1Aplicacin practica de la implantacin de la Gestin Integral de Riesgos (ERM) - COSO II- en una empresa y el

rol de Auditora Interna.

XIII Jornadas de Auditora Interna AhcietEcuador 10 y 11 de Octubre 2006

Juan Ignacio Ruiz Zorrilla CIA.Secretario General IAI Espaa.

2ndice:

Gestin de Riesgos Corporativos (ERM). Concepto y necesidad

Evolucin e impacto de los modelos ERM COSO II

El Cubo de COSO II ERM

COSO I vs COSO II

Responsabilidad del modelo ERM

Beneficios COSO II ERM

Fases de elaboracin de un Mapa de Riesgos

Mapa de Riesgos

Objetivos Riesgo Controles

Auditora Interna en el Control y la Gestin de Riesgos

Rol de Auditora Interna en la Gestin de Riesgos, posicin the IIA

3Gestin de Riesgos Corporativos (ERM). Concepto y necesidad (I)

La Gestin de Riesgos CorporativosGestin de Riesgos Corporativos es un proceso efectuado por el Consejo de Administracin de una entidad, su Direccin y restante personal, aplicable a la definicin de estrategias en toda la empresa y diseado para identificar eventos potencialesidentificar eventos potenciales que puedan afectar a la organizacin, gestionar sus riesgosgestionar sus riesgos dentro del riesgo aceptado y proporcionar una seguridad razonable sobre el logro de los objetivoslogro de los objetivos.

* COSO (Committee of Sponsoring Organization of the Treadway Commission)

4Gestin de Riesgos Corporativos (ERM). Concepto y necesidad (II)

La Gestin de Riesgos Corporativos (ERM) dentro una empresa o Grupo de empresas permite:

Identificar aquellos acontecimientos que puedan impactar en la organizacin impidindole alcanzar sus objetivos.

Realizar una valoracin de los riesgos de la compaa y gestionar su tratamiento en funcin del riesgo aceptado en la misma.

Integrar la gestin de riesgos en los procesos de planificacin estratgica de la compaa, en el control interno y en la operativa diaria de la misma.

Disponer del portafolio de riesgos a nivel global de la compaa y para cada una de sus divisiones y/o funciones.

5Gestin de Riesgos Corporativos (ERM). Concepto y necesidad (III)

EstrategiaIncertidumbre asociada a Fusiones y adquisiciones

Estrategia y Planes de negocioValor para el accionista y

Stakeholders

FinanzasGestin de ingresos

Cash flowAcceso a fondos/tipos de inters

Procurement y pagosCambio de divisas

Fiabilidad de la contabilidadControl de crdito

Legal y RegulatorioCompliance

Optimizacin fiscal

MercadoCambios en variables

macroeconmicasCambios en volmenes

Actividades de los competidoresReputacin

Cambios de marca / impacto en el mercado

Seguridad alimentaria

ClientesInvestigacin

Fidelidad del cliente

Recursos humanosCambios en el equipo gestor

Recursos y perfilesIntegridad y fiabilidad del

personalMotivacin

Salud, seguridad e higieneRelaciones con los sindicatos

ProduccinLogsitica

TrazabilidadPlanificacin y programacin

ConfiguracinInventarios y repuestos

Ciclo de vida

Producto Marketing

BrandingCartera

AtractividadInnovacin

Corporate GovernanceProyectos e InversionesPlannig and budgetingEstructura organizativa

ComunicacinReporting

Sistemas de InformacinConfidencialidad

IntegridadDisponibilidad

Value for moneySeguridadE-Business

Obligaciones / Compromisos

Pasivos contratadosReclamaciones

Responsabilidad de productoPasivos ticos

Obligaciones legales ENTIDAD

Entorno de la Empresa

Por qu surge la necesidadnecesidad de disponer de una Gestin de estas caractersticas?

Existe una gran diversidad de riesgos presentes y potencialesgran diversidad de riesgos presentes y potenciales en la actividad de los negocios, todo ello debido a la creciente complejidad del entorno empresarial y los variados intereses involucrados en la empresa.

6Gestin de Riesgos Corporativos (ERM). Concepto y necesidad (IV)

Existencia de nuevos marcos regulatoriosmarcos regulatorios como consecuencia de dichos escndalos financieros. Todos ellos pivotan alrededor de un Modelo de Riesgos incorporado en los procesos de gestin y direccin de la empresa.

The Sarbanes-Oxley Act of 2002

Ley de Transparencia

26/2003

Orden Ministerial 3722/2003

Por qu surge la necesidadnecesidad de disponer de una Gestin de estas caractersticas?

7Evolucin e impacto de los Modelos ERM (I)

VISIN TRADICIONAL

Funcin dedicada a la gestin activa y por anticipado de los riesgos de negocio.

Proceso proactivo que integra la gestin de riesgos en la estrategia de la empresa.

Presin de los stakeholders para entender el rango de riesgos que est afrontando la empresa.

El conocimiento de los riesgos subyacentes permite gestionar ms adecuadamente la asignacin del capital, permitiendo incrementar el valor para los stakeholders.

Funcin soporte.

Concepto exclusivo de riesgo como peligro.

Comunicacin del riesgo slo a travs de una prdida o una noticia negativa para la Compaa.

Coste del riesgo no entendido o capturado para su consideracin financiera.

VISIN ACTUAL

8Evolucin e impacto de los Modelos ERM (II)

ImpactoImpacto de los modelos ERM

En estos momentos ERM es uno de los

proyectos prioritarios de la Alta Direccin de las Compaas...

Fuente: 7 Encuesta Global de CEOs de PWC

Nivel de compromiso

ERM es una prioridad del Consejo

ERM es una prioridad de la Compaa

Tengo la informacin que necesito para gestionar riesgos a nivel empresa

Terminologa y estndares comunes para gestionarlos riesgos

ERM es una de mis prioridades

Totalmente de acuerdo

Algo de acuerdo

Algo en desacuerdo

Totalmente en desacuerdo

9Evolucin e impacto de los Modelos ERM (III)

...ms del 85% piensan tener en funcionamiento un Modelo de

Gestin de Riesgos antes de

tres aos...

Fuente: 7 Encuesta Global de CEOs de PWC

Para cundo?

Ya dispongo de ERM eficiente y eficaz

Dentro de 1 ao

Dentro de 2 aos

Dentro de 3 aos

Ms de 3 aos

No espero implantar ERM

No sabe / No contesta

ImpactoImpacto de los modelos ERM

10

Evolucin e impacto de los Modelos ERM (IV)

Fuente: 7 Encuesta Global de CEOs de PWC

...que les ayudar a mejorar, de una

forma significativa su

reputacin, rentabilidad y confianza de la

direccin ejecutiva...

Impactos

Muy positivo

Positivo

Negativo

Muy Negativo

Reduccin de costes

Objetivos estratgicosMenor coste capital

Inversin I+D

Reputacin

Actividades F&A

Rentabilidad

Confianza de la Direccin

ImpactoImpacto de los modelos ERM

11

El Cubo ERM: Objetivos, componentes y niveles de la organizacin (I)

En el marco de Gestin Integral de Riesgos desarrollado por COSO II, existe una relacin directa entre los OBJETIVOS (aquellos que la organizacin trata de alcanzar), los COMPONENTES de gestin del riesgo de la compaa (representan las herramientas necesarias para el logro de dichos objetivos), as como con cada uno de los NIVELES de la organizacin. La relacin se representa con el siguiente cubo:

OBJETIVOS

COMPONENTES

NIVELES DE LA ORGANIZACI

N

12

El Cubo ERM: Objetivos, componentes y niveles de la organizacin (II)

El presente Modelo de Gestin de Riesgos Corporativos est orientado a alcanzar los OBJETIVOSOBJETIVOS de la Compaa, que se pueden clasificar en cuatro categoras:

ESTRATGICOS: referidos a metas de alto nivel, alineadas y dando soporte a la misin / visin de la organizacin.

OPERATIVOS: referidos a la eficiencia y eficacia de las actividades de la organizacin, incluyendo los objetivos de rentabilidad y desempeo.

INFORMACIN: referidos a la fiabilidad de la informacin suministrada por la organizacin, que incluye datos internos y externos, as como informacin financiera y no financiera.

CUMPLIMIENTO: referidos al cumplimiento de las leyes y normas y leyes aplicables.

13

El Cubo ERM: Objetivos, componentes y niveles de la organizacin (III)

El modelo de Gestin de Riesgos Corporativos consta de ocho COMPONENTESCOMPONENTES relacionados entre s, que se derivan de la manera en que la direccin conduce la empresa y cmo estn integrados en el proceso de gestin.

Ambiente InternoFilosofa de la gestin de riesgos Cultura de riesgos Consejo de Administracin /

Direccin - Integridad y valores ticos Compromiso de competencia Estructura organizativa Asignacin de autoridad y responsabilidad Polticas y prcticas en materia de recursos

humanos

Establecimiento de objetivosObjetivos estratgicos Objetivos relacionados Objetivos seleccionados

Riesgo aceptado Tolerancia al riesgo

Identificacin de acontecimientosAcontecimientos Factores de influencia estratgica y de objetivos -

Metodologas y tcnicas Acontecimientos independientes Categoras deAcontecimientos Riesgos y oportunidades

Evaluacin de riesgosRiesgo inherente y residual Probabilidad e impacto -

Tcnicas de evaluacin Correlacin entre acontecimientos

Ambiente InternoFilosofa de la gestin de riesgos Cultura de riesgos Consejo de Administracin /

Direccin - Integridad y valores ticos Compromiso de competencia Estructura organizativa Asignacin de autoridad y responsabilidad Polticas y prcticas en materia de recursos

humanos

Establecimiento de objetivosObjetivos estratgicos Objetivos relacionados Objetivos seleccionados

Riesgo aceptado Tolerancia al riesgo

Identificacin de acontecimientosAcontecimientos Factores de influencia estratgica y de objetivos -

Metodologas y tcnicas Acontecimientos independientes Categoras deAcontecimientos Riesgos y oportunidades

Evaluacin de riesgosRiesgo inherente y residual Probabilidad e impacto -

Tcnicas de evaluacin Correlacin entre acontecimientos

14

El Cubo ERM: Objetivos, componentes y niveles de la organizacin (IV)

Actividades de controlIntegracin de la respuesta al riesgo Tipos de actividades de control Polticas y

procedimientos Controles de los sistemas de informacin ControlesEspecficos de la entidad

Informacin y comunicacinInformacin - Comunicacin

SupervisinActividades permanentes de supervisin Evaluaciones independientes

Comunicacin de deficiencias

Respuesta a los riesgosEvaluacin de posibles respuestas Seleccin de respuestas -

Perspectiva de cartera

Actividades de controlIntegracin de la respuesta al riesgo Tipos de actividades de control Polticas y

procedimientos Controles de los sistemas de informacin ControlesEspecficos de la entidad

Informacin y comunicacinInformacin - Comunicacin

SupervisinActividades permanentes de supervisin Evaluaciones independientes

Comunicacin de deficiencias

Respuesta a los riesgosEvaluacin de posibles respuestas Seleccin de respuestas -

Perspectiva de cartera

15

El Cubo ERM: Objetivos, componentes y niveles de la organizacin (V)

La Gestin de Riesgos Corporativos considera actividades a todos los NIVELES DE LA ORGANIZACINNIVELES DE LA ORGANIZACIN:

- NIVEL CORPORATIVO- LNEA DE NEGOCIO / PAS- EMPRESA- UNIDAD

16

COSO I vs. COSO II (I)

COSO I

COSO II

COMPONENTES

COMPONENTES (5)

ENTORNO DE CONTROL

EVALUACIN DE RIESGOS

ACTIVIDADES DE CONTROL

INFORMACIN Y COMUNICACIN

SUPERVISIN

COMPONENTES (5)

ENTORNO DE CONTROL

EVALUACIN DE RIESGOS

ACTIVIDADES DE CONTROL

INFORMACIN Y COMUNICACIN

SUPERVISIN

COMPONENTES (8)

AMBIENTE INTERNO

ESTABLECIMIENTO DE OBJETIVOS

ACTIVIDADES DE CONTROL

INFORMACIN Y COMUNICACIN

SUPERVISIN

IDENTIFICACIN DE EVENTOS

EVALUACIN DE LOS RIESGOS

RESPUESTA A LOS RIESGOS

COMPONENTES (8)

AMBIENTE INTERNO

ESTABLECIMIENTO DE OBJETIVOS

ACTIVIDADES DE CONTROL

INFORMACIN Y COMUNICACIN

SUPERVISIN

IDENTIFICACIN DE EVENTOS

EVALUACIN DE LOS RIESGOS

RESPUESTA A LOS RIESGOS

COMPONENTES (3/4)

EFICACIA Y EFICIENCIA OPERACIONES

INFORMACIN FINANCIERA

NORMATIVA

SALVAGUARDA ACTIVOS (*)

OBJETIVOS (3/4)

EFICACIA Y EFICIENCIA OPERACIONES

INFORMACIN FINANCIERA

NORMATIVA

SALVAGUARDA ACTIVOS (*)

OBJETIVOS (4)

OPERATIVOS

INFORMACIN

CUMPLIMIENTO

OBJETIVOS (4)

OPERATIVOS

INFORMACIN

CUMPLIMIENTO

ESTRATGICOS

17

Responsabilidades del Modelo ERMTodas las personasTodas las personas que integran una Compaa tienen alguna responsabilidad en la Gestin de Riesgos Corporativos.

PRESIDENTE / CONSEJERO DELEGADO: responsable ltimo. OTROS DIRECTIVOS: apoyan la filosofa de gestin de riesgos de la

entidad, gestionan los riesgos dentro de sus reas de responsabilidad en conformidad con la tolerancia al riesgo.

DIRECTOR DE RIESGOS, FINANCIERO, AUDITOR INTERNO: desempean responsabilidades claves de apoyo y supervisin del Modelo de Gestin de Riesgos.

PERSONAL RESTANTE: responsable de ejecutar la gestin de riesgos corporativos de acuerdo con las directrices establecidas.

CONSEJO DE ADMINISTRACIN / COMISIN DE AUDITORA Y CONTROL: desarrolla una importante supervisin de la gestin de riesgos corporativos, es consciente del riesgo aceptado por la Sociedad y est de acuerdo con l.

TERCEROS (clientes, proveedores, auditores externos, reguladores y analistas financieros): proporcionan a menudo informacin til para el desarrollo del ERM, aunque no son responsables de su eficacia en la entidad.

18

Beneficios del ERM

Permite a la Direccin de la empresa poseer una visin global del riesgovisin global del riesgo y accionar los planes para su correcta gestin.

Posibilita la priorizacinpriorizacin de los objetivos, riesgos clave del negocio, y de los controles implantados, lo que permite su adecuada gestin. Toma de Toma de decisiones ms seguradecisiones ms segura, facilitando la asignacin del capital.

Alinea los objetivosAlinea los objetivos del Grupo con los objetivos de las diferentes unidades de negocio, as como los riesgos asumidos y los controles puestos en accin.

Permite dar soporte a las actividades de planificacin estratgica y soporte a las actividades de planificacin estratgica y control internocontrol interno.

Permite cumplircumplir con los nuevos marcos regulatorios y demanda de marcos regulatorios y demanda de nuevas prcticasnuevas prcticas de Gobierno Corporativo.

Fomenta que la gestin de riesgos pase a formar parte de la cultura del cultura del GrupoGrupo.

19

Fases de elaboracin del Mapa de Riesgos.-

Se les enva los datos

obtenidos en la entrevista

para que validen datos de Riesgos y

Controles.

Se les enva los datos

obtenidos en la entrevista

para que validen datos de Riesgos y

Controles.

ENTENDIMIENTO DE LA SITUACINENTENDIMIENTO

DE LA SITUACIN ELABORACINPERFIL DE RIESGOSELABORACIN

PERFIL DE RIESGOSENTREVISTAS

COMIT DIRECCINENTREVISTAS

COMIT DIRECCIN

Se identifican los

principales Riesgos y los

Controles existentes

Se identifican los

principales Riesgos y los

Controles existentes

Se analiza la Estrategia, la

normativa vigente,

rganos de control,

procesos que controlan Riesgos

Se analiza la Estrategia, la

normativa vigente,

rganos de control,

procesos que controlan Riesgos

Con toda la informacin se elabora el

Mapa de Riesgos

Con toda la informacin se elabora el

Mapa de Riesgos

MAPA DE RIESGOSMAPA DE RIESGOS

En base a entrevistas,

se identifican Riesgos y se Valoran en base a su Impacto y

Probabilidad.

En base a entrevistas,

se identifican Riesgos y se Valoran en base a su Impacto y

Probabilidad.

VALIDACIN DE LAINFORMACIN

VALIDACIN DE LAINFORMACIN

El CEO marca para cada uno

de los 4 objetivos de

COSO el Nivel aceptado de

Riesgo

El CEO marca para cada uno

de los 4 objetivos de

COSO el Nivel aceptado de

Riesgo

FIJACIN CON EL CEO TOLERANCIA AL RIESGOFIJACIN CON EL CEO

TOLERANCIA AL RIESGO

Experiencia practica en TPI

20

Mapa de Riesgos.- sin identificar apetito al riesgo

Ejemplo no real de Riesgos:

E Competencia

O Flexibilidad al cambio

R- Comunicacin interna

C Regulacin.

21

Mapas de Riesgos.- con indicacin de apetito al riesgo.

22

RENTABILIDAD

CREACIN DE VALOR PARA EL ACCIONISTA

CUOTA DE MERCADO

MEJORA DE LA CALIDAD DEL SERVICIO

PRODUCTIVIDAD

RIESGOS PRINCIPALES DE LAS EMPRESAS DE TELECOMUNICACIONES

Satisfaccin del clienteRecursos HumanosDesarrollo de productosCompetenciaPlanificacin EstratgicaImagenFacturacin/Perdida Ingresos

LiderazgoEficienciaFijacin de preciosRegulacinInfraestructurasObsolescencia

CONTROL

Objetivos Riesgos Controles

23

Auditora Interna en la gestin y control de riesgos

Definicin de Auditora Interna:

La auditora interna es una actividad independiente y objetiva de aseguramiento y consulta, concebida para agregar valor y mejorar las operaciones de una organizacin. Ayuda a una organizacin a cumplir sus objetivos, aportando un enfoque sistemtico y disciplinado para evaluar y mejorar la eficacia de los procesos de gestin de riesgos, control y gobierno.

Normas Internacionales para el ejercicio profesional de la Auditora

Interna:

2120 Control.- La actividad de auditora interna debe ayudar a la organizacin en el mantenimiento de controles efectivos, mediante la evaluacin de la eficacia y eficiencia de los mismos y promoviendo su mejora continua.

2110 Gestin de Riesgos.- La actividad de auditora interna debe ayudar a la organizacin mediante la identificacin y evaluacin de las exposiciones significativas a los riesgos, y la contribucin a la mejora de los sistemas de gestin de riesgos y control.

24

Auditora Interna en la gestin y control de riesgos

2110. A1 La actividad de auditora interna debe supervisar y evaluar la eficacia del sistema de gestin de riesgos de la organizacin.

2110. A2 La actividad de auditora interna debe evaluar las exposiciones al riesgo referidas a gobierno, operaciones y sistemas de informacin de la organizacin, con relacin a lo siguiente:

Fiabilidad e integridad de la informacin financiera y operativa; Eficacia y eficiencia de las operaciones; Proteccin de activos, y Cumplimiento de leyes, regulaciones y contratos.

2110. C1 Durante los trabajos de consultora, los auditores internos deben considerar los riesgos relacionados con los objetivos del trabajo y estar atentos a la existencia de otros riesgos significativos.

2110.C2 Los auditores internos deben incorporar los conocimientos del riesgo obtenidos de los trabajos de consultora en el proceso de identificacin y evaluacin de las exposiciones a riesgos significativos en la organizacin.

25

El Rol de la Auditora Interna en la Gestin de Riesgo Empresarial

El Institute of Internal Auditors (IIA), ha publicado un documento sobre su posicin sobre el Rol de la Auditora Interna en la Gestin de Riesgo Empresarial. El documento sugiere formas para que los auditores internos mantengan la objetividad e independencia requerida por las Normas cuando provean servicios de aseguramiento y consulta.

El rol fundamental de la auditora interna respecto al ERM es proveer aseguramiento objetivo al Consejo (Board) sobre la efectividad de las actividades de ERM en una organizacin, para ayudar a asegurar que los riesgos claves de negocio estn siendo gestionados apropiadamente y que el sistema de control interno esta siendo operado efectivamente.

El Instituto enfatiza que las organizaciones deben entender completamente que la gerencia mantiene la responsabilidad de la gestin de riesgo. Los auditores internos deben proveer consejo, y motivar las decisiones gerenciales sobre riesgos, en vez de realizar decisiones sobre gestin de riesgo.

26

Rol de Auditora Interna en la Gestin de Riesgos, posicin the IIA

Slide 1Slide 2Slide 3Slide 4Slide 5Slide 6Slide 7Slide 8Slide 9Slide 10Slide 11Slide 12Slide 13Slide 14Slide 15Slide 16Slide 17Slide 18Slide 19Slide 20Slide 21Slide 22Slide 23Slide 24Slide 25Slide 26