La Matriz y el Perfil de Riesgo

1. El ERM como HerramientaAdministración Integral de Riesgo en Costa RicaReglamento 2-10 AIRParte I La Matriz y el Perfil de Riesgo Unidad de Asistencia Técnica FECOOPSE R.L.

2. ERM comoConcepto Clave • ¿Porquéaplicar el Enterprise Risk Management? • Es un concepto de Gestión Integral de Riesgo. • Se basa en un requerimiento estandarizado de Auditoría. • Se Incorpora como parte de una herramienta de apoyo en los modelos COSO, esto como metodología de identificación y control de riesgo. • Se sustenta –en materia de cuantificación- en la valoración matricial de los riesgos con lo que se conoce como Matriz Probabilidad Impacto (Mpi). • Es una metodología Estandarizada y certificada que procura su aplicación para la determinación del perfil del riesgo de una empresa bajo un nuevo Enfoque.

3. Enfoques de Riesgo

4. GestiónEficaz de los Riesgos¿en quéconsiste? En este sentido, es imprescindible que las entidades financieras cuenten con herramientas que permitan: i) Definir criterios a partir de los cuales se admitirán riesgos; dichos criterios dependerán de sus estrategias, plan de negocios y resultados esperados. ii) Definir a través de un mapa de riesgo, áreas de exposición a los riesgos inherentes a sus actividades, en consecuencia establecer el riesgo máximo aceptable así como el área no aceptable. iii) Monitoreo y medición de todas las categorías de riesgo que pueden impactar el valor de la entidad en forma global, por unidad de negocios, por productos y por procesos. iv) Definir el nivel de pérdida esperada aceptable y la metodología de medición. v) Diseñar mecanismos de cobertura a los riesgos financieros, operativos estratégicos con una visión integral y comprensiva del negocio. vi) Relacionar el área de máxima de exposición al riesgo con el capital que se desea arriesgar en forma global y por unidad estratégica de negocio. vii) Definir y estimar medidas de desempeño ajustada por riesgos.

5. Matriz de Riesgo • Una matriz de riesgo constituye una herramienta de control y de gestión normalmente utilizada para identificar las actividades (procesos y productos) más importantes de una empresa, el tipo y nivel de riesgos inherentes a estas actividades y los factores exógenos y endógenos relacionados con estos riesgos (factores de riesgo). • Condiciones que deben considerarse para la definición de una Matriz de Riesgo; • La matriz debe ser una herramienta flexible que documente los procesos y evalúe de manera integral el riesgo de una institución, • Una efectiva matriz de riesgo permite hacer comparaciones objetivas entre proyectos, áreas, productos, procesos o actividades. • A partir de los objetivos estratégicos y plan de negocios, la administración de riesgos debe desarrollar un proceso para la “identificación” de las actividades principales y los riesgos a los cuales están expuestas.

6. ¿Cómoelaborarun Perfil de Riesgo?

7. Valoración del Mpi

8. Mitigación

9. MpiCuadroResumen y Mapa de Calor

10. Matriz Integral y Perfil de Riesgo

11. Parte II REGLAMENTO SUGEF 2-10 “Reglamento sobre Administración Integral de Riesgos” PERFIL DE RIESGO COMO FACTOR COMUN Presentado por: FECOOPSE Unidad de Asistencia Técnica (UAT)

12. Considerandos • Fundamentoinciso c) artículo 131, ley 7558. • Recomendaciones del Comité de Basilea, Pilar 2, principio 7. • La sofisticación y la incertidumbre de los mercadosfinancieros. • La sofisticación e incertidumbre de los mercadosfinancierosconllevariesgosquepotencialmentepuedendeteriorar el valor de lasentidades. • La administraciónintegrada de riesgospropicia la alineación entre el riesgoaceptado y la estrategia.

13. Considerandos • El proceso de administración integral de riesgosnecesita, para ser adecuado, de un marcoidóneo, debidamenteconmensuradopara el tamaño, grado de sofisticación, estrategia del negocio y perfil de riesgode cadaentidad. • Con la emisión del Reglamentosobreadministración integral de riesgo, se establecen los aspectosfundamentales de un proceso de gestión de riesgos. • Medianteartículo 9 del acta de la sesión 720-2008 del 30 de mayo de 2008, el CONASSIF aprobóacuerdo SUGEF 9-08 “reglamentopara la autorización y ejecución de operaciones con derivadoscambiarios, y que en el capítulo IV estableceaspectosrelacionados con la administración integral de riesgo.

14. Alcances: • Objeto:Aspectosquedebenobservarsepara el desarrollo, la implementación y el mantenimiento de un proceso de administración de riesgos. • Ambitode Aplicación: EntidadesSupervisadaspor SUGEF • Definiciones: De los principalesconceptos en materia de riesgos. • Tipos de Riesgo: 1)Riesgo de Crédito, 2)Riesgo País, 3)Riesgo de Precio, 4)Riesgo de tasa de Interés, 5)Riesgo de Tipo de Cambio, 6)Riesgo de Liquidez, 7)RiesgoOperativo, 8)Riesgo de Ti, 9)Riesgo Legal, 10)Riesgo de Reputación, 11)Riesgo de Legitimación de Capitales, 12) Riesgo de Conglomerado y GrupoFinanciero, • Procesode Administración Integral de Riesgos: Cadaentidaddebecontar con un proceso formal, integral y continuo de administración de riesgos, el cualdebe ser congruente con la naturaleza, la complejidad y el volumen de susoperaciones, asícomo de superfil de riesgo.

15. Alcances • LineamientosGenerales: Se integra con los lineamientosaplicables a la norma 24-00, estopublicado a través de los 64 principios de gestión de riesgos de la resolución R-008-2010. • GobiernoCorporativo: En concordancia con el Reglamento de GobiernoCorporativo, esresponsabilidad de la Junta Directiva el establecerlaspolíticas y, en los casosqueproceda, los procedimientosqueregiránsuproceso de administración integral de riesgos. • Políticaspara la administración Integral de Riesgo: Las políticasquerigen el proceso de administración integral de riesgodeben ser congruentes con la naturaleza, complejidad y volumen de operaciones de la entidad, asícomo con superfil de riesgo.

16. Alcances • Estructurapara la administración integral de riesgo: La entidaddebeestablecerunaestructura formal que le permitadesarrollar el proceso de administración de riesgo, que: • Exista de unaclarasegregación, entre la gestión normal y la gestión de riesgo. • Existanmecanismos de comunicación y divulgación de los alcances y resultados de los alcances y resultados del proceso de riesgos, de maneraque lo primero no vaya en detrimento de lo segundo. • Se cuente con personal con los conocimientos y habilidadesnecesariasparadesempeñarsusfuncionesdentro del proceso de administración de riesgos. • El procesoproveatecnologías de informaciónacordes con la sofisticación de metodologías y de lasactividades del proceso de administración integral de riesgo.

17. Instancias y Funciones • Responsabilidadde la Junta DirectivaDetallalasfunciones de la Junta Directiva en materia de administración y gestión de riesgo: • Establecerel perfil de riesgo de la entidad • Aprobarlasestrategias y políticassobre la AIR. • Designarlos miembrosqueintegran al comité de riesgos. • Mantenerseinformadasobre el desempeño general de la entidad. • Asegurarel nivel de suficiencia patrimonial acorde con el perfil de riesgo. • Aprobaranualmente el nivel de estimacionesparacubrir los riesgos de crédito. • Asegurarque la administración superior monitorea la efectividad de los controlessobreriesgo. • Aprobarlos planes o acciones de control y mitigación de riesgos. • Aprobarel manual de administración integral de riesgos. • Nombrarel miembroindependiente del Comité de Riesgos.

18. Instancias y Funciones • Responsabilidades de la administración superior: • Reportaral máximoórganodirectivosobre los niveles de riesgoasumido. • Establecerprogramassemestrales de revisiónpor parte de la unidadpara la administración integral de riesgos, y de los negocios. • Asegurarsede la existencia de adecuadossistemas de almacenamiento, procesamiento y manejo de información. • Establecerprogramas de capacitación y actualizaciónpara el personal de la unidad de la administración integral de riesgos. • Establecerprocedimientosqueaseguren un adecuadoflujo, calidad y oportunidad de la información entre lasunidades de negocio.

19. Instancias y Funciones • Conformacióndel Comité de riesgos:es un cuerpocolegiadointegradopor no menos de 5 miembros, queserán dos directorespropietarios de la JD, con conocimientos del tema y uno de los cuálesserá el presidente; un representante de la altaadministración; el responsable de la unidad de riesgo; y un miembroexterno. Se puedeestablecerunaintegracióndiferentehaciendo la solicitud a la SUGEF sustentando el nivel y perfil de negocio. La periodicidad de reunión la definirá la entidad.

20. Instancias y Funciones • Funcionesdel Comité: • Monitorearlasexposiciones a riesgos • Reportar a la junta los resultados de susvaloraciones • Avalar los límites, estrategias y políticasquecoadyuven con unaefectivaadministración de riesgos. • Conocer y promoverprocedimientos y metodologíaspara la AIR. • Proponer planes de contingenciapara la aprobación de la Junta Directiva o autoridadequivalente. • Las funciones y requerimientosqueestablezca la Junta Directiva.

21. Manual de Riesgo¿QuédebeAbarcar? • Etapas del proceso de Administración Integral de Riesgos. • Políticas y procedimientos. • Metodologías de medición y responsable(s) de la medición. • Límites de tolerancia para cada riesgo relevante. • Periodicidad de monitoreo y responsables.

22. Unidad de RiesgoSusFunciones Identificar, evaluar y controlar que la administración integral de riesgos considere todos los riesgos que son relevantes para la entidad.

23. Conformación de la Unidadde Riesgo Debeestarajustadaal perfil de riesgode la entidad, debe ser independiente de lasáreascomerciales y de negocio. No podrádepender de la AuditoríaInterna, niasumirfuncionesinherentes a estadependenciay deberáestarintegradapor personal capacitadotécnicamente.

24. Del Control Interno de AIR • Control Interno: El proceso de AIR debeestarsujetoal control de la AuditoríaInterna • Funcionesdel Control Interno: El órgano de control de riesgoses la Auditoría y debeconsiderarcomofuncioneslassiguientes: • Verificarel desarrollo de la administración de riesgos. • Evaluarel Funcionamiento del proceso de AIR. • Verificarque se implementen los sistemade control internode gestión de riesgo.

25. Auditoria de Riesgos • Las entidades deberán encomendar anualmente una auditoría de riesgos a un experto independiente. • El informe con los resultados de la auditoría de riesgos deberá conocerse por la Junta Directiva o autoridad equivalente, la cual se pronunciará sobre las debilidades señaladas y las acciones adoptadas para corregirlas. • El informe deberá remitirse a la Superintendencia a más tardar cinco días hábiles posteriores a la fecha de conocimiento de la Junta Directiva o autoridad equivalente, acompañado de copia del acta de la Sesión en que se conoció. • Las condiciones para la ejecución e informe de la auditoría se establecen por el Superintendente según lo dispuesto en el artículo 5 de este reglamento.