Managing Conduct Risk

 Fuente: Managing Conduct Risk sesiones de trabajo

Título: Managing Conduct Risk

Fecha: Enero 2012

Autor: D. Morey

El Riesgo de Conducta es un área a la cual el Regulador inglés (FSA) está cada vez prestando más atención. En esencia, el Riesgo de Conducta se ha desarrollado a partir de la filosofía de la FSA en cuanto a tratar al cliente con justicia ("Treating Customers Fairly"). De esta forma, los estándares requeridos a las compañías en la actualidad por dicho Regulador son mayores a los del pasado

Lo que supone en la práctica es que estamos asistiendo a un actividad intervencionista mayor por parte de la FSA y las compañías deben entender las implicaciones que esto supone para poder gestionar adecuadamente el Riesgo de Conducta dentro de la propia entidad y así poder satisfacer adecuadamente al Regulador.

El punto de partida del Riesgo de Conducta es el modelo del “Treating Customers Fairly”, que se centra en 6 pilares centrales:

1.        El trato justo a los clientes es un punto clave de la cultura de la compañía.

2.        Los productos deben estar diseñados adecuadamente para poder atender a las necesidades de los clientes objetivo.

3.        Debe existir una información clara, y esta debe estar adecuadamente almacenada, tanto antes, como durante y después de la venta.

4.        El asesoramiento debe ser adecuado a las circunstancias del cliente.

5.        El desempeño del producto así como los estándares de servicio deben estar alineados con las expectativas razonables.

6.        No deben existir barreras innecesarias en los casos de cambio del proveedor del servicio o para poder interponer reclamaciones.

Las entidades deben continuar supervisando su adhesión a los puntos anteriormente mencionados de manera permanente, así como ser capaces de demonstrar que han hecho frente a las incidencias detectadas a través de los Planes de Mitigación de Riesgos.

Los principales puntos de atención de las compañías se centran en:

1.        La cultura del "Treating Customers Fairly" dentro de la entidad.

2.        Los sistemas y el sistema de gobierno en torno al "Treating Customers Fairly".

3.        La información de gestión relativa al "Treating Customers Fairly".

4.        Los productos de la entidad.

El Programa Principal del Riesgo de Conducta (“Core Conduct Programme- CCP”)

Próximamente, la FSA lanzará una herramienta clave en su supervisión y valoración del riesgo de conducta. En un primer estadio, estará centrada en las entidades más grandes; sin embargo, su intención es que dicho Programa se convierta en un modelo de supervisión de cómo gestionas el riesgo de conducta para todas las compañías.

El Regulador inglés entiende el CCP como un elemento que proporcione un marco de mayor consistencia a su supervisión a la hora de identificar los riesgos emergentes, con especial hincapié en el ciclo de vida de los productos y su diseño y desarrollo. Las compañías deberán demonstrar cómo la cultura, las estrategias de retail y los controles suponen un trato justo hacia los clientes. Este marco forma parte del modelo de supervisión denominado “intensive & intrusive”. Este modelo va a requerir de las entidades que proporcionen evidencias de sus modelos de análisis de negocio, de su cultura, sistema de gobierno y controles, del desarrollo y aprobación de sus productos, ventas y la gestión post-venta de los clientes.

Como conclusión, se podría decir que el Riesgo de Conducta se ha convertido en área crítica tanto para las entidades como para la FSA. El Supervisión inglés va a prestar una atención creciente en la cadena de valor de cómo las entidades desarrollan y aprueban sus productos, y de cómo los mismos se pueden considerar adecuados a las necesidades en el tiempo de los clientes.  En este sentido, el sistema de gobierno se va a convertir en un área crítica para valorar la cultura y también en cómo la capacidad de las compañías para aprender en el tiempo.

Shaping and Developing a Risk Culture

Fuente: IRM

Título: Shaping and Developing a Risk Culture

Fecha: Octubre 2010

Autor: Alex Hindson

El presente artículo plantea un sencillo modelo de medición o diagnóstico de la cultura de riesgo basado en el empleo de ocho indicadores de riesgo, agrupados en cuatro bloques de temas:

•     Tono de la alta dirección

·         Gobierno

·         Competencias

·         Toma de decisiones

Tono de la alta dirección

El tono de la alta dirección (“tone at the top”, en inglés) es una expresión anglosajona que no tiene su equivalente en español y que expresa la idea de un estándar establecido por los líderes de la organización según el cual se mide su rendimiento, la cultura con la cual los miembros de la organización operan.

Este bloque centra su atención en dos grupos de indicadores de riesgo; a saber:

Liderazgo en materia de gestión de riesgos

• ¿Ha establecido la alta dirección directrices claras para la gestión de riesgos?
• ¿Han proporcionado los líderes de la organización un modelo de comportamiento ante la gestión de riesgos y  propiciado discusiones activas respecto a la tolerancia al riesgo?
• ¿Cómo son de consistentes los mensajes a lo largo del tiempo?

Respuesta ante las malas noticias

• ¿Está comprometida la alta dirección en transmitir de manera rápida a través de la organización la información de gestión relativa a riesgos?
• ¿Existe una comunicación abierta y honesta en la comunicación de las incidencias / eventos de riesgos?

Gobierno

Este bloque centra su atención en los siguientes dos grupos de indicadores de riesgo:

Sistema de gobierno en materia de gestión de riesgos

• ¿se ha definido con absoluta claridad las responsabilidades para la gestión de los principales riesgos para la compañía?
• ¿Se han incluido las responsabilidades anteriormente citadas dentro de las descripciones de los roles y se han establecido los objetivos de desempeño necesarios?

Transparencia

• ¿Se comunica adecuadamente la información relativa los riesgos, en tiempo y forma, a través de la organización?
• ¿Son compartidas las lecciones aprendidas, tanto positivas como negativas, derivadas de los eventos de riesgos?

Competencias

Este bloque centra su atención en dos grupos de indicadores de riesgo; a saber:

Recursos destinados a la gestión de riesgos

• ¿La función de riesgos ha definido las competencias y el alcance de las operaciones? ¿Tiene el apoyo de los líderes de la organización?
• ¿Se han establecido los criterios necesarios para llevar a cabo revisiones sobre cómo de eficientes son  los riesgos gestionados?

Habilidades en materia de gestión de riesgos

• ¿Se ha establecido una adecuada estructura que de soporte a la alta dirección en la gestión de los riesgos: propietarios de riesgos, colaboradores, risk champions, etc.?
• ¿Se han establecido programas de formación adecuados para expandir la cultura de riesgos dentro de la organización?

Toma de decisiones

Decisiones tomadas basadas en riesgos

• ¿Salen los líderes de la organización a la búsqueda de la información sobre riesgos necesaria para la toma de decisiones?
• ¿Es entendida suficientemente y comunicada la capacidad de la entidad para asumir riesgos?

Sistema de recompensa por la aceptación adecuada de riesgos

• ¿Ofrece la alta dirección un apoyo adecuado a las personas que de manera efectiva buscan entender y gestionar los riesgos?
• ¿Se reconoce esta actitud dentro del proceso establecido para la gestión del desempeño?

Key Risk Indicators – Sound Practice Guidance

Fuente: Institute of Operational Risk.

Título: Key Risk Indicators – Sound Practice Guidance.

Fecha: Noviembre 2010.

Autor: Institute of Operational Risk.

La guía de mejores prácticas del Institute of Operational Risk analiza los principales aspectos a tener en cuenta a la hora de determinar un adecuado sistema de indicadores de Riesgo operacional. En su desarrollo sigue el esquema siguiente:

Definición

Los indicadores de riesgo son una adecuada herramienta para la gestión del riesgo operacional. Estas métricas son empleadas gestionar las exposiciones al riesgo.

Para que un indicador sea clasificado como clave es necesario que se deba:

1.        Que hace seguimiento de una exposición al riesgo importante, o

2.        Que el indicador ha sido definido de una forma tan adecuada que permite una monitorización especialmente adecuada,  o

3.        Ambas razones a la vez.

A continuación se presenta una clasificación conceptual de los indicadores destacando cuáles son sus principales funciones:

Aún reconociendo que la clasificación anterior es útil desde un punto de vista pedagógico, la realidad es que la naturaleza del indicador cambia en función del uso que se dé al mismo, indicando diferentes aspectos en función del destinatario del mismo.

Por otro lado, dado que cada compañía es única y diferente del resto, el catálogo de indicadores debe ser propio de la misma, no pudiendo extrapolar un mismo catálogo de indicadores de una entidad a otra.

Objetivo

La utilización de indicadores de riesgo presenta un amplio esquema de objetivos, que pueden resumirse en los siguientes:

Selección

Las características que debe reunir los indicadores son:

1.        Relevancia:

2.        Medible:

3.        Predictivo:

4.        Fácil de monitorizar:

5.        Auditable:

6.        Comparabilidad:

Existen dos enfoques que las compañías emplean a la hora de seleccionar los indicadores, si bien, en la práctica, suelen combinarse ambos enfoques:

1.        Enfoque top-down: la dirección de la compañía selecciona los indicadores que deben monitorizarse dentro de la organización.

2.        Enfoque bottom-up: las áreas de negocio son las que seleccionan los indicadores que van a supervisarse.

Una práctica de las empresas cada vez más habitual es la de acudir a cestas o índices de indicadores. El uso de estas cestas de indicadores puede constituir un mecanismo más realista a la hora de predecir futuros niveles de exposición al riesgo. En todo caso, para que las cestas de indicadores sean efectivas es necesario conocer bien tanto los factores de riesgo de la exposición como las relaciones subyacentes que existen entre los diferentes datos empleados.

A grandes rasgos, para desarrollar una cesta de indicadores es necesario seguir los siguientes pasos:

1.        Identificar los factores de riesgo.

2.        Establecer las relaciones existentes entre ellos.

3.        Determinar cuál es el nivel óptimo de equilibrio.

4.        Monitorizar las desviaciones entre los datos obtenidos de la cesta de indicadores y el nivel óptimo de equilibrio.

Límites

Si los indicadores no tienen asociados determinados límites, umbrales y niveles de alerta, su eficacia será limitada. Sin embargo, igualmente estéril resultará el establecimiento de tales límites, umbrales y niveles de alerta, por si solos, es decir sin que estos hayan sido determinados tras un estudio de los datos arrojados durante cierto período de tiempo (seis meses sería lo mínimo admisible, si bien un año es lo recomendable).

La idea de los umbrales y límites es el establecimiento de una frontera a partir de la cual, si es extralimitada, se alerte a la compañía de un posible cambio en la exposición al riesgo. Para ello, se deberá establecer cuál es el adecuado proceso de alerta para cada límite (p.e. si el límite de un determinado indicador es 100 unidades, un posible proceso de escalada sería que un valor entre 101 y 125 deberá ser comunicado el responsable de equipo; entre 126 y 150 al director del área; por encima de 151, al Comité de Dirección).

Los umbrales y límites pueden establecerse de diversas maneras: un cap, donde se determina un valor máximo por encima del cual se inicia el proceso de alertas; un floor, por debajo del cual igualmente se debe iniciar el proceso de alertas; o un collar, resultante de una combinación de un cap y un floor.

Además de estos clásicos umbrales y límites, es posible establecer otros ligeramente más sofisticados, como porcentajes y desviaciones de un valore prefijado, etc.

En aquellos casos en los que las organizaciones están comenzando a establecer indicadores, un sencillo proceso es el siguiente:

1.        Determinar qué tipo de umbral o límite es necesario (cap. floor  o collar).

2.        Establecer si dicho umbral o límite debe ser un valor absoluto, un porcentaje, un ratio, etc.

3.        Revisar los datos históricos disponibles para el indicador en cuestión y establecer la horquilla de valores que ha adoptado a lo largo del tiempo.

4.        Valorar los objetivos, el presupuesto y el apetito al riesgo de la compañía, aplicando el resultado de este análisis a los valores históricos recogidos.

5.        Evaluar cuál es el aquel primer valor donde la compañía no se siente cómoda y usarlo como primer límite.

6.        Monitorizar los valores que se vayan reportando durante las primeras entregas  a fin de ajustar, si fuera necesario, los umbrales y límites.

Este sistema de monitorización de indicadores es el más habitual, por básico, en las compañías. Pero es posible establecer otro tipo de umbrales o límites más especializados a través de, por ejemplo, valores objetivos, donde se combinaría el análisis de exposición al riesgo con la gestión del performance; otro ejemplo, podría ser a través de establecimiento de umbrales o límites de tendencia, de tal forma que la tendencia en los resultados obtenidos de los indicadores también sirvieran como niveles de alerta en su caso.

Una vez que se han definido los umbrales y límites, el siguiente paso es determinar el tipo de respuesta que se desea cuando uno de tales límites es franqueado y a quién debe dársele a conocer.

Gestión

La selección de indicadores debería seguido de una evaluación,  o autoevaluación en su caso, de los riesgos y controles de tal forma que exista una evidencia auditable que permita asociar las valoraciones de riesgo operacional con las métricas seleccionadas para monitorizar los cambios en los niveles de exposición al riesgo.

Por lo tanto, cualquier programa de determinación de indicadores debe estar apoyado en un proceso documentado que asegure, al menos:

1.        Una adecuada estructura de gobierno de los indicadores (roles y responsabilidades).

2.        La documentación que debe ser conserva en relación a los indicadores seleccionados (requerimientos de datos, propietarios de los datos, etc.).

3.        Procedimientos de selección (cómo, cuándo, quién puede seleccionar indicadores).

4.        El mantenimiento sucesivo de los indicadores (cambios en las fuentes de datos, ajustes en las fórmulas de cálculo, etc.).

Un elemento práctico a la hora de trabajar con indicadores de riesgo operacional es la conveniencia de establecer dentro de cada indicador diversas categorías (tipo de clientes, tipo de transacciones, localizaciones, tipos de productos, etc.) de tal forma que a la hora de su análisis y agregación en función de las necesidades, su análisis resulte más provechoso.

Reporting

Un proceso de monitorización que resulte efectivo es esencial para la gestión del riesgo operacional.  Por lo tanto, los indicadores van a resultar de poca utilidad si no son reportados a aquellos que tienen que adoptar las decisiones adecuadas. Por ello, los indicadores de riesgo operacional son reportados a todos los niveles de la compañía, desde el Comité de Dirección hasta los responsables de áreas.

El alcance, contenido y forma de presentación de los indicadores variará dependiendo de cuál sea la audiencia de los mismos. No obstante, un equipo de coordinación central es aconsejable de cara a proporcionar una visión consistente y adecuada de la información.

Algunas de las características básicas que un proceso de reporte así como de los indicadores reportados son las siguientes:

1.        Relevancia: sólo deben reportarse aquellos que aporten información para la toma de decisiones.

2.        Simplicidad: no deben ser complejos ni emplear jegas terminológicas o complicadas fórmulas matemáticas.

3.        Oportunos en el tiempo: deben informar en el momento preciso, cuando los datos tienen todavía relevancia.

4.        Exactos: la información debe ser precisa, no contener errores, de forma que no se distorsione la realidad.

5.        Tendencia: deben contener información de tendencias históricas así como indicaciones sobre la volatilidad de los datos.

6.        Tener procedimientos claros de comunicación a superiores de información: de esta forma, los receptores de la información son conocedores de cuándo deben comunicar a los responsables respectivos las preocupaciones detectadas.  

7.        Cumplimiento normativo: cuando exista alguna regulación que así lo requiera.

En cuanto a la frecuencia con que deben ser reportados los resultados de los indicadores, esta dependerá tanto de la naturaleza del indicador como de las específicas audiencias a quienes se dirijan.

Otro aspecto que no debe descuidarse en el reporting es la forma de presentación de los indicadores. La forma en que sean reportada la información debe ser fácilmente comprensible por los que reciben la información de manera que puedan centrar su atención en el análisis y toma de decisiones. En general, el reporting debe seguir la regla de la excepción,  es decir, que deben reportarse aquellos que hayan transgredido los umbrales o límites, cuya tendencia pueda ser preocupante, etc. Para poder asegurar un adecuado reporting es necesario establecer alguna forma de priorización de los indicadores (p.e. niveles semafóricos).

KRIs: the forgotten input

Fuente: OR&R

Título: KRIs: the forgotten input

Fecha: Diciembre 2011

Autor: Marcelo Cruz

El autor afirma que los gestores de riesgo operacional podrían incrementar su valor dentro de las compañías de seguros si fueran capaces de establecer un vínculo de relación entre los indicadores de riesgo y los niveles de capital necesarios.

Comienza recordando que, tal y como establece el Nuevo Acuerdo deCapital de Basilea (conocido como Basilea II), los cuatro inputs para el cálculo del capital económico son:
· Datos internos
· Datos externos
· Análisis de escenarios
· Entorno de negocio y ambiente de control interno (donde se integrarían los indicadores de riesgos)

Todos estos inputs han sido analizados por los diferentes autores. Sin embargo, es el referente al entorno de negocio y ambiente de control interno el que resulta menos analizado por la doctrina.

En la práctica de las entidades aseguradoras, es habitual que se analice el entorno de negocio y el ambiente de control interno a través de las autoevaluaciones de riesgos y controles. Estas autoevaluaciones suponen valoraciones subjetivas sobre los procesos de negocio de la entidad.

Pero, el elemento de los indicadores de riesgos, con mucha frecuencia, queda fuera del marco de gestión de las entidades. Sólo unas pocas llegan a utilizar los resultados de este proceso como un mecanismo de ajuste ex post de los niveles de capital necesarios.

Es por ello, que Marcelo Cruz considera que en la actualidad la comunidad de riesgo operacional está desaprovechando una importante herramienta cuyo empleo en la modelización del riesgo operacional podría convertirse en un elemento clave en dicho proceso de modelización.

En este sentido, la mayoría de los modelos actuales están contemplando los inputs derivados de las pérdidas del pasado, sean estos datos internos o externos, y de escenarios. El handicap de este enfoque es que el output del modelo, es decir, el dato del VaR (Value at Risk), no es percibido como útil por la unidad de negocio que lo recibe. Esta percepción encuentra su justificación en la inexistencia de un vínculo real entre el trabajo llevado a cabo para reducir el riesgo operacional, a través de la mejora de los controles, y la calidad de dichas operaciones. De tal forma esto es así, que se produce la percepción de que el riesgo operacional sólo sirve para cumplir con los requerimientos legales.

Esta es la diferencia, comenta el autor, entre los modelos de riesgo de mercado y de crédito. Así, por ejemplo, en el riesgo de mercado, si una exposición a un determinado instrumento o mercado se considera superior a la deseada, los traders establecerán coberturas del riesgo o simplemente lo reducirán vendiendo el activo. Es decir, los modelos de mercado o crédito ayudan a que la gestión del riesgo sea parte del día a día del negocio. Sin embargo, esto no ocurre con el riesgo operacional, donde actualmente los modelos de riesgo operacional, basados en las pérdidas y en escenarios, no son capaces de ofrecer esta ayuda.

Marcelo Cruz considera que resulta explicado de manera más adecuada el riesgo operacional no en vez de en función de las pérdidas pasadas y de los juicios de opinión de expertos sino en función del entorno de control en la unidad de negocio.

En este sentido, si el entorno de control se deteriorase, el capital por riesgo operacional se incrementaría; y viceversa.

Así que si se llegase a incorporar los indicadores de riesgo dentro de la modelización del riesgo operacional, dichos modelos resultarían más útiles para los directivos, tal y como ocurre con los modelos del riesgo de crédito y de mercado.

El desarrollo de un conjunto comprehensivo de indicadores de riesgo es un esfuerzo significativo para las compañías. De manera ideal, para asegurar la robustez y la eficiencia de los indicadores de riesgo, estos deberían ser obtenidos directamente de los sistemas operativos y de contabilidad de las entidades. Sin embargo, el proceso de diseño de un indicador de riesgo, definiendo los inputs necesarios dentro del sistema, y la aprobación de un sistema de alimentación de la información de manera automatizada puede consumir semanas o meses, dependiendo de la complejidad y tamaño de la organización.

Por eso, encontrar la correlación que existe entre los indicadores de riesgo y las pérdidas de la compañía, y su incorporación al modelo de riesgo operacional, puede dar paso a un cambio en la forma de entender la gestión del riesgo operacional. Dentro de este marco, la comunidad de riesgo operacional podría empezar a hacer lo que los gestores de los riesgos de mercado o crédito ya están haciendo: participar en la toma de decisiones del día a día.

Key Risk Indicators and Risk Appetite

Fuente: Workshop en el ATEL-ERM Working Group, Luxembourg

Título: “Key Risk Indicators and Risk Appetite”

Fecha: 2010

Autor: Association des Trésories d’Entreprise à Luxembourg


Los participantes en el workshop de la ATEL (Association des Trésories d’Entreprise à Luxembourg) plantearon la siguiente clasificación de indicadores clave de riesgo:

1. Indicadores actuales (también llamados casuales), que son aquellos que hace un segumiento de las pérdidas operacionales que han tenido lugar.

2. Indicadores de tendencia (también llamados causales), que son aquellos que detectan la causa última de los eventos de riesgo; estos indicadores están establecidos como señales o sistemas de alarma antes de que ocurra el evento de riesgo.

3. Indicadores de la efectividad del control (también conocidos como indicadores clave de control), que reflejan eficacia operativa de los controles.

4. Indicadores de volumen (también llamados indicadores de riesgo inherente) y que proporcionan una medida de la actividad donde el riego inherente es identificado.


El documento final del workshop proporcionó un ejemplo ilustrativo de cómo los cuatro indicadores clave de riesgo aplicaban en una situación potencial de pandemia al absentismo laboral en general o en particular del personal clave.


Indicadores actuales/casuales

Los indicadores actuales o casuales son aquellos integrados por una multitud de métricas ampliamente usadas en los departamentos de recursos humanos (p.e. el ratio de número de días perdidos por absentismo dividió entre el total de días previstos de trabajo).

El departamento de recursos humanos cuanto tiene noticias de una situación de absentismo monitoriza los cambios y tendencias que se producen, reportando a la Dirección cuando corresponda.

Por otro lado, el departamento de recursos humanos adoptará medidas tales como contactar con aquellos empleado que superen el absentismo considerado como normal dentro de la compañía o bien, contactando con los responsables de las unidades de negocio correspondientes cuando la tendencia está fuera de la tolerancia admisible.

Las consecuencias de una situación de absentismo van desde la impacto a nivel organizativo de las actividades hasta el impacto económico en caso de que proceda compensaciones laborales por pagos de seguros médicos.


Indicadores de tendencia/causales

Existe una amplia variedad de indicadores de tendencia o causales en caso de absentismo. Algunos de ellos pueden ser los siguientes:

1. Las condiciones de salud general de los empleados, edad, estilos de vida, sexo o preexistencias. Estos factores con carácter general no pueden ser mitigados; sin embargo, si se emplean bases de datos externas y comparativas sectoriales se puede observar cuáles son los datos razonablemente esperados. Esta información será empleada en la determinación de las primas de seguros.

2. Si el departamento de recursos humanos observa que el absentismo es significativamente superior a los que los datos demográficos pudieran arrojar, se deberá plantear si existen factores específicos dentro de la compañía, tales como condiciones laborales inadecuadas o insatisfacción de los empleados, que pudieran estar influyendo en los resultados de absentismo laboral.

Si este fuera el caso, se podrían establecer indicadores sobre los potenciales factores de riesgo: diferente evaluación de los riesgos laborales (p.e. en los que afectasen a lo referente a la ergonomía o sanitario); encuestas de clima laboral.

Este tipo de indicadores serán tanto más adecuados cuanto se cumplan las siguientes condiciones:
a) Existencia de una lógica clara y objetiva a la hora de seleccionar dichos indicadores.

b) Su interdependencia está contrastada con los datos disponibles.

c) Los datos están disponibles con la suficiente anterioridad para poder predecir de manera efectiva un evento.

d) Existe una clara relación con el impacto en el riesgo analizado y son empleados de manera razonable, evitando la conocida parálisis por análisis.


Indicadores de la efectividad del control/indicadores clave de control

El objetivo de los indicadores clave de control es asegurar que se produce una respuesta adecuada en caso de que se detecte una situación de riesgo a través de los indicadores actuales/casuales o indicadores de tendencia/causales.

Por ejemplo, si en el análisis de la situación de hecho se hubiera detectado que se produce una relación directa entre el incremento de absentismo laboral y el tiempo transcurrido desde la última revisión del sistema de aire acondicionado, el indicador de control podría consistir en asegurar un reemplazo periódico de dichos filtros del aire en la oficina. No obstante, dado que las causas no suelen ser únicas, para tener la certeza de que no se está dejando de lado sin considerar otros factores, se podrían llevar a cabo entrevistas con los empleados de las áreas afectadas.

Algunos principios básicos para la creación de indicadores clave de control quedan reflejados en los siguientes puntos:
1. Proporcionalidad en el coste de los controles respecto a las consecuencias derivadas de la materialización del riesgo inherente.

2. La selección de indicadores clave de control debe ser un reflejo de la variedad de causas que pueden producir el riesgo, teniendo en cuenta aquellas causas que no tienen entre sí una relación directa.

3. Las dimensiones o atributos de los controles, tanto cuantitativos como cualitativos, deberán ser determinados de la manera más óptima posible. Además deberán ser revisados periódicamente. Esta optimización de las dimensiones de los controles pueden ir desde técnicas basadas en la intuición/autoevaluación hasta otras más sofisticadas.


Indicadores de volumen/indicadores de riesgo inherente

Los indicadores de volumen son empleados para valorar la efectividad y adecuación de los controles conforme las actividades de la compañía o sus niveles de actividad cambian.

En el caso del departamento de recursos humanos resulta obvio señalar que a mayor número de empleados, mayor número de situaciones de riesgo se pueden producir. Aunque esto debe ser tomado con ciertas matizaciones. Por ejemplo, cuando una compañía amplia sus contrataciones laborales, es probable que el riesgo de una situación en la cual todo un departamento quede paralizado por absentismo se vea disminuido.


Por último subrayar que a la hora de definir el apetito de riesgo, los indicadores en su conjunto serán una fuente de gran utilidad.

ORSA: Developing & Implementing an Own Risk & Solvency Assessment

Fuente: Conferencia en el Institute of Risk Management (Londres)
Título: ORSA: Developing & Implementing an Own Risk & Solvency Assessment
Fecha: marzo 2011
Autor: Robert Murray

La fecha para la entrada en vigor de la normativa de Solvencia II está acercándose y eso hace que muchas compañías estén cada vez más preocupadas por requerimientos necesarios para cumplir con dicha normativa. Uno de los elementos clave de este nuevo régimen es el denominado ORSA (Own Risk and Solvency Assessment).

El principal objetivo del conferenciante es ayudar a comprender mejor el proceso ORSA y sugerir algunos aspectos prácticos útiles sobre el mismo.

¿Qué es el ORSA?

El ORSA es definido por el Issues Paper de mayo de 2008 del CEIOPS (actualmente EIOPA) como el conjunto de procesos y procedimientos empleados:
· Para identificar, medir, vigilar, gestionar y notificar los riesgos, sean a corto, medio o largo plazo a los que esté o pueda estar expuesta una compañía; y
· Para determinar los fondos propios necesarios para asegurar que las necesidades de solvencia de la compañía que debe cumplir en todo momento.

La Directiva de Solvencia II establece que la evaluación interna de los riesgos y de la solvencia (ORSA en adelante) comprenderá, como mínimo:
1. Las necesidades globales de solvencia teniendo en cuenta el perfil de riesgo específico, los límites de tolerancia de riesgo aprobados y la estrategia comercial de la empresa;
2. El cumplimiento continuo de los requisitos de capital para las provisiones técnicas y para el capital de solvencia;
3. La medida en que el perfil de riesgo de la empresa se aparta de las hipótesis en que se basa el capital de solvencia obligatorio calculado mediante la fórmula estándar o mediante su modelo interno completo o parcial.

Asimismo señala que el ORSA formará parte integrante de la estrategia comercial y se tendrá en cuenta de forma continua en las decisiones estratégicas de la empresa.

En cuanto a la periodicidad de la evaluación se indicad quelas compañías realizarán el ORSA anualmente o inmediatamente después de cualquier cambio significativo de su perfil de riesgo.


En cualquier caso, señala el autor que lo importante es no olvidar que el ORSA no es un ejercicio práctico aislado o un reporte formal anual, sino que es una parte fundamental del sistema de gestión de riesgos de las compañías.

Este proceso forma parte del proceso de revisión llevado a cabo por los supervisores a quienes se deberá informar de los resultados de cada evaluación interna de los riesgos y de la solvencia. El mencionado Issues Paper del CEIOPS (actualmente EIOPA) anteriormente citado, indica además que si las autoridades supervisoras descubriesen un hecho que debiera haber sido señalado en el ORSA, no sólo deberían adoptar las medidas necesarias para subsanar las deficiencias sino que deberán valorar las razones de por qué dicho hecho no fue identificado por la compañía.

Finalmente, se debe tener en cuenta que cuando una compañía aplique un modelo interno, el ORSA deberá incluir además un análisis de las diferentes hipótesis y resultados obtenidos entre el modelo de SCR y el modelo estándar.

Un elemento clave a la hora de llevar a cabo el ORSA por las compañías es que dicha evaluación debe ser proporcional a la naturaleza, el volumen y la complejidad de las actividades comerciales de la compañía. Además, la Directiva quiere dejar claro y resalta que el ORSA no establece per se nuevos requerimientos de capital.

El CEIOPS (actualmente EIOPA) establece en su Issues Paper con relación al ORSA cinco principios que deben ser observados:
1. El ORSA es responsabilidad de la compañía y debe ser revisado periódicamente y aprobado por el órgano de administración o gestión de la compañía.
2. El ORSA debe abarcar todos los riesgos de la compañía que puedan tener un impacto en la capacidad de la compañía para alcanzar sus obligaciones con los tomadores.
3. El ORSA debe estar basado en un proceso adecuado de medida y evaluación, y formar parte integral de la estructura de gestión y toma de decisiones de la compañía.
4. El ORSA debe mirar hacia delante, teniendo en cuenta los planes de negocio y proyecciones de la compañía.
5. Tanto el proceso del ORSA como el informe correspondiente deben estar debidamente documentados así como justificada su trazabilidad y la independencia en su evaluación.

En los comentarios del Groupe Consultatif al Issues Paper del CEIOPS (actualmente EIOPA), se señala que un proceso lógico a la hora de abordar el ORSA debería ser el de desarrollar con los cinco principios arriba referidos a la luz del principio de proporcionalidad. Es decir, que la clave es entender que sería un error tener diferentes principios en función de si se trata de pequeñas, medianas o grandes empresas. Más bien, lo correcto sería que todas ellas emplearan los mismos principios y que fuera el principio de proporcionalidad el que pusiera el acento en los diferentes aspectos de las compañías en función la naturaleza, el volumen y la complejidad de las actividades comerciales de la compañía

¿Quien es el responsable del proceso ORSA?

La Directiva del Solvencia II requiere tanto una función de gestión de riesgos como una función actuarial.

En este sentido, se indica que las compañías deben disponer de una función de gestión de riesgos que se estructurede tal forma que se facilite la aplicación del sistema de gestión de riesgos. Dicho sistema de gestión de riesgos comprende las estrategias, los procesos y los procedimientos de información necesarios para identificar, medir, vigilar, gestionar y notificar de forma continua los riesgos a los que, a nivel individual y agregado, estén o puedan estar expuestas las compañías, así como sus interdependencias.

En cuanto a la función actuarial, la Directiva indica que junto a las funciones referentes a las provisiones técnicas, pronunciarse sobre la política general de suscripción y sobre la adecuación de los acuerdos de reaseguro, también deberá contribuir a la aplicación efectiva del sistema de gestión de riesgos, en particular en lo que respecta a la modelización del riesgo en que se basa el cálculo de los requisitos del SCR y al ORSA.

Lo anterior lleva a la conclusión de que la Directiva entiende el ORSA como parte del sistema de gestión de riesgos.

El CEIOPS (actualmente EIOPA) establece en su Issues Paper que a pesar de que la ejecución del ORSA pueda ser subcontratada, la responsabilidad descansará en todo caso en el órgano de administración o gestión de la compañía.

Además se requiere que el órgano de administración o gestión de la compañía deberá asegurarse de que se lleve a cabo una revisión del proceso de ORSA por personas que no han tenido una responsabilidad dentro de dicho proceso, de forma que se mantenga una independencia a la hora de llevar a cabo la revisión. Esta revisión podrá ser llevada a cabo tanto por auditores internos como externos, o por cualquier otra función interna o externa que resulte ser independiente en su labor de revisión.

El papel de los actuarios en relación al ORSA

Finalmente resaltar que la Directiva señala en relación a la función actuarial que ésta debe contribuir a la aplicación efectiva del sistema de gestión de riesgos. Con esto se quiere subrayar que el ORSA conlleva un alto grado de valoración cuantitativa para el cual los actuarios están especialmente cualificados.

En puridad, no se exige en ningún momento la existencia de los “actuarios”, en el sentido de los profesionales pertenecientes al Colegio de Actuarios. Sin embargo, el término “actuarial” es profusamente utilizado a lo largo de la Directiva.

A pesar de lo indicado en el párrafo anterior, es obvio que existe una adecuación perfecta ente la “función actuarial” y los “actuarios”. En ocasiones, esto será debido a que las tareas son esencialmente actuariales o, en otros casos, debido a que en determinadas áreas la formación y experiencia actuarial resulta muy útil para entender y tener una visión holística de los riesgos.

En cuanto a lo referente al ORSA, a pesar de que quede determinado como un proceso dentro del ámbito de la gestión de riesgos, la Directiva señala el papel clave de la función actuarial en este proceso. En la práctica, esto va a suponer que un parte importante del ORSA será llevada a cabo por la función actuarial.

Operational Risk - Scenario Analysis

Fuente: Charles University (Prague)

Título: Operational Risk – Scenario Analysis

Fecha: septiembre 2008

Autor: Milan Rippel, Petr Teply

El presente resumen del artículo va a comentar los puntos abordados por el autor y las conclusiones a las que el mismo llega. Sin embargo, nuestro interés se va a centrar sobretodo en el apartado referido al análisis de escenarios.

El artículo presenta un estudio empírico llevado a cabo empleando datos de una institución financiera europea. A través de dicho estudio se presentarán conclusiones en relación a las siguientes dos cuestiones:
· En primer lugar, la idoneidad de las estimaciones de capital basadas en eventos de perdida históricos. Para ello, analizará diferentes métodos estadísticos posibles;
· En segundo lugar, la medición del impacto de potenciales eventos extremos de riesgo operacional y la posibilidad de su inclusión a la muestra de datos de pérdida ya existentes en la base de datos.

En cuanto a la primera cuestión, el autor concluye que la utilización de la teoría del Extreme Value Theory (EVT) como método estadístico para modelar los datos de riesgo operacional no es tan adecuada como lo resulta la distribución hiperbólica generalizada.

Su segunda conclusión es que la muestra de datos originales resulta reforzada y enriquecida con los eventos creados a través del análisis de escenarios.

Alcance

El hilo conductor inicial del autor consiste en acotar adecuadamente los conceptos que van a ser analizados a través del artículo, a saber: riesgo operacional, capital regulatorio y capital económico.

Partiendo de la definición ya clásica del riesgo operacional (el riesgo de pérdida derivado de la inadecuación o de la disfunción de procesos internos, del personal o de los sistemas, o de sucesos externos; incluye dentro del concepto de riesgo operacional el riesgo legal pero se excluye el riesgo estratégico y reputacional), el autor acota dicho concepto respecto de las definiciones de riesgo de mercado y de crédito. Para ello, propone el siguiente cuadro resumen:

A continuación, diferencia entre dos conceptos relacionados pero no idénticos: capital regulatorio y capital económico. Esta diferenciación es muy importante a la hora de modelar correctamente el riesgo operacional.

El capital regulatorio, es aquel que resulta necesario para proporcionar una adecuada cobertura a las exposiciones de las entidades financieras frente a los riesgos financieros; es decir, viene a ser el nivel de capital mínimo exigido por el regulador.

El capital económico es aquel margen disponible frente a pérdidas futuras e inesperadas ocasionadas por riesgos operacionales, de mercado o de crédito; es decir, viene a ser el nivel de capital que elegirían los accionistas de una entidad financiera en ausencia de regulación.

Una diferencia importante a tener en cuenta a la hora de modelar el riesgo operacional es que el capital regulatorio cubre las pérdidas esperadas y las inesperadas sólo hasta determinado nivel de confianza, pero no considera los eventos de pérdida extremos, como sí lo hace el capital económico.

Metodología

Una vez definidos y acotados los conceptos de riesgo operacional y de capital regulatorio/económico, el autor presenta las tres metodologías de medición del riesgo operacional que recoge Basilea II:
1. Basic Indicator Approach (BIA),
2. Standarized Approach (SA) y
3. Advanced Measuremten Approach (AMA).

Las dos primeras responden a la denominada aproximación “top-down”, donde capital operacional es definido como una proporción determinada de los ingresos brutos.

Por su parte, el tercero responde a la denominada aproximación “bottom-up”, donde el importe de capital operacional es determinado en base a los datos de pérdidas operacionales recogidos en las bases de datos de la compañía.

Basilea II no establece una técnica de medición concreta y determinada para la determinación del importe de riesgo operacional mediante la metodología AMA, sino que deja libertad a las compañías para desarrollar sus propios modelos. Es por ello, que el análisis del autor se adentra en el estudio de las técnicas más adecuadas para llevar a cabo dicha medición del capital económico. En particular, presenta las más reputadas técnicas de medición que emplean las compañías hoy en día:
· Loss Distribution Approach (LDA)
· Stress-testing /Análisis de escenarios
· Autoevaluaciones de riesgos y controles
· Indicadores de riesgo

La realidad demuestra que los datos de riesgo operacional presentan determinadas características que lo diferencian de los datos del riesgo de mercado o de crédito. Esto conduce a que los métodos de valoración diseñados para los riesgos de mercado y de crédito no resulten adecuados para la medición del riesgo operacional.

La medición del riesgo operacional se asemeja más a las matemáticas actuariales, por eso son empleadas a menudo algunas de las metodologías actuariales de valoración a los riesgos operacionales (por ejemplo, la denominada Extreme Value Theroy – EVT).

Existen fundamentalmente dos maneras de desarrollar los modelos de riesgo operacional:
· Enfoque Top-down: cuantifica el riesgo operacional sin intentar identificar los eventos concretos o las causas de las pérdidas. Pertenecen a este grupo los modelos de indicadores de riesgo y los de análisis de escenarios.
· Enfoque Bottom-up: cuantifica el riesgo operacional a través de los eventos concretos identificados en la empresa. Pertenecen a este grupo los modelos de tipo actuarial, donde adquieren especial importancia las distribuciones de frecuencia y severidad que modelan los datos disponibles en las bases de pérdidas operacionales.

Dentro del enfoque Bottom-up, se encuentra la mencionada EVT. Esta teoría es una rama de la estadística que se enfoca en el estudio de los eventos poco frecuentes que están situados en la cola de una distribución de probabilidad concreta. Existen diversas técnicas para la EVT (por ejemplo, el método Block Maxima o el método Peak Over Threshold).

El objetivo final del enfoque Bottom-up es que una vez que se hayan modelado las distribuciones de pérdida (frecuencia y severidad), se procederá a agregar dicha exposición al riesgo. De esta forma, los dos tipos de distribuciones son agregadas en un modelo único que estime la pérdida total para un período de un año, utilizando el método de cálculo del Value-at Risk (VaR). No obstante, a pesar de que el VaR resulte ser el método más habitual, diversos estudios apuntan que éste no resulta ser el método más adecuado para el cálculo del capital sino que resulta más idóneo el Conditional Value at Risk (CVaR).

Stress-test y análisis de escenarios

Un importante hecho a considerar a lo hora de adoptar un enfoque Bottom-up es la necesidad de disponer de una base de datos suficientemente amplia. Sin embargo, esta necesidad choca con la realidad imperante en muchas entidades donde la escasez de datos históricos de riesgo operacional disponibles es manifiesta.

Por eso, para resolver este problema, se han desarrollado otros métodos alternativos para la gestión del riesgo operacional. Uno de estos métodos es el denominado análisis de escenarios, o de forma más genérica, el stress-test.

A través de este método se analiza si una institución financiera podría superar una pérdida derivada de un riesgo excepcional. Es decir, los stress-test valoran los efectos de eventos de poca frecuencia que se encuentran fuera de la capacidad predictiva del modelo estadístico del VaR. En este sentido, el stress-test debería ser empleado como un método complementario al VaR.

A día de hoy, no existe una doctrina suficientemente desarrollada en relación a los stress-test empleados en el cálculo del riesgo operacional. Por eso, existe una gran libertad a la hora de elegir los métodos que mejor se adaptan a cada compañía. Siendo los métodos de stress-test métodos subjetivos, es importante adoptar unas hipótesis lo más correcta posibles, ya que si se adoptan unas hipótesis incorrectas y se emplean unos escenarios irrelevantes, podría conducir a considerar unas pérdidas irrelevantes.

Con carácter general los escenarios pueden clasificarse en dos grandes grupos:
· Aquellos que emplean datos históricos (por ejemplo, los ataques terroristas del 11-S en Nueva York, las operaciones de trading llevadas a cabo en Societé Generalé)
· Aquellos que emplean escenarios hipotéticos, de posibles eventos de riesgo que no han tenido lugar todavía, pero que pudieran darse.

Si la entidad financiera es capaz de implantar una política adecuada de análisis de escenarios, entonces este método proporciona una visión comprehensiva del impacto de los potenciales eventos.

Es por eso, que este método proporciona una base cuantitativa creíble y que por eso los resultados obtenidos pueden ser posteriormente agregados a los otros métodos de cuantificación como, por ejemplo, el empleado a través de la Loss Distribution Approach (LDA).

Para llevar a cabo un adecuado análisis de escenarios, el autor propone la utilización de una metodología estructurada basada en las siguientes tres fases:
1. Listado de los escenarios posibles dentro de una categoría de riesgo operacional determinada.

2. Aplicación del escenario diseñado

3. Distribución de probabilidad para la categoría

De las tres fases mencionadas, la más crítica de todas es la primera. Por eso, resulta vital la utilización de un método de trabajo adecuado que permita su determinación correcta. El autor propone un método basado en los siguientes cinco pasos:
1. Definición de un escenario
2. Determinación de la frecuencia
3. Valoración de la severidad
4. Impacto del escenario
5. Seguro de cobertura

Gestión

Cuestión diferente al cálculo económico del riesgo operacional será la relevancia que la Dirección otorgue a los resultados obtenidos.

A menudo ocurre que los resultados pueden resultar difíciles de interpretar ya que los stress-test definen eventos de poca frecuencia. Esto da lugar a que las acciones para mitigar el riesgo que debe tomar la Dirección pueden resultar poco claras y, por lo tanto, que acaben por ignorarse los resultados derivados del stress-test.

El autor propone que una vez que la institución financiera determine las características especiales de su exposición al riesgo operacional, los directivos de la compañía adoptar las acciones necesarias ayudándose de uno de los cinco métodos de gestionar el riesgo operacional que propone.