14 Notificación de infracciones a las autoridades competentes

Al implementar el marco de control interno, las entidades deberían establecer una segregación de funciones adecuada, por ejemplo, encomendando a personas diferentes la realización de actividades conflictivas en los procesos relacionados con transacciones o en la prestación de servicios, o confiando a personas distintas responsabilidades de supervisión e información relacionadas con actividades conflictivas, y establecer barreras a la información, por ejemplo, a través de la separación física de determinados departamentos.

Las funciones de control interno deberían verificar que las políticas, mecanismos y procedimientos establecidos en el marco de control interno se apliquen correctamente en sus respectivas áreas de competencia.

Las funciones de control interno deberían presentar periódicamente al órgano de dirección informes por escrito sobre las principales deficiencias identificadas. Estos informes deberían incluir, para cada nueva deficiencia importante identificada, los riesgos relevantes asociados, una evaluación del impacto, y las recomendaciones y medidas correctivas que se vayan a tomar. El órgano de dirección debería realizar un seguimiento oportuno y eficaz de las conclusiones de los informes de las funciones de control interno y exigir que se tomen las medidas correctivas adecuadas. Se debería establecer un procedimiento de seguimiento formal de las conclusiones y de las medidas correctivas tomadas.

Como parte del marco de control interno general, las entidades deberían contar con un marco integral de gestión de riesgos que abarque todas sus líneas de negocio y unidades internas, incluidas las funciones de control interno, que reconozca plenamente el contenido económico de todas sus exposiciones al riesgo. El marco de gestión de riesgos debería permitir que la entidad tome decisiones bien fundamentadas sobre la asunción de riesgos. El marco de gestión de riesgos incluirá los riesgos dentro y fuera de balance, así como los riesgos reales y los riesgos futuros a los que la entidad podría estar expuesta. Los riesgos deberían evaluarse siguiendo un enfoque ascendente ( bottom-up ) y descendente ( top-down ) en todas las líneas de negocio, utilizando una terminología coherente y metodologías compatibles en toda la entidad y a nivel consolidado o subconsolidado. Todos los riesgos relevantes deberían incluirse en el marco de gestión de riesgos tomando debidamente en consideración los riesgos financieros y no financieros, incluidos los riesgos de crédito, de mercado, de liquidez, de concentración, operativos, tecnológicos, reputacionales, legales, de conducta, y de cumplimiento de la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo y otros delitos económicos, así como los riesgos ASG y estratégicos.

El marco de gestión de riesgos de una entidad debería incluir políticas, procedimientos, límites de riesgo y controles de riesgos que aseguren una identificación, medición o evaluación, vigilancia, gestión, mitigación y notificación de los riesgos adecuadas, oportunas y continuas a nivel de líneas de negocio y de la entidad, y a nivel consolidado o subconsolidado.

El marco de gestión de riesgos de una entidad debería facilitar orientaciones específicas sobre la implantación de sus estrategias. Cuando proceda, estas orientaciones deberían establecer y mantener límites internos coherentes con el apetito de riesgo de la entidad y acordes con su buen funcionamiento, su solidez financiera, su base de capital y sus objetivos estratégicos. El perfil de riesgo de una entidad debería mantenerse dentro de estos límites. El marco de gestión de riesgos debería garantizar que cuando se produzcan incumplimientos de los límites de riesgo exista un proceso establecido para elevarlos y abordarlos con un procedimiento de seguimiento adecuado.