Módulo 6 Mejores prácticas y estándares internacionales en gestión de riesgos y control interno

1. Gestión de Riesgo Tecnológico - UDP Módulo 6Mejores prácticas y estándares internacionales en gestión de riesgos y control interno Presentado por : Gloria Peña y Lillo Noviembre 2005 UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

2. BASILEA II LEY SOX ITIL NUEVAS NORMATIVAS o Leyes UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

3. BASILEA - SOX Presentado por : Gloria Peña y Lillo Noviembre 2005 UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

4. 1. Basilea II Presentado por : Gloria Peña y Lillo Noviembre 2005 UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

5. ¿Qué es el Comité de Basilea? • Comité de regulaciones bancarias y prácticas de supervisión. • Creado a fines de 1974 por los representantes de los bancos centrales del G-10 (Bélgica, Canadá, Francia, Alemania, Italia, Japón, Holanda, Suiza, Suecia, Reino Unido y USA). • Su primer objetivo era regular los problemas en las monedas internacionales y mercados bancarios. • Primera reunión en febrero 1975 y desde entonces se reúnen 3 o 4 veces en el año. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

6. Acuerdo de Capital de 1988Punto de Partida Aunque fue ampliamente adoptado, estaba orientado a bancos internacionalmente activos de los países del G-10. • Establecía requerimientos de capital para dar cobertura al riesgo de crédito, fundamentalmente. • Contaba con una estructura fija de ponderación de riesgos: 0, 10, 20, 50, 100% Razón Mínima: _ Capital ≥ 8 % Activos ponderados por riesgo UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

7. Nuevo Acuerdo de CapitalAlcance y Objetivos Orientado a bancos internacionalmente activos, con flexibilidad para adecuarse a bancos de distinta complejidad y sofisticación. • Promover la seguridad y solvencia del sistema financiero • Acercar el cálculo de capital mínimo al perfil de riesgo de un banco (capital económico) • Promover la igualdad competitiva • Mantener o mejorar el actual nivel de capital en el sistema bancario. • Promover un enfoque integral de valoración de riesgos. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

8. Nuevo Acuerdo de Capital Capital Regulador • No cambia la definición de capital regulador establecido en el primer acuerdo con excepciones en relación a deducciones por inversiones en entidades comerciales. Activos Ponderados por su Nivel de Riesgo • Los activos ponderados incluyen riesgos de mercado y operacional en adición al riesgo de crédito. • Esta inclusión pretende mejor reflejar el perfil de riesgos que tiene una operación de intermediación. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

9. Nuevo Acuerdo de Capital Método de tres pilares Pilar I Pilar II Pilar III Requerimientos Mínimos de Capital Proceso de examen de supervisor Disciplina de mercado UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

10. Nuevo Acuerdo de Capital Método de tres pilares Pilar I Pilar II Pilar III Requerimientos Mínimos de Capital Proceso de examen de supervisor Disciplina de mercado UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

11. El Nuevo Acuerdo de Capital de BasileaPilar I Requerimientos Mínimos de Capital Riesgo de Crédito Riesgo Operativo Riesgo de Mercado METODO ESTANDARIZADO METODO BASADO EN CALIFICACIONES INTERNAS (RBI) METODO DE INDICADOR BASICO METODO ESTANDAR METODO DE MEDICION AVANZADA METODO ESTANDARIZADO METODO DE MODELOS BASICO AVANZADO UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

12. Nuevo Acuerdo de CapitalPilar I – Riesgo de Crédito Método Estandarizado • Apoyo en calificaciones de crédito externas • Utiliza técnicas de mitigación de riesgos Método de Calificaciones Internas Bajo aprobación del supervisor, permite al banco utilizar sus sistemas internos de calificación de riesgo crediticio: • Básico: Banco valora la probabilidad de incumplimiento • Avanzado: El banco valora todos sus factores de riesgo. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

13. Nuevo Acuerdo de CapitalPilar I - Riesgo Operativo Riesgo Operativo:Riesgo de pérdida debido a: • Inadecuados o fallas en: • Procesos internos • Personal • Sistemas • Eventos Externos • Incluye riesgo legal • Excluye riesgos estratégico y de reputación UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

14. Nuevo Acuerdo de CapitalPilar I – Riesgo Operativo UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

15. Métodos para la Asignación de Capital porRiesgo Operativo Método del Indicador Básico (“BIA”) Complejidad Sensibilidad al Riesgo Incentivos Pilar 1 Método Estandarizado (“TSA”) Métodos de Medición Avanzada (“AMA”) Fuente: FSI UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

16. Nuevo Acuerdo de Capital Método de tres pilares Pilar I Pilar II Pilar III Requerimientos Mínimos de Capital Proceso de examen de supervisor Disciplina de mercado UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

17. Nuevo Acuerdo de CapitalPilar 2 - Objetivo El proceso de examen supervisor tiene un doble objetivo: • Que los supervisores cuenten con la capacidad como para asegurarse de que los bancos cuenten con suficiente capital para cubrir los riesgos de su negocio; y • Promover que las entidades financieras desarrollen y hagan uso de mejores técnicas de administración de riesgos. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

18. Nuevo Acuerdo de CapitalPilar 2 - Principios Bancos deben contar con procesos para evaluar sus riesgos, determinar la suficiencia y mantener sus niveles de capital. Supervisores evaluarán las estrategias y evaluaciones internas de la banca para garantizar el cumplimiento de coeficientes mínimos de capital e intervenir cuando no se sientan satisfechos. 1 2 Supervisores deben esperar y ser capaces de exigir que los bancos operen por encima de los coeficientes mínimos de capital. Supervisores intervendrán o exigirán la adopción de medidas correctivas, para mantener niveles de capital que cubran los riesgos de un banco. 3 4 UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

19. Nuevo Acuerdo de CapitalPilar 2 Con los principios anotados se pretende: • Asegurar que cada entidad cuente con sólidos procesos para valorar la suficiencia de su capital basado en la evaluación completa de sus riesgos; • Responsabilizar a los supervisores por la revisión de los sistemas internos de valoración del capital que pudieran tener los operadores financieros. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

20. Nuevo Acuerdo de Capital Método de tres pilares Pilar I Pilar II Pilar III Requerimientos Mínimos de Capital Proceso de examen de supervisor Disciplina de mercado UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

21. Nuevo Acuerdo de CapitalPilar 3 - Objetivo Fomentar la disciplina de mercado a través del desarrollo de requisitos de divulgación que permita a los agentes de mercado acceder a información esencial para valorar la suficiencia de capital de una institución en función de su perfil de riesgo. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

22. Nuevo Acuerdo de CapitalPilar 3 - Requisitos • Las entidades deben contar un política formal de revelación aprobada por el Directorio/Consejo de Administración que indique qué y bajo que controles se divulgará información. • La divulgación se realizará sobre bases consolidadas. • La información a divulgarse será de carácter cualitativoy cuantitativo, de manera que reflejen: – Características (metodologías, términos y condiciones de instrumentos, etc) de los registros provistos. – Cantidades debidamente catalogadas y expresadas según el método de cálculo aplicado (Estándar, modelos internos, etc.) para los tres tipos de riesgo del Pilar 1. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

23. Divulgaciones ExigidasPrincipios Generales • Divulgaciones cualitativas igualmente importantes que las cuantitativas. • Para cada esfera de riesgo (p.ej. crédito, mercado, etc.) los bancos deben dar a conocer sus objetivos y políticas de gestión de riesgos: – estrategias y procesos – estructura y organización de la función de gestión de riesgos – alcance y naturaleza del sistema de notificación/medición del riesgo – políticas de cobertura/reducción del riesgo (así como seguimiento) UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

24. Cronograma de actividades en la transición hacia la primera etapa de Basilea II Fuente: SBIF UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

25. Preguntas Gloria Peña y Lillo 2005 UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

26. 2. Ley Sarbanes Oxley Presentado por : Gloria Peña y Lillo Noviembre 2005 UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

27. ¿Qué es la ley Sarbanes Oxley? Es una ley de transparencia y control, emitida por el Gobierno de los Estados Unidos de América, el 30 de julio del 2002, como resultado de una serie de escándalos corporativos que afectaron a ciertas empresas estadounidenses a finales del 2001, producto de quiebras, fraudes y otros manejos administrativos no apropiados. Se considera como la más profunda reforma a las prácticas de negocio desde 1934 UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

28. Aplicación • La Ley se aplica a todas las empresas norteamericanas y extranjeras que cotizan en la bolsa de valores de Estados Unidos (empresas públicas). Esto incluye a: • La Casa Matriz • sus subsidiarias y • sus afiliadas • Las empresas chilenas deberán cumplir con la Ley Sarbanes Oxley si: • Cotizan en la bolsa de Estados Unidos • Son subsidiarias de empresas (Casa Matriz) que cotizan en la bolsa de Estados Unidos UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

29. Disposiciones de SOX de EspecialRelevancia para Emisores Extranjeros. • “Certificación” anual del CEO y del CFO. • Comité de auditoría independiente y obligatorio para todas las empresas listadas. • Devolución por el CEO y el CFO de su compensación (bonos, incentivos, ganancias de ventas de acciones) como resultado de la corrección de los estados financieros de la empresa. • Prohibición de préstamos a ejecutivos y directores. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

30. Código de Ética obligatorio para altos ejecutivos. • Nuevos estándares de conducta para los abogados y auditores que practican ante el SEC en representación de un emisor. • Nuevo crimen, sujeto a prisión de hasta 20 años, en relación con la destrucción, alteración o falsificación de documentos con la intención de obstruir una investigación federal. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

31. Estructura de la ley • Título I: Junta de Supervisión de Firmas de Contabilidad Pública • Título II: Independencia de los Auditores • Título III: Responsabilidad Corporativa • Título IV: Revelaciones Financiera Mejoradas • Título V: Conflicto de Intereses de los Analistas UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

32. Estructura de la ley • Título VI: Recursos y Autoridad de la Comisión • Título VII: Estudios e Informes • Título VIII y XI: Responsabilidad Corporativa y Fraude Criminal; Fraude y Responsabilidad Corporativa • Título IX: Mejoramiento de Sanciones por Crímenes de Cuello y Corbata • Título X: Declaraciones de Impuestos Corporativos • Título XI: “Accountability” de Fraudes Corporativos UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

33. Título I: Junta de Supervisión de Firmas de Contabilidad Pública - PCAOB • La ley establece la creación de la Junta de Supervisión de Firmas de Contabilidad Pública “PCAOB” • Inicio actividades: 25 de Abril 2003 • Ámbito de Poderes de la Junta: • Registro de firmas de contabilidad pública (firmas registradas) • Inspección de firmas registradas. • Aplicación de sanciones y medidas disciplinarias • Estándares de Control de Calidad • Estándares de Ética UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

34. Título II: Independencia de los Auditores • Actividades prohibidas • Servicios de contabilidad (outsourcing) • Diseño de sistemas de información financiera • Valuaciones • Servicios actuariales • Auditoría interna • Asesoría como director, funcionario o empleado • Servicios de banca de inversión • Consejería legal (actuar como asesor en el área impositiva o laboral si es permitido) • Otros servicios que la junta determine. • Actividades que requieren preaprobación • Conflictos de Interés UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

35. Título III: Responsabilidad Corporativa Sección 302: Responsabilidad Corporativa por Informes financieros ENRON WORLDCOM UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

36. Sección 302: Responsabilidad Corporativa por Informes Financieros En cada informe (trimestral y anual), el ejecutivo principal (CEO) y el ejecutivo financiero (CFO) debe afirmar que… • Ha revisado el informe que se presenta • Sobre la base de su conocimiento, el informe no contiene ninguna afirmación falsa respecto de un hecho material • Sobre la base de su conocimiento, los estados financieros y otra información financiera incluida en el informe, presentan razonablemente en todos sus aspectos materiales la condición financiera, los resultados de las operaciones y el flujo de efectivo, del período presentado UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

37. Sección 302: Responsabilidad Corporativa por Informes Financieros (continuación) • Él y los otros funcionarios certificadores son responsables del establecimiento y mantención de “controles y procedimientos de revelaciones” del emisor; • Él y los otros funcionarios certificadores han diseñado tales controles y procedimientos de revelaciones para asegurar que la información material sea conocida; • Él y los otros funcionarios certificadores han evaluado la efectividad de los controles de revelaciones de la entidad • Han presentado en su informe sus conclusiones respecto a la eficacia de los “Controles y Procedimientos de Revelación” basado en la evaluación ; y UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

38. Sección 302: Responsabilidad Corporativa por Informes Financieros (continuación) • Han revelado a los auditores independientes y al comité de auditoría del emisor: • Deficiencias significativas en el diseño u operación de los controles internos • Cualquier fraude que involucre gerentes u otros empleados que tengan un rol significativo en los controles internos del emisor • Han indicado en el informe si hubo o no cambios significativos en los controles internos. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

39. Sección 302: Modelo de Certificado Yo, Mr. Xxxx Xxxxx, certifica que: 1. He revisado este informe anual de ZZZZ Corporation preparado en la Forma 40-F; 2. Sobre la base de mi conocimiento, este informe anual no incluye afirmaciones falsas respecto de un hecho material, ni omite declarar algún hecho significativo necesario para hacer las afirmaciones efectuadas, a la luz de las circunstancias bajo las cuales se hicieron las afirmaciones, no son erróneas con respecto al período cubierto por este informe anual; 3. Sobre la base de mi conocimiento, los estados financieros, y otra información financiera incluida en el informe anual, presentan razonablemente, en todos sus aspectos significativos, los resultados de las operaciones y el flujo de efectivo de la compañía registrada por los períodos presentados en este informe anual; 4. Los demás funcionarios certificadores de la compañía registrada y yo somos responsables de establecer y mantener controles y procedimientos de revelación (según se define en las Reglas de la Ley de Valores 13a-14 y 15d-14) para la compañía registrada y hemos: a) diseñado dichos controles y procedimientos para asegurar que la información material relacionada con la compañía registrada, incluidas sus subsidiarias consolidadas, nos es informada por otras personas al interior de estas entidades, en especial durante el período en el que se prepara este informe anual; UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

40. Sección 302: Modelo de Certificado (continuación) b) evaluado la efectividad de los controles y procedimientos de revelación de la compañía registrada, a una fecha 90 días anterior a la fecha de presentación de este informe anual (la “Fecha de Evaluación”); y c) presentado en este informe anual nuestras conclusiones respecto de la eficacia de los controles y procedimientos de revelación a la Fecha de Evaluación; 5. Los demás funcionarios certificadores de la compañía registrada y yo, hemos revelado, sobre la base de nuestra evaluación más reciente, a los auditores de la compañía registrada y al comité de auditoría del directorio de la compañía registrada, lo siguiente: a) todas las deficiencias significativas en el diseño o en la operación de los controles internos que podrían afectar negativamente la capacidad de la compañía registrada para registrar, resumir y reportar información financiera, y hemos identificado todas las debilidades a materiales en los controles internos para los auditores de la compañía registrada; y b) cualquier fraude, material o no, que involucre a la administración o a otros empleados que jueguen un papel significativo en los controles internos de la compañía registrada; y UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

41. Sección 302: Modelo de Certificado (continuación) 6. Los demás funcionarios certificadores de la compañía registrada y yo hemos indicado en este informe anual, si existieron cambios en los controles internos o en otros factores que pudieran afectar significativamente los controles internos después de la fecha de nuestra evaluación más reciente, incluidas las acciones correctivas respecto de las deficiencias significativas y debilidades materiales. Fecha: Chief Executive Officer UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

42. Sección 302: Responsabilidad Corporativa por Informes Financieros (continuación) La administración debe implantar controles internos y procedimientos que aseguren que la información financiera es procesada, registrada y revelada de acuerdo a la normativa de la SEC. Estos controles reciben el nombre de “Controles y Procedimientos de Revelación”. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

43. Título IV: Revelaciones Financieras Mejoradas Sección 404: Evaluación Gerencial de los Controles Internos 404 (a) De la Administración 404 (b) Del Auditor Externo UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

44. Sección 404: Evaluación Gerencial de los Controles Internos Controles y procedimientos para informes financieros • Las transacciones están adecuadamente autorizadas, • Los activos están adecuadamente protegidos contra uso no autorizado o inadecuado. • Que las transacciones están adecuadamente registradas. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

45. Sección 404: Evaluación Gerencial de los Controles Internos(continuación) Requerimientos de Informes y Revelación 404 (a) De la Administración • La administración es responsable por establecer y mantener controles y procedimientos internos adecuados para los informes financieros • Evaluación de la administración al cierre del año fiscal respecto de la efectividad de los controles y procedimientos internos para los informes financieros. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

46. Sección 404: Evaluación Gerencial de los Controles Internos(continuación) 404 (b) Del Auditor Externo Su reporte incluirá: • La responsabilidad de la administración respecto de la estructura y procedimientos de control interno para informes financieros. • Evaluación de la efectividad de dicha estructura y procedimientos UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

47. Sección 404: Evaluación Gerencial de los Controles Internos(continuación) Resumen de las evaluaciones • Por ejecutivos financieros, con respecto de los controles y procedimientos de revelación requeridos por las reglas de la sección 302. • Por la administración, con respecto a los controles y procedimientos internos para los informes financieros según la sección 404, y • Por el auditor independiente a fin de certificar las afirmaciones de la administración de acuerdo con la sección 404. UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

48. Sección 404: Evaluación Gerencial de los Controles Internos(continuación) Enfoque COSO Para el cumplimiento de la sección 404 es necesario contar con un Marco General de Control Interno que entregue criterios objetivos para que sean medidos y evaluados UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.

49. ¿Cómo afecta la ley SOX al riesgo tecnológico? Gloria Peña y Lillo 2005 UDP - Gestión de Riesgo Tecnológico - Módulo 6 : Basilea y SOX - Gloria Peña y Lillo R.