntos dentro de los procesos diarios que permiten generar información relevante acerca de las áreas de riesgo seleccionadas. Productividad 9.7 7, Riesgo 9.9 6, 5, Control Interno N/A 4, 3, 2, Control de Procesos 1. 1, Liquidación 9.9 Custodia N/A Nivel de Servicio 9.7 Mejora Continua Desarrollo Humano N/A Prioridad Alta Pendientes Administrativos Eventos Operativos Relevantes Subdirección de Tarjeta de Crédito Variables obtenidas de la Formalización de Solicitudes operación diaria del negocio Ene- 1 Feb-1 1 Mar-1 Abr-1 May-1 1 Jun- 1 Jul-1 Ago- 1 Sep-1 1 Oct-1 Nov- 1 Dic-1 Ene- 2 Feb-2 2 Ene-1 Feb-1 Mar-1 Abr-1 May-1 Jun-1 Jul-1 Ago-1 Sep-1 Oct-1 Nov-1 Dic-1 Ene-2 Feb-2 Aprobadas Suc , ,23 2,89 3,332 2,521 2,86 1,899 1,91 Aprobadas Tmk Rechazadas Suc ,476 2,124 1,864 1,619 1,514 1,563 Rechazadas Tmk , Total 2,58 1,485 1,929 1,369 1,479 1,325 1,712 2,427 4,561 6,652 4,661 4,8 4,3 3,848 % Aprobación Suc 71.1% 64.44% 62.1% 53.% 49.62% 46.29% 49.2% 59.17% 58.6% 61.7% 57.49% 56.3% 55.64% 54.88% Comportamiento Ctas Vigentes y Ctas Vencidas 14, 12, Total 1, 8, 6, 4, 2, 45, Rechazadas 4, Tmk 35, 3, Rechazadas 25, Suc 2, 15, Aprobadas Tmk 1, 5, Aprobadas Suc Ctas Vigentes Ctas. Vencidas Ene-1 Feb-1 Mar-1 Abr-1 May-1 Jun-1 Jul-1 Ago-1 Sep-1 Oct-1 Nov-1 Dic-1 Ene-2 Feb-2 Compras Netas 2, , ,448 28,83 195, ,88 229,12 211,15 23, ,785 28,727 32, , ,67 Pago 244, , ,47 24, , , ,37 247,29 221, , , ,711 31, ,266 Disposiciones 14,814 13,875 14,824 14,254 15,74 12,966 15,43 16,868 28,552 41,556 41,556 31,949 34,865 3,63 Total 459, , , , ,32 411, , ,47 454, ,4 577,18 65,899 61,755 52,539 Tendencia de Ctas Nvas vs. Cancelaciones 4, 3,5 3, 2,5 2, 1,5 1, 5 Ene-1 Feb-1 Mar-1 Abr-1 May-1 Jun-1 Jul-1 Ago-1 Sep-1 Oct-1 Nov-1 Dic-1 Ene-2 Feb-2 Ene-1 Feb-1 Mar -1 Abr-1 May-1 Jun-1 Jul-1 Ago-1 Sep-1 Oct-1 Nov-1 Dic-1 Ene-2 Feb-2 Comportamiento de la Cartera de Tarjeta de Crédito (cifras en miles de $) Compras Netas Pago Disposiciones Ene-1 Feb-1 Mar-1 Abr-1 May-1 Jun-1 Jul-1 Ago-1 Sep-1 Oct-1 Nov-1 Dic-1 Ene-2 Feb-2 Cuentas Nuevas Cancelaciones Observaciones: Ene-1 Feb-1 Mar-1 Abr-1 May-1 Jun-1 Jul-1 Ago-1 Sep-1 Oct-1 Nov-1 Dic-1 Ene-2 Feb-2 CtasVigentes 18,44 18,573 18,44 17,726 17,19 16,97 16,482 17,458 18,699 11, , , , ,144 Ctas. Vencidas 3,233 29,314 3,13 3,612 31,9 31,362 31,64 31,819 28,858 29,9 29,181 29,463 29,736 3,38 Ene-1 Feb-1 Mar-1 Abr-1 May-1 Jun-1 Jul-1 Ago-1 Sep-1 Oct-1 Nov-1 Dic-1 Ene-2 Feb-2 Cuentas Nuevas 1, , ,38 2,343 3,491 2,61 2,173 2,131 2,39 Cancelaciones Comportamiento de la Cartera Emisor (cifras en miles de pesos) Total Formalizado vs. Rechazos Sucs Total Formalizado Rechazadas Suc Metodología: Definir fuentes de información Variables del entorno del negocio que no se encuentran en bases de datos de la empresa También es necesario considerar otras variables de la industria y otros productos que permitan establecer un marco de referencia acerca de valores razonables resultantes de los indicadores de riesgo La información precisa para construir bases de datos con información del riesgo operativo se tienen normalmente en la operación, pero no se clasifica según el tipo de impacto que tiene en el negocio 2

11 Metodología: Definir fuentes de información En forma adicional a la información operativa, la medición del riesgo utiliza información de los sistemas de información con los que se interactúa en forma cotidiana y que permiten identificar el comportamiento normal del negocio. Variables de la operación contenidas en bases de datos de la empresa 21 Se identifican indicadores operativos, variables para su cálculo y fuentes de información para medir cada áreas de riesgo por cada unidad organizacional: INDICADORES RESPONSABLES METAS CÁLCULO VARIABLES FUENTES 22

12 Metodología: Priorización e integración de medición a tablero OA.NS.AC.1 OA.NS.AC.2 OA.NS.AC.3 OA.NS.AC.4 OA.NS.AC.5 Cve-Ind Nombre del Indicador Peso Resultado Resultado Ponderado Nivel de cumplimiento en Altas a Clientes. Nivel de cumplimiento en altas de créditos Automotrices. 14.1% 95.91% 13.53% 11.54%.% Dirección.% de Operaciones Activas Productividad 1. Riesgo Nivel de cumplimiento en altas de 8.97%.%.% créditos Hipotecarios. Control Interno 1. Control de Procesos 1. Liquidación 1. Nivel de cumplimiento en altas de 6.41%.%.% créditos Credi-Nomina. Custodia 1. Nivel de Servicio 9.7 Nivel de cumplimiento en altas de créditos en Banca de Fortalecimiento 6.41% Operativo.%.% Recuperación. Desarrollo Humano Prioridad Alta Total Control de Cambios 4 7 Pendientes Administrativos 2 2 Eventos Operativos Relevantes La ponderación de los indicadores permite asignar una calificación a cada resultado por tipo de riesgo e integrar la AUTOMOTRIZ (a) AUTOMOTRIZ (e) CREDINOMINA (a) CREDINOMINA (e) HIPOTECARIOS Monto Operaciones Cartera Comercial con Línea 14,, 12,, 1,, 8,, 6,, 4,, 2,, Créditos de Consumo Numero de Operaciones. ENERO FEBRERO MARZO ABRIL MAYO JUNIO JULIO AGOSTO SEPTIEMBRE DICIEMBRE ENERO FEBRERO MARZO ABRIL MAYO JUNIO JULIO AGOSTO SEPTIEMBRE Con Linea Fecha de d Corte: Agosto 31, 21 información como un sistema de semáforos Consultas al Buro DICIEMBRE ENERO FEBRERO MARZO ABRIL MAYO JUNIO JULIO AGOSTO SEPTIEMBRE Monto de Operaciones Cartera Comercial 12, 1, 8, 6, 4, 2, DICIEMBRE ENERO FEBRERO MARZO ABRIL MAYO JUNIO JULIO AGOSTO SEPTIEMBRE Ocasionales Buro Normal Buro Especial Rechazos Observaciones: Volumen de Operaciones Cartera Comercial con Linea DICIEMBRE ENERO FEBRERO MARZO ABRIL MAYO JUNIO JULIO AGOSTO SEPTIEMBRE Volumen de operación Cartera Comercial DICIEMBRE ENERO FEBRERO MARZO ABRIL MAYO JUNIO JULIO Ocasionales Rechazos AGOSTO 23 SEPTIEMBRE Metodología: Automatización La administración del riesgo requiere de enormes bases de datos y aplicaciones especializadas que almacenan historia detallada de los eventos de pérdida y que permiten pronosticar y valuar reservas: CÁLCULO RESERVAS EVENTOS OPERATIVOS EVENTOS DE RIESGO EVENTOS DE PÉRDIDA Y RIESGO ACCIONES PREVENTIVAS REDUCCIÓN COSTO RESERV EVENTOS DE PÉRDIDA PLAN AUDITORÍA PROYECTOS DE MEJORA La elección adecuada de las herramientas de administración del riesgo es crítica para el éxito de estas iniciativas 24

13 Gracias! Grupo Consult José Angel Arias A., CISA