XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y s

1. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” Quito, Ecuador. 18 al 20 de marzo de 2009 ENFOQUE DE GESTIÓN Y SUPERVISIÓN DEL RIESGO OPERACIONAL EN EL ECUADOR Ing. Cyndi Montalvo Cobo Subdirectora de Riesgos Operacionales Superintendencia de Bancos y Seguros del Ecuador

2. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” ¿ COMO COMPATIBILIZAN LOS OBJETIVOS DE LAS INSTITUCIONES Y DEL ENTE DE CONTROL? Maximizar el valor económico de la institución PROMOVER LA ADECUADA GESTIÓN DE RIESGOS Precautelar los intereses del público

3. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” RECOMENDACIONES DEL COMITÉ DE BASILEA • El Comité de Supervisión Bancaria de Basilea recomienda: • A las instituciones, la adopción de prácticas adecuadas para la gestión de los riesgos. • A los supervisores, la necesidad de exigir y vigilar su cumplimiento. Para fortalecer en mayor medida la solidez y estabilidad de los sistemas financieros.

4. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” RECOMENDACIONES DEL COMITÉ DE BASILEA BASILEA II Implementación de Prácticas Apropiadas de gestión de Riesgo de Operación Bases de Datos de Eventos de Riesgo de Operación Cálculo de requerimientos de Capital por Riesgo de Operación

5. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” LA GESTIÓN DE RIESGOS EN EL ECUADOR • Mediante la Resolución No. JB-2004-631 de enero del 2004, la Junta Bancaria emitió la norma relacionada con la “Gestión Integral y Control de Riesgos”. • Mediante la Resolución No. JB-2005-834 de octubre de 2005, la Junta Bancaria emitió la norma relacionada con la “Gestión del Riesgo Operativo”. Estas normas demandan a las instituciones financieras a administrar los riesgos a los que se encuentran expuestas, a través de un proceso formal que permita su identificación, medición, control y monitoreo.

6. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” LA GESTIÓN DEL RIESGO OPERATIVO EN EL ECUADOR La norma de Gestión del Riesgo Operativo, considera: • Los principios del Comité de Basilea; • Los aspectos relevantes de la literatura de la “Administración de Procesos” y de la “Administración del Recurso Humano”; • El “Código de práctica para la administración de la Seguridad de la Información”, contenidas en la norma ISO 27002; • Las mejores prácticas para TI establecidas por el Modelo CobiT.

7. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” LA GESTIÓN DEL RIESGO OPERATIVO EN EL ECUADOR Sección I: ÁMBITO, DEFINICIONES Y ALCANCE Sección II: FACTORES DEL RIESGO DE OPERACIÓN Sección III: ADMINISTRACIÓN DEL RIESGO DE OPERACIÓN Sección IV: CONTINUIDAD DEL NEGOCIO Sección V: RESPONSABILIDADES EN LA ADMINISTRACIÓN DEL RIESGO DE OPERACIÓN Sección VI: DISPOSICIONES GENERALES • La Norma de R.O. está publicada en www.superban.gov.ec.

8. ACT 1 ACT 3 ACT 4 ACT 5 ACT 2 XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” LA GESTIÓN DEL RIESGO OPERATIVO EN EL ECUADOR “Es el riesgo de que se ocasionen pérdidas financieras por eventos derivados de fallas o insuficiencias en los procesos, personas, tecnología de información y por eventos externos.” procesos personas Tecnologia De información Eventos externos

9. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” LA GESTIÓN DEL RIESGO OPERATIVO EN EL ECUADOR Definición de riesgo de operación del Comité de Basilea NO CONSIDERA INCLUYE RIESGO ESTRATÉGICO RIESGO LEGAL RIESGO REPUTACIONAL

10. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” PROCESOS • IMPORTANCIA: • Una organización es una cadena de procesos. • Todos estamos involucrados en algún proceso. • Permite mejorar la productividad. • RESPONSABLE DEL PROCESO: • Es el responsable último de mejorar un proceso. • • Debe distribuir y evaluar periódicamente el trabajo entre los participantes del proceso y establecer puntos de control, • productos y servicios, clientes internos y externos. • • Identifica y ejecuta los cambios requeridos para • satisfacer las necesidades tanto de la organización como de los clientes. • • Comunica el proceso entre los participantes y lo debe difundir en la institución.

11. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” PROCESOS PROCESOS CRÍTICOS “Indispensables para la continuidad del negocio y las operaciones de la institución, cuya falta de identificación o aplicación deficiente puede generarle un impacto financiero Negativo.” Estratégicos o Gobernantes Procesos Productivos o Fundamentales Procesos Procesos de Soporte o Apoyo Artículo 1, Sección II

12. Falta de personal adecuado • Negligencia • Error humano • Nepotismo • Inapropiadas relaciones interpersonales • Inadecuado ambiente laboral • Contratación de personal P o l í t i ca s Procesos Procedimientos XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” PERSONAS Artículo 1, numeral 1.2 Sección II Incorporación Permanencia Desvinculación

13. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” PERSONAS • INCORPORACIÓN: • Definición de políticas, procesos y procedimientos para: • Planificación de necesidades; • Reclutamiento; • Selección de personal; • Contratación ; • Inducción.

14. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” PERSONAS • Definición de políticas, procesos y procedimientos para asegurar: • Condiciones laborales idóneas; • Capacitación y formación; • Sistemas de evaluación del desempeño; • Planes de carrera; • Rendición de cuentas e incentivos. PERMANENCIA:

15. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” PERSONAS DESVINCULACIÓN: • Definición de políticas, procesos y procedimientos para la: • Planificación de la salida del personal; • Preparación de aspectos jurídicos para llegar al finiquito y finalización de la relación laboral.

16. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” TECNOLOGÍA DE INFORMACIÓN Apoyo de la Administración Operaciones de Tecnología Administración de las Aplicaciones • INFORMACIÓN: • Integridad • Disponibilidad • Confidencialidad Administración de Servicios de Terceros Continuidad de las Operaciones Artículo 1, numeral 1.3 Sección II Seguridad de la Información Administración de la Infraestructura

17. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” TECNOLOGÍA DE INFORMACIÓN

18. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” TECNOLOGÍA DE INFORMACIÓN

19. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” EVENTOS EXTERNOS PLANES DE CONTINGENCIA Y CONTINUIDAD Buscan garantizar la capacidad para operar en forma continua y minimizar las pérdidas en caso de una interrupción severa del negocio. Sección II, Art. 1 Numeral 1.4

20. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” CONTINUIDAD DEL NEGOCIO Estrategia de Continuidad En línea con los objetivos institucionales Identificar los procesos críticos Incluidos los provistos por terceros Identificar riesgos por fallas de TI PLANES DE: CONTINUIDAD CONTINGENCIA Identificar escenarios de contingencia Tomando en cuenta impacto y probabilidad Evaluar riesgos->determinar impacto Magnitud daño, período recuperación, tiempo interrupción Elaborar un plan de continuidad Para ser aprobado por el directorio u organismo Pruebas periódicas del plan Comprobar aplicabilidad / ajustes Sección IV Incorporar a la Administración del Riesgo

21. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” LA ADMINISTRACIÓN DEL RIESGO DE OPERACIÓN

22. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” LA ADMINISTRACIÓN DEL RIESGO DE OPERACIÓN Línea de Negocio: “Es una especialización del negocio que agrupa procesos encaminados a generar productos y servicios especializados para atender un segmento del mercado objetivo definido en la planificación estratégica de la entidad.” Basilea II: Finanzas Corporativas; Negociación y ventas; Banca Minorista; Banca Comercial; Pagos y Liquidación; Servicios de Agencia; Administración de activos; Intermediación minorista.

23. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” IDENTIFICACIÓN • TIPOS DE EVENTOS DE RIESGO OPERATIVO  • Fraude interno; • Fraude externo; • Prácticas laborales y seguridad del ambiente de trabajo; • Prácticas relacionadas con los clientes, los productos y el negocio; • Daños a los activos físicos; • Interrupción del negocio por fallas en la tecnología de información; • Deficiencias en la ejecución de procesos. “Identificar por línea de negocio, loseventos de riesgo de operación, agrupados por tipo de evento, y, las fallas o insuficiencias en los procesos, las personas, la tecnología de información y los eventos externos.” Artículos 4 Sección III

24. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” MEDICIÓN • Eventos de riesgo de operación, • Fallas o insuficiencias por factores de • riesgo operativo • Frecuencia con que se repite • cada evento; • Efecto cuantitativo de pérdida; y, • Otra información que las • entidades consideren necesaria. “Las instituciones deben iniciar un proceso de recopilación de información a través de la conformación de bases de datos para que a futuro se puedan estimar pérdidas esperadas e inesperadas atribuibles a este riesgo.” POR LÍNEA DE NEGOCIO Artículos 6, Sección III

25. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” CONTROL • Políticas, procesos, procedimientos y niveles de control formalmente establecidos y validados periódicamente. • Los controles deben formar parte integral de las actividades regulares de la entidad para generar respuestas oportunas. • Esquema de administración del RO debe estar sujeto a una auditoría interna efectiva e integral, por parte de personal competente, capacitado e independiente. Sistema de Control Interno Artículos 7,8, Sección III

26. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” MONITOREO La Unidad de Riesgos debe : • Definir las políticas, procesos y procedimientos para el monitoreo del Riesgo Operativo. • Diseñar los sistemas de reportes que permitirán monitorear el riesgo operativo así como la información mínima que deberá contener. • Definir la periodicidad de la entrega de los reportes en función del tamaño, naturaleza y complejidad de la institución. • Informar al Directorio y al Comité Integral de Riesgos sobre las exposiciones al Riesgo Operativo. • Esquema organizado de reportes con información suficiente y adecuada para gestionar el riesgo de operación en forma continua y oportuna. • Informes para ser analizados con perspectiva de mejora constante del desempeño en la administración del riesgo de operación; y para establecer y/o modificar políticas, procesos, procedimientos. Artículo 9, Sección III

27. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” MONITOREO • Eventos de Riesgo Operativo por Factor:

28. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” LA GESTIÓN DEL RIESGO OPERATIVO EN EL ECUADOR El Directorio u organismo que haga sus veces: • Crear una cultura organizacional con principios y valores de comportamiento ético que priorice la gestión eficaz del riesgo de operación; • Aprobar las disposiciones relativas a los procesos; • Aprobar las políticas, procesos y procedimientos para la administración del capital humano; • Aprobar las políticas y procedimientos de tecnología de información; • Aprobar los planes de contingencia y de continuidad del negocio. Sección V, Art. 1

29. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” LA GESTIÓN DEL RIESGO OPERATIVO EN EL ECUADOR Comité de Administración Integral de Riesgos: • Evaluar y proponer al directorio u organismo que haga sus veces las políticas y el proceso de administración del riesgo de operación y asegurarse que sean implementados en toda la institución; • Evaluar las políticas y procedimientos de Procesos, Personas y Tecnología de Información. • Evaluar y someter a aprobación del directorio u organismo que haga sus veces los planes de contingencia y de continuidad del negocio y analizar y aprobar la designación de líderes encargados. Sección V, Art. 2

30. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” LA GESTIÓN DEL RIESGO OPERATIVO EN EL ECUADOR Unidad de Riesgos: • Diseñar las políticas y el proceso de administración del riesgo de operación; • Analizar, monitorear y evaluar los cambios significativos y la exposición a riesgos provenientes de los procesos, personas, TI y eventos externos; • Analizar las políticas y procedimientos de TI, especialmente aquellas relacionadas con la seguridad de la información; y, • Liderar el desarrollo, la aplicabilidad y cumplimiento de los planes de Contingencia y Continuidad del negocio. Sección V, Art. 2

31. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” LA GESTIÓN DEL RIESGO OPERATIVO EN EL ECUADOR CONCLUSIÓN La norma no está orientadaa exigir a las entidades controladas el desarrollo de sofisticadas metodologías de estimación de necesidades de capital por el riesgo de operación, sino, más bien, busca promover y guiar a las entidades controladas en el desarrollo de un apropiado ambiente de gestión de este riesgo, conforme con los principios establecidos por el Comité de Supervisión Bancaria de Basilea.

32. XXIII CONGRESO INTERNACIONAL DE CRÉDITO EDUCATIVO “La gestión y gerencia del riesgo en las instituciones, programas y servicios de crédito educativo” Gracias por su atención