Shaping and Developing a Risk Culture

Fuente: IRM

Título: Shaping and Developing a Risk Culture

Fecha: Octubre 2010

Autor: Alex Hindson

El presente artículo plantea un sencillo modelo de medición o diagnóstico de la cultura de riesgo basado en el empleo de ocho indicadores de riesgo, agrupados en cuatro bloques de temas:

•     Tono de la alta dirección

·         Gobierno

·         Competencias

·         Toma de decisiones

Tono de la alta dirección

El tono de la alta dirección (“tone at the top”, en inglés) es una expresión anglosajona que no tiene su equivalente en español y que expresa la idea de un estándar establecido por los líderes de la organización según el cual se mide su rendimiento, la cultura con la cual los miembros de la organización operan.

Este bloque centra su atención en dos grupos de indicadores de riesgo; a saber:

Liderazgo en materia de gestión de riesgos

• ¿Ha establecido la alta dirección directrices claras para la gestión de riesgos?
• ¿Han proporcionado los líderes de la organización un modelo de comportamiento ante la gestión de riesgos y  propiciado discusiones activas respecto a la tolerancia al riesgo?
• ¿Cómo son de consistentes los mensajes a lo largo del tiempo?

Respuesta ante las malas noticias

• ¿Está comprometida la alta dirección en transmitir de manera rápida a través de la organización la información de gestión relativa a riesgos?
• ¿Existe una comunicación abierta y honesta en la comunicación de las incidencias / eventos de riesgos?

Gobierno

Este bloque centra su atención en los siguientes dos grupos de indicadores de riesgo:

Sistema de gobierno en materia de gestión de riesgos

• ¿se ha definido con absoluta claridad las responsabilidades para la gestión de los principales riesgos para la compañía?
• ¿Se han incluido las responsabilidades anteriormente citadas dentro de las descripciones de los roles y se han establecido los objetivos de desempeño necesarios?

Transparencia

• ¿Se comunica adecuadamente la información relativa los riesgos, en tiempo y forma, a través de la organización?
• ¿Son compartidas las lecciones aprendidas, tanto positivas como negativas, derivadas de los eventos de riesgos?

Competencias

Este bloque centra su atención en dos grupos de indicadores de riesgo; a saber:

Recursos destinados a la gestión de riesgos

• ¿La función de riesgos ha definido las competencias y el alcance de las operaciones? ¿Tiene el apoyo de los líderes de la organización?
• ¿Se han establecido los criterios necesarios para llevar a cabo revisiones sobre cómo de eficientes son  los riesgos gestionados?

Habilidades en materia de gestión de riesgos

• ¿Se ha establecido una adecuada estructura que de soporte a la alta dirección en la gestión de los riesgos: propietarios de riesgos, colaboradores, risk champions, etc.?
• ¿Se han establecido programas de formación adecuados para expandir la cultura de riesgos dentro de la organización?

Toma de decisiones

Decisiones tomadas basadas en riesgos

• ¿Salen los líderes de la organización a la búsqueda de la información sobre riesgos necesaria para la toma de decisiones?
• ¿Es entendida suficientemente y comunicada la capacidad de la entidad para asumir riesgos?

Sistema de recompensa por la aceptación adecuada de riesgos

• ¿Ofrece la alta dirección un apoyo adecuado a las personas que de manera efectiva buscan entender y gestionar los riesgos?
• ¿Se reconoce esta actitud dentro del proceso establecido para la gestión del desempeño?

New Generation of Risk Management

Fuente: International Forum of Operational Risk Management - Paris

Título: New Generation of Risk Management

Fecha: Enero 2011

Autor: C. Smith

La gestión del Riesgo ha sido una herramienta ampliamente utilizada durante los últimos años siendo del Riesgo de Mercado y de Crédito los riesgos más desarrollados. Sin embargo, tan sólo recientemente el Riesgo Operacional ha sido incluido como un categoría medible independiente.

Existen varias razones por las que las entidades financieras han mostrado un creciente interés en relación a la gestión de los riesgos. Este interés viene estimulado por:

1. Razones económicas o de negocio, para poder gestionar los riesgos de una forma más adecuada.   
2. Razones de tipo regulatorio, al albur de las nuevas normativas existentes.

Si bien, en un principio los diferentes tipos de riesgos eran gestionados de manera independiente, a través de los modelos de  Enterprise Risk Management, en la actualidad se está dotando de una visión holística dicha gestión.

Para proporcionar dicha visión holística, la comunidad dedicada a la gestión del riesgo han desarrollado diferentes marcos de gestión del riesgo.

Desde una perspectiva amplia, estas teorías presentan los siguientes atributos:

1. Gobierno Corporativo
2. Sistema de controles internos
3. Recursos suficientes para implantar los controles internos
4. Un proceso de gestión de riesgos
5.  Una clara definición de los factores que dan lugar a los riesgos.

 Así, durante los últimos años, las compañías más avanzadas han adoptado los pasos adecuados en el siguiente sentido:

1. 1.       Crear un órgano independiente, con suficientes recursos.
2. 2.       Han definido un política de Gobierno Corporativo
3. 3.       In Se han creado diferentes tipos de metodologías que identifican, analizan y monitorizan los riesgos.
4. 4.       Finalmente, para gestionar adecuadamente los riesgos y demostrar que el modelo interno está suficientemente empleado en la toma de decisiones de la compañía, se han establecido procedimientos adecuados de reporting.

 Sin embargo, a pesar de todo lo anterior, el autor llama la atención sobre el hecho de que las crisis financieras han continuado golpeado a las compañías, lo que hace preguntarse qué ha funcionado mal y qué necesita hacerse para que esto no vuelva a ocurrir.

Por supuesto que la solución no dispone de una única respuesta. Pero en opinión del autor no se trata de que los marcos de gestión de riesgos no sean adecuados sino incompletos. El elemento que se echa en falta es el relativo al elemento cultural, valores, comportamientos, actitudes, etc. en relación al riesgo: es decir, el elemento humano.

En el pasado se ha pecado inocentemente al pensar que proporcionando una mínima formación y estableciéndose los procesos bastaba. Si bien eso es necesario, resulta insuficiente y el gran reto para en la próxima generación de gestión de riesgos pasa por reactivar el elemento cultural y del comportamiento humano.

Key Risk Indicators – Sound Practice Guidance

Fuente: Institute of Operational Risk.

Título: Key Risk Indicators – Sound Practice Guidance.

Fecha: Noviembre 2010.

Autor: Institute of Operational Risk.

La guía de mejores prácticas del Institute of Operational Risk analiza los principales aspectos a tener en cuenta a la hora de determinar un adecuado sistema de indicadores de Riesgo operacional. En su desarrollo sigue el esquema siguiente:

Definición

Los indicadores de riesgo son una adecuada herramienta para la gestión del riesgo operacional. Estas métricas son empleadas gestionar las exposiciones al riesgo.

Para que un indicador sea clasificado como clave es necesario que se deba:

1.        Que hace seguimiento de una exposición al riesgo importante, o

2.        Que el indicador ha sido definido de una forma tan adecuada que permite una monitorización especialmente adecuada,  o

3.        Ambas razones a la vez.

A continuación se presenta una clasificación conceptual de los indicadores destacando cuáles son sus principales funciones:

Aún reconociendo que la clasificación anterior es útil desde un punto de vista pedagógico, la realidad es que la naturaleza del indicador cambia en función del uso que se dé al mismo, indicando diferentes aspectos en función del destinatario del mismo.

Por otro lado, dado que cada compañía es única y diferente del resto, el catálogo de indicadores debe ser propio de la misma, no pudiendo extrapolar un mismo catálogo de indicadores de una entidad a otra.

Objetivo

La utilización de indicadores de riesgo presenta un amplio esquema de objetivos, que pueden resumirse en los siguientes:

Selección

Las características que debe reunir los indicadores son:

1.        Relevancia:

2.        Medible:

3.        Predictivo:

4.        Fácil de monitorizar:

5.        Auditable:

6.        Comparabilidad:

Existen dos enfoques que las compañías emplean a la hora de seleccionar los indicadores, si bien, en la práctica, suelen combinarse ambos enfoques:

1.        Enfoque top-down: la dirección de la compañía selecciona los indicadores que deben monitorizarse dentro de la organización.

2.        Enfoque bottom-up: las áreas de negocio son las que seleccionan los indicadores que van a supervisarse.

Una práctica de las empresas cada vez más habitual es la de acudir a cestas o índices de indicadores. El uso de estas cestas de indicadores puede constituir un mecanismo más realista a la hora de predecir futuros niveles de exposición al riesgo. En todo caso, para que las cestas de indicadores sean efectivas es necesario conocer bien tanto los factores de riesgo de la exposición como las relaciones subyacentes que existen entre los diferentes datos empleados.

A grandes rasgos, para desarrollar una cesta de indicadores es necesario seguir los siguientes pasos:

1.        Identificar los factores de riesgo.

2.        Establecer las relaciones existentes entre ellos.

3.        Determinar cuál es el nivel óptimo de equilibrio.

4.        Monitorizar las desviaciones entre los datos obtenidos de la cesta de indicadores y el nivel óptimo de equilibrio.

Límites

Si los indicadores no tienen asociados determinados límites, umbrales y niveles de alerta, su eficacia será limitada. Sin embargo, igualmente estéril resultará el establecimiento de tales límites, umbrales y niveles de alerta, por si solos, es decir sin que estos hayan sido determinados tras un estudio de los datos arrojados durante cierto período de tiempo (seis meses sería lo mínimo admisible, si bien un año es lo recomendable).

La idea de los umbrales y límites es el establecimiento de una frontera a partir de la cual, si es extralimitada, se alerte a la compañía de un posible cambio en la exposición al riesgo. Para ello, se deberá establecer cuál es el adecuado proceso de alerta para cada límite (p.e. si el límite de un determinado indicador es 100 unidades, un posible proceso de escalada sería que un valor entre 101 y 125 deberá ser comunicado el responsable de equipo; entre 126 y 150 al director del área; por encima de 151, al Comité de Dirección).

Los umbrales y límites pueden establecerse de diversas maneras: un cap, donde se determina un valor máximo por encima del cual se inicia el proceso de alertas; un floor, por debajo del cual igualmente se debe iniciar el proceso de alertas; o un collar, resultante de una combinación de un cap y un floor.

Además de estos clásicos umbrales y límites, es posible establecer otros ligeramente más sofisticados, como porcentajes y desviaciones de un valore prefijado, etc.

En aquellos casos en los que las organizaciones están comenzando a establecer indicadores, un sencillo proceso es el siguiente:

1.        Determinar qué tipo de umbral o límite es necesario (cap. floor  o collar).

2.        Establecer si dicho umbral o límite debe ser un valor absoluto, un porcentaje, un ratio, etc.

3.        Revisar los datos históricos disponibles para el indicador en cuestión y establecer la horquilla de valores que ha adoptado a lo largo del tiempo.

4.        Valorar los objetivos, el presupuesto y el apetito al riesgo de la compañía, aplicando el resultado de este análisis a los valores históricos recogidos.

5.        Evaluar cuál es el aquel primer valor donde la compañía no se siente cómoda y usarlo como primer límite.

6.        Monitorizar los valores que se vayan reportando durante las primeras entregas  a fin de ajustar, si fuera necesario, los umbrales y límites.

Este sistema de monitorización de indicadores es el más habitual, por básico, en las compañías. Pero es posible establecer otro tipo de umbrales o límites más especializados a través de, por ejemplo, valores objetivos, donde se combinaría el análisis de exposición al riesgo con la gestión del performance; otro ejemplo, podría ser a través de establecimiento de umbrales o límites de tendencia, de tal forma que la tendencia en los resultados obtenidos de los indicadores también sirvieran como niveles de alerta en su caso.

Una vez que se han definido los umbrales y límites, el siguiente paso es determinar el tipo de respuesta que se desea cuando uno de tales límites es franqueado y a quién debe dársele a conocer.

Gestión

La selección de indicadores debería seguido de una evaluación,  o autoevaluación en su caso, de los riesgos y controles de tal forma que exista una evidencia auditable que permita asociar las valoraciones de riesgo operacional con las métricas seleccionadas para monitorizar los cambios en los niveles de exposición al riesgo.

Por lo tanto, cualquier programa de determinación de indicadores debe estar apoyado en un proceso documentado que asegure, al menos:

1.        Una adecuada estructura de gobierno de los indicadores (roles y responsabilidades).

2.        La documentación que debe ser conserva en relación a los indicadores seleccionados (requerimientos de datos, propietarios de los datos, etc.).

3.        Procedimientos de selección (cómo, cuándo, quién puede seleccionar indicadores).

4.        El mantenimiento sucesivo de los indicadores (cambios en las fuentes de datos, ajustes en las fórmulas de cálculo, etc.).

Un elemento práctico a la hora de trabajar con indicadores de riesgo operacional es la conveniencia de establecer dentro de cada indicador diversas categorías (tipo de clientes, tipo de transacciones, localizaciones, tipos de productos, etc.) de tal forma que a la hora de su análisis y agregación en función de las necesidades, su análisis resulte más provechoso.

Reporting

Un proceso de monitorización que resulte efectivo es esencial para la gestión del riesgo operacional.  Por lo tanto, los indicadores van a resultar de poca utilidad si no son reportados a aquellos que tienen que adoptar las decisiones adecuadas. Por ello, los indicadores de riesgo operacional son reportados a todos los niveles de la compañía, desde el Comité de Dirección hasta los responsables de áreas.

El alcance, contenido y forma de presentación de los indicadores variará dependiendo de cuál sea la audiencia de los mismos. No obstante, un equipo de coordinación central es aconsejable de cara a proporcionar una visión consistente y adecuada de la información.

Algunas de las características básicas que un proceso de reporte así como de los indicadores reportados son las siguientes:

1.        Relevancia: sólo deben reportarse aquellos que aporten información para la toma de decisiones.

2.        Simplicidad: no deben ser complejos ni emplear jegas terminológicas o complicadas fórmulas matemáticas.

3.        Oportunos en el tiempo: deben informar en el momento preciso, cuando los datos tienen todavía relevancia.

4.        Exactos: la información debe ser precisa, no contener errores, de forma que no se distorsione la realidad.

5.        Tendencia: deben contener información de tendencias históricas así como indicaciones sobre la volatilidad de los datos.

6.        Tener procedimientos claros de comunicación a superiores de información: de esta forma, los receptores de la información son conocedores de cuándo deben comunicar a los responsables respectivos las preocupaciones detectadas.  

7.        Cumplimiento normativo: cuando exista alguna regulación que así lo requiera.

En cuanto a la frecuencia con que deben ser reportados los resultados de los indicadores, esta dependerá tanto de la naturaleza del indicador como de las específicas audiencias a quienes se dirijan.

Otro aspecto que no debe descuidarse en el reporting es la forma de presentación de los indicadores. La forma en que sean reportada la información debe ser fácilmente comprensible por los que reciben la información de manera que puedan centrar su atención en el análisis y toma de decisiones. En general, el reporting debe seguir la regla de la excepción,  es decir, que deben reportarse aquellos que hayan transgredido los umbrales o límites, cuya tendencia pueda ser preocupante, etc. Para poder asegurar un adecuado reporting es necesario establecer alguna forma de priorización de los indicadores (p.e. niveles semafóricos).

Reputation and its risks

Fuente: Harvard Business Review

Título: Reputation and its risks

Fecha: Febrero 2007

Autor: Robert G. Eccles, Scott c. Newquist, Roland Schatz

Los ejecutivos conocen la importancia que tiene la reputación de sus empresas. Sin embargo, la mayoría de las empresas no gestiona adecuadamente su reputación en general ni los riesgos de su reputación en particular. Tienden a concentrar sus energías en gestionar las amenazas ya presentes para su reputación.

Los autores proporcionan en este artículo un marco para gestionar proactivamente el riesgo reputacional; explican los factores que afectan al riesgo reputacional y luego exploran cómo una empresa puede cuantificarlos y controlarlos adecuadamente.

En la actualidad, debido a la propia naturaleza del riesgo reputacional, existe una ausencia de estándares comunes a la hora de definirlo y medirlo.

Los determinantes del riesgo reputacional.

Tres cosas determinan el grado en el que una empresa está expuesta el riesgo reputacional:
· La diferencia entre reputación y realidad.
· Creencias y expectativas cambiantes.
· Débil coordinación interna.

Diferencia entre reputación y realidad.

La gestión eficaz del riesgo reputacional empieza con el reconocimiento de que la reputación es un asunto de percepción. La reputación global de una empresa es función de su reputación ente sus diversos stakeholders (inversores, clientes, proveedores, empleados, reguladores, políticos, ONGs y las comunidades donde opera la empresa) en categorías específicas (calidad de productos, gobierno corporativo, relaciones con los empleados, servicio al cliente, capital intelectual, desempeño financiero y manejo de asuntos ambientales y sociales).

Una sólida reputación positiva entre los stakeholders respecto de múltiples categoría generará una solida reputación positiva para la empresa como un todo.

La reputación es distinta del carácter o conducta real de la empresa y puede ser mejor o peor. Cuando la reputación de una empresa es más positiva que su realidad subyacente, esta diferencia constituye un riesgo sustancial.

Creencias y expectativas cambiantes.

Las creencias y expectativas cambiantes de los stakeholders son otro gran determinante del riesgo reputacional. Cuando las expectativas están cambiando y el carácter de la empresa sigue igual, la diferencia ente reputación y realidad se amplía y los riesgos aumentan.

Las expectativas de diferentes stakholders pueden divergir de forma notable lo que dificulta la tarea de determinar normas aceptables.

Inadecuada coordinación interna.

Otra fuente importante de riesgo reputacional es la mala coordinación de las decisiones tomadas por diferentes unidades de negocios y funciones. Si un grupo crea expectativas que otro grupo no cumple, la reputación de a empresa puede verse afectada. Por ejemplo, si el departamento de marketing lanza una gran campaña publicitaria para un nuevo producto antes de que los desarrolladores hayan identificado y eliminado todos los defectos. La empresa se ve forzada a elegir entre vender un producto defectuoso y lanzarlo después de lo prometido.

La coordinación es a menudo deficiente porque el CEO no ha asignado esta responsabilidad a una persona específica. Gestionar el riesgo reputacional Gestionar eficazmente el riesgo reputacional involucra cinco pasos:
· Evaluar la reputación de la empresa entre los stakeholders.
· Evaluar la realidad.
· Cerrar las diferencias entre reputación y realidad.
· Monitorizar creencias y expectativas cambiantes.
· Poner a cargo a un alto ejecutivo con rango inferior al CEO.

Evaluar la reputación de la empresa entre los stakeholders.

Puesto que la reputación es percepción, es esta última la que se debe medir. Esto implica la medición de la reputación en múltiples áreas, de forma contextual, objetiva y, en lo posible, cuantitativa.

Existen diversas técnicas para evaluar la reputación de una empresa. Estas incluyen el análisis de los medios, encuestas a los stakeholders, focus group y encuestas de opinión pública.

Evaluar la realidad.

La empresa debe evaluar objetivamente su capacidad para cumplir con las expectativas de desempeño de los stakeholders.

Es difícil evaluar el verdadero carácter de la organización por tres razones:
· Los ejecutivos tienen una tendencia natural a sobreestimar sus propias capacidades y las de sus organizaciones.
· Los ejecutivos tienden a creer que su empresa tiene buena reputación si no hay indicios de que ésta sea mala, cuando de hecho la empresa no tiene una reputación en esa área.
· Las expectativas son gestionadas: a veces se fijan bajan para garantizar el logro de los objetivos de desempeño y otras se fijan en forma optimistamente alta en un intento por impresionar a los superiores o al mercado.

Cerrar las diferencias entre reputación y realidad.

Cuando el carácter de una empresa supera su reputación, la diferencia puede cerrarse con un programa más eficaz de comunicaciones corporativas y relaciones con los inversores que utilice los principios habituales de información estratégica de medios.

Monitorizar creencias y expectativas cambiantes.

No es fácil entender exactamente cómo están evolucionando las creencias y expectativas pero hay formas de hacerse una idea con el tiempo. Por ejemplo, las encuestas regulares de empleados, clientes y otros stakeholders pueden revelar si sus prioridades están cambiando.

Poner a cargo a un alto ejecutivo con rango inferior al CEO.

Evaluar la reputación, evaluar la realidad, identificar y cerrar las diferencias y monitorizar las creencias y expectativas cambiantes no ocurrirá automáticamente. El CEO debe asignar a una persona la responsabilidad por hacer que estas cosas ocurran. Los candidatos obvios son el director de operaciones, el director de finanzas y los directores de gestión de riesgos, planificación estratégica y auditoría interna. Ellos tienen la credibilidad y controlan algunos de los recursos necesarios para cumplir con la tarea. En general, no se debe escoger a aquellos cuyas responsabilidades actuales plantean conflictos potenciales. Las personas en los principales cargos de “imagen”, tales como los jefes de marketing y comunicaciones corporativas entran en esta categoría. Lo mismo ocurre con el asesor legal, cuya tarea de defender a la empresa significa que su relación con los stakholders es a menudo adversa.

Los autores finalizan resumiendo el problema en los siguientes términos: lo primero es reconocer que el riesgo reputacional es una categoría diferente de riesgo y asignar a una persona la responsabilidad inequívoca de gestionarlo. Esta persona puede entonces identificar todas las partes de la organización cuyas actividades pueden afectar o plantear riesgos a su reputación global y mejorar la coordinación entre sus funciones y unidades.

Modeling Operational Risk Based on Multiple Experts’ Opinions

Fuente: Libro: “Operational Risk Towards Basel III”
Título: Modeling Operational Risk Based on Multiple Experts’ Opinions
Fecha: 2009
Autor: Jean-Philippe Peters and Georges Hübner

A pesar de que la gestión del riesgo operacional no es una materia nueva para las entidades financieras, estas se encuentran todavía definiendo la forma más adecuada de llevar a cabo el cálculo del capital por riesgo operacional.

Las opciones que se plantean a las entidades financieras pueden resumirse en:

• Métodos basados, básicamente, en la aplicación de uno o varios porcentajes sobre los ingresos;


• Métodos basados en la gestión del riesgo de la propia compañía.

En el caso de la gestión basada en riesgos, es habitual subrayar que un modelo adecuado debe combinar diversas fuentes de información; a saber: bases de datos internas de pérdidas operacionales; bases de datos externas de pérdidas operacionales; opiniones de expertos basados en el análisis de escenarios; el propio entorno de control de la entidad.

En cuanto a la forma en que se decida ponderar las mencionadas fuentes de información, no es un criterio determinado a priori sin que dependerá de la realidad de cada entidad.

Lo que se defiende en el presente documento es un método científico para poder agregar las opiniones de los expertos que posteriormente son empleadas en el análisis de escenarios de riesgo operacional.

Revisión de los enfoques de modelos internos.

Con carácter general la mayoría de loes enfoques presentados por las compañías en cuanto a los modelos internos, se pueden resumir en dos: el modelo de distribución de pérdidas (LDA, según sus siglas inglesas); y el modelo basado en el análisis de escenarios.

El modelo LDA.

El modelo LDA es una técnica paramétrica que está basada fundamentalmente en la observación de los datos de pérdidas internas de la compañía, si bien, puede ser enriquecido con la incorporación de pérdidas provenientes de bases de datos externas del sector.

Este modelo considera de manera separada, por un lado, la distribución de severidad y, por otro lado, la distribución de frecuencia. Posteriormente ambas distribuciones son combinadas.

Sin embargo, uno de los problemas para el empleo de esta metodología es precisamente la necesidad de que exista una base datos interna de pérdidas operacionales, cosa que no siempre existe o, aún existiendo, los datos no cumplen con la requerida calidad.

En tales casos es cuando las entidades deciden acudir al análisis basado en escenarios.

Análisis de escenarios.

El análisis basado en escenarios comparte con el modelo LDA la idea de combinar las distribuciones de frecuencia y severidad para calcular una distribución agregada de pérdidas.

Sin embargo, difiere en el sentido de que la estimación de ambas distribuciones está basada en la opinión de expertos sobre determinados escenarios hipotéticos. Sobre la base de estos escenarios, los expertos valoran la frecuencia e impacto con que se podrían producir los eventos de pérdida descritos.

El desafío de este modelo consiste precisamente en la obtención de estimaciones que sean ajustadas a la realidad.

Para poder combinar el resultado de este análisis con el obtenido a través del modelo LDA, aquel deberá ser estadísticamente compatible., siendo la denominada inferencia bayesiana la técnica de combinación más adecuada.

La inferencia bayesiana presenta grandes ventajas que hacen que sea especial óptima para la modelización del riesgo operacional:

• En primer lugar, es una técnica estadística robusta para combinar los datos derivados de las opiniones subjetivas de las personas y los datos de las bases de pérdidas operacionales.


• Además, dota de transparencia al proceso de forma que puedan ser analizados las dos fuentes de información por parte tanto de auditoría interna como del regulador.


• Finalmente, se basa en las hipótesis que encajan bien con el riesgo operacional, ya que ambo casos, observaciones y parámetros de las distribuciones son consideradas aleatorias.

El proceso para llevar a cabo el análisis de escenarios debe plantearse a través de un conjunto estructurado de actividades.

Este conjunto de actividades comienza con la selección de los expertos que posteriormente van a llevar a cabo la valoración de los escenarios. Para ello, cada responsable de área será el encargado de seleccionar a los expertos de sus respectivas áreas.

El siguiente paso es preparar las diferentes sesiones con los grupos de trabajo. En este sentido se puede optar, básicamente, por dos criterios: plantear las reuniones individualmente con cada experto; o juntar a todos los expertos y responsables en una misma reunión. Ambas posibilidades entrañan ventajas e inconvenientes.

A continuación se debe decidir el modo más adecuado para exponer las preguntas a los expertos, en función de los diferentes perfiles, con el objetivo de obtener respuestas que puedan ser finalmente cuantificadas.

Por último, se debe definir el mejor método de agregar las opiniones de los expertos. Sea cual fuere el modelo seguido, deberá cumplirse con los siguientes requisitos:
#1: Poder combinar varias opiniones en un único parámetro.
#2: Tener en cuenta la evaluación del responsable.
#3: Estar basado en una metodología estadísticamente robusta.
#4: El resultado del método debe ser capaz de poder emplearse junto con los resultados obtenidos por el modelo de LDA.

El autor resume cuatro formas prototípicas de combinación de las opiniones de los expertos.

• En primer lugar considera la opción de dotar de una misma ponderación a todas las opiniones obtenidas durante las entrevistas con los expertos.


• Una segunda opción es establecer una diferente ponderación a las opiniones realizadas por los expertos. Esta diferente ponderación sería determinada por el responsable.


• Un tercer método sería aquel que seguiría el denominado modelo de Cooke, mediante el cual se otorga diferente peso a las opiniones de los expertos en función de los resultados de un cuestionario referente a conocimiento sobre el negocio, preparado por el gestor de riesgo operacional.


• Finalmente, el denominado método supra-bayesiano, mediante el cual el responsable define en primera instancia la probabilidad de ocurrencia de un determinado evento. Posteriormente, los diferentes expertos procederán a emitir sus opiniones las cuales se tendrán en consideración por el responsable para actualizar su opinión previa.

El resultado del análisis llevado a cabo por el autor en relación al cumplimiento con los cuatro requisitos arriba mencionados queda reflejado en el siguiente cuadro:

KRIs: the forgotten input

Fuente: OR&R

Título: KRIs: the forgotten input

Fecha: Diciembre 2011

Autor: Marcelo Cruz

El autor afirma que los gestores de riesgo operacional podrían incrementar su valor dentro de las compañías de seguros si fueran capaces de establecer un vínculo de relación entre los indicadores de riesgo y los niveles de capital necesarios.

Comienza recordando que, tal y como establece el Nuevo Acuerdo deCapital de Basilea (conocido como Basilea II), los cuatro inputs para el cálculo del capital económico son:
· Datos internos
· Datos externos
· Análisis de escenarios
· Entorno de negocio y ambiente de control interno (donde se integrarían los indicadores de riesgos)

Todos estos inputs han sido analizados por los diferentes autores. Sin embargo, es el referente al entorno de negocio y ambiente de control interno el que resulta menos analizado por la doctrina.

En la práctica de las entidades aseguradoras, es habitual que se analice el entorno de negocio y el ambiente de control interno a través de las autoevaluaciones de riesgos y controles. Estas autoevaluaciones suponen valoraciones subjetivas sobre los procesos de negocio de la entidad.

Pero, el elemento de los indicadores de riesgos, con mucha frecuencia, queda fuera del marco de gestión de las entidades. Sólo unas pocas llegan a utilizar los resultados de este proceso como un mecanismo de ajuste ex post de los niveles de capital necesarios.

Es por ello, que Marcelo Cruz considera que en la actualidad la comunidad de riesgo operacional está desaprovechando una importante herramienta cuyo empleo en la modelización del riesgo operacional podría convertirse en un elemento clave en dicho proceso de modelización.

En este sentido, la mayoría de los modelos actuales están contemplando los inputs derivados de las pérdidas del pasado, sean estos datos internos o externos, y de escenarios. El handicap de este enfoque es que el output del modelo, es decir, el dato del VaR (Value at Risk), no es percibido como útil por la unidad de negocio que lo recibe. Esta percepción encuentra su justificación en la inexistencia de un vínculo real entre el trabajo llevado a cabo para reducir el riesgo operacional, a través de la mejora de los controles, y la calidad de dichas operaciones. De tal forma esto es así, que se produce la percepción de que el riesgo operacional sólo sirve para cumplir con los requerimientos legales.

Esta es la diferencia, comenta el autor, entre los modelos de riesgo de mercado y de crédito. Así, por ejemplo, en el riesgo de mercado, si una exposición a un determinado instrumento o mercado se considera superior a la deseada, los traders establecerán coberturas del riesgo o simplemente lo reducirán vendiendo el activo. Es decir, los modelos de mercado o crédito ayudan a que la gestión del riesgo sea parte del día a día del negocio. Sin embargo, esto no ocurre con el riesgo operacional, donde actualmente los modelos de riesgo operacional, basados en las pérdidas y en escenarios, no son capaces de ofrecer esta ayuda.

Marcelo Cruz considera que resulta explicado de manera más adecuada el riesgo operacional no en vez de en función de las pérdidas pasadas y de los juicios de opinión de expertos sino en función del entorno de control en la unidad de negocio.

En este sentido, si el entorno de control se deteriorase, el capital por riesgo operacional se incrementaría; y viceversa.

Así que si se llegase a incorporar los indicadores de riesgo dentro de la modelización del riesgo operacional, dichos modelos resultarían más útiles para los directivos, tal y como ocurre con los modelos del riesgo de crédito y de mercado.

El desarrollo de un conjunto comprehensivo de indicadores de riesgo es un esfuerzo significativo para las compañías. De manera ideal, para asegurar la robustez y la eficiencia de los indicadores de riesgo, estos deberían ser obtenidos directamente de los sistemas operativos y de contabilidad de las entidades. Sin embargo, el proceso de diseño de un indicador de riesgo, definiendo los inputs necesarios dentro del sistema, y la aprobación de un sistema de alimentación de la información de manera automatizada puede consumir semanas o meses, dependiendo de la complejidad y tamaño de la organización.

Por eso, encontrar la correlación que existe entre los indicadores de riesgo y las pérdidas de la compañía, y su incorporación al modelo de riesgo operacional, puede dar paso a un cambio en la forma de entender la gestión del riesgo operacional. Dentro de este marco, la comunidad de riesgo operacional podría empezar a hacer lo que los gestores de los riesgos de mercado o crédito ya están haciendo: participar en la toma de decisiones del día a día.

Key Risk Indicators and Risk Appetite

Fuente: Workshop en el ATEL-ERM Working Group, Luxembourg

Título: “Key Risk Indicators and Risk Appetite”

Fecha: 2010

Autor: Association des Trésories d’Entreprise à Luxembourg


Los participantes en el workshop de la ATEL (Association des Trésories d’Entreprise à Luxembourg) plantearon la siguiente clasificación de indicadores clave de riesgo:

1. Indicadores actuales (también llamados casuales), que son aquellos que hace un segumiento de las pérdidas operacionales que han tenido lugar.

2. Indicadores de tendencia (también llamados causales), que son aquellos que detectan la causa última de los eventos de riesgo; estos indicadores están establecidos como señales o sistemas de alarma antes de que ocurra el evento de riesgo.

3. Indicadores de la efectividad del control (también conocidos como indicadores clave de control), que reflejan eficacia operativa de los controles.

4. Indicadores de volumen (también llamados indicadores de riesgo inherente) y que proporcionan una medida de la actividad donde el riego inherente es identificado.


El documento final del workshop proporcionó un ejemplo ilustrativo de cómo los cuatro indicadores clave de riesgo aplicaban en una situación potencial de pandemia al absentismo laboral en general o en particular del personal clave.


Indicadores actuales/casuales

Los indicadores actuales o casuales son aquellos integrados por una multitud de métricas ampliamente usadas en los departamentos de recursos humanos (p.e. el ratio de número de días perdidos por absentismo dividió entre el total de días previstos de trabajo).

El departamento de recursos humanos cuanto tiene noticias de una situación de absentismo monitoriza los cambios y tendencias que se producen, reportando a la Dirección cuando corresponda.

Por otro lado, el departamento de recursos humanos adoptará medidas tales como contactar con aquellos empleado que superen el absentismo considerado como normal dentro de la compañía o bien, contactando con los responsables de las unidades de negocio correspondientes cuando la tendencia está fuera de la tolerancia admisible.

Las consecuencias de una situación de absentismo van desde la impacto a nivel organizativo de las actividades hasta el impacto económico en caso de que proceda compensaciones laborales por pagos de seguros médicos.


Indicadores de tendencia/causales

Existe una amplia variedad de indicadores de tendencia o causales en caso de absentismo. Algunos de ellos pueden ser los siguientes:

1. Las condiciones de salud general de los empleados, edad, estilos de vida, sexo o preexistencias. Estos factores con carácter general no pueden ser mitigados; sin embargo, si se emplean bases de datos externas y comparativas sectoriales se puede observar cuáles son los datos razonablemente esperados. Esta información será empleada en la determinación de las primas de seguros.

2. Si el departamento de recursos humanos observa que el absentismo es significativamente superior a los que los datos demográficos pudieran arrojar, se deberá plantear si existen factores específicos dentro de la compañía, tales como condiciones laborales inadecuadas o insatisfacción de los empleados, que pudieran estar influyendo en los resultados de absentismo laboral.

Si este fuera el caso, se podrían establecer indicadores sobre los potenciales factores de riesgo: diferente evaluación de los riesgos laborales (p.e. en los que afectasen a lo referente a la ergonomía o sanitario); encuestas de clima laboral.

Este tipo de indicadores serán tanto más adecuados cuanto se cumplan las siguientes condiciones:
a) Existencia de una lógica clara y objetiva a la hora de seleccionar dichos indicadores.

b) Su interdependencia está contrastada con los datos disponibles.

c) Los datos están disponibles con la suficiente anterioridad para poder predecir de manera efectiva un evento.

d) Existe una clara relación con el impacto en el riesgo analizado y son empleados de manera razonable, evitando la conocida parálisis por análisis.


Indicadores de la efectividad del control/indicadores clave de control

El objetivo de los indicadores clave de control es asegurar que se produce una respuesta adecuada en caso de que se detecte una situación de riesgo a través de los indicadores actuales/casuales o indicadores de tendencia/causales.

Por ejemplo, si en el análisis de la situación de hecho se hubiera detectado que se produce una relación directa entre el incremento de absentismo laboral y el tiempo transcurrido desde la última revisión del sistema de aire acondicionado, el indicador de control podría consistir en asegurar un reemplazo periódico de dichos filtros del aire en la oficina. No obstante, dado que las causas no suelen ser únicas, para tener la certeza de que no se está dejando de lado sin considerar otros factores, se podrían llevar a cabo entrevistas con los empleados de las áreas afectadas.

Algunos principios básicos para la creación de indicadores clave de control quedan reflejados en los siguientes puntos:
1. Proporcionalidad en el coste de los controles respecto a las consecuencias derivadas de la materialización del riesgo inherente.

2. La selección de indicadores clave de control debe ser un reflejo de la variedad de causas que pueden producir el riesgo, teniendo en cuenta aquellas causas que no tienen entre sí una relación directa.

3. Las dimensiones o atributos de los controles, tanto cuantitativos como cualitativos, deberán ser determinados de la manera más óptima posible. Además deberán ser revisados periódicamente. Esta optimización de las dimensiones de los controles pueden ir desde técnicas basadas en la intuición/autoevaluación hasta otras más sofisticadas.


Indicadores de volumen/indicadores de riesgo inherente

Los indicadores de volumen son empleados para valorar la efectividad y adecuación de los controles conforme las actividades de la compañía o sus niveles de actividad cambian.

En el caso del departamento de recursos humanos resulta obvio señalar que a mayor número de empleados, mayor número de situaciones de riesgo se pueden producir. Aunque esto debe ser tomado con ciertas matizaciones. Por ejemplo, cuando una compañía amplia sus contrataciones laborales, es probable que el riesgo de una situación en la cual todo un departamento quede paralizado por absentismo se vea disminuido.


Por último subrayar que a la hora de definir el apetito de riesgo, los indicadores en su conjunto serán una fuente de gran utilidad.

Determinants of Insurers´ Reputational Risk

Fuente: Wisconsin School of Business (University of Wisconsin)
Título: “Determinants of Insurers´ Reputational Risk”
Fecha: 2009
Autor: Shinichi Kamiya, Joan T.Schmit, Marjorie A. Rosenberg

En la actividad aseguradora se producen dos situaciones donde existe información asimétrica en la relación contractual, es decir, en las que un participante sabe algo que el otro desconoce: el riesgo moral y la selección adversa.

El presente documento analiza el efecto que produce el riesgo moral sobre el riesgo reputacional en las compañías de seguros, entendiendo por riesgo reputacional aquella pérdida de confianza en la compañía respecto a su capacidad para actuar de manera íntegra, que viene derivada de una publicidad negativa, sea ésta ajustada o no a la realidad.

La reputación de las compañías de seguros es vital en la venta de seguros dado que los clientes no pueden observar cómo la compañía desarrolla su actividad de tal manera que sea capaz de asegurar el cumplimiento de la promesa contractual establecida en la póliza.

En este sentido, las compañías de seguros pueden adoptar dos posiciones para obtener beneficios futuros:
· Mantener su reputación, mediante el cumplimiento de las expectativas del cliente;
· Desarrollar su actividad por debajo de las expectativas del cliente.

La segunda opción comentada es una clase del denominado riesgo moral que puede dar lugar a una pérdida de la reputación.

El autor se plantea las siguientes cuestiones:
· ¿Cuáles son los incentivos que motivan al asegurador a actuar de una u otra manera y por lo tanto determinar su riesgo moral?
· Estos incentivos no son directamente observables, sino que lo que únicamente se puede observar son las actuaciones que finalmente decida llevar a cabo la compañías. Entonces, ¿qué proxys se pueden establecer que puedan servir de medición del riesgo moral?

En cuanto a la primera cuestión, al igual que en cualquier otra relación comercial, el asegurador llevará a cabo un análisis del coste-beneficio de las alternativas posibles. En el caso de que el beneficio derivado de adoptar una posición más arriesgada moralmente resulte ser superior al coste derivado una pérdida de reputación, el asegurador actuará de manera más arriesgada.

Por ello, el autor identifica cinco factores que pueden inclinar la balanza en uno u otro sentido a la hora de que la compañía se decante por las diversas opciones posibles:

· Beneficios futuros obtenidos mediante el mantenimiento de la reputación: este factor supone que si el asegurador es capaz de anticipar cuál es el incremento de beneficios resultante de cumplir y mantener las expectativas del tomador, el asegurador estará dispuesto a mantener su reputación. Estos beneficios futuros pueden ser calculados de diferentes modos, aunque uno de los más habituales es el ratio “Q” divulgado por los trabajos de Tobin. También el EPS (Earning Per Share) es de utilidad.

· Estructura de capital de la compañía: este factor asume que, con carácter general, un incremento en el valor de los accionistas estará correlacionado con una disminución del riesgo que el asegurador estaría dispuesto a asumir.

· Tasa de descuento: dado que el beneficio esperado por mantener la reputación de la compañía es la suma de los beneficios futuros descontados, la tasa de descuento resulta crítica para el análisis. En este sentido, el autor afirma que cuando los tipos de interés son elevados, las compañías se encuentran más dispuestas a asumir riesgos. Es decir, las compañías se vuelven más oportunistas y deciden incrementar los beneficios futuros al coste de asumir conflictos de interés, optando por una reducción de la “cuenta reputacional”.

· Eficacia de la difusión de la información: este factor asume que el riesgo moral de la aseguradora depende de la probabilidad de que la información pueda ser revelada y conocida por el público, así como por la carencia de tiempo que existe entre el momento en que se produce la acción y ésta dada a conocer al el público. En este sentido, el autor defiende que la mayor o menor cobertura de los analistas de la información es un proxy de la eficacia en la difusión de la información y, por tanto, a mayor eficacia de la cobertura de analistas, menor será el riesgo moral.

· Efecto derivado los diferentes ramos del sector: el autor analiza los diferentes efectos que tiene las decisiones adoptadas así como el diferente peso que tienen los factores de riesgo reputacional en los diferentes ramos.

En cuanto a la segunda cuestión, el autor señala como proxys que ayudan a la determinación del riesgo moral las pérdidas por riesgo operacional. Es decir, dado que dichas pérdidas suelen ser consecuencia de una supervisión imperfecta de la actividad de la compañía, su detección puede ser dar lugar al mismo tiempo a la detección del riesgo reputacional.

En particular, señala que los riesgos causados por eventos internos son los que verdaderamente impactan en el riesgo reputacional. Es decir, que los siguientes tipos riesgos según la clasificación tradicional de Basilea II y Solvencia II son aquellos determinantes en la detección del riesgo reputacional:
· Fraude interno
· Prácticas de empleo y seguridad en el trabajo
· Prácticas con clientes, productos y de negocio
· Interrupción del negocio y Fallos en los sistemas
· Ejecución, entrega y gestión de los procesos