03-El Informe Coso II-erm

Gestión Integral de Riesgos: EL COSO II ERM

Firma miembro de

*connectedthinking

Origen del estudio del Committee of Sponsoring Organizations of the Treadway Commission (COSO)

Lo nuevo de COSO ¿Por qué surge COSO II-ERM? • Debido a la preocupación y al aumento del interés

en la gestión de riesgo durante la segunda mitad de los años 90, el comité de las organizaciones que patrocinaban la Comisión de Treadway (COSO) determinó que había una necesidad de un marco común de Gestión Integral de Riesgo

• En el 2001 la Comisión contrató a

PricewaterhouseCoopers para desarrollar un marco para evaluar y mejorar la gestión de riesgo en las l as organizaciones

• COSO - ERM se crea ampliando a COSO I para la

gestión integral de riesgo pero no para para sustituir el marco de control interno

• En Septiembre de 2004 se publicó el estudio ERM

(Enterprise Risk Management) Integrated Framework

Origen del estudio del Committee of Sponsoring Organizations of the Treadway Commission (COSO)

Lo nuevo de COSO ¿Por qué surge COSO II-ERM? • Debido a la preocupación y al aumento del interés

en la gestión de riesgo durante la segunda mitad de los años 90, el comité de las organizaciones que patrocinaban la Comisión de Treadway (COSO) determinó que había una necesidad de un marco común de Gestión Integral de Riesgo

• En el 2001 la Comisión contrató a

PricewaterhouseCoopers para desarrollar un marco para evaluar y mejorar la gestión de riesgo en las l as organizaciones

• COSO - ERM se crea ampliando a COSO I para la

gestión integral de riesgo pero no para para sustituir el marco de control interno

• En Septiembre de 2004 se publicó el estudio ERM

(Enterprise Risk Management) Integrated Framework

Origen del estudio del Committee of Sponsoring Organizations of the Treadway Commission (COSO)

1. Es un pr proc oces eso o… 2. rea realiz lizado ado por por la junt junta a direct directiva iva,, la gerencia y demás personal de la entidad,… 3. bas basado ado en el est establ ableci ecimien miento to de estrategias para toda la empresa, …

4. diseñad diseñadas as para para identi identific ficar ar event eventos os potenciales que puedan afectar a la entidad, y gerenciar los riesgos dentro del apetito de riesgo…

5. para para pr prop opor orci cion onar  ar una una seguridad razonable referente al logro de los objetivos del negocio Fuente: Enterprise Risk Management  — Integrated Framework Septiembre, 2004

Origen del estudio del Committee of Sponsoring Organizations of the Treadway Commission (COSO) COSO II - ERM: Marco de Gestión Integral de Riesgo (Enterprise Risk Management)

COSO I: Control Interno - Marco Conceptual Integrado   s   n e   o   e   i   a c   o  r  t   r   p  e    R  e   O  p

  t  o   e  n    i    i  m    l   p   m   C  u

Monitoreo Información y Comu Comunicación nicación Actividades de Control Evaluación de Riesgos Ambiente de Control

   2    d    1   a    i    d   d   v   a   i    t    B   d    i   c   v   A    d   i    A  a   t   c    d   d    i    A   a  n    d    i    U   n    U

Componentes del COSO-ERM Objetivo Nuevo

Componente Ampliado Componente Ampliado Componente Ampliado Nuevo Componente Componente Ampliado Nuevo Componente Nuevo Componente Componente Ampliado Considera las actividades de todos los niveles de la

Componentes de COSO-ERM  Ambiente de Control

Componente COSO-ERM:  Ambiente de Control Enmarca el tono de la organización, influenciando la conciencia del riesgo en su personal. Es la base del resto de los componentes y provee disciplina y estructura.

Este componente establece: • Una filosofía de gestión integral de riesgo • Nivel de riesgo que la alta gerencia asume (Apetito de riesgo) • Rol supervisorio de la junta directiva en la gestión integral de riesgo • La integridad y los valores éticos • Una estructura de gestión integral de riesgos: Sistemas de delegación de autoridad, roles y responsabilidades y líneas de reporte • Estándares de recursos humanos: habilidad y competencia de los empleados

Componente COSO-ERM:  Ambiente de Control Filosofía de Gestión de Riesgo - Ejemplo “ERM 

Enseñar  con palabras y acciones

debe proveer a nuestra organización de capacidades superiores para identificar, evaluar, y  gestionar en amplio espectro los riesgos en todos los niveles de cargo a fin de mejorar el  entendimiento y manejo de los riesgos. Para ello debe proveer: • Aceptación responsable del riesgo • Apoyo para el comité ejecutivo y 

 junta directiva en la creación de  portafolio de riesgos • Considerar los diferentes riesgos

en la toma de decisiones … “ 

Componente COSO-ERM:  Ambiente de Control Filosofía de Gestión de Riesgo Cultura de Riesgo y Control •

La cultura de riesgo fluye desde la filosofía y el apetito de riesgo de la entidad

•

Una gestión integral de riesgo es exitosa y eficiente, cuando la organización mantiene una cultura de riesgo positiva; esto es que toda la entidad tenga conciencia de los riesgos y cumpla con los ocho (8) componentes COSO -ERM

Componente COSO-ERM:  Ambiente de Control Integridad y Valores Éticos Son comunicados por medio de un código formal de conducta • Establecimiento de canales de comunicación y denuncia • Compromiso de los empleados en comunicar  aquellas situaciones que se consideren incumplimiento del código de ética y conducta • Deben ser mostrados con acciones •

La efectividad de la gestión integral de riesgo, nunca superará la integridad y los valores éticos de las personas que crean, administran y monitorean las actividades de la entidad

Componente COSO-ERM:  Ambiente de Control Integridad y Valores Éticos Estructura del Código de Conducta

Secciones del Código - Visión, misión y objetivos - Manifiesto de la Presidencia Ejecutiva exhortando al cumplimiento del Código - Declaración de los valores éticos de la organización -

Las responsabilidades organizacionales

individuales

- Lineamientos éticos y medidas disciplinarias - Guía o canales para resolver las cuestiones éticas - Glosario de términos

y

Componente COSO-ERM:  Ambiente de Control Integridad y Valores Éticos Canales de denuncia Opción 1

Opción 2

Opción 3

Identificación del denunciante

 Anonimato Parcial

 Anonimato Total

Identificación de la identidad de la persona que denuncie irregularidades

Se conoce al denunciante pero no se divulga su identidad

Conservación del anonimato absoluto de la identidad de la persona que denuncie irregularidades

Esta es una de las opciones más utilizada. Cuenta con canales de comunicación bajo el control de unidades de gestión de ética y conducta

Cuenta con canales de comunicación confidenciales para conservar el anonimato

Canales abiertos de comunicación

Fax, buzón de voz, números telefónicos directos y correo electrónico

Componente COSO-ERM:  Ambiente de Control Estructura organizacional Está diseñada de acuerdo al tamaño y naturaleza de las actividades de la entidad

• Facilita la efectividad de gestión

integral de riesgo • Define áreas clave de

responsabilidad • Establece líneas de reporte

Componente COSO-ERM:  Ambiente de Control Estructura organizacional Existen diferentes alternativas de estructura organizacional, donde los roles y responsabilidades, así como las líneas de reporte pueden presentar debilidades y fortalezas diferentes • Opción A: Lidera

Junta Directiva la gestión de riesgo: existe una unidad de gestión de riesgo que coordina todas las actividades en la organización, reporta al Comité de Comité de la evaluación de comité de riesgo. Auditoría interna es responsable por riesgo auditoría CEO la efectividad de los procesos, prueba los controles clave establecidos para la repuesta al riesgoGrupo de alta gerencia  Auditor Interno Senior 

CFO CTO Legal CIO Gerencia Integral de riesgo

 Auditoría Interna

Unidades de Negocio  Aseguramiento Fraude

Seguro

PCN

Seguridad de Información

Componente COSO-ERM:  Ambiente de Control Estructura organizacional Existen diferentes alternativas de estructura organizacional, donde los roles y responsabilidades, así como las líneas de reporte pueden presentar debilidades y fortalezas diferentes • Opción B: Lidera

Junta de Directiva la gestión riesgo y aseguramiento: existe una unidad de gestión de riesgo que es reponsable de los riesgos y el de aseguramiento del cumplimiento Comité de las actividades de la gestión de Comité de Auditoría Riesgo CEO riesgo Grupo de alta gerencia  Auditor Interno Senior 

CFO CTO Legal CIO

Unidades de Negocio

Gerencia Integral de riesgo

Auditoría Interna

Aseguramiento Fraude

Seguro

PCN

Seguridad de Información

Componente COSO-ERM:  Ambiente de Control Estructura organizacional Existen diferentes alternativas de estructura organizacional, donde los roles y responsabilidades, así como las líneas de reporte pueden presentar debilidades y fortalezas diferentes Junta Directiva Las funciones de la gerencia de riesgo son lideradas por  auditoría interna Comité de

• Opción C:

 Auditoría y Riesgo

CEO

Grupo de alta gerencia CFO CTO Legal CIO

 Auditor Interno Senior/ CRO

Unidades de Negocio Auditoría Interna y Gerencia de Riesgo Aseguramiento Fraude

Seguro

PCN

Seguridad de Información

Componente COSO-ERM:  Ambiente de Control Estructura organizacional Existen diferentes alternativas de estructura organizacional, donde los roles y responsabilidades, así como las líneas de reporte pueden presentar debilidades y fortalezas diferentes Junta Directiva Estructura descentralizada, donde no existe una unidad específica de riesgo sino que cada unidad deComité negocio es responsable de Auditoría de la gestión de riesgo CEO

• Opción D:

Grupo de alta gerencia CFO CTO Legal CIO

 Auditor Interno Senior 

 Auditoría Internal

Unidades de Negocio Aseguramiento Fraude

Seguro

PCN

Seguridad de Información

Componente COSO-ERM:  Ambiente de Control  Asignación de autoridad y responsabilidades ROLES Y FUNCIONES DE LA GESTIÓN DE RIESGO

Junta Directiva • Velar y supervisar la adecuada administración y control de los riesgos • Tomar decisiones sobre las pérdidas financieras por reducción del patrimonio Gerencia de Riesgo

que la organización pueda sufrir causa de la materialización deriesgo los riesgos • Garantizar el cumplimiento dela plan estratégico de gestión de integral de la Institución •  Aprobar los planes de acción resultantes de la identificación, evaluación y medición de los riesgos y las acciones mitigantes Presidencia • Establecer mecanismos adecuados para de la gestión riesgo integral • Delegarlos la responsabilidad, en el Comité Riesgo, del de entender todos asociados los riesgosaldemayor  la usoorganización de tecnología Designar delegados de riesgo para cada unidad de negocios y apoyo •  Asegurar que los requisitos sistemáticos, organizativos, procedimentales y culturales Coordinadores de Riesgo por Unidad Negocio estén establecidos para administrar todos losde riesgos •  Administrar los riesgos • Participar activamente en las auto-evaluaciones del riesgo integral en su área. Comité de Riesgo • Realizar seguimiento de los indicadores de riesgo. • Designar al responsable la materialización Unidad de Administración Integral de Riesgo. • Seguir y reportar las pérdidasdepor de los riesgos • Supervisar el desempeño y el cumplimiento de los objetivos de la Unidad de  Administración Integral de Riesgo con respecto a la gestión de riesgos Auditoría Interna •  Aprobarellacumplimiento metodología diseñada por la yUnidad de Administración Integral Riesgo • Supervisar de las políticas procedimientos de la gestión del de riesgo integral para identificar, medir, controlar, monitorear y valorar los diversos riesgos asumidos por  • Revisar el marco general de la gestión del riesgo integral la organización

Componente COSO-ERM:  Ambiente de Control Normas de recursos humanos, habilidades y competencias • Establecen las normas de orientación, adiestramiento,

evaluación, promoción, compensación, y acciones de remediación, manejo esperado de niveles de integridad, comportamiento ético y competencia • Envían mensajes de acciones disciplinarias ante violaciones

de comportamiento esperado que no pueden ser toleradas • La capacidad del personal de la organización refleja el

conocimiento y las habilidades necesitados para realizar las tareas asignadas • Permite a la gerencia alinear los costos-beneficios

Componentes de COSO-ERM Establecimiento de Objetivos

Componente COSO-ERM: Establecimiento de Objetivos Dentro del marco de la definición de la misión y visión, la gerencia establece las estrategias y objetivos • La gestión integral de riesgo se asegura que la gerencia cuente con un proceso para definir objetivos que estén alineados con la misión y visión, con el apetito de riesgo y niveles de tolerancia • Los

objetivos se clasifican en cuatro categorías: • Estratégicos • Operacionales o • Reporte

resultados • Cumplimiento

presentación

de

Componente COSO-ERM: Establecimiento de Objetivos  Apetito de Riesgo Es el máximo nivel de riesgo que los accionistas están dispuestos a aceptar  • Es una guía en el establecimiento de la Excediendo estrategia el Apetito de Riesgo • La gerencia lo expresa   o    t como un balance entre:   c   a   p crecimiento, riesgo y   m    I Dentro del retorno. Apetito de Riesgo • Dirige la asignación de recursos Bajo Medio Alto Probabilidad •  Alinea la organización, personal, procesos e infraestructura   o    t    l    A

  o    i    d   e    M

  o    j   a    B

Componente COSO-ERM: Establecimiento de Objetivos Tolerancia al Riesgo Son los niveles aceptables de variación de las metas fijadas • La

Estrategia de negocio

Variación  Inaceptable 

Límite de tolerancia

Desempeño Real

Meta Fijada Límite de tolerancia Variación  Inaceptable 

Tiempo

tolerancia al riesgo se puede medir  preferiblemente en las mismas unidades que los objetivos relacionados

Componente COSO-ERM: Establecimiento de Objetivos Tolerancia al Riesgo Estrategia de negocio Límite de tolerancia

Desempeño Real 20% TDC en relación con la cartera total

22%

Límite de tolerancia 18%

Tiempo

Colocación de tarjeta de crédito

Componentes de COSO-ERM Identificación de Eventos

Componente COSO-ERM: Identificación de Eventos Se identifican eventos potenciales que si ocurren pueden afectar a la entidad. Base para los componentes: evaluación de riesgos y respuesta al riesgo • La gerencia reconoce que la

incertidumbre existe, lo cual se traduce en no poder conocer con exactitud cuándo y dónde un evento pudiera ocurrir, así como tampoco sus consecuencias financieras • En este componente se identifican

los eventos con impacto negativo (riesgos) y con impacto positivo (oportunidades)

Componente COSO-ERM: Identificación de Eventos Impacto positivo – impacto negativo

Evento: Devaluación cambiaria Riesgo:

Deuda Externa

Oportunidad:

Inversión en moneda extranjera

Evento: Aumento de precios afectando los productos de 1000 grs Riesgo:

Disminución de las ventas

Oportunidad:

Ventas de productos de 250 grs

Componente COSO-ERM: Identificación de Eventos Eventos • La gerencia identifica los eventos potenciales que afectan la puesta en

práctica de la estrategia o el logro de los objetivos, pudiendo tener  impactos positivos o negativos • Incluso los eventos con baja posibilidad de ocurrencia se consideran

si el impacto en un objetivo es alto • Los eventos se identifican en todos los niveles de la organización

Factores Influyentes •

La gerencia reconoce la importancia de entender los factores internos y externos y el tipo de eventos que pueden generar 

Componente COSO-ERM: Identificación de Eventos Factores Externos

Económicos •

Disponibilidad de capital

•

Incumplimiento de créditos

•

Seguros

 Ambiente Natural

Políticos

•

Contaminación

•

Cambios gubernamentales

•

Energía

•

Legislación

•

Desastres naturales

•

Regulaciones

• Incumplimiento • Concentración •

Liquidez • Financiamiento • Flujo

•

de caja

Mercado • Precios • Desempleo

•

Huelgas

Tendencias tecnológicas •

E-business, E-commerce

•

Tecnologías emergentes

•

Interrupciones

Componente COSO-ERM: Identificación de Eventos Factores Internos

Tecnología •

• •

Datos • Mantenimiento • Distribución • Confidencialidad • Integridad • Disponibilidad Capacidad Sistemas • Selección • Desarrollo • Implantación • Desempeño y rendimiento • Disponibilidad

Personal

Proceso

•

Competencia del personal

•

Diseño

•

Salud e higiene

•

Ejecución

•

Ética e integridad

•

Proveedor / dependencias

Infraestructura •

Disponibilidad de activos

•

Capacidad de activos

•

 Acceso a capital

Componente COSO-ERM: Identificación de Eventos

Económicos Medio Ambiente Políticos

Personal Procesos Infraestructura

Nuevos competidores Lluvias Control de comisiones Objetivo mantener  margen 10%

Expira contrato colectivo Lentitud respuesta Nuevos canales

Componentes de COSO-ERM Evaluación de Riesgo

Componente COSO-ERM: Evaluación de Riesgo Permite que una entidad entienda el grado en el cual los eventos potenciales pudieran afectar los objetivos del negocio • Determina riesgos a partir de dos

perspectivas: Probabilidad e Impacto • Entre las técnicas se utiliza

determinar riesgos y normalmente también se utiliza medir los objetivos relacionados • En la evaluación de riesgos, la

gerencia considera eventos previstos e inesperados • Los riesgos inherentes y residuales

son evaluados

Componente COSO-ERM: Evaluación de Riesgo Riesgo Inherente Es el riesgo en una organización en ausencia de acciones que podrían alterar el impacto o la frecuencia de ocurrencia de ese riesgo

Riesgo Residual Es el riesgo que resulta después que la gerencia ha implantado efectivamente acciones para mitigar el riesgo inherente

Componente COSO-ERM: Evaluación de Riesgo Estimar probabilidad e impacto •

Los acontecimientos potenciales se evalúan a partir de dos perspectivas: probabilidad e impacto

•

En la determinación de impacto, la gerencia utiliza normalmente una medida igual, o congruente según lo utilizado para el establecimiento del objetivo

•

El horizonte del tiempo usado para determinar riesgos debe ser  constante con el horizonte del tiempo de la estrategia y de los objetivos

Componente COSO-ERM: Evaluación de Riesgo Técnicas de evaluación • Técnicas Cualitativas - Impacto Vs. Probabilidad

• Técnicas Semi-cuantitativa - Se usa un análisis cualitativo asignando valores monetarios al riesgo

• Técnicas Cuantitativas - Técnicas Probabilísticas • Valor en Riesgo VaR • Riesgo de Flujo de Caja • Distribuciones de pérdidas • Back-testing - Técnicas no probabilísticas •  Análisis de sensibilidad •  Análisis de escenarios • Benchmarking

Componente COSO-ERM: Evaluación de Riesgo Técnicas de evaluación: Cualitativas •  Autoevaluación: Es el proceso en el cual las unidades funcionales de

la organización, de forma subjetiva, identifican los riesgos inherentes a sus actividades, evalúan el nivel de control existente y determinan los puntos de mejora que se deben realizar  • Talleres Grupales (Workshops) • Cuestionarios

•

Como resultado de la aplicación de cualquiera de esta técnicas se obtiene el catálogo de riesgos, ponderando la probabilidad de ocurrencia e impacto en los objetivos del negocio Probabilidad de ocurrencia

Impacto

Altamente probable

Alto

Posiblemente probable

Medio

Remotamente probable

Bajo

Componente COSO-ERM: Evaluación de Riesgo Técnicas de evaluación Riesgos 1

Multas por violaciones a las normas

2

Deterioro de imagen

3

Devaluación de la moneda mayor al 15%

4

Huelgas que afectan la respuestas a clientes

5

Morosidad de la cartera

6 7 8

Falla en la integridad de la información  Alta concentración (colocaciones en pocos clientes) Bajo retorno de la inversión

Probabilidad

Impacto

Componente COSO-ERM: Evaluación de Riesgo Técnicas de evaluación Distribución de riesgos de forma representativa, de acuerdo con el nivel de exposición Devaluación de la moneda mayor al 15%    l   a    i   n   o   m    i   r    t   a    P   o    t   c   a   p   m    I

Falla en la integridad de la información

Multas violaciones ambientales y sanitarias Deterioro de imagen Morosidad de la cartera

Huelgas que afectan las respuestas a clientes

Probabilidad de ocurrencia

Componentes de COSO-ERM Respuesta al riesgo

Componente COSO-ERM: Respuesta al riesgo Evaluar posibles respuestas Las respuestas deben ser evaluadas en función de alcanzar el riesgo residual alineado con los niveles de tolerancia al riesgo y pueden estar  enmarcadas en las siguientes categorías:

Mitigar el Riesgo

Compartir el Riesgo

Componente COSO-ERM: Respuesta al riesgo Evaluar posibles respuestas Compartir el Riesgo

Evitar el Riesgo • •

•

Reducir la expansión de una línea de productos a nuevos mercados Vender una división, unidad de negocio o segmento geográfico altamente riesgoso Dejar de producir un producto o servicio altamente riesgoso

 Aceptar el Riesgo

• • •

Mitigar el Riesgo •

•  Auto-asegurarse

(Self-insuring)

contra pérdidas los riesgos de acuerdo a los niveles de tolerancia de riesgo

Compra de seguros contra pérdidas inesperadas significativas Contratación de outsourcing para procesos del negocio Compartir el riesgo con acuerdos sindicales o contractuales con clientes, proveedores u otros socios de negocio

• •

•  Aceptar

•

Fortalecimiento del control interno en los procesos del negocio Diversificación de productos Establecimiento de límites a las operaciones y monitoreo Reasignación de capital entre unidades operativas

Componente COSO-ERM: Respuesta al riesgo Evaluar los costos versus beneficios de las respuestas • Los costos de diseñar e implantar una respuesta deben ser 

considerados, así como los costos de mantenerla • Los costos y los beneficios de la implantación de las respuestas al riesgo

pueden ser medidos cualitativa o cuantitativamente, típicamente la unidad de medición es consistente con la utilizada en el establecimiento de los objetivos y tolerancia al riesgo • La gerencia debe considerar los riesgos adicionales que pueden resultar 

de una respuesta, así como también las posibles oportunidades

Componentes de COSO-ERM  Actividades de Control

Componente COSO-ERM:  Actividades de Control Políticas y procedimientos que ayudan a la gerencia a asegurar que las respuestas a los riesgos son ejecutadas, de forma apropiada y oportuna •

Están presentes en todos los niveles y áreas funcionales de la organización para lograr los objetivos del negocio

•

Incluye un rango de actividades, tales como: -

 Aprobaciones  Autorizaciones Verificaciones Conciliaciones Seguridad de los activos Desempeño de las operaciones Segregación de funciones

Componente COSO-ERM:  Actividades de Control Políticas y procedimientos •

Las actividades de control usualmente involucran el establecimiento de una política (lo que debe ser hecho) y los procedimientos para ejecutar la política

•

Cuando las políticas están formalmente documentadas pueden ser  implementadas amplia, consciente y consistentemente en toda la organización

•

Si se identifican desviaciones en el cumplimiento de las políticas y procedimientos deben ser investigadas y tomar las acciones correctivas

Componente COSO-ERM:  Actividades de Control Integración con las respuestas al riesgo La selección de las actividades de control incluye: • Considerar su relevancia y lo adecuado para responder ante el riesgo • Cómo se interrelacionan con otras actividades de control y con los objetivos de la entidad Objetivo: Conocer el cliente objetivo (target) de ventas de un nuevo

producto Riesgo: Carencia de suficiente conocimiento de factores externos,

tales como necesidades potenciales de los clientes Respuesta: Reducir el riesgo mediante el análisis del

comportamiento histórico de los clientes y realizar investigaciones de mercado Actividad de control: Monitorear el comportamiento de los clientes

mediante reportes mensuales y la validación de la data existente

Componente COSO-ERM:  Actividades de Control Tipo de Actividades de Control Diferentes tipos de controles: Controles preventivos

Diseñados para evitar riesgos, errores o incidentes antes de su ocurrencia

Controles detectivos

Diseñados para detectar de forma rápida riesgos, errores o incidentes

Controles correctivos

Diseñados para remediar o reducir daños como consecuencia de riesgos, errores o incidentes ocurridos

Componentes de COSO-ERM Información y comunicación

Componente COSO-ERM: Información y comunicación La información relevante, debe ser identificada, capturada, procesada y comunicada en la oportunidad y forma adecuada

• Los sistemas de información

deben apoyar la toma de decisiones y la gestión de riesgo (ERM) • La gerencia debe enviar un

mensaje al personal resaltando su responsabilidad ante el ERM • El personal debe entender su

rol en el ERM así como su contribución individual en relación con el trabajo de otros

Componente COSO-ERM: Información y comunicación Información • Estrategia y sistemas integrados • Integración con las operaciones • Profundidad y puntualidad de la información • Calidad de la información • Se puede obtener de fuentes internas y externas Revisión de información histórica vs. actual

Uso de Sistemas Integrados SAP, Peoplesoft, JD Edwards. Disponibilidad de consultas vía Intranet o Internet

Componente COSO-ERM: Información y comunicación Comunicación •

La comunicación interna debe proveer al personal y a la organización en relación al ERM: -

Un lenguaje común de riesgo La importancia y relevancia del ERM Los objetivos de la organización El apetito de riesgo y la tolerancia al riesgo de la organización Los roles y responsabilidades del personal y sus funciones de apoyo a la gestión de riesgos - Los comportamientos aceptables y no aceptables son claramente transmitidos al personal - Existencia de canales de comunicación internos y externos •

Los canales de comunicación externos (ejemplo: proveedores, consumidores y reguladores) proveen información necesaria para mejorar la calidad de productos y servicios, así como anticiparse a las tendencias de mercado, problemas u oportunidades

Componente COSO-ERM: Información y comunicación Comunicación Creación de Comités de atención de reclamos o de calidad • Convenciones internas de ventas y conferencias de resultados del negocio •

•

Líneas internas de denuncias anónimas y políticas de “whistleblower”

Carteleras, publicaciones, e-mails informativos • Independencia de funciones • Lineamientos de interacción con la alta gerencia y junta directiva • Interacción y definición de canales para compartir información del Back y Front-Office •

Componentes de COSO-ERM Monitoreo

Componente COSO-ERM: Monitoreo El ERM es monitoreado, evaluando la presencia y funcionamientos de sus componentes a lo largo del tiempo

La eficacia de los otros componentes del ERM se sigue mediante: -  Actividades de supervisión continua - Evaluaciones separadas

Componente COSO-ERM: Monitoreo  Actividades de supervisión continua • Se realizan normal y recurrentemente en cada

una de las actividades de la organización • Son ejecutadas sobre la base de un esquema de

tiempo real • Son más efectivas que las evaluaciones

separadas, lo cual hace que el monitoreo continuo pueda identificar rápidamente cualquier  desviación

Componente COSO-ERM: Monitoreo Evaluaciones separadas • Se enfocan directamente a la efectividad del

ERM y las actividades de supervisión continua • El responsable de la evaluación debe entender 

las actividades de la entidad y de cada componente del ERM evaluado • Se debe corroborar el diseño del ERM y los

resultados de las pruebas realizadas contra los indicadores establecidos inicialmente por la gerencia

Componente COSO-ERM: Monitoreo Evaluaciones separadas •  Autoevaluación de las

áreas de la organización • Evaluaciones de

auditoría interna • Evaluaciones de

auditoría externa

Riesgos Riesgos de Seguridad Reputación Lógica Riesgos de Riesgos de Seguridad de Manufactura Información Auditoría Riesgos Regulatorios

Ger 

Interna

Riesgos Tecnológicos

Riesgos Riesgos de Fraude Financieros