Riesgo operacional

El riesgo operativo u operacional es "el riesgo de un cambio en el valor causado por el hecho de que las pérdidas reales, incurridas por procesos internos, personas y sistemas inadecuados o fallidos, o por eventos externos (incluido el riesgo legal), difieren de las pérdidas esperadas". Esta definición, adoptada por la Directiva europea Solvencia II para aseguradoras, es una variación adoptada de la normativa de Basilea II para bancos. El alcance del riesgo operativo es entonces amplio y también puede incluir otras clases de riesgos, como fraude, seguridad, protección de la privacidad, riesgos legales, físicos (por ejemplo, cierre de infraestructura) o riesgos ambientales. De manera similar, los riesgos operativos pueden tener un impacto amplio, ya que pueden afectar la satisfacción del cliente, la reputación y el valor para los accionistas, al mismo tiempo que aumentan la volatilidad del negocio.

Previamente, en Basilea I, el riesgo operacional se definió negativamente: es decir, que el riesgo operacional son todos los riesgos que no son riesgo de mercado ni riesgo de crédito. Por lo tanto, algunos bancos también han utilizado el término riesgo operativo como sinónimo de riesgos no financieros. En octubre de 2014, el Comité de Supervisión Bancaria de Basilea propuso una revisión de su marco de capital de riesgo operativo que establece un nuevo enfoque estándar para reemplazar el enfoque de indicador básico y el enfoque estándar para calcular el capital de riesgo operativo.

A diferencia de otros riesgos (por ejemplo, riesgo de crédito, riesgo de mercado, riesgo de seguro), los riesgos operativos generalmente no se incurren voluntariamente ni están impulsados ​​por los ingresos. Además, no son diversificables y no pueden ser despedidos. Esto significa que mientras las personas, los sistemas y los procesos sigan siendo imperfectos, el riesgo operativo no se puede eliminar por completo. No obstante, el riesgo operativo es manejable para mantener las pérdidas dentro de un cierto nivel de tolerancia al riesgo (es decir, la cantidad de riesgo que uno está dispuesto a aceptar en la búsqueda de sus objetivos), determinada por el equilibrio de los costos de mejora frente a los beneficios esperados. Las tendencias más amplias, como la globalización, la expansión de Internet y el auge de las redes sociales, así como las crecientes demandas de una mayor responsabilidad corporativa en todo el mundo, refuerzan la necesidad de una gestión de riesgos adecuada.

Por lo tanto, la gestión del riesgo operativo (ORM) es una disciplina especializada dentro de la gestión del riesgo. Constituye el proceso continuo de evaluación de riesgos, toma de decisiones e implementación de controles de riesgos, lo que resulta en la aceptación, mitigación o evitación de los diversos riesgos operativos. ORM se superpone de alguna manera a la gestión de calidad y la función de auditoría interna.

Fondo

Hasta las reformas de Basilea II a la supervisión bancaria, el riesgo operativo era una categoría residual reservada para riesgos e incertidumbres que eran difíciles de cuantificar y administrar de manera tradicional: la canasta de "otros riesgos".

Dicha normativa institucionalizó el riesgo operacional como una categoría de atención regulatoria y gerencial y vinculó la gestión del riesgo operacional con el buen gobierno corporativo.

Las empresas en general y otras instituciones, como las fuerzas armadas, han sido conscientes, durante muchos años, de los peligros que surgen de factores operativos, internos o externos. El objetivo principal de las fuerzas armadas es pelear y ganar guerras de manera rápida y decisiva, y con pérdidas mínimas. Tanto para las fuerzas armadas como para las empresas del mundo, la gestión del riesgo operativo es un proceso eficaz para preservar los recursos por anticipación.

Dos décadas (desde 1980 hasta principios de la década de 2000) de globalización y desregulación (por ejemplo, Big Bang (mercados financieros)), combinadas con la mayor sofisticación de los servicios financieros en todo el mundo, introdujeron complejidades adicionales en las actividades de los bancos, las aseguradoras y las empresas en general y por tanto sus perfiles de riesgo.

Desde mediados de la década de 1990, los temas de riesgo de mercado y riesgo crediticio han sido objeto de mucho debate e investigación, con el resultado de que las instituciones financieras han logrado avances significativos en la identificación, medición y gestión de estas dos formas de riesgo.

Sin embargo, el casi colapso del sistema financiero de los EE. UU. en septiembre de 2008 es una indicación de que nuestra capacidad para medir el riesgo crediticio y de mercado dista mucho de ser perfecta y finalmente condujo a la introducción de nuevos requisitos regulatorios en todo el mundo, incluidas las regulaciones de Basilea III para bancos y Solvencia II. Reglamento para aseguradoras.

Eventos como los ataques terroristas del 11 de septiembre, las pérdidas comerciales deshonestas en Société Générale, Barings, AIB, UBS y National Australia Bank sirven para resaltar el hecho de que el alcance de la gestión de riesgos se extiende más allá del mero riesgo crediticio y de mercado.

Estas razones subrayan el creciente enfoque de los bancos y supervisores en la identificación y medición del riesgo operativo.

La lista de riesgos (y, lo que es más importante, la escala de estos riesgos) que enfrentan los bancos hoy en día incluye fraude, fallas del sistema, terrorismo y reclamos de compensación de empleados. Estos tipos de riesgo se clasifican generalmente bajo el término 'riesgo operativo'.

La identificación y medición del riesgo operativo es un problema real y vivo para los bancos modernos, particularmente desde la decisión del Comité de Supervisión Bancaria de Basilea (BCBS) de introducir un requerimiento de capital para este riesgo como parte del nuevo marco de suficiencia de capital (Basilea II).

Definición

El Comité de Basilea define el riesgo operacional en Basilea II y Basilea III como:

El riesgo de pérdida resultante de procesos, personas y sistemas internos inadecuados o fallidos o de eventos externos. Esta definición incluye el riesgo legal, pero excluye el riesgo estratégico y reputacional.

El Comité de Basilea reconoce que el riesgo operativo es un término que tiene una variedad de significados y, por lo tanto, para fines internos, los bancos pueden adoptar sus propias definiciones de riesgo operativo, siempre que se incluyan los elementos mínimos en la definición del Comité.

Exclusiones de alcance

La definición de riesgo operativo de Basilea II excluye, por ejemplo, el riesgo estratégico: el riesgo de una pérdida derivada de una mala decisión comercial estratégica.

Otros términos de riesgo se ven como posibles consecuencias de los eventos de riesgo operativo. Por ejemplo, el riesgo reputacional (daño a una organización a través de la pérdida de su reputación o posición) puede surgir como consecuencia (o impacto) de fallas operativas, así como de otros eventos.

Basilea II siete categorías de tipos de eventos

A continuación se enumeran los siete tipos de eventos oficiales de Basilea II con algunos ejemplos para cada categoría:

1. Fraude interno: apropiación indebida de activos, evasión de impuestos, marcación incorrecta intencional de posiciones, soborno
2. Fraude externo: robo de información, daños por piratería, robo y falsificación de terceros
3. Prácticas de empleo y seguridad en el lugar de trabajo: discriminación, compensación de trabajadores, salud y seguridad de los empleados
4. Clientes, productos y prácticas comerciales: manipulación del mercado, antimonopolio, comercio inapropiado, defectos de productos, infracciones fiduciarias, rotación de cuentas
5. Daño a Activos Físicos – desastres naturales, terrorismo, vandalismo
6. Interrupción comercial y fallas de sistemas: interrupciones de servicios públicos, fallas de software, fallas de hardware
7. Ejecución, entrega y gestión de procesos: errores de entrada de datos, errores de contabilidad, informes obligatorios fallidos, pérdida negligente de activos del cliente

Dificultades

Es relativamente sencillo para una organización establecer y observar niveles específicos y medibles de riesgo de mercado y riesgo crediticio porque existen modelos que intentan predecir el impacto potencial de los movimientos del mercado o cambios en el costo del crédito. Estos modelos son tan buenos como los supuestos subyacentes, y gran parte de la reciente crisis financiera surgió porque las valoraciones generadas por estos modelos para tipos particulares de inversiones se basaron en supuestos incorrectos.

Por el contrario, es relativamente difícil identificar o evaluar los niveles de riesgo operativo y sus múltiples fuentes. Históricamente, las organizaciones han aceptado el riesgo operativo como un costo inevitable de hacer negocios. Sin embargo, muchos ahora recopilan datos sobre pérdidas operativas, por ejemplo, a través de fallas del sistema o fraude, y están utilizando estos datos para modelar el riesgo operativo y calcular una reserva de capital contra futuras pérdidas operativas. Además del requisito de Basilea II para los bancos, este es ahora un requisito para las aseguradoras europeas que están en proceso de implementar Solvencia II, el equivalente de Basilea II para el sector asegurador.

Métodos de cálculo del capital por riesgo operacional

Basilea II y diversos órganos de supervisión de los países han prescrito diversos estándares de solidez para la gestión del riesgo operativo de los bancos e instituciones financieras similares. Para complementar estos estándares, Basilea II ha brindado orientación sobre 3 métodos amplios de cálculo de capital para el riesgo operativo:

• Enfoque del Indicador Básico – basado en los ingresos anuales de la Institución Financiera
• Método estandarizado: basado en los ingresos anuales de cada una de las líneas generales de negocios de la institución financiera
• Enfoques de medición avanzados: basados ​​en el marco de medición de riesgo desarrollado internamente por el banco que se adhiere a los estándares prescritos (los métodos incluyen IMA, LDA, basado en escenarios, Scorecard, etc.)

El marco de gestión del riesgo operativo debe incluir marcos de identificación, medición, seguimiento, información, control y mitigación del riesgo operativo.

Hay una serie de metodologías para elegir al modelar el riesgo operativo, cada una con sus ventajas y aplicaciones de destino. La elección final de la metodología o metodologías a utilizar en su institución depende de una serie de factores, entre ellos:

• Sensibilidad temporal para el análisis;
• Recursos deseados y/o disponibles para la tarea;
• Enfoques utilizados para otras medidas de riesgo;
• Uso esperado de los resultados (p. ej., asignación de capital a las unidades de negocio, priorización de proyectos de mejora del control, satisfacción de los reguladores de que su institución está midiendo el riesgo, incentivo para una mejor gestión del riesgo operativo, etc.);
• Comprensión y compromiso de la alta dirección; y
• Procesos complementarios existentes, como la autoevaluación

Método de medición estandarizado (Basilea III)

El Comité de Supervisión Bancaria de Basilea (BCBS) ha propuesto el "Enfoque de medición estandarizado" (SMA) como un método para evaluar el riesgo operativo como reemplazo de todos los enfoques existentes, incluido AMA. El objetivo es proporcionar estimaciones estables, comparables y sensibles al riesgo para la exposición al riesgo operativo y entra en vigencia el 1 de enero de 2022. La SMA pondera el historial de pérdidas internas (se deben considerar las pérdidas de los últimos 10 años). Es posible considerar pérdidas netas (después de recuperaciones y seguros).

El coeficiente marginal (α) aumenta con el tamaño del BI, como se muestra en la siguiente tabla.

Cubeta	Rango BI (en miles de millones de €)	Coeficientes marginales BI (αi)
1	≤1	12%
2	1 < IB ≤30	15%
3	> 30	18%

El ILM se define como:

donde el Componente de Pérdida (LC) es igual a 15 veces el promedio anual de pérdidas por riesgo operativo incurrido en los 10 años anteriores.