16 Marco de gestión de riesgos

Como parte del marco general de control interno, las empresas de servicios de inversión deberían contar con un marco integral de gestión de riesgos que abarque todas sus líneas de negocio y unidades internas, incluidas las funciones de control interno, que reconozca plenamente el contenido económico de todas sus exposiciones al riesgo, incluidos los riesgos que la empresa de servicios de inversión supone para ella misma, sus clientes y mercados, y los riesgos de liquidez, en particular aquellos que pueden afectar de manera considerable al nivel de fondos propios disponible o reducirlo. El marco de gestión de riesgos debería permitir que la empresa de servicios de inversión tome decisiones bien fundamentadas sobre la asunción de riesgos. El marco de gestión de riesgos incluirá todos los riesgos, así como los riesgos reales y los riesgos futuros a los que la empresa de servicios de inversión podría estar expuesta. Los riesgos deberían evaluarse siguiendo un enfoque ascendente ( bottom-up ) y descendente ( top-down ), en todas las líneas de negocio, utilizando una terminología coherente y metodologías compatibles en toda la empresa de servicios de inversión y a nivel consolidado. Todos los riesgos relevantes deberían incluirse en el marco de gestión de riesgos tomando debidamente en consideración los riesgos financieros y no financieros, incluidos los riesgos de mercado, de liquidez, de concentración, operativos, tecnológicos, reputacionales, legales, de conducta, y de cumplimiento de la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo y otros delitos económicos, así como los riesgos ASG y estratégicos.

El marco de gestión de riesgos de una empresa de servicios de inversión debería incluir políticas, procedimientos, límites de riesgo y controles de riesgos que aseguren una identificación, medición o evaluación, vigilancia, gestión, mitigación y notificación de los riesgos adecuadas, oportunas y continuas a nivel de líneas de negocio y de la empresa de servicios de inversión, y a nivel consolidado.

El marco de gestión de riesgos de una empresa de servicios de inversión debería facilitar orientaciones específicas sobre la implantación de sus estrategias. Cuando proceda, estas orientaciones deberían establecer y mantener límites internos coherentes con el apetito de riesgo de la empresa de servicios de inversión y acordes con su buen funcionamiento, su solidez financiera, su base de capital y sus objetivos estratégicos. El perfil de riesgo de una empresa de servicios de inversión debería mantenerse dentro de estos límites. El marco de gestión de riesgos debería garantizar que cuando se produzcan incumplimientos de los límites de riesgo exista un proceso establecido para elevarlos y abordarlos con un procedimiento de seguimiento adecuado.

El marco de gestión de riesgos debería ser objeto de una revisión interna independiente, por ejemplo, realizada por la función de auditoría interna, y debería volver a evaluarse periódicamente en función del apetito de riesgo de la empresa de servicios de inversión, teniendo en cuenta la información procedente de la función de gestión de riesgos y, si se ha constituido, del comité de riesgos. Los factores que deberían considerarse abarcan la evolución interna y externa, incluidas las variaciones de los ingresos, cualquier aumento de la complejidad del negocio de la empresa de servicios de inversión, de su perfil de riesgo o de su estructura operativa, la expansión geográfica, las fusiones y adquisiciones y la introducción de nuevos productos o líneas de negocio.

Al identificar y medir o evaluar los riesgos, las empresas de servicios de inversión deberían desarrollar metodologías apropiadas que incluyan herramientas prospectivas y retrospectivas. Las herramientas deberían incluir la evaluación del perfil de riesgo real considerando el apetito de riesgo de la empresa de servicios de inversión, así como la identificación y evaluación de exposiciones de riesgo potenciales y en situaciones de estrés en una serie de supuestos adversos teniendo en cuenta la capacidad de riesgo de la empresa de servicios de inversión. Las herramientas deberían proporcionar información sobre cualquier ajuste al perfil de riesgo que pueda requerirse. Las empresas de servicios de inversión deberían utilizar supuestos suficientemente conservadores al construir escenarios de estrés.

Las empresas de servicios de inversión deberían tener en cuenta que los resultados de las metodologías de evaluación cuantitativa, incluidas las pruebas de resistencia, dependen en gran medida de las limitaciones y los supuestos de los modelos (incluidas la gravedad y la duración de la perturbación y los riesgos subyacentes). Por ejemplo, si un modelo presenta una rentabilidad muy elevada del capital económico, ello podría deberse a una deficiencia del modelo (p. ej., la exclusión de algunos riesgos relevantes), más que a una buena estrategia o a una buena ejecución de una estrategia por parte de la empresa de servicios de inversión. Por lo tanto, la determinación del nivel de riesgo asumido no debería basarse únicamente en información cuantitativa o en los resultados de modelos, sino que también debería incluir un enfoque cualitativo (incluido el criterio de expertos y el análisis crítico). Las tendencias y los datos relevantes del entorno macroeconómico deberían considerase explícitamente para identificar su posible impacto en las exposiciones y en las carteras.

La responsabilidad de la evaluación de riesgos recae, en última instancia, exclusivamente en la empresa de servicios de inversión que, en consecuencia, debería evaluar sus riesgos de forma crítica y no basarse únicamente en evaluaciones externas.

Las empresas de servicios de inversión deberían conocer adecuadamente las limitaciones de los modelos y las métricas, y utilizar herramientas de evaluación de riesgos no solo cuantitativas, sino también cualitativas (incluido el criterio de expertos y el análisis crítico).

Además de las evaluaciones realizadas por las propias empresas de servicios de inversión, estas podrán usar evaluaciones de riesgo externas (incluidas calificaciones crediticias externas

• o modelos de riesgo adquiridos externamente). Las empresas de servicios de inversión deberían conocer adecuadamente el alcance exacto de tales evaluaciones y sus limitaciones.

Deberían establecerse mecanismos de información periódica y transparente para que el órgano de dirección, su comité de riesgos, si se ha constituido, y todas las unidades pertinentes de una empresa de servicios de inversión, reciban informes oportunos, precisos, concisos, comprensibles y coherentes, y puedan compartir información relevante sobre la identificación, medición o evaluación, vigilancia y gestión de los riesgos. El marco de información debería estar bien definido y documentado.

Una comunicación eficaz y la concienciación sobre los riesgos y la estrategia de riesgos son fundamentales para todo el proceso de gestión de riesgos, incluidos los procesos de revisión y de toma de decisiones, y contribuyen a evitar decisiones que podrían aumentar los riesgos involuntariamente. Una comunicación eficaz de los riesgos requiere una adecuada consideración interna y la comunicación de la estrategia de riesgos y de los datos relevantes sobre riesgos (p. ej., exposiciones a riesgos e indicadores clave de riesgos), tanto horizontalmente en toda la empresa de servicios de inversión, como verticalmente entre los diferentes niveles de la cadena de dirección.