CRITERIOS DE MEDICION DE PROBABILIDAD / FRECUENCIA
NIVEL CALIFICACION DESCRIPCION
No se percibe la materialización
1 Improbable del riesgo, sin embargo puede
ocurrir bajo circunstancias
excepcionales
2 Probable Dada la naturaleza del riesgo es
posible que ocurra algunas veces
Dadas las circunstancias es
3 Casi certeza inminente la materialización del
riesgo
CRITERIOS DE MEDICION DE CRITICALIDAD O IMPACTO
NIVEL CALIFICACION RIESGO LEGAL
No implica ninguna multa,
1 Bajo sanción o proceso legal
Incurrir en multas, sanciones,
2 Medio procesos judiciales de cuantia
no muy alta
Incumplimiento regulatorio y
contractual que podría
3 Alto generar multas de nivel
institucional y procesos
judiciales de elevada cuantia
CASI CERTEZA
TOLERANCIA DEL RIESGO
PROBABILIDAD
PROBABLE
2
PROBABILIDAD
PROBABLE
APETITO DE RIESGO
IMPROBABLE
1
RIESGO ACEPTABLE
BAJO
1
SEMAFORIZACION O
COLORIMETRIA
0,01 - 1
1,01 - 2
2,01 - 4
4,01 - 9
DESCRIPCION POR ERRORES
1evento cada 100.000 trans. En
un período de un año
1 evento cada 10.000 trans en un
período de un año
1 evento cada 100 trans en un
año
RIESGO REPUTACIONAL RIESGO OPERATIVO
No tiene impacto sobre la
participación en el mercado. Las consecuencias pueden ser
Deterioro de la imagen o absorvidas en las condiciones
reputacion interna a niveles normales de la operación
operativos
Participación del mercado
afectada en el mediano
plazo. Afecta en una mayor
proporción la consecución o Las consecuencias pueden ser
fidelidad de clientes. absorvidas parcialmente por la
Deterioro de la imagen o operación
reputación interna en niveles
estratégicos. Comentario a
nivel local
Compromete la permanencia
de la empresa en el mercado. Generan perdidas financieras
Deterioro de la imagen o que no pueden ser absorbidas
reputación a nivel nacional e por la operación
internacional
6 9
RIESGO EXTREMO RIESGO EXTREMO
4 6
TOLERANCIA DEL RIESGO RIESGO EXTREMO
2 3
APETITO DE RIESGO TOLERANCIA DEL RIESGO
MEDIO ALTO
2 3
CRITICALIDAD
NIVEL DE RIESGO PLAN DE ACCION PROCESOS
RIESGO ES ACEPTABLE: CONTROLES ADECUADOS
REVISION Y ACTUALIZACION DE
CONTROLES PERIODICO ( CADA
APETITO DE RIESGO AÑO)
REVISION Y/O ACTUALIZACION
PUNTO DE TOLERANCIA DEL CONTROLES EN EL MEDIANO
RIESGO PLAZO( 1 VEZ CADA SEIS MESES)
CESE DE OPERACIONES HASTA QUE
LOS CONTROLES SE HAYAN
IMPLEMENTADO EN FORMA
RIESGO EXTREMO EFECTIVA INMEDIATAMENTE
RIESGO DE CONTAGIO
Contagio generado por
factores internos en
niveles operativos
Contagio generado por
factores internos en
niveles estratégicos
Contagio generado por
factores externos a nivel
nacional e internacional
PLAN DE ACCION CON LOS
FACTORES DE RIESGO POLITICAS DE ACEPTACION
DEBIDA DILIGENCIA
DISMINUIDA MISMO DEPARTAMENTO
JEFE DEPARTAMENTAL
DEBIDA DILIGENCIA NORMAL CON UN NIVEL SUPERIOR
DEBIDA DILIGENCIA
AMPLIADA O REFORZADA COMITÉ
DECISIONES RELACION
CONTRACTUAL DIRECTORIO
CODIGO DE FACTOR DE
RIESGO RIESGO DESCRIPCION DEL PROCESO
CLIENTE, VINCULACION DEL CLIENTE
CLIENTE, CRUCE CON LAS LISTASNDE CONTROL SANCIONES
EMPLEADO, CRUCE CON LAS LISTASNDE CONTROL SANCIONES
NEGOCIOS MONITOREO DE LAS OPERACIONES DEL CLIENTE
PROVEEDOR SELECCIÓN PROVEEDORES
PROVEEDOR
EMPLEADO,
C001 CLIENTE MONITOREO DEVIDA DILIGENCIA
QUE PASO? QUE PUEDE
AREA PASAR (EVENTO)
COMERCIAL,
QUE NO SE IDENTIFIQUE UN CLIENTE
CUMPLIMIENTO QUE NO ESTE EN LISTAS
QUE NO SE LE IDENTIFIQUE
NEGOCIOS TRANSACCIONES SOSPECHOSAS
QUE EL PROVEEDOR NO CUMPLA CON
ADMINISTRACION LAS CONDICIONES DEL CONTRATO
QUE LOS PROVEEDORES QUE SE
REGISTREN EN NOTICIA E INCLUSO
ADMINISTRACION TENGAMOS PROCESOS JUDUCUALES
QUE NO SE REGISTRAN
CUMPLIMIENTO CORRECTAMENTE LOS DATOS DEL
CLIENTE
COMO PASO? COMO PODRIA
POR QUE PASO? POR QUE DARSE (DEBILIDAD EN EL
PUEDE PASAR (FACTOR) PROCESO)
ASUMA INFORMACION QUE NO SE TIENE POR
POR EXPERIENCIA DE CLIENTES YA QUE EXISTEN PRIVILEGOS POR SER CLIENTES
EXISTENTES REFERENCIADOS
CRUCE CON LISTA MANUAL
POR QUE EL SISTEMA NI ESTA BIEN
CALIBRADO
POR QUE VIENE REFERIDO DE LA ALTA
GERENCIA
POR QUE VIENE REFERIDO DE LA ALTA
GERENCIA
LOS PROCESOS SE REALIZAN NO CONTAMOS CON SISTEMAS
MAUALMENTE AUTOMATIZADOS
RIESGO PROBABILIDAD IMPACTO RIESGO Porcentaje
ASOCIADO INHERENTE INHERENTE INHERENTE Mitigacion
CONTAGIO 0
LEGAL 0
OPERATIVO 0
REPUTACIONAL 0
0
0
0
0
OPERATIVO
2 1 2 65%
PR=((1-%mitigacion de controles) ^( número de controle
IR=((1-%mitiagacion de controles) ^( número de control
Controles
Controles que
mitigan mitigan N- Total de Probabilidad Impacto
Probabilidad Impacto Controles Residual Residual
0 #DIV/0! #DIV/0!
0 #DIV/0! #DIV/0!
0 #DIV/0! #DIV/0!
0 #DIV/0! #DIV/0!
0 #DIV/0! #DIV/0!
0 #DIV/0! #DIV/0!
0 #DIV/0! #DIV/0!
0 #DIV/0! #DIV/0!
1 1 2 1.18 0.59
^( número de controles que mitigan probabilidad / número total de controles)) * probabilidad i
^( número de controlres que mitigan el impacto/número totalde controles))* Impacto Inherent
Riesgo Mitigación
Residual del riesgo PRUEBA PLAN DE ACCION
#DIV/0! 0.00 #DIV/0!
#DIV/0! 0.00 #DIV/0!
#DIV/0! 0.00 #DIV/0!
#DIV/0! 0.00 #DIV/0!
#DIV/0! 0.00 #DIV/0!
#DIV/0! 0.00 #DIV/0!
#DIV/0! 0.00 #DIV/0!
#DIV/0! 0.00 #DIV/0!
0.70 1.30 1.30
troles)) * probabilidad inherente
les))* Impacto Inherente
RESPONSABILIDAD DEL FECHA DE INICIO - FECHA DE
CONTROL PLANIFICACION IMPLEMENTACION
SEGUIMIENTO PRESUPUESTO OBSERVACIONES
PR=((100%-%mitigacion de
IR=((1-%mitiagacion de co
R=((100%-%mitigacion de controles) ^( número de controles que mitigan probabilidad / númer
R=((1-%mitiagacion de controles) ^( número de controlres que mitigan el impacto/número total
an probabilidad / número total de controles)) * probabilidad inherente
el impacto/número totalde controles))* Impacto Inherente
CODIGO DE
RIESGO FACTOR DE RIESGO
C001 CLIENTE
CONTROL 1 ESTABLECER CONTROLES DE MONITOREO PARA REVISION DE BASE DATO
CONTROL 2
CONTROL 3
CONTROL 4
ATRIBUTOS DE LOS CONTROLES:
Diseño (GOBIERNO CORPORATIVO)
FRECUENCIA DE APLICACIÓN
AUTOMATIZACION
Tipo de Control
Mezcla de Controles
DOCUMENTACION (OF. CUMPLIMIENTO)
PESO TOTAL DE LOS CONTROLES - META
RIESGO INHERENTE
CONTROLES
RIESGO RESIDUAL
DESCRIPCION AREA
MONITOREO DEVIDA DILIGENCADMINISTRACION
OREO PARA REVISION DE BASE DATOS
15% 25%
0%
15% 20%
0%
5% 15%
10%
5%
X
X
X
15% 15%
10.0%
5.0%
10% 15%
10%
5%
60%
100%
90%
10%
QUE PASO? QUE PUEDE PASAR POR QUE PASO? POR QUE PUEDE
(EVENTO) PASAR (FACTOR)
QUE NO SE REGISTRAN CORRECTAMENTE LOS
LOS PROCESOS SE REALIZAN MAUALMENTE
DATOS DEL CLIENTE
Compromiso A.G., Estructura
interna: Quien 5%, Donde 5%, Por
que?5% Y Cómo 5%, Criterios,
políticas y procedimientos,
ADECUADO Capacitación.5%
NO ADECUADO
ADECUADA
NO ADECUADA
AUTOMATICO
SEMI AUTOMATICO
MANUAL
PREVENTIVO
DETECTIVO
CORRECTIVO
3 TIPOS DE CONTROL
2 TIPOS DE CONTROL
1 TIPO DE CONTROL
Documentado - Actualizado
Documentado - Desactualizado
No documentado
RESULTADO REAL EFECTIVIDAD
CONTROLES
COMO PASO?
COMO PODRIA
DARSE (DEBILIDAD RIESGO PROBABILIDAD IMPACTO
EN EL PROCESO) ASOCIADO INHERENTE INHERENTE
NO CONTAMOS CON
SISTEMAS OPERATIVO 2 1
AUTOMATIZADOS
EVALUACIÓN DE CONTROLES
CONTROL 1 CONTROL 2 CONTROL 3 CONTROL 4
25%
15% 0%
5%
X X X
X X X
X X
5%
15%
65% 0% 0% 0%
22%
RIESGO
INHERENTE
PLAN DE ACCION
CONTROL 1 CONTROL 2
0% 0%
LAN DE ACCION
CONTROL 3 CONTROL 4
0% 0%
0%
