Orientación del IIA sobre gobernanza, riesgo y control

Riesgo futuro

El entorno complejo, hipercompetitivo y regulado de hoy requiere que los líderes de servicios financieros guíen a sus organizaciones lejos de actividades dañinas. No siempre es fácil. La investigación de McKinsey identificó seis tendencias en la gestión de riesgos en los servicios financieros. Con respecto a estas tendencias, los líderes de servicios financieros pueden esperar:

1. Las regulaciones serán más invasivas
2. Las expectativas del cliente de ser más exigentes
3. El uso de tecnología y análisis se acelerará
4. Los nuevos riesgos enfatizarán los modelos de riesgo existentes
5. Las funciones de riesgo se centran en reducir el sesgo de decisión
6. La presión del ahorro de costos continuará y agregará riesgo

Los líderes confían en sus equipos legales y financieros para recibir orientación y protección. Se establecen estructuras de gobierno, riesgo y control para proteger a la empresa de daños.

Salvaguarda de activos

Cada industria tiene leyes y regulaciones que establecen expectativas de buen comportamiento corporativo. El liderazgo de las firmas de servicios financieros debe garantizar que se implementen políticas, procedimientos y controles para respaldar la misión de la compañía, al mismo tiempo que se cumplen las leyes y regulaciones de la industria. Normalmente, esta es una función de gobernanza. La gobernanza es el proceso de gestión que garantiza que exista un entorno estructurado dentro de la organización. Como parte del proceso de gobierno, el liderazgo debe identificar los riesgos y establecer controles para eliminar o reducir el impacto de estos riesgos en la empresa.

La Gestión de Riesgos es la práctica de identificar eventos que podrían causar fallas financieras, operativas o regulatorias. Los riesgos podrían tener un impacto significativo en los resultados de la empresa. Los riesgos que presentan un daño significativo deben tener controles para garantizar que el impacto de los riesgos se elimine o reduzca. Los riesgos que tienen un impacto mínimo pueden no tener controles. Estos riesgos son aceptables y se consideran dentro del apetito de riesgo de la empresa .

Los riesgos deben clasificarse en orden de importancia utilizando una Matriz de Prioridad de Riesgos . Esta matriz identifica una descripción del riesgo, la frecuencia de ocurrencia, el número de fallas por ocurrencia y el impacto financiero de la falla. Cada riesgo significativo identificado debe identificarse por prioridad en la matriz y asignarse un control. Un control puede ser cualquier política, procedimiento, informe o proceso informático que esté implementado para prevenir o detectar un error.

ISPPIA

La Sección 2100 de las Normas Internacionales para el Ejercicio Profesional de Auditoría Interna (ISPPIA) describe la responsabilidad del auditor interno con respecto a la gobernanza, la gestión de riesgos y los controles. El Instituto de Auditores Internos cree que el papel del auditor interno es utilizar un enfoque sistemático para evaluar y contribuir al gobierno, la gestión de riesgos y los controles de una organización. La función de Auditoría Interna debe ser proactiva, ofrecer nuevos conocimientos y estar enfocada en el futuro.

Gobernancia

Las empresas deben adoptar un enfoque holístico de la gobernanza comenzando con una revisión de la estructura, la supervisión, la cultura y la infraestructura de la organización. Un modelo de gobernanza es el modelo de las Tres Líneas de Defensa . Este modelo divide la gobernanza en tres áreas de enfoque diferentes.

Tres líneas de defensa

1. Las operaciones comerciales asumen la plena propiedad y la responsabilidad de administrar los riesgos asociados con sus unidades.
2. Las funciones de gestión de riesgos identifican, revisan, validan, mitigan y monitorean los riesgos.
3. Los auditores internos, con el apoyo del comité de auditoría, evalúan e informan sobre la efectividad de los programas y controles.

La Sección 2110 de ISPPIA aborda las actividades de evaluación de la gobernanza que se esperan de los auditores internos. Se espera que los auditores:

1. mejorar las decisiones estratégicas y operativas
2. evaluar la gestión y el control de riesgos
3. comunicar información de riesgo y control
4. Coordinar las actividades entre la junta, la gerencia y los auditores externos.

Los auditores también evaluarán la efectividad del desempeño organizacional y la responsabilidad. Las actividades del auditor interno deben promover la ética y los valores dentro de la organización.

Gestión de riesgos

El modelo COSO fue creado hace más de una década. Patrocinado por la Comisión Treadway, el modelo crea un marco para evaluar y mejorar la gestión de riesgos empresariales. El modelo se centra en los riesgos estratégicos, operativos, de informes y de cumplimiento. Identifica nueve actividades necesarias para una gestión de riesgos eficaz. Las actividades son:

1. ambiente interno
2. establecimiento de objetivos
3. identificación de eventos
4. Evaluación de riesgos
5. respuesta a los riesgos
6. actividades de control
7. información y comunicación
8. supervisión

La Sección 2120 del ISPPIA aclara las actividades de gestión de riesgos que se esperan de los auditores internos. Durante el curso de sus funciones, los auditores evalúan la efectividad de las prácticas de gestión de riesgos de las empresas. El auditor:

1. determina si los objetivos organizacionales apoyan la misión de la empresa
2. asegura que se identifiquen los riesgos importantes
3. verifica que la mitigación del riesgo sea consistente con el apetito por el riesgo de la organización
4. Comunica los riesgos identificados a la junta y a la gerencia de manera oportuna.

Controlar

Las instituciones de servicios financieros deben cumplir con las reglas de varias agencias reguladoras. Algunas de esas agencias son la Reserva Federal, la Oficina del Contralor de la Moneda, la Corporación Federal de Seguros de Depósitos (FDIC) y la Oficina de Protección Financiera del Consumidor. Todas las agencias tienen sus requisitos y recomendaciones.

La FDIC proporciona a las instituciones guías sobre los controles. Establece los componentes clave del sistema de control que deben incluir el entorno de control, la evaluación de riesgos, las actividades de control, la información, la comunicación y el seguimiento. Es posible que reconozca que varios de los componentes de control también se encuentran en el marco COSO. COSO es un estándar en la industria.

Se espera que los auditores internos evalúen la efectividad de los controles y recomienden mejoras. La Sección 2130.A1 del ISPPIA aborda las actividades de evaluación de control que se esperan de los auditores internos. El auditor evalúa:

1. logro de los objetivos estratégicos de la organización
2. confiabilidad e integridad de la información financiera y operativa
3. eficacia y eficiencia de operaciones y programas
4. salvaguardia de activos
5. cumplimiento de leyes, reglamentos, políticas, procedimientos y contratos.

Resumen de la lección

El Auditor Interno es responsable de evaluar e influir en las actividades de gobierno, gestión de riesgos y control de una empresa. Los modelos de gobierno se centran en la estructura y coordinación dentro de la empresa. La gobernanza se preocupa por cómo las partes móviles trabajan juntas para reducir el impacto de los riesgos. La gestión de riesgos es funcional por diseño. Existe con el único propósito de identificar, evaluar y comunicar la información de riesgo a los líderes de la organización. Los controles están destinados a proteger a la organización de los riesgos. Los Auditores Internos evalúan continuamente la efectividad e informan a la alta dirección con respecto al gobierno, la gestión de riesgos y los controles de la organización.

Rodrigo Ricardo Editor y fundador