T&A - TOPA&ASOCIADOS

Transcripción

1 TRABAJO DE INVESTIGACION: METODOLOGIAS PARA MEDIR RIESGOS OPERATIVOS Y DE LAVADO DE ACTIVOS Y FINANCIACION DEL TERRORISMO T&A - TOPA&ASOCIADOS OCTUBRE DE 2008 PROPIEDAD INTELECTUAL. Este documento se encuentra protegido por las leyes de Propiedad Intelectual de la República de Colombia. El uso de las metodologías expuestas en el documento se encuentra restringido a la lectura y análisis por parte del lector. Su contenido no puede ser reproducido ni utilizado con fines comerciales sin autorización previa por escrito de T&A. Teléfono: (571)

2 Resumen Este trabajo presenta las metodologías cualitativas que T&A ha diseñado para realizar la medición de Riesgos Operativos (RO) y Riesgos de Lavado de Activos y Financiación del Terrorismo (RLAFT). Estas metodologías se diseñaron basados en el estándar australiano y metodologías delphi. Han sido probadas con éxito por T&A en proyectos de implementación de sistemas de administración de RO y RLAFT en entidades financieras. Teléfono: (571)

3 CONTENIDO I. MEDICION DE LOS RIESGOS 4 1. DEFINICIÓN DEL MÉTODO CUALITATIVO 4 2. NIVEL DE CALIFICACIÓN PARA LA PROBABILIDAD DE OCURRENCIA 5 3. NIVEL DE CALIFICACIÓN PARA EL IMPACTO 6 4. DEFINICIÓN DEL MAPA DE RIESGO. 8 II. METODOLOGÍA DELPHI. 10 III. METODOLOGIA PARA LA MEDICIÓN DE LOS RIESGOS DEFINICIÓN DEL GRUPO DE EXPERTOS DE RIESGOS MEDICIÓN DE LA PROBABILIDAD DE OCURRENCIA MEDICIÓN DEL IMPACTO VALIDACIÓN DE LA MEDICIÓN. 20 Teléfono: (571)

4 I. MEDICION DE LOS RIESGOS 1 Para hacer la medición o valoración de los Riesgos, es necesario determinar su magnitud, es decir, establecer qué tan representativo es el riesgo para la entidad. Cuando se establece el valor del riesgo se denomina riesgo inherente. Formalmente, se define riesgo inherente como el nivel de riesgo propio de la actividad, sin tener en cuenta el efecto de los controles. Para la medición o evaluación de los Riesgos existen dos métodos: Cualitativo. Cuantitativo. T&A no propone un método cualitativo, ya que en general no se cuenta con suficiente información histórica para hacer inferencia estadística basada en registros numéricos. Lo que se propone a continuación es un método cualitativo. 1. Definición del Método Cualitativo Para la medición o valoración de los Riesgos, T&A propone una metodología cualitativa que debe estar soportada por dos variables: i) La probabilidad de ocurrencia: que se refiere a la probabilidad de que fuentes potenciales de riesgos lleguen realmente a manifestarse, y ii) El impacto: que pueda generar sobre la entidad la materialización de los Riesgos analizados. Esta variable se refiere a los efectos adversos sobre la entidad; es decir, lo que ésta podría perder y/o lo que podría salir mal. 1 En todo el documento, cuando se refiera el término Riesgos entiéndase como: riesgo operativo y riesgo de lavado de activos y financiación del terrorismo. Teléfono: (571)

5 Para cada una de estas dos variables, se debe definir una escala de medición. Las prácticas internacionales sugieren dividir la escala entre 3 y 5 niveles o calificaciones. Para el caso de la medición de los Riesgos, T&A propone una escala de 5 niveles, definidos entre 1 y 5. Para realizar el trabajo de calificar estas dos variables, T&A trabaja metodologías Delphi, que fueron adaptadas y desarrolladas para este tipo de trabajos. 2. Nivel de Calificación para la Probabilidad de Ocurrencia A continuación se presenta la definición de los cinco rangos de medida para calificar la probabilidad de ocurrencia a cada uno de los Riesgos identificados: Tabla 1. Nivel de Calificación variable: Probabilidad de Ocurrencia Nivel Descriptor 1 Raro Descripción Puede ocurrir sólo en circunstancias excepcionales. Se ha presentado en la Entidad o en el sector alguna vez en los últimos 5 años. 2 Improbable Es difícil que ocurra. Se ha presentado en la Entidad o en el sector alguna vez en los últimos 3 años. 3 Posible Podría ocurrir en algún momento. Se ha presentado en la Entidad o en el sector alguna vez en el último año. 4 Probable 5 Casi certeza Probablemente ocurrirá en la mayoría de las circunstancias. Se presenta con alguna frecuencia. Por ejemplo: 5 veces al año. Se espera que ocurra en la mayoría de las circunstancias. Ocurre con mucha periodicidad. Por ejemplo, cada mes en promedio. Teléfono: (571)

6 3. Nivel de Calificación para el impacto A continuación se presenta la definición de los cinco rangos de medida para calificar el impacto de cada uno de los Riesgos identificados: Tabla 2. Nivel de Calificación variable: Impacto Nivel Descriptor Descripción 1 Insignificant e No genera perjuicios. No genera sanciones administrativas o económicas por parte de la SFC (u otro regulador) No genera problemas de imagen con los clientes. No se presenta interrupción/retraso de las operaciones. Evento que implique una pérdida <0.2% patrimonio técnico. Evento que implique una pérdida <0.5% de la utilidad operacional anual presupuestada. 2 Menor Pocos perjuicios que se controlan local e inmediatamente. La entidad es glosada/sancionada por la SFC. Problema reputacional, que afecta negativamente la imagen de la entidad. Por ejemplo, relacionada con incremento (incremento >=10% y <40%) de la cantidad de quejas y/o reclamos. Interrupción/retraso de las operaciones <1 hora. Pérdida <1% de mi mercado objetivo. Evento que implique una pérdida >=0.2% y <0.5% del patrimonio técnico. Evento que implique una pérdida >=0.5% y <3% de la utilidad operacional anual presupuestada. 3 Moderado Perjuicios que se controlan localmente y/o con asistencia externa; y que pueden generar riesgos asociados. La entidad es sujeta a una visita completa por parte de la SFC. Problema reputacional, que afecta negativamente la imagen de la entidad. Por ejemplo, relacionada con incremento importante (incremento >=40% y <80%) de la cantidad de quejas y/o reclamos. Interrupción/retraso de operaciones >=1 hora y <24 horas. Pérdida de información (propia o de clientes) que se puede recuperar fácilmente. Pérdida >=1% y <5% de mi mercado objetivo. Evento que implique una pérdida >=0.5% y <2% del patrimonio técnico. Evento que implique una pérdida >=3% y <10% de la utilidad operacional anual presupuestada. Teléfono: (571)

7 Nivel Descriptor Descripción 4 Mayor Perjuicios extensivos que generan perdida en la capacidad de producción; y que generan riesgos asociados importantes. La entidad entra en vigilancia especial por parte de la SFC. Problema reputacional, que afecta negativamente la imagen de la entidad. Por ejemplo, relacionada con incremento grande (incremento >= 80%) de la cantidad de quejas y/o reclamos. Interrupción/retraso de las operaciones entre 1 y 2 días. Pérdida gran cantidad de información (propia o de clientes) que difícilmente se puede recuperar. Pérdida >5% y <10% de mi mercado objetivo. Evento que implique una pérdida >=2% y <5% del patrimonio técnico. Evento que implique una pérdida >10% y <25% de la utilidad operacional anual presupuestada. 5 Catastrófico Perjuicios que generan pérdidas financieras, legales y de reputación importantes. La entidad es intervenida por la SFC. Problema reputacional, que afecta negativamente la imagen de la entidad relacionada con prácticas comerciales irregulares o inseguras. Interrupción/retraso de las operaciones por más de 2 días. Pérdida gran cantidad de información (propia o de clientes) que no se puede recuperar Pérdida del 10% o más de mi mercado objetivo. Evento que implique una pérdida del 5% o más del patrimonio técnico. Evento que implique una pérdida del 25% o más de la utilidad operacional anual presupuestada. Teléfono: (571)

8 4. Definición del Mapa de Riesgo. Con dos variables, que pueden tener 5 valores posibles cada una, se puede generar un plano cartesiano de 5x5, es decir de 25 resultados posibles. Definiremos el valor de cada uno de esos resultados como la multiplicación entre el valor de la variable Impacto y la variable Probabilidad de Ocurrencia. A continuación se presenta un plano, al cual llamaremos mapa de riesgo, donde se presentan los 25 resultados posibles. MAPA DE RIESGO Casi Certeza Probabilidad Probable Posible Improbable Raro Insignificante Menor Moderado Mayor Catastrófico Impacto Teléfono: (571)

9 El significado de los colores en el mapa de riesgo se explica en la siguiente tabla: Tabla 3. Calificación Final Riesgo Extremo > 20 Requiere acción inmediata. Riesgo Alto >14 y <=20 Necesita atención de la alta gerencia. Riesgo Moderado >7 y <=14 Debe especificarse responsabilidad gerencial. Riesgo Menor >= 4 y <=7 Revisión de la aplicación de procedimientos de rutina Riesgo Bajo < 4 Administrar mediante procedimientos de rutina. A continuación se presentan las columnas que se deben diligenciar en la matriz de riesgo para obtener la valoración (riesgo inherente) de cada uno de los Riesgos identificados: Tabla 4. Matriz de Riesgo: Incluye columnas para valoración del Riesgo Inherente Referencia Riesgo Operacional Valoración Riesgo Riesgo Probabilidad Impacto Inherente X 1 P 1 I 1 P 1 x I 1 X 2 P 2 I 2 P 1 x I X n P n I n P n x I n Promedio= K Un indicador de los Riesgos inherente agregado para la entidad será el promedio del valor de riesgo inherente calculado para cada uno de los n- riesgos. En la tabla anterior, sería el valor K. Teléfono: (571)

10 II. METODOLOGÍA DELPHI. En términos generales, la metodología Delphi es un instrumento o herramienta para obtener información sobre el futuro. Es una técnica de estructuración de un proceso de comunicación grupal que es efectivo a la hora de permitir a un grupo de individuos, como un todo, tratar un problema complejo. Una metodología Delphi consiste en la selección de un grupo de expertos a los que se les pregunta su opinión sobre cuestiones referidas a acontecimientos del futuro. Las estimaciones de los expertos se realizan en sucesivas rondas, anónimas o no, al objeto de tratar de conseguir consenso, pero con la máxima autonomía por parte de los participantes. Para nuestro caso, serán cuestiones relacionadas con los Riesgos aplicables a la entidad. Por lo tanto, la capacidad de predicción de una metodología Delphi se basa en la utilización sistemática de un juicio intuitivo emitido por un grupo de expertos. Se procede por medio de la interrogación a expertos con la ayuda de cuestionarios sucesivos, a fin de poner de manifiesto convergencias de opiniones y deducir eventuales consensos. El objetivo de los cuestionarios sucesivos es, en términos técnicos estadísticos, "disminuir el espacio intercuartil precisando la mediana". El objetivo del primer cuestionario es calcular el espacio intercuartil. El segundo suministra a cada experto las opiniones de sus colegas, y abre un debate interdisciplinario, para obtener un consenso en los resultados y una generación de conocimiento sobre el tema. Cada experto argumentará los pro y los contra de las opiniones de los demás y de la suya propia. Las preguntas se refieren, por ejemplo, a las probabilidades de realización de hipótesis o de acontecimientos con relación al tema de estudio, que en nuestro caso será la ocurrencia o no, o el impacto de un Riesgo en la entidad. La Teléfono: (571)

11 calidad de los resultados depende, sobre todo, del cuidado que se ponga en la elaboración del cuestionario y en la elección de los expertos consultados. En la familia de los métodos de pronóstico, habitualmente se clasifica a la metodología Delphi dentro de los métodos cualitativos o subjetivos. T&A utiliza utilizar técnicas basadas en metodologías Delphi para llegar a definir la medición (probabilidad de ocurrencia e impacto) de los Riesgos. III. METODOLOGIA PARA LA MEDICIÓN DE LOS RIESGOS 1. Definición Del Grupo De Expertos de Riesgos La definición del Grupo de expertos en Riesgos (RO, RLAFT) es fundamental, porque las metodologías a seguir para identificar y valorar los Riesgos son cualitativas. Por lo anterior, sus integrantes deben ser funcionarios de la entidad que sean expertos (conocedores de la estrategia, procesos, productos, clientes, mercados, canales de distribución, jurisdicciones, entre otras), con independencia de su profesión, su función o su nivel jerárquico. Los funcionarios candidatos a conformar este grupo de expertos son: a. Los dueños o líderes de procesos. b. Los dueños o responsables de líneas de negocio. c. Los ejecutivos de segundo y tercer nivel jerárquico. El Grupo de expertos debe cumplir con los siguientes Principios: i) Revelación. El trabajo que se realice con el grupo de expertos no debe ser entendido por sus integrantes como una evaluación de su gestión, ni debe entenderse de esta manera por la Alta Dirección de la entidad. En este sentido, se asegura que el grupo de expertos revele todos los Teléfono: (571)

12 eventos de riesgo (RO, RLAFT) que hayan ocurrido o que estuvieron cerca de ocurrir. ii) Nivel Gerencial. Si bien el trabajo del grupo de expertos no implica tomar decisiones gerenciales/administrativas, se debe entender que las personas que ocupan estos cargos aseguran la experiencia, el know-how y conocimientos relacionados con todas las actividades (y los riesgos) propios del objeto social y de negocio de la entidad. Características necesarias para el éxito del trabajo grupal. iii) Confidencialidad. El resultado del trabajo de los expertos estará directamente relacionado con las fortalezas, pero principalmente con las debilidades de la entidad. Por ello, el compromiso de confidencialidad por parte de todos los integrantes del grupo de expertos es necesario. iv) Homogeneidad. Se debe nivelar en conocimientos y metodologías a todos los integrantes del grupo de expertos. v) Prioridad. Los integrantes del Grupo de expertos deben comprender que deberán asignar la prioridad suficiente que requiere un tema importante como es la gestión del riesgo (RO, RLAFT). En caso contrario, las urgencias del día a día de cada miembro del grupo no les permitirá cumplir con las reuniones de trabajo, ni con otras funciones asignadas al respecto. T&A aconseja que el grupo de expertos sea nombrado por el Comité de Riesgos y/o la Alta Dirección de la entidad. Para lo cual, se debe tener en cuenta los principios mencionados, en especial el v), además del recurso humano con que se cuente en la entidad, en el momento de la aplicación de la metodología. 2. Medición de la Probabilidad de Ocurrencia. El grupo de expertos calificará la probabilidad de ocurrencia y el impacto inherente a cada uno de los Riesgos que fueron identificados. Para ello, Teléfono: (571)

13 cada uno de los expertos calificará de acuerdo con la convención de niveles expuesta en la Tabla 2. Para definir la probabilidad de ocurrencia de los Riesgos, el siguiente es el procedimiento a seguir: (i) Para cada uno de los Riesgos se le pregunta al grupo de expertos lo siguiente: Cuántos y cuáles casos conoce en la Entidad o en otra entidad (nacional o extranjera) en donde se haya materializado el Riesgo en cuestión? El objetivo de esta parte, es dar (y nivelar) a todos los expertos información acerca de eventos de producto de ese Riesgos. (ii) Se realiza la primera ronda de calificación. Se le solicita a cada uno de los expertos que califique de 1 a 5, de acuerdo con lo establecido en la Tabla 2, la probabilidad de ocurrencia de cada uno de los Riesgos. Para realizar esto, cada experto diligenciará el siguiente formulario: Teléfono: (571)

14 Tabla 5. Formulario para Calificar Probabilidad de Ocurrencia, Primera Ronda CALIFICACION: PROBABILIDAD DE OCURRENCIA FORMULARIO PRIMERA RONDA Fecha: Experto: Referencia RIESGOS Calificación X 1 X 2... X n (iii) Se tabulan las respuestas y se calculan los principales estadísticos que se usan para estudiar la tendencia central y dispersión. Los siguientes son los estadísticos a calcular: Media, mediana, moda, máximo, mínimo y desviación típica. Esto nos permite tener una visión de conjunto de los resultados obtenidos, aunque luego sólo se usará únicamente como valor para la segunda vuelta la media o la mediana. La media y la mediana indican la tendencia central de la distribución o conjunto de respuesta de expertos. La moda nos indica la respuesta más repetida dada por los expertos. El máximo y el mínimo indican las respuestas extremas. La desviación nos señala el grado de dispersión en las respuestas (si más o menos los expertos se hallan en torno a las cifras de la media o no) Teléfono: (571)

15 (iv) Se discuten los resultados de la primera ronda de calificación. Para esto se siguen los siguientes pasos: a) Se selecciona la media o la mediana de las respuestas dadas por los expertos en la primera ronda. Si las desviaciones típicas no son excesivas se utiliza la media, sino usamos la mediana. b) Se solicita a los expertos que indiquen su acuerdo o desacuerdo con dicha media. c) Se pide a los expertos que no se hallan de acuerdo con la media que argumenten sus razones Esta Ud. de acuerdo con la media obtenida para el conjunto de los consultados? Si/No En caso de que no se halle de acuerdo, Cuál es el nuevo valor que propone? Si lo juzga necesario, podría justificar dicha respuesta? (v) Se realiza la segunda ronda de calificación. Para el desarrollo de la segunda vuelta se siguen los siguientes pasos: a) Se calcula la nueva media o mediana. Los expertos que se muestren de acuerdo se les fijara el valor de la media de la primera ronda de calificación, para los demás se coloca el nuevo valor dado por el experto. Todo lo anterior se deja reflejado en un formulario, como el definido en la Tabla 6. Teléfono: (571)

16 Tabla 6. Formulario para Calificar Probabilidad de Ocurrencia, Segunda Ronda: CALIFICACION: PROBABILIDAD DE OCURRENCIA FORMULARIO SEGUNDA RONDA Fecha: Referencia Riesgos Xn Experto Primera Ronda Segunda Ronda Exeperto 1 Exeperto 2,,,,,,,,,, Exeperto n Media Mediana Moda Máximo Mínimo Desviación (vi) El valor final de la calificación de probabilidad de ocurrencia, para cada Riesgos, será la media obtenida en la segunda ronda. A continuación, se presenta un ejemplo de los resultados del trabajo con un grupo de 4 expertos y calificando la probabilidad de ocurrencia de 5 Riesgos. Teléfono: (571)

17 Tabla 7. Ejemplo: Resultados de la Calificación de la Probabilidad de Ocurrencia, después de las dos rondas de calificación R1 R2 R3 R4 R5 Experto 1ra. 2a. 1ra. 2a. 1ra. 2a. 1ra. 2a. 1ra. 2a. Ronda Ronda Ronda Ronda Ronda Ronda Ronda Ronda Ronda Ronda Exeperto 1 2 2, , ,75 Exeperto Exeperto 3 2 2, ,75 Exeperto Media 2,75 3,00 4,00 4,00 3,25 3,00 3,00 3,00 1,75 2,00 Mediana 2,50 2,88 4,00 4,00 3,50 3,00 3,00 3,00 1,50 1,75 Moda 2,00 2,75 4,00 4,00 4,00 3,00 3,00 3,00 1,00 1,75 Máximo 4,00 3,00 5,00 4,00 4,00 3,25 3,00 3,00 3,00 2,00 Mínimo 2,00 2,75 3,00 4,00 2,00 3,00 3,00 3,00 1,00 1,00 Desviación 0,96 0,14 0,82 0,00 0,96 0,13 0,00 0,00 0,96 0,43 Nota: Las medias finales, resaltadas en amarillo en la tabla anterior, están redondeadas al entero más cercano. 3. Medición del Impacto. Para definir el impacto de los Riesgos, el siguiente es el procedimiento a seguir: (i) Se carean los Riesgos, determinando impacto de riesgo por pares. Para ello se escogen dos, RIESGO k y RIESGO m, y se le solicita a los expertos que indiquen, por medio de una votación, cuál de ellos genera un impacto mayor para la entidad. (ii) Se diligencia la matriz de calificación. A continuación se muestra un ejemplo de la matriz que deberá ser diligenciada: Teléfono: (571)

18 Tabla Ejemplo: Matriz para calificar Impacto El ejemplo muestra el resultado de carear 5 riesgos con la opinión de 4 expertos. El cubo superior, muestra el resultado del careo entre R1 y R2. Indica que los 4 expertos votaron que el R1 tiene un mayor impacto que el R2. El resultado del careo entre R1 y R3, indica que 3 de los 4 expertos indicaron que el R1 tiene mayor impacto que el R3. La diagonal superior muestra la calificación total de cada uno de los 5 riesgos analizados. Cada valor de la diagonal es igual a la sumatoria obtenida por el Riesgos en cada uno de los 4 careos realizados. La calificación máxima para un Riesgos esta dada por la siguiente fórmula: Puntaje_Máximo = Número_Expertos * ( Num_Factores_Riesgo 1) En el ejemplo anterior, los puntajes obtenidos por los factores de riesgo R1, R2, R3, R4 y R5 fueron respectivamente: 12, 12, 5, 5 y 6. Teléfono: (571)

19 (iii) Se calculan los resultados de la calificación a través de una tabla de niveles de impacto. A continuación se muestra la tabla de los resultados, con base al ejemplo utilizado anteriormente: Tabla 9. Ejemplo: Tabla Pareto para definir la calificación del Impacto Calificación FACTORES DE RIESGO LA/FT Nivel Impacto Porcentaje > Hasta Riesgo Bajo (0-20%) 0,0 2, Riesgo Menor (16%-28%) 2,6 4,5 2 Riesgo Moderado (28%-56%) 4,5 9, Riesgo Alto (56%-80%) 9,0 12, Riesgo Extremo (80%-100%) 12,8 16,0 5 La tabla define los limites para cada uno de los cinco niveles de riesgo con base en el puntaje máximo posible, que es igual a 16. Por ejemplo, el nivel de Riesgo Alto se define para puntajes entre el 56% y el 80%. Para esos porcentajes, se define un rango de puntajes con los siguientes límites inferior y superior: Límite Inferior = (56% * 16) = 9,0 Límite Superior = (80% * 16) = 12,8 Los R1 y R2 obtuvieron un puntaje de 12, como esta dentro del rango anterior, se mapean a un nivel de impacto igual a Riesgo Alto. (iv) La calificación final del impacto será la establecida por la metodología anterior, y de acuerdo con los niveles establecidos en la tabla 2. A continuación se muestra la tabla de los resultados finales, con base en el ejemplo anterior: Teléfono: (571)

20 Tabla 10. Ejemplo: calificación del Impacto CALIFICACION FINAL: IMPACTO Riesgo Nivel Validación de la Medición. El grupo 3 (de Directivos), validará los resultados de la medición de la probabilidad de ocurrencia y el impacto, obtenidos en la Etapa 1. El siguiente es el procedimiento a seguir: (i) Se hace una última revisión y validación de los resultados obtenidos en la Etapa 1. (ii) Se diligencia la medición de los Riesgos en cada una de las 5 matrices de riesgo definidas. Continuando con el ejemplo, el siguiente seria la matriz de riesgo diligenciada: Tabla 11. Ejemplo: Matriz de Riesgo Operacional con la medición diligenciada Riesgo Prob. Ocurrencia Valoración Riesgo Impacto Riesgo Inherente R R R R R Promedio 11,0 Teléfono: (571)

21 El indicador de valor promedio del riesgo operacional inherente es de 11, lo cual significa un riesgo moderado (ver tabla 3). (iii) Se construye el Mapa de Riesgo Operacional Inherente. Siguiendo con el ejemplo, el siguiente seria el mapa de riesgo inherente: Tabla 12. Ejemplo: Mapa de Riesgo Inherente 5 4 R1 R2 Impacto 3 2 R3, R4, R Probabilidad Teléfono: (571)