17 Marco de gestión de riesgos

Como parte del marco de control interno general, las entidades deberían contar con un marco integral de gestión de riesgos que abarque todas sus líneas de negocio y unidades internas, incluidas las funciones de control interno, que reconozca plenamente el contenido económico de todas sus exposiciones al riesgo. El marco de gestión de riesgos debería permitir que la entidad tome decisiones bien fundamentadas sobre la asunción de riesgos. El marco de gestión de riesgos incluirá los riesgos dentro y fuera de balance, así como los riesgos reales y los riesgos futuros a los que la entidad podría estar expuesta. Los riesgos deberían evaluarse siguiendo un enfoque ascendente ( bottom-up ) y descendente ( top-down ) en todas las líneas de negocio, utilizando una terminología coherente y metodologías compatibles en toda la entidad y a nivel consolidado o subconsolidado. Todos los riesgos relevantes deberían incluirse en el marco de gestión de riesgos tomando debidamente en consideración los riesgos financieros y no financieros, incluidos los riesgos de crédito, de mercado, de liquidez, de concentración, operativos, tecnológicos, reputacionales, legales, de conducta, y de cumplimiento de la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo y otros delitos económicos, así como los riesgos ASG y estratégicos.

El marco de gestión de riesgos de una entidad debería incluir políticas, procedimientos, límites de riesgo y controles de riesgos que aseguren una identificación, medición o evaluación, vigilancia, gestión, mitigación y notificación de los riesgos adecuadas, oportunas y continuas a nivel de líneas de negocio y de la entidad, y a nivel consolidado o subconsolidado.

El marco de gestión de riesgos de una entidad debería facilitar orientaciones específicas sobre la implantación de sus estrategias. Cuando proceda, estas orientaciones deberían establecer y mantener límites internos coherentes con el apetito de riesgo de la entidad y acordes con su buen funcionamiento, su solidez financiera, su base de capital y sus objetivos estratégicos. El perfil de riesgo de una entidad debería mantenerse dentro de estos límites. El marco de gestión de riesgos debería garantizar que cuando se produzcan incumplimientos de los límites de riesgo exista un proceso establecido para elevarlos y abordarlos con un procedimiento de seguimiento adecuado.

El marco de gestión de riesgos debería ser objeto de una revisión interna independiente, por ejemplo, realizada por la función de auditoría interna, y debería volver a evaluarse periódicamente en función del apetito de riesgo de la entidad, teniendo en cuenta la información procedente de la función de gestión de riesgos y, si se ha constituido, del comité de riesgos. Los factores que deberían considerarse abarcan la evolución interna y externa, incluidas las variaciones del balance y de los ingresos, cualquier aumento de la complejidad del negocio de la entidad, de su perfil de riesgo o de su estructura operativa, la expansión geográfica, las fusiones y adquisiciones y la introducción de nuevos productos o líneas de negocio.

Al identificar y medir o evaluar los riesgos, las entidades deberían desarrollar metodologías apropiadas que incluyan herramientas prospectivas y retrospectivas. Estas metodologías deberían permitir agregar las exposiciones al riesgo de las distintas líneas de negocio y facilitar la identificación de concentraciones de riesgos. Las herramientas deberían incluir la evaluación del perfil de riesgo real considerando el apetito de riesgo de la entidad, así como la identificación y evaluación de exposiciones de riesgo potenciales y en situaciones de estrés en una serie de supuestos adversos teniendo en cuenta la capacidad de riesgo de la entidad. Las herramientas deberían proporcionar información sobre cualquier ajuste al perfil de riesgo que pueda requerirse. Las entidades deberían utilizar supuestos suficientemente conservadores al construir escenarios de estrés.

Las entidades deberían tener en cuenta que los resultados de las metodologías de evaluación cuantitativa, incluidas las pruebas de resistencia, dependen en gran medida de las limitaciones y los supuestos de los modelos (incluidas la gravedad y la duración de la perturbación y los riesgos subyacentes). Por ejemplo, si un modelo presenta una rentabilidad muy elevada del capital económico, ello podría deberse a una deficiencia del modelo (p. ej., la exclusión de algunos riesgos relevantes), más que a una buena estrategia o a una buena ejecución de una estrategia por parte de la entidad. Por lo tanto, la determinación del nivel de riesgo asumido no debería basarse únicamente en información cuantitativa o en los resultados de modelos, sino que también debería incluir un enfoque cualitativo (incluido el criterio de expertos y el análisis crítico). Las tendencias y los datos relevantes del entorno macroeconómico deberían considerase explícitamente para identificar su posible impacto en las exposiciones y en las carteras.

La responsabilidad de la evaluación de riesgos recae, en última instancia, exclusivamente en la entidad que, en consecuencia, debería evaluar sus riesgos de forma crítica y no basarse únicamente en evaluaciones externas. Por ejemplo, una entidad debería validar los modelos de riesgo que adquiera y calibrarlos en función de sus circunstancias individuales, con el fin de garantizar que el modelo recoja y analice los riesgos con precisión y exhaustividad.

Las entidades deberían conocer adecuadamente las limitaciones de los modelos y las métricas, y utilizar herramientas de evaluación de riesgos no solo cuantitativas, sino también cualitativas (incluido el criterio de expertos y el análisis crítico).

Además de las evaluaciones realizadas por las propias entidades, estas podrán usar evaluaciones de riesgo externas (incluidas calificaciones crediticias externas o modelos de riesgo adquiridos externamente). Las entidades deberían conocer adecuadamente el alcance exacto de tales evaluaciones y sus limitaciones.

Deberían establecerse mecanismos de información periódica y transparente para que el órgano de dirección, su comité de riesgos, si se ha constituido, y todas las unidades pertinentes de una entidad, reciban informes oportunos, precisos, concisos, comprensibles y coherentes, y puedan compartir información relevante sobre la identificación, medición o evaluación, vigilancia y gestión de los riesgos. El marco de información debería estar bien definido y documentado.

Una comunicación eficaz y la concienciación sobre los riesgos y la estrategia de riesgos son fundamentales para todo el proceso de gestión de riesgos, incluidos los procesos de revisión y de toma de decisiones, y contribuyen a evitar decisiones que podrían aumentar los riesgos involuntariamente. Una comunicación eficaz de los riesgos requiere una adecuada consideración y comunicación internas de la estrategia de riesgos y de los datos relevantes sobre riesgos (p. ej., exposiciones a riesgos e indicadores clave de riesgos), tanto horizontalmente en toda la entidad, como verticalmente entre los diferentes niveles de la cadena de dirección.