Gestión de riesgo operativo según ASFI: qué exige el Artículo 1° y cómo llevarlo a la práctica

En muchas entidades financieras bolivianas, el riesgo operativo todavía vive en un manual aprobado y en una matriz que se actualiza una vez al año, poco antes de la visita de ASFI. El Artículo 1° pide otra cosa: procesos formales que funcionen todo el año y formen parte de la estrategia de la entidad.

¿Qué establece la norma?

• La entidad es responsable de administrar su riesgo operativo y debe contar con procesos formales para identificar, medir, monitorear, controlar, mitigar y divulgar sus exposiciones.
• La gestión debe considerar la exposición a los riesgos legal y tecnológico. Para el riesgo tecnológico se aplica, en lo que corresponda, el Reglamento para la Gestión de Seguridad de la Información.
• La entidad debe definir su apetito al riesgo según la naturaleza, tamaño y complejidad de sus operaciones.
• Las políticas, procedimientos y acciones del sistema deben revisarse y actualizarse permanentemente, y el sistema debe formar parte de la estrategia institucional.

¿Qué revisa el supervisor?

• Coherencia entre lo que dicen la política y la metodología y lo que realmente hace la Unidad de Gestión de Riesgos.
• Un apetito al riesgo aprobado por el Directorio u órgano equivalente y expresado en límites medibles.
• Que la planificación estratégica considere el riesgo operativo de las iniciativas: nuevas agencias, canales digitales, cambio de core, tercerizaciones.
• Que los riesgos legal y tecnológico tengan responsables claros y estén integrados con la gestión de seguridad de la información.

Brechas frecuentes

• Apetito al riesgo declarado en términos generales, sin umbrales que permitan identificar eventos críticos.
• Riesgo tecnológico gestionado solo por TI, sin conexión con la matriz de riesgo operativo.
• Metodología que se actualiza por la inspección y no por cambios en el negocio.
• Riesgo legal reducido a procesos judiciales, sin considerar incumplimientos normativos ni contratos mal instrumentados, como establece su definición.

Evidencias que demuestran el cumplimiento

• Política y manual de gestión de riesgo operativo vigentes, con su acta de aprobación.
• Declaración de apetito al riesgo con límites cuantitativos y reportes de seguimiento.
• Criterio documentado para calificar un evento como crítico, vinculado al apetito.
• Actas del Comité de Riesgos con decisiones sobre riesgo operativo e historial de actualizaciones de la metodología.

Herramientas y recursos de colaboración

• ISO 31000:2018 (Gestión del riesgo – Directrices) y COSO ERM 2017, como marcos de referencia para estructurar el sistema, definir el apetito al riesgo e integrarlo a la estrategia.
• Declaración de apetito al riesgo con límites cuantitativos y un tablero de indicadores clave de riesgo (KRI) con umbrales tipo semáforo.
• Matriz de cumplimiento del reglamento para autoevaluaciones periódicas.

Autoevaluación rápida

• ¿Tu Directorio u órgano equivalente aprobó un apetito al riesgo operativo expresado en cifras?

• ¿Puedes explicar con un criterio escrito por qué un evento se calificó, o no, como crítico?

Si alguna respuesta es “no” o “no estoy seguro”, existe una brecha que conviene evaluar antes de la próxima inspección.

¿Cómo te ayuda REDTISEG?

En una evaluación de brechas del Artículo 1°:

• Revisamos política, metodología y declaración de apetito frente a los requisitos del artículo.
• Verificamos con una muestra de decisiones y eventos recientes si la gestión se aplica en la práctica.
• Proponemos límites de apetito y un criterio de evento crítico acordes al tamaño de tu entidad.

Resultado: matriz de cumplimiento por requisito, brechas calificadas por nivel de riesgo y un plan de adecuación priorizado, con responsables, plazos y evidencia de cierre.

Solicita un diagnóstico inicial de tu gestión de riesgo operativo aquí!