Documentos de Académico
Documentos de Profesional
Documentos de Cultura
Guía para La Administración Del Riesgo y El Diseño de Controles en Entidades Públicas - Versión 5 - Diciembre de 2020
Guía para La Administración Del Riesgo y El Diseño de Controles en Entidades Públicas - Versión 5 - Diciembre de 2020
Versión Observación
Versión 1
Creación Documento, basados en la Norma Técnica NTC5254
Mayo de 2009
Versión 2 Se mantiene estructura conceptual, se actualizan lineamientos, acorde
Septiembre de 2011 con la Norma ISO31000.
-
OF I C I A L
1. Ajustes en definición riesgo y otros conceptos relacionados con la
gestión del riesgo. Se articula la institucionalidad de MIPG con la gestión
del riesgo.
2. En paso 1: identificación del riesgo, se estructura propuesta para la
redacción del riesgo.
D OC U M E N T O
3. Se amplían las tipologías de riesgo.
4. En paso 2 valoración del riesgo: se precisa análisis de probabilidad e
Versión 5 impacto y sus tablas de referencia, así como el mapa de calor resultante.
Noviembre de 2020 5. Para el diseño y evaluación de los controles se ajusta tabla de
calificación.
6. Se reubica y precisan las opciones de tratamiento del riesgo.
-
7. Se incluyen indicadores clave de riesgo.
DI CI EMBRE DE 2 0 2 0 1
Fernando Antonio Grillo Rubiano
Director
Elaborado por:
Departamento Administrativo de la Función Pública
-Myrian Cubillos
-Eva Mercedes Rojas
Secretaría de Transparencia
-Martha Ligia Ortega Santamaría
-Ana Paulina Sabbagh Acevedo
-María Victoria Sepúlveda Rincón
2
Grupo Interno de Seguridad y Privacidad de la Información – MinTIC
-Ángela Janeth Cortés Hernández
-Danny Alejandro Garzón Aristizábal
Octubre de 2020
3
Tabla de contenido
Presentación ............................................................................................ 9
Institucionalidad ....................................................................................... 18
Beneficios ............................................................................................... 19
Referencias ............................................................................................. 90
Anexos.................................................................................................... 91
5
Índice de figuras
6
Figura 25 Formato de descripción del riesgo de seguridad de la información
........................................................................................................ 83
Figura 26 Valoración del riesgo en seguridad de la información .............. 86
Figura 27 Formato mapa riesgos seguridad de la información .................. 89
Índice de tablas
7
8
Presentación
El Departamento Administrativo de la Función Pública , como entidad técnica,
estratégica y transversal del Gobierno nacional , pone a disposición de las
entidades la metodología para la administración del riesgo . En esta versión 5 se
actualizaron y precisaron algunos elementos metodológicos para mejorar el
ejercicio de identificación y valoración del riesgo . Es importante resaltar que se
mantiene la estructura general bajo tres pasos principales, los cuales
fundamentan la estructura metodológica que desde las primeras versiones de la
guía se ha venido desarrollado.
En los capítulos finales se aclaran temas como las opciones de tratamiento del
riesgo y los indicadores clave de riesgo, estos últimos como herramienta para la
toma de decisiones y para determinar la efectividad en la gestión del riesgo.
11
Conceptos básicos relacionados con la gestión del riesgo
A continuación se relacionan una serie de conceptos , necesarios para la comprensión de la metodología que se desarro lla a partir del
paso 1 política de administración del riesgo , hasta el paso3 valoración del riesgo . De igual forma, se consideran aquellos relacionados
con los capítulos 4 y 5, sobre riesgos de corrupción y de seguridad de la información respectivamente.
Riesgo: Efecto que se causa sobre los Riesgo de Seguridad de la Riesgo de Corrupción: Posibilidad de Probabilidad: se entiende la posibilidad
objetivos de las entidades, debido a eventos Información: Posibilidad de que una que por acción u omisión, se use el poder de ocurrencia del riesgo. Estará asociada
potenciales. amenaza concreta pueda explotar una para desviar la gestión de lo público hacia a la exposición al riesgo del proceso o
Nota: Los eventos potenciales hacen vulnerabilidad para causar una pérdida un beneficio privado actividad que se esté analizando. La
referencia a la posibilidad de incurrir en o daño en un activo de información. probabilidad inherente será el número de
pérdidas por deficiencias, fallas o Suele considerarse como una veces que se pasa por el punto de riesgo
inadecuaciones, en el recurso humano, los combinación de la probabilidad de un en el periodo de 1 año.
procesos, la tecnología, la infraestructura o evento y sus consecuencias. (ISO/IEC
por la ocurrencia de acontecimientos 27000).
externos.
Consecuencia: los efectos o Impacto: las consecuencias que puede Riesgo Inherente: Nivel de riesgo propio
Causa: todos aquellos factores internos y situaciones resultantes de la ocasionar a la organización la de la actividad. El resultado de combinar
externos que solos o en combinación con materialización del riesgo que impactan materialización del riesgo. la probabilidad con el impacto, nos
otros, pueden producir la materialización de en el proceso, la entidad, sus grupos de permite determinar el nivel del riesgo
un riesgo valor y demás partes interesadas. inherente, dentro de unas escalas de
severidad
Control: Medida que permite reducir o Causa Inmediata: Circunstancias bajo Causa Raíz: Causa principal o básica,
Riesgo Residual: El resultado de aplicar la
mitigar un riesgo. las cuales se presenta el riesgo, pero no corresponde a las razones por la cuales
efectividad de los controles al riesgo
constituyen la causa principal o base se puede presentar el riesgo.
inherente.
para que se presente el riesgo.
Confidencialidad: Propiedad de la Integridad: Propiedad de exactitud y Disponibilidad: Propiedad de ser
Factores de Riesgo: Son las fuentes información que la hace no disponible completitud. accesible y utilizable a demanda por una
generadoras de riesgos. o sea divulgada a individuos, entidades entidad.
o procesos no autorizados
12
Activo: En el contexto de seguridad Nivel de riesgo: Es el valor que se Apetito de riesgo: Es el nivel de riesgo
digital son elementos tales como determina a partir de combinar la que la entidad puede aceptar,
aplicaciones de la organización, probabilidad de ocurrencia de un evento relacionado con sus Objetivos, el marco
servicios web, redes, Hardware, potencialmente dañino y la magnitud del legal y las disposiciones de la Alta
información física o digital, recurso impacto que este evento traería sobre la Dirección y del Órgano de Gobierno. El
Vulnerabilidad: Representan la debilidad de humano, entre otros, que utiliza la capacidad institucional de alcanzar los apetito de riesgo puede ser diferente para
un activo o de un control que puede ser organización para funcionar en el objetivos. En general la fórmula del Nivel los distintos tipos de riesgos que la
explotada por una o más amenazas. entorno digital. del Riesgo poder ser Probabilidad * entidad debe o desea gestionar.
Impacto, sin embargo, pueden
relacionarse las variables a través de
otras maneras diferentes a la
multiplicación, por ejemplo, mediante una
matriz de Probabilidad – Impacto.
Capacidad de riesgo: Es el máximo Capacidad de riesgo: Es el máximo Plan Anticorrupción y de Atención al
valor del nivel de riesgo que una valor del nivel de riesgo que una Entidad Ciudadano: Plan que contempla la
Tolerancia del riesgo: Es el valor de la
Entidad puede soportar y a partir del puede soportar y a partir del cual se estrategia de lucha contra la corrupción
máxima desviación admisible del nivel de
cual se considera por la Alta Dirección considera por la Alta Dirección y el que debe ser implementada por todas las
riesgo con respecto al valor del Apetito de
y el Órgano de Gobierno que no sería Órgano de Gobierno que no sería posible entidades del orden nacional,
riesgo determinado por la entidad.
posible el logro de los objetivos de la el logro de los objetivos de la Entidad. departamental y municipal.
Entidad.
Fuente: Elaborado y actualizado por la Dirección de Gestión y Desempeño Institucional de Función Pública, 2020 .
13
Antes de iniciar con la metodología
15
Figura 2 Conocimiento y análisis de la entidad
16
Fuente: Dirección de Gestión y Desempeño Institucional de Función Pública, 2018.
17
Institucionalidad
Responsables de
gestionar los riesgos y Líderes de 2ª Linea de Defensa Capacita, Acompaña, genera
hacer seguimiento en Proceso (Of. de Planeación o quien recomendaciones, define
1ª línea metodología
haga sus veces)
(Gerencia Riesgos)
Responsables de
ejecutar controles
operativos en el día a Servidores
día
18
Beneficios
19
Acerca de la metodología
Fuente: Elaborado y actualizado por la Dirección de Gestión y Desempeño Institucional de Función Pública,
2020.
20
Paso 1: política de
administración de riesgos
1.1 Lineamientos de la política de riesgos:
Figura 5 Estructuración de la política de administración de riesgos
21
La política de administración del riesgo puede convertirse en un manual o guía
de riesgos, es importante que este documento incluya mínimo los siguientes
aspectos:
22
Fuente: Dirección de Gestión y Desempeño Institucional de Función Pública, 2018.
23
1.2 Marco conceptual para el apetito del riesgo:
24
Figura 6 Definiciones de apetito, tolerancia y capacidad de r iesgo
Fuente: Tomado de la Guía de buenas prácticas de gestión de riesgos del Instituto de Auditores Internos (IIA
GLOBAL), junio de 2013.
b) Valor máximo que, según el buen criterio de la alta dirección y bajo los
requisitos del marco legal aplicable a la entidad, puede ser resistido por la
entidad antes de perder total o parcialmente la capacidad de cumplir con sus
objetivos. Este valor se denomina “capacidad de riesgo”.
25
Determinación del apetito de riesgo
Este valor se denomina “apetito de riesgo”, dado que equivale al nivel de riesgo
que la entidad puede aceptar, relacionado con sus objetivos, el marco legal y las
disposiciones de la alta dirección.
El apetito de riesgo puede ser diferente para los distintos tipos de riesgos que
la entidad debe o desea gestionar.
Tolerancia de riesgo
26
Paso 2: identificación del
riesgo
Esta etapa tiene como objetivo identificar los riesgos que estén o no bajo el
control de la organización, para ello se debe tener en cuenta el contexto
estratégico en el que opera la entidad, la caracterización de cada proceso que
contempla su objetivo y alcance y, también, el análisis frente a los factores
internos y externos que pueden generar riesgos que afecten el cumplimiento d e
los objetivos.
27
Figura 7 Análisis de objetivos
1Hace referencia a las siglas en inglés que responden a: specific (específico); mensurable (medible);
achievable (alcanzable); relevant; (relevante); timely (temporal)
28
Figura 8 Desglose características SMART
29
Figura 9 Cadena de valor
30
Tabla 1 Factores de riesgo
Falta de procedimientos
Hurto activos
Daño de equipos
Caída de aplicaciones
Eventos relacionados con la
Tecnología infraestructura tecnológica de
la entidad.
Caída de redes
Errores en programas
Derrumbes
Incendios
Eventos relacionados con la
Infraestructura infraestructura física de la
entidad.
Inundaciones
31
Factor Definición Descripción
Suplantación de identidad
Fuente: Adaptado del Curso Riesgo Operativo de la Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
NOTA: Los factores relacionados son una guía, cada entidad puede analizar los
que considere de acuerdo con la complejidad propia de cada entidad y con sector
en el que se desenvuelve, entre otros aspectos que puedan llegar a ser
pertinentes para el análisis de l contexto, e incluirlos como temas clave dentro
de los lineamientos de la política de administración del riesgo.
Fuente: Adaptado del Curso Riesgo Operativo de la Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
32
La anterior estructura evita la subjetividad en la redacción y permite entender la
forma como se puede manifestar el riesgo , así como sus causas inmediatas y
causas principales o raíz, esta es información esencial para la definición de
controles en la etapa de valoración del riesgo.
Ejemplo:
Proceso: gestión de recursos
Alcance: inicia con el análisis de necesidades para cada uno de los procesos de
la entidad (plan anual de adquisidores) y termina con las compras y contratación
requeridas bajo las especificaciones técnicas y normativas establecidas.
33
Figura 11 Ejemplo aplicado bajo la estructura propuesta p ara la redacción del
riesgo
Fuente: Adaptado del Curso Riesgo Operativo de la Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
34
Tabla 2 Clasificación de riesgos
Ejecución y
Pérdidas derivadas de errores en la ejecución y administración de procesos.
administración de
procesos
Pérdida derivada de actos de fraude por personas ajenas a la organización (no
Fraude externo participa personal de la entidad).
Pérdida por daños o extravíos de los activos fijos por desastres naturales u otros
Daños a activos fijos/
eventos externos riesgos/eventos externos como atentados, vandalismo, orden público.
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
35
Teniendo en cuenta que en la Tabla 2 se definieron una serie de factores
generadores de riesgo, para poder definir la clasificación de riesgos, su
interrelación es la siguiente:
Infraestructura
Evento externo
Daños a activos fijos
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
36
Paso 3: valoración del
riesgo
Figura 13 Estructura para el desarrollo de la valoración del riesgo
37
modo, la probabilidad inherente será el número de veces que se pasa por el
punto de riesgo en el periodo de 1 año.
Bajo este esquema, la subjetividad que usualmen te afecta este tipo de análisis
se elimina, ya que se puede determinar con claridad la frecuencia con la que se
lleva a cabo una actividad , en vez de considerar los posibles eventos que
pudiesen haberse dado en el pasado, ya que bajo esta óptica , si nunca se han
presentado eventos, todos los riesgos tendrán la tendencia a quedar ubicados
en niveles bajos, situación que no es real frente a la gestión de las entidades
públicas colombianas.
Frecuencia de la Probabilidad
Actividad
Actividad frente al Riesgo
Planeación estratégica 1 vez al año Muy baja
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
38
riesgo en el periodo de 1 año, en la tabla 4 se establecen los criterios para
definir el nivel de probabilidad.
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
39
insignificante e impacto reputacional en nivel moderado, se tomará el más alto,
en este caso sería el nivel moderado.
Bajo este esquema se facilita el análisis para el líder del proceso, dado que se
puede considerar información objetiva para su establecimiento, eliminando la
subjetividad que usualmente puede darse en este tipo de análisis.
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
40
ejecuta la actividad, cadena de valor del proceso, factores generadores y para
la definición de los controles.
Ejemplo (continuación):
Objetivo: adquirir con oportunidad y calidad técnica los bienes y servicios requeridos
por la entidad para su continua operación
Riesgo identificado: posibilidad de afectación económica por multa y sanción del ente
regulador debido a la adquisición de bienes y servi cios sin el cumplimiento de los
requisitos normativos.
41
3.2 Evaluación de riesgos: a partir del análisis de la
probabilidad de ocurrencia del riesgo y sus consecuencias o impacto s, se busca
determinar la zona de riesgo inicial (RIESGO INHERENTE).
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
Ejemplo (continuación):
Proceso: gestión de recursos
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
3.2.2.2 Tipología de controles y los procesos: a través del ciclo de los procesos
es posible establecer cuándo se activa un control y , por lo tanto, establecer su
tipología con mayor precisión. Para comprender esta estructura conceptual , en
la figura 15 se consideran 3 fases globales del ciclo de un proceso así:
Va a las causas del riesgo Detecta que algo ocurre y devuelve el Atacan el impacto frente a
Atacan la probabilidad de proceso a los controles preventivos la materialización del
ocurrencia del riesgo Atacan la probabilidad de ocurrencia riesgo
del riesgo
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
44
Acorde con lo anterior, tenemos las siguientes tipologías de controles:
45
Características Descripción Peso
intervención de personas para
su realización.
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
46
Figura 17 Movimiento en la matriz de calor acorde con el tipo de cont rol
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
Ejemplo (continuación):
Proceso: gestión de recursos
Controles identificados:
48
Controles y sus características Peso
inconsistencias, devuelve el Con registro X -
proceso al profesional de Evidencia
contratos asignado. Sin registro -
Total valoración control 2 30%
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
Para la aplicación de los controles se debe tener en cuenta que los estos mitigan
el riesgo de forma acumulativa, esto quiere decir que una v ez se aplica el valor
de uno de los controles, el siguiente control se aplicará con el valor resultante
luego de la aplicación del primer control.
49
Ejemplo (continuación):
Proceso: gestión de recursos
Para este caso, si bien el riesgo se mantiene en zona alta, se bajó el nivel de
probabilidad de ocurrencia del riesgo.
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
50
Nota: En caso de no contar con controles correctivos, el impacto residual es el
mismo calculado inicialmente, es importante señalar que no será posible su
movimiento en la matriz para el impacto.
51
Formato mapa de riesgos
Parte 1 identificación del riesgo:
Tabla 9 Ejemplo mapa de riesgos acorde con el ejemplo propuesto
Objetivo: Adquirir con oportunidad y calidad técnica los bienes y servicios requeridos por la entidad para su continua operación
Inicia con el análisis de necesidades para cada uno de los procesos de la ent idad (plan anual de adquisiciones ) y termina con las compras y contratación
Alcance: requeridas bajo las especificaciones técnicas y normativas establecidas
*Referencia
Posibilidad de afectación
Multa y Incumplimiento económica por multa y
Ejecución y
Afectación sanción del de los requisitos sanciones del organismo de
1 administración 120 Moderada 60% Mayor 80% Alta
económica organismo de para control debido la adquisición
de procesos
control contratación de bienes y servicios fuera de
los requerimientos normativos.
52
*Nota: La columna referencia se sugiere para mantener el consecutivo de riesgos, así el riesgo salga del mapa no existirá otro riesgo con el mismo número. Una entidad
puede ir en el riesgo 150 , pero tener 70 riesgos, lo que permite llevar una traza de los riesgos. Esta información la debe administrar la oficina asesora de planeación o
gerencia de riesgos.
53
Parte 2 Valoración del riesgo:
Afectación Atributos
Probabilidad residual
Tratamiento
Implementación
Documentación
No. control
Probabilidad
Calificación
Frecuencia
Evidencia
final
Descripción del control
Impacto
%
Tipo
El profesional del área de contratos
verifica que la información
suministrada por el proveedor
corresponda con los requisitos
establecidos de contratación a
Registro material
través de una lista de c hequeo
Documentado
Preventivo
Continua
Reducir
Manual
1 donde están los requisitos de X 40% 36% 25,2% Mayor 80% Alta
Baja
información y la revisión con la
información física suministrada por
el proveedor, los contratos que
cumplen son registrados en el
sistema de información de
contratación .
54
Afectación Atributos
Probabilidad residual
Tratamiento
Implementación
Documentación
No. control
Probabilidad
Calificación
Frecuencia
Evidencia
final
Descripción del control
Impacto
%
Tipo
El jefe de del área de contratos
verifica en el sistema de
información de contratación la
información registrada por el
profesional asignado y aprueba el
Documentado
Con registro
proceso para firma del ordenador
Detectivo
Continua
Manual
2 X 30% 25,2%
del gasto, en el sistema de
información queda el registro
correspondiente, en caso de
encontrar inconsistencias , devuelve
el proceso al profesional de
contratos asignado.
55
Parte 3 Planes de acción (para la opción de tratamiento reducir):
Fecha Fecha
Plan de Acción Responsable Seguimiento Estado
Implementación Seguimiento
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y Desempeño Institucional de Función Pública, 2020.
56
3.3 Estrategias para combatir el riesgo: decisión que se
toma frente a un determinado nivel de riesgo, dicha decisión puede ser aceptar,
reducir o evitar. Se analiza frente al riesgo residual, esto para proceso s en
funcionamiento, cuando se trate de procesos nuevos , se procede a partir del
riesgo inherente.
Fuente: Adaptado del Curso Riesgo Operativo Universidad del Rosario por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
57
Nota: El plan de acción acá referido es diferente a un plan de contingencia, el
cual se enmarca dentro del Plan de Continuidad de Negocio 2 y se consideraría
un control correctivo.
Algunas fuentes para establecer una base histórica de eventos pueden ser:
Mesa de ayuda
Las PQRD (peticiones, quejas, reclamos, denuncias)
Oficina jurídica
Líneas internas de denuncia
2 De acuerdo con la Guía para la preparación de las TIC para la continuidad del negocio emitida por el
Ministerio TIC lo define como procedimientos documentados que guían y orientan a las organizaciones para
responder, recuperar, reanudar y restaurar la operación a un nivel p redefinido de operación una vez
presentada o tras la interrupción para garantizar la continuidad de las funciones críticas del negocio.
58
comportamiento puede indicar una mayor o menor exposición a determinados
riesgos. No indica la materialización de los riesgos, pero sugiere que algo no
funciona adecuadamente y, por lo tanto, se debe investigar.
Un indicador clave de riesgo, o KRI, por su sigla en inglés ( Key Risk Indicators),
permite capturar la ocurrencia de un incidente que se asocia a un riesgo
identificado previamente y que es considerado alto, lo cual permite llevar un
registro de ocurrencias y evaluar a través de su tendencia la eficacia de los
controles que se disponen para mitigarlos. En la tabla 9 se muestran algunos
ejemplos de estos indicadores.
Fuente: Adaptado del listado de indicadores y métricas (www.riesgoscero.com) por la Dirección de Gestión y
Desempeño Institucional de Función Pública, 2020.
59
3.5 Monitoreo y revisión: el modelo integrado de plantación y
gestión (MIPG) desarrolla en la dimensión 7 control interno las líneas de defensa
para identificar la responsabilidad de la gestión del riesgo y control que está
distribuida en diversos servidores de la entidad como sigue:
Para los riesgos asociados a posibles actos d e corrupción se deben definir los
lineamientos para su tratamiento. Es claro que este tipo de riesgos no admiten
aceptación del riesgo; así mismo, las entidades deben incluir las matrices
relacionadas con la redacción de este tipo de riesgos, las preguntas para la
definición del nivel de impacto y la matriz de calor correspondiente, donde se
precisan las zonas de severidad aplicables. Para esta tipología de riesgos se
incluye el protocolo para la identificación de riesgos de corrupción, asociados a
61
la prestación de trámites y servicios, en el marco de la política de racionalización
de trámites, en los casos que aplique.
62
4. Lineamientos sobre los
riesgos relacionados con
posibles actos de
corrupción
4.1. Disposiciones generales
En el marco del Plan Anticorrupción y de Atención al Ciudadano establecido en
la Ley 1474 de 2011 (artículo 73) y el Decreto 124 de 2016 (artículo 2.1.4.1.)
que define las estrategias de lucha contra la corrupción y de atención al
ciudadano se definen los lineamientos para la identificación y valoración de
riesgos de corrupción que hacen parte del componente 1: gestión del riesgo de
corrupción. Es importante recordar que el d esarrollo de este componente se
articula con los demás establecidos para el desarrollo del plan, ya que se trata
de una acción integral en la lucha contra la corrupción.
Componente 1
Gestión del Riesgo
Gestión del Riesgo de
Corrupción de Corrupción:
Mapa de Riesgos de
Corrupción y medidas
para mitigar los riesgos
Plan Componente 3
Componente 2 Anticorrupción y Mecanismos para Componente 4
Estrategia Anti- mejorar el Servicio Rendición de
trámites de Atención al al Ciudadano Cuentas
Ciudadano
Componente 5
Mecanismos para la
Transparencia y
Acceso a la
Información
Fuente: Elaboración conjunta entre la Dirección de Gestión y Desempeño Institucional de Función Pública y
la Secretaría de Transparencia, 2020.
63
En materia de riesgos asociados a posibles actos de corrupción , para la presente
guía se consideran los siguientes aspectos:
64
Teniendo en cuenta la criticidad del tema y que se requiere su publicación en
página web, las entidades podrán anonimizar la información relacionada con los
controles establecidos que pueden te ner relación con información clasificada o
reservada, como se muestra en el siguiente ejemplo:
Fuente: Elaboración conjunta entre la Dirección de Gestión y Desempeño Institucional de Función Pública y
la Secretaría de Transparencia, 2018.
65
● Inclusión de gastos no autorizados.
● Inversiones de dineros públicos en entidades de dudosa solidez
financiera a cambio de beneficios indebidos para servidores públicos
Financiero (está relacionado encargados de su administración.
con áreas de planeación y ● Inexistencia de registros auxiliares que permitan identificar y controlar
presupuesto) los rubros de inversión.
● Inexistencia de archivos contables.
● Afectar rubros que no corresponden con el objeto del gasto en beneficio
propio o a cambio de una retribución económica.
F ue n t e: S ec ret a ría de T ra ns pa re nc ia , 2 0 18 .
66
Cabe señalar que la entidad puede utilizar fuentes de datos externas, el Instituto
de Auditores de España (IIA Global) indica que entre este tipo de fuentes están
los organismos reguladores (Contraloría General de la República,
Superintendencias, etc.) y del propio sector, instancias que cuentan con
información global sobre situaciones irregulares que pueden llegar a ser
comunes en las entidades públicas y que sirven de referente para los análisis
que le son propios a cada organización.
Otro factor interno es la tecnología, por lo que se deben considerar los accesos
a los sistemas, las amenazas internas y externas a la integridad de los datos, la
seguridad de los sistemas y el posible robo de información confidencial o
sensible (Instituto de Auditores de España, IIA Global, p. 10) .
67
¿Cómo puede suceder?
¿Cuándo puede suceder?
¿Qué consecuencias tendría su materialización?
68
Tabla 14 Matriz para la definición del riesgo de corrupción
69
Tabla 15 Ejemplo riesgo de corrupción
70
4.4 Valoración del riesgo
4.4.1. La determinación de la probabilidad
Ahora bien, para establecer estos niveles de impacto se deberá n aplicar las
siguientes preguntas frente al riesgo identificado (ver tabla 16) :
71
Tabla 16 Criterios para calificar el impacto en riesgos de corrupción
72
Figura 22 Matriz de calor para riesgos de corrupción
Impacto
Muy Alta
Extremo
100%
Alta
Alto
80%
Zona
Probabilidad
Muy Baja
corrupción
20%
Fuente: Elaboración conjunta entre la Dirección de Gestión y Desempeño Institucional de Función Pública y
la Secretaría de Transparencia, 2018.
74
Formato mapa de riesgos
Parte 1 identificación del riesgo de corrupción:
Tabla 17 Ejemplo formato mapa riesgos de corrupción
Gestión de la contratación
Ejecutar las etapas precontractual y contractual en las diferentes modalidades en esta materia, acorde con el plan anual de adquisiciones aprobado para cada
vigencia.
Inicia con el análisis de las contrataciones aprobadas en el plan anual de adquisiciones y termina con las compras, contrataciones requeridas y la asignación de
supervisores o interventores (según aplique).
*Referencia
Probabilidad Impacto
Riesgo de corrupción Clasificación riesgo **Frecuencia % % Zona de riesgo inherente
inherente inherente
75
Parte 2 Valoración del riesgo:
Afectación Atributos
Probabilidad residual (2
Tratamiento
Implementación
Documentación
N.º Control
controles)
Probabilidad
Calificación
Frecuencia
Evidencia
Final
Descripción del control
Impacto
%
Tipo
Para la etapa precontractual,
el (la) secretario(a) general, en
el marco del comité de
contratación, valida los
estudios previos presentados
por los líderes de proceso
Documentado
Con registro
Preventivo
muy baja
Continua
responsables de acuerdo con
Reducir
Manual
76
Afectación Atributos
Probabilidad residual (2
Tratamiento
Implementación
Documentación
N.º Control
controles)
Probabilidad
Calificación
Frecuencia
Evidencia
Final
Descripción del control
Impacto
%
Tipo
procesos contractuales
correspondientes.
Documentado
para firma del ordenador del
Con registro
Detectivo
Continua
Manual
77
Parte 3 Planes de acción (para la opción de tratamiento reducir):
Fecha Fecha
Plan de Acción Responsable Seguimiento Estado
implementación seguimiento
Fuente: Elaboración conjunta entre la Dirección de Gestión y Desempeño Institucional de Función Pública y la Secretaría de Transparencia, 2020.
78
5. Lineamientos riesgos de
seguridad de la
información
En primer lugar, se debe tener en cuenta que la política de seguridad digital se
vincula al modelo de seguridad y privacidad de la información (MSPI) 4, el cual se
encuentra alineado con el marco de referencia de arquitectura TI y soporta
transversalmente los otros habilitadores de la política de gobierno digital:
seguridad de la información, arquitectura, servicios ciudadanos digitales.
4
Tom a d o de : htt ps:// www.m in tic .g ov.c o/ gesti on -ti /S eguridad -TI/ Model o-d e -S eguridad/
79
¿Qué son los activos? ¿Por qué identificar los activos?
-Servicios web
-Redes La entidad puede saber qué es lo que
-Información física o digital debe proteger para garantizar tanto
-Tecnologías de información TI su funcionamiento interno como su
-Tecnologías de operación TO que funcionamiento de cara al ciudadano ,
utiliza la organización para funcionar aumentando así su confianza en el uso
en el entorno digital del entorno digital.
Fuente: Actualizado por la Dirección de Gestión y Desempeño Institucional de Función Pública y Ministerio
TIC, 2020
Fuente: Elaboración conjunta entre la Dirección de Gestión y Desempeño Institucional de Función Pública y
el Ministerio TIC, 2018.
80
Tabla 18 Ejemplo identificación activos del proceso
Criticidad Criticidad
Criticidad
respecto a respecto a
Dueño del Tipo del Ley 1712 de Ley 1581 de respecto a su Nivel de
Proceso Activo Descripción su completitu
activo activo 2014 2012 disponibilida criticidad
confidencial do
d
idad integridad
Base de datos
Base de con Jefe de No contiene
Gestión Información
datos de información de oficina Información datos ALTA ALTA ALTA ALTA
financiera reservada
nómina nómina de la financiera personales
entidad
Servidor web
Jefe de
Gestión Aplicativo que contiene
oficina Software N/A N/A BAJA MEDIA BAJA MEDIA
financiera de nómina el front office
financiera
de la entidad
81
5.2. Identificación del riesgo: se podrán identificar los
siguientes tres (3) riesgos inherentes de seguridad de la información:
Pérdida de la confidencialidad
Pérdida de la integridad
Pérdida de la disponibilidad
Para cada riesgo se deben asociar el grupo de activos , o activos específicos del
proceso, y conjuntamente analizar las posibles amenazas y vulnerabilidades que
podrían causar su materialización. Para e ste efecto, es necesario consultar el
Anexo 4 Modelo nacional de gestión de riesgos de seguridad de la información
para entidades públicas donde se encuentran las siguientes tablas necesarias
para este análisis:
Tipo de
Ejemplos de vulnerabilidades Ejemplos de amenazas
activo
Almacenamiento de medios sin Hurto de medios o
Hardware
protección documentos
Software Ausencia de parches de seguridad Abuso de los derechos
Red Líneas de comunicación sin protección Escucha encubierta
Información Falta de controles de acceso físico Hurto de información
82
Tipo de
Ejemplos de vulnerabilidades Ejemplos de amenazas
activo
Falta de capacitación en las
Personal Error en el uso
herramientas
Organización Ausencia de políticas de seguridad Abuso de los derechos
Fuente: Ministerio de Tecnologías de la Información y Comunicaciones Min TIC, 2018.
83
Fuente: Elaboración conjunta entre la Dirección de Gestión y Desempeño Institucional de Función Pública y
el Ministerio TIC, 2018.
84
Frecuencia de la Actividad Probabilidad
La actividad que conlleva el riesgo se ejecuta
Muy Baja 20%
como máximos 2 veces por año
La actividad que conlleva el riesgo se ejecuta de
Baja 40%
3 a 24 veces por año
85
se aplica la matriz de calor establecida en el numeral 3.2.1 de la presente guía,
que se retoma a continuación:
86
Fuente: Elaboración conjunta entre la Dirección de Gestión y Desempeño Institucional de Función Pública y
el Ministerio TIC, 2018.
87
A continuación se incluyen algunos ejemplos de controles y los dominios a los
que pertenecen, la lista completa se encuentra en del documento maestro del
modelo de seguridad y privacidad de la información (MSPI):
Fuente: Elaboración conjunta entre la Dirección de Gestión y Desempeño Institucional de Función Pública y
el Ministerio TIC, 2018.
89
Referencias
Celis, Ó. B. (2012). Gestión Integral de Riesgos. Bogotá D .C.: Consorcio Gráfico
Ltda.
https://www.icbf.gov.co/cuales -son-los-delitos-que-tienen-relacion-con-hechos-
de-corrupcion
90
Anexos
91