La evaluación de riesgo de su entidad, de la metodología al acta del órgano

La matriz de riesgo mide a cada cliente. Esto mide el negocio en su conjunto, como lo pide su supervisor, y guarda cada paso como evidencia.

Registrarme como empresa Registrarme como profesional Iniciar prueba gratis

Hable con nosotros por WhatsApp Vea todos los servicios

COX guarda la evaluación de riesgo de su entidad: la metodología que su órgano de dirección aprueba con su acta, la evaluación calculada a una fecha de corte desde su propia cartera, el mapa de calor, el informe al órgano y el plan de fortalecimiento con su seguimiento. Alrededor, las actas del comité de cumplimiento, los eventos materializados y el análisis previo a un lanzamiento, todo dentro de la plataforma que guarda su debida diligencia.

Cómo funciona

De una metodología aprobada a un plan al que el órgano le da seguimiento

Una metodología que aprueba su órgano

Factores, segmentos, variables y eventos de riesgo, las escalas de probabilidad e impacto, los controles y sus pesos. Puede partir de una referencia que ofrece COX, con eventos de ejemplo para entidades financieras y no financieras, y adaptarla a su negocio. Se aprueba con el acta adjunta, y entonces queda congelada.

Una evaluación que calcula COX

A una fecha de corte, COX calcula por evento la probabilidad, el impacto, el riesgo inherente, la calificación de sus controles y el riesgo residual, y los consolida por variable, segmento, factor y entidad. Nadie escribe un resultado.

El mapa de calor, leído del cálculo

Cada evento va a la celda de su riesgo inherente y del nivel de control con que se calculó su residual. Los eventos sin controles van aparte, y los que no se pudieron calcular se nombran, nunca se pierden.

Contado desde su cartera

PEP, nacionalidad extranjera, personas jurídicas, clientes de alto riesgo, países en las listas del GAFI, clientes vinculados por un canal no presencial, jurídicas con una parte relacionada en listas y clientes por encima de su monto declarado: COX los cuenta desde los expedientes. Un expediente sin el dato que la regla lee se nombra, no se cuenta como cero.

Sus controles, probados

Cada prueba de cumplimiento y efectividad de un control, la haga la unidad de cumplimiento, la auditoría interna o externa o el supervisor, con sus casos y su informe. Registrada, no cambia, y sigue al control a través de las versiones de la metodología.

Un plan que el órgano aprueba y sigue

El informe al órgano lleva el plan de fortalecimiento: una acción por cada evento que requiere acciones adicionales, con su fecha límite y su responsable. El órgano lo aprueba con su acta; después cada acción se sigue, se cierra con evidencia o se prorroga con la autorización documentada del órgano.

La metodología, paso a paso

El mismo método del primer evento al órgano de dirección: cada cifra sale de la anterior, y se puede seguir hacia atrás.

Identificar

Los factores (clientes, productos y servicios, canales de distribución, ubicación geográfica), sus segmentos y variables, y los eventos de riesgo por los que el riesgo podría materializarse. Toda variable necesita al menos un evento.

Probabilidad

Cada evento se mide con lo que fija la metodología: cantidad de clientes, alertas o incidentes en un período. Donde el dato vive en COX, COX lo cuenta; donde no, se mide a mano con su fuente.

Impacto

Se mide en cada riesgo asociado (reputacional, legal o de cumplimiento, operativo, de contagio) y se combina como diga su metodología: promedio, ponderado, máximo o con un riesgo dominante.

Riesgo inherente

La probabilidad y el impacto dan el riesgo inherente de cada evento, por promedio o por una matriz de probabilidad por impacto que usted llena celda por celda.

Controles

Cada control se califica por si está documentado, si es preventivo o de detección, cada cuánto corre, y el cumplimiento y la efectividad que midieron sus pruebas. Varios controles en un evento se combinan por promedio o por peso.

Riesgo residual y plan

El riesgo inherente y la calificación del control dan el residual, consolidado por variable, segmento, factor y entidad. Una cifra con decimales sube al nivel siguiente, la lectura conservadora, y los eventos por encima del nivel que usted fija van al plan.

Por qué no en una hoja de cálculo

La evaluación de riesgo de la entidad suele vivir en una hoja de cálculo y una carpeta de actas. En COX vive junto a los expedientes que mide.

Deslice la tabla hacia el lado para ver todas las columnas.

Qué cambia	En una hoja de cálculo	En COX
Cifras de la cartera	Se copian a mano desde otro sistema	Se cuentan desde los expedientes a la fecha de corte
Fórmulas	Cualquiera cambia una celda sin dejar rastro	La metodología aprobada queda congelada; un cambio es una versión nueva que aprueba el órgano
Una cifra que falta	Una celda vacía suma como cero	Vacío queda vacío, y lo que falta se nombra
Pruebas de controles	En otro archivo, si existen	Ligadas al control, y entran en su calificación
El plan	Un correo o una lista	Acciones con responsable, fecha límite y recordatorios, cerradas con evidencia
Lo que ve el supervisor	La última versión del archivo	Impresos sellados que cualquiera verifica, y quién hizo qué y cuándo
Mismo dato, mismo resultado	Depende de quién llene el archivo	Lo calcula COX: el mismo dato da siempre el mismo resultado

COX no reemplaza el criterio de su metodología: lo guarda, lo aplica y prueba lo que se aplicó.

Alrededor de la evaluación

Lo que el supervisor pide ver junto a la evaluación, guardado en el mismo lugar

El comité de cumplimiento y sus actas

Los miembros con su cargo, y quien tiene un conflicto de interés participa solo con voz. Cada sesión registra la asistencia copiada de los miembros, la deliberación, cada acuerdo con su responsable, los registros que conoció y el acta firmada. Registrada, el acta no cambia; una corrección es una sesión nueva que la cita.

Eventos de riesgo materializados

Qué ocurrió, cuándo se detectó, si la metodología lo tenía previsto, los riesgos que tocó y los expedientes, alertas o reportes que hay detrás. Un evento que la metodología no consideraba se convierte en una mejora para la siguiente revisión.

El análisis previo a un lanzamiento

Un análisis documentado del riesgo antes de un nuevo producto, servicio, canal, modelo de negocio o tecnología: su alcance, los eventos de la metodología que toca, los controles y la conclusión, y la sesión del comité que lo conoció.

Seguimiento y revisión de la metodología

Cada revisión dice qué se revisó y con quién, y le da a cada mejora su tratamiento: corregida de inmediato, enviada al siguiente plan, o sin cambios con el motivo. Una revisión que no encontró nada también es un resultado.

Las versiones de su manual de prevención

Cada versión del manual, con su aprobación y su documento, y una vigente a la vez. COX guarda las versiones; no redacta su manual.

Impresos sellados y matrices en Excel

El informe al órgano, la metodología aprobada, el plan, las revisiones, los eventos, las actas y los análisis previos se imprimen con un sello SHA-256 que cualquiera puede verificar. Un borrador no se imprime. Las matrices se exportan a Excel.

Lo que encuentra el supervisor

Aprobado es congelado

Una metodología aprobada, un acta registrada, una evaluación concluida y un plan aprobado no cambian. Cambiar la metodología es una versión nueva; la anterior queda como se aprobó.

Vacío no es cero

Una cifra que no se pudo medir queda vacía, y todo lo que depende de ella también. Nunca se muestra un cero que nadie midió.

Nada se borra

Ni siquiera un borrador. Un registro abierto por error se anula con su motivo, y el motivo queda.

Preguntas frecuentes

No. La matriz califica a cada cliente al vincularlo. La evaluación de riesgo de la entidad califica el negocio en su conjunto: por qué clientes, productos, canales y lugares alguien podría usarlo, qué tan probable y qué tan grave sería. La ley pide las dos, y ninguna sustituye a la otra.

No. COX ofrece una referencia de la que partir, con escalas, métodos, pesos y eventos de ejemplo que usted adapta a su negocio, y guarda las versiones de su manual. La metodología y el manual son de su entidad, aprobados por su órgano de dirección.

No. El cuestionario de un supervisor es su propio formulario, y cambia de una vez a otra. Lo que COX guarda es de donde salen las respuestas: la metodología aprobada y la evaluación con las cifras de su cartera a una fecha de corte.

COX trae la regla de cada uno de los siete países que atiende, transcrita con su fuente, y nombra los riesgos con las palabras de esa ley. La metodología parte de la regla de su país; donde un país no tiene regla transcrita, funciona igual como buena práctica, y lo dice.

La preparan y la registran los gerentes de cumplimiento; los analistas no la ven. El órgano de dirección aprueba la metodología y el plan, y el comité conoce la evaluación y los análisis previos a un lanzamiento.

Evalúe su entidad donde vive su debida diligencia

Abra su cuenta: la metodología parte de la regla de su país, y la evaluación cuenta desde los expedientes que ya tiene.