Los 10 principios de ASFI para la gestión del riesgo operativo: ¿tu entidad los aplica?
Una entidad lanza pagos con QR o una billetera móvil en pocas semanas, presionada por la competencia. Meses después aparecen fraudes por ingeniería social y reclamos de clientes. El Artículo 2° existe para evitar ese escenario: fija diez principios mínimos que deben guiar toda la gestión del riesgo operativo.
¿Qué establece la norma?
La entidad debe observar mínimamente los siguientes principios:
Inc. | Principio | En la práctica significa… |
|---|---|---|
a | Estrategia formal de riesgo operativo, derivada de la estrategia general y del modelo de negocios | La gestión responde al negocio real: microcrédito, captaciones, canales digitales. |
b | Estructura organizativa con clara segregación de funciones | Quien origina o asume el riesgo no es quien lo mide ni lo monitorea. |
c | Políticas, procedimientos y herramientas adecuados a la estrategia, tamaño y complejidad | Métodos acordes al volumen de la entidad, sin sobredimensionar. |
d | Actualización oportuna ante cambios en el entorno, el modelo de negocios o el apetito | Nuevos productos, sistemas, agencias o normas activan una revisión. |
e | Cultura de gestión del riesgo operativo | El personal sabe reconocer y reportar eventos; la capacitación es periódica. |
f | Sistemas de información para divulgar el riesgo a las instancias que correspondan | Datos confiables y oportunos para Comité, Directorio y ASFI. |
g | Priorizar acciones preventivas antes que correctivas | Los controles se diseñan antes de que ocurra la pérdida, no después. |
h | Identificar y evaluar el riesgo inherente de todos los productos, actividades, procesos y sistemas | Todo producto o cambio relevante se evalúa antes de su lanzamiento. |
i | Seguimiento regular del perfil de riesgo y de la exposición a pérdidas | Reportes periódicos de perfil, eventos y pérdidas. |
j | Planes de contingencia y de continuidad del negocio | Capacidad de seguir operando y minimizar pérdidas ante interrupciones. |
¿Qué revisa el supervisor?
- Independencia de la Unidad de Gestión de Riesgos respecto de las áreas de negocios y del área de registro de operaciones.
- Informes de evaluación de riesgo previos al lanzamiento de productos, servicios o cambios relevantes.
- Evidencia de acciones preventivas, no solo de respuestas a eventos ya ocurridos.
Brechas frecuentes
- Productos digitales lanzados sin una evaluación formal de riesgo operativo y de seguridad de la información.
- En entidades pequeñas, el responsable de riesgos también ejecuta o registra operaciones, lo que afecta su independencia.
- Gestión reactiva: los controles se crean después de cada pérdida, contrario al principio del inciso g.
Evidencias que demuestran el cumplimiento
- Estrategia de gestión del riesgo operativo aprobada y organigrama con líneas de reporte.
- Informes de riesgo de nuevos productos, servicios o cambios relevantes.
- Programa de capacitación y registros de ejecución.
- Reportes periódicos de perfil de riesgo y planes de contingencia y continuidad vigentes y probados.
Herramientas y recursos de colaboración
- Principios para la gestión sólida del riesgo operacional del Comité de Supervisión Bancaria de Basilea (revisión 2021), referencia internacional de los principios del artículo.
- Modelo de las Tres Líneas del IIA (2020), para definir roles y asegurar la segregación e independencia de la función de riesgos.
- Formulario de evaluación de riesgos previo al lanzamiento de productos, servicios o cambios relevantes, con visto bueno de riesgos y de seguridad de la información.
Autoevaluación rápida
- ¿Tu último producto o canal nuevo tiene un informe de riesgos emitido antes de su lanzamiento?
- ¿El responsable de riesgos es independiente de las áreas de negocios y de registro de operaciones, sin participar en las tareas que luego evalúa?
Si alguna respuesta es “no” o “no estoy seguro”, existe una brecha que conviene evaluar antes de la próxima inspección.
¿Cómo te ayuda REDTISEG?
En una evaluación de brechas del Artículo 2°:
- Mapeamos cada principio (a al j) a un responsable, un control y una evidencia.
- Revisamos la independencia de la función de riesgos y proponemos ajustes proporcionales.
- Diseñamos un procedimiento práctico de evaluación de riesgos para nuevos productos y cambios.
Resultado: matriz de cumplimiento por requisito, brechas calificadas por nivel de riesgo y un plan de adecuación priorizado, con responsables, plazos y evidencia de cierre.
Solicita un diagnóstico inicial de tu gestión de riesgo operativo
