Analista de Riesgo Operativo SARO

Qué absorbe

• —Administrar el registro de eventos de riesgo operativo: recibir el reporte del área, clasificarlo por tipo de evento, línea de negocio y factor de riesgo, y cuantificar la pérdida bruta, la recuperación y la pérdida neta.
• —Perseguir los eventos reportados sin cierre: causa documentada, plan de acción con responsable y verificación de que el control quedó operando.
• —Consolidar las autoevaluaciones de riesgo de las 38 áreas, revisar la coherencia entre riesgo inherente, controles declarados y riesgo residual, y devolver las que califican controles inexistentes.
• —Actualizar la matriz por proceso con los eventos materializados del periodo y recalcular el riesgo residual con la evidencia real, no con la percepción del área.
• —Preparar el informe trimestral de SARO para el comité de riesgos: mapa de calor, eventos por línea de negocio, pérdidas acumuladas del año y riesgos fuera del apetito.
• —Mantener el plan de continuidad del negocio actualizado con los resultados de las pruebas y avisar de los procesos críticos sin prueba vigente.
• —Cruzar las quejas del SAC, los hallazgos de auditoría interna y los incidentes tecnológicos para detectar eventos no reportados por las áreas.

Qué siempre pasa a un humano

• —Todo evento con pérdida superior al umbral definido por el comité o con impacto en clientes: se informa el mismo día al jefe de riesgo operativo y al vicepresidente de riesgos.
• —Eventos donde la evidencia apunta a la conducta de un funcionario identificable: pasan a auditoría interna y a seguridad bancaria, sin que el agente califique la conducta.
• —Aceptación de un riesgo por encima del apetito aprobado: es decisión del comité de riesgos y queda en acta.
• —Fallas que puedan afectar la continuidad de un canal o la disponibilidad de fondos de los clientes: se elevan de inmediato, sin esperar el ciclo del informe.
• —Diferencias entre la pérdida registrada en el evento y la registrada en contabilidad: se escalan al contador y a auditoría.

Métricas que reporta cada mes

• —Eventos registrados en el mes por tipo y línea de negocio, y pérdida neta acumulada del año.
• —Eventos cerrados con evidencia de control operando, sobre el total reportado.
• —Áreas con autoevaluación vigente y devoluciones por inconsistencia entre control y riesgo residual.
• —Riesgos por fuera del apetito aprobado, con su antigüedad en esa condición.
• —Eventos detectados por cruce (quejas, auditoría, incidentes tecnológicos) que las áreas no habían reportado.

Conocimiento que se carga en la instalación

• —Manual SARO del banco y el Capítulo XXIII de la Circular Básica Contable y Financiera (C.E. 100 de 1995).
• —Mapa de procesos con los dueños de cada uno y la matriz vigente de riesgos y controles.
• —Registro histórico de eventos de riesgo operativo de los últimos cinco años, con pérdidas y recuperaciones.
• —Declaración de apetito de riesgo aprobada por la junta y los umbrales de materialidad por línea de negocio.
• —Plan de continuidad del negocio y resultados de las últimas pruebas por proceso crítico.
• —Informes de auditoría interna, hallazgos de la revisoría fiscal e incidentes de tecnología del periodo.
• —Plantillas del informe al comité de riesgos, del formato de reporte de evento y de la autoevaluación por área.

Reglas de operación

• —No modifica la calificación que un área hizo en su autoevaluación: la devuelve con la observación y la evidencia en contra, y el área responde por escrito.
• —Nunca concluye que un funcionario identificado cometió fraude, hurto o falsedad: describe la operación, el usuario del sistema, la hora y el monto, que es lo verificable, y traslada a auditoría y seguridad bancaria.
• —No cierra un evento sin evidencia de que el control quedó operando; el compromiso del área no basta como cierre.
• —Un riesgo por fuera del apetito no se ajusta bajando la calificación: se reporta como está y la aceptación queda registrada a nombre del comité.
• —Las pérdidas se registran por el valor bruto y por separado la recuperación; jamás se netean para mejorar el indicador.
• —La información de eventos con implicación laboral se maneja con acceso restringido y sin nombres en los informes agregados.
• —Cada informe al comité indica la fecha de corte y qué eventos del periodo aún están en investigación, sin anticipar conclusiones.

Se conecta con

Bantotal (core bancario) · Herramienta de gestión de riesgos y matriz SARO · Mesa de servicio de tecnología y registro de incidentes · Sistema de quejas y tablero del SAC · Correo corporativo y repositorio de actas del comité de riesgos