SISTEMA DE ADMINISTRACIÓN DE RIESGO OPERATIVO (SARO)

NOTA DE FASECOLDA: La Superintendencia Financiera de Colombia estableció el Sistema de Administración de Riesgo Operativo (SARO) mediante la Circular 048 de 2006, adicionando el Capítulo XXIII a la Circular Básica Contable y Financiera.

Dicha Circular 048/06 ha sido modificada, a su turno, por las Circulares Externas 049 de 2006, 041 de 2007  y 025 de 2020 de dicha Superintendencia.

REGLAS RELATIVAS A LA ADMINISTRACIÓN DEL RIESGO OPERATIVO

Circular Externa 100 de 1995 de la Superintendencia Bancaria, adicionada por las Circulares Externas 048 de 2006, 041 de 2007 y 025 de 2020 de la Superintendencia Financiera

[2–0746] CAP XXIII, Consideraciones generales

 

Dicho sistema está compuesto por elementos mínimos (políticas, procedimientos, documentación, estructura organizacional, el registro de eventos de riesgo operacional, órganos de control, plataforma tecnológica, divulgación de información y capacitación) mediante los cuales se busca obtener una efectiva administración del riesgo operacional.

ÁMBITO DE APLICACIÓN DEL SARO

Circular Externa 100 de 1995 de la Superintendencia Bancaria, adicionada por las Circulares Externas 048 de 2006, 041 de 2007 y 025 de 2020 de la Superintendencia Financiera

[2–0746-01] CAP XXIII, NUM 1., Ámbito de aplicación

Todas las entidades sometidas a la inspección y vigilancia de la SFC, deben adoptar un Sistema de Administración de Riesgo Operacional (SARO), con excepción de las Oficinas de Representación de instituciones financieras y reaseguradoras del exterior.

DEFINICIONES DEL SARO

Circular Externa 100 de 1995 de la Superintendencia Bancaria, adicionada por las Circulares Externas 048 de 2006, 041 de 2007 y 025 de 2020 de la Superintendencia Financiera

[2–0746-02] CAP XXIII, NUM 2., Definiciones.

Las siguientes definiciones se tendrán en cuenta para los fines de la presente Circular:

 

 

1.1. Riesgo legal

Es la posibilidad de pérdida en que incurre una entidad al ser sancionada u obligada a indemnizar daños como resultado del incumplimiento de normas o regulaciones y obligaciones contractuales.

2. Perfil de Riesgo

Resultado consolidado de la medición permanente de los riesgos a los que se ve expuesta la entidad.

2.3. Factores de riesgo

Son factores de riesgo el recurso humano, los procesos, la tecnología, la infraestructura y los acontecimientos externos.

Dichos factores se deben clasificar en internos o externos, según se indica a continuación.

3.1. Internos

3.1.1. Recurso Humano

Es el conjunto de personas vinculadas directa o indirectamente con la ejecución de los procesos de la entidad.

Se entiende por vinculación directa, aquella basada en un contrato de trabajo en los términos de la legislación vigente.

La vinculación indirecta hace referencia a aquellas personas que tienen con la entidad una relación jurídica de prestación de servicios diferente a aquella que se origina en un contrato de trabajo

 

3.1.2. Procesos

Es el conjunto interrelacionado de actividades para la transformación de elementos de entrada en productos o servicios, para satisfacer una necesidad.

 

3.1.3. Tecnología

Es el conjunto de herramientas empleadas para soportar los procesos de la entidad. Incluye: hardware, software y telecomunicaciones.

 

3.1.4. Infraestructura

Es el conjunto de elementos de apoyo para el funcionamiento de una organización. Entre otros se incluyen: edificios, espacios de trabajo, almacenamiento y transporte.

 

3.2. Externos

Son situaciones asociadas a la fuerza de la naturaleza u ocasionadas por terceros, que escapan en cuanto a su causa y origen al control de la entidad.

 

2. 4. Pérdidas

 

2.5. Evento

Incidente o situación que ocurre en un lugar particular durante un intervalo de tiempo determinado.

 

2.6. Eventos de pérdida

 

2.6.1.1. Fraude Interno

Actos que tienen como resultado defraudar, apropiarse de bienes indebidamente o incumplir regulaciones, leyes o políticas empresariales vigentes en los que se encuentra implicado, al menos, un empleado o tercero contratado para ejecutar procesos a nombre de la entidad.

 

2.6.1.2. Fraude Externo

Actos, realizados por una persona externa a la entidad, que buscan defraudar, apropiarse indebidamente de activos de la misma o incumplir normas o leyes, en los que se encuentra implicado un tercero ajeno a la entidad.

 

2.6.1.5. Daños a activos físicos

 

2.6.1.6. Fallas tecnológicas

Hechos o cambios originados por fallas del hardware, software, telecomunicaciones o servicios públicos que puedan afectar, además de la operación interna de la entidad, la prestación del servicio a los clientes.

 

2.6.1.7 Ejecución y administración de procesos

Errores en el procesamiento de operaciones o en la gestión de procesos, así como en las relaciones con contrapartes comerciales y proveedores.

 

2.7. Sistema de Administración de Riesgo Operacional (SARO)

Conjunto de elementos tales como políticas, procedimientos, documentación, estructura organizacional, registro de eventos de riesgo operacional, órganos de control, plataforma tecnológica, divulgación de información y capacitación, mediante los cuales las entidades vigiladas identifican, miden, controlan y monitorean el riesgo operacional.

 

2.8. Riesgo inherente

Nivel de riesgo propio de la actividad, sin tener en cuenta el efecto de los controles.

 

2.9. Riesgo residual

Nivel resultante del riesgo después de aplicar los controles.

 

2.10. Plan de continuidad del negocio

Conjunto detallado de acciones que describen los procedimientos, los sistemas y los recursos necesarios para retornar y continuar la operación, en caso de interrupción.

 

2.11. Plan de contingencia

Conjunto de acciones y recursos para responder a las fallas e interrupciones específicas de un sistema o proceso.

 

Es el documento contentivo de todas las políticas, objetivos, estructura organizacional, estrategias, los procesos y procedimientos aplicables en el desarrollo, implementación y seguimiento del SARO.

 

ETAPAS DEL SARO

Circular Externa 100 de 1995 de la Superintendencia Bancaria, adicionada por las Circulares Externas 048 de 2006, 041 de 2007 y 025 de 2020 de la Superintendencia Financiera.

[2–0746-03] CAP XXIII, NUM 3.1, Etapas de la Administración del Riesgo Operacional

En la administración del riesgo operacional, las entidades deben desarrollar las siguientes etapas:

1.1. Identificación

Para identificar el riesgo las entidades deben como mínimo:

a) Identificar y documentar la totalidad de los procesos.

b)  Establecer metodologías de identificación, que sean aplicables a los procesos, con el fin de determinar los riesgos operacionales.

c)     Con base en las metodologías establecidas en desarrollo del literal b) del numeral 3.1.1 del presente Capítulo, identificar los riesgos operacionales, potenciales y ocurridos, en cada uno de los procesos.

 

3.1.2. Medición

Una vez concluida la etapa de identificación, las entidades vigiladas deben medir la probabilidad de ocurrencia de los riesgos operacionales y su impacto en caso de materializarse. Esta medición podrá ser cualitativa y, cuando se cuente con datos históricos, cuantitativa. Para la determinación de la probabilidad se debe considerar un horizonte de tiempo de un año.

En el proceso de medición de los riesgos operacionales, las entidades deben desarrollar, como mínimo, los siguientes pasos:

b)     Aplicar la metodología establecida en desarrollo del literal a) del numeral 3.1.2 del presente Capítulo para lograr una medición de la probabilidad de ocurrencia y del impacto de los riesgos operacionales en la totalidad de los procesos de la entidad, conforme a la clasificación establecida en el numeral 2.6.1.

c) Determinar el perfil de riesgo inherente de la entidad.

En el caso de los establecimientos de crédito, los organismos cooperativos de grado superior de carácter financiero, el Banco de Comercio Exterior de Colombia S.A. (Bancoldex), la Caja Promotora de Vivienda Militar y de Policía, la Financiera de Desarrollo Nacional S.A. (FDN), la Financiera de Desarrollo Territorial (Findeter), el Fondo Nacional del Ahorro (FNA) y el Fondo para el Financiamiento del Sector Agropecuario (Finagro), la medición de la probabilidad de ocurrencia de los riesgos operacionales y su impacto en caso de materializarse, debe realizarse de forma cuantitativa cuando se cuente con datos históricos conforme a lo establecido en el numeral 3.2.5 del presente Capitulo (Registro de Eventos de Riesgo Operacional) y midan el Indicador de Pérdida Interna (IPI) con base en la información del Registro de Eventos de Riesgo Operacional, es decir, haciendo uso del Componente de Pérdida (CP) de acuerdo con lo establecido en el numeral 2.3.1.2 del Anexo 1 del presente Capitulo, deben utilizar dichos registros de eventos para estimar la probabilidad de ocurrencia de los riegos operacionales.

 

 

 

3.1.3. Control

Las entidades deben tomar medidas para controlar los riesgos inherentes a que se ven expuestas con el fin de disminuir la probabilidad de ocurrencia y/o el impacto en caso de que se materialicen.

Durante esta etapa las entidades deben como mínimo:

 

b)     De acuerdo con la metodología establecida en desarrollo del literal a) del numeral 3.1.3 del presente Capítulo, implementar las medidas de control sobre cada uno de los riesgos operacionales.

c) Determinar las medidas que permitan asegurar la continuidad del negocio.

d) Estar en capacidad de determinar el perfil de riesgo residual de la entidad.

Sin perjuicio de lo anterior, las entidades podrán decidir si transfieren, mitigan, aceptan o evitan el riesgo, en los casos en que esto sea posible.

La utilización de ciertas medidas, como la contratación de un seguro o tercerización (outsourcing), puede ser fuente generadora de otros riesgos operacionales, los cuales deben ser a su vez administrados.

 

 

 

3.1.3.2. Administración de la continuidad del negocio

De acuerdo con su estructura, tamaño, objeto social y actividades de apoyo, las entidades deben definir, implementar, probar y mantener un proceso para administrar la continuidad del negocio que incluya elementos como: prevención y atención de emergencias, administración de escenarios de crisis, planes de contingencia y capacidad de retorno a la operación normal.

Los planes de continuidad del negocio deben cumplir, como mínimo, con los siguientes requisitos:

 

a) Haber superado las pruebas necesarias para confirmar su eficacia y eficiencia.

b) Ser conocidos por todos los interesados.

c) Cubrir por lo menos los siguientes aspectos: identificación de los riesgos que pueden afectar la operación, actividades a realizar cuando se presentan fallas, alternativas de operación y regreso a la actividad normal.

 

3.1.4. Monitoreo

Las entidades deben hacer un monitoreo continuo a la gestión de los riesgos operacionales y a su perfil de riesgo operacional.

Para el efecto, éstas deben cumplir, como mínimo, con los siguientes requisitos:

a)     Desarrollar un proceso de seguimiento efectivo, que facilite la rápida detección y corrección de las deficiencias en el SARO. Dicho seguimiento debe tener una periodicidad acorde con los riesgos operacionales potenciales y ocurridos, así como con la frecuencia y naturaleza de los cambios en el entorno operacional.

b) En cualquier caso, el seguimiento debe realizarse con una periodicidad mínima semestral.

c)     Establecer indicadores descriptivos y/o prospectivos que evidencien los potenciales riesgos operacionales.

d) Asegurar que los controles estén funcionando en forma oportuna, efectiva y eficiente.

e) Asegurar que los riesgos residuales se encuentren en los niveles de aceptación establecidos por la entidad.

ELEMENTOS DEL SARO

Circular Externa 100 de 1995 de la Superintendencia Bancaria, adicionada por las Circulares Externas 048 de 2006, 041 de 2007 Y 025 DE 2020 de la Superintendencia Financiera

[2–0746-04] CAP XXIII, NUM 3.2, Elementos del SARO

3.2.1. Políticas

Son los lineamientos generales que las entidades deben adoptar en relación con el SARO.

Cada una de las etapas y elementos del sistema deben contar con unas políticas claras y efectivamente aplicables.

Las políticas que se adopten deben permitir un adecuado funcionamiento del SARO y traducirse en reglas de conducta y procedimientos que orienten la actuación de la entidad.

Las políticas que adopten las entidades deben cumplir con los siguientes requisitos mínimos:

a) Impulsar a nivel institucional la cultura en materia de riesgo operacional.

b) Establecer el deber de los órganos de administración, de control y de sus demás funcionarios, de asegurar el cumplimiento de las normas internas y externas relacionadas con la administración del riesgo operacional.

c) Permitir la prevención y resolución de conflictos de interés en la recolección de información en las diferentes etapas del SARO, especialmente para el registro de eventos de riesgo operacional.

d) Permitir la identificación de los cambios en los controles y en el perfil de riesgo.

e) Desarrollar e implementar planes de continuidad del negocio.

3.2.2. Procedimientos

Las entidades deben establecer los procedimientos aplicables para la adecuada implementación y funcionamiento de las etapas y elementos del SARO.

Los procedimientos que en esta materia adopten las entidades deben contemplar, como mínimo, los siguientes requisitos:

a) Instrumentar las diferentes etapas y elementos del SARO.

b) Identificar los cambios y la evolución de los controles, así como del perfil de riesgo.

c) Adoptar las medidas por el incumplimiento del SARO.

3.2.3. Documentación

Las etapas y los elementos del SARO implementados por las entidades deben constar en documentos y registros, garantizando la integridad, oportunidad, confiabilidad y disponibilidad de la información allí contenida. La documentación debe incluir como mínimo:

a) Manual de Riesgo Operacional.

b) Los documentos y registros que evidencien la operación y gestión efectiva del SARO.

c) Los informes de la Junta Directiva, el Representante Legal, la URO y los órganos de control en los términos del presente Capítulo.

3.2.3.1. Manual de Riesgo Operacional

El Manual de Riesgo Operacional debe contener, como mínimo, lo siguiente:

a) Las políticas para la administración del riesgo operacional.

b) La estructura organizacional del SARO.

c) Los roles y responsabilidades de quienes participan en la administración del riesgo operacional.

d) Las medidas necesarias para asegurar el cumplimiento de las políticas y objetivos del SARO.

e) Los procedimientos y metodologías para identificar, medir, controlar y monitorear los riesgos operacionales y su nivel de aceptación.

f) Los procedimientos y metodologías para implementar y mantener el registro de eventos.

g) Los procedimientos que deben implementar los órganos de control frente al SARO.

h) Las estrategias de capacitación del SARO y

i) Las estrategias de divulgación del SARO.

3.2.4. Estructura Organizacional

Las entidades deben establecer y asignar funciones en relación con las distintas etapas y elementos del SARO.

Se deben establecer como mínimo las siguientes funciones a cargo de los órganos de dirección, administración y demás áreas de la entidad.

3.2.4.1. Junta Directiva u órgano que haga sus veces

Sin perjuicio de las funciones asignadas en otras disposiciones, el SARO debe contemplar como mínimo las siguientes funciones a cargo de la Junta Directiva u órgano que haga sus veces:

a) Establecer las políticas relativas al SARO, así como su revisión y actualización periódica.

b) Aprobar el Manual de Riesgo Operacional y sus actualizaciones.

c) Hacer seguimiento y pronunciarse sobre el perfil de riesgo operacional de la entidad, así como de la cuantificación de los requerimientos de capital por dicho riesgo.

d) Establecer las medidas relativas al perfil de riesgo operacional, teniendo en cuenta el nivel de tolerancia al riesgo de la entidad, fijado por la misma Junta Directiva.

e) Pronunciarse respecto de cada uno de los puntos que contengan los informes periódicos que presente el Representante Legal.

f) Pronunciarse sobre la evaluación periódica del SARO, que realicen los órganos de control.

g) Proveer los recursos necesarios para implementar y mantener en funcionamiento, de forma efectiva y eficiente, el SARO.

3.2.4.2. Representante Legal

Sin perjuicio de las responsabilidades asignadas en otras disposiciones, son funciones mínimas del Representante Legal:

a) Diseñar y someter a aprobación de la Junta Directiva u órgano que haga sus veces, el Manual de Riesgo Operacional y sus actualizaciones.

b) Velar por el cumplimiento efectivo de las políticas establecidas por la Junta Directiva.

c) Adelantar un seguimiento permanente de las etapas y elementos constitutivos del SARO.

d) Designar el área o cargo que actuará como responsable de la implementación y seguimiento del SARO – (Unidad de Riesgo Operacional).

e) Desarrollar y velar porque se implementen las estrategias con el fin de establecer el cambio cultural que la administración de este riesgo implica para la entidad.

f) Adoptar las medidas relativas al perfil de riesgo, teniendo en cuenta el nivel de tolerancia al riesgo, fijado por la Junta Directiva, de acuerdo con el literal d) numeral 3.2.4.1. de la presente Circular.

g) Velar por la correcta aplicación de los controles del riesgo inherente, identificado y medido.

h) Recibir y evaluar los informes presentados por la Unidad de Riesgo Operacional, de acuerdo con los términos establecidos en el numeral 3.2.4.3 de la presente Circular.

i) Velar porque las etapas y elementos del SARO cumplan, como mínimo, con las disposiciones señaladas en la presente Circular.

j) Velar porque se implementen los procedimientos para la adecuada administración del riesgo operacional a que se vea expuesta la entidad en desarrollo de su actividad.

k) Aprobar los planes de contingencia y de continuidad del negocio y disponer de los recursos necesarios para su oportuna ejecución.

l) Presentar un informe periódico, como mínimo semestral, a la Junta Directiva sobre la evolución y aspectos relevantes del SARO, incluyendo, entre otros, las acciones preventivas y correctivas implementadas o por implementar y el área responsable.

m) Establecer un procedimiento para alimentar el registro de eventos de riesgo operacional, de acuerdo con lo previsto en el numeral 3.2.5 de la presente Circular.

n) Velar porque el registro de eventos de riesgo operacional cumpla con los criterios de integridad, confiabilidad, disponibilidad, cumplimiento, efectividad, eficiencia y confidencialidad de la información allí contenida.

o) Informar oportunamente a la SFC sobre cualquier evento importante que afecte el riesgo operacional de la entidad.

3.2.4.3. Unidad de Riesgo Operacional

La Unidad de Riesgo Operacional debe cumplir como mínimo con las siguientes condiciones:

a) Contar con personal que tenga conocimiento en administración de riesgo operacional.

b) Ser organizacionalmente de alto nivel y tener capacidad decisoria.

c) No tener dependencia de los órganos de control, ni de las áreas de operaciones o de tecnología, ni relaciones que originen conflictos de interés.

d) Contar con los recursos suficientes para desarrollar sus funciones.

En virtud de lo anterior, la Unidad de Riesgo Operacional tendrá como mínimo las siguientes funciones:

a) Definir los instrumentos, metodologías y procedimientos tendientes a que la entidad administre efectivamente sus riesgos operacionales, en concordancia con los lineamientos, etapas y elementos mínimos previstos en este Capítulo.

b) Desarrollar e implementar el sistema de reportes, internos y externos, del riesgo operacional de la entidad.

c) Administrar el registro de eventos de riesgo operacional.

d) Coordinar la recolección de la información para alimentar el registro de eventos de riesgo operacional.

e) Evaluar la efectividad de las medidas de control potenciales y ejecutadas para los riesgos operacionales medidos.

f) Establecer y monitorear el perfil de riesgo de la entidad e informarlo al órgano correspondiente, en los términos del presente Capítulo.

g) Realizar el seguimiento permanente de los procedimientos y planes de acción relacionados con el SARO y proponer sus correspondientes actualizaciones y modificaciones.

h) Desarrollar los modelos de medición del riesgo operacional.

i) Desarrollar los programas de capacitación de la entidad relacionados con el SARO.

j) Realizar seguimiento a las medidas adoptadas para mitigar el riesgo inherente, con el propósito de evaluar su efectividad.

k) Reportar semestralmente al Representante Legal la evolución del riesgo, los controles implementados y el monitoreo que se realice sobre el mismo, en los términos de la presente Circular.

3.2.5. Registro de eventos de riesgo operacional

La apropiada identificación, recolección y tratamiento de los registros por pérdidas operacionales de las entidades son requisitos esenciales para la adecuada gestión del riesgo operacional. En los términos del subnumeral 3.2.5.1 de la presente Circular y para la administración del riesgo operacional, todas las entidades deben contar con un registro de eventos de riesgo operacional de alta calidad que incluya los criterios generales y específicos a que se refieren los subnumerales 3.2.5.1 y 3.2.5.2. del presente Capítulo, el cual deben mantener permanentemente actualizado y a disposición de la SFC.

Este registro debe contener todos los eventos de riesgo operacional ocurridos y que:

a) Generan pérdidas y afectan el estado de resultados de la entidad.
b) No generan pérdidas y por lo tanto no afectan el estado de resultados de la entidad.

Dichos eventos deben revelarse en los términos del numeral 3.2.8.3 de la presente Circular.

Es importante anotar, que para los casos del literal b) del presente numeral, la medición será de carácter cualitativo y cuantitativo cuando así se determine por la entidad.

3.1.5.1. Criterios generales para el registro de eventos de riesgo operacional

Para la recolección de datos internos y construcción de la base de datos con registros históricos de eventos de riesgo operacional, las entidades deben tener en cuenta lo siguiente:

a) Las entidades deben contar con procedimientos y procesos documentados para la identificación, recopilación y tratamiento de los registros de eventos de riesgo operacional.

b) Los registros de eventos sobre pérdidas operacionales deben ser integrales e incluir la totalidad de las actividades y exposiciones, así como comprender la totalidad de los eventos de riesgo operacional.

c) Cada entidad debe tener su propio y único registro de eventos de riesgo operacional. Las entidades con matriz internacional deben tener disponible y centralizada en Colombia, la información relacionada con los eventos de riesgo operacionales locales.

d) El grado de detalle de la información descriptiva y cuantitativa debe corresponder como mínimo a los siguientes campos:

Nombre Descripción
Referencia Código interno que relacione el evento en forma secuencial.
Fecha de inicio del evento Fecha en que se inicia el evento.
Día, mes, año, hora.
Fecha de finalización del evento Fecha en que finaliza el evento.
Día, mes, año, hora.
Fecha del descubrimiento Fecha en que se descubre el evento.
Día, mes, año, hora.
Fecha de registro contable Fecha en que se registra contablemente la pérdida por el evento.
Día, mes, año, hora.
Fecha de recuperación Fecha en la cual se recupera total o parcialmente el dinero empleado para atender un evento de riesgo operacional.
Día, mes, año, hora.
Divisa Moneda extranjera en la que se materializa el evento.
Cuantía bruta El monto de dinero (moneda legal) a que asciende la pérdida bruta. El registro debe incluir los conceptos relacionados en el numeral 3.2.5.1 de la presente circular.
Cuantía total recuperada El monto de dinero recuperado por acción directa de la entidad. Incluye las cuantías recuperadas por seguros.
Cuantía recuperada por seguros Corresponde al monto de dinero recuperado por el cubrimiento a través de un seguro.
Cuantía de otras recuperaciones Corresponde al monto de dinero recuperado por otros mecanismos diferentes al cubrimiento a través de un seguro.
Cuantía neta de recuperaciones El monto de dinero (moneda legal) a que asciende la pérdida teniendo en cuenta la cuantía total recuperada.
Clase de riesgo operacional Especifica la clase de riesgo, según la clasificación adoptada en el numeral 2.6.1. de la presente Circular.
Producto/servicio afectado Identifica el producto o servicio afectado.
Cuentas Catálogo afectadas Identifica las cuentas del Catálogo Único de Información Financiera con Fines de Supervisión” (CUIF) afectadas.
Proceso Identifica el proceso afectado.
Tipo de pérdida Identifica el tipo de pérdida, de acuerdo con la clasificación adoptada en el numeral 3.2.5 literales a) y b) de la presente Circular.
Descripción del evento

Descripción detallada del evento.
– Canal de servicio o atención al cliente (cuando aplica)
– Zona geográfica
Líneas de negocio Identificación según clasificación adoptada por la SFC en el numeral 3.2.5.3 del presente Capítulo.

e) Para la construcción del registro de eventos de riesgo operacional, las entidades pueden utilizar campos adicionales a los descritos anteriormente.

f) Todas las actividades de las entidades vigiladas deben asignarse entre las líneas de negocio señaladas en el numeral 3.2.5.3 del presente Capítulo, de forma que a cada una de las actividades le corresponda una sola línea de negocio y no permanezca ninguna actividad sin asignar. Para el efecto la entidad debe contar con información y procedimientos sistemáticos de asignación de los ingresos financieros netos, lo que conlleva la asignación tanto de los ingresos como de los gastos financieros.

g) Las entidades deberán documentar y mantener a disposición de la SFC, los criterios que tendrán en cuenta para clasificar las diferentes actividades en cada una de las líneas de negocio, sin perjuicio de atender los siguientes principios:

I. Cualquier evento de riesgo operacional que se produzca en desarrollo de una actividad conexa a una principal deberá ser clasificado en la línea de negocio que corresponda a la actividad principal.

II. Cuando un evento de pérdida afecte más de una línea de negocio y una de las líneas genere el cincuenta por ciento (50%) o más de las pérdidas totales, se deberá asignar el valor total de esas pérdidas a dicha línea operativa.

III. Cuando un evento de pérdida afecte más de una línea de negocio y ninguna de las líneas involucradas genere el cincuenta por ciento (50%) o más de las pérdidas totales, se deberá asignar el valor correspondiente a cada línea de negocio afectada.

IV. Cuando se presente un evento de riesgo operacional para una línea de negocio, se debe registrar según su clasificación en el primer, segundo y tercer nivel de desagregación que se detallan en el subnumeral 3.2.5.3 del presente Capítulo.

h) Las entidades deben contar con un proceso de control operacional concebido para revisar de forma independiente la integridad y precisión de los eventos de riesgo operacional.

3.2.5.2 Criterios específicos para el registro de eventos de riesgo operacional

En adición a lo establecido en el numeral 3.2.5.1. del presente Capítulo, las entidades vigiladas deben identificar y cuantificar los conceptos de pérdidas brutas, recuperaciones no procedentes de seguros y recuperaciones originadas por el pago de indemnizaciones de seguros para todos los eventos de pérdidas operacionales.

Las recuperaciones sólo podrán utilizarse para reducir las pérdidas cuando se haya recibido el pago efectivo, para lo cual las entidades deben contar con los debidos comprobantes. Los derechos de cobro no califican como recuperaciones.

Las entidades deben utilizar la fecha de contabilización del evento para construir el conjunto de registros sobre pérdidas Tipo A. En el caso de contingencias legales, la fecha de contabilización será aquella en la que se constituye una provisión para dicha contingencia en el estado de situación financiera, con su reflejo correspondiente en el estado de resultados.

Las pérdidas causadas por un evento de riesgo operacional común o por varios eventos de riesgo operacional relacionados a lo largo del tiempo, pero contabilizadas en el transcurso de varios años, deben asignarse a los años correspondientes en la base de datos sobre pérdidas, en consonancia con su tratamiento contable.

3.2.5.2.1. Conceptos que se deben incluir en el cálculo de las pérdidas brutas registradas en la base de datos:

a) Cargos directos en las cuentas de estados de resultados de la entidad, incluidos cargos por deterioro, así como amortizaciones contables debido a eventos de riesgo operacional.

b) Costos incurridos como consecuencia de un evento, incluyendo gastos externos con una relación directa al evento por riesgo operacional (por ejemplo, gastos legales directamente relacionados al evento y comisiones pagadas a los asesores, abogados o proveedores) y costos de reparación o reemplazo incurridos para restaurar la posición que prevalecía antes del evento de riesgo operacional.

c) Provisiones o reservas contabilizadas con impacto en las cuentas de estados de resultados de la entidad contra el impacto potencial de pérdidas por riesgo operacional.

d) Los efectos económicos negativos contabilizados en el ejercicio contable como consecuencia de eventos de riesgo operacional que afecten a los flujos de caja y los demás estados financieros de ejercicios contables anteriores (pérdidas por diferencias temporales). Estas pérdidas se deben incluir en el registro de eventos de riesgo operacional cuando se deban a eventos que abarquen más de un ejercicio contable y generen riesgo legal.

3.2.5.2.2. Conceptos que se deben excluir del cálculo de las pérdidas brutas registradas en la base de eventos:

a) Costos por contratos de mantenimiento general de la propiedad, planta y equipos.

b) Gastos internos o externos con el fin de mejorar el negocio después de las pérdidas por riesgo operacional (actualizaciones, mejoras, iniciativas de gestión del riesgo y mejoras en ellas).

c) Primas de seguro.

3.2.5.3 Clasificación de las líneas de negocio

N° Líneas negocio
(Nivel 1) N° Líneas de negocio
(Nivel 2) Descripción
1 Finanzas Corporativas 1.1 Finanzas Corporativas Evaluación y estructuración financiera de proyectos. Asesoría en licitaciones y en esquemas de participación privada en proyectos. Optimización de estructuras financieras. Valoración de proyectos de privatizaciones, fusiones y adquisiciones. Asesoría en estructuraciones, emisiones y colocaciones de instrumentos financieros al mejor esfuerzo. Asesoría en materia de estructuración del capital, en estrategia industrial y en cuestiones afines o relacionadas. Estudios de inversiones. Análisis financiero. Realización de operaciones de financiamiento estructurado y participación en procesos de titularización.
1.2 Finanzas de Administraciones Locales / Públicas
1.3 Banca de Inversión
1.4 Servicios de Asesoramiento
1.5 Titularización
2 Emisión, Negociación y Venta 2.1 Ventas Negociación en posición propia sobre valores u operaciones de derivados con subyacente valores, con independencia de sus características. Valores adquiridos en desarrollo de contratos de underwriting. Emisión de deuda o acciones.
2.2 Creación de Mercado
2.3 Posición Propia
2.4 Tesorería
2.5 Emisión
3 Banca Personal y Minorista 3.1 Banca minorista Recepción de depósitos en cualquier modalidad. Otorgamiento de créditos en las modalidades de microcrédito, consumo, vivienda y, en general, cualquier operación activa de crédito que celebren con sus clientes. Para la clasificación de las actividades en esta línea se debe tener en cuenta que la actividad de captación y colocación de recursos se circunscribe únicamente a personas naturales y microempresas, según definición de la Ley 590 de 2000 con sus modificaciones y/o adiciones. Sin embargo, en el caso de créditos de vivienda se deben excluir los otorgados para financiar proyectos de construcción con independencia de si se otorgan a persona natural o jurídica. Financiamiento a clientes, tarjetas de crédito corporativas, de marca propia y débito, préstamo automotriz.
3.2 Banca privada o patrimonial
3.3 Servicios de tarjetas de crédito y/o débito
4 Banca Comercial 4.1 Otorgamiento de créditos Recepción de depósitos en cualquier modalidad. Otorgamiento de créditos en las modalidades de comercial, vivienda y en general cualquier clase de operación activa de crédito. Para la clasificación de las actividades en esta línea se debe tener en cuenta que la actividad de captación y colocación de recursos se circunscribe únicamente a personas jurídicas excepto microempresas. En los créditos de vivienda solamente se deben incluir los otorgados para financiar proyectos de construcción con independencia de si se otorgan a persona natural o jurídica.
4.2 Recepción de depósitos
5 Compensación, Liquidación y Registro 5.1 Compensación, Pago y Liquidación de efectivo Prestación de servicio de compensación como contraparte central de operaciones. Administración de sistemas de compensación y liquidación de operaciones. Administración de las garantías otorgadas para la compensación, pago y liquidación de operaciones. Administración de sistemas de pago de bajo y alto valor.
5.2 Registro de Operaciones Registro de operaciones realizadas por las bolsas de valores, agropecuarias y sistemas de negociación que no impliquen compensación y liquidación.
5.3 Compensación, Pago y Liquidación de valores Prestación de servicio de compensación como contraparte central de operaciones. Administración de sistemas de compensación y liquidación de operaciones. Administración de las garantías otorgadas para la compensación, pago y liquidación de operaciones.
5.4 Nómina Prestación del servicio de pago y administración de nómina.
5.5 Recepción de impuestos Prestación del servicio como agente de recaudo de impuestos y tributos del orden nacional o territorial.
5.6 Cobranza Prestación del servicio de cobranza a favor de la entidad o de terceros.
6 Servicios de Agencia 6.1 Custodia Custodia y administración de instrumentos financieros por cuenta de clientes, incluidos el depósito y servicios conexos como la gestión de efectivo y de garantías reales.
6.2 Agente de Transferencias Obrar como agente de transferencia.
7 Administración de Activos 7.1 Administración de fondos Administración de fondos y/o recursos distintos de los señalados en las líneas operativas números 8 a 12.
7.2 Almacenamiento de Activos Almacenamiento y administración general de mercancías de terceros en bodegas propias o particulares como consignatarios o como parte de la prestación de un servicio. Expedición de certificados de depósito de mercancías y bonos de prenda.
8 Negocios Fiduciarios de Inversión y Fondos Mutuos de Inversión 8.1 Fondo de Inversión Colectiva Contratos fiduciarios que tienen como finalidad principal la inversión o colocación de los recursos fideicomitidos. Fondos mutuos de inversión administrados o no por una sociedad fiduciaria.
8.2 Fideicomiso de Inversión con Destinación Específica
8.3 Fondos Mutuos de Inversión
9 Negocios Fiduciarios Inmobiliarios 9.1 Administración y Pagos Contratos fiduciarios cuya finalidad principal es la administración de recursos y bienes afectos a un proyecto inmobiliario o la administración de los recursos asociados al desarrollo y ejecución de dicho proyecto. Recaudo de los dineros provenientes de la promoción y consecución de interesados en adquirir inmuebles dentro de un proyecto inmobiliario.
9.2 Tesorería
9.3 Preventas
10 Negocios Fiduciarios de Administración 10.1 Administración y Pagos Contratos fiduciarios de administración cuya finalidad es la entrega de bienes a una sociedad fiduciaria para que los administre y desarrolle la gestión encomendada por el constituyente y destine los rendimientos al cumplimiento de la finalidad señalada.
10.2 Patrimonios derivados de Procesos de Titularización
10.3 Administración de cartera
10.4 Acuerdos de Reestructuración
11 Negocios Fiduciarios en Garantía 11.1 Fiducia en Garantía Contratos fiduciarios en virtud de los cuales una persona transfiere bienes o recursos con la finalidad de garantizar el cumplimiento de obligaciones propias o de terceros.
11.2 Fiducia en Garantía y Fuente de Pago
12 Seguridad Social y Cesantías 12.1 Administración de recursos del régimen de ahorro individual con solidaridad. Administración de fondos, pasivos o recursos relacionados con el sistema de seguridad social integral excepto aquellos relacionados con riesgos laborales. Administración de cesantías. Administración de fondos de pensiones voluntarias.
12.2 Administración de Recursos del Régimen de Prima Media con Prestación Definida.
12.3 Administración de Pasivos Pensionales
12.4 Administración de Fondos de Jubilación e Invalidez – Fondos Voluntarios
12.5 Administración de Cesantías
12.6 Administración de otros recursos del Sistema de Seguridad Social Integral.
13 Comisión y Corretaje 13.1 Comisión por intermediación de Valores Intermediación para la negociación de valores u operaciones de derivados con subyacente valores, con independencia de sus características. Valores adquiridos en desarrollo de contratos de underwriting. Recepción y transmisión de órdenes de clientes en relación con uno o más instrumentos financieros. Ejecución de órdenes en nombre de clientes. Actividad de intermediación de seguros, reaseguros y de capitalización.
13.2 Corretaje por intermediación de Valores
13.3 Comisión por intermediación de Seguros
13.4 Comisión por intermediación de Reaseguros
14 Seguros de Personas 14.1 Exequias Celebración de contratos de seguros de personas, en los ramos señalados en el nivel 2.
14.2 Accidentes personales
14.3 Colectivo vida
14.4 Educativo
14.5 Vida grupo
14.6 Salud
14.7 Vida individual
14.8 Pensiones voluntarias
14.9 Previsional de invalidez y sobrevivencia
14.10 Enfermedades de alto costo
14.11 Pensiones Ley 100
14.12 Pensiones con conmutación pensional
14.13 Riesgos laborales
14.14 SOAT
14.15 Rentas Voluntarias
14.16 Patrimonios autónomos fondos de pensiones voluntarias
14.17 Beneficios Económicos Periódicos – BEPS
15 Seguros de Daños 15.1 Automóviles Celebración de contratos de seguros de daños, en los ramos señalados en el nivel 2.
15.2 Incendio
15.3 Sustracción
15.4 Corriente débil
15.5 Lucro Cesante
15.6 Montaje y rotura de maquinaria
15.7 Minas y petróleos
15.8 Vidrios
15.9 Agropecuario
15.10 Todo riesgo contratista
15.11 Hogar
15.12 Transporte
15.13 Aviación
15.14 Navegación y casco
15.15 Terremoto
16 Seguros Patrimoniales y de Responsabilidad 16.1 Cumplimiento Celebración de contratos de seguros patrimoniales y de responsabilidad en los ramos señalados en el nivel 2.
16.2 Manejo
16.3 Desempleo
16.4 Responsabilidad civil
16.5 Crédito comercial
16.6 Crédito a la exportación
17 Reaseguros 17.1 Actividad de Reaseguros Asunción de riesgos derivados de contratos de reaseguro.
18 Actividades No Financieras 18.1 Servicios Tecnológicos Prestación de servicios tecnológicos (hardware, software y telecomunicaciones) por parte de la entidad a personas naturales o jurídicas.
18.2 Servicios Generales Servicios y productos de carácter general ofrecidos a personas naturales y jurídicas, que no pueden catalogarse en ninguna de las líneas preestablecidas y que no tienen una relación directa con servicios tecnológicos o aduaneros.
18.3 Servicios Aduaneros Intermediación aduanera en los diferentes procesos y modalidades de comercio internacional.
19 Actividades Institucionales 19.1 Institucionales Actividades que no pueden ser catalogadas en ninguna línea operativa de las señaladas y que están relacionadas con el funcionamiento administrativo, de apoyo de la entidad o las funciones de control.

Es importante tener en cuenta que todas las actividades incluidas en la clasificación, excepto las líneas operativas número 2 “Emisión, Negociación y Ventas” y número 19 “Actividades Institucionales”, son desarrolladas directamente con clientes y/o usuarios.

3.2.5.4 Clasificación de eventos que generan riesgo operacional

Para efectos del presente Capitulo, la entidad debe clasificar los eventos de riesgo operacional siguiendo las categorías que se señalan a continuación:

N° Evento de riesgo operacional
(Nivel 1) N° Evento de riesgo operacional
(Nivel 2) N° Evento de Riesgo Operacional
(Nivel 3)
1 Fraude Interno 1.1 Actividades no Autorizadas 1.1.1 Uso indebido de facultades y poderes
1.1.2 Operaciones no reveladas (intencionalmente)
1.1.3 Operaciones no autorizadas
1.1.4 Valoración errónea de posiciones (intencional)
1.2 Hurto y Fraude Interno 1.2.1 Fraude
1.2.2 Hurto / extorsión / malversación de activos
1.2.3 Uso indebido de activos
1.2.4 Apropiación de cuentas / Suplantación de identidad
1.2.5 Destrucción dolosa de activos
1.2.6 Falsificación interna de la información
1.2.7 Utilización de cheques sin fondos
1.2.8 Incumplimiento / evasión de impuestos (intencional)
1.2.9 Soborno / cohecho
1.2.10 Uso indebido de información privilegiada
1.3 Seguridad de los sistemas 1.3.1 Vulneración de sistemas de seguridad
1.3.2 Daños por ataques informáticos
1.3.3 Hurto de información
1.3.4 Utilización indebida de claves de acceso y/o niveles de autorización
1.4 Otros 1.4.1 La entidad debe especificar a qué hace referencia
2 Fraude Externo 2.1 Hurto y Fraude Externo 2.1.1 Hurto / estafa / extorsión /soborno
2.1.2 Falsificación externa / Suplantación de identidad
2.1.3 Utilización fraudulenta de cheques
2.1.4 Uso y/o divulgación de información privilegiada
2.1.5 Espionaje industrial
2.2 Seguridad de los sistemas 2.2.1 Vulneración de sistemas de seguridad
2.2.2 Daños por ataques informáticos
2.2.3 Hurto de información
2.2.4 Utilización indebida de claves de acceso y/o niveles de autorización
2.3 Otros 2.3.1 La entidad debe especificar a qué hace referencia
3 Relaciones laborales y seguridad laboral 3.1 Relaciones Laborales 3.1.1 Remuneración, prestaciones sociales, terminación de contratos
3.1.2 Recursos humanos
3.2 Higiene y Seguridad laboral 3.2.1 Responsabilidad en general a mantener la seguridad y salud de los trabajadores
3.2.2 Incumplimiento a las normas relacionadas con la higiene y seguridad laboral
3.3 Desigualdad y Discriminación 3.3.1 Discriminación
3.3.2 Invasión a la intimidad y/o acoso
3.4 Otros 3.4.1 La entidad debe especificar a qué hace referencia
4 Clientes, productos y prácticas empresariales
4.1 Indebida Divulgación de Información y Abuso de Confianza 4.1.1 Abuso de confianza / incumplimiento de políticas y reglamentación interna de la entidad
4.1.2 Indebida divulgación de información
4.2 Prácticas Empresariales o de Mercado Improcedentes 4.2.1 Prácticas restrictivas de la competencia
4.2.2 Prácticas comerciales / de mercado improcedentes
4.2.3 Manipulación del mercado
4.2.4 Abuso de información privilegiada (a favor de la empresa)
4.2.5 Actividades no autorizadas
4.3 Productos inadecuados 4.3.1 Defectos del producto
4.3.2 Error en los modelos financieros y de negocios
4.4 Actividades de Asesoramiento 4.4.1 Peticiones / quejas / reclamos relacionados con las actividades de asesoramiento
4.4.2 Litigios relacionados con las actividades de asesoramiento
4.5 Otros 4.5.1 La entidad debe especificar a qué hace referencia
5 Daños a activos físicos 5.1 Desastres naturales 5.1.1 Desastres naturales
5.2 Otros acontecimientos 5.2.1 Terrorismo
5.2.2 Vandalismo
5.3 Otras causas externas 5.3.1 La entidad debe especificar a qué hace referencia
6 Fallas tecnológicas 6.1 Sistemas 6.1.1 Hardware
6.1.2 Software
6.1.3 Telecomunicaciones
6.1.4 Prestación servicios públicos
6.2 Otros 6.2.1 La entidad debe especificar a qué hace referencia
7 Ejecución y administración de procesos 7.1 Recepción, Ejecución y Mantenimiento de Operaciones 7.1.1 Comunicación defectuosa
7.1.2 Errores de introducción de datos, mantenimiento o descarga
7.1.3 Incumplimiento de plazos o de responsabilidades
7.1.4 Ejecución errónea de modelos / sistemas
7.1.5 Errores contables
7.1.6 Errores en otras tareas
7.1.7 Fallos en la gestión de colaterales
7.1.8 Mantenimiento de datos de referencia
7.2 Seguimiento y Presentación de Informes 7.2.1 Incumplimiento de la obligación de informar
7.2.3 Inexactitud de informes externos
7.3 Aceptación de Clientes y Documentación 7.3.1 Inexistencia de autorizaciones / rechazos de clientes
7.3.2 Contratos, documentos requeridos inexistentes / incompletos
7.3.3 Errores en los contratos (diseño deficiente, errores tipográficos, cláusulas erróneas y/o abusivas o prácticas restrictivas)
7.4 Gestión de Cuentas de Clientes 7.4.1 Registros incorrectos de clientes
7.4.2 Pérdida o daño de activos de clientes
7.5 Incumplimiento de la regulación vigente 7.5.1 De la normativa vigente y aplicable
7.6 Acuerdos y Convenios Comerciales 7.6.1 Fallos derivados de acuerdos y convenios comerciales distintos de clientes
7.6.2 Litigios derivados de convenios y acuerdos comerciales con contrapartes distintas de clientes
7.6.3 Errores en los contratos (diseño deficiente, errores tipográficos, cláusulas erróneas o ilegales)
7.7 Proveedores 7.7.1 Fallos derivados en la contratación
7.7.2 Litigios con proveedores
7.7.3 Errores en los contratos (diseño deficiente, errores tipográficos, cláusulas erróneas)
7.8 Otros 7.8.1 La entidad debe especificar a qué hace referencia

3.2.6. Órganos de control

Las entidades deben establecer instancias responsables de efectuar una evaluación del SARO, dichas instancias informarán, de forma oportuna, los resultados a los órganos competentes y en ningún caso cumplirá las funciones asignadas a la unidad de riesgo operacional.

Los órganos de control serán por lo menos los siguientes: Revisoría Fiscal y Auditoría Interna o quien ejerza el control interno.

3.2.6.1. Revisoría Fiscal

Sin perjuicio de las funciones asignadas en otras disposiciones al Revisor Fiscal, éste debe elaborar un reporte al cierre de cada ejercicio contable, en el que informe acerca de las conclusiones obtenidas en el proceso de evaluación del cumplimiento de las normas e instructivos sobre el SARO.

A su vez, debe poner en conocimiento del Representante Legal los incumplimientos del SARO, sin perjuicio de la obligación de informar sobre ellos a la Junta Directiva u órgano que haga sus veces.

3.2.6.2. Auditoría Interna o quien ejerza el control interno

Sin perjuicio de las funciones asignadas en otras disposiciones a la Auditoría Interna, o quien ejerza el control interno, ésta debe evaluar periódicamente la efectividad y cumplimiento de todas y cada una de las etapas y los elementos del SARO con el fin de determinar las deficiencias y sus posibles soluciones. Así mismo, debe informar los resultados de la evaluación a la Unidad de Riesgo Operacional y al Representante Legal.

También debe realizar una revisión periódica del registro de eventos de riesgo operacional e informar al Representante Legal sobre el cumplimiento de las condiciones señaladas en el numeral 3.2.5. de la presente Circular.

3.2.7. Plataforma tecnológica

Las entidades, de acuerdo con sus actividades y tamaño, deben contar con la tecnología y los sistemas necesarios para garantizar el adecuado funcionamiento del SARO.

3.2.8. Divulgación de información

La divulgación de la información debe hacerse en forma periódica y estar disponible, cuando así se requiera.

Las entidades deben diseñar un sistema adecuado de reportes tanto internos como externos, que garantice el funcionamiento de sus propios procedimientos y el cumplimiento de los requerimientos normativos.

3.2.8.1. Interna

Como resultado del monitoreo deben elaborarse reportes semestrales que permitan establecer, el perfil de riesgo residual de la entidad.

Los administradores de la entidad, en su informe de gestión, al cierre de cada ejercicio contable, deben incluir una indicación sobre la gestión adelantada en materia de administración del riesgo operacional.

3.2.8.2. Externa

En concordancia con el artículo 97 del Estatuto Orgánico del Sistema Financiero (EOSF) y demás disposiciones legales vigentes sobre la materia, las entidades deben suministrar al público la información necesaria con el fin de que el mercado pueda evaluar las estrategias de gestión del riesgo operacional adoptadas por la entidad.

Las características de la información divulgada estarán relacionadas con el volumen, la complejidad y el perfil de riesgo de la entidad.

3.2.8.3. Revelación contable

Las pérdidas definidas de acuerdo con el numeral 2.4. de la presente Circular, cuando afecten el estado de resultados, deben registrarse en cuentas de gastos en el período en el que se materializó la pérdida.

Las recuperaciones por concepto de riesgo operacional cuando afecten el estado de resultados deben registrarse en cuentas de ingreso en el período en el que se materializó la recuperación.

Las cuentas de gastos e ingresos requeridas, serán definidas por esta Superintendencia en el Catalogo Único de Información Financiera CUIF respectivo.

3.2.9. Capacitación

Las entidades deben diseñar, programar y coordinar planes de capacitación sobre el SARO dirigidos a todas las áreas y funcionarios.

Tales programas deben, cuando menos cumplir con las siguientes condiciones:

a) Periodicidad anual.

b) Ser impartidos durante el proceso de inducción de los nuevos funcionarios.

c) Ser impartidos a los terceros siempre que exista una relación contractual con éstos y desempeñen funciones de la entidad.

d) Ser constantemente revisados y actualizados.

e) Contar con los mecanismos de evaluación de los resultados obtenidos con el fin de determinar la eficacia de dichos programas y el alcance de los objetivos propuestos.

 

LÍNEAS OPERATIVAS PARA EL REGISTRO DE EVENTOS DE RIESGO OPERATIVO

Circular Externa 100 de 1995 de la Superintendencia Bancaria, adicionada por la Circular Externa 037 de 2007 de la Superintendencia Financiera

[2–0746-05] CAP XXIII, ANEXO I

LÍNEAS OPERATIVAS PARA EL REGISTRO DE EVENTOS DE RIESGO OPERATIVO

En desarrollo de lo dispuesto en el número XVI, del numeral  3.2.5.1. del Capítulo XXIII de la presente circular, las entidades sometidas a la inspección y vigilancia de la Superintendencia Financiera de Colombia (SFC) obligadas a contar con un Sistema de Administración de Riesgo Operativo (SARO), deben construir un registro de eventos de riesgo operativo y mantenerlo actualizado, atendiendo lo dispuesto en el presente anexo.

Para efectos del Capítulo en mención y del presente instructivo, deberá entenderse por líneas operativas el conjunto de actividades con características similares que permiten registrar en forma homogénea los eventos de riesgo operativo, atendiendo las diferentes operaciones que desarrollan las entidades vigiladas.

Sin perjuicio de lo dispuesto en el presente anexo, la SFC considera apropiado que las entidades acojan criterios internacionales para la clasificación de eventos de riesgo operativo, tales como los establecidos por Operacional Riskdata Exchange Association – ORX.

1. Principios para la clasificación en las diferentes líneas operativas

Las entidades deberán documentar y mantener a disposición de la SFC los criterios que tendrán en cuenta para clasificar las diferentes actividades en cada una de las líneas operativas de acuerdo con la clasificación que más adelante se establece, sin perjuicio  de atender los siguientes principios:

• 1.1. Cualquier evento de riesgo operativo que se produzca en desarrollo de una actividad conexa a una principal deberá ser clasificado en la línea operativa que corresponda a la actividad  principal.
• 1.2. Cuando un evento de pérdida afecte más de una línea operativa y una de las líneas genere el cincuenta por ciento (50%) o más de las pérdidas totales, se deberá asignar el valor total de esas pérdidas a dicha línea operativa.
• 1.3. Cuando un evento de pérdida afecte más de una línea operativa y ninguna de las líneas involucradas genere el cincuenta por ciento (50%) o más de las pérdidas totales, se deberá asignar el valor correspondiente a cada línea operativa afectada.
• 1.4. Los eventos de riesgo operativo deberán como mínimo registrarse en el primer y segundo nivel de desagregación.
• 1.5. Las entidades fiduciarias deberán incluir en el registro de eventos la naturaleza del negocio fiduciario, es decir si es de carácter público o privado.

Es importante tener en cuenta que todas las actividades incluidas en la clasificación, excepto las líneas operativas número 2 “Negociación y Ventas” y número 19 “Actividades Institucionales”, son desarrolladas directamente con clientes y/o usuarios

NOTA DE FASECOLDA: La descripción de la clasificación de las Líneas Operativas se encuentra consagrada en el anexo 2 del Capítulo XXIII de la Circular Básica Contable y Financiera, el cual no se trascribe dada su extensión.

PROCESO DE RENOVACIÓN DE CÉDULAS DE CIUDADANÍA

Carta Circular 037 de 2009 de la Superintendencia Financiera

[2–0746-06] Proceso de renovación de cédulas de ciudadanía

Apreciados señores:

Como es de su conocimiento, el Estado Colombiano, a través de la Registraduría Nacional del Estado Civil, inició en el año 2006 la segunda fase del Proyecto de Modernización Tecnológica de la identificación de los colombianos, que incluye varios subproyectos, el más visible de los cuales consiste en el proceso de renovación de las cédulas de ciudadanía blancas laminadas y café plastificadas.

De acuerdo con el alcance y el contenido de las leyes 757 de 2002 y 999 de 2005, a partir del 1 de enero de 2010, el único documento de identidad válido en Colombia será la cédula amarilla con hologramas.

Teniendo en cuenta lo anterior, la Superintendencia Financiera de Colombia se permite recordar a las entidades sometidas a su inspección y vigilancia, la obligación de ir incorporando dentro de sus esquemas internos, los cambios necesarios para el cumplimiento de las precitadas disposiciones con el fin de garantizar, no solo el objetivo perseguido por las mismas, sino, además, para evitar posibles traumatismos en el desarrollo de sus actividades.

Cordialmente,