Evaluación del Riesgo

La evaluación del riesgo implica la equiparación del nivel cualitativo del riesgo encontrado durante el proceso de análisis del riesgo frente a los criterios cualitativos de riesgo previamente identificados.

De acuerdo a las Normas Técnicas de gestión de Riesgo, el resultado de una evaluación del riesgo es una lista priorizada de riesgos, para tomar acciones posteriores. Se deben considerar los objetivos de la organización y el grado de oportunidad que pudiera resultar de asumir el riesgo.

La Guía de la Administración de riesgo del DAFP (2009) establece que para realizar la evaluación del riesgo se debe tener en cuenta la posición del riesgo en la matriz de análisis de riesgo, según la celda que ocupa, aplicando los siguientes criterios:

 Si el riesgo se ubica en la Zona de Riesgo Baja (B), significa que la probabilidad es rara, improbable o posible y el impacto es insignificante o menor, lo cual permite a la institución asumir el riesgo. Es decir, el riesgo no significativo se encuentra en un nivel aceptable y tolerable sin necesidad de tomar otras medidas de control diferentes a las que se poseen, pero si se podría reforzarlo o fortalecerlo.

 Si el riesgo se ubica en la Zona de Riesgo Extrema (E), la probabilidad es posible, probable o casi seguro y el impacto moderado, mayor o catastrófico; por tanto, es aconsejable eliminar la actividad que genera el riesgo significativo en la medida que sea posible, de lo contrario se deben implementar controles de prevención para evitar la probabilidad del riesgo, de protección para disminuir el impacto o compartir o transferir el riesgo.

 Si el riesgo se sitúa en las zonas de riesgo moderada o alta (A y M), se deben tomar medidas para llevar en lo posible los riesgos a la zona moderada. Cuando el riesgo sea calificado con impacto mayor o catastrófico, la institución debe diseñar planes de contingencia, para protegerse en caso de su ocurrencia.

Análisis de Efectividad

El análisis de efectividad de los controles se refleja directamente en los resultados de desempeño del proceso asociado, el cumplimiento de la política de administración del riesgo y la ocurrencia de eventos asociados a la materialización del riesgo.

Para realizar la implementación de los controles y para una adecuada valoración del riesgo, las instituciones públicas deben preguntarse y responder a las siguientes preguntas:

 ¿Existen controles en el proceso o en el equipo de gestión para disminuir o evitar el riesgo?

 ¿Los controles están documentados?

 ¿Los controles se están aplicando actualmente?

 ¿El control es efectivo para minimizar el riesgo?

 ¿Cuándo ha sido evaluado, el resultado es satisfactorio?

Luego de tener respuestas a las preguntas descritas, se debe proceder a realizar la valoración, de la siguiente manera:

 Ponderación, teniendo en cuenta las respuestas a las preguntas anteriormente formuladas (los controles se encuentran documentados, se aplican y son efectivos).

 Ubicación en la Matriz de Calificación, Evaluación y Respuesta a los riesgos, el estado final de riesgo, de acuerdo a los resultados obtenidos en la valoración del mismo.

Tabla 13: Análisis de efectividad de los controles

Criterios Valoración de los Riesgos

No existen controles Se mantiene el resultado de la evaluación antes de controles

Los controles existentes no son efectivos Se mantiene el resultado de la evaluación antes de controles

Los controles existentes son efectivos pero no están documentados

Cambia el resultado a una casilla inferior de la matriz de evaluación antes de controles (el desplazamiento depende de sí el control afecta el impacto o la probabilidad)

Los controles son efectivos y están documentados.

Pasa a escala inferior (el desplazamiento depende de si el control afecta el impacto o la probabilidad)

Fuente: Guía de Administración de Riesgo DAFP

Valoración del Riesgo

La valoración del riesgo consiste en la comparación de los resultados de la evaluación del riesgo con los controles identificados, acción que permitirá establecer prioridades para el manejo de los riesgos y fijación de políticas. Para realizar la valoración del riesgo se debe conocer bien los controles en los diferentes procesos y de su funcionalidad y eficiencia en la ejecución de los mismos.

De acuerdo a la guía de administración de riesgo de la Universidad Nacional de Colombia, los controles se definen como mecanismos, políticas, prácticas u otras acciones existentes que actúan para minimizar el riesgo negativo o potenciar oportunidades en la gestión del riesgo, con el fin de garantizar el desarrollo y cumplimiento de las actividades acorde a los requisitos institucionales.

Los controles se pueden clasificar en:

 Preventivos: aquellos que actúan para eliminar las causas del riesgo para prevenir su ocurrencia o materialización.

 Correctivos: aquellos que permiten el restablecimiento de la actividad después de ser detectado un evento no deseable; también permiten la modificación de las acciones que propiciaron su ocurrencia.

Los controles de acuerdo a su clasificación correctivo o preventivo, debe contemplar la viabilidad y costo de los mismos. Los controles pueden estar asociados a las siguientes clases:

Controles de Gestión: Son aquellos controles orientados a garantizar el cumplimiento de las estrategias, políticas y objetivos institucionales, dentro de los cuales se encuentran: los indicadores, evaluaciones, auditorias, informes, comités etc. A continuación se realiza una descripción de los ejemplos de este control:

 Políticas claras aplicadas

 Seguimiento al plan estratégico y operativo

 Indicadores de Gestión

 Tableros de Control

 Seguimiento a Cronograma

 Evaluación del desempeño

 Informes de Gestión

 Monitoreo de Riesgos

Controles Operativos: Son aquellos controles enfocados a garantizar la ejecución de las actividades, se encuentran soportados en los manuales, procedimientos, guías o instructivos definidos para desarrollar dicha actividad; también hacen parte las funciones y responsabilidades determinadas al personal, la infraestructura y todos los recursos dispuestos para la realización de dichas actividades. A continuación se realiza una descripción de los ejemplos de este control:

 Pagos a proveedores

 Contratación de Personal

 Verificación de firmas

 Segregación de funciones

 Niveles de autorización

 Procedimientos formales aplicados

 Personal capacitado

 Ejecución de proyectos

Controles Legales: Son aquellos en los cuales hacen parte la normatividad interna y externa aplicable a la Institución vinculadas con Acuerdos, Resoluciones etc. A continuación se realiza una descripción de los ejemplos de este control:

 Cumplimiento de Leyes y reglamentos gubernamentales

 Normas internas claras y aplicadas

 Control de Términos

Los controles de gestión y operativos, son controles de probabilidad, y los controles legales son controles de impacto.

Luego de identificar los tipos de controles, se debe realizar una valoración del mismo vinculados con la probabilidad e impacto, lo cual se demuestra en las siguientes matrices:

Tabla 14: Matriz de valoración de controles

Parámetros Criterios Tipo de Control Puntajes

Probabilidad Impacto

Herramientas para ejercer el

control

Posee una herramienta para ejercer el control 15

Existe manuales, instructivos o procedimientos

para el manejo de la herramienta 15

En el tiempo que lleva la herramienta ha

demostrado ser efectiva 30

Seguimiento al control

Están definidos los responsables de la ejecución

del control y del seguimiento 15

La frecuencia de ejecución del control y

seguimiento es adecuada 25

TOTAL 100

Fuente: Curso Gestión de Riesgo – Quito (2012)

Una vez realizado el análisis de efectividad (tabla 13) y valoración de los controles (tabla 14), se debe realizar la clasificación de los mismos en rangos dependiendo si los controles afectan probabilidad o impacto. Si el control afecta probabilidad o impacto se realiza el desplazamiento de casilleros en la matriz de calificación, evaluación y respuesta a los riesgos, en base a la siguiente tabla.

Tabla 15: Categorización de los controles

Rangos de calificación de los controles

No. Cuadrantes a disminuir en la probabilidad

No. Cuadrante a disminuir en el impacto

Entre 0-50 0 0

Entre 51-75 1 1

Entre 76-100 2 2

Fuente: Curso Gestión de Riesgo – Quito (2012)

Luego de conocer la valoración de los controles y su categorización, fácilmente se realizará la valoración del riesgo de acuerdo a la siguiente tabla:

Tabla 16: Matriz de valoración de riesgos

Proceso Objetivo

Riesgo

Calificación Riesgo Controles

Clase de Control Descripción de controles Valoración de controles

Probabilidad Impacto Zona Prob. O

Impacto Puntaje Herramienta para ejercer el control Puntaje seguimiento al control Puntaje final

De acuerdo a esta valoración se aplica el cuadro de categorización de los controles

Luego de la valoración completa de los riesgos, se deberá aplicar el desplazamiento en la matriz de calificación, evaluación y respuesta a los riesgos de acuerdo a si cubren probabilidad o impacto. En el caso de la probabilidad se desplazaría casillas hacia arriba y en el caso del impacto hacia la izquierda, como se muestra en la siguiente tabla de acuerdo a la valoración de controles:

Tabla 17: Desplazamiento en la matriz de calificación, evaluación y respuesta a los riesgos PROBABILIDAD IMPACTO INSIGNIFICANTE (1) MENOR (2) MODERADO (3) MAYOR (4) CATASTRÓFICO (5) RARO (E-1) B B M A A IMPROBABLE (D-2) B B M A E POSIBLE (C-3) B M A E E PROBABLE (B-4) M A A E E

CASI SEGURO (A-5) A A A E E

Fuente: Guía de Administración de Riesgo DAFP

Si los controles no se encuentran completamente implementados y su efectividad no sea la esperada, se debe organizar un plan de acción encaminado a garantizar su efectividad. En el Anexo E se presenta un ejemplo de la evaluación y valoración de los riesgos.

Con la evaluación de riesgo se busca que la institución obtenga los siguientes resultados: