APUNTES COSO ERM 04

UNIVERSIDAD DE SANTIAGO DE CHILE Facultad de Administración y Economía

CARRERA DE CONTADOR PÚBLICO Y AUDITOR

COSO ERM

Profesor: Nelson Palominos G. Contador Público Usach Contador Auditor Usach Magíster Contabilidad y Auditoría de Gestión

Administración de riesgo y el control modernos en las entidades Profesor: Nelson Palominos G. Contador Público Usach Contador Auditor Usach Magíster Contabilidad y Auditoría de Gestión

 Antecedentes sobre la comisión Treadway  En el año 1985, se forma en USA, la Comision Treadway, cuyo presidente era James C. Treadway, la cual en la actualidad se llama COSO, que es una comisión dedicada a mejorar la calidad de la divulgación divulgación financiera respecto de la ética de los negocios, los controles internos y el gobierno corporativo. corporativo.

Todos sabemos que esta comisión está formada por las 5 asociaciones relacionadas relacionadas con los aspectos normativos americanos americanos como son : -La Asociación Americana de Contabilidad -El Instituto Americano de Contadores Públicos Certificados ( IACPA) -El Instituto Americano Financiero Financiero de Ejecutivo -El Instituto Americano de Auditores Internos -Asociación Nacional Americana de Contadores Públicos

También sabemos, sabemos, que la citada comisión, le solicitó en el año 1992, a la empresa de auditoría Americana Coopers & Lybrand, que redactara las conclusiones a las cuales habían llegado los participantes en materia de control interno, y ese año aparece el informe C.O.S.O (Comité of Sponsoring Sponsoring Organizations of the Treadway Comisión), el cual lo incorpora como en las normas de auditoría americnas a través t ravés del SAS 78 en el año 1997. En Chile, el Colegio de Contadores lo incorporó incorporó como una norma de auditoría a través de la NAGA 44 en la década del 2000. Pero para entender mejor el sistema de control interno de una entidad, tenemos que darle valor a todo lo que se ha escrito sobre la materia a contar del siglo pasado, durante el cual la profesión del Contador Público y Auditor, tuvo su mayor  desarrollo, especialmente especialmente en lo relativo al control interno, por lo tanto , donde se creo la doctrina, los procedimientos y las normas.  Antecedentes históricos del Control I nterno

A principio del siglo XX, Laurence R. Dicksee, señaló que los auditores deberían preocuparse del control interno para llevar a cabo sus auditorías, y es precisamente en este siglo donde los aspectos doctrinarios del CI, tienen su mayor auge, hay una preocupación permanente par parte de la profesión respecto del tema. En el año 1947, el IACP, emitió un documento denominado " Declaración tentativa de normas de auditoría, su alcance y la significación de su aceptación general ", documento que fue aprobado por los miembros del Instituto Americano en el año 1948. En ese documento se indicaba las normas a las cuales estaban sujetos los profesionales auditores, y en una norma relativa al trabajo se indicaba que el profesional auditor debía " Estudiar y evaluar el Control Interno existente en la empresa, para determinar el alcance, naturaleza y oportunidad en en la aplicación de de las pruebas de auditoría".

 Apuntes preparado por el profesor Nelson Palominos G. Luego, en vista de lo anterior el mismo IACP, nombró una comisión el año 1948 para dedicarse a los aspectos doctrinario del control interno. La citada comisión definió el control interno el año 1949.  Apuntes preparados por el profesor. Nelson Palominos G . G .

Definición de Control Interno (año 1949)

" El control interno comprende el plan de organización, todos los métodos coordinados y las medidas adoptadas en la empresa, para proteger sus activos, verificar la exactitud y confiabilidad de sus datos contables, promover la eficiencia en las operaciones y estimular la adhesión a las políticas ordenadas por la gerencia".

Todos sabemos que esta comisión está formada por las 5 asociaciones relacionadas relacionadas con los aspectos normativos americanos americanos como son : -La Asociación Americana de Contabilidad -El Instituto Americano de Contadores Públicos Certificados ( IACPA) -El Instituto Americano Financiero Financiero de Ejecutivo -El Instituto Americano de Auditores Internos -Asociación Nacional Americana de Contadores Públicos

También sabemos, sabemos, que la citada comisión, le solicitó en el año 1992, a la empresa de auditoría Americana Coopers & Lybrand, que redactara las conclusiones a las cuales habían llegado los participantes en materia de control interno, y ese año aparece el informe C.O.S.O (Comité of Sponsoring Sponsoring Organizations of the Treadway Comisión), el cual lo incorpora como en las normas de auditoría americnas a través t ravés del SAS 78 en el año 1997. En Chile, el Colegio de Contadores lo incorporó incorporó como una norma de auditoría a través de la NAGA 44 en la década del 2000. Pero para entender mejor el sistema de control interno de una entidad, tenemos que darle valor a todo lo que se ha escrito sobre la materia a contar del siglo pasado, durante el cual la profesión del Contador Público y Auditor, tuvo su mayor  desarrollo, especialmente especialmente en lo relativo al control interno, por lo tanto , donde se creo la doctrina, los procedimientos y las normas.  Antecedentes históricos del Control I nterno

A principio del siglo XX, Laurence R. Dicksee, señaló que los auditores deberían preocuparse del control interno para llevar a cabo sus auditorías, y es precisamente en este siglo donde los aspectos doctrinarios del CI, tienen su mayor auge, hay una preocupación permanente par parte de la profesión respecto del tema. En el año 1947, el IACP, emitió un documento denominado " Declaración tentativa de normas de auditoría, su alcance y la significación de su aceptación general ", documento que fue aprobado por los miembros del Instituto Americano en el año 1948. En ese documento se indicaba las normas a las cuales estaban sujetos los profesionales auditores, y en una norma relativa al trabajo se indicaba que el profesional auditor debía " Estudiar y evaluar el Control Interno existente en la empresa, para determinar el alcance, naturaleza y oportunidad en en la aplicación de de las pruebas de auditoría".

 Apuntes preparado por el profesor Nelson Palominos G. Luego, en vista de lo anterior el mismo IACP, nombró una comisión el año 1948 para dedicarse a los aspectos doctrinario del control interno. La citada comisión definió el control interno el año 1949.  Apuntes preparados por el profesor. Nelson Palominos G . G .

Definición de Control Interno (año 1949)

" El control interno comprende el plan de organización, todos los métodos coordinados y las medidas adoptadas en la empresa, para proteger sus activos, verificar la exactitud y confiabilidad de sus datos contables, promover la eficiencia en las operaciones y estimular la adhesión a las políticas ordenadas por la gerencia".

En el año 1958, el mismo instituto subdividió el Control Interno, ya que se entendía que este contenía controles de tipo contables y de tipo administrativos. Esa división se lleva a cabo denominando 2 tipos de controles, el Control Interno Contable y el Control Interno Administrativo.

Control Interno Contable

La profesión definió al CI Contable como " El plan de organización y todos los métodos y procedimientos relacionados directamente directamente con la protección de los activos y la confiabilidad de los l os registros financieros". Además, se agregó que el control interno contable, incluye controles tales como:

-Sistema de autorizaciones y aprobaciones -Separación de funciones relacionada a registro y custodia custodia de activos. -Controles físicos sobre los activos -La auditoría interna. Control Interno Administrativo También el IACP, procedió a definir el CI Administrativo, como " El plan de organización y todos los métodos y procedimientos que se relacionan  principalmente con la eficiencia en las operaciones, operaciones, la adhesión a las políticas de la gerencia. Este control interno administrativo incluye controles tales como:

-Análisis estadísticos -Estudio de tiempo y movimiento -Informes de funcionamiento de la organización -Programas de adiestramiento de personal -Controles de calidad. Alcance del control interno De las definiciones anteriores se llega a la conclusión que el control interno se extiende mucho más allá de los aspectos contables financieros, o sea abarca a toda la organización, a todas las funciones que se ejecutan en ella.

Objetivos del control interno (año 1949) De la propia definición entregada en el año 1949 por el IACP, se desprenden 4 objetivos del control interno y son los siguientes: a.-Protección a.-Protección de los activos b.-Asegurar la calidad de la información i nformación c.-Promover la eficiencia operacional  d.-Impulsar la adhesión a las políticas de la empresa

Protección de los activos

Este objetivo del control interno implicaba, que en la medida que la empresa posea procedimientos de CI, para todas sus operaciones, los recursos que ella posea estarán más protegidos, esto quiere decir que los procedimientos de control por ejemplo impedirían que se efectuaran gastos que no guardan relación con la empresa, se evitaría también ejecutar tareas innecesarias, se evitarían las duplicidades de funciones y en general se lograría con un sistema de control interno que las operaciones sigan el curso normal de ellas.

b.-Asegurar la calidad de la información Es importante señalar que en la medida que existan los procedimientos de control interno para obtener, procesar y entregar información, es obvio que esta será de mejor  calidad que la obtenida en empresas que no posean procedimientos .

Cabe agregar que estos procedimientos deben existir para todo tipo de información, sea esta contable, presupuestaria o estadística.

c.-Promover la eficiencia de las operaciones Este otro objetivo del sistema de CI, debe permitir asegurar que la empresa, al emplear los procedimientos de control interno establecidos, sus operaciones se logren en forma eficiente, o sea lograr su misión, metas, objetivos, políticas a través de un uso adecuado de todos sus recursos. Luego entonces la entidad debe obtener el máximo de beneficio en el uso racional de sus recursos. para lograr esto último, la entidad debe efectuar permanentes evaluaciones de los procedimientos y de los resultados obtenidos con los planes establecidos, e informar a los responsables de la gestión, de las deficiencias encontradas.

d.-Impulsar la adhesión a las políticas de la empresa Es importante destacar en este objetivo del CI, es que la gerencia, y en general todos los ejecutivos y supervisores que posea la organización, logren que el personal que lideran, cumplan con los procedimientos establecidos, y los tomen como propios, para determinar que las operaciones se ejecuten de acuerdo con esos lineamientos, y así lograr las metas que deben alcanzarse.

Luego en la década de los años 70, el mismo IACP, empezó a definir un sinnúmero de aspectos doctrinarios, y también a utilizar en forma fundamental el control interno para llevar a cabo las auditorías, y es así como en esa época se fijan los siguientes conceptos.

Conceptos básicos relativos al Control Interno En relación con el control interno, existen numerosos concepto que deben ser  definidos para una mayor comprensión del sistema, entre los cuales tenemos:

1.-Responsabilidad de la dirección o gerencia de la empresa frente al Control interno La responsabilidad de crear, mantener, o corregir los procedimientos de control interno, es de la gerencia general de la organización, como así mismo su implantación. Luego entonces el sistema de control interno debe quedar bajo la continua supervisión de la gerencia de una entidad, para determinar si está funcionando como se requiere. Sin embargo a partir del informe COSO, la responsabilidad es de todos en la organización.

2.-Seguridad razonable de obtener los objetivos del control interno Es importante destacar que no existe una seguridad absoluta que todos los objetivos del control interno se pueden lograr en una organización, ya que en algunos casos los procedimientos de control interno no se pueden implantar por un problema de costo, ya que el COSTO DE CUALESQUIER CONTROL NO PUEDE SER SUPERIOR A LOS BENEFICIOS QUE DE ESTE PROVENGAN. Por lo anterior la relación costobeneficio debería ser un criterio importante que se tiene que considerar, cuando se desee crear un sistema de control interno en una organización.

3.-Sistema de procesamiento de datos Los objetivos del control interno se pueden alcanzar cualesquiera sea el sistema de procesamiento de la información que posea la entidad, sea este manual, mecanizado o computacional, ya que lo que debería verse afectado son los procedimientos que se utilizan para procesar la información en cualesquiera de los sistemas.

4.-Limitaciones del control interno En cualesquier sistema de control interno que exista en una organización, siempre van a existir limitaciones, que necesariamente se deben considerar, ya sea cuando se implemente o cuando se evalue, ya que la mayoría de los procedimientos de control interno se pueden ver afectado por las siguientes causas:

-Falta de entendimiento de los procedimientos -Errores de juicio en la aplicación de los procedimientos -Descuidos personales -Fatiga -Colusión. Los auditores, sean estos internos o externos, cuando están estudiando el sistema, evaluando o comprendiéndolo, deben considerar el riesgo de las situaciones descritas.

5.-Personal En todo sistema de control interno, hay que considerar que la seguridad razonable de alcanzar los objetivos, de la organización dependerá en gran medida de la competencia , integridad, objetividad que posea el personal de la empresa.

6.-Segregación de funciones El sistema de control interno debe evitar que funciones incompatibles sean llevadas por una misma personas, con el propósito de evitar errores o irregularidades en el manejo de las operaciones. Es así como es necesario que las funciones de registro deben ser distintas de la de caja, la de facturación de la de cobranza, la de contabilidad de la de bodega, el vendedor, distinto del cajero.,y otras numerosas funciones incompatibles.

7.-Ejecución de las transacciones Las transacciones que se ejecutan en la empresa deben ser aquellas que están debidamente autorizadas por personas responsables, y el sistema de control interno debe permitir que así se proceda. Estas autorizaciones, se relacionan, con los pagos, el endeudamiento, con las políticas de crédito, políticas de contratación de personal, políticas de remuneraciones, adquisiciones de bienes, autorizaciones para utilizar recursos de la entidad y otras.-

8.-Registro de las transacciones Los procedimientos de control interno referentes a la contabilización de las operaciones, requieren que estas se registren en los períodos en que ellas ocurrieron, y en las cuentas que correspondan.

9.-Acceso a los activos Los procedimientos de control interno, deben estar diseñados de tal forma, que el acceso a los recursos de la entidad, esté limitado a las personas debidamente autorizadas, ya sea del punto de vista físico, sino que también de la utilización que puede dárseles.

10.-Comparación de los registros con los activos El sistema de control interno, debe poseer procedimientos que permitan que las personas que trabajan en la entidad puedan comparar la existencia física del bien con lo que aparece registrado. (arqueo de Caja, Toma de inventarios y otros procedimientos de auditoría). Ahora bien de estos conceptos algunos de ellos en la actualidad tienen plena vigencia.

Elementos del Sistema de Control Interno En la misma época de los años 70, la profesión de auditoría definió los elementos del sistema de control interno existentes en la entidad, a través del SAS 1 y señaló que ellos estaban conformados por:

1.-Un plan de organización 2.-Un sistema de procedimientos y métodos 3.-Un grado de calidad del personal 4.-El sistema de Información. Con posterioridad la profesión incorpora como elementos del sistema:

5.-Las prácticas sanas 6.-El control automático y el deliberado(Auditoría Interna) En la década del 80, el IACP, emite más de 7 documentos (SAS), que vienen a cambiar en forma sustancial, la forma de llevar a cabo las auditorías, y en relación con los riesgo aparece el SAS 47 y respecto del control interno, se emite el SAS 55 en 1988, el cual nos cambia la norma de auditoría y los elementos del mismo, y al sistema se le denomina estructura. Luego entonces en esa fecha, se cambia la norma vigente desde el año 1947 y se señala: " El auditor deberá adquirir una comprensión suficiente de la estructura de control interno, para determinar la naturaleza, oportunidad y extensión necesaria de las pruebas que deberán ejecutarse"  Esta norma es recogida por el Colegio de Contadores a través de los documentos NAGAS y se aplica en nuestro país a través de la NAGA 14 NAGA 22 y NAGA 44 de 2001.

La profesión cambia los elementos señalados en los primeros documentos emitidos, por elementos de la estructura de control interno y fueron los siguientes  Apuntes preparados por el Profesor: Nelson Palominos G .

a.-Ambiente de Control b.-Procedimientos de Control c.-Sistema contable. En esta oportunidad, se le da mucha importancia a los riesgos de auditoría para los exámenes que los auditores deben efectuar, y ellos son los de detección, el inherente y el de control, y el profesional auditor debe evaluarlos durante el proceso de su examen, ya que estos influyen directamente en la selección de la muestra, y en los rubros de mayor interés para efectos de la auditoría.

También la profesión le da importancia a los comites de auditoría en las organizaciones como una instancia de control diferentes a las existentes. Luego en el año 1992, el "Committee of Sponsoring Organizations of the Treadway Commission (COSO), conformadas por el Instituto Americano de Contadores Públicos, La Asociación Americana de Contabilidad, el Instituto de Auditores Internos Americano y otras entidades, le encargaron a la empresa de auditores Coopers & Lybrand, la redacción de un documento final sobre control interno, el cual se le denominó informe COSO. Por otra parte a través del SAS 78, se modifica los aspectos doctrinarios del SAS 55, y se adopta como parte integrante de las Normas de Auditoría , las conclusiones del citado informe COSO. Luego entonces a contar del mes de enero de 1997 entra en vigencia lo señalado en el SAS 78.

Segunda Norma de Auditoría según SAS 78

Tal como lo indicamos en los párrafos precedentes la nueva norma sobre el control interno señala " Un suficiente entendimiento del control interno, tendrá el  auditor, al planear la auditoría, para determinar la naturaleza, tiempo y extensión de las prueba a ser desarrolladas". Además de lo anterior se define al sistema de control interno en forma diferente.

Definición del Sistema de Control Interno (SAS 78)

El mismo SAS 78, señala lo siguiente . “ El control interno es un proceso efectuado por el consejo de directores de la entidad, gerencia y demás personal, designado para proporcionar una razonable seguridad en relación con los logros de los objetivos de las siguientes categorías: a.-seguridad de la información financiera, b.-efectividad y eficiencia de las operaciones, y c.-cumplimiento de las leyes y regulaciones aplicables.” 

ELEMENTOS O COMPONENTES DEL SISTEMA DE CONTROL INTERNO Además de la definición de control interno que reemplaza la fijada en el año 1949, se fijan nuevo elementos del sistema, que tanto el informe COSO, como el SAS 78, le denominan componentes y ellos son los siguientes:

A.-AMBIENTE DE CONTROL El ambiente de control. Establece el comportamiento del control en una entidad, o sea el nivel de compromiso que asume una entidad respecto del control , o sea como el personal comprende el control dentro de una organización., y constituye la base de todos los demás elementos y componentes del sistema de CI en una empresa. Luego el ambiente de control tiene una incidencia fundamental en las actividades empresariales de una organización, ya sea en el establecimiento de objetivos, como en la evaluación de los riesgos de la misma. Entre los factores que se relacionan con este componente tenemos los siguientes: 1.-Valores de integridad y ética 2.-Compromisos de competencia 3.-Junta de directores o participación del comité de auditoría. 4.-Filosofía de la gerencia y estilo de dirección 5.-Estructura organizacional  6.-Asignación de autoridad y responsabilidad  7.-Políticas y prácticas de recursos humanos.

1.-Valores de integridad y ética El estilo de dirección, y la forma como la gerencia percibe el control en la organización, va formando las normas de comportamiento al interior de una empresa, y refleja además la integridad de la gerencia y su compromiso con los valores éticos. La integridad y los valores éticos de las personas de una organización son fundamentales , para la confianza que se pueda depositar en una entidad, ya que la integridad es un requisito previo al comportamiento ético de todos los aspectos relacionados con una empresa. La comisión Treadway señala en su informe COSO, “ Que un clima

vigoroso dentro de la empresa y a todos los niveles de la misma, es esencial para el bienestar de la organización, de todos sus componentes, y del público en general. Un clima así contribuye de forma significativa a la eficiencia de las políticas y de los sistemas de control de la empresa, y permite influir sobre los comportamientos que no están sujetos ni a los sistemas de control más elaborado”. Es importante recordar que la eficiencia del sistema de control interno de una organización no puede pasar a llevar la integridad y los valores éticos de las personas que crean los procedimientos de control, administran y supervisan. Por otra parte es necesario señalar. que el comportamiento ético, así como la integridad de la dirección son productos de una cultura corporativa, que debe materializarse en la creación de normas éticas y de comportamiento de las personas que trabajan en una entidad. Todos sabemos que en algunas entidades pueden existir fraudes u otras irregularidades y estos se dan en una empresa por las siguientes razones: a.-Por la existencia de una motivación b.-Por la poca posibilidad de ser descubierto c.-Por la existencia de una oportunidad  d.-Para poner a prueba la capacidad de los defraudadores. La entidad debe evitar la ocurrencia de lo señalado y así evitar que se produzcan situaciones de ésta naturaleza La alta dirección de una empresa es la responsable de trasmitir los valores éticos y las normas de comportamiento a todos sus empleados.

 Apuntes preparados por el Profesor Nelson Palominos G.

2.-Compromiso de competencia profesional Cabe hacer presente que el nivel de competencia de las personas que laboran en una entidad, debe reflejarse en el conocimiento y en las habilidades necesarias para llevar a cabo las tareas que se le recomienden  Apuntes preparados por el profesor: Nelson Palominos G . La propia organización debe definir el nivel de conocimiento y habilidades que deben poseer las personas en un determinado puesto, como así mismo debe tanto la organización , como las propias personas deben preocuparse del perfeccionamiento continuo, para no perder la competencia para ejecutar las tareas de la entidad en forma eficiente.

3.-Consejo de administración , directorio, o consejo de directorio, y comité de auditoría El entorno de control y la cultura de las organizaciones está fuertemente influenciadas por el directorio de las organizaciones, que representan a los dueños, y por el comité de auditoría. Indudablemente, que para tener el grado de importancia que se requiere, necesariamente tienen que ser independientes respecto de la dirección o gerencia de la empresa, como también la experiencia y grado de competencia de sus miembros. Fuera de lo anterior es importante destacar cual es el grado de compromiso que ellos adquieren con la entidad, ya que depende de esto, para determinar su influencia en toda la organización, y por consiguiente en el ambiente de control.

4.-La filosofía de la dirección o gerencia y el estilo operativo o de gestión Corresponde a la forma de actuar de la gerencia general de una entidad, y su actitud frente a la información financiera, la selección de las alternativas disponibles respecto de los principios de contabilidad generalmente aceptados, la escrupulosidad y prudencia con la cual se obtienen las estimaciones contables, las actitudes frente a las funciones informáticas y contables, como también frente al personal, la forma con que se cumplen con las responsabilidades de la entidad., o sea en general como se lleva a cabo la administración de la entidad.

5.-Estructura organizativa o estructura organizacional . Una estructura organizativa, bien diseñada por la entidad, debe proporcionar el marco dentro de la cual sus actividades deben ser planeadas, ejecutadas, controladas y supervisadas . Esta estructura, debe tener bien diseñado, los niveles de autoridad y responsabilidad dentro de ella, como también las fuentes de información que la entidad requiere para la toma de decisiones y para el control. Ahora bien es importante señalar que cada entidad debe adoptar la estructura organizacional, que más concuerde con los objetivos que se requiere alcanzar, sin embargo esta estructura puede variar por distintas razones, tales como: -Tamaño de la entidad -Dispersión geográfica -Objetivos de la entidad -Tipo de productos que entrega la entidad al mercado

6.-Asignación de autoridad y responsabilidad La entidad debe tener claramente establecidos, ya sea a través de manuales y del organigrama de ella los niveles de autoridad y responsabilidad existente en una empresa. Es importante destacar, que en algunas entidades la tendencia es delegar  más autoridad y los niveles más bajo, para situar el proceso de toma de decisiones en esa primera línea, por otra parte hay otras empresas que delegan la autoridad sólo cuando sea necesario, pero independiente de la forma como se delegue es importante que el personal de la empresa conozca los diferentes niveles de autoridad y responsabilidad existentes en una organización.

7.-Políticas y prácticas de recursos humanos Esto se refiere a la contratación, orientación, entrenamiento , evaluación, promoción y compensación del recurso humano que trabaja en una entidad. Es necesario destacar, que del punto de vista del CI, la organización debe tener procedimientos claros respecto del punto anterior, y además que ellos sean conocidos por los empleados y profesionales de la entidad. También contribuirá al ambiente de control, la preparación que posea el  recurso humano con que cuenta una organización, sus valores éticos y  el grado de compromiso que adquiere con la empresa.

B. EVALUACIÓN DE LOS RIESGOS

Las organizaciones se encuentran con una serie de riesgos, cuyo origen puede ser interno , como externo, que necesariamente debe evaluarse o tener en consideración. Estos riesgos afectan a la empresa en su quehacer diario, en su competencia, su situación financiera y otros aspectos fundamentales. Sin embargo, si bien el sistema de control interno puede minimizarlos, es imposible bajar estos riesgos a un nivel cero. Ahora bien, tal como lo señalamos, es importante evaluar estos riesgos, que consiste en la identificación y análisis de los factores que podrían afectar alcanzar  los objetivos de la entidad. Luego la identificación de los objetivos, es una condición previa a la evaluación de los riesgos, por lo cual la identificación de los objetivos es una fase clave en el proceso de gestión. Los riesgos en la información, incluyen eventos externos e internos, una vez que los riesgos son identificados, la gerencia debe considerar su importancia, la probabilidad de su ocurrencia, y como deben ser manejados. Sobre el particular, la gerencia puede iniciar planes, programas o acciones para identificar los riegos específicos, o para decidir o aceptar un riego, ya sea por el costo u otra consideración. Estos riesgos pueden surgir debido a las siguientes circunstancias: 1.-Cambios en los ambientes operacionales 2.-Nuevo personal 3.-Nuevos o sistemas reorganizados de información 4.-Rápido crecimiento 5.-Nuevas tecnologías 6.-Nuevas líneas de producto o actividades 7.-Estructuración de la entidad. 8.-Operaciones extranjeras 9.-Pronunciamientos de contabilidad. 10.-Clima de ética y presión para el logro de los objetivos de la entidad. 11.-Tamaño de los recursos, liquidez o volúmenes de transacciones 12.-Condiciones económicas del país 13.-Complejidad de las operaciones 14.-Dispersión geográfica de las operaciones

Los riesgos identificados por la alta dirección, están directamente relacionados con los procesos críticos, en los que se involucran a las diversas áreas de una entidad. Por lo tanto es importante que los auditores, sean estos internos o externos identifiquen los riesgos, y así asignar prioridades de revisión a las actividades con probabilidades de riesgo mayor. Ahora bien respecto al COSO ERM, este punto es debidamente ampliado

Consideraciones para el establecimiento de prioridades Es importante destacar que los aspectos más importante en el establecimiento de prioridades en la planeación de una auditoría, respecto de la identificación de los riesgos es la siguiente: -Fecha y resultado de la última auditoría -Exposición financiera en términos de riesgos -Riesgos y pérdidas potenciales -Requerimiento de la gerencia -Cambios importante en las operaciones -Oportunidades para obtener beneficios operativos -Cambios en los equipos de los auditores y capacidad de los mismos.

Para determinar de una forma razonable los riesgos operativos, de una entidad, los auditores, sean internos o externos se deben evaluar los riesgos, para lo cual es necesario ponderar la importancia de las diversas operaciones de la empresa y la eficiencia de los controles de ellas. Para lo anterior se puede utilizar el siguiente modelo de evaluación de riesgos, basado en el marco del control interno, respecto de los objetivos y componentes del C.I.

Objetivos -Eficiencia en el costo -Eficacia en las operaciones -Confiabilidad de la información -Cumplimiento con la normativa -Salvaguarda de los recursos

Componentes

-Ambiente de control -Evaluación de los riesgos -Actividades de control -Información y comunicación -Monitoreo o supervisión Utilizando el modelo de evaluación de riesgo a nivel de función, áreas o rubros, es necesario determinar lo siguiente: 1.-La importancia de cada función, área o rubro frente a los objetivos de control. 2.-Asignar valores a los menos importantes y a los más críticos. 3.-Estimar la eficacia de los controles internos en cada uno de los componentes. Los valores asignados se ponderan por cada uno de los componentes y representan el riesgo residual posterior a las operaciones de los controles. Por lo tanto un valor menor refleja más confianza en el funcionamiento efectivo del control interno..

Todo lo anterior es una forma de evaluar el control interno que propone el informe COCO ( Criteria of Control Board) de Canadá

C.-ACTIVIDADES DE CONTROL Son las políticas y procedimientos que ayudan a asegurarse que las acciones necesarias, serán tomadas en cuenta para establecer los riesgos y lograr los objetivos de la entidad.  Apuntes preparados por el profesor: Nelson Palominos G. O sea son las actividades de control que realiza la gerencia y demás personal de la entidad para cumplir diariamente con las labores asignadas. Estas actividades están relacionadas con las políticas, sistemas y procedimientos relacionados con aprobaciones, autorizaciones, verificaciones, conciliaciones, inspecciones, revisiones de indicadores. y salvaguarda de los recursos. Ahora bien, es importante tener en cuenta que para realizar una auditoría , respecto de este componente, es necesario que se consideren, las actividades de control más relevantes, dentro del marco de las políticas y procedimientos establecidos y que pertenecen a lo siguiente: -Realización de revisiones -Proceso de información -Controles Físicos -Segregación de deberes.

D.-INFORMACIÓN Y COMUNICACIÓN En la organización, el sistema de información es fundamental para lograr los objetivos de la entidad, el sistema de información está compuesto por los subsistemas contables, presupuestarios y estadísticos. Es importante destacar que la calidad de los subsistemas, afecta las habilidades de la gerencia para la toma de decisiones, y afecta también los informes que se emiten. Por lo anterior es importante que la información que se genera sea comunicada oportunamente, de tal manera que permita a las personas entenderla y cumplir con sus responsabilidades.: El sistema de información de la empresa debe abarcar métodos y registros que:  Apuntes preparados por el profesor Nelson Palominos G.

-Identifiquen y registren todas las operaciones ocurridas -Describa las operaciones con detalle para poder clasificar. -Mida las operaciones en términos cuantitativos -Determine el período en las cuales las operaciones ocurrieron. -Presente correctamente las operaciones en los estados que deban emitirse. Por otra parte la comunicación incluye proporcionar información en todos los sentidos, tanto al interior como externamente. También es importante que todos comprendan la importancia del control interno para lograr los objetivos de la entidad, y tener bien establecidos los canales a través de los cuales debe fluir la información de la empresa.

Además es necesario señalar que se debe generar información de calidad y comunicarla oportunamente, de tal manera que las personas la comprendan y puedan cumplir con sus obligaciones. La comunicación debe adquirir formas tales como manuales, memorandum, ordenes de servicios, circulares u otras..

E.-VIGILANCIA, SUPERVISION O MONITOREO Los sistemas de control interno de una organización, necesitan que permanentemente estén siendo evaluados, para determinar si están funcionando tal como han sido prescritos, o en caso contrario efectuar las correcciones pertinentes.

Ahora bien, esta labor le corresponde en primer lugar a quienes tienen autoridad dentro de una entidad, y también a todo el personal, y a las auditorías, tanto las internas como las externas. Queremos señalar también que todo lo anterior es lo que conocemos sobre CI, hasta el mes de Julio de 2003, cuando se reúne nuevamente la comisión COSO, y emite un nuevo documento a contar de esa fecha, denominado COSO ERM, cuyo principal contenido es el que se indica a continuación:

El Control Interno Moderno y los riesgos (COSO ERM) Para nadie es un sorpresa en la actualidad la administración ha evolucionada en forma extraordinaria en el último tiempo y por lo tanto esa misma evolución nos ha llevado a los auditores a ejecutar nuestras tareas de una forma diferente que en el pasado. Es así, como en el año en el año 1985 es creada, por agrupaciones relacionadas con la auditoría, la Comisión Nacional sobre Información Financiera Fraudulenta, conocida como la “Comisión Treadway”, la cual durante cinco años se centro en la tarea de definir bajo un nuevo marco conceptual, relacionado con el control interno, su doctrina, objetivos y componentes, de tal manera de poder  estandarizar muchos aspectos.

• • •

Es bueno recordar tal como lo hemos indicado con antelación, en este apunte, en el año 1992 se emite un documento denominado “Informe C.O.S.O.” (Committee of  Sponsoring Organizations of the Treadway Commission), el cual entrega una doctrina, enfoques y metodologías modernas dirigido especialmente a los niveles estrategicos, logisticos y tacticos dentro de la organización. Y también para los profesionales de la auditoría. Este documento define el CONTROL INTERNO lo define como: “un proceso efectuado por el consejo de administración, l a dirección y el resto del personal de una entidad, diseñado con el objeto de proporcionar un grado de seguridad razonable en cuanto a la consecución de objetivos dentro de las siguientes categorías: Eficacia y eficiencia de las operaciones Fiabilidad de la información financiera Cumplimiento de las leyes y normas que sean aplicables”. El informe C.O.S.O. de 1992, definió cinco componentes interrelacionados entre sí, los cuales eran el Ambiente de Control, Evaluación de Riesgos, Actividades de Control, Información y Comunicación; y Supervisión. En esa misma época, en todas partes del mundo se emitieron con diferencias de meses o años, más o menos, diferentes informes que hablaban de control interno. Se puede citar el Informe Caldbury y turnbull en Inglaterra, el King en Sudafrica, el COCO en Cánada, el Peters en Holanda, el Olivencia en España, el Veniot en Francia , y otros

También es importante destacar que a comienzo de la década del 80 , se comienza a hablar de los Riesgos., especialmente cuando aparece el SAS 47, que lo define y señala cuales son los que afectan a una auditoría a los estados financieros, el Inherente, el de control y el de detección, este último relacionado con los auditores . En esta misma época ya se habla de evaluación de riesgo, de mapa de riesgo, de matrices de riesgos etc. Es importante señalar que en año 1999 y surge un nuevo informe, esta vez en Reino Unido llamado Informe Turnbull al alero de la Bolsa de Valores de Londrés, que acrecienta la importancia de la Administración de Riesgos en el mundo empresarial y organizacional, y que entrega una Guía para los Directores y Administradores de Empresas.

El nuevo COSO (ERM) Para nadie es un misterio que el INCPA incorporó el informe COSO, como una norma Americana, sólo el año 1997, a través de su boletín SAS 78, pero acontecimientos tan importantes como la caída de grandes empresas Americanas en insolvencias, no obstante que tenían audiotorías y sistemas de control interno, llevó nuevamente a reunir la comisión COSO para reestudiar el documento anterior a la luz de los acontecimientos de estos años en el mundo empresarial y de la auditoría. Es así como en julio de 2003 se le solicitó a la empresa PricewaterhouseCoopers emitiera un nuevo documento denominado COSO ERM o COSO dos El COSO II, incluye una guía actualizada que proporciona herramientas de ayuda a las empresas en la administración de sus riesgos, ampliando de 5 a 8 los componentes de la Administración de Riesgos Empresariales. Con ello, se entrega una respuesta a las necesidades que viven las empresas en la actualidad, las cuales operan en ambientes donde factores como la globalización, la tecnología, reestructuraciones, regulaciones, mercados cambiantes y competencias, entre otros, crean la incertidumbre. Considerando toda la literatura existente en el tema de riesgos y control interno, este proyecto, encargado y desarrollado por la empresa “PricewaterhouseCoopers”, la cual, fundamentándose en el primer informe (C.O.S.O. I), unificó criterios construyendo una estructura que proporciona definiciones fundamentales, conceptualizaciones, categorías de objetivos, componentes, principios y otros elementos, que permiten contar con una estructura de riesgos sólida. La Comisión Treadway plantea en la temática fundamental de su segundo informe, que la administración de riesgos, se aplica desde la puesta en marcha de las estrategias y objetivos operacionales de la organización, debiendo integrarse a todos los controles internos, hasta el resultado final y en la retroalimentación pertinente de todos los procesos. La Administración de riesgos existe para mantener y mejorar el valor de las inversiones de sus dueños ,accionistas e interesados en la Organización, por lo cual debe enfrentarse a la incertidumbre, en el menor de los casos evitarla, teniendo presente que en ésta se encuentran los riesgos y las oportunidades asociadas. Donde, la posibilidad cierta de mantener, reforzar o perder el capital, emerge de las decisiones estratégicas de la dirección, de las decisiones operativas de personal no directivo, de la marcha de las operaciones diarias, como también de la información interna o externa disponible.

La administración de riesgos no es un fin en si mismo, más aún es un importante medio para alcanzar los objetivos empresariales (Estratégicos, operacionales, de Información y de Cumplimiento de Regulaciones) y no opera en forma aislada en una entidad, más bien se transforma en un colaboradora en los procesos de administración. La Administración de Riesgos se interrelaciona con el gobierno corporativo, entregando información a la mesa directiva sobre los riesgos más significativos y como ellos están siendo administrados, como también lo hace en el desarrollo de la gestión, proporcionando las medidas más precisas de control interno para minimizar los citados riesgos.

Componentes COSO I - 1992

Componentes COSO II - 2004

1. Ambiente de Control 2. Evaluación de Riesgos

1. Ambiente de Control Interno 2. Establecimiento de Objetivos 3. Identificación de Eventos 4. Evaluación de Riesgos 5. Estrategias frente al Riesgo 6. Actividades de Control 7. Información y Comunicación 8. Supervisión

3. Actividades de Control 4. Información y Comunicación 5. Supervisión

Como se puede observar desde el COSO I, el componente que tiene una profundización mayor, es la Evaluación de Riesgos, la cual pasa a transformarse en el centro del análisis de un control interno moderno, es más como leerán en las páginas siguientes, se comienza a desarrollar la definición global de Administración de Riesgos Empresariales (ERM en inglés).

ADMINISTRACION DE RIESGOS La Comisión Treadway define a la Administración de Riesgos como “un  proceso, efectuado por el Directorio, Administradores y otras personas de la entidad, aplicados a la estrategia establecida en la empresa, diseñado para identificar potenciales eventos que puedan afectarla, y administrar los riesgos que están dentro de su cantidad y capacidades, para proveer una seguridad  razonable con respecto al logro de los objetivos”. La nueva definición anterior, entrega cierta terminología fundamental para la administración de riesgos, la cual al igual que el primer informe comienza a establecer  una estructura básica e integrada de conceptos entre el control interno y la administración de riesgos, los cuales son:

Un proceso; esto se refiere a que la administración de riesgos no es un suceso aislado, sino que representa una serie de acciones que se extienden por toda la empresa a través de sus actividades propias, siendo estas últimas inherentes a la gestión de la dirección.

Las personas; La administración de riesgos es efectuada por personas que se desempeñan en el Consejo de Administración, la dirección y los demás miembros de la organización, a través de acciones y palabras. Estas personas son las que establecen la visión, misión, estrategia y objetivos de la entidad, e implantan los mecanismos de administración de riesgos.

Aplicada en la Estrategia; Una entidad define su visión y misión, y luego sustentado en éstas, establece sus objetivos estratégicos, los cuales son las metas de más alto nivel de la organización. También fija objetivos operacionales para la organización en forma íntegral y para unidades específicas, como divisiones y procesos, las cuales se derivan de la estrategia.

Aplicada a través de la Empresa; Para tener éxito en aplicación de la administración de riesgos, una entidad debe considerar el alcance total de sus actividades. De todos los niveles de la organización sin excepción, como planificación estratégica, asignación de recursos, unidades de negocios y sus procesos como comercialización, recursos humanos, créditos, abastecimiento, como también considera proyectos y nuevas iniciativas.

Cantidad de riesgo; Esto es la cantidad de riesgo que una organización está deseosa de aceptar en pos del logro de sus objetivos.

Proporcionar una seguridad razonable; La administración de riesgos, por muy bien diseñada que se encuentre, sólo puede aportar un grado de seguridad razonable con respecto al logro de los objetivos organizacionales. Es casi imposible evitar la Elusión y Colusión, que sin lugar a dudas afecta la Administración de los Riesgos Empresariales.

Logro de los objetivos; Dentro del contexto establecido en la misión o visión, está la definición de los objetivos y la selección de estrategias para alcanzarlos. Las cuatro categorías de objetivos detallados (objetivos estratégicos, operativos, de información y cumplimiento de normas), la administración de riesgos los relaciona con sus ocho componentes, que vinculados entre sí, le dan una estructura sólida y vital a la entidad para conseguir los objetivos organizacionales y darle un valor  agregado a la función de Auditoría Interna. Los ocho componentes del COSO II se amplían en los próximos puntos: Ambiente interno; Definición o Establecimiento de objetivos; Identificación de eventos; Evaluación de riesgos; Respuesta o Estrategia frente al riesgo; Actividades de control; Información y comunicación; y Supervisión (Monitoreo o Vigilancia).

COMPONENTES del CI en LA ADMINISTRACION DE RIESGOS. AMBIENTE DE CONTROL INTERNO El Ambiente de Control Interno, armoniza el conjunto de circunstancias que enmarcan el accionar de una entidad desde la perspectiva del riesgo, siendo determinante en las conductas y procedimientos organizacionales. Es una consecuencia, asumida de la actitud de la alta dirección, la gerencia, y por los otros integrantes de la organización, con relación a la importancia del riesgo y su impacto sobre las actividades y resultados. Ejerce un ordenamiento, a través de la influencia que provee al comportamiento del personal en su conjunto. El ambiente interno en una entidad, que comienza en la gerencia, es la base para el resto de los componentes de la administración de riesgos, proporcionando estructura y disciplina. Influye en el establecimiento de estrategias y objetivos, estructuración de actividades, en la información como en los sistemas de comunicación y en la supervisión de los procesos. El Ambiente Interno también es influenciado por factores como la historia de la organización, su cultura y subculturas, su estilo de dirección, competencia y desarrollo del personal, asignación de autoridad y responsabilidad, sus valores éticos.

Todos los factores que afectan de una forma u otra a una organización, variarán en su capacidad de afectar en conformidad al tamaño de la entidad, a la forma de administrar y en la medida en que cada uno de estos factores sea considerado. El informe C.O.S.O. II, define de la siguiente forma los factores del Ambiente de Control:

Filosofía de Administración de Riesgos.

La filosofía refleja el valor que la entidad le entrega a la administración de riesgos y cómo esta actitud afecta a la aplicación de los otros factores, lo cual se manifiesta en sus declaraciones de políticas y otro tipo de comunicaciones, a través de palabras y acciones diarias. Esto se refiere a la capacidad de entendimiento que poseen los integrantes de una entidad con respecto a la administración de riesgos, y si a sus empleados y directores se les facilita o potencia habilidades para reconocer los riesgos en forma eficaz, escogerlos, dirigirlos y tratarlos.

Cantidad de riesgo.

Es la cantidad de riesgo que una organización está dispuesta a aceptar con el fin de alcanzar sus objetivos. Considera para este efecto en forma frecuente categorías como alta, media o baja, o expresarse cuantitativamente en forma aproximada, reflejando un balance entre metas de crecimiento, retorno y riesgo. El apetito de riesgo está directamente relacionada con la estrategia de una organización, donde el retorno deseado debe estar alineado con la capacidad de riesgo posible, por lo tanto, la administración de riesgos debe asesorar a la dirección a escoger una estrategia consistente con sus alcances.

Cultura de riesgo. Es un conjunto compartido de actitudes, valores y prácticas que caracterizan como una entidad considera el riesgo en sus actividades diarias. Este factor, para algunas empresas proviene de los dos primeros factores, en otras es parte del azar, pero en ambos casos puede en algunas empresas haber una o más culturas de riesgos diferentes o incluso dentro de una misma unidad comercial, proceso o departamento. La administración de riesgos debe considerar cómo su cultura de riesgo afecta su equilibrio con otros elementos propios de su control, para lo cual, donde exista inconveniente la administración de riesgos debe tomar acciones para ajustar la filosofía y el apetito de riesgos, o volver a pensar la forma de cómo se está aplicando la administración de riesgos en la empresa. • •

•

Subculturas de riesgos. En algunas organizaciones existen unidades de negocios, procesos, funciones o departamentos que de una forma u otra, dependiendo de sus objetivos, poseerán culturas levemente diferentes. Sus gerentes, en forma individual, se sienten preparados para tomar más riesgos, mientras otros son más conservadores, y estas diferentes culturas algunas veces se cruzarán en sus propósitos. Para lo cual la administración de riesgos debe velar por los equilibrios de ciertos choques que se puedan presentar, en beneficio de la Organización como un t odo.

REconociendo la realidad del riesgo.

• •

Si una organización no ha sufrido pérdidas o no ha tenido ninguna exposición significativa al riesgo, ella no debe sucumbir al mito de que un evento con consecuencias adversas no se presentará en ella, aunque pueda tener empleados competentes, procesos eficaces y tecnología confiable. La administración de riesgos debe tener presente que muchas variables en los ambientes internos y externos pueden cambiar rápidamente, y volver a una entidad completamente vulnerable en sus aspectos más sólidos y/o afectarla gravemente desde aquellos más despotenciados, o en conjunto.

•

Consejo de Administración y el Comité de Auditoría. Es un de los factores más críticos del ambiente interno e influencia fundamental para otros elementos de la administración de riesgos. Hoy se habla de los gobiernos corporativos y como ellos afectan el funcionar de las Organizaciones. Ambos estamentos de la empresa, son y deben ser independientes de la administración, donde sus acciones juegan un rol vital para organización, como también la experiencia y calidad de sus miembros, el grado de participación y examen de actividades o vigilancia. Otro punto importante que incluye al Consejo de Administración y al Comité de Auditoría es que se plantean preguntas difíciles a la Dirección relativas a la estrategia, planes y desarrollo. Es así como el Consejo y el Comité deben estar  preparados para cuestionar y supervisar las actividades de la gerencia, presentar  opiniones alternativas y tener disposición para actuar cuando se originan situaciones no deseadas, inesperadas o problemas de hecho, a t ravés de la interacción del Comité de Auditoría con los auditores externos e internos.

Integridad y valores éticos. Los objetivos y estrategias de una organización, y la forma como ellos son implementados y alcanzados están basados en preferencias, valores de juicio y estilos de gestión. Los cuales, en su conjunto, definen la integridad, el compromiso ético y las normas de comportamiento para la administración, las que deben ir más allá de cumplir con las regulaciones y normas legales, donde la integridad es un requisito previo al comportamiento ético en cada uno los distintos aspectos de las actividades de una organización. A menudo establecer valores éticos en una entidad es difícil, complejo y frustrante, debido a la necesidad de considerar los intereses de distintas partes, debiéndose establecer un equilibrio entre los intereses de la organización con clientes, empleados, proveedores, competidores y la comunidad. La gerencia general es la figura dominante de la organización y a menudo da la pauta ética de la misma. Se pueden producir prácticas fraudulentas o cuestionables a la hora de presentar información financiera. Estos mismos factores pueden incidir en el comportamiento ético. Los individuos pueden cometer actos fraudulentos, ilegales o poco éticos, simplemente porque la organización en la que trabajan les incita o tienta. El poner énfasis en los resultados, sobre todo a corto plazo, fomenta un entorno en el que se impone un precio muy alto al fracaso.”. Otras prácticas tentadoras son: La ignorancia (que no exista una guía explícita de procesos y funciones); inexistencia de códigos de conducta; malas comunicaciones; complacencia con las normas éticas; que los empleados sigan los malos ejemplos de la administración; falta de controles o controles ineficaces, tal como una segregación de funciones deficiente en áreas sensibles; reducir las probabilidades de detección al tener un alto nivel de descentralización que impide a la Gerencia estar  al tanto de las acciones llevadas a cabo en los niveles más bajos; una función de auditoría interna débil y/o que no sea capaz de detectar e informar acerca de comportamientos indebidos; sanciones menores por comportamientos indebidos sin poder ejemplificador; inexistencia de mecanismos para animar a los funcionarios a informar de irregularidades e infracciones y acciones disciplinarias para los que no informen.

Compromiso de competencia del personal. La competencia refleja el conocimiento y las habilidades necesarias para realizar  las tareas asignadas. La Dirección determina el grado de perfección con la cual debe

desarrollarse cada tarea, teniendo en cuenta los objetivos de la organización, como los planes y estrategias de la Gerencia para su obtención. La Dirección debe especificar el nivel de competencia para cada trabajo, donde cada función se traduce en niveles de conocimiento y habilidad, los cuales pueden estar en función de la inteligencia, formación y experiencia de cada persona, así como el grado de juicio profesional aplicable a una específica función.

Filosofía de Dirección y el Estilo de Gestión. Este factor determina la manera en que la empresa es gestionada y tiende a definir los tipos y cantidad de riesgo empresarial que se está dispuesto a aceptar. Una entidad que haya tenido éxito en el momento de correr riesgos importantes puede tener una perspectiva distinta de la administración de riesgos de otra que se ha enfrentado a sucesos con consecuencias adversas desde un punto de vista financiero o administrativo, al ingresar a aventuras económicas peligrosas. Una empresa de gestión informal puede controlar sus acciones persona a persona con los directores claves, en cambio una formal puede depender en mayor medida de políticas escritas, indicadores de rendimientos e informes de excepción, etc. La forma de actuar es un componente fundamental para este factor, el cual se refleja en la aptitud adoptada en y ante la presentación de información financiera, la selección de alternativas disponibles respecto a los principios de contabilidad aplicables, la escrupulosidad y prudencia de las estimaciones contables y las actitudes frente a las funciones informáticas y contables, así como hacia el personal.

Estructura orgánica. Este factor  tiende a definir el marco en el cual se planifica, ejecuta, manda, comunican y supervisan las actividades de una entidad. Una estructura orgánica relevante define las áreas claves de autoridad y responsabilidad como también el establecimiento de líneas apropiadas de comunicación. Una entidad desarrolla su estructura organizativa de acuerdo a sus prioridades estratégicas, algunas pueden ser centralizadas, descentralizadas, piramidales o planas, por sector, líneas de productos, por zonas o red de distribución, o funcionales como las del sector público.

Asignación de autoridad y responsabilidad. Esta etapa se refiere a la medida en que se autoriza a los equipos o a las personas en forma individual a utilizar iniciativas al momento de enfrentar problemas o tratar temas, estableciendo límites de autoridad. Esto también incluye el establecimiento de informes y protocolos de autorización, como de políticas que describan las prácticas más adecuadas para la entidad, conocimiento y experiencia para el personal clave y los recursos para el cumplimiento de las funciones. Como también que todo el personal esté en conocimiento y entienda los objetivos, y cómo su actuar se relaciona con su entorno laboral y contribuye a la obtención de ellos. Una delegación mayor  exige implícitamente un mayor nivel de competencia al personal, como también la necesidad de contar con procedimientos que permitan supervisar con eficacia los resultados.

Políticas y Prácticas de Recursos Humanos. Estas prácticas tienen que ver con contratación, orientación, entrenamiento, evaluación, asesoramiento, promoción, remuneraciones, como también el indicarle a los empleados los niveles de integridad, ética y competencia que de ellos se espera. Desde el reclutamiento y entrevistas el empleado, éste debe sentir el compromiso de la entidad con su persona, a través de políticas de formación de su responsabilidad y

funciones, capacitación para demostrar los niveles esperados de desempeño; rotación de personal fundamentado en evaluaciones; las remuneraciones basadas en incentivos por metas, responsabilidades mayores; y finalmente las amonestaciones en contra de la indisciplina que da a conocer que no se toleran conductas distintas a las deseadas.

Ambiente Interno - Factores a Considerar: Filosofía de Administración de Riesgos – Cultura de Riesgos – Directorio y Comité de Auditoría – Integridad y Valores Eticos – Compromiso de Competencia Profesional – Filosofía de la Gerencia y Estilo de Operación – Apetito de Riesgo – Estructura Orgánica – Asignación de Autoridad y Responsabilidad – Políticas y Prácticas de Recursos Humanos.

ESTABLECIMIENTO DE OBJETIVOS. El establecimiento de los objetivos es una condición previa al desarrollo propiamente tal las actividades de la entidad, ya que deben haber objetivos antes que la Dirección pueda identificar, evaluar y manejar los riesgos para su obtención, éstos generalmente vienen implícitos en la misión y visión de la entidad, las cuales son su razón de ser. Luego, la Dirección define sus objetivos estratégicos, los cuales son metas de alto nivel y de largo plazo, las que se sustentan en la visión y misión de la organización, y reflejan la opción de cómo la entidad buscará darse valor y a la vez rentabilidad a las partes interesadas. Es fundamental para el éxito, establecer objetivos correctos que se apoyen y se alineen con la estrategia seleccionada, y que incluya a todas las actividades de la entidad. Es así, como enfocados en los objetivos estratégicos y en la estrategia misma, una entidad se posiciona para desarrollar los objetivos operacionales, creando y conservando valor. Cada objetivo operativo se une e integra a objetivos más específicos que caen en forma de cascada, a través de la organización, sobre todas las actividades. Al definirse los objetivos, se debe hacer en forma ordenada y por  actividades, con el objeto que la entidad pueda identificar factores críticos fundamentales. Los objetivos necesitan ser rápidamente comprendidos y medidos. La administración de riesgos requiere que el personal en todos los niveles, tenga un cabal entendimiento de los objetivos de la entidad como de su entorno laboral. Todos los empleados deben tener una mutua comprensión de lo que se está haciendo y de lo que está siendo cumplido. A pesar de la diversidad de objetivos que pueden tener las organizaciones, el Informe C.O.S.O. II establece cierta categoría de objetivos, los cuales pueden tener  traslapes en algunas actividades o apoyarse mutuamente: •

Objetivos estratégicos. Estos tienen directa relación con la planificación de largo plazo, y son el fundamento de las restantes categorías de objetivos.

Objetivos operacionales. Estos se relacionan directamente con la eficacia y eficiencia de las operaciones de la entidad, incluye el desarrollo y alcance de los objetivos, como la salvaguarda de los recursos contra las pérdidas. Ellos varían de acuerdo a la elección hecha por la Dirección respecto de la estructura y desarrollo organizacional, que se fundamentan en la visión, misión, estrategias, prioridades,  juicios y estilos de gestión.

•

Objetivos de Información financiera. Estos se refieren a la confiabilidad y razonabilidad de la información financiera o no financiera, acorde con principios contables y de auditoría, la cual (información) también puede ser interna o externa.

•

Objetivos de cumplimiento (Compliance). Estos objetivos establecen la adhesión de la entidad en cuanto al cumplimiento de leyes, normas y regulaciones que pueden afectar positiva o negativamente la reputación organizacional. Establecer los objetivos es un componente de la administración de riesgos (ERM), y aunque éstos proporcionen metas medibles, un objetivo va a t ener un mayor grado de importancia y prioridad que otros dependiendo de la actividad y de su etapa, teniendo muy presente que se lograrán ciertos objetivos y otros no, por lo cual la administración de riesgos debe proporcionar una convicción razonable a la entidad que los objetivos están lográndose a través de un desarrollo consistente de acciones y metas a través de la entidad, identificación de factores claves y de riesgo, y efectuando evaluaciones desde la selección de objetivos, los niveles de apetencia y tolerancia al riesgo, y asimismo activar lo controles que los minimicen, etc.

Establecimiento de Objetivos - Factores a Considerar: Objetivos Estratégicos – Objetivos relacionados: Operación; Información y de Cumplimiento – Análisis desde Selección de Objetivos, Cantidad, Tolerancia y Controles.

IDENTIFICACION DE EVENTOS Los eventos son sucesos que ocurren por casualidad o causalidad, que pueden originarse de fuentes internas o externas de la empresa, y que pueden afectar el desarrollo de las estrategias o el logro de los objetivos. Para estos efectos, la Gerencia define rangos de ocurrencia de eventos potenciales de origen interno o externo y si el impacto va a ser positivo o negativo. La identificación del evento es la mejor herramienta, aparte de la evaluación del mismo, sin embargo, lo limitado de esta práctica es poder establecer de dónde vendrá; pero los eventos potenciales negativos de remota posibilidad de ocurrencia no deben ser ignorados, ya que afectarían gravemente a la organización y a sus objetivos. Como los eventos que influyen en las estrategias y objetivos pueden ser internos o externos, la administración de riesgos debe reconocer el factor de origen de éstos, como por ejemplo para el caso de los externos sería la economía y el comercio, catástrofes, medio ambiente, políticas de gobierno, cambios de hábitos sociales y tecnología; ahora para factores internos se identifican la infraestructura, personal, procesos y tecnología. Por otra parte, los eventos también deben identificarse a nivel de actividad, ya que contribuye a la evaluación de los riesgos y a mantener alineado el apetito con la tolerancia de riesgo de la entidad. La metodología de la identificación de eventos puede comprender una variada combinación de técnicas, pero la más utilizadas son aquellas que consideran el pasado histórico y los potenciales eventos futuros, como t ambién los eventos potenciales comunes a la industria en particular.

Lo fundamental es que la metodología dependerá de la cultura de riesgo de la organización, por lo tanto la administración de riesgos debe tener desarrolladas las capacidades de identificación, para poder asegurar una correcta evaluación y control de riesgo. En especial, para aquellos eventos que activan a otros, creando una cadena de eventos interrelacionados, a los cuales se les debe encontrar su relación para poder controlarlos. Desde esa perspectiva, es recomendable para las organizaciones agrupar los eventos potenciales por categorías, incluyendo aquellos sucesos potenciales de la entidad en forma horizontal y los eventos que operan dentro de las unidades en forma vertical, lo cual permite a la Dirección desarrollar y comprender las interrelaciones entre los distintos eventos, ganando tiempo en la identificación de los riesgos como también de las oportunidades, con información relevante para crear una base de datos o portafolio para la evaluación de los riesgos y la creación de los controles respectivos; lo cual podría realizarse a través de una categorización de objetivos estratégicos, operacionales de unidades o procesos. No todos los eventos representan un impacto negativo, pueden ser positivos o tener ambas características. Aquellos que representan riesgos requieren ser  evaluados y controlados, ya que significan la posibilidad que afecten adversamente el logro de los objetivos. En cambio los eventos con un impacto potencialmente positivo representan las oportunidades, para lo cual deben ser encauzados y considerados en el establecimiento de las estrategias o en los objetivos de los procesos, para que puedan formularse las acciones para considerarlos en el futuro.

Identificación de Eventos - Factores a Considerar: Eventos – Factores que Influyen (Externos o Internos) - Metodologías y Técnicas – Independencia de Eventos – Categoría de Eventos – Riesgos u Oportunidades

EVALUACION DE RIESGOS Este componente de la administración de riesgos, permite a una entidad considerar la los factores internos y externos que puedan ocurrir, y hasta que punto los eventos afectarán el logro de los objetivos de una organización. Aunque algunos factores son comunes a industrias de un mismo tipo, muchos son únicos a una entidad en particular, debido a sus objetivos establecidos y a sus acciones pasadas. En la evaluación de riesgos se mezclan los potenciales eventos futuros relacionados a la entidad y sus objetivos, lo que considera en el análisis del tamaño de la estructura, la complejidad de los procesos, funciones y el grado de regulación de sus actividades, entre otros. La Dirección considera dos tipos de riesgos, siendo el primero el riesgo inherente que es aquel que afecta a una entidad ante la ausencia de acciones de la administración que fuercen a alterar la probabilidad de su impacto; y el riesgo residual es aquel que permanece después que la dirección responde al riesgo a través de sus controles., siendo el segundo un derivado del primero. Asimismo, en la evaluación de riesgos, la Dirección considera el impacto potencial de eventos esperados e inesperados, donde muchos eventos son rutinarios y recurrentes y son administrados con relativa facilidad con programas y presupuestos. Otros son totalmente inesperados, y tienen una probabilidad de baja ocurrencia pero de gran impacto potencial y la respuesta por parte de la organización es individual, sin embargo, la incertidumbre existe con respecto de ambos tipos de eventos.

La evaluación de la incertidumbre de eventos potenciales es efectuada en dos perspectivas, probabilidad e impacto. La probabilidad representa la posibilidad que un evento dado ocurra, mientras el impacto representa su efecto. Es importante que los  juicios para distinguir estas perspectivas sean responsables, cuidadosos y racionales, ya que un riesgo con una probabilidad baja de ocurrencia y un impacto potencial pequeño garantiza menor consideración; en cambio un riesgo con probabilidad alta de ocurrir y un impacto potencial significativo exige una atención especial. En consecuencia, la administración de riesgos debe evaluar los riesgos en el contexto de la estrategia y objetivos de la organización, tendiendo a efectuarlo desde una perspectiva de corto, mediano y largo plazo, aún cuando algunos factores estratégicos posean mayor límite de tiempo, es vital entregar a la Dirección la información de aquellos riesgos que están fuera de los límites, por ejemplo, la estimación de un terremoto. Las estimaciones de la probabilidad e impacto de riesgos f uturos es recomendable determinarlas observando eventos pasados, los que pueden proporcionar resultados buenos que permitan evitar prejuicios personales, como es lo que sucede con las estimaciones subjetivas. Sin embargo, en la evaluación como para su análisis propiamente tal sustentados en el pasado, se debe tener muy presente los datos externos como cambios de los factores con el transcurso del tiempo, para predecir el futuro, que permitan minimizar la probabilidad e impacto de los riesgos, los cual debe realizarse en forma metódica y no al azar. La metodología de evaluación de riesgos de una organización comprende una combinación de técnicas cualitativas y cuantitativas. Las primeras se utilizan cuando no es factible medir los riesgos o los datos no son suficientes, son poco creíbles o irreales. Esta técnica se ve potenciada a través de entrevistas, talleres, documentación, etc. En cambio, las técnicas cuantitativas traen más precisión y se utilizan en actividades más complejas y sofisticadas, complementando a las técnicas cualitativas. Las técnicas de evaluación cuantitativas normalmente requieren un grado más alto de esfuerzo, la que por lo general utiliza métodos matemáticos, lo cual la vuelve dependiente de la calidad de los datos de apoyo, para una previsión confiable, como resulta de utilizar las técnicas de benchmarking, modelo probabilístico y no probabilístico. Sin embargo, se pueden utilizar las dos en conjunto, convirtiéndose en una técnica de evaluación cualitativa, facilitando su información en base más científicas. Por otra parte, la Administración de riesgos puede evaluar eventos correlacionados, donde la combinación de éstos puede significar diferentes probabilidades o impactos. Mientras el impacto de un único evento fuerte puede ser  débil, una secuencia de eventos fuertes tiene un mayor y significante impacto. Para este último suceso múltiple, la administración de riesgos debería hacer esfuerzos para evaluar en escenarios de análisis, el impacto de los eventos y los efectos que éstos originarían, aunque no se debe dejar de tener presente la constante repetición de eventos menores. Un riesgo con impacto alto y probabilidad de ocurrencia alta, generalmente se denomina riesgo de criticidad catastrófica. Un riesgo con impacto alto y probabilidad de ocurrencia baja, generalmente se denomina riesgo de criticidad peligrosa.

Un riesgo con impacto bajo y probabilidad de ocurrencia alta, generalmente se denomina riesgo de criticidad rutinaria. Un riesgo con impacto bajo y probabilidad de ocurrencia baja, generalmente se denomina riesgo de criticidad menor.

Evaluación de Riesgos - Factores a Considerar: Riesgo Inherente y Residual – Probabilidad e Impacto – Metodologías y Técnicas – Correlación – Criticidad de los Riesgos.

RESPUESTA O ESTRATEGIA FRENTE AL RIESGO. Habiendo evaluado los riesgos pertinentes, la administración de riesgos debe determinar cómo responderá o reaccionará ante ellos, lo que incluye evitar el riesgo, reducirlo, compartirlo y aceptarlo. Considerando la respuesta, se deben tener  presente los costos y beneficios en directa relación con la tolerancia de riesgo deseada. De acuerdo a lo expresado, la reacción al riesgo se clasifica en las siguientes categorías: •

Evitar el riesgo. Las acciones son dirigidas a eliminar o evitar las actividades que originan riesgo, como eliminar una línea de productos o no operar con un sector de clientes.

•

Reducir el riesgo. En este caso las acciones tienden a reducir la probabilidad, el impacto o ambos. Por ejemplo, estableciendo controles más rigurosos o automatizar  para bajar la probabilidad; o bajando el monto de las transacciones por cliente; o ambas.

•

Compartir el riesgo. La intención en esta situación es minimizar la probabilidad de riesgo o impacto, compartiendo una parte del riesgo con otros, como sucede con el caso de los seguros.

•

Aceptar el riesgo. Esta se refiere a que no se toma ninguna acción, ante la probabilidad de riesgo o impacto. Para muchas entidades, las opciones de respuesta apropiadas para algunos tipos de riesgos son obvias y bien aceptadas, en cambio para otras las opciones disponibles de respuesta no están muy claras en el breve plazo y se requiere actividades de identificación más extensas, como análisis y estudio de mercado. Por lo tanto, la Administración de riesgos de una organización debe considerar las respuestas potenciales dentro de una categoría de riesgo (criticidad), lo que entrega una profundidad suficiente para la selección de la respuesta y cambios de los niveles, respetando las siguientes etapas: •

•

•

Evaluar los efectos potenciales de la estrategia de riesgo ante la probabilidad e impacto; Evaluar los costos contra los beneficios de respuestas potenciales; Analizar las posibles oportunidades para alcanzar los objetivos de la organización, que van más allá de los riesgos específicos.

Por otra parte, al evaluar las posibles respuestas a los riesgos, se deben analizar  los riesgos inherentes con la intención de alcanzar un riesgo residual que se mantenga alineado con la tolerancia de riesgos organizacionales, donde una combinación de respuestas puede proporcionar un resultado óptimo, afectando el riesgo de eventos potenciales. Considerando lo anterior, al evaluar los efectos de las respuestas a las probabilidad e impactos, la administración de riesgos debe comprender que una respuesta podría afectar a la probabilidad de riesgo o el impacto de riesgo diferentemente. Para lo cual, la respuesta potencial a la evaluación, puede considerar  eventos pasados y tendencias actuales y futuras, como sucede en el caso de los costos contra los beneficios, donde se debe tener presente que éstos son analizados por medio de diferentes niveles de precisión para definir las opciones de respuestas alternativas, entre las cuales se cuentan la evaluación subjetiva, el compromiso de la dirección, los valores éticos, etc. La administración de riesgos al identificar los eventos que afectan a la organización en el logro de sus objetivos, puede también hacerlo en forma positiva, las cuales representan oportunidades que traen consigo algunas opciones de riesgo, y éstas pueden aparecer cuando las acciones de respuesta a los riesgos están alcanzando un límite de efectividad total, y en especial cuando el refinamiento de los riesgos proporcionen sólo cambios marginales en su probabilidad e impacto. Consecuente, y una vez evaluados los efectos de las alternativas de respuesta a los riesgos, la dirección decide manejarlas seleccionando una respuesta o combinación de ellas que enfrente a la probabilidad e impacto de riesgos con la tolerancia de riesgos de la entidad. Una vez seleccionado una respuesta, se necesita un plan de aplicación para ejecutarla y recalibrar el riesgo en una base residual, como de un procedimiento que permita a la Dirección asegurar su aplicación eficaz, estos procesos son las Actividades de Control. Aún cuando, siempre se ha de reconocer que algún grado de riesgo residual existirá, y no sólo por la escasez de los recursos, sino que también debido a la incertidumbre futura inherente a todas las actividades. La administración de riesgos considera a los riesgos desde una perspectiva global creando un portafolio de riesgos, formando una visión de riesgos general, donde el gerente responsable de cada departamento, función o unidad comercial desarrolla una evaluación compuesta de riesgos y respuestas al riesgo para esa unidad. Esta visión entrega el perfil de riesgo relativo, sus objetivos y tolerancias de riesgos, lo que le permite no exceder el deseo como la tolerancia de riesgo global de la entidad, manejar el riesgo por unidades en forma coordinada y enfrentar la probabilidad de riesgos e impactos múltiples o relacionados por unidades en forma individual y en conjunto a través de respuestas proactivas y con una asertiva visión para las oportunidades.

Respuesta a los Riesgos - Factores a Considerar: Identificar Respuestas a los Riesgos – Seleccionar Respuestas – Opinión del Portafolio de Riesgos.

ACTIVIDADES DE CONTROL Estas son políticas y procedimientos que ayudan a asegurar que las respuestas a los riesgos de la Dirección sean llevadas a cabo, a través de toda la organización. Estas actividades son aplicadas con respecto a cada uno de las categorías de objetivos: estratégicos, operativos, información y cumplimiento, y que en su conjunto son partes del proceso que permiten a una organización alcanzar sus metas comerciales. Son fundamentales para la respuesta a los riesgos en forma propia y oportuna. Existen variados tipos de actividades de control, pero el Informe C.O.S.O.II sólo se limita a definir cuatro, que son los siguientes: •

Función Directiva o Actividad Administrativa. Los directivos desarrollan funciones o actividades revisando y desarrollando informes.

•

Procesos de Información. Una variedad de controles es desarrollado para comprobar la exactitud, totalidad y autorización de las transacciones.

•

Controles Físicos. Equipos, inventarios, inversiones, caja y otros activos son sometidos a recuentos físicos y comparados con archivos de control;

•

Indicadores de rendimiento. Análisis de diferentes datos combinados entre sí, que en conjunto con acciones correctivas conforman una actividad de control.

Normalmente, las actividades de control involucran dos elementos que son las políticas, que establecen qué debe hacerse y los procedimientos que desarrollan las políticas. El resultado de la aplicación de procedimientos asociados a las políticas debe ser revisado a través de seguimientos y efectuar las acciones correctivas apropiadas, o en su defecto corregir las políticas. Por otra parte, los sistemas de información debido a su papel fundamental en la actualidad cuentan con una extrema confianza, lo que por consecuencia lógica deben contar con actividades de control integrados, las que se agrupan en controles generales y de aplicación, donde ambos controles en total contribuyen a asegurar la exactitud, totalidad y validez de la información. Los controles generales son aquellos que se aplican a muchos si no a todas las operaciones y permiten su continuidad, como sucede con los sistemas de administración tecnológica, infraestructura, seguridad, adquisición de software, desarrollo y mantención. Los controles de aplicación son aquellos que están incluidos en los procedimientos informatizados dentro de los software de aplicación, y están diseñados para asegurar la integridad, exactitud y validez de la captura de datos en los procesos, y evitan que se introduzcan errores en el sistema, detectándolos y corrigiéndolos, como sucede con la captura de errores en los datos y su comprobación, cálculos para validar datos, prueba de datos predefinidos y test de datos lógicos. La íntima relación de ambas categorías de control informático nace en que los controles generales son necesarios para un adecuado y seguro funcionamiento de los controles de aplicación que dependen de los procesos informáticos.

Las actividades de control como respuesta al riesgo de cada organización dependerá de los objetivos, los juicios personales de la Dirección, la complejidad de la entidad, su historia y su cultura. Sin embargo, la naturaleza y el alcance de las operaciones de la organización afectarán a sus actividades de control, por lo cual la organizaciones con diversas funciones pueden presentar problemas de control más complejos, como sucede en el caso de una entidad descentralizada y con sucursales. Por el contrario una empresa más simple con actividades menos variadas y centralizada, con estructura más plana, no enfrentará mayores complicaciones en sus actividades de control como respuesta a las probabilidades de riesgo o su impacto.

INFORMACION Y COMUNICACIÓN Cada organización ha de obtener información relevante financiera o no, relacionada con actividades internas o externas. Esta información debe ser entregada a las personas a tiempo, en un formato que les permita llevar a cabo sus responsabilidades de administración de riesgos como sus otras funciones. La información se vuelve necesaria en todos los niveles de la organización, desde la más rutinaria hasta la más relevante, tanto de fuentes internas como externas, lo que permitirá a la entidad mantenerse o adaptarse a las condiciones cambiantes, para identificar, evaluar y responder a los riesgos, contribuyendo con ello a que ésta alcance uno o más objetivos, a través de sus distintas categorías. El desafío para la Dirección es procesar y refinar volúmenes enormes de datos en información relevante, lo cual se soluciona estableciendo sistemas de información, los cuales capturan datos, los procesan, analizan e informan pertinente y oportunamente, de una forma que resulte útil para las actividades de control de una organización. Estos sistemas de información pueden ser formales e informales y se complementa con los datos que se obtienen de una conversación con clientes, proveedores o personal, o con la asistencia a seminarios, ayuda profesional, etc. y que todos en conjunto entreguen información crítica que permita identificar riesgos y oportunidades. Los sistemas de información, en atención a las tendencias modernas, se han integrado fuertemente con fines estratégicos, fundamentados en que los sistemas entregan información relevante con mayor claridad, lo que les permite contribuir a crear nuevas oportunidades y ventajas, tornándose más proactivos que reactivos. Asimismo, al integrar los sistemas de información con las operaciones, se facilita el acceso a información entrampada en departamentos o procesos para ser utilizada por  la Dirección en tiempo real y oportunamente. Para apoyar a la administración de riesgos, una entidad utiliza datos históricos y presentes. Los datos históricos permiten a la organización desarrollar soluciones a los actuales problemas contrarios a los objetivos, planes y expectativas, proporcionando las visiones de cómo la entidad actuó bajo las condiciones actuales, ya repetidas, lo que permite a la Dirección identificar tendencias como prever actuaciones y situaciones futuras, convirtiéndose en una alerta temprana de eventos potenciales. Asimismo, los datos actuales permiten a una organización determinar su perfil de riesgo presente en un punto específico y permanecer dentro de rangos de tolerancia de riesgos establecidos, contribuyendo a la administración de riesgos a tomar visiones en tiempos reales de la existencia de riesgos inherentes en procesos, funciones o unidades e identificar las posibles variaciones de lo esperado. En conjunto, ambos tipos de datos permiten a la entidad evaluar la probabilidad e impacto futuro de eventos potenciales sobre los objetivos y poder efectuar las modificaciones suficientes sobre las actividades, en conformidad a su deseo y tolerancia al riesgo.

Las oportunidades que permite alcanzar una infraestructura de información adecuada son fundamentales para una entidad, convirtiéndose en una capturadora de datos en márgenes de tiempo válido y fuente de información consistente con las necesidades de una organización que contribuye a identificar, evaluar y responder a los riesgos dentro de un margen de tolerancia, siendo sus flujos consistentes con la proporción de cambios organizacionales y con los ambientes internos y externos. La infraestructura convierte los datos en información real y oportuna que permite a los empleados llevar a cabo la administración de riesgos y otras responsabilidades. Se proporciona la información correcta en un formulario dentro de un margen de tiempo real y necesario, al nivel correcto de detalle, tanto en los departamentos, unidades o procesos como a las personas adecuadas. Ante la creciente dependencia de los sistemas de información, cada día más sofisticados, y sistemas de decisión automatizados, la confiabilidad en los datos se vuelve crítica, ya que los datos inexactos pueden producir riesgos no identificados o evaluaciones y decisiones erróneas, por lo tanto, la información para ofrecer  suficientes datos relevantes para efectuar una correcta administración de riesgos, debe presentar un nivel de calidad óptimo en lo referente a: contenido de detalles e información necesaria; oportunidad de la información en el tiempo y momento necesario; información actualizada y disponible; exactitud de la información sustentada en datos correctos; finalmente, accesibilidad de la información para las personas adecuadas y aseguramiento contra los cybercrímenes. La comunicación es inherente a los sistemas de información, y para toda entidad que cuente o no con un sistema de información la comunicación juega un rol preponderante, ya que deben proporcionar información relevante a las personas adecuadas, con el objeto que cumplan con sus labores operativas en forma adecuada. La Dirección, en un sentido de comunicación interna, debe entregar a todo el personal clave de su organización mensajes claros, precisos y eficaces, en especial al personal crítico para la administración de riesgos, por lo que la comunicación de información sobre los procesos y procedimientos debe estar alineada con la cultura de riesgo. Por lo tanto, resulta fundamental para que la comunicación sea efectiva asegurar el conocimiento de la importancia de una administración de riesgos eficaz; comunicar la tolerancia y apetencia de riesgos de la entidad; implementar y mantener  un lenguaje de riesgo común; y finalmente, advertir al personal de su rol y de sus responsabilidades en el apoyo a los componentes de la administración de riesgos. Todos estos puntos en su conjunto permitirán al personal estar atentos y saber  que cuando un evento inesperado ocurre, la atención no sólo será prestada al propio evento sino que también a las causas. Asimismo, el personal también necesita saber  cómo sus actividades se relacionan con el trabajo de otros, lo que les ayudará a reconocer un problema, determinar su causa y una acción correctiva, como también estar en conocimiento de conductas aceptables e inaceptables, y creer de verdad que sus superiores quieren saber sobre los problemas y de sus soluciones. De esta manera una debilidad potencial en el sistema puede identificarse y tomar acción para que no se repita. Los canales de comunicación interna, de los cuales el más importante es el de la Dirección, deben asegurar que los empleados puedan comunicar la información de riesgos , sin temor a represalias por la entrega de información relevante. Los canales de comunicación externa pueden proveer un importante ingreso de información relativa a la calidad de productos o servicios, preferencias y gustos de los consumidores, cambios del entorno en todas sus expresiones y factores, lo que afecta directamente a la apetencia y tolerancia a los riesgos de la entidad. La comunicación externa también debe ser oportuna, pertinente, significativa, y estar en conformidad a principios y requisitos legales y reguladores.

Un factor importante a considerar en la comunicación con el entorno y el interno de la entidad, es la forma o medios de comunicación, materializado por manuales de políticas, memorándum, anuncios, publicidad, medios electrónicos, conductas, mensajes orales, expresiones corporales, etc. Destacando que el actuar de la dirección con el entorno y con el trato a sus empleados es la herramienta más poderosa de la comunicación, donde las acciones dicen más que las palabras, además, que está influenciada por la historia y cultura de la entidad. Todas estas expresiones en su conjunto pueden crear riesgos como oportunidades.

SUPERVISION (MONITOREO – VIGILANCIA)

La Administración de riesgos de una organización cambia con el tiempo, las respuestas al riesgo que alguna vez fueron eficaces pueden no serlo hoy, las actividades de control pueden encontrarse obsoletas e ineficaces, los objetivos de la entidad pueden cambiar. Esto puede originarse por cambios de personal, de estructura, nuevos procesos, etc. Estos cambios hace necesario determinar si los componentes de la Administración de riesgos siguen siendo eficaces. Esta supervisión se puede hacer a través de actividades continuas o evaluaciones puntuales, lo que permite fijar una tendencia de este informe C.O.S.O. II, en lo que se refiere a cuanto mayor sea el nivel y la eficacia de la supervisión y seguimiento continuos, menor será la necesidad de evaluaciones puntuales. Asimismo, para que exista una seguridad razonable, la Dirección debe fijar la frecuencia de evaluaciones puntuales, teniendo en consideración que si la frecuencia aumenta demasiado, se debe centrar los esfuerzos en una mejor las actividades de supervisión continua. La existencia de ambas acciones permiten el mantener la eficacia del sistema de Administración de riesgos. Dentro de las actividades de supervisión continua, el informe C.O.SO. II, presenta las siguientes: •

•

•

•

•

•

•

Los informes de explotación son integrados y conciliados con otros informes financieros y usados para administrar operaciones con el objeto de detectar  inexactitudes significantes o excepciones a los resultados. Utilización de modelos de evaluación de riesgos, para estimar el impacto potencial de los movimientos del mercado en la posición financiera de una organización. La comunicación de los agentes externos debe ser confirmada con la información internamente generada o señalar problemas. Las regulaciones también pueden comunicar a la entidad disposiciones u otras materias que afecten las funciones o los procesos de administración de riesgos. Los auditores internos y externos permanentemente proponen recomendaciones para fortalecer la Administración de riesgos. Los seminarios de formación, las sesiones de planificación y otras actuaciones, proveen de importante retroalimentación a la Dirección sobre la Administración de riesgos. El personal debe ser consultado periódicamente sobre si conocen, cumplen los códigos de conducta de su entidad.