Riesgo operacional

El riesgo operacional es el riesgo de pérdidas causadas por procesos, políticas, sistemas o eventos defectuosos o fallidos que interrumpen las operaciones comerciales. ^{[ 1 ]} Los errores de los empleados, la actividad delictiva como el fraude y los eventos físicos se encuentran entre los factores que pueden desencadenar el riesgo operacional. El proceso para gestionar el riesgo operacional se conoce como gestión del riesgo operacional . La definición de riesgo operacional, adoptada por la Directiva Solvencia II europea para las aseguradoras, es una variación adoptada de las regulaciones de Basilea II para los bancos: "El riesgo de un cambio en el valor causado por el hecho de que las pérdidas reales, incurridas por procesos internos, personas y sistemas inadecuados o fallidos, o por eventos externos (incluido el riesgo legal), difieren de las pérdidas esperadas". ^{[ 2 ] [ 3 ]} El alcance del riesgo operacional es, por lo tanto, amplio y también puede incluir otras clases de riesgos, como el fraude , la seguridad , la protección de la privacidad , los riesgos legales , los riesgos físicos (por ejemplo, la interrupción de la infraestructura) o los riesgos ambientales. Los riesgos operacionales también pueden tener un amplio impacto, ya que pueden afectar la satisfacción del cliente, la reputación y el valor para los accionistas, al tiempo que aumentan la volatilidad del negocio.

Anteriormente, en Basilea I , el riesgo operacional se definía negativamente : es decir, que el riesgo operacional comprende todos los riesgos que no son riesgo de mercado ni riesgo de crédito . Por consiguiente, algunos bancos también han utilizado el término riesgo operacional como sinónimo de riesgos no financieros . ^{[ 4 ]}

En octubre de 2014, el Comité de Supervisión Bancaria de Basilea propuso una revisión de su marco de capital de riesgo operacional que establece un nuevo enfoque estandarizado para reemplazar el enfoque de indicador básico y el enfoque estandarizado para el cálculo del capital de riesgo operacional . ^{[ 5 ]}

A diferencia de otros riesgos (por ejemplo, riesgo de crédito , riesgo de mercado , riesgo de seguro ), los riesgos operacionales generalmente no se asumen voluntariamente ni están impulsados ​​por los ingresos. Además, no son diversificables y no se pueden eliminar. Esto significa que, mientras las personas, los sistemas y los procesos sigan siendo imperfectos, el riesgo operacional no se puede eliminar por completo. Sin embargo, el riesgo operacional es manejable para mantener las pérdidas dentro de un cierto nivel de tolerancia al riesgo (es decir, la cantidad de riesgo que uno está dispuesto a aceptar en la búsqueda de sus objetivos), determinado al equilibrar los costos de mejora con los beneficios esperados. Tendencias más amplias como la globalización, la expansión de internet y el auge de las redes sociales, así como las crecientes demandas de mayor responsabilidad corporativa a nivel mundial, refuerzan la necesidad de una gestión de riesgos adecuada .

Así pues, la gestión del riesgo operacional (GRO) es una disciplina especializada dentro de la gestión de riesgos. Constituye el proceso continuo de evaluación de riesgos, toma de decisiones e implementación de controles de riesgo, lo que resulta en la aceptación, mitigación o evitación de los diversos riesgos operacionales. La GRO se solapa en cierta medida con la gestión de la calidad ^{[ 6 ]} y la función de auditoría interna .

Hasta las reformas de Basilea II a la supervisión bancaria, el riesgo operativo era una categoría residual reservada para los riesgos e incertidumbres que eran difíciles de cuantificar y gestionar de forma tradicional ^{[ 7 ]} – la cesta de "otros riesgos".

Dichas regulaciones institucionalizaron el riesgo operacional como una categoría de atención regulatoria y gerencial, y vincularon la gestión del riesgo operacional con el buen gobierno corporativo .

Las empresas en general, y otras instituciones como las fuerzas armadas, son conscientes desde hace años de los riesgos derivados de factores operativos, tanto internos como externos. El objetivo principal de las fuerzas armadas es combatir y ganar guerras de forma rápida y decisiva, con pérdidas mínimas. Tanto para las fuerzas armadas como para las empresas de todo el mundo, la gestión del riesgo operacional es un proceso eficaz para preservar los recursos mediante la anticipación.

Dos décadas (desde 1980 hasta principios de la década de 2000) de globalización y desregulación ( por ejemplo, el Big Bang (mercados financieros) ), combinadas con la creciente sofisticación de los servicios financieros en todo el mundo, introdujeron complejidades adicionales en las actividades de los bancos, las aseguradoras y las empresas en general y, por lo tanto, en sus perfiles de riesgo.

Desde mediados de la década de 1990, los temas del riesgo de mercado y el riesgo de crédito han sido objeto de mucho debate e investigación, lo que ha dado como resultado que las instituciones financieras hayan logrado avances significativos en la identificación, medición y gestión de ambas formas de riesgo.

La crisis financiera de 2008 y la crisis de las hipotecas subprime pusieron de manifiesto importantes limitaciones en los métodos existentes para medir el riesgo de mercado y de crédito. En respuesta, los reguladores introdujeron nuevos requisitos en todo el mundo, como Basilea III para los bancos y Solvencia II para las aseguradoras.

Eventos como los atentados terroristas del 11 de septiembre , las pérdidas por operaciones fraudulentas en Société Générale , Barings , AIB , UBS y National Australia Bank sirven para destacar que el alcance de la gestión de riesgos va más allá del mero riesgo de mercado y de crédito .

Estas razones ponen de relieve el creciente interés de los bancos y los supervisores en la identificación y medición del riesgo operativo.

La lista de riesgos (y, más importante aún, la magnitud de estos riesgos) a los que se enfrentan los bancos hoy en día incluye fraude, fallos del sistema, terrorismo y reclamaciones de indemnización de empleados. Este tipo de riesgos se clasifican generalmente bajo el término «riesgo operacional».

La identificación y medición del riesgo operativo es un problema real y actual para los bancos modernos, en particular desde la decisión del Comité de Supervisión Bancaria de Basilea (BCBS) de introducir un requisito de capital para este riesgo como parte del nuevo marco de adecuación de capital ( Basilea II ).

El Comité de Basilea define el riesgo operacional en Basilea II y Basilea III como:

El riesgo de pérdida resultante de procesos internos, personas y sistemas inadecuados o fallidos, o de eventos externos. Esta definición incluye el riesgo legal, pero excluye el riesgo estratégico y reputacional. ^{[ 8 ]}

El Comité de Basilea reconoce que el riesgo operacional es un término que tiene diversos significados y, por lo tanto, para fines internos, los bancos están autorizados a adoptar sus propias definiciones de riesgo operacional, siempre que incluyan los elementos mínimos de la definición del Comité.

La definición de riesgo operacional de Basilea II excluye, por ejemplo, el riesgo estratégico, que es el riesgo de una pérdida derivada de una mala decisión estratégica empresarial.

Otros términos de riesgo se consideran consecuencias potenciales de eventos de riesgo operacional. Por ejemplo, el riesgo reputacional (daño a una organización por la pérdida de su reputación o prestigio) puede surgir como consecuencia (o impacto) de fallas operacionales, así como de otros eventos.

A continuación se enumeran los siete tipos de eventos oficiales de Basilea II, con algunos ejemplos para cada categoría:

1. Fraude interno: malversación de activos, evasión fiscal, asignación de cargos errónea intencional, soborno ^{[ 9 ].}
2. Fraude externo: robo de información, daños por pirateo informático, robo por parte de terceros y falsificación.
3. Prácticas laborales y seguridad en el trabajo: discriminación, compensación laboral, salud y seguridad de los empleados.
4. Clientes, productos y prácticas comerciales: manipulación del mercado , prácticas anticompetitivas, comercio indebido, defectos de productos, incumplimiento de deberes fiduciarios, rotación excesiva de cuentas.
5. Daños a bienes materiales: desastres naturales, terrorismo, vandalismo.
6. Interrupciones en la actividad empresarial y fallos en los sistemas: interrupciones en los servicios públicos, fallos de software, fallos de hardware.
7. Ejecución, entrega y gestión de procesos: errores de entrada de datos, errores contables, incumplimiento de la presentación de informes obligatorios, pérdida negligente de activos del cliente.

Para una organización, resulta relativamente sencillo establecer y observar niveles específicos y medibles de riesgo de mercado y riesgo crediticio, ya que existen modelos que intentan predecir el impacto potencial de las fluctuaciones del mercado o de los cambios en el coste del crédito. Sin embargo, la eficacia de estos modelos depende de las hipótesis en las que se basan, y gran parte de la crisis financiera de 2008 se debió a que las valoraciones generadas por estos modelos para determinados tipos de inversiones se fundamentaban en hipótesis incorrectas.

Por el contrario, resulta relativamente difícil identificar o evaluar los niveles de riesgo operacional y sus múltiples fuentes. Históricamente, las organizaciones han aceptado el riesgo operacional como un coste inevitable de la actividad empresarial. Sin embargo, muchas ahora recopilan datos sobre pérdidas operacionales —por ejemplo, por fallos del sistema o fraude— y utilizan estos datos para modelar el riesgo operacional y calcular una reserva de capital frente a futuras pérdidas operacionales. Además del requisito de Basilea II para los bancos, este es ahora un requisito para las compañías de seguros europeas que están en proceso de implementar Solvencia II, el equivalente de Basilea II para el sector asegurador. ^{[ 11 ]}

Basel II and various supervisory bodies of the countries have prescribed various soundness standards for operational risk management for banks and similar financial institutions. To complement these standards, Basel II has given guidance to 3 broad methods of capital calculation for operational risk:

• Basic Indicator Approach – based on annual revenue of the Financial Institution
• Standardized Approach – based on annual revenue of each of the broad business lines of the Financial Institution
• Advanced Measurement Approaches – based on the internally developed risk measurement framework of the bank adhering to the standards prescribed (methods include IMA, LDA, Scenario-based, Scorecard etc.)

The operational risk management framework should include identification, measurement, monitoring, reporting, control and mitigation frameworks for operational risk.

There are a number of methodologies to choose from when modeling operational risk, each with its advantages and target applications. The ultimate choice of the methodology/methodologies to use in your institution depends on a number of factors, including:

• Time sensitivity for analysis;
• Resources desired and/or available for the task;
• Approaches used for other risk measures;
• Expected use of results (e.g., allocating capital to business units, prioritizing control improvement projects, satisfying regulators that your institution is measuring risk, providing an incentive for better management of operational risk, etc.);
• Senior management understanding and commitment; and
• Existing complementary processes, such as self-assessment^[12]

• Crisis management
• Institute of Operational Risk
• Internal audit § Three lines of defence
• The Journal of Operational Risk
• Indicadores clave de riesgo
• Gestión del riesgo operacional
• Gestión de riesgos
• Herramientas de gestión de riesgos
• Modelado de riesgos
• Gestión de riesgos de la cadena de suministro

• Gestión y control bancario , Springer – Gestión para profesionales, 2020
• Principios para la gestión sólida del riesgo operacional
• Riesgo operacional en el marco de Basilea II
• Gestión y control bancario , Springer – Gestión para profesionales, 2014
• El Instituto de Riesgo Operacional. El instituto proporciona reconocimiento profesional y permite a sus miembros mantener su competencia en la disciplina del riesgo operacional.
• OpRisk & Regulation es la página principal del principal recurso educativo sobre riesgo operacional, que incluye una revista, formación, conferencias, libros, etc.
• El marco internacional de capitales revisado es el texto del nuevo Acuerdo de Basilea II.
• El blog de Riesgo Operacional es un recurso con contenido sobre riesgo operacional.
• El índice de riesgo estratégico , archivado el 9 de noviembre de 2013 en Wayback Machine , es un índice que cuantifica el nivel de riesgo estratégico en los mercados de todo el mundo.
• Limitaciones de la medición y regulación consistentes del riesgo operacional: recopilación de datos e informes de pérdidas , Andreas A. Jobst, 2007 (Revista de Regulación y Cumplimiento Financiero)
• La crisis crediticia y el riesgo operacional: implicaciones para profesionales y reguladores , Andreas A. Jobst, 2010 (Revista de Riesgo Operacional, vol. 5, n.º 2)
• La Asociación de Gestión de Riesgos : organización líder del sector para profesionales del riesgo operacional.
• Artículos prácticos sobre BIS2 y modelado de riesgos, enviados por profesionales para ayudar a crear un estándar de la industria. Archivado el 4 de diciembre de 2008 en Wayback Machine.
• Documento de la Reserva Federal de Boston sobre la medición del riesgo operacional
• Riesgo operacional: El peligro reside en la cola, pero el veneno depende de la dosis , Andreas A. Jobst, 2007 (Revista de Riesgo Operacional)
• Tyson Macaulay (2008). "Convergencia del riesgo operativo y crediticio" (PDF) . Archivado del original (PDF) el 17 de junio de 2013.
• Tyson Macaulay (2008). "Continuidad operativa y aditividad del riesgo operacional" (PDF) . Archivado del original (PDF) el 17 de junio de 2013.
• Tyson Macaulay (2008). "Métricas y continuidad operativa" (PDF) . Archivado del original (PDF) el 17 de junio de 2013.
• El Operational Risk Consortium , archivado el 27 de septiembre de 2008 en la Wayback Machine , es un consorcio que recopila y analiza datos de pérdidas por riesgo operacional para la industria de seguros.
• La Revista de Riesgo Operacional es una revista trimestral que publica investigaciones sobre la teoría y la práctica del riesgo operacional.