MODELO DE IMPLEMENTACIÒN DE SISTEMA DE ADMINISTRACIÒN DE RIESGO EPS SOS S.A.

Transcripción

1 MODELO DE IMPLEMENTACIÒN DE SISTEMA DE ADMINISTRACIÒN DE RIESGO EPS SOS S.A. La metodología para la implementación será la establecida según el modelo de la Norma Técnica Colombiana (NTC5254), la cual consta de las correspondientes fases: identificación, análisis, evaluación y tratamiento. Para llevar a cabo el desarrollo del mismo, se requiere: - Por lo menos un participante de los procesos cliente - Por lo menos un participante de los procesos proveedores - Por lo menos un participante del proceso operativo - Es necesario que por líder de proceso, se cuente con una licencia de Office Revisión de los objetivos de los procesos a desarrollar. Los pasos para la implementación del SAR, son los siguientes: 1. Seleccione el proceso a desarrollar según se contemple en el mapa genérico de proceso en la EPS SOS. 2. Teniendo en cuenta el objetivo del proceso seleccionado, identifique los riesgos inherentes dentro de su proceso, clasifique el riesgo y el tipo de evento del mismo. 3. Identifique qué Causas (fallas) y su clasificación respectiva, se encuentran asociadas a la presencia de este riesgo. 4. Establezca la evaluación según la probabilidad de ocurrencia y nivel de impacto. 5. Enuncie los posibles controles presentes en su organización, teniendo en cuenta la Causa (falla) identificada. 6. Establezca la evaluación de controles en diseño y ejecución, identifique el riesgo residual.

2 7. Según el resultado en la matriz de evaluación, establezca el tratamiento respectivo.

3 SISTEMA ADMINISTRACION DE RIESGOS SAR 1. Fases metodológicas para estructurar el SAR 1.1. Definición de criterios: Considera el establecimiento de parámetros sobre los cuáles la dirección de la entidad definirá la evaluación y tratamiento de sus riesgos y controles Identificación de los Riesgos: Identificar Qué, Por qué y Cómo, pueden surgir los riesgos con el fin de establecer los criterios necesarios para su administración Medición de los riesgos: Establecer el nivel de los riesgos inherentes al cuál está expuesto el proceso de evaluación, teniendo en cuenta los criterios de probabilidad de ocurrencia y magnitud del impacto Controlar los riesgos: Establecer y evaluar las medidas de control requeridas para administrar los riesgos. Establecer el nivel de riesgo residual al cuál está expuesto el proceso Identificar medidas de tratamiento: Identificar opciones para tratar los riesgos de acuerdo con el nivel de riesgo residual obtenido. Realizar la evaluación de dichas opciones. Preparar los planes de mitigación / tratamiento de riesgos y su implementación. A continuación se ampliaran los conceptos anteriores Definición de criterios Caracterización de Procesos: Es el conjunto de variables que ayudan a un mayor entendimiento del proceso, y considera los elementos descritos a continuación: Objetivo del proceso: Es el resultado que una organización espera alcanzar en el desarrollo y operacionalización concreta de su misión y visión. Los objetivos se redactan comenzando con un verbo en infinitivo y deben ser mesurables, es decir, deben permitir la comprobación del resultado. Alcance del proceso: Es la frontera del proceso; dónde comienza y dónde termina. El alcance permite establecer los procesos cómo interactúan entre sí, en este caso también se contempla las entradas y salidas. Comienzo o inicio: actividades con la cuales se da inicio al proceso Fin / Final / Terminación : actividades con las cuales finaliza el proceso

4 Entradas del Proceso: Son los insumos que ingresan al proceso para poder desarrollar una y/o varias actividades específicas. Salidas del proceso: Son los resultados del desarrollo de las actividades del proceso, que en algunas oportunidades son las entradas de otros procesos. Las salidas no necesariamente se dan al finalizar el proceso. Responsables y participantes dentro del proceso: Se refiere al proceso involucrado y los roles y responsabilidades de las personas participantes dentro de éste. Actividades del proceso: Es la descripción de las actividades realizadas dentro del proceso las cuales se presentan en orden secuencial. Documentos relacionados: Normatividad aplicable, procedimientos o reportes que soportan el desarrollo de las distintas actividades del proceso. Factores críticos de éxito (FCE): Un Factor de Éxito es algo que debe ocurrir (o debe no ocurrir) para conseguir un objetivo. Este Factor de Éxito se define como crítico si su cumplimiento es absolutamente necesario para cumplir los objetivos de la Organización, por lo cual requiere una especial atención por parte de los órganos gestores, con el fin de asegurar que se dedican los mejores recursos a la ejecución o realización de dicho Factor de Éxito. Indicadores del Proceso: Son medidas cuantitativas financieras y no financieras que la organización recopila continúa o periódicamente y los directivos utilizan para evaluar el progreso hacia el logro de los objetivos definidos. Diagrama de Flujo: Es la agrupación de actividades, ordenadas de acuerdo con una secuencia lógica establecida. Simbología para realizar el flujograma de procesos

5 Inicio - Fin Documento Electrónico Proceso Referencia En misma página Decisión Conector entre páginas Documento Físico Sistema Proceso definido Documento con múltiples copias

6 1.2. Identificación de Riesgos Qué debemos tener en cuenta para identificar los riesgos? Entender el proceso. Identificar los objetivos de los procesos. Buscar los puntos claves de decisión en el proceso. Identificar qué puede fallar para cada proceso / actividad clave. (Gráfico No 2 y 3). Nuestra experiencia. Mucho sentido común. Tener en cuenta El riesgo continúa incluso con los controles. Es importante saber que la ausencia de control no es un riesgo. Los controles pueden reducir el impacto y/o probabilidad de ocurrencia del riesgo. Definición de Riesgo: Riesgo se refiere a un hecho, una acción u omisión que podría afectar la capacidad de una Entidad para lograr sus objetivos de proceso, de negocio, o estrategias, desencadenando la presencia de eventos adversos o amenazas en la población. Considera la ocurrencia latente o potencial de acontecimientos negativos o inesperados así como la ausencia o sub-aprovechamiento de oportunidades. Riesgo Inherente: Es la evaluación preliminar del riesgo, con la cual la Entidad quiere conocer el nivel de exposición al mismo. Clasificación del tipo de evento: Corresponde a la clasificación del riesgo teniendo en cuenta su origen. (Ejemplo: fraude interno). Determinación de la Causa (falla): Falla es la causa directa o subyacente asociada a la presencia del riesgo. (Es el QUE y el POR QUE se presenta el riesgo). Control: Son las medidas tomadas para administrar o gestionar el riesgo y para incrementar las probabilidad que el negocio o proceso logre sus metas y objetivos. Riesgo Residual: Es el nivel de riesgo al cual está expuesta la Entidad de acuerdo con los controles existentes. El riesgo residual es el resultado de combinar la calificación del riesgo inherente ó bruto y la evaluación de los controles considerando el diseño y la efectividad operacional de los mismos.

7 El resultado de la combinación de la probabilidad y el impacto genera el perfil de riesgos (Magnitud del Riesgo) Qué se debe tener en cuenta al redactar un Riesgo? 1. El riesgo debe estar escrito en un lenguaje común y comprensible para toda la Compañía. 2. Responde fácilmente a la pregunta si ocurre el riesgo Qué pérdida es generada? Es decir, permite identificar la pérdida potencial: fraude, multa, demanda, reproceso, robo, sanción, etc. 3. Permite establecer la probabilidad e impacto, obteniendo así la calificación del mismo. 4. Evitar las negaciones para expresar el Riesgo. 5. La ausencia de control no es un riesgo. Ejemplo: No afiliar adecuadamente Realizar afiliaciones inadecuadamente Qué se debe tener en cuenta para determinar una Causa (falla)? Las fallas se clasifican en: Falla de Tecnología de Información: Se refiere al uso de software y hardware de la organización. Fallas de Recurso Humano: La formación y promoción de competencias de los trabajadores, con el fin de mejorar sus capacidades, habilidades y aptitudes para ejecutar los procesos alineados a la estrategia y evitar las desviaciones que demoren o eviten alcanzar los objetivos. Además involucra el promover comportamientos seguros en la toma de decisiones. Identificación y política para el manejo de fraudes. Falla por eventos externos: son eventos asociados a la naturaleza o externos se escapan a la organización Falla de Procesos: Se entiende por falla de procesos lo referente a: POLITICA: Es el compromiso de la organización para establecer sus parámetros de ejecución y desarrollo en el negocio de aseguramiento en salud, y exprese formalmente los objetivos, así como los principios y directrices a seguir en materia de los lineamientos estratégicos, estructurales, de comunicación, y de infraestructura.

8 PLANIFICACION Y EJECUCION: La Planificación de las tareas a emprender, distinguiendo entre planificación en las condiciones normales del negocio y planificación de emergencia. La primera pretende desarrollar un método ordenado de puesta en práctica de las políticas y acciones necesarias para evitar la materialización de eventos no deseados. Paralelamente, el plan de emergencia pretende planificar con serenidad las acciones a emprender para responder con rapidez y eficacia ante cualquier incidencia, reduciendo al máximo sus posibles consecuencias. COMUNICACIÓN: La Comunicación y transferencia de información sobre el medio de trabajo hasta su operatividad, sus posibles riesgos y la forma correcta de combatirlos. Tener en cuenta tecnología. RUTAS DE ACCESO: Puntos de encuentro o de conexión entre la EPS y el usuario en todos los ámbitos que refiere el aseguramiento en salud contemplando en la ley. (BARRERAS DE ACCESO). DOCUMENTO DE PROCESOS: Conocimiento y documentación de los procesos, correcta ejecución de los mismos, trazabilidad y conectividad de los procesos, claridad de los roles y estandarización en la ejecución. Falla de Infraestructura: Son las fallas relacionadas a edificaciones, elementos de apoyo para las operaciones, almacenamiento y transporte, espacios de trabajo entre otros. Falla de Medición de resultados: Revisión de las actuaciones realizadas en la organización, permitiendo, así, alcanzar la mejora continua. Este control se ejecuta a través del análisis de las condiciones de trabajo, responsabilidades, desempeño y sucesos ocurridos en el interior de la empresa Medición (evaluación) de riesgos: La dimensión del mapa contiene niveles de 5 x 5 para brindar mayor flexibilidad en la determinación de riesgos intermedios. De igual forma utilizar un mapa con una estructura no lineal, para establecer un mayor peso a aquellos eventos en los cuales aunque la probabilidad es baja su impacto al interior de la EPS es superior.

9 Establezca, de acuerdo a lo definido en las escalas de probabilidad de ocurrencia y nivel de impacto Controlar los riesgos Son las medidas tomadas para administrar o gestionar el riesgo y para incrementar la probabilidad de que el negocio / proceso logre sus metas y objetivos. La definición de los controles debe incluir: Qué busca hacer el control (objetivo) Cómo se lleva a cabo el control (procedimiento) Naturaleza del control: Preventivo ó Detectivo Tipo de control: Manual, Automático, ó Dependiente de IT Quién lleva a cabo el control (Responsable) Cuándo se realiza el control (Periodicidad)

10 Teniendo en cuenta la evaluación de los controles (según diseño y eficacia), calcule el riesgo residual. El resultado del riesgo residual determina las medidas de tratamiento a ejecutar Identificación de Medidas de Tratamiento de Riesgo Los criterios sugeridos para tomar decisiones sobre el tratamiento a los riesgos identificados son: Para los riesgos calificados como Extremos y Superiores, se establecerán planes de acción a corto plazo. Para los riesgos calificados como Moderados y Bajos, se establecerán planes de acción a mediano y/o largo plazo, y/o se diseñarán actividades para su monitoreo. El Monitoreo de Riesgos, son las medidas utilizadas para monitorear el nivel de exposición al riesgo en la EPS. Para la realización de este monitoreo se sugiere establecer: Indicadores de Desempeño: Son las medidas que muestran los cambios en la probabilidad de ocurrencia de un riesgo. Ejemplo: Total formularios Recibidos / Total formularios de afiliación Radicados. Indicadores de control: Son las medidas que muestra los cambios en la efectividad de controles. Ejemplo: Total formularios grabados correctamente/total formularios grabados. Alertas: Son la combinación de los resultados de los indicadores de desempeño y de control, a través de la cual se generan alertas para definir planes de acción con respecto al nivel de exposición a un riesgo determinado. RESUMEN VISUAL DEL RESULTADO DE IDENTIFICAR Y EVALUAR LOS RIESGOS Ejemplo guía:

11

12