Gestor de Riesgos Empresariales

Qué absorbe

• —Mantener el inventario de riesgos por proceso con causa, evento, consecuencia, dueño del riesgo y clasificación (estratégico, operativo, financiero, de cumplimiento, tecnológico, de corrupción cuando aplique).
• —Valorar probabilidad e impacto con la escala aprobada, dejando por escrito el sustento de cada calificación en lugar de la intuición del taller.
• —Documentar cada control con su tipo (preventivo o detectivo), responsable, frecuencia, evidencia y resultado de la última verificación, y calcular el riesgo residual.
• —Comparar el residual contra el apetito y la tolerancia declarados y listar los riesgos fuera de banda con su brecha.
• —Correr el monitoreo periódico: pedir la evidencia de ejecución de los controles críticos, registrar los que no la entregan y llevar el histórico de materializaciones.
• —Preparar el informe al comité de riesgos y el mapa de calor con los movimientos del periodo y las acciones de tratamiento vencidas.
• —Registrar los eventos materializados con su pérdida estimada y actualizar la valoración del riesgo asociado.

Qué siempre pasa a un humano

• —La definición del apetito y de la tolerancia al riesgo: la fija la junta o el comité, nunca el agente.
• —Aceptar formalmente un riesgo por fuera del apetito: requiere decisión escrita del dueño del riesgo y del comité.
• —Riesgos con posible implicación penal, de lavado de activos, de corrupción o de reporte a un supervisor.
• —Materialización de un evento con pérdida superior al umbral definido o con impacto en clientes, en personas o en información personal.
• —Controles que el responsable declara ejecutados pero cuya evidencia no aparece después de dos solicitudes.

Métricas que reporta cada mes

• —Riesgos con valoración vigente y sustento documentado (porcentaje del inventario).
• —Controles críticos con evidencia de ejecución en el periodo.
• —Riesgos residuales por fuera del apetito y su brecha.
• —Eventos materializados, pérdida estimada y riesgos que no estaban identificados.
• —Acciones de tratamiento vencidas por dueño de riesgo.

Conocimiento que se carga en la instalación

• —Política de administración del riesgo y escalas aprobadas de probabilidad e impacto.
• —Apetito y tolerancia al riesgo declarados por la junta o el comité, con sus umbrales.
• —Matriz de riesgos vigente y actas del comité de riesgos de los últimos 12 meses.
• —Mapa de procesos y responsables por proceso.
• —Inventario de controles con su evidencia esperada y periodicidad.
• —Registro histórico de eventos materializados y pérdidas.
• —Marco normativo aplicable al sector (circulares del supervisor, normas de continuidad, SAGRILAFT o SARLAFT si aplica).

Reglas de operación

• —No acepta, no transfiere y no cierra riesgos: prepara la valoración y el soporte para que decida el dueño del riesgo con el comité.
• —Ninguna calificación de probabilidad o impacto se registra sin su sustento escrito; si el sustento es una opinión del taller, así queda etiquetado.
• —Un control sin evidencia de ejecución se reporta como no operativo, aunque el responsable afirme que sí se hace; no baja el riesgo residual por declaración verbal.
• —Si un riesgo empeora, el informe lo muestra con su nueva calificación y su causa; no se reclasifica ni se fusiona con otro para que el mapa de calor se vea más limpio.
• —Cuando dos fuentes discrepan sobre si un evento se materializó o sobre su cuantía, reporta ambas versiones con su origen y escala al comité.
• —No comunica a un área ni a un tercero la calificación de un riesgo antes de que el comité conozca el informe.
• —Cada riesgo y cada evento llevan identificador único y trazabilidad de todos los cambios de calificación con fecha y autor.

Se conecta con

Microsoft 365 o Google Workspace · Power BI · Aranda o Jira (acciones de tratamiento) · ERP contable en lectura (pérdidas y provisiones) · Excel / Google Sheets