Madurez Riesgo operacional · Reglamento COBAC riesgo operacional

El riesgo operacional se define como el riesgo de pérdidas derivadas de una inadecuación o de un fallo de los procedimientos, del personal, de los sistemas internos o de acontecimientos externos. El riesgo jurídico queda incluido. El dispositivo prudencial COBAC deriva de ello obligaciones precisas para las entidades de crédito de la zona CEMAC: identificación y mapa de riesgos por línea de negocio, recopilación e historial de incidentes y pérdidas, dispositivos de continuidad y de respaldo informático, marco de la subcontratación, implicación del órgano de administración y exigencia de fondos propios en concepto de riesgo operacional.

En la práctica, este dispositivo es difícil de gestionar porque atraviesa toda la entidad. La red de sucursales, la banca electrónica, los sistemas de información, el cumplimiento normativo y los recursos humanos aportan cada uno una parte de la materia, rara vez al mismo ritmo y rara vez con el mismo vocabulario. Tres preguntas se repiten. ¿La base de incidentes está realmente alimentada por las áreas de negocio, o se reconstruye al cierre del ejercicio por la dirección de riesgos? ¿El mapa de riesgos se coteja con las pérdidas observadas, o vive su propia vida en una carpeta? ¿Se prueban los planes de continuidad, y se hace seguimiento de las lecciones de las pruebas hasta su cierre?

Dos elementos de contexto pesan sobre las entidades de la zona. En primer lugar, el aumento de la supervisión sobre la seguridad de los sistemas de información y sobre la externalización: la dependencia de proveedores y de plataformas de banca electrónica regionales desplaza una parte del riesgo fuera de la entidad, sin desplazar la responsabilidad. En segundo lugar, una confusión frecuente que conviene aclarar: el riesgo operacional no es el control interno. El control interno proporciona los dispositivos de mitigación, el riesgo operacional mide la exposición residual y la materializa en pérdidas y en fondos propios.

Una auditoría de cumplimiento concluye con una constatación binaria: la exigencia se cumple o no se cumple. El diagnóstico de madurez responde a otra pregunta. En qué nivel de control se sitúa cada componente del dispositivo, y qué acción concreta permite pasar al nivel siguiente. La brecha entre la puntuación obtenida y el objetivo genera el plan de acción, que la IA agrupa en una hoja de ruta priorizada. La comparación entre entidades del grupo y con las evaluaciones anteriores hace visible el progreso ante el órgano de administración.

El marco de referencia está listo para usarse en Datamensio. Se adapta a su entidad: la IA ajusta los ámbitos, las preguntas y los niveles de madurez según el método CMMI, o construye una variante a partir de sus propios procedimientos, de su mapa de riesgos y de sus informes de control interno.