Modelo de seguridad integral bancario ante nuevos escenarios en América Latina

1. Modelo de seguridad integral bancario ante nuevos escenarios en América Latina José Marangunich Racchumi Asociación de Bancos del Perú: Presidente del Comité de Prevención de Estafas y Defraudaciones ASBANC Banco de Crédito del Perú: Gerente del Área Seguridad y Prevención de Fraudes

2. América Latina: Situación actual • Economía, inversión y aspecto social en la región. • Caso Perú: Economía y seguridad ciudadana. Nuevos riesgos en la banca. Oportunidades, riesgos y desafíos de seguridad para la banca • Estrategias para la bancarización. • Desarrollo de las TIC como oportunidad de negocio. • Evolución de los riesgos en seguridad: Del delito al ciberdelito. Perfiles y amenazas. • Necesidad de un nuevo modelo orientado a riesgos de seguridad. Construyendo un modelo de seguridad integral • Motivación y objetivo. • Modelo de seguridad tradicional. • Propuesta del modelo integral: Orientado a procesos. • Objetivo estratégico y factores críticos. • Propuesta de estructura funcional. • Cadena de valor. • Análisis de caso: Experiencia BCP.

3. América Latina Situación actual

4. América Latina: Situación actualEconomía e inversión Fuentes: Banco Mundial /Corporación Financiera Internacional – 2010 Anuario Estadístico de América Latina y el Caribe, CEPAL – 2009

5. América Latina: Situación actualAspecto social • Economía muestra signos de recuperación post-crisis 2008. • Percepción de inseguridad se incrementa en la sociedad. • Afrontamos nuevos retos en el escenario de la Seguridad (ejemplo: Caso Perú). Fuentes: Latinobarómetro Opinión Pública Latinoamericana, Corporación Latinobarómetro – 2005 a 2009 América Latina: Evolución de la Pobreza e Indigencia 1980- 2008, CEPAL – 2009 Anuario Estadístico de América Latina y el Caribe, CEPAL – 2009

6. América Latina: Situación actualCaso Perú: Economía y seguridad • Interés de inversión en la región. • Medios de comunicación con mayor presencia en temas de seguridad ciudadana. • Percepción de inseguridad se incrementa en la sociedad. • En el 2010, se define a la Seguridad Ciudadana como una de las principales políticas de Estado. Fuentes: Anuario estadístico de América Latina y el Caribe, CEPAL – 2009 Resumen Informativo N° 31, BCRP – 2010 Información de Mercado, MEF – 2010

7. América Latina: Situación actualEscenarios de mayor impacto en la región • Recuperación asociada al crecimiento económico, estabilidad jurídica y mejoras en orden social, generan confianza para la inversión local y extranjera. • La Seguridad Ciudadana es uno de las principales materias de atención en los países de la región y se genera la necesidad de incorporarla como política de Estado. Medios de comunicación y Sociedad Civil ponen especial atención a esta problemática. • En el aspecto de inseguridad, las encuestas a la población identifican escenarios relacionados a la industria de la banca. • En la percepción de inseguridad predominan las amenazas de seguridad física, seguridad informática y temas de prevención, lo cual evidencia la necesidad de manejar un concepto integral de seguridad (modelo) bajo un enfoque de convergencia (física – lógica). Esta tarea es uno de los actuales retos para los Directores de Seguridad.

8. América Latina: Oportunidades, riesgos y desafíos de seguridad para la banca

9. Nuevos escenarios y retos comercialesEstrategias para la bancarización • Europa • Migración a internet, Smartphone y ATM’s. • Prioridad actual es traer gente a las oficinas. • Diseño de oficinas tipo “retail”. • Norteamérica • Migración a Internet y ATMs.  • Celular para alertas y token. • Tercerización de canales alternos. • Mini oficinas en establecimientos. • Asia • India : agentes corresponsales y banca celular SMS. • Japón: internet y Smartphone. • China: ATMs y Smartphone. • LATAM • Migración a agentes corresponsales y a ATM’s.  • Poca penetración de internet.  • Inicio de banca celular SMS • África • Explosión Banca celular SMS : modelo bancarizador. • Poca penetración de otros canales en zonas rurales. Hogares con acceso a servicios financieros Estudios del Banco Mundial indican que por cada incremento de un 1% en la atención bancaria a zonas rurales, se reduce el índice de pobreza en un 0,34% Fuente: Honohan 2007 (Consultor del Banco Mundial) Cross-Country Variation in Household Access to Financial Services Adaptación en el BCP

10. Nuevos escenarios y retos comercialesDesarrollo de las TIC como oportunidad de negocio Fuente: Unión Internacional de Telecomunicaciones, 2008 Fuente: Unión Internacional de Telecomunicaciones, 2008 Fuente: América Economía Intelligence, 2009 Estudio TGI 2009, KMR - 2009 Fuente: Superintendencia de Banca, Seguros y AFP, 2010

11. Nuevos escenarios y retos comercialesEvolución de los riesgos en seguridad • Fraude interno, suplantación, falsificación, otros Manipulación y alteración de canales electrónicos Lavado de activos / narcoterrorismo • Suplantación y robo de identidad (Web 2.0) • Fraude con tarjetas de crédito • Terrorismo Robo de información • Asalto / robo Local Global • Secuestro y extorsión • Atentados contra infraestructura Fraude con tarjetas en canales electrónicos (HBK, ATMs, POS) • Lavado de activos Fraude interno en Sistemas y Mercado de Capitales Fraudes en canales móviles (Celular, IVR) Ciberdelito Amenazas a la seguridad informática 80 - 2000 2000 en adelante

12. Nuevos escenarios y retos comercialesOportunidades, riesgos y desafíos de seguridad • A través de la bancarización, las entidades financieras han encontrado una oportunidad de contribuir a la inclusión social mediante el empleo de tecnologías accesibles, económicas y de alta difusión; a la vez que impulsan el crecimiento del sistema. • El uso de nuevos canales para productos y servicios bancarios, empleando las TICs, genera una innovación en el modelo de negocio y traen consigo nuevos riesgos de diversa complejidad. • Al igual que lo evidenciado en la problemática de inseguridad ciudadana, en donde se observan riesgos de naturaleza física/lógica relacionados a la industria bancaria; las nuevas estrategias comerciales exigen a los Directores de Seguridad la implementación de modelos integrales de prevención y gestión del riesgo como aporte de valor a la propuesta de negocio.

13. Gestión del riesgo: Construyendo un modelo de Seguridad Integral

14. Construyendo un modelo de Seguridad IntegralMotivación y objetivo Motivación: • Conceptualizar un enfoque orientado hacia los procesos y riesgos vinculados a los escenarios de seguridad. • Alinear la gestión de la Seguridad y la Prevención con la cadena de valor del negocio. • Estructurar el diseño de puestos, roles e interrelaciones entre las unidades involucradas bajo lineamientos de eficiencia operativa y eficacia en resultados. Objetivo: • Proponer un modelo integral de Seguridad que permita gestionar los riesgos y que esté alineado a los procesos de negocio, contribuyendo a la generación de valor (migrar de la seguridad tradicionala un esquema integrado).

15. Gestión tradicional de la Seguridad Físicos Lógicos Legales Reputacional Operacional Otros Modelo de Seguridad y el negocioEsquema tradicional: Excesivo control y sobrecostos Unidades de Negocio Organización Resultado Riesgos Sobrecosto Percepción de valor Aspecto comercial

16. Modelo de Seguridad y el negocioOrientado a los procesos del negocio Enfoque tradicional Enfoque integrado Alta Dirección Alta Dirección Procesos de Negocio Procesos de Negocio Otros Finanzas Logística Marketing ESTRATEGICO CSO CSO Políticas Control TACTICO y OPERACIONAL Fuente: SEC – Presentación Evaluación, BCP – 2010 Adaptado en el ASPF, BCP

17. Modelo de Seguridad y el negocioPropuesta de enfoque por procesos Requisitos Satisfacción Servicio prestado Mejora continua Unidades de Negocio Unidades de Negocio Entradas Salidas Actividades que aportan valor Flujo de información Basado en el esquema de mejora continua de la Norma ISO 9000

18. Modelo de Seguridad y el negocioPropuesta de estructura funcional CSO Aseguramiento Control Investigación Forense Análisis Preventivo Ingeniería de Seguridad Mejora Continua Centro de Operaciones Evaluación • Acción correctiva. • Planeamiento . • Proyectos. • Capacitación y entrenamiento. • Fraude interno. • Fraude externo. • Informática forense. • Accidentes / incidentes de seguridad. • Gestión post fraude. • Infraestructura de TI. • Infraestructura física y Defensa Civil. • Ethical Hacking. • Modelos estadísticos. • inteligencia. • Diseño y gestión de alertas. • Identificación y gestión del riesgo. • Monitoreo y atención de alertas. • Respuesta a incidentes. • Cumplimiento de políticas y estándares. • Mediciones. Mejora continua Retroalimentación

19. Modelo de Seguridad y el negocioCadena de valor • Centro de Operaciones: • Monitoreo y gestión de alertas de seguridad y transacciones en canales. • Respuesta primaria (rápida y oportuna) a incidentes de seguridad: • Física / lógica. • Fraudes Valor Agregado Actividad de apoyo • Evaluación: • Verificación del cumplimiento de políticas y estándares en procesos de negocio. • Medición de desviaciones y generación de reportes. • Investigación Forense: • Fraude interno. • Fraude externo. • Informática forense. • Accidentes / incidentes de seguridad. • Gestión post fraude. • Análisis Preventivo: • Ethical Hacking. • Elaboración de modelos estadísticos. • Gestión de la inteligencia. • Diseño y gestión de alertas. Parametrización. • Proceso de identificación de peligros y evaluación de riesgos de seguridad y salud. • Ingeniería de Seguridad: • Definición de estrategias para el aseguramiento de infraestructura de TI. • Diseño de infraestructura y estrategias de Seguridad Física y protección de personas. • Mejora Continua: • Implementación de acciones correctivas. • Planeamiento, formulación y gestión de proyectos. • Programas de capacitación y entrenamiento. Actividad primaria Fuente: Cadena de valor genérica. M. Porter

20. El desafío está en cambiar el rol de la Seguridad, considerando las nuevas amenazas y aportando valor a las unidades de negocio. La aplicación de un modelo integral de prevención puede contribuir a: • Alinear la gestión de la Seguridad al proceso de negocio. • Evaluar el modelo antes de la implantación y determinar posibles desviaciones y correcciones. • Reducción de costos operativos. Contribución a la eficiencia. • Sinergia entre las unidades operativas. Contribución a la eficacia.

21. Experiencia BCPResultados • Banco referente en el sistema financiero local sobre modelo de gestión de seguridad y fraudes. • Sinergia entre las unidades de Seguridad, Prevención e Investigaciones. • Resultado del Fraude Transaccional: • Implementación del nuevo esquema de capacitación modular y virtual. • Conformación del Comité de Seguridad entre Prevención y Áreas de Negocio.

22. Bibliografía • Banco Mundial /Corporación Financiera Internacional – 2010 • Anuario Estadístico de América Latina y el Caribe, CEPAL – 2009 • Latinobarómetro Opinión Pública Latinoamericana, Corporación Latinobarómetro – 2005 a 2009 • América Latina: Evolución de la Pobreza e Indigencia 1980- 2008, CEPAL – 2009 • Resumen Informativo N° 31, BCRP – 2010 • Información de Mercado, MEF – 2010 • 13a Encuesta Anual Global de CEO’s, Price Water House Coopers – 2010 • Estado de la Opinión Pública, IOP, PUCP – 2010 • VI Encuesta Anual sobre Seguridad Ciudadana, Grupo de Opinión Pública de la Universidad de Lima - 2009 • The convergence of physical and information security in thecontext of enterpriserisk management, AESRM & Deloitte, USA – 2007 • The 6th annual Global Security Survey, Deloitte, 2009 • Honohan 2007 (Consultor del Banco Mundial) Cross-Country Variation in Household Access toFinancialServices • Superintendencia de Banca, Seguros y AFP - 2010 • Unión Internacional de Telecomunicaciones - 2008 • América Economía Intelligence, 2009 • Estudio TGI 2009, KMR - 2009 • Virtual criminologyreport: North American Studyintoorganizedcrime and the Internet, McAfee - 2005 • Insightson IT risk, Counteringcyberattacks, Ernst & Young – Abril 2010 • Information Security as aninstitutionalpriority - Allen, J. Carnegie MellonUniversity - CERT/SEI ,USA - 2005 • Cano, J. – Convergencia de la Inseguridad de la Información. Universidad de los Andes, Colombia - 2008 • FifthThird Bank - ElectronicFraud and theEvolution of Cybercrime - 2010 • Enterprise Threat Management and Security Convergence - A Benchmarking study, Honeywell - 2007 • Mageni Networks - 2010 • SEC – Presentación Evaluación, BCP – 2010 • Esquema de mejora continua de la Norma ISO 9000

23. Modelo de seguridad integral bancario ante nuevos escenarios en América Latina José Marangunich Racchumi Asociación de Bancos del Perú: Presidente del Comité de Prevención de Estafas y Defraudaciones ASBANC Banco de Crédito del Perú: Gerente del Área Seguridad y Prevención de Fraudes