Construcción de la matriz, diseño del control y líneas de defensa
La matriz se construye desde los procesos y no desde una plantilla. El recorrido de cada proceso establece qué puede fallar, con qué probabilidad según lo ocurrido en esta compañía y con qué efecto económico si ocurre. Esa cuantificación es la que ordena la prioridad.
Una matriz con treinta riesgos genéricos, todos con probabilidad media y ninguno con responsable, no constituye un instrumento de gestión. Es un documento de presentación, y su rasgo distintivo es que nadie lo vuelve a abrir después de la sesión en que se aprobó.
Identificar un riesgo no lo reduce. El control que lo mitiga requiere cuatro definiciones: en qué consiste, quién lo ejecuta, con qué frecuencia y qué evidencia deja. Un control sin evidencia no se puede verificar, y un control sin responsable asignado no se ejecuta.
El diseño de los controles corresponde a la segunda línea de defensa. La evaluación de si esos controles operan como están diseñados corresponde a la tercera, que es la auditoría interna. Son encargos distintos y conviene que no los ejecute la misma función, porque evaluar el propio diseño elimina la independencia del juicio.
El marco de referencia del control interno organiza los componentes que la matriz debe cubrir: el ambiente de control, la evaluación del riesgo, las actividades de control, la información y comunicación, y la supervisión. Cubrir solo las actividades de control deja el sistema sin los componentes que lo sostienen.
La matriz requiere una rutina de revisión para seguir siendo útil. Sin periodicidad definida y sin responsable de actualizarla, refleja la operación del momento en que se construyó y pierde correspondencia con la operación a los pocos meses.
Alcance del servicio
- Recorrido de los procesos y de sus puntos de falla
- Identificación de riesgos operativos, financieros y de cumplimiento
- Probabilidad e impacto estimados con criterio propio
- Diseño de los controles de los riesgos prioritarios
- Responsable, frecuencia y evidencia por cada control
- Rutina de revisión periódica de la matriz
Entregables y resultados
- Matriz de riesgos priorizada por exposición
- Fichas de control con responsable y frecuencia
- Plan de implementación de los controles faltantes
- Rutina de revisión con periodicidad y responsable
Mapa de los procesos de mayor exposición
El encargo puede iniciar con los tres procesos donde se concentra el dinero o la exposición, antes de extenderse a la operación completa.
Solicitar el mapa de riesgosCómo trabajamos
El encargo se desarrolla en tres fases, entre cuatro y ocho semanas.
Levantamiento
Recorrido de procesos, entrevistas e identificación de puntos de falla.
Matriz
Probabilidad, impacto, priorización y diseño de los controles.
Implementación
Fichas de control, asignación de responsables y rutina de revisión.
Duraciones orientativas; se ajustan al alcance de cada proyecto.