12. Gestión del riesgo operativo y resiliencia operativa

Los emisores de fichas referenciadas a activos deberían contar con un marco de gestión del riesgo operativo y un marco de resiliencia operativa adecuados. Esto incluye políticas y procesos eficaces para:

• a. identificar, valorar, evaluar, supervisar, comunicar y mitigar el riesgo operativo en el momento oportuno, e
• b. identificar y protegerse de amenazas y fallos potenciales, responder y adaptarse a acontecimientos disruptivos, así como recuperarse y aprender de ellos, para minimizar su impacto en el desempeño de funciones esenciales o importantes¹³ .

¹³ BCBS Principles for Operational Resilience, marzo de 2021, https://www.bis.org/bcbs/publ/d516.pdf

El órgano de dirección de un emisor de fichas referenciadas a activos debería, como parte del marco de gestión de riesgos, aprobar estrategias, políticas y procesos para la gestión del riesgo operativo y la resiliencia operativa, incluyendo el apetito de riesgo para el marco de riesgo operativo y la tolerancia al riesgo derivado de la interrupción de funciones esenciales o importantes¹⁴ . Dichas estrategias, políticas y procesos deberían revisarse y actualizarse periódicamente, según proceda.

¹⁴ La tolerancia a la disrupción es el nivel de disrupción causado por cualquier tipo de riesgo operativo que un emisor está dispuesto a aceptar teniendo en cuenta una serie de escenarios graves pero verosímiles.

El órgano de dirección velará por que estas políticas y procesos se apliquen de manera efectiva, estén plenamente integrados en el marco general de gestión de riesgos del emisor de fichas referenciadas a activos, incluido el riesgo relacionado con el uso de entidades terceras, y se comuniquen de manera efectiva al personal pertinente.

Los emisores de fichas referenciadas a activos deberían asignar claramente las responsabilidades en relación con el sistema de evaluación y gestión del riesgo operativo y de la resiliencia operativa.

Los emisores de fichas referenciadas a activos deberían identificar sus exposiciones al riesgo operativo, hacer un seguimiento de los datos relevantes sobre dicho riesgo, incluidos los datos sobre pérdidas significativas, y realizar análisis de escenarios.

Los emisores de fichas referenciadas a activos deberían identificar sus operaciones esenciales, de forma coherente con su enfoque de resiliencia operativa, y cartografiar las personas, la tecnología, los procesos, los datos, las instalaciones, las terceras partes, incluidas las entidades intragrupo, y las interconexiones e interdependencias entre ellas que sean necesarias para la prestación de funciones esenciales o importantes en una situación de normalidad y de perturbación.

Los marcos de gestión del riesgo operativo y de resiliencia operativa deberían estar sujetos a revisiones periódicas realizadas por auditores internos o externos que posean los conocimientos necesarios para llevar a cabo dichas revisiones. El marco de gestión del riesgo operativo y el marco de resiliencia operativa deberían estructurarse con recursos humanos y técnicos suficientes y adecuados. El sistema de evaluación del riesgo operativo y el marco de resiliencia operativa de un emisor de fichas referenciadas a activos deberían estar plenamente integrados en el marco de gestión de riesgos del emisor.

Debería implantarse un sistema de comunicación de información al órgano de dirección para proporcionar informes adecuados sobre el riesgo operativo y la resiliencia operativa de las funciones pertinentes de los emisores de fichas referenciadas a activos. Dichos emisores deberían disponer de procedimientos para adoptar las medidas adecuadas sin demora, según proceda.

Los emisores de fichas referenciadas a activos deberían identificar y evaluar el riesgo operativo inherente a sus actividades, procesos y sistemas para asegurarse una comprensión adecuada de los riesgos inherentes.

Teniendo en cuenta el título I sobre la aplicación del principio de proporcionalidad, los emisores de fichas referenciadas a activos deberían identificar, analizar y medir una serie de escenarios que incluyan eventos de baja probabilidad y de gravedad elevada, algunos de los cuales podrían generar pérdidas graves por riesgo operativo. Entre los elementos del análisis de escenarios incluyen datos internos y externos pertinentes sobre pérdidas, información procedente de autoevaluaciones, el juicio de expertos, el marco de control interno, las métricas de carácter prospectivo, los análisis de la causa raíz y el marco de los procesos, según proceda. El proceso de análisis de escenarios debería utilizarse para desarrollar una serie de consecuencias de eventos potenciales, incluidas evaluaciones de impacto con fines de gestión de los riesgos, complementando otras herramientas basadas en datos históricos o evaluaciones de los riesgos actuales.

Teniendo en cuenta el título I, los emisores de fichas referenciadas a activos podrán utilizar enfoques cualitativos en su evaluación de riesgos, mientras que los emisores de fichas significativas referenciadas a activos deberían aplicar un enfoque más sofisticado, incluido, cuando esté disponible, el uso de bases de datos internas y externas de pérdidas para informar el análisis de escenarios.