Enterprise Risk Management (ERM) Enero 2011
1. Recomendaciones Generales. 2. Definiciones. 3. Como surgió este enfoque. 4. Requerimientos. 5. El tema no es nuevo. 6. COSO II refuerza el tema de riesgos y lo establece como prioridad. 7. Relevancia. 8. La Administración debe ligar el Gobierno Corporativo a las Actividades de Control conforme a las mejores practicas. 9. Establecer un Programa de Cumplimiento e Infraestructura. 10. Referencias: Código de Mejores Practicas. 11. Como se implementa un modelo de administración de riesgos. 12. Que se obtiene: Universo de Riesgos. 13. Factores clave de éxito en el modelo de ERM. 14. Compartiendo un caso de éxito en el modelo de ERM 15. Caso Ejemplo SA 16. Conclusiones.
Recomendaciones Generales Pensamiento dispuesto al cambio Piense como principiante, no como experto. El error más grande; no aprender de los errores. Aprovechemos que tenemos un grupo talentoso de personas para hacer un gran equipo en relación al tema de riesgos. En materia de riesgos no debe de constituirse equipos para tareas que los individuos puedan cumplir mejor. Tienda puentes entre los equipos. Trabajar demasiado no funciona.
Deficinición Es un proceso efectuado por la Junta Directiva o Consejo de Administración, la Alta Gerencia y otros miembros del personal, aplicado en el establecimiento de la estrategia y a lo largo del ente empresarial, diseñado para identificar eventos potenciales que pueden afectarla y administrar riesgos de acuerdo a su apetito de riesgo, de modo de proveer seguridad razonable en cuanto al logro de los objetivos de la organización empresarial. Es un proyecto de alto nivel que agrega valor ya que en materia de riesgos le pide al consejo ver que la organización tenga en vigor un proceso efectivo, en funcionamiento, para identificar el riesgo, medir su potencial impacto contra un juego variado de supuestos y hacer lo necesario para, proactivamente, manejarlo. El consejo debe también asegurarse de que se le informe de los riesgos más importantes, y determinar si está tomando la acción correcta para cada uno de estos
Como surgió este enfoque Problemas de credibilidad en el 2002 originaron la ley Sarbanes Oxley PCAOB PCAOB es operacional Registro de Firmas de Auditoría Firmas de Auditoría SEC instala consejo a) pre-aprobación de servicios b) servicios prohibidos (no-auditoría) c) rotación del socio cada cinco años d) información al Comité de Auditoría e) conflictos de interés ( cooling off de un año) Implementación de reglas (una vez que el PCAOB es operacional; vgr. informe de control interno)
Requerimientos Sección 302 Resumen de los Requerimientos Requiere que CEO y CFO certifiquen trimestralmente y anualmente que ellos: Son responsables por los controles y procedimientos de revelación Han diseñado controles para asegurar que conocen la información material Han evaluado la eficacia de los controles de revelación Han presentado sus conclusiones en la presentación de la información (filing) Han revelado al Comité de Auditoría y auditores deficiencias significativas de control y actos de fraude Han indicado en la presentación de la información de cambios significativos en el control interno Introduce el concepto de controles y procedimientos de revelación ( Controles de revelación ) Amplía el énfasis actual de integridad de controles relacionados con el reporte financiero Ejemplos de revelaciones no financieras incluyen la firma de un contrato significativo, terminación de una relación estratégica, y procedimientos legales Propuestas SEC - Reglas Expande la certificación a controles de revelación y controles internos y procedimientos para reporte financiero ( controles internos sobre reporte financiero ) Fecha de evaluación de cambios al final del período de reporte - 180 días después de la presentación a la SEC
Requerimientos Sección 404 Resumen de los Requerimientos Requiere que anualmente la Administración: Declare su responsibilidad por establecer y mantener una estructura de control interno adecuada y procedimientos para reporte financiero Conducir una evaluación de la eficacia de los controles internos y procedimientos para reporte financiero de la Compañía Requiere al auditor independiente que: Atestigüe la evaluación de la Administración (requiere un marco de referencia como COSO) Propuestas SEC - Reglas y otras consideraciones Reglas propuestas entrarán en vigor para años terminados en o después de septiembre 15, 2003 AICPA ha solicitado a la SEC que extienda la fecha de entrada en vigor a años terminados en o después de diciembre 15, 2003
El tema no es nuevo 4. Finalmente en el año 2005 se revisan los postulados originales de COSO, principalmente para fortalecer con mayor precisión el tema de riesgos. Se aumenta un objetivo y tres componentes referentes a riesgos 3. En 1992, se emite el informe preparado por el Committee of Sponsoring Organizations of the Treadway Commission (COSO) como resultado de las recomendaciones señaladas por la Comisión Treadway. Establece una definición común de control interno. Define los objetivos de control interno Define los componentes Funciones y responsabilidades Lo que se debe hacer 1. En 1985, forma la Comisión: National Commission on Fraudulent Financial Reporting (Treadway), patrocinada por la American Accounting Association, American Institute of CPA, Financial Executive Institute, Institute of Internal Auditors y el Institute of Management Accountants, entre otros. 2. En 1987, fue publicado el informe de ésta Comisión que contenía una serie de recomendaciones en relación con el control interno de cualquier empresa u organización Resumen del sistema de reporte financiero y fraude Recomendaciones para: Compañías públicas Contadores públicos Independientes La SEC y otros para mejorar la regulación y el entorno legal La educación 11 apéndices que incluyen asuntos referentes a mejores prácticas de Comités de Auditoría, reportes de la administración, auditoría interna y fraude, entre otros.
COSO II refuerza el tema de riesgos y lo establece como prioridad. Unidad A Unidad B Actividad 1 Actividad 2 COSO I: Control Interno (Marco Conceptual Integrado) Operaciones Monitoreo Reporte Información y Comunicación Actividades de Control Evaluación de Riesgos Ambiente de Control Cumplimiento COSO II - ERM: Marco de Gestión Integral de Riesgo (Enterprise Risk Management) Vinculación de Objetivos
Relevancia Enfoque que debe seguirse durante todo proceso y define una clasificación homogénea de los objetivos organizacionales que hay que determinar y los componentes que hay que tratar y evaluar para obtener una mejora en la eficacia de la gestión de riesgos en cada una de las divisiones o unidades de las entidades y su relación con los objetivos de las mismas. Marca las pautas de actuación y los roles y las responsabilidades de cada uno de los miembros de la organización, desde el consejero delegado hasta los responsables de cada unidad de negocio, determinando un marco de referencia común para la evaluación y mejora de la gestión de riesgos corporativos. Señala la base para el establecimiento de la estrategia y los objetivos de las organizaciones, considerando para ello factores como la incertidumbre, los riesgos y las oportunidades asociadas, el nivel de riesgo aceptado, las alternativas de respuesta a los riesgos, las actividades de control, etc.
La Administración debe ligar el Gobierno Corporativo a las Actividades de Control conforme a las mejores practicas. La eficacia de las responsabilidades de vigilancia del Consejo y las certificaciones de los ejecutivos sobre la estructura de control interno está típicamente comprometida por: Ligas entre las actividades de gobierno corporativo y las de control. Un marco de referencia de control documentado. Estructura de control interno existente que cubra controles de revelación. Visión sobre la eficacia de actividades de control. Gobierno Vinculo ausente: Programa de Cumplimiento & Infraestructura Actividades de Control Necesidad de un programa de cumplimiento e infraestructura, una medida y monitoreo de eficacia y alineación entre gobierno corporativo y actividades de control de unidades/funcionales del negocio que provea una base para la certificación y afirmación de la administración. El riesgo se encuentra directamente relacionado con las actividades de control
Establecer un Programa de Cumplimiento e Infraestructura Un proceso de cinco pasos: 1. Iniciar con el fin en mente. 2. Comprometerse y organizarse. 3. Seleccionar un marco de referencia adecuado de control interno. 4. Dar autoridad al comité de revelación. 5. Establecer un programa de control interno. Gobierno Vinculo ausente: Programa de Cumplimiento & Infraestructura Actividades de Control
Referencias: Código de Mejores Practicas Principios Básicos de buen sistema de gobierno corporativo : 1. El trato igualitario y la protección de los intereses de todos los accionistas. 2. El reconocimiento de la existencia de los terceros interesados en el buen desempeño, la estabilidad y la permanencia en el tiempo de la sociedad. 3. La emisión y revelación responsable de la información, así como la transparencia en la administración. 4. El aseguramiento de que exista la visión estratégica de la sociedad, así como la vigilancia y el efectivo desempeño de la administración. 5. El ejercicio de la responsabilidad fiduciaria del Consejo de Administración. 6. La identificación, la administración, el control y la revelación de los riesgos a que está sujeta la sociedad. 7. La declaración de principios éticos y de responsabilidad social empresarial. 8. La prevención de operaciones ilícitas y conflictos de interés. 9. La revelación de hechos indebidos y la protección a los informantes. 10. El cumplimiento de las distintas regulaciones a que esté sujeta la sociedad. 11. El dar certidumbre y confianza a los inversionistas y terceros interesados sobre la conducción honesta y responsable de los negocios de la sociedad.
Referencias: Código de Mejores Practicas Funciones del Consejo de Administración en relación al Riesgo Corporativo según Código de Mejores Practicas: Práctica 7. Se recomienda que, además de las obligaciones y facultades que prevén las leyes específicas para cada sociedad, dentro de las funciones del Consejo de Administración VII. Verificar que se observen los mecanismos establecidos para el control de los riesgos a que está sujeta la sociedad. X. Asegurar el establecimiento de mecanismos para la identificación, análisis, administración, control y adecuada revelación de los riesgos. Funciones de Auditoria en relación al Riesgo corporativo según Código de Mejores Practicas: Práctica 23. VII. Verificar que se observen los mecanismos establecidos para el control de los riesgos a que está sujeta la sociedad.
Referencias: Código de Mejores Practicas Funciones de Finanzas y Planeación en relación al Riesgo corporativo según Código de Mejores Practicas: El Comité considera que la estabilidad y la permanencia en el tiempo de la sociedad son elementos básicos para la conservación del patrimonio de los accionistas y el beneficio de los terceros interesados. Por ello es importante que exista un sistema de planeación estratégica que contemple la visión a largo plazo de la sociedad, así como mecanismos de identificación, administración, control y revelación de los riesgos a que está sujeta la sociedad. Práctica 45. V. Evaluar los mecanismos que presente la Dirección General para la identificación, análisis, administración y control de los riesgos a que esté sujeta la sociedad y dar su opinión al Consejo de Administración. VI. Evaluar los criterios que presente el Director General para la revelación de los riesgos a que está sujeta la sociedad y dar su opinión al Consejo de Administración.
Referencias: Código de Mejores Practicas Práctica 49. Se sugiere que se auxilie al Consejo de Administración en la revisión de las premisas de su sistema de control, verificando su alineación con el plan estratégico. Los riesgos a que está sujeta la sociedad juegan un papel fundamental en su estabilidad y permanencia, a tal grado que pueden poner en peligro la inversión de los accionistas y el beneficio de los terceros interesados, por lo que su identificación, evaluación, administración y control son muy importantes, al igual que los mecanismos para revelar sus efectos. Es necesario que el Consejo de Administración esté informado permanentemente por el Director General sobre los riesgos que se han identificado, el impacto cuantitativo y cualitativo que pueden tener en la sociedad, y las medidas que se están tomando para evitarlos o en su caso, administrarlos.
Referencias: Código de Mejores Practicas Práctica 50. Se recomienda que se auxilie al Consejo de Administración en la evaluación de los mecanismos para la identificación, análisis, administración y control de los riesgos a los que esté sujeta la sociedad, así como de los criterios para su revelación, que le presente a su aprobación la Dirección General. Práctica 51. Se recomienda que el Director General presente al Consejo de Administración, en cada una de las sesiones del año, un informe sobre la situación que guarda cada uno de los riesgos identificados.
Como se implementa un modelo de administración de riesgos Plan Estratégico Estrategias Operaciones y Unidades de Negocio Funciones de Soporte Fun ciones de Riesgo Coprorativo ENFOQUE COORDINADO DE RIESGOS Objetivos de Empresa Riesgos Enfoque Cobertura Monitoreo Mercado Estratégicos Evaluar Traspasos Planeación y Finanzas Auditoría Interna Dirección Ejecutiva Captación Servicios a Autoridades Otros servicios Plataforma tecnológica (PT) Operacionales Financieros Cumplimiento Mejorar Consejo de Administración Monitorear Nuevos productos Tecnología y Operación Centros de servicios Canales de Atención Cartera Innovación y Calidad Jurídico Servicios a Clientes Comunicación Otras de Apoyo Secretaria General Contraloría Interna Administrac ión de Riesgos Comité de Auditoría Comité de Riesgos Logro de los objetivos de Empresa Gobierno y Organización Estrategia de Administració n de Riesgos Reporte y Comunicación Herramientas y Tecnología Cultura y Capacitación Alineación con los objetivos de Empresa Empresa tendrá una seguridad razonable de lograr sus objetivos Fuente: E&Y
Que se obtiene: Universo de Riesgos Estratégicos Operacionales Cumplimiento Financieros
Factores clave de éxito en el modelo de ERM
Compartiendo un caso de éxito en el modelo de ERM Datos interesantes sobre los sistemas de riesgos y de control interno del Grupo Santander: Fueron documentados mas de 8,000 procesos y subprocesos. Se identificaron 18,000 eventos de riesgos y 28,000 controles para prevenir los riesgos y mitigar sus efectos. El proceso se inició en 2002 y concluyó en 2007. Se realizaron cambios organizacionales y de funciones y el concepto de control interno cambió por riesgos. El Presidente de la Comisión de Riesgos informó de los distintos tipos de riesgos a los que está sujeta la actividad del grupo. Como procedimiento de trabajo el área de auditoria interna elabora todos los años su Plan Anual en función de su matriz de riesgos. Por todo ello, la estimación de los recursos internos y externos dedicados en el Grupo para la realización de este proyecto está por encima de las 550.000 horas. El Plan de Trabajo de auditoria abordo los siguientes riesgos: Riesgos de Actividades, incluyendo los riesgos contable de mercado y el riesgo de crédito. Riesgos de Cumplimiento, incluyendo el riesgo operativo, los riesgos tecnológicos y los riesgos de blanqueo y regulatorio.
Compartiendo un caso de éxito en el modelo de ERM El Modelo Corporativo del Grupo Santander se ha extendido e implantado en sus Sociedades más significativas, aplicando para ello una metodología común y homogeneizando los procedimientos de identificación de los procesos, riesgos y controles, basándose en el Enterprise Risk Management Integrated Framework. Como resultado final de este proceso, y una vez adaptada la documentación del MCI en su totalidad, así como probado lo adecuado de su diseño y su eficacia, validado su funcionamiento por la Auditoría Interna del Grupo y con la revisión del Auditor de Cuentas, la Dirección del Grupo Santander ha concluido que al 31 de diciembre de 2006 el Modelo de Control Interno del Grupo cubre de manera efectiva los riesgos existentes en la generación de la información financiera consolidada y mitiga riesgos operacionales y de cumplimiento asociados a la misma. El esquema general del Modelo corporativo es claro y consistente, al asignar a la Dirección responsabilidades concretas sobre la estructura y eficacia de los procesos relacionados directa e indirectamente con la elaboración de la información financiera, así como los controles que sean necesarios para mitigar los riesgos inherentes a dichos procesos.
Compartiendo un caso de éxito en el modelo de ERM Una de las características más destacadas del Modelo del Grupo Santander, y que define el alcance global de su diseño y la integridad de su estructura, es la inclusión no sólo de actividades vinculadas a la generación de la información financiera consolidada, aunque sea este su principal objetivo, sino también de aquellos otros procedimientos desarrollados en las áreas de soporte de cada entidad, que sin tener repercusión directa en contabilidad, sí pueden ocasionar posibles pérdidas o contingencias en caso de incidencias, errores, incumplimiento de la normativa interna o fraudes. (Riesgos) Otra singularidad del Modelo de Control Interno es la completa documentación que acompaña a los procesos, ya que recoge descripciones detalladas de transacciones desde su inicio hasta el registro a contabilidad, pasando por la autorización, registro y procesamiento de las mismas. Las Sociedades del Grupo han documentado sus actividades con el objetivo de cumplir con los siguientes requisitos: Identificar los procesos críticos vinculados de forma directa e indirecta a la generación de la información financiera. Identificar los riesgos, de acuerdo a la clasificación de Basilea, inherentes a los procesos que pudieran generar errores materiales Definir los controles establecidos para mitigar dichos riesgos
Compartiendo un caso de éxito en el modelo de ERM Dado el ámbito corporativo que contempla el Modelo de Control Interno, en el que se han incluido más de cien sociedades del Grupo quedando incorporadas todo tipo de actividades y negocios, la Dirección del Grupo ha querido aprovechar el esfuerzo realizado para mejorar la calidad de los procesos ya existentes y fortalecer los mecanismos de generación de información financiera del Grupo Santander. Toda la documentación del Modelo correspondiente a cada una de las sociedades del Grupo se encuentra recogida en una herramienta tecnológica corporativa, desarrollada íntegramente por el Área de Tecnología del Grupo, en la que hay registrados más de 3.200 empleados, usuarios con diferentes niveles de responsabilidades en el esquema de control interno del Grupo. La información del sistema se actualiza en tiempo real por el propio usuario, reflejando cualquier cambio en los procesos, riesgos y controles y se encuentra disponible para ser revisada, previa autorización y habilitación, por nuestros auditores externos o nuestros organismos supervisores. Fuente: Informe Anual de Gestión 2006
Caso Ejemplo SA
Conclusiones Las empresas exitosas han demostrado que una implementación correcta brinda una buena guía para atención del consejo. Lo han logrado con un enfoque conceptualmente directo de alineamiento de su estrategia, objetivos de negocios, riesgos, acciones y controles. Empezando con el plan estratégico corporativo, la administración identifica, por iniciativa estratégica o por segmento de negocios, los principales objetivos que de alcanzarse implementaran con éxito la estrategia y lograran los resultados operacionales y financieros buscados. La administración mira entonces los riesgos relacionados con esos objetivos. Esto es, identifica las barreras, o las cosas que podrían ir mal, y los factores críticos de éxito que deben ir bien, para prever la mayor probabilidad de éxito. A continuación, la administración decide que iniciativas, programas u otras acciones son necesarias para tratar riesgos de una manera positiva, proactiva. Se identifican o diseñan controles para asegurar que las acciones son de hecho realizadas como se planearon. El proceso entero se monitorea en el tiempo, promoviendo su logro exitoso.
Conclusiones Retos: Prácticamente todos tienen una diferente definición interna de riesgo, y términos como riesgo operacional, riesgo de cumplimiento y riesgo de información financiera tienen que ser entendidos por todos. Abreviar el proceso, enfocándose primero al riesgo. Una trampa común, esto resulta en atacar muchos problemas que tienen poco que ver con los objetivos estratégicos reales de la compañía. Poner la responsabilidad de implementación en un nivel organizacional demasiado bajo. Para que sea realmente efectiva, la administración senior debe apoyar activamente. No eliminar programas no alineados con los objetivos identificados. Las compañías siguen ocupadas en actividades e iniciativas diseñadas para metas hace tiempo obsoletas. La efectiva aplicación de esta metodología identificara y eliminara el trabajo innecesario Tomar el enfoque de fotografía instantánea sin seguir con la implementación de una arquitectura permanente de manejo de riesgo en la organización. Ligar los objetivos con los riesgos actuales es un buen principio, pero es necesario establecer mecanismos para identificar los riesgos que surgirán al futuro y que podrán afectar los negocios.