Evaluación de Riesgo y Control de nuevos productos y...

Evaluación de Riesgo y Control de nuevos productos y cambios importantes Alberto Ferreras Salagre 1

Evaluación de Riesgo y

Control de nuevos

productos y cambios

importantes

Presentada por

D. Alberto Ferreras Salagre

[email protected]

Lima 18-08-2016


Descargo de responsabilidad.

Las opiniones presentadas en esta presentación representan las opiniones

personales del ponente basadas en sus años de experiencia y estudio de la

gestión del Riesgo Operacional

Evaluación de Riesgo y Control de nuevos productos y cambios importantes Alberto Ferreras Salagre

Objetivos

del taller

Que los participantes salgan

con todas las respuestas a sus

preguntas de como evaluar los

riesgos y controles de nuevos

productos y cambios

importantes

Que identifiquemos juntos, las similitudes y

diferencias en la metodología de la

evaluación de riesgos y controles en nuevos

productos y en productos existentes

Que identifiquemos juntos, las principales

fuentes de riesgos que puede tener un nuevo

producto, para tenerlas siempre presentes en

las evaluaciones.

Que tengo que mirar, si o sí.

Que identifiquemos juntos, cuales son los

retos a la hora de evaluar estos riesgos y

controles y cual es la herramienta

fundamental para abordarlos.

3


¿Por qué debemos evaluar los de riesgos y los

control de los nuevos productos y cambios

importantes?

¿Por qué?

4

1

2

¿Esta es la razón principal por la que debemos hacerlo?

Es un requerimiento regulatorio.

Principio 7 de las Mejores Práctica

de RO de Basilea

CIRCULAR N° G-165 - 2012

Debemos de evaluar y sobre

todo controlar/mitigar los

riesgos para que no se

materialicen.

Estamos admitiendo riesgo

operacional.

¿ y si no fuera un requerimiento regulatorio?

RIESGO

Factor de

Riesgo / Riesgos

Pérdida Potencial


CIRCULAR N°

G-165 - 2012

5

Información del nuevo producto o cambio

importante. a) En el caso de los nuevos productos se deberá incluir

descripción del producto, proceso operativo

asociado, canales y mercado objetivo; para el caso de

los cambios importantes en el ambiente de negocio,

operativo o informático, una breve descripción del

cambio, indicando el objetivo que la empresa busca

alcanzar.

b) Descripción de los riesgos identificados como

consecuencia del lanzamiento del nuevo producto o por

los cambios en el ambiente de negocios, operativo o

informático.

c) Deberán incluirse claramente los tipos de riesgos

asociados, teniendo como referencia mínima los

indicados en el artículo 5° del Reglamento de la Gestión

Integral de Riesgos.

d) Resultados de la evaluación realizada y medidas de

tratamiento implementadas o propuestas a fin de

gestionar el riesgo.


¿Qué puede pasar si no evaluamos y

controlamos correctamente estos riesgos?

¿Qué puede

pasar?

6

1

Podemos empezar a comercializar un producto que finalmente nos

genere grandes pérdidas.

- la red comercial no entiendo el producto y no lo sabe vender

correctamente

- los sistemas informáticos no soportan el funcionamiento del

producto.

- Los contratos no están bien redactados.

¿Por qué? - Show must go on. Poner el carro delante de los bueyes.

Empezar la casa por el tejado.

El Negocio no se puede parar

Como riesgos tenemos que asegurarnos

que se revisan/mitigan todos los

posibles riesgos importantes y que

se tienen en cuenta antes de lanzar un

producto no después.

-

Time to market

¿o si?.


¿Cómo

debemos

realizar esta

evaluación?

7

La metodología de partida ha de ser similar a la usada en

un ejercicio de RCSA.

Pero con matices. La evaluación es más teórica

con un nuevo producto.

Pregunta: ¿Hay que evaluar de forma diferente un nuevo

producto de un producto existente? Si / No ¿Por qué ?

Pregunta: ¿En que se diferencia el proceso de

evaluación? ¿ y la metodología?

Identificar los riesgos relevantes a los que se puede

enfrentar la entidad de cara a gestionarlos

Identificar los riesgos relevantes, “elefantes

rosas” y gestionarlos antes de que se lance el

producto no después.

En un producto existe el proceso ya esta funcionando, en un nuevo

producto, lo estamos diseñando.


Fases de un

proceso

RCSA

1 - Pre-análisis

Determinación y conocimiento de los procesos

2 - Identificación de Riesgos y controles.

Procesos

3 - Evaluación de los Riesgos y controles.

8

Cambia

SI NO

Riesgo inherente / bruto

/ absoluto

Actividades

de Control.

Riesgo

residual - = Severidad/

Impacto Probabilidad

/ frecuencia

Teórico /

Diseño

Práctico

Riesgo residual Apetito al

riesgo

4 - Gestión de los riesgos relevantes

Acciones o planes de actuación


Riesgos

Ejecución, entrega y gestión

de procesos

Recepción, ejecución y

mantenimiento de

operaciones

Comunicación defectuosa

Errores de

introducción de datos,

mantenimiento de datos

descarga de datos

Incumplimiento de plazos

de responsabilidades

Ejecución errónea modelos

sistemas

Error contable / atribución a entidades contable

Error atribución a entidades erróneas

atribución a clientes erróneos

Errores en otras tareas

Fallo en la entrega

Fallo en la gestión del colateral

Mantenimiento de datos de referencia

Seguimiento y presentación

de informes

Incumplimiento de la obligación de

informar

Inexactitud de informes externos (con

generación de pérdidas)

Aceptación de clientes y

documentación

Inexistencia de autorizaciones

rechazos de clientes

Documentos jurídicos inexistentes

incompletos

Gestión de cuentas de

clientes

Acceso no autorizado a cuentas

Registros incorrectos de clientes (con

generación de pérdidas)

Pérdida o daño de activos de clientes

por negligencia

Contrapartes comerciales

Fallos de contrapartes distintas de

clientes

Otros litigios con contrapartes distintas

de clientes

Distribuidores y proveedores Subcontratación

Litigios con distribuidores

Debemos buscar los mismos riesgos que buscamos en un proceso RCSA


Coste

conta

ble

Multas / sanciones

Coste de reposición de activos

Robos físico

Pagos indebidos / pago de más

Cobro de menos. Impuestos

Compensaciones

Co

ste

s n

o

conta

ble

s

Cobro de menos.

Ingresos no percibidos.

Perdida de

ingresos futuros

PR FI FE PC TE RH DE

Severidad


Severidad

Tipos de riesgo Ejemplo de variables

Desastres • Coste de los activos ( edificios, instalaciones).

Errores

Fraudes

• Importe máximo de realizado en el proceso.

Transacciones, prestamos.

• Número de oficinas. Importe máximo de dinero en

la oficina

• Volumen de prestamos

• Pérdida esperada de la cartera de prestamos.

• Número de clientes

• Número de contratos

Sanciones • Conocer la normativa aplicable y la sanción

máxima legal.

La información de las bases de datos internas y externas,

deben ser un punto de partida.

Las perdidas históricas, sobre todo las del último año, salvo casos extremos

deberían de ser un valor mínimo de la severidad teórica y en muchos casos

práctica.

Business case

Estimaciones de clientes, ventas,


Frecuencia.

Vari

ab

les a

dic

ion

ale

s a

ten

er

en

cu

en

ta

a la h

ora

de e

sti

ma

r la

fre

cu

en

cia

.

Periodicidad de ejecución del proceso

Grado de manualidad del proceso

Nivel de complejidad de ejecución del proceso

Nivel de dispersión en la ejecución del proceso

Entorno


Tipos de

controles Niveles de control

Fuente: Fondo Mivivienda. MANUAL DE GESTIÓN DEL RIESGO OPERACIONAL

Preventivo

Detectivo

Preventivo Preventivo

Detectivo

Correctivo Correctivo

Eventos indeseados

13


- Periodicidad de ejecución del control +

- Efectividad / grado de mitigación +

Manual Semi-Automático Automático


Tipos de

controles

Características

de los controles

Severidad Frecuencia

Preventivo

Detectivo

Correctivo

Soft Hard


Periodicidad del proceso Periodicidad del control

14


¿Qué es un nuevo producto?

Pero

empecemos

por el

principio.

15

Pregunta: El banco acaba de empezar a patrocinar la liga de futbol del país, y decide

lanzar una tarjeta con el nombre de la liga.

¿Esta tarjeta es un nuevo producto?

Nuevo producto: Producto lanzado por primera vez por la empresa. En la presente

norma, se considera también un “nuevo producto” cuando se realiza un cambio en un

producto existente que modifica su perfil de riesgo.

Producto: Bienes y/o servicios brindados por las empresas a sus clientes y usuarios.

Subcontratación significativa: Aquella subcontratación que, en caso de falla o suspensión

del servicio, puede poner en riesgo importante a la empresa, al afectar sus ingresos,

solvencia, o continuidad operativa.

Necesitamos definir que es un nuevo producto para mi entidad.

Práctica 1

Hacer grupos de 2 a 5 personas y durante los próximos 10 minutos, definir que

características utilizaríamos para considerar un producto como nuevo.

Por ejemplo. Necesitar un nuevo circuito contable.

Pregunta: Y si la nueva tarjeta la vamos a vender sólo por internet y nunca antes

habíamos vendido una tarjeta por internet.

¿Esta tarjeta es un nuevo producto?

¿Realmente tenemos tantos productos realmente nuevos,

y tantos riesgos nuevos riesgos?

Las características definidas en el taller se encuentran en un archivo compartido en

la cuenta de correo en el [email protected]

clave: riesgooperacionala


¿Qué es

cambio

importante?

16

1

a. Cambios en la forma en la que se conducen los

negocios y operaciones, originados por modificaciones

en las condiciones económicas, políticas o legales.

b. Subcontrataciones significativas.

c. Alianzas, contratos asociativos, participación en

negocios conjuntos.

d. Reorganizaciones empresariales.

e. Proyectos cuya falla pueda generar pérdidas

significativas.

f. Implementación de un nuevo canal de atención:

Cajeros Automáticos, Internet, Telefonía móvil, Cajeros

corresponsales, entre otros. En este caso, se

considerará como cambio importante la implementación

por primera vez del nuevo canal de atención y/o

modificaciones importantes a su funcionamiento.

g. Cambio de la infraestructura tecnológica que soporta

los principales productos y/o servicios de la empresa.

h. Traslado de la oficina principal de la empresa.


El comité

La

herramienta

17

1

Ya tenemos una de definición.

Ahora necesitamos una herramienta. La herramienta

Comité de nuevos negocios ha de ser nuestra

herramienta. ¿Objetivo del

comité? Sin

Composición del comité. Unidad que propone el producto Asesoría Fiscal

Riesgo Operacional* Asesoría Jurídica

Riesgos RRHH

Tecnología / Operaciones Atención al cliente

Medios Auditoria

Cumplimiento Normativo Cualquier otra área importante en el

lanzamiento

Contabilidad ……..

Pregunta: ¿Qué unidades deben de estar incluidas en este comité?


El comité

18

1

El comité tiene que estar respaldado por una política abalada por la

alta dirección.

Tiene que haber una directriz clara que ningún producto es

comercializado sin una aprobación expresa del comité.

Tiene que existir un procedimiento (ágil y fácil) donde se describan

las fases de comité y sobre todo los roles y responsabilidades de

cada miembro del mismo. Riguroso y documentado. Todos sepan

que se les va a pedir hacer o dar. No esperar hasta el final,

trabajar desde el principio

El secretario del comité a de ser un área de control.

Cada miembro deberá de dar una opinión razonada a favor o en

contra de la aprobación del producto. Aprobación formal y por

escrito.

Los miembro del comité deberán de ser personas de alto nivel. Es

un órgano de admisión de riesgos.

“La aprobación podrá o no ser por unanimidad”.

Algunos principios fundacionales del comité

Si debería, pudiendo existir aprobaciones condicionadas o con

condicionantes. Show must go on.

Pregunta: El comité ¿debería tener potestad de veto en la

comercialización de un nuevo producto?


Descripción básica del proyecto.

Clientes objetivos del producto

Estudio de mercado

Características claves del producto

Método de distribución

Estimación de volúmenes de negocios y

rentabilidad

Cual es el modelo de control que se pretende

aplicar.

Si tiene alguna particularidad fiscal o normativa.

Definición y descripción de la estructura e

infraestructura que soporta el nuevo negocio,

así como su logística

Esquemas de incentivos comerciales….

Información

necesaria

19

-

Pregunta: ¿Qué tipo de información debemos solicitar al promotor de la

propuesta para evaluar los riesgos más significativos?


Información

fundamental

para evaluar

20

1 -

Pregunta: ¿Qué tipos de cosas debemos mirar si, o si ?

Implicaciones fiscales. • Este nuevo producto o cambio genera nuevas exigencias

fiscales y/ de impuestos.

Implicaciones legales. • Este nuevo producto o cambio esta amparado por los

contratos actuales, o hay que redactar nuevos contratos.

Implicaciones normativas. • A este nuevo producto o cambio se le aplica una nueva

normativa diferente al resto de las que usábamos.

Implicaciones contables A este nuevo producto o cambio implica la creación de nuevas

cuentas o procesos de contabilidad.

Valoración de riesgos no operacionales. Los modelos actuales de riesgo cubren la al producto o hay

que desarrollar nuevos modelos.

Perfiles de los recursos y conocimientos. Tenemos los conocimientos y las personas necesarias.

Implicaciones infraestructura /tecnológica. Tenemos los sistemas necesarios para este nuevo producto.


¿La

aprobación

es el final del

proceso?

21

1 -

Pregunta: ¿La aprobación es el final del proceso?

La respuesta debería de ser NO.

No, si hay condicionantes que hay que revisar.

No, ya que los nuevos productos deberían de ser revisados

para ver si las condiciones y/ suposiciones iniciales tanto

económicas como operativas se ha cumplido o si hay

cambios significativos.

Pregunta: ¿Se podría detener/discontinuar la comercialización de un

nuevo producto?

La respuesta debería de ser SI.

Si las condiciones no se cumple, si aparecen riesgos

contemplados o pérdidas significativas el producto de

podría dejar de comercializar.

Una vez que pase el tiempo definido en el procedimiento

el análisis de riesgos utilizaría la metodología RCSA

habitual.


Y los cambio

importantes

22

1

Analizar los riesgos existentes y ver como le

afecta el cambio.

Ejemplo del outsourcing

Pregunta: ¿Debería de existir un comité para la

revisión y aprobación de los cambios importantes?

Pregunta: ¿Debemos hablar de

aprobación o de implementación?.

Preguntas: ¿En vuestras entidades existen un comité

de Outsourcing?

¿Es el mismo que el de nuevos productos?

¿Funciona igual?


Resumen

de Ideas.

La evaluación de riesgos y controles parte de la misma

metodología que un RCSA pero con matices

La herramienta fundamental es el comité de

nuevos productos.

El objetivo es identificar/mitigar los grandes problemas

antes y no después de lanzar el producto.

En la mayoría de los casos hablamos de

modificaciones, por lo que parte de los riesgos y

el modelo de control ya están definidos

El enfoque en muchos casos no es tanto poner

controles como realizar los cambios a proceso

para que nazca de la manera adecuada

En los cambios importantes hay que identificar los riesgo

significativos existentes y ver como se ven afectados por el

cambio.


Casos Prácticos

24

1. Evaluar si el producto es realmente nuevo.

2. Evaluar que hace al producto nuevo en

función de las características definidas

anteriormente.

3. Identificar los departamentos que deben

de participar en la evaluación.

4. Identificar en función del departamento el

tipo de riesgo

5. Revisar si ya existen riesgo similares y

ajustarlos.

6. Si hay realmente riesgos nuevos

7. Fijar los controles y las medidas


Caso Práctico 1

Monedero

electrónico

25

Producto Monedero electrónico.

Desde el departamento comercial, han detectado que hay una gran

demanda, por aplicaciones para móvil que permitan pagar los gastos

del día a día usando la tecnología NFC de los nuevos teléfonos

inteligentes.

El banco quiere lanzar una aplicación que permita crear una única

tarjeta virtual desde el teléfono o desde la página web de la entidad,

recargar la tarjeta con dinero de tu cuenta y pagar cantidades de hasta

5.000 nuevos soles.

El producto sólo se podrá contratar desde el teléfono o en web.

El publico objetivo es la totalidad de los clientes del banco con

teléfonos inteligentes que son aproximadamente un 50% de los

clientes..

Se estima que el primer año el 30% de esos clientes tengan

funcionando la aplicación y la tarjeta.

El banco tiene 10.000 clientes y suelen gastar uno 5.000 nuevos soles

en pequeños pagos.

Para limitar los posible fraudes, las primeras 3 operaciones diarias de

menos de 300 nuevos soles, no necesitaran pin, y para el resto o

operaciones de más de 300 nuevos soles, se necesitará el pin.


Caso Práctico 1

Monedero

electrónico

26

En los grupos, dedicar 5 minutos a identificar:

¿Cual es la característica/s hace que este producto sea considerado nuevo?

¿qué departamentos deberían de participar en la revisión de este nuevo producto?.

Las características y los departamentos se ponen en común y se

asignan los departamentos entre los grupos

En los grupos, dedicar 10 minutos a identificar los 3 riesgos más

significativos que pensáis que puede tener el nuevo producto, cuantificar

el riesgo inherente por severidad y frecuencia en una escala del 1 al 5

y identificar posibles controles para esos riesgo

Los riesgos, evaluaciones y controles se ponen en común y se estima el

riesgo residual

- Si la tarjeta en vez de ser prepago fuera una tarjeta de crédito

normal, solo que solicitada y concedida on-line.

Cambiaría lo anterior,

¿los departamentos implicados ? y ¿los riesgos?, ¿los

controles?


Caso Práctico 2

Outsourcing de la

estancación de las

tarjetas.

27

Cambio relevantes. Outsourcing de la estancación

de las tarjetas.

Desde el departamento de costes, ha decidido que la

estancación/ emboce de las tarjetas de crédito y debito

que se realizaba por personas internas al banco, a

partir del año que viene se realizara por una empresa

externa, ya que el coste de estampar esas tarjetas es

la mitad si los subcontratamos a un empresa externa.

El año pasado la entidad realizó 100.000 tarjetas

nuevas y renovó 200.000.

De las 100.000. la mitad era de crédito y la otra mitad

de debito

De las 200.000 la proporción fue 70% debito 30%

crédito.


Caso Práctico 2

Outsourcing de la

estancación de las

tarjetas.

28

En los grupos, dedicar 5 minutos a identificar:

• ¿Los 3 riesgos más significativos del proceso de

estampación / emboce antes del outsourcing y a que

clase de riesgo pertenecen?

• ¿qué departamentos deberían de participar en la

revisión de este cambio?.

En los grupos, dedicar 5 minutos a:

• ¿responder si los riesgos anteriores y los controles

que los mitigaban desaparecen al realizar el proceso

de outsourcing?

• ¿Como consecuencia del proceso de outsourcing

aparece algún riesgo nuevo que debería de estar en

el top3?.

• ¿Como lo mitigaríais?.


Muchas gracias por su atención

Evaluación de Riesgo y Control de nuevos productos y...

Documents

Transcript of Evaluación de Riesgo y Control de nuevos productos y...