Gestión de Riesgos y el Modelo de las Tres Líneas de Defensa

El Modelo de las Tres Líneas de Defensa

El modelo de las tres líneas de defensa es un sistema encargado del control y gestión de riesgos de las organizaciones, creado por ECIIA/FERMA para adaptarse a la octava Directiva de Derecho de Sociedades de la Unión Europea. Este modelo proporciona una manera sencilla y efectiva de mejorar y controlar la comunicación de la gestión de riesgos; se encarga también de asignar roles específicos y coordinar de manera efectiva para no solapar funciones ni realizar controles innecesarios. Además, está adaptado al siglo XXI, siendo fácil de comunicar, sencillo de implementar y de ágil comprensión. El modelo describe los roles desde el consejo de administración hasta la alta dirección, siendo un esquema usado por multitud de instituciones a lo largo del tiempo debido a su buen uso; además, se encuentra en constante desarrollo y mejora (incluyendo el debate sobre las 4 líneas de defensa).

Estructura de las Líneas de Defensa

• 1ª Línea de Defensa (Control interno y de gestión): Realiza la gestión operativa y se encarga del mantenimiento efectivo de los controles internos, crear y ejecutar políticas, procesos y procedimientos de la gestión de riesgos y asegurar que las actividades sean compatibles con las metas y objetivos. Esta primera línea depende jerárquicamente de la Dirección General.
• 2ª Línea de Defensa (Gerencia de riesgos y cumplimiento): Engloba las funciones de gerencia de riesgos, cumplimiento, seguridad, calidad, etc. Facilita y controla el desarrollo de prácticas de gestión de riesgo eficaces por parte del control interno, además del establecimiento de los sistemas de información de la organización. Esta segunda línea depende jerárquicamente de la Dirección General.
• 3ª Línea de Defensa (Auditoría interna): La auditoría interna, desde un enfoque basado en el riesgo, proporcionará al órgano de gobierno el control y la garantía sobre la eficacia del gobierno, de la gestión de riesgos y del control interno, con el más alto nivel de independencia y objetividad de la organización. Esta línea depende del órgano de gobierno o del consejo de administración.

Conceptos Clave en la Gestión de Riesgos

Apetito por el Riesgo

Es la cantidad o tipo de riesgo que una organización está dispuesta a buscar o retener, interpretándolo también como una referencia en el establecimiento de una estrategia. Permite que la dirección asigne los recursos según las necesidades que vayan apareciendo, alineando los riesgos con la toma de decisiones de la organización, de los trabajadores, de los procesos y de las infraestructuras. Por lo tanto, el apetito por el riesgo nos muestra el equilibrio entre crecimiento, riesgo y retorno.

Tolerancia al Riesgo

Se entiende como la capacidad de riesgo que una organización o partes interesadas tienen para soportar el riesgo después de un proceso de tratamiento del mismo. Cabe destacar que el riesgo debe ser medido en las mismas unidades que las metas y objetivos de la empresa.

Capacidad de Riesgo

Se entiende como la cantidad total de riesgo que una empresa puede soportar. Si el riesgo supera el riesgo máximo permitido de una empresa, se encontrarán problemas que impidan la continuación de la actividad económica.

Técnicas Cualitativas de Evaluación

La evaluación cualitativa emplea formas o escalas descriptivas para definir la magnitud de las consecuencias potenciales y las posibilidades de que estas ocurran. Su objetivo es identificar y evaluar riesgos, causas y efectos.

Tipos de Medición

1. Medición nominal: Consiste en agrupar los posibles eventos en categorías. Los datos numéricos no podrán ser ordenados, ya que son solo un método de identificación.
2. Medición ordinal: Consiste en ordenar los posibles eventos según su grado de importancia. La dirección puede determinar si el elemento 1 es más importante que el 2 o no.

Características Principales

• Son tratamientos categóricos o descriptivos de la información (evaluación objetiva y subjetiva).
• Se lleva a cabo cuando no se dispone de datos numéricos, recursos o tiempo suficiente.
• Calidad de evaluaciones: Depende del conocimiento de las personas implicadas y la comprensión de los acontecimientos posibles.
• Requiere un profundo conocimiento del contexto.
• Puede ser un primer paso en la evaluación del riesgo, determinando si es necesario realizar posteriormente una evaluación cuantitativa.

Técnicas y Herramientas

• Autoevaluación: Talleres grupales, cuestionarios, workshops, etc.
• Causa-origen vs. Efecto-consecuencia: DAFO, diagrama causa-efecto, diagrama de flujos, árboles de eventos, AMFE (Análisis Modal de Fallos y Efectos) y Bow-tie.
• Impacto vs. Probabilidad: Evaluación no matricial, mapas de calor, matriz de riesgos, etc.