El escudo protector contra los riesgos penales

De drcha. a izq., D. Francisco José Álvarez Benítez, responsable de la Sección de Derecho Penal del Ilustre Colegio de la Abogacía de Málaga (España), y el que te escribe
Fuente de la imagen: Abogacía de Málaga en su muro de X

En el marco del curso de Derecho Penal Económico y Compliance del Ilustre Colegio de la Abogacía[1] de Málaga (M. Velasco, 2024)[1], y después de la clase magistral sobre el sistema de penas de las personas jurídicas, impartida por la Ilma. Sª Dña. Lourdes García Ortiz, presidenta de la Audiencia Provincial de Málaga, me tocó instruir sobre la gestión de los riesgos penales y el papel de la abogacía penalista. Entre el atento alumnado, se encontraba Carlos, al que ya le impartí clase de Derecho Administrativo el año pasado en el Máster de Abogacía y Procura (M. Velasco, 2024)[2]. El mensaje sobre el que intenté que fuera el hilo conductor de la ponencia fue el de la prevención de los riesgos penales como inversión estratégica por parte de la empresa y como actividad profesional de la abogacía. Y es que la razón de ser de los abogados y abogadas, al menos en mi ámbito territorial de actuación, tradicionalmente ha estado ligada a las acciones correctivas, es decir, de defensa en el proceso penal, a modo de bombero que intenta apagar el fuego, pero para nada respecto a acciones preventivas, por lo que, en mi opinión, debe evolucionar hacia un papel de prevención, argumentando, en caso necesario, la importancia de ese enfoque a los cuadros directivos de la organización. Menos bombero y más escudo protector contra riesgos penales.

De drcha. a izq., D. Francisco José Álvarez Benítez, responsable de la Sección de Derecho Penal del Ilustre Colegio de la Abogacía de Málaga (España), y el que te escribe
Fuente de la imagen: Carlos en su muro de Linkedin

Esto no quiere decir que deje a un lado la defensa penal, acción esencial cuando un riesgo ya se ha materializado, pero desde hace más de una década (M. Velasco, 2010)[3], promociono la doctrina que entiende la prevención como un modelo de negocio más interesante, lucrativo y con un porrón de beneficios colaterales para la empresa, entre los que se encuentra la exención o atenuación de la responsabilidad penal de la persona jurídica. ¿Por qué? Porque si prevengo los riesgos de la mercantil, si soy abogado de empresa, o del cliente, propicio que la entidad a la que asesoro se anticipe al riesgo, pero si me limito al rol tradicional de defensa cuando el desajuste penal ya se ha registrado, aunque gane el pleito no se evita la tensión, el perjuicio reputacional o el coste de todo el procedimiento. Y si eso puede ser importante, hay más cuestiones que también lo son, por ejemplo, la ayuda que supone un sistema de gestión de riesgos en el cumplimiento del ordenamiento jurídico aplicable, disminuyendo la probabilidad de los delitos y fomentando una cultura empresarial de cumplimiento, por no hablar de prosperidad de los procesos, robustecimiento de la relación con terceras partes o la mejora de la imagen. A continuación te dejo un video con la introducción al tema, alojado en mi canal de Youtube. Fuente de la imagen:  Abogacía de Málaga y Carlos.

________________________

[1] Velasco-Carretero, Manuel (2024). Análisis práctico de los delitos económicos relevantes. Sitio visitado el 09/01/2025.

[2] Velasco-Carretero, Manuel (2024). Comunicaciones sencillas y asequibles. Sitio visitado el 09/01/2025.

[3] Velasco-Carretero, Manuel (2010), Importancia de un programa de cumplimiento. Sitio Compliance. Visitado el 9/1/2025.

¡El Catastrophe Data Hub ya está aquí!

Fuente de la imagen: mvc archivo propio

En la conferencia europea sobre Finanzas Sostenibles 2023, la Autoridad Europea de Seguros y Pensiones de Jubilación (EIOPA)[1], ha presentado un Centro de datos sobre catástrofes, el Catastrophe Data Hub, colección de código abierto de datos sobre riesgos de catástrofes a nivel europeo. Y es que, a medida que aumentan las temperaturas globales y evoluciona la naturaleza de las amenazas, se espera que dichas pérdidas aumenten en los próximos años. Igualmente, esto también aumenta la probabilidad de que la ya importante brecha de protección del seguro se amplíe aún más. Proporciona datos a nivel europeo sobre pérdidas aseguradas para tres eventos diferentes: el incendio forestal de 2017 en Portugal, las inundaciones de junio de 2013 y la tormenta de viento Ciara de 2020, así como datos de exposición a catástrofes naturales por tormentas de viento e inundaciones.

Los datos servirán a los usuarios como una fuente de información para que los supervisores comprendan el tamaño y la gravedad de la exposición de los seguros y las pérdidas por catástrofes naturales, al tiempo que evalúan las calibraciones de los requisitos de capital y cuantifican la brecha de protección de los seguros. Además, los datos serán útiles para la estabilidad financiera y los análisis de supervisión. También, el sector asegurador puede beneficiarse del acceso a los datos de pérdidas y tener una visión completa del mercado. Esto fomentará un mayor desarrollo de modelos de catástrofes. Finalmente, los políticos podrán tomar medidas de prevención adecuadas y los académicos desarrollar modelos y estudios independientes sobre el aumento de pérdidas por cambio climático. Fuente de la información: EIOPA. Fuente de la imagen: mvc archivo propio.

_________________________

[1] Recopilar y permitir más y mejores datos sobre pérdidas y riesgos relacionados con el clima es parte de las actividades de EIOPA como centro de excelencia para la modelización de catástrofes y datos.

El que no lava platos tampoco rompe platos

Fuente de la imagen: mvc archivo propio

Algunas de las personas que me rodean dicen que tengo una mente un tanto especial. Por la confianza y gratitud que me une, les respondo que si fuera tan especial estaría “forrado de billetes”. Bromas aparte, hace poco tiempo que aprendí a convivir con ella y aceptarla tal y como es, porque reconozco que en muchas ocasiones no entendía el por qué de lo que decidía o expresaba, cuando menos lo esperaba; como aquella vez, en el ámbito de la tartamudez que te referencié en “Yo tampoco me callé y ahora me alegro de ello”[1], cuando el profesor preguntó sobre un tema que presuntamente el impúber sabía pero, como también intuía su discapacidad verbal, decidió estar callado, pero, de pronto, observó aterrorizado como su mano derecha se levantaba solicitando la palabra ¡Tierra Trágame! A lo que el docente, con cara de conformista, dijo: ¡Vamos Velasco, habla! (Muchas Gracias, querido profe, por tu infinita paciencia conmigo).

Te cuento lo anterior porque el otro día, mientras escuchaba una crítica sobre el presumible error de un perfil profesional en el ejercicio de sus funciones en su puesto de trabajo, sin darme cuenta y de sopetón va la mente y suelta el dicho refranero “El que no lava platos seguro que jamás romperá un plato”. Y es que la mente, en una centésima de segundo o menos, calló en la cuenta que el susodicho, que presuntamente había tropezado, estaba “haciendo cosas” en un entorno excepcional o sensible y en proceso continuo de toma de decisiones en función de prioridades, conforme a la catalogación incesante de las situaciones en base a cuadrantes como la tabla de Eisenhower (urgente, importante…) y matrices como la de gestión de riesgos (inherentes, tolerables…), no buscando la perfección pero sí la efectividad (esa armonía entre eficacia y eficiencia) y, obviamente, corriendo el riesgo de “romper más de un plato”.

____________________________

[1] Velasco Carretero, Manuel. Yo tampoco me callé y ahora me alegro de ello. 2018. Sitio visitado el 02/06/2023.

¿Y si tengo un accidente mientras teletrabajo?

Fuente de la imagen: mvc archivo propio

Si eres follower de este sitio, conoces que el término teletrabajo ha estado presente en varias ocasiones. Textos como “Vuelta de tuerca a la regulación del teletrabajo”[1], “Impacto de la Ley española Teletrabajo en las TIC”[2] o el explícito y visitado "Teletrabajo"[3] son buena prueba de ello. Incluso tengo editado un videotutorial, alojado en el canal de Youtube, bajo el título “Comentarios a la ley de teletrabajo española”, donde sintetizaba el Real Decreto Ley (RDL) que regula en mi país el trabajo a distancia, tema que referencié en el sitio Educación, Formación y Empleo, texto “Regulación del teletrabajo en España”[4]. Uno de las cuestiones no pacíficas en lo jurídico y necesario reglamentar eficazmente en el ordenamiento jurídico aplicable es el relativo a los accidentes laborales. En las ponencias, cursos y mesas redondas en las que he participado, una de las preguntas estrella ha sido: ¿Qué pasa si me accidento mientras voy a la cocina a prepararme un café o al cuarto de baño?

Pues bien, informa el Consejo General del Poder Judicial español (CGPJ), que el titular del Juzgado de lo Social nº3 de Santander, ha declarado accidente laboral la caída en casa de un teletrabajador que realizó una pausa en su jornada laboral para ir a por agua, se tropezó, cayó al suelo y se cortó una mano con el cristal de una puerta[5]. El magistrado estima la demanda del trabajador, que sigue de baja por contingencia de accidente no laboral, ya que no se le ha reconocido que este sea de trabajo. Entiende el titular del Juzgado que “el incidente acaeció en tiempo y lugar de trabajo” y que si “hubiera acontecido en una empresa no habría existido siquiera un expediente judicial al respecto, no habría duda alguna”. Como tuvo lugar en el domicilio del trabajador, tanto la mutua demandada como el Instituto Nacional de la Seguridad Social han argumentado que no se ha demostrado que se encontrara en un descanso y que podría haber sucedido por estar realizando una labor doméstica.

No obstante, el magistrado señala que “se compartiría el criterio de las demandadas si la caída hubiera sucedido fuera de la jornada laboral pero ciertamente la caída ocurrió en medio de la jornada de trabajo”[6]. “El hecho de que el trabajador fuera a por agua o lo que fuera –continúa-, no empaña la tozuda realidad de que se cayó en medio de la jornada laboral”. Y añade que “no es tan relevante si fue en medio de un descanso, porque si se hubiera caído al ir al baño, la respuesta jurídica sería la misma, salvo que se pretenda que un teletrabajador no acuda al baño durante seis horas seguidas”. En definitiva, “no es posible hacer de peor condición a un teletrabajador que a un trabajador ordinario”. Finalmente, recuerda el magistrado que el demandante siempre ha mantenido la misma versión y que el registro informático de su actividad laboral demuestra que estaba prestando servicios, salvo el pequeño descanso que tomó en la jornada laboral. Fuente de la información: CGPJ. Fuente de la imagen: mvc archivo propio.

_______________________

[1] Velasco Carretero, Manuel. Vuelta de tuerca a la regulación del teletrabajo. 2020. Sitio visitado el 06/04/2023.

[2] Velasco Carretero, Manuel. Impacto de la Ley española Teletrabajo en las TIC. 2020. Sitio visitado el 06/04/2023.

[3] Velasco Carretero, Manuel. Teletrabajo. 2009. Sitio visitado el 06/04/2023.

[4] Velasco Carretero, Manuel. Regulación del teletrabajo en España. Sitio Educación Formación y Empleo. 2020. Visitado el 06/04/2023.

[5] La sentencia no es firme, ya que contra la misma cabe interponer recurso de suplicación para su resolución por la Sala de lo Social del Tribunal Superior de Justicia de Cantabria.

[6] Tras la caída, la ambulancia fue avisada y llegó a las 19:49 horas, para su traslado al hospital, donde fue atendido por un corte en la mano a nivel palmar.

A vueltas con la gestión de riesgos

Fuente de la imagen: mvc archivo propio

En el texto “Hacia una cultura de gestión de riesgos”[1], referenciaba la publicación que realicé en el Sitio Compliance, bajo el título "Política de gestión de riesgos"[2], para poner en valor que el cometido de riesgos incluye métodos y procesos utilizados en las instituciones públicas y privadas para gestionar los riesgos, lo que implica identificar circunstancias riesgosas relevantes para los objetivos de la organización, evaluándolas en términos de probabilidad y magnitud del impacto, determinando una estrategia de réplica y evaluación continua del proceso seguido, utilizando para ello herramientas que posibiliten afrontar el riesgo a través de una adecuada identificación, análisis y evaluación[3].

Te cuento lo anterior porque parte de la tarde del miércoles la dediqué a tutorías de trabajos fin de curso (TFC) de alumnado proveniente del curso de Derecho Penal Económico y Compliance, que te referencié en textos como “Un máquina en reseña de jurisprudencia”, “Departiendo sobre Criminal Compliance” o “Se me nota la cara de felicidad”[4], quedándome gratamente sorprendido del nivel de dichos desarrollos prácticos, tanto en el fondo como en la forma, felicitando, también, la capacidad de aplicación práctica del marco teórico explicado en clase y la profesionalidad del claustro docente. Les recordaba a los tutorizados la trascendencia de que toda institución disponga de una política de gestión de riesgos.

Si eres follower del Sitio Compliance, sabes la importancia que le doy a la concienciación de los órganos de gobierno y la dirección ante la implantación de modelos de gestión de compliance, planes antifraude, antisoborno... y todo lo relativo al cumplimiento normativo[5]. Entre otras materias, esta política deberá abarcar asuntos desde la respuesta al por qué de la gestión de riesgos hasta el establecimiento de un sólido compromiso, pasando por una asignación presupuestaria o asignación de responsabilidades a los perfiles profesionales implicados. A continuación, te dejo un vídeo tutorial alojado en el canal de Youtube, con la explicación de un ejemplo de cálculo de riesgos.

____________________

[1] Velasco Carretero, Manuel. Hacia una cultura de gestión de riesgos. 2022. Sitio visitado el 26/01/2023.

[2] Velasco Carretero, Manuel. Política de gestión de riesgos. Sitio Compliance. 2013. Visitado el 26/01/2023.

[3] Mediante parámetros, métricas y otros estados estadísticos y comparativos.

[4] Velasco Carretero, Manuel. Un máquina en reseña de jurisprudencia (2022), Departiendo sobre Criminal Compliance (2022), Se me nota la cara de felicidad (2022). Sitios visitados el 26/01/2023.

[5] Estableciendo los fines y objetivos y consolidándose el compromiso por la gestión de riesgos.

Al César el reconocimiento de la descatalogación

Fuente de la imagen: mvc elaboración propia a partir de la interpretación de los flujogramas de procesos de gestión de riesgos de las ISO 31000:2009 y 31000:2018.

En el marco de formación de postgrado, una participante me ha "tirado de la oreja" porque sigo referenciando en las clases, vídeos y tutorías, el flujograma de la ISO 31000:2009 relativo al proceso de gestión de riesgos, cuando esta norma se encuentra descatalogada y sustituida por la ISO 31000:2018. Y tiene toda la razón, puesto que, en ocasiones, me apoyo en textos que he editado con anterioridad a 2018, junto a que del flujograma desfasado solo me centro en lo relativo al contexto, la identificación, el análisis y la evaluación de riesgos, dejando a un lado el procesamiento, que lo integro en otros apartados.

Pero "al César el reconocimiento de la descatalogación". En el Sitio Compliance, bajo el explícito título “ISO 31000:2018 Gestión de Riesgos”[1] confesaba que en más de una ocasión había referenciado en el sitio la ISO 31000:2009 Gestión de Riesgos[2]. Textos como “Evaluación de riesgos”, “Principios de la gestión de riesgos”, “Qué es la gestión de riesgos” o “A vueltas con la gestión de riesgos”[3], son prueba de ello. Pues bien, en 2018 informaba ISO[4] de los trabajos de formulación de la nueva ISO 31000, de fecha 2018 (ISO 31000:2018), que obviamente anulaba y sustituía a la ISO 31000:2009, la cual fue revisada técnicamente.

Apuntaba ISO los cambios recogidos en la nueva edición de la 31000, que iban desde la revisión de los principios de la gestión del riesgo, hasta la simplificación del contenido, con un mayor enfoque en mantener un modelo de sistemas abiertos[5], pasando por la puesta en valor de todo lo relativo al liderazgo de la alta dirección y la integración de la gestión del riesgo[6], o el énfasis en la naturaleza iterativa de la gestión del riesgo, señalando que las nuevas experiencias, el conocimiento y el análisis pueden llevar a una revisión de los elementos del proceso, las acciones y los controles en cada etapa del proceso.

En cuanto a la norma en sí, el comité encargado de la revisión y conformación de la nueva edición, seguía insistiendo en que la gestión del riesgo es parte de todas las actividades asociadas con la organización, incluyendo la interacción con las partes interesadas y considerando los contextos externo e interno, incluido el comportamiento humano y los factores culturales. Basada en los principios, el marco de referencia y el proceso[7], estos componentes podrían existir previamente en toda o parte de la organización, sin embargo, podría ser necesario adaptarlos o mejorarlos para que la gestión del riesgo sea eficiente, eficaz y coherente.

Finalmente, ISO incide en la "iteración" de la gestión del riesgo, más que en la secuenciación, en el sentido de repetir el proceso cuantas veces sea necesario hasta alcanzar el objetivo, y su asistencia a las entidades a establecer su estrategia, lograr sus objetivos y tomar decisiones informadas, formando parte de la gobernanza y el liderazgo y siendo primordial en la manera en que se gestiona la organización en todos sus niveles, lo que indudablemente favorece la mejora de los sistemas de gestión. Fuente de la información: ISO. Fuente de la imagen: mvc archivo propio, realizado interpretando los flujogramas de las ISO 31000:2009 y 31000:2018.

____________________

[1] Velasco Carretero, Manuel. ISO 31000:2018 Gestión de Riesgos. Sitio Compliance. 2018. Visitado el 13/12/2018

[2] International Standarization Association ISO 31:000:2009. Risk management. Principles and guidelines. 2009.

[3] Velasco Carretero, Manuel. Evaluación de riesgos (2013), Principios de la gestión de riesgos (2012), Qué es la gestión de riesgos (2017), A vueltas con la gestión de riesgos (2012). Sitio Compliance. Visitados el 13/12/2022.

[4] International Standarization Association.

[5] Para adaptarse a múltiples necesidades y contextos

[6] Comenzando con la gobernanza de la organización.

[7] Que se recogen en los capítulos 4, 5 y 6 de la norma.

Del análisis a la evaluación de la incertidumbre

Fuente de la imagen: mvc archivo propio

En “Método, lógica y razón en la identificación”[1] te he refrescado lo concerniente a la identificación de riesgos en el marco del cumplimiento normativo y esta mañana he pensado reforzarte lo relativo al análisis y evaluación de la incertidumbre detectada, tipificada y clasificada en la fase identificativa. Para ello me apoyaré en dos textos editados en el sitio Compliance. El primero bajo el explícito título “Análisis de riesgos”[2]. Conforme a la doctrina fijada por el Ministerio de Hacienda y Administraciones Públicas del Gobierno de España (MHyAAPP)[3], el análisis de riesgos permite determinar cómo es, cuánto vale y cómo de protegido se encuentra el sistema. En coordinación con los objetivos, estrategia y política de la organización, las actividades de tratamiento de los riesgos permiten elaborar un plan de seguridad que, implantado y operado, satisfaga los objetivos propuestos con el nivel de riesgo que acepta la entidad jurídica. Al conjunto de estas actividades se le denomina Proceso de Gestión de Riesgos (PGR), que se utiliza para analizar las posibilidades y consecuencias de cada situación riesgosa detectada en el proceso de identificación de riesgos, determinando qué componentes de riesgos pueden afectar en mayor medida a la entidad y, por derivación, deben ser tenidos en cuenta de manera especial. Al igual que con la identificación de riesgos, en el análisis de riesgos debe utilizarse una metodología previamente definida y consensuada o aprobada por la dirección. Existen distintos métodos que la doctrina los clasifica en cualitativos, cuantitativos y mixtos.

Los métodos cualitativos se basan en la experiencia, el conocimiento y la percepción o intuición y son los más utilizados por las personas jurídicas. Las herramientas de campo que se manejan en esta tipología van desde informes y dictámenes de expertos o peritos en la materia objeto de análisis, hasta entrevistas personales, cuestionarios o las tradicionales tormentas de ideas. Por el contrario, los cuantitativos se basan en el cálculo de riesgo mediante la asignación previa de valores[4]. Finalmente, los mixtos se conforman mediante un “coupage” de los cualitativos y cuantitativos[5]. El procedimiento de análisis de riesgos dependerá de la envergadura del proyecto, así como de los recursos puestos a disposición, pero existen unos hitos básicos que conforman el proceso general. Una vez reconocidos y tipificados o clasificados los riesgos en la fase de identificación propiamente dicha, se procede a la conformación de una respuesta o soluciones para cada riesgo, que posibilite un amortiguamiento, moderación o mitigación de la incertidumbre. De forma paralela, se va apreciando aquellas situaciones que, por el contrario, pueden generar un incremento de que el riesgo se produzca, que aceleren su materialización. A partir de aquí, supuestamente se poseerá un enfoque más cercano a la realidad, nueva perspectiva que probablemente afecta a la clasificación y calificación previamente realizada, por lo que habrá de proceder al recálculo de riesgos conforme a las herramientas cualitativas o cuantitativas utilizadas.

En cuanto a la evaluación de riesgos, en el segundo texto, “Evaluación de riesgos”[6], apuntaba que después del proceso de análisis de riesgos[7], a continuación, se describe lo que entendemos por evaluación de riesgos en el marco del compliance. Identificados los riesgos y tamizados estos, es decir, acercados a la realidad de la institución y estimados, trabajo realizado en la fase de análisis, el siguiente paso consiste en valorar qué acciones aplicamos para reducir aquellos riesgos inherentes hasta márgenes tolerables[8]. Dependiendo de la estrategia de atenuación o reducción del valor del riesgo, este se deberá reducir hasta el margen de lo tolerable o residual. De entre los caminos decisorios, se encuentra la aceptación del riesgo tal y como es, asumiendo las consecuencias en caso de que se materialice esa incertidumbre ¿Por qué? Por ejemplo, porque no exista un “antídoto” que lo atenúe o si existe no puede ser asumido por causas económicas. En caso de que no exista antídoto[9], sugiero a la entidad jurídica que se valore la posibilidad de eliminar la actividad, proceso o tarea que origina esa incertidumbre y, caso de que no pueda ser anulada, entonces evaluar otras opciones. Otra vía podría ser cubrir el riesgo con una póliza de seguro, de forma que, si se registra la incidencia, se active la cobertura contratada con la compañía de seguros. Igualmente, la entidad puede incorporar ajustes, correcciones…[10] La finalidad de las estrategias de evaluación de riesgos no es otra que la ubicación de los riesgos inherentes en la zona de los tolerables, mediante efectivas medidas de gestión y control de riesgos.

____________________

[1] Velasco Carretero, Manuel. Método, lógica y razón en la identificación. 2022. Sitio visitado el 11/12/2022.

[2] Velasco Carretero, Manuel. Análisis de riesgos. 2013. Sitio Compliance. Visitado el 11/12/2022.

[3] Amutio Gómez, Miguel Ángel y otros. MAGERIT – versión 3.0 Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información. Ed. Centro de Publicaciones del Ministerio de Hacienda y Administraciones Públicas. 2012.

[4] Numerales, ratios, probabilidades…

[5] Por ejemplo, asignar a cualidades subjetivas valoraciones de alto, medio o bajo.

[6] Velasco Carretero, Manuel. Evaluación de riesgos. 2013. Sitio Compliance. Visitado el 11/12/2022.

[7] Apoyándonos en las orientaciones de la ISO 31000:2009. Gestión de Riesgos.

[8] Conocido también como zona donde habitan los riesgos residuales.

[9]  O no se pueda sumir económicamente el “arreglo”.

[10] en definitiva, motu proprio medidas que atenúen el valor de ese riesgo alto o medio y lo trasladen a niveles tolerables o residuales.

Método, lógica y razón en la identificación

Fuente de la imagen: mvc archivo propio

Esa reflexión es la que le traslado al alumnado de gestión de riesgos: método, lógica y razón en la identificación de los riesgos penales. En el sitio Compliance, texto “Identificación de riesgos”[1], apuntaba que estudiado el contexto de la entidad jurídica, donde se ha conocido de manera pormenorizada la organización, así como del entorno comercial, legal, cultural… en la que esta interactúa, el siguiente paso lo constituye una identificación metodológica de los riesgos que, como incertidumbres, pueden hacer peligrar los objetivos empresariales o institucionales. Para ello, el conocimiento previo de la organización posibilitará la localización de los espacios organizativos propicios a forjar situaciones riesgosas o amenazantes a la consecución de los fines de la institución. A título orientativo, las fuentes de riesgos pueden encontrarse en los procedimientos administrativos, las personas, los proveedores, los clientes, la tecnología utilizada, la normativa de aplicación, la situación política global, regional o local, etc.

Esta identificación de riesgos se debe realizar conforme a una metodología o sistemática[2]. Por ejemplo, utilizando el conocido como análisis DAFO, donde se enumeran las fortalezas y oportunidades y, lo que nos interesa, las amenazas y debilidades. La matriz DAFO muestra el conjunto de factores DAFO: Debilidades, Amenazas, Oportunidades y Fortalezas. El análisis DAFO se divide en dos partes: interno, fortalezas y debilidades, y externo, amenazas y oportunidades. En la fase interna se realiza una fotografía de la situación de la entidad jurídica considerando sus fortalezas y sus debilidades. En la fase externa, tanto las amenazas como las oportunidades pertenecen al mundo exterior a la entidad jurídica, pero deberían ser tenidas en cuenta bien para superarlas, en el caso de las amenazas, o bien para aprovechar las oportunidades que brinda el mercado exterior. Realizado el análisis, es necesario definir una estrategia que lleve a potenciar las fortalezas, superar las debilidades, controlar las amenazas y beneficiarse de las oportunidades. 

Con los resultados obtenidos, la entidad jurídica puede establecer aquellas estrategias más convenientes para la consecución de sus objetivos. Si se relacionan las fortalezas con las amenazas, concerniendo los puntos fuertes internos para contrarrestar las amenazas externas, se está diseñando una estrategia defensiva. Correspondiendo debilidades con oportunidades, se modifican algunas pautas de conductas relacionadas con las debilidades para aprovechar oportunidades. Igualmente, conjugando debilidades con amenazas se relacionan los puntos débiles internos con los externos para conocer la situación de la entidad respecto de la competencia. Finalmente, cuando tenemos detectados los riesgos, procedemos a la tipificación o clasificación de estos en función de criterios lógicos y razonados. Por ejemplo: tecnológicos, laborales, financieros, comerciales, políticos… y siempre teniendo presente que cada persona jurídica es “un mundo en sí misma” Por tanto, en identificación de riesgos, hay que aplicar mucha metodología, lógica y raciocinio. Fuente de la imagen: mvc archivo propio.

_______________________

[1] Velasco Carretero, Manuel. Identificación de riesgos. Sitio Compliance. 2011. Visitado el 10/12/2022.

[2] DAFO, cuestionarios, entrevistas, análisis de los procedimientos reuniones…

En gestión de riesgos no empezar la casa por el tejado

Fuente de la imagen: mvc archivo propio

Por motivos de agenda, parte de la tarde del jueves, festivo en mi país, la pasé revisando trabajos de gestión de riesgos remitidos por el respetado alumnado. Aprovecho la experiencia para sonsacar una temática que contarte en esta fría mañana de viernes, relacionada con los caminos a seguir a la hora de acometer una identificación, análisis, evaluación y procesamiento de riesgos penales, en el marco del cumplimiento de la normativa penal en mi país. En el Sitio Compliance, texto “De las operaciones a las infracciones”[1] apuntaba que a la hora de afrontar una analítica de riesgos penales, hay que interpretar adecuadamente al legislador español, cuando escribe que “los modelos de organización y gestión para prevenir riesgos penales deberán identificar las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos”, se suele incurrir en el craso error de “empezar la casa por el tejado”.

Y es que corremos rápidamente a por la lista de delitos en los que puede incurrir una persona jurídica y uno a uno se somete a la organización a farragosos cuestionarios, entrevistas, investigaciones… que, además de la carga de trabajo del oficial de cumplimiento o asesor externo en implantación de compliance, genera cierto “hartazgo” por “parte de las partes”, cuando no desorientación e incomprensión, con cuestiones del tipo ¿por qué me someten a un cuestionario de preguntas sobre tráfico ilegal de órganos humanos si la actividad de la empresa es de venta de “chuches”?[2] Para evitar lo anterior, sugiero otro camino que, reconociendo que no está exento de “piedras”, es más efectivo y menos traumático: centrarse en el objeto u objetos sociales de la entidad jurídica, sus negocios, operaciones empresariales o actividades institucionales y, a partir de ahí, seleccionar los riesgos objeto de análisis[3].

Recordemos la legislación: “identificarán las actividades”. Por tanto ¿A qué se dedica la entidad jurídica? ¿Cuáles son sus operaciones empresariales o institucionales? ¿Qué actividades, procesos, tareas… lleva a cabo? La respuesta a estas cuestiones nos llevará más rápido a la decisión de “Aplica” o “No aplica” cada infracción recogida en el ordenamiento jurídico penal y centrarnos en lo importante u objeto de análisis pormenorizado en materia de riesgos. Finalmente, en mi matriz de riesgos de cada institución, además de los riesgos penales, incorporo lo que denomino “riesgos no penales” (administrativos, errores de gestión interna…), porque en más de una ocasión he detectado que un desajuste no penal puede derivar en una infracción penal. A continuación te inserto un tutorial acerca de esta cuestión, que forma parte de la lista de reproducción alojada en el canal de Youtube. Fuente de la imagen: mvc archivo propio.

__________________________

[1] Velasco Carretero, Manuel. De las operaciones a las infracciones. Sitio Compliance. 2016. Visitado el 09/12/2022.

[2] ¿O por qué me preguntan por cuestiones relativas a la energía nuclear si la institución donde trabajo se dedica al asesoramiento fiscal?

[3] La importancia del contexto.

Cobertura riesgos en las operaciones de venta

Fuente de la imagen: mvc archivo propio

En el texto “Modo pedagógico en comercio internacional”[1], te comentaba la oportunidad de coordinar un equipo de elaboración de contenidos para un producto formativo en el marco del curso Técnico Superior en Comercio Internacional, de Formación Profesional Reglada. Dentro del módulo Financiación Internacional, la tarde del miércoles la pasé leyendo el borrador del tema relativo a la selección de la cobertura adecuada de los posibles riesgos en las operaciones de venta, trabajando los riesgos en las operaciones de comercio internacional; el contrato de seguro de crédito a la exportación; la Compañía Española de Seguros de Crédito a la Exportación (CESCE); modalidades de pólizas para ventas-exportaciones a corto plazo; tipos de pólizas para ventas internacionales a medio y largo plazo; proceso de contratación del seguro de crédito y el procedimiento de declaración de siniestros e indemnización por daños.

Estudiado estos contenidos, el alumnado deberá estar en condiciones de saber identificar los riesgos más habituales en las operaciones de comercio internacional; identificar los principales mecanismos, públicos y privados, para la cobertura de riesgos en las operaciones internacionales; caracterizar el contrato de seguro de crédito a la exportación, analizando las operaciones asegurables, la prima y las entidades que intervienen en el contrato. También, describir las funciones y competencias de la CESCE, evaluar las distintas modalidades de pólizas de seguro, analizando las condiciones, los riesgos que cubren, el ámbito de aplicación y el coste de la prima; preparar la documentación que se requiere para la gestión y contratación de póliza y establecer el procedimiento de actuación en caso de siniestro e indemnización por daños. Te dejo un vídeo tutorial de presentación, alojado en mi canal de Youtube. Fuente imagen: mvc archivo propio.

_____________________________

[1] Velasco Carretero, Manuel. Modo pedagógico en comercio internacional. 2022. Sitio visitado el 14/07/2022.

Gestión de riesgos sencilla, lógica y práctica

Fuente de la imagen: trapezemike en pixabay

Parte de la tarde del martes la pasé re-hojeando las herramientas facilitadas por la Unión Europea (UE) para elaborar planes antifraude. Una de ellas viene desde mediados de la anterior década, que referencié en el sitio Compliance, bajo el explícito título “Orientaciones para la evaluación del riesgo de fraude”[1] y medidas efectivas y proporcionadas contra el fraude, dirigidas por la Comisión Europea (CE) a los Estados miembros y las autoridades responsables de los programas relacionados con los Fondos Estructurales y de Inversión Europeos. En su momento, la CE pretendía ofrecer una serie de directrices y recomendaciones para las Autoridades de Gestión (AG), relativas a la aplicación del artículo 125, apartado 4, letra c)[2] del Reglamento (UE) n ° 1303/2013[3], según el cual las AG debían poner en marcha medidas efectivas y proporcionadas contra el fraude, teniendo en cuenta los riesgos que se hubieran detectado. Asimismo, con ese documento la CE pretendía ofrecer orientación a la Autoridad de Auditoría (AA) sobre la verificación del cumplimiento del art. 125 por parte de la AG, recomendando que se amparase un planteamiento proactivo, estructurado y específico para gestionar el riesgo de fraude, adoptando medidas proactivas y proporcionadas contra el fraude que ofrecieran una relación satisfactoria entre coste y eficacia. Todas las AG debían comprometerse con la tolerancia cero al fraude, comenzando con la adopción de una actitud adecuada desde los puestos de mayor responsabilidad. 

Ciertamente, una evaluación del riesgo de fraude correctamente orientada, junto con un compromiso firme de lucha contra el fraude comunicado con toda claridad, puede constituir un mensaje inequívoco para los posibles defraudadores. Igualmente, unos sistemas de control sólidos y eficaces pueden reducir considerablemente el riesgo de fraude; sin embargo, coincido con la CE en que tales sistemas no pueden eliminar completamente el riesgo de que el fraude se produzca o de que no se detecte. Para la CE, los sistemas deben garantizar la existencia de procedimientos de detección del fraude y la adopción de las medidas adecuadas cuando se detecta la existencia de posibles casos de fraude. Esas orientaciones pretendían constituir una guía paso a paso para abordar cualquier tipo de fraude que pudiera seguir existiendo después de haber puesto en marcha eficazmente otras medidas de buena gestión financiera. No obstante, el objetivo fundamental de las disposiciones reglamentarias era establecer una gestión del riesgo de fraude que tuviera una relación satisfactoria entre el coste y la eficacia, poniendo en marcha medidas efectivas y proporcionadas contra el fraude, lo que en la práctica significaba adoptar un planteamiento específico y adaptado a cada programa y a cada situación. La herramienta de autoevaluación del riesgo de fraude que se facilitaba como anexo a la norma, podía usarse para evaluar el impacto y la probabilidad de los riesgos de fraude más frecuentes[4]. 

La AG debía centrar su objetivo operativo en una respuesta ante el fraude proporcionada a los riesgos existentes y adaptada a las situaciones concretas que existían en la entrega de los Fondos en cada programa o región. En particular, una vez realizada la evaluación del riesgo y puestos en marcha los controles atenuantes en el nivel del sistema, se recomendaba a las autoridades de gestión que abordaran las situaciones concretas que podían originarse durante la ejecución de las operaciones, desarrollando nuevos indicadores de fraude específicos (indicadores de alerta) y garantizando una colaboración y coordinación efectivas entre la autoridad de gestión, la autoridad de auditoria y los organismos de investigación[5]. Entendía la CE, que la autoevaluación del riesgo de fraude que se proponía era sencilla, lógica y práctica, y estaba basada en cinco pasos metodológicos fundamentales: 1. Estimación cuantitativa del riesgo de que se produzca un tipo de fraude determinado, basada en la valoración de su probabilidad y de su impacto (riesgo bruto). 2. Valoración de la eficacia de los controles que hay en marcha para paliar el riesgo bruto. 3. Valoración del riesgo neto, tras tener en cuenta la efectividad y el efecto de los controles en marcha, es decir, la situación tal como es en el momento de la evaluación (riesgo residual). 4. Valoración del efecto que pueden tener los controles atenuantes que se planee establecer sobre el riesgo neto o residual. 5. Definición del riesgo objetivo, es decir, del nivel de riesgo que la AG considera admisible tras la puesta en marcha de controles efectivos[6]. A continuación te dejo un vídeo tutorial, alojado en el canal de Youtube. Fuente de la información: CE. Fuente de la imagen: trapezemike en pixabay.

_______________________

[1] Velasco Carretero, Manuel. Orientaciones para la evaluación del riesgo de fraude. Sitio Compliance. 2014. Visitado el 13/04/2022.

[2] Aplicar medidas antifraude eficaces y proporcionadas, teniendo en cuenta los riesgos detectados.

[3] REGLAMENTO (UE) No 1303/2013 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 17 de diciembre de 2013 por el que se establecen disposiciones comunes relativas al Fondo Europeo de Desarrollo Regional, al Fondo Social Europeo, al Fondo de Cohesión, al Fondo Europeo Agrícola de Desarrollo Rural y al Fondo Europeo Marítimo y de la Pesca, y por el que se establecen disposiciones generales relativas al Fondo Europeo de Desarrollo Regional, al Fondo Social Europeo, al Fondo de Cohesión y al Fondo Europeo Marítimo y de la Pesca, y se deroga el Reglamento (CE) no 1083/2006 del Consejo. DOUE de 20/12/2013.

[4] Además, las orientaciones indican los controles atenuantes recomendados que pueden contribuir a reducir los riesgos que aún persistan al no haberse abordado de forma efectiva con los controles que hay en marcha.

[5] La CE va a prestar su apoyo a los Estados miembros mediante una herramienta de clasificación del riesgo específico denominada ARACHNE, que va a contribuir a la identificación, prevención y detección de las operaciones, proyectos, beneficiarios, contratos y contratistas con mayor riesgo, sirviendo además como medio de prevención.

[6] La CE prestará una asistencia específicamente adaptada a las necesidades concretas de los Estados miembros, según vayan estas surgiendo, para aplicar el artículo 125, apartado 4, letra c) del Reglamento (UE) n ° 1303/2013.

Hacia una cultura de gestión de riesgos

Fuente de la imagen: mvc archivo propio

Si eres follower de este lugar virtual, sabes la importancia que le doy a la concienciación de los órganos de gobierno y la dirección ante la implantación de modelos de gestión de compliance, planes antifraude, antisoborno... y todo lo relativo al cumplimiento normativo. En la tarde del lunes y en el marco de una sesión formativa, comentaba al alumnado la trascendencia que en esta concienciación tiene la previa cultura de gestión de riesgos que se practique. En el Sitio Compliance, bajo el explícito título "Concepto de Riesgo"[1], delimitaba el término a partir de la definición del Diccionario de la Real Academia de la Lengua Española (DRAE)[2], como “esa contingencia o proximidad de un daño”. En el marco político, económico, administrativo y financiero, este riesgo se mide en función de datos estadísticos o probabilidades. A partir de aquí, el factor de riesgo sería cualquier acontecimiento, componente o influjo que genera una probabilidad de materialización de un riesgo[3]. Por tanto, riesgo como probabilidad de registrarse un perjuicio, lesión o cualquier otro desajuste dañoso para una institución pública o privada o para la propia ciudadanía.

En "A vueltas con la gestión de riesgos"[4] y siguiendo a D. Hubbard[5], G. Dionne[6], M. Dorfman[7] y M. Velasco[8],  conceptualizaba la gestión de riesgos como la identificación, evaluación y priorización de peligros, conflictos o desajustes[9], seguida de la aplicación coordinada y económica de recursos para minimizar, monitorear y controlar la probabilidad o el impacto de eventos desafortunados o para maximizar la realización de oportunidades. Para la doctrina consultada, los riesgos pueden provenir de diversas fuentes, incluida la incertidumbre en los mercados nacionales o internacionales, las amenazas de desajustes en los proyectos[10], responsabilidades legales, riesgo crediticio, accidentes, causas y desastres naturales, ataques, ciberataques u otras situaciones impredecibles o desconocidas que producen daño en la organización. Los estándares de gestión de riesgos han sido desarrollados por varias instituciones internacionales. Los métodos, las definiciones y los objetivos varían ampliamente según la ubicación del método de gestión de riesgos dependiendo del contexto: administración pública, gestión de proyectos, ingeniería, ciberseguridad...

Las estrategias para manejar esas incertidumbres con consecuencias negativas, denominadas amenazas, generalmente incluyen evitarlas, reducir el efecto negativo o la probabilidad de que se materialice, transferir toda o parte de la amenaza a otra parte e incluso retener algunas o todas las consecuencias potenciales o reales de la amenaza. Lo contrario de estas estrategias se puede utilizar para responder a oportunidades[11]. En "Principios de la gestión de riesgos"[12], y conforme a lo establecido en la norma ISO 31000:2009[13], inventariaba algunos de los principios que debe desempeñar la gestión de riesgos, que se mueven desde la contribución a la consecución de los objetivos y la mejora del desempeño a posibilitar la mejora continua, pasando por integrarse en los procesos de la institución o formar parte de la toma de decisiones. Otros principios a destacar con el trato de la incertidumbre, junto a una sistemátización, estructuración y la oportunidad de toda gestión de riesgos, basándose en la mejor información disponible, adecuándose y organizándose con el contexto interno y externo y con los perfiles del riesgo, integrando factores humanos en el marco de una transparencia y participación dinámica, reiterada y respondiendo continuamente a los cambios que se registren.

En "Cultura de gestión de riesgos"[14], ante las situaciones medioambientales, de escasez de recursos e insostenibilidad (a las que ahora añado pandémicas y belicosas), que la Humanidad está padeciendo, las instituciones públicas y privadas se encuentran sometidas o expuestas a incertidumbre por doquier, en un entorno cambiante de forma perenne, donde los relativos aciertos obtenidos en la lucha contra las amenazas actuales o a corto plazo, no suponen para nada ninguna garantía de éxito para las situaciones riesgosas que esperan en el futuro. Según el Instituto Nacional de Ciberseguridad[15], la gestión de riesgos está presente, con mayor o menor protagonismo, en los distintos ámbitos de la sociedad y la empresa por lo que, por derivación, también debe encontrarse ubicada en la administración pública, siendo la mayoría de los responsables[16] conscientes de la existencia de amenazas que suponen un peligro para la consecución de sus objetivos, por lo que dedican esfuerzos y recursos a mantener controlados estos riesgos[17].

Finalmente, en "Política de gestión de riesgos"[18], insinuaba que el cometido de riesgos incluye métodos y procesos utilizados en las instituciones públicas y privadas para gestionar los riesgos, lo que implica identificar circunstancias riesgosas relevantes para los objetivos de la organización, evaluándolas en términos de probabilidad y magnitud del impacto, determinando una estrategia de réplica y evaluación continua del proceso seguido, utilizando para ello herramientas que posibiliten afrontar el riesgo a través de una adecuada identificación, análisis y evaluación mediante parámetros, métricas y otros estados estadísticos y comparativos. Por lo anterior, es esencial que la administración pública o privada disponga de una política de gestión de riesgos donde se establezcan los fines y objetivos, consolidándose el compromiso de la institución por la gestión de riesgos. Entre otras materias, esta política deberá abarcar asuntos desde la respuesta al por qué de la gestión de riesgos hasta el establecimiento de un sólido compromiso, pasando por una asignación presupuestaria o asignación de responsabilidades a los perfiles profesionales implicados. Fuente de la imagen: mvc archivo propio.

__________________________________

[1] Velasco Carretero, Manuel. Concepto de Riesgo. Sitio Compliance. 2012. Visitado el 15/03/2022.

[2] https://dle.rae.es/riesgo Sitio visitado el 15/03/2022.

[3] Hay dos tipos de eventos, es decir, los eventos negativos se pueden clasificar como riesgos, mientras que los eventos positivos se clasifican como oportunidades.

[4] Velasco Carretero, Manuel. A vueltas con la gestión de riesgos. Sitio Compliance. 2012. Visitado el 15/03/2022.

[5] Hubbard, Douglas. The Failure of Risk Management: Why It's Broken and How to Fix It. John Wiley & Sons. 2009.

[6] Dionne, Georges. Risk Management: History, Definition, and Critique: Risk Management. Risk Management and Insurance Review. 2013.

[7] Dorfman, Mark S. Introduction to Risk Management and Insurance (9 ed.). Englewood Cliffs, N.J: Prentice Hall. 2007.

[8] Velasco Carretero, Manuel. Compliance penal. Menos pret a porter y más traje a medida. Ed. Icebook. 2018.

[9] Definidos en la norma ISO 31000 como el efecto de la incertidumbre en los objetivos.

[10] En cualquier fase del diseño, desarrollo, producción o sostenimiento de los ciclos de vida.

[11] Estados futuros inciertos con beneficios.

[12] Velasco Carretero, Manuel. Principios de la gestión de riesgos. Sitio Compliance. 2012. Visitado el 15/03/2022.

[13] INTERNATIONAL STANDARIZATION ASSOCIATION. ISO 31000:2009 Risk management – Principles and guidelines. 2009.

[14] Velasco Carretero, Manuel. Cultura de gestión de riesgos. Sitio Compliance. 2017. Visitado el 15/03/2022.

[15] INCIBE. Gestión de Riesgos. 2015.

[16] Políticos, ejecutivos, gerentes…

[17] Para maximizar los beneficios de dicha gestión y contar con garantías de éxito, los esfuerzos han de ser empleados de forma metódica, estructurada y, sobre todo, siguiendo un proceso de evaluación y mejora continua.

[18] Velasco Carretero, Manuel. Política de gestión de riesgos. Sitio Compliance. 2013. Visitado el 15/03/2022.

A vueltas con la gestión del compliance penal

Fuente de la imagen: elaboración propia, alojada en el Sitio Compliance

Si eres seguidor de este sitio, sabes que desde la primavera ando atareado con varias ISOs. Textos como “Echando un capote a la cultura de compliance”, “Crea y Crece”, “Siento que la vida del compliance es el momento” o el reciente ¡Manolo necesito la certificación ya![1], son prueba de ello. Además de la ISO 37001:2016 y la ISO 37301:2021, otra norma de moda es la UNE 19601:2017 Sistemas de Gestión de Compliance Penal. Por si es de tu interés, a continuación te dejo un videotutorial de cuarenta y cinco minutos de duración, alojado en el canal de Youtube. Y es que en el sitio Compliance, texto “Recuperación, Transformación, Resiliencia y Compliance”[2], me hacía eco de la publicación en mi país de la Orden por la que se configura el sistema de gestión del Plan de Recuperación, Transformación y Resiliencia[3].

Pues bien. En el Anexo IV, apartado C, de la citada Orden, se especifica que el órgano responsable, gestor o beneficiario de las ayudas debe manifestar “el compromiso de la persona/entidad que representa con los estándares más exigentes en relación con el cumplimiento de las normas jurídicas, éticas y morales, adoptando las medidas necesarias para prevenir y detectar el fraude, la corrupción y los conflictos de interés, comunicando en su caso a las autoridades que proceda los incumplimientos observados". ¿Cómo hacerlo? Pues, por ejemplo, entiendo que acreditando la implantación de modelos de compliance penal, cumplimiento normativo, sistemas de gestión antisoborno... Abajo te dejo un recopilatorio de textos editados en el sitio Compliance sobre la UNE 19601:2017, a modo de apuntes. Fuente de la imagen: archivo propio.

_________________________

[1] Velasco Carretero, Manuel. Sitios visitados el 19/12/2021.

[2] Velasco Carretero, Manuel. Recuperación, Transformación, Resiliencia y Compliance. Sitio Compliance. 2021. Visitado el 19/12/2021.
[3] Orden HFP/1030/2021, de 29 de septiembre. BOE» núm. 234, de 30 de septiembre de 2021, páginas 119830 a 119879 (50 págs.). Sección: I. Disposiciones generales. Departamento: Ministerio de Hacienda y Función Pública. Referencia: BOE-A-2021-15860. link: https://www.boe.es/eli/es/o/2021/09/29/hfp1030.

Aplicable a todo tratamiento de datos personales

Fuente de la imagen: geralt en pixabay

El Reglamento General de Protección de Datos (RGPD), establece que las organizaciones que tratan datos personales deben realizar una gestión del riesgo con el fin de establecer las medidas que sean necesarias para garantizar los derechos y libertades de las personas. Aquellos casos en los que los tratamientos impliquen un riesgo alto para la protección de datos, el Reglamento dispone que esas organizaciones están obligadas a realizar una Evaluación de Impacto en Protección de Datos (EIPD) para mitigar esos riesgos. En el sitio Protección de Datos, texto “Nueva guía para gestionar riesgos y evaluar impactos”[1], me hacía eco de la publicación por parte de la Agencia Española de Protección de Datos (AEPD), de la guía para la gestión del riesgo y evaluación de impacto en tratamientos de datos personales[2], un documento que incorpora la experiencia acumulada en la aplicación de la gestión del riesgo en el ámbito de la protección de datos desde la aplicación del (RGPD) y añade las interpretaciones de la AEPD, el Comité Europeo de Protección de Datos y el Supervisor Europeo de Protección de Datos.

Consta de tres apartados: el primero contiene una descripción de los fundamentos de la gestión de riesgos para los derechos y libertades; el segundo incluye un desarrollo metodológico básico para la aplicación de la gestión del riesgo, y el último está enfocado en los casos en los que sea preciso realizar una EIPD[3], con las orientaciones necesarias para llevarla a cabo. El documento[4] ofrece una visión unificada de la gestión de riesgos y de las evaluaciones de impacto en protección de datos, y facilita la integración de la gestión de riesgos en los procesos de gestión y gobernanza de las entidades. La guía es aplicable a cualquier tratamiento, con independencia de su nivel de riesgo. Para los casos de tratamientos de alto riesgo, incorpora las orientaciones necesarias para realizar la EIPD y, en su caso, la consulta previa a la que se refiere el artículo 36 del RGPD, que establece que el responsable debe consultar a la autoridad de control antes de proceder al tratamiento cuando una evaluación de impacto sigue ofreciendo un riesgo residual alto o muy alto tras haber tomado medidas.

Igualmente, en el sitio Protección de Datos, bajo el título EVALÚA_RIESGO RGPD[5] recogía la información por parte de la AEPD del recurso EVALÚA_RIESGO RGPD, prototipo de una nueva herramienta que ayuda a responsables y encargados a identificar los factores de riesgo para los derechos y libertades de los interesados presentes en el tratamiento; hacer una primera evaluación del riesgo intrínseco, incluyendo necesidad de realizar una EIPD, y estimar el riesgo residual si se utilizan medidas y garantías para mitigar los riesgos[6]. Según la AEPD, los factores de riesgo desplegados en esta herramienta no tienen carácter exhaustivo, por lo que el responsable deberá identificar aquellos que sean específicos para el tratamiento e incluirlo en su evaluación. La valoración del nivel de riesgo así como el cálculo final de nivel de riesgo, tiene carácter general y mínima que tendrá que ser ajustada por dicho responsable para determinar con precisión el nivel de riesgo del tratamiento. Fuente de la información: AEPD. Fuente de la imagen: geralt en pixabay.

____________________________

[1] Velasco Carretero, Manuel. Nueva guía para gestionar riesgos y evaluar impactos. Sitio Protección de Datos. 2021. Visitado el 06/07/2021.

[2] Si quieres acceder a ella, clickea AQUÍ, cortesía de la AEPD.

[3] Evaluación de Impacto en Protección de Datos.

[4] ,Dirigido a responsables, encargados de tratamientos y delegados de protección de datos (DPD),

[5] Velasco Carretero, Manuel. EVALÚA_RIESGO RGPD. Sitio Protección de Datos. 2021. Visitado el 06/07/2021.

[6] Si quieres descargar la herramienta, clickea AQUÍ.

Inventario de riesgos financieros

Fuente de la imagen: archivo propio

En el largo fin de semana pasado (el lunes fue fiesta en mi comunidad autónoma), he estado preparando unos apuntes para la asignatura de Compliance Financiero que próximamente voy a impartir en el marco de un máster de Dirección Financiera. A la hora de inventariar algunos de los riesgos financieros, he echado mano de doctrina que tenía recopilada con anterioridad. Por ejemplo, para la acotación del término “riesgo financiero”, me he apoyado en Markowitz[1], Mcneil, Rüdiger y Embrechts[2], que referencié en el sitio Compliance, con el explícito título “Riesgo financiero”[3]. Y es que a mediados del siglo pasado ya Markowitz reflexionaba acerca del desarrollo de una ciencia en torno a la gestión del riesgo financiero y de mercado que definió en su “modern portfolio theory”, recogida en su artículo “Selección de cartera” (Portfolio Selection). Siguiendo a Mcneil, Rüdiger y Embrechts, el riesgo financiero es cualquiera de los diversos tipos de riesgo asociados con las finanzas incluidas las transacciones financieras que contienen préstamos de la empresa en riesgo de incumplimiento, incorporando la incertidumbre en cuanto a las pérdidas financieras.

En cuanto al riesgo de modelos financieros[4], me alineo, entre otros, con Schimidt y Jokadze[5],en el sentido que la medición del riesgo financiero, el precio de los instrumentos financieros y la selección de la cartera se basan en modelos estadísticos. Si el modelo es incorrecto, los números de riesgo, los precios o las carteras óptimas son incorrectos. El riesgo de modelo cuantifica las consecuencias de utilizar modelos incorrectos en la medición del riesgo, la fijación de precios o la selección de carteras. El elemento principal de un modelo estadístico en finanzas es una distribución de factores de riesgo. La doctrina reciente trata la distribución de factores como una variable aleatoria desconocida y miden el riesgo de especificación incorrecta del modelo. Otro riesgo de los modelos financieros lo constituye la propia actividad financiera ejercida y el cómo se ejerce, que puede dar lugar a incurrir en blanqueo de capitales y otras infracciones monetarias, incumplimiento tributario o los propios riesgos del uso inadecuado de la tecnología (por ejemplo, la firma electrónica o las operaciones financieras virtuales).

En relación a la gestión de un riesgo de crédito[6], se enfoca en comprimir o advertir pérdidas de crédito, mediante la comprensión y medición probabilística de esas pérdidas. La gestión del riesgo de crédito es utilizada por bancos, prestamistas de crédito y otras instituciones financieras para mitigar las pérdidas asociadas principalmente con la falta de pago de préstamos. Un riesgo crediticio acontece cuando concurre la contingencia de que un deudor pueda incumplir con su obligación de pago. En atención, a los factores del riesgo de mercado[7] estándar, en línea con Grootveld y Salomons[8], son el riesgo de acciones, el riesgo de tasa de interés, el riesgo cambiario y el riesgo de las materias primas. El riesgo de acciones es el riesgo de que los precios de las acciones en general o la volatilidad implícita cambien. Cuando se trata de inversiones a largo plazo, la renta variable proporciona una rentabilidad que, con suerte, superará la tasa de rentabilidad libre de riesgo. Por su parte, Poitras[9] define el riesgo de las materias primas como el riesgo de que cambien los precios de las materias primas[10] o la volatilidad implícita.

Para Oberoi[11], el riesgo de tasa de interés es el riesgo de que cambien las tasas de interés o la volatilidad implícita. El cambio en las tasas de mercado y su impacto en la probabilidad de un banco, generan riesgo de tasa de interés. El riesgo de tasa de interés puede afectar la situación financiera de un banco y puede generar resultados financieros desfavorables. Soenen e Hyun[12] entienden el riesgo cambiario como el riesgo de que cambien los tipos de cambio o la volatilidad implícita, lo que afecta, por ejemplo, el valor de un activo mantenido en esa moneda. Las fluctuaciones monetarias en el mercado pueden tener un impacto drástico en el valor de una empresa internacional debido al efecto del precio en los bienes nacionales y extranjeros, así como al valor de los activos y pasivos denominados en moneda extranjera. Fuente de la imagen: archivo propio.

______________________________

[1] Markowitz, H.M. "Portfolio Selection". The Journal of Finance.1952

[2] McNeil, Alexander J.; Frey, Rüdiger; Embrechts, Paul. Quantitative risk management: concepts, techniques and tools. Princeton University Press. 2005.

[3] Velasco Carretero, Manuel. Riesgo financiero. Sitio Compliance. 2016. Visitado el 02/03/2021.

[4] Velasco Carretero, Manuel. Riesgo de modelos financieros. Sitio Compliance. 2019. Visitado el 02/03/2021.

[5] Jokhadze, Valeriane; Schmidt, Wolfgang M. "Measuring model risk in financial risk management and pricing". SSRN. 2018.

[6] Velasco Carretero, Manuel. Riesgo de crédito. Sitio Compliance. 2016. Visitado el 02/03/2021.

[7] Velasco Carretero, Manuel. Riesgo de mercado. Sitio Compliance. 2020. Visitado el 02/03/2021.

[8] Salomons, Roelof; Grootveld, Henk. "The equity risk premium: emerging vs. developed markets". Emerging Markets Review. 2003.

[9] Poitras, Geoffrey. Commodity Risk Management Theory and Application. New York: Routledg. 2013.

[10] Por ejemplo, maíz, cobre, petróleo crudo.

[11] Oberoi, Jaideep. "Interest rate risk management and the mix of fixed and floating rate debt". Journal of Banking & Finance. 2018.

[12] Shin, Hyun-Han; Soenen, Luc. "Exposure to currency risk by US multinational corporations". Journal of Multinational Financial Management. 1999.