PROGRAMA MARCO NORMA ISO GUÍA TÉCNICA Nº 53 OBJETIVO GUBERNAMENTAL DE AUDITORÍA Nº 3 AÑO 2012 PROCESO GESTIÓN DE RIESGOS ACTUALIZACIÓN Nº 53

Transcripción

1 PROGRAMA MARCO NORMA ISO GUÍA TÉCNICA Nº 53 OBJETIVO GUBERNAMENTAL DE AUDITORÍA Nº 3 AÑO 2012 PROCESO GESTIÓN DE RIESGOS ACTUALIZACIÓN GUÍA TÉCNICA Nº 53 ABRIL 2012

2 TABLA DE CONTENIDOS MATERIAS PÁGINA I.- ANTECEDENTES GENERALES 2 II.- RESUMEN DE REQUERIMIENTOS ESPECÍFICOS PARA EL OBJETIVO GUBERNAMENTAL N FASE ESTABLECIMIENTO DEL CONTEXTO Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv FASE IDENTIFICACIÓN DE RIESGOS Y OPORTUNIDADES Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv FASE ANÁLISIS DE RIESGOS Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv FASE EVALUACIÓN DE RIESGOS Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv FASE TRATAMIENTO DE RIESGOS Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv FASE MONITOREO Y REVISIÓN Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv FASE COMUNICACIÓN Y CONSULTAS Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv 8.- ESQUEMA DE TODAS LAS FASES DEL PROCESO DE GESTIÓN DE RIESGOS Y REQUERIMIENTOS ESPECÍFICOS PARA DAR CUMPLIMIENTO AL OBJETIVO GUBERNAMENTAL DE AUDITORÍA Nº Plazs de Entrega de Infrmes y Prducts Slicitads Frmats Exigids - Planillas u Otrs Frma de Enví 9 1

3 I.- ANTECEDENTES GENERALES Durante el añ 2011, se emitió la Guía Técnica N 53 en que se entregarn ls lineamients para dar cumplimient al Objetiv Gubernamental N 3 - añs 2011 a En este cntext, cabe señalar que la señalada Guía Técnica se mantiene cm dcument rectr del Prces de Gestión de Riesgs en el Estad, pr l cual td su cntenid teóric y cnceptual, debe ser utilizad en el desarrll del señalad Prces de Gestión de Riesgs y cm marc para el cumplimient del Objetiv Gubernamental N 3, para el añ Sin perjuici de l anterir y en razón del cambi de añ, resulta necesari también actualizar la citada Guía Técnica N 53, en relación a ls plazs que en ella se cntienen y que sn bligatris para que ls Servicis y entidades del Estad cumplan cn el enví, al Cnsej de Auditría Interna General de Gbiern, de ls antecedentes de respald del Prces de Gestión de Riesgs. II.- RESUMEN DE REQUERIMIENTOS ESPECÍFICOS PARA EL OBJETIVO GUBERNAMENTAL DE AUDITORÍA N A cntinuación, se resumen las actividades que deben ejecutar ls Servicis, para cada fase del Prces de Gestión de Riesgs, cn la finalidad de dar cumplimient al Objetiv Gubernamental Nº FASE ESTABLECIMIENTO DEL CONTEXTO Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv Plítica y Filsfía de Riesgs: Frmular y aprbar la Plítica y Filsfía de Gestión de Riesgs de la rganización, en anex Nº 1 de la Guía Técnica N 53 se presenta un ejempl. Esta Plítica debe ser aprbada pr reslución de la Jefatura Superir del Servici. La reslución que frmula y aprueba la plítica de riesgs debe remitirse al Cnsej de Auditría antes del Enfque de Análisis: Para efects del cumplimient de este Objetiv Gubernamental, se tendrá cn un enfque de prcess de negci y prcess de sprte. Cbertura del Cntext: La cbertura en la aplicación del enfque será el levantamient a nivel de prcess de tds ls relacinads al negci y sprte del Servici entidad gubernamental (100%). Definir rles y Respnsables: La Dirección debe nmbrar respnsables del prces de Gestión de Riesgs y definir sus funcines (Al Auditr Intern del Servici n se le debe asignar esa respnsabilidad). En anex Nº 2 de la Guía Técnica N 53, se presenta un ejempl ilustrativ. 2

4 El Servici debe emitir una reslución que asigne rles y respnsabilidades examinar la reslución de rles aprbada anterirmente. Debe remitirse la reslución que define ls rles y respnsabilidades al Cnsej de Auditría antes del Reslución de aprbación mdificación de Plítica de Riesgs, remitida al Cnsej de Auditría al Reslución de aprbación mdificación de rles y respnsabilidades remitida al Cnsej de Auditría la Reslución al FASE IDENTIFICACIÓN DE RIESGOS Y OPORTUNIDADES Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv Esta fase se cumple cn el levantamient de infrmación a nivel de ls prcess de negci y sprte (100%), su desagregación en subprcess, etapas y actividades, para finalmente identificar ls riesgs que afectan ls bjetivs de las etapas de cada prces. Para el Objetiv Gubernamental Nº , se debe hacer el levantamient de infrmación de tds (100%) ls prcess de negci y sprte, su desagregación en subprcess, etapas y actividades, para finalmente identificar ls riesgs que afectan ls bjetivs de las etapas de cada prces y ls cntrles asciads. En esta fase crrespnde: Levantar ls prcess y desagregarls en subprcess, etapas y bjetivs. Clasificar ls prcess en prcess transversales, de acuerd a la presente Guía Técnica. Es necesari pnderar prcess y subprcess, según su relevancia en el Servici y para el prces respectivamente. Identificar ls riesgs y prtunidades para el Servici entidad. Se deben clasificar ls riesgs pr rigen y tiplgía. Se deben identificar ls cntrles y su diseñ para valrar su efectividad. Identificación de prcess y riesgs relativs al Gbiern Electrónic. El Servici deberá revisar y mejrar la identificación de tds ls riesgs relacinads cn prcess de Gbiern Electrónic y cntrles que existan para ells (revisar sugerencias en anex Nº 8 de la Guía Técnica 53). Identificación de prtunidades a nivel de prcess de negci. En este tema deberán individualizarse las prtunidades que se identifiquen pr cada prces de negci del Servici (n en ls de sprte), en base a nuevs lineamients de 3

5 Gbiern, cnsiderand la asignación de respnsabilidades y mdificacines presupuestarias que afecten al Servici. Td l que se desarrlla en esta fase, deberá ser insum para la fase de análisis de riesgs y para la cnfección de la Matriz de Riesgs del Servici entidad. Ls respalds del levantamient de infrmación de la fase de identificación de riesgs y cntrles n deben remitirse al Cnsej de Auditría, sin embarg, deben permanecer en el Servici entidad a carg del Encargad Crdinadr de Riesgs u tr funcinari respnsable, cn la finalidad de que pueda ser revisad aleatriamente pr el Cnsej de Auditría. 3.- FASE ANÁLISIS DE RIESGOS Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv Esta fase se cumple cn la cnstrucción de la Matriz de Riesgs del Servici entidad actualizada, incrprand ls cncepts de tiplgía de riesgs, prcess transversales y de pnderación estratégica pr prces y subprces, que cntiene la valuación de ls riesgs, cntrles y la determinación del nivel de expsición al riesg en base a las categrías definidas en las escalas de clasificación definidas pr el Cnsej de Auditría. Para cumplir el Objetiv Gubernamental Nº , debe actualizarse la Matriz de Riesgs del Servici entidad, incrprand tdas las mejras y ajustes derivads de la revisión de la Matriz de añs anterires y, especialmente, incrprand tdas las bservacines y sugerencias del Auditr Intern en sus diversas actividades de aseguramient. En esta fase crrespnde valrar ls riesgs en cnsideración a su prbabilidad e impact, bteniend su nivel de severidad. Pr tra parte también será necesari valrar el diseñ del cntrl en cuant a su efectividad para mitigar el riesg al cual se ascia. En esta fase se debe elabrar la Matriz de Riesgs del Servici entidad actualizada, según frmat dispuest en anex Nº 11 de la Guía Técnica N 53/2011. Ls respalds del levantamient de infrmación de la fase de análisis de riesgs y cntrles n se remitirán al Cnsej de Auditría, sin embarg, deben permanecer en el Servici entidad a carg del Encargad Crdinadr de Riesgs u tr funcinari respnsable, cn la finalidad de que pueda ser revisad aleatriamente pr el Cnsej de Auditría. Cm prduct de la Matriz de Riesgs del Servici entidad, debe remitirse al Cnsej de Auditría, en frma semestral el reprte de la Matriz de Riesgs Abreviada, firmada y aprbada pr el Jefe de Servici, cnsiderand ls riesgs crítics (al mens 20) definids pr dicha jefatura el Cmité de Riesgs (aplicand cuadr N 11 de la Guía Técnica N 53/2011). La Matriz crrespndiente al primer semestre deberá remitirse antes del 4

6 y la del segund semestre, deberá remitirse al Esta Matriz de Riesgs deberá cntener ls riesgs crítics del Servici entidad (al mens 20), dividids en 50% financiers y 50% estratégics, ls que, a juici de la jefatura del Servici, afecten en frma clave la entidad que dirige y que en frma especial deben ser tratads y mnitreads permanentemente. En el cas de n pder alcanzar esta prprción en ls riesgs, esta situación deberá justificarse dand a cncer las causales, tales cm la naturaleza del Servici, el tip de actividades que desarrlla, etc. En las mismas fechas señaladas en el párraf anterir, deberá remitirse cpia del reprte de la Matriz Abreviada Simplificada de Riesgs al Sr. Ministr de la Cartera. 4.- FASE EVALUACIÓN DE RIESGOS Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv La rganización debe cnstruir un ranking de riesgs en base a prcess cn mayr expsición al riesg pnderad y, dentr de ésts, pr subprcess, también pr expsición al riesg pnderad, de acuerd al prcedimient dispuest en ls cuadrs Nº 12 y 13 de la Guía Técnica N 53/11. En base al análisis de ls rankings, deben definirse las priridades para tratar ls riesgs para mantener el nivel de expsición al riesg dentr del nivel del riesg aceptad. Para el añ 2012, la rganización debe cnstruir un ranking de riesgs en base a prcess cn mayr expsición al riesg pnderad y, dentr de ésts, pr subprcess, también pr expsición al riesg pnderad, de acuerd al prcedimient dispuest en ls cuadrs Nº 12 y 13 de la Guía Técnica N 53/11. Ranking de riesgs pr prcess de acuerd al frmat definid en el Cuadr Nº 12 de la Guía Técnica N 53/11. Ranking de riesgs pr subprcess de acuerd al frmat definid en el Cuadr Nº 13 de la Guía Técnica N 53/11. Ls respalds de la fase de evaluación de riesgs, que implica el ranking pr prces y subprces, n deben ser remitids al Cnsej de Auditría, sin embarg, deben permanecer en el Servici entidad a carg del Encargad Crdinadr de Riesgs u tr funcinari respnsable, cn la finalidad de que pueda ser revisad aleatriamente pr el Cnsej de Auditría. 5

7 5. FASE TRATAMIENTO DE RIESGOS Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv Una vez definids, al mens, ls 20 riesgs crítics que l afectan, el Servici deberá cmprmeter estrategias para tratarls señaland las medidas que se adptarán para la gestión de ess riesgs. Para el Objetiv Gubernamental de Auditría N , el Servici deberá elabrar semestralmente un Plan de Tratamient sbre ls riesgs crítics definids pr el Jefe de Servici (al mens 20), sin perjuici que además deba adicinar trs riesgs emanads de ls rankings pr prces subprces. El Plan de Tratamient debe cntener estrategias, accines, indicadres y metas que se rienten a btener que el riesg a tratar sea efectivamente mitigad, a través del manej de su prbabilidad e impact mediante el mejramient de ls cntrles asciads. Plan de Tratamient de Riesgs Semestral. El Plan de Tratamient de Riesgs, crrespndiente al primer semestre 2012, debe presentarse al Cnsej de Auditría, antes del 16 de juli de 2012, cnsiderand ls riesgs crítics identificads pr el Servici entidad (al mens 20). El Plan de tratamient, crrespndiente al segund semestre 2012, debe cnsiderar ls riesgs crítics identificads pr el Servici entidad (al mens 20) al 28 de diciembre del 2012, utilizand el frmat definid en el cuadr Nº 16 de la Guía Técnica N 53/ FASE MONITOREO Y REVISIÓN Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv Deben establecerse estructuras de reprtes y mantener su registr. Est implica btener infrmación relevante, en frma prtuna y periódica sbre el estad de ls riesgs en cualquier etapa del prces cn la finalidad de reprtar a la dirección prtunamente. Para el cumplimient del Objetiv Gubernamental Nº se debe realizar el mnitre al Plan de Tratamient, de acuerd a ls plazs establecids en el punt b siguiente. b.1.- Plan de Tratamient presentad al , (segund semestre 2011), debe enviarse el reprte del mnitre y revisión el y se debe utilizar el cuadr Nº 17 de la Guía Técnica N 53/11. 6

8 b.2.- Plan de Tratamient presentad al , (primer semestre 2012), debe enviarse el reprte del mnitre y revisión el y se debe utilizar el cuadr Nº 17 de la Guía Técnica N 53/11. b.3.- Plan de Tratamient semestral presentad al , (segund semestre 2012), debe enviarse el reprte del mnitre y revisión el y se debe utilizar el cuadr Nº 17 de la Guía Técnica N 53/ FASE COMUNICACIÓN Y CONSULTAS Cnsideracines y Prducts Requerids para dar Cumplimient al Objetiv En relación cn esta fase se slicitará la entrega de una prpuesta de cmunicación y cnsulta el análisis y mejramient de la prpuesta de cmunicación y cnsulta entregada anterirmente al Cnsej de Auditría. Además deberá desarrllarse la prpuesta de reprte de la infrmación de la Matriz de Riesgs al Jefe de Servici. Elabración de una prpuesta de sistema de cmunicación y cnsulta, actualización y mejra. Este sistema de cmunicación y cnsulta, debe cntener a l mens ls siguientes antecedentes: Qué tip de infrmación se espera recpilar en el prces. Cuánd se recgería la infrmación (peridicidad). Qué tip de instruments recgerán esa infrmación. Qué tip de reprtes pdría tener el prces. Qué tip de análisis pdrían cntener ls reprtes. Qué infrmación se cntendría en instruments, cn que cbertura y amplitud. Rles y respnsables de la calidad y cnfiabilidad de la infrmación. Sistemas para manejar la infrmación de Gestión de Riesgs al interir del Servici, sprtes y sistemas. Niveles rganizacinales y persnas a quienes se cmunicará la infrmación, diferencia de cmunicación pr acces. Cóm se realizará la cmunicación, identificar ls sprtes y tecnlgías requeridas. Cuánd se realizará la cmunicación de la infrmación, indicar peridicidad. Cóm y quiénes tendrán acces a la cmunicación, señalar ls criteris para definir perfiles pr tip de infrmación. Cóm se reclectarán pinines que genere la cmunicación, espacis de participación, frma cm se hará efectiva la participación. Señalar rles y respnsables de la cmunicación y la participación. Pryect de Reprte de la Matriz de Riesgs al Jefe de Servici de acuerd a l definid en el cuadr N 18 de la Guía Técnica N 53/11. 7

9 Ls respalds de la fase de cmunicación y cnsulta, que implican las prpuestas de cóm cmunicar y definir la participación de ls estaments interns y la frma cóm se reprtará la infrmación, n deben ser remitids al Cnsej de Auditría, per si mantenerse en el Servici entidad a carg del Encargad Crdinadr de Riesgs u tr funcinari respnsable, cn la finalidad de que pueda ser revisad aleatriamente pr el Cnsej de Auditría. 8.- ESQUEMA DE TODAS LAS FASES DEL PROCESO DE GESTIÓN DE RIESGOS Y REQUERIMIENTOS ESPECÍFICOS PARA DAR CUMPLIMIENTO AL OBJETIVO GUBERNAMENTAL DE AUDITORÍA Nº Fase Establecimient cntext Reslución de Plítica de Riesgs y de Rles y Respnsabilidades. Entrega al Fase Identificación de Riesgs y Oprtunidades Levantamient de 100% de ls prcess del Servici y sus riesgs. Identificación de riesgs según tiplgía. Identificación prtunidades a nivel de prcess. Fase Análisis de Riesg Fase Evaluación de Riesgs Fase Tratamient de Riesgs Matriz de Riesgs del Servici entidad aplicand: - Clasificación en prcess transversales. - Pnderación pr prces y subprces. - Tiplgía de riesgs. - Justificación de pnderación estratégica, etc. Ranking pr prces y pr subprces. Plan Semestral de Tratamient de Riesgs, cn medidas, plazs, respnsables e indicadres de lgr. 1 Semestre Entrega al Matriz Semestral de Riesgs Abreviada (al mens 20 riesgs) 50% financiers y 50% estratégics. 2 Semestre Entrega al Semestre Entrega al Semestre Entrega al Fase Mnitre y Revisión Fase Cmunicación y Cnsulta Reprte mnitre para cmprmiss cn fecha de revisión el añ 2012 Pryect de reprte de análisis de la Matriz de Riesgs. Reprte Plan Reprte 1 Plan Reprte 2 Plan

10 8.1.- Plazs de Entrega de Infrmes y Prducts Slicitads Cm se bserva del esquema precedente, para el cumplimient del Objetiv Gubernamental N , se realizarán, 8 entregas: Plítica de riesgs y definición de rles y respnsabilidades: 31 de may de Matriz de Riesgs Abreviada: que es una parte del ttal y que cntiene al mens 20 riesgs crítics del Servici entidad definids pr el Jefe de Servici y/ Cmité de Riesgs. Se remite semestralmente. El primer semestre al 16 de juli 2012 y en el segund semestre al 28 de diciembre de Plan de Tratamient de Riesgs 2012, cn al mens ls 20 riesgs crítics identificads en Matriz de Riesgs Abreviada. Se remite semestralmente. El primer semestre al 16 de juli 2012 y en el segund semestre al 28 de diciembre de Infrme mnitre del Plan de Tratamient de Riesgs: - A) Mnitre Plan de Tratamient Segund Semestre 2011: 14 de juni B) Mnitre Plan de Tratamient Primer Semestre 2012: 28 de diciembre C) Mnitre Plan de Tratamient Segund Semestre 2012: 31 de may Frmats Exigids - Planillas u Otrs Ls frmats exigids para enví de la infrmación, sn aquells que el dcument cntiene, est es: Frmat Descripción Plaz entrega Matriz de Riesgs Abreviada (parte Determinación y aprbación de al mens 20 riesgs claves de Matriz en pr el Jefe de Servici y/ Cmité de Riesgs. Cuadr 11). (1 ) (2 ) Cuadr Nº 16 Plan Tratamient de Riesgs. (1 ) (2 ) Mnitre y Seguimient Plan Tratamient 2 Semestre Cuadr Nº 17 Mnitre y Seguimient Plan Tratamient 1 Semestre Mnitre y Seguimient Plan Tratamient 2 Semestre La Matriz de Riesgs Abreviada del Servici debe trabajarse en la planilla Excel entregada pr el Cnsej de Auditría línea a línea, ell implica que deberán repetirse ls cncepts y n utilizarse celdas cmbinadas. Esta planilla una vez cmpleta deberá validarse en la aplicación infrmática que para tal efect dispnga el Cnsej de Auditría Frma de Enví La Matriz de Riesgs del Servici entidad validada a través de la aplicación infrmática dispuesta pr el Cnsej de Auditría, deberá remitirse a este rganism a través de un crre electrónic cread al efect, u tra frma que el Cnsej de Auditría dispnga. Ls demás cuadrs deben remitirse en ls misms frmats y a través de ls misms medis utilizads ls añs anterires. 9