Procesos De Servicios

EVALUACION DE RIESGOS OPERACIONALES EN PROCESOS DE NEGOCIO Y SERVICIOS AUTOMATIZADOS (PARTE 1)

Justificación.

Las organizaciones de todos los tamaños están expuestas a una variedad de riesgos provenientes de fuentes internas y externas. La Evaluación de Riesgos (Risk Assessment) es la identificación y análisis de aquellos riesgos que estén relacionados con el logro de los objetivos, formando una base para determinar cómo deberán ser administrados o manejados.

Aunque es necesario asumir riesgos con prudencia para poder desarrollarse, la gerencia de las empresas debe preocuparse por identificar y analizar los riesgos, cuantificar su magnitud y proyectar su probabilidad de ocurrencia y las posibles consecuencias.

En los ambientes de cambio de hoy, ciertas condiciones demandan especial atención. Por ejemplo:

Los Avances Tecnológicos en los procesos de producción o sistemas de información, hacen que los controles existentes ya no sean apropiados para mitigar los nuevos riesgos. Por ejemplo, los controles sobre sistemas cliente / servidor necesitan ser bastante diferentes a los controles sobre aplicaciones que funcionan centralizadas en supercomputadores (mainframes).

Los Cambios en los Ambientes de Operación, que surgen en diferentes ambientes regulatorios y económicos, incrementan la presión competitiva y crean nuevos riesgos para las empresas. Por ejemplo, los cambios en la legislación tributaria o las innovaciones en la industria de las telecomunicaciones colocan a las empresas en ambientes de negocios muy dificultosos.

Nuevas Líneas de Negocios o nuevos productos, los cuales pueden significar que los controles existentes ya no sirvan para mitigar los riesgos efectivamente. Por ejemplo, el E-commerce, E-learning, EDIs, pagos por internet, Cajeros Automáticos.

La Reestructuración Corporativa, que implique su redimensionamiento (downsizing) y reducción de personal. Este punto es de interés particular porque en el nuevo ambiente se pueden eliminar funciones de control claves sin que se coloquen los controles compensatorios necesarios.

La Expansión o adquisición de operaciones extranjeras, las cuales traen nuevos riesgos que pueden no entenderse completamente, pero que deben ser direccionados. El ambiente de control, seguramente será manejado por la cultura y los clientes del ambiente local.

Nuevo Personal que no entiende la cultura de la empresa o que puede enfocarse al desempeño y no a las actividades de control. La gente nueva puede decidir hacer negocios como ellos lo desean y no como el nuevo ambiente lo requiere, a menos que hayan recibido entrenamiento adecuado.

Rápido Crecimiento. Cuando las operaciones se expanden significativamente, los sistemas existentes están sujetos a presión hasta el punto que el control se descompone.

Debido a la naturaleza dinámica de estos factores, el risk assessment no puede ser un ejercicio de una sola vez. Este debe ser un proceso continuo, un núcleo de competencia de la organización, tal como es la evaluación continua del uso de los sistemas de información o el proceso de mejoramiento continuo.

El proceso de risk assessment deberá mirar hacia delante, para permitir a la Gerencia anticiparse a nuevos riesgos y ejercer las medidas apropiadas (A esto se denomina enfoque proactivo - preventivo del control). Es recomendable realizar “concilios de riesgos” al menos una vez al año, para validar los riesgos críticos de cada proceso de negocio clave y analizar todos los nuevos productos bajo desarrollo y considerar sus riesgos para la compañía. El éxito del enfoque no está en el uso de una metodología particular, sino en hacer del risk assessment una parte natural del proceso de planeación organizacional.

Para llegar a ser exitosas, las organizaciones necesitan administrar sus riesgos efectivamente, a través de adecuados controles y procedimientos de administración de riesgos en: a) Las operaciones de sus procesos de negocio o servicios claves, b) En la infraestructura informática y c) En los sistemas de información automatizados (aplicaciones de computador o ERPs) críticos para la consecución de sus objetivos.

El diccionario Webster define el riesgo como “la posibilidad de daño o pérdida”. En el contexto de los negocios, el riesgo se define como “los factores, eventos, o exposiciones tanto internos como externos, que amenazan el logro de los objetivos de la organización”.

El riesgo también puede definirse como el valor de las pérdidas que experimenta una organización como consecuencia de la ocurrencia de una ó más causas de riesgo o amenazas contra la seguridad.

"El Riesgo Operacional se define como el riesgo de incurrir en pérdidas directas o indirectas como consecuencia de procesos internos, personal o sistemas inadecuados o defectuosos, o como resultados de acontecimientos externos” (Acuerdo Basilea II).

Gran parte del riesgo es inherente a la naturaleza de los negocios o servicios de la empresa. Esta parte se denomina riesgo potencial, no puede eliminarse y por consiguiente, su manejo es parte natural del éxito de los negocios. Una organización que siente aversión al riesgo frecuentemente no sobrevive cuando aparecen nuevos productos, nuevos mercados y nuevas respuestas. Por consiguiente, el objetivo de la administración de riesgos en cada organización es evaluar y entender los riesgos a los que está expuesta permanentemente, para reducirlos a niveles aceptables mediante el diseño e implementación de controles efectivos y de adecuados procedimientos de medición y monitoreo. Esta es la manera de obtener y mantener las características de calidad total y seguridad de sus productos, servicios y de sus clientes.

No existe una manera práctica de reducir el riesgo a cero, porque esto no es posible. Toda actividad genera riesgos y por consiguiente, la decisión de asumir riesgos se toma cuando se inician los negocios. La administración debe determinar el nivel de riesgo potencial que es tolerable y esforzarse por mantener el riesgo dentro de estos niveles a través de una estructura de control interno idónea, en cada proceso de negocio o servicio que desarrolle la organización.

Dentro de este contexto existen varios estados del riesgo:

• Riesgo Potencial o inherente: es el riesgo que hace parte de la naturaleza de los negocios y se estima o valora sin tener en cuenta los controles y salvaguardas existentes en la empresa.

• Riesgo Presente: es el riesgo que se estima o valora teniendo en cuenta los controles y seguridades existentes.

...