Riesgo Crediticio

Todos alguna vez hemos solicitado un crédito, que significa consuma ahora y pague después, en términos prácticos, sin entrar en definiciones económicas complejas.

Este simple hecho implica:

1) El capital del préstamo tiene un origen, quien arriesga en realizar el préstamo. Este riesgo debe ser recompensado con un pago, denominado intereses.
2) Las personas que reciben el crédito representan un nivel de riesgos diferentes entre ellos. Este nivel de riesgos implica que podría pagar o no.

Podemos decir entonces que el riesgo bajo este contexto se da porque existe una probabilidad de incumplimiento de las condiciones iniciales pactadas, entre ellas y la más importante, la falla en el pago.

Si el cliente falla en el pago, existe pérdida de diferentes tipos, pérdidas sobre el patrimonio, gastos operacionales, gastos administrativos, costos de oportunidades, y si esto lo multiplicamos por un volumen representativo, representa el valor en riesgo al que hace frente la entidad, puede incluso representar la quiebra.

Los negocios actuales, todos sin excepción, tienden a brindar créditos mediante instituciones reguladas o no, pues los entornos actuales no están para hacer grandes desembolsos, sino en administrar mejor los compromisos y dejar que los activos diversos generen sus propios pagos.

Concluimos que para lograr la recuperación adecuada de lo prestado, más los intereses, debemos de administrar el crédito, la forma es mediante la administración del riesgo de crédito.

Empezamos entonces varias secciones de administración del riesgo de crédito, donde iremos desarrollando los procesos necesarios, las técnicas cualitativas, cuatitativas y métodos avanzados internos, donde los otorgamientos entán 100% en función del nivel de riesgos que implican los clientes.

Evaluación de riesgos

Para realizar la valoración de los riesgos necesitamos dos tablas, una de probabilidad y otra de impacto. Producto de estas tablas obtenemos una matriz de riesgos, que luego podrá generar los mapas de riesgos.

A continuación por ejemplo mostramos una clásica tabla de probabilidades.

A continuación por ejemplo mostramos una clásica tabla de impactos.

Podemos ver una matriz de riesgos clásica (también denominada nivel de riesgos).

Como definimos anteriormente, el riesgo es definido en función de su probabilidad y de su impacto. Con estas tablas es suficiente para empezar a valorar los riesgos.

En el siguiente post, mostraré cómo usar estas tablas para realizar la valoración de riesgos desde tres niveles, tanto el nivel absoluto de riesgos, valor considerando el efecto de los controles y valor considerando el efecto de los tratamientos.

Análisis de Riesgos

Una vez que tenemos el listado de riesgos, organizados ya sea por procesos, por producto, por cualquier otro ente agrupador, procedemos a conocer un poco más de ellos, es decir es la etapa de analizarlos para conocerlos un poco más.

Reúnase con el dueño del proceso donde está el riesgo, y empiece con la documentación de cada riesgo, los datos que debe reunir son los siguientes:

• Nombre del riesgo
• Descripción del riesgo
• Tipo de riesgo (operacional, de crédito, de mercado, etc)
• Categoría (por ejemplo si es riesgo operacional se habren las categorías de basilea, como son:Fraude Interno, Fraude Externo; Relaciones laborales y seguridad en el puesto de trabajo; Clientes, productos y prácticas empresariales; Daños a activos materiales; Incidencias en el negocio y fallas en los sistemas; Ejecución, entrega y gestión de procesos); sin embargo en los demás riesgos también puede abrir categorías si lo necesita.
  
• Responsable de su administración
• Fuentes de riesgos
• Areas de impacto
• Procesos contra los que impacta
• Objetivos corpotaivos comprometidos
• Causa principal
• Demás causas (trate de hacer un esquema de espina de pescado)
• Cuándo, cómo dónde podría ocurrir.

Esta información se consigue de manera iterativa, a medida que se avanza en el conocimiento del mismo.

Comparto un listado de algunas áreas de impactos:

• Activos y recursos (activos, pasivos, capital, tangibles e intangibles de TI, empleados, etc)
• Costos (tanto directos, como indirectos, sanciones, indemninzaciones, reposiciones, reconstrucción y otras multas de diferentes fuentes)
• Desempeño (tanto en la productividad, como en la calidad y rendimiento del capital)
• Intangibles (Seguridad, solidez, confianza, reputación, conocimiento, inteligencia de negocios y del sector)
• Ingresos y otros derechos (Intereses, patentes, propiedad industrial, regalías, comisiones, etc)
• Clima organizacional (Valores éticos, Idoneidad, Moral de los empleados, Estabilidad, etc)
• Emprendimientos y actividades (lanzamiento de nuevos productos, gestión del cambio tecnológico, inversiones de oportunidad y expanción del negocio)
• Comunidad y entorno (Vecinos, medio ambiente, clima, país, sociedad, etc)

Las fuentes son diversas, entre ellas destacan:

• Las personas de la empresa y externas (malas conductas, avaricia, soberbia, despidos y venganzas, hackers, crakers, etc)
  
• Entorno geográfico, político, social, cultural, etc.
• Los mismos sistemas al interior de la empresa constituyen fuente de riesgos
• Los procesos mal ejecutados o con fallas en sus deficiones, o mal documentados son fuente de riesgos.
• Muchas otras.

Consulte los diagramas de Ishikawa, diagrama causa efecto, para ayudarse a documentar las causas.

IDENTIFICACIÓN DE RIESGOS

Una vez establecidos los objetivos, es momento de identificar los riesgos que atentan al cumplimiento de los mismos.
Para ello existen varias técinas, por ejemplo:

• Análisis de flujos de procesos
• Cuestionarios a los empleados
• Inventario de eventos pasados con los dueños de los procesos
• Entrevistas con Auditoría Interna y demás auditorías externas, allí pueden existir documentación de riesgos.
• Trabajos en grupo de diversas áreas.
• Otras

Si opta por ejemplo por uso del análisis de flujos de procesos, podrá identificar las actividades dentro del proceso y hacer la pregunta ¿qué podría salir mal?, luego podría hacer una lista de posibles eventos. Como se habrá percatado, necesitamos el mapeo de todos los procesos de negocio, que sea actual, y que estén debidamente estandarizados y documentados de manera adecuada. Esta técnica es ampliamente usada, pues además permite la gerencia por procesos.

Si empleamos los cuestionarios a los empleados, podremos abordar preguntas respecto a todos los componentes de la gestión de riesgos y analizar las brechas que posee la empresa en cultura de riesgos y poder obtener un listado de posibles eventos causados por decisiones ineficientes de las personas.

Quien mejor que los dueños de los procesos, para inventariar los problemas que tiene o ha tenido durante su gestión, estos problemas pueden constituir eventos riesgosos.

Auditoría Interna y otras auditorías, también son fuente para inventariar eventos de riesgos. Pues son las fuentes oficialmente de deficiencias, reclamos o denuncias al interior del negocio y que han llevado una investigación aceptable y profesional, además de ser orientados a sus principales clientes, el Directorio de la empresa.

Usamos el término de identificación de riesgos, porque sólo estamos considerando los eventos riesgosos, y no todos los eventos. Debemos aclarar que la nueva norma ISO de riesgos (año 2009) menciona que el riesgo es el efecto conjunto sobre los objetivos, ello implica tanto consecuencias positivas o negativas, pero por ahora para nosotros riesgo es impacto negativo en los objetivos, ya que metdológicamente la gestión de los eventos de oprtunidades corresponden un poco con la planificación estratégica de crecimiento del negocio. La gestión de oportunidades ya se hace en cierta forma, ello se explica por ejemplo por las cuotas de mercado, salida de un competidor, etc.

También el Estandar Australiano, le puede servir como documento de consulta, pues tiene un método de identificación de riesgos, mediente las matrices de fuentes de riesgos y áreas de impacto. Las fuentes de riesgos, alineadas con Basilea, son las personas, los procesos, los sistemas y eventos externos. Las áreas de impacto son los recursos que apoyan al logro de los objetivos, como son Activos corrientes, activos fijos, pasivos, otros exigibles, patrimonio, costos, etc. Tomando como apoyo los estados fnancieros, como el balance, pero también el estado de resultados, para analizar el impacto total de las pérdidas por riesgo operacional dentro de la rentabilidad del negocio, esto permite elaborar ratios de rentabilidad/riesgo.

Los riesgos deben de clasificarse por tipos de riesgos. Debemos aclarar que usando los marcos COSO ERM, AS/NZS, ISO, tratan de la gestión integral de riesgos, tanto como lo dice Basilea, debemos de tener una metodología estándar en la empresa para todos los tipos de riesgos, de crédito, de mercado, operacional; sin embargo también puede aplicar para los demás riesgos como de liquidez, reputacional, estratégico, etc. Obviamente cada tipo de riesgo puede tener sus propias personalizaciones con la metodología.

La identificación de riesgos debe darse para los procesos, proyectos (además es parte de PMBOK, del PMI), cambios importantes en el negocio, sistemas, procesos, personas, y otros factores que pueden ser generadores de riesgos.

Seguramente que para implementar un sistema de gestión de la calidad como ISO 9001:2000, también le servirá, al momento de implementar puntos de control o inspecciones, antes debieron de identificarse qué podría salir mal o qué aspecto no debe fallar para lograr la calidad total. Vea cómo se van integrado todas las herramientas de gestión.

Establecimiento de Objetivos

Todos los emprendimientos en las organizaciones públicas y privadas son para cumplir finalmente con sus objetivos, su misión y poder alcanzar la visión. Una vez establecido el ambiente interno, esto es, tiene la escructura de gestión de riesgos operacionales, se han definido los puestos necesarios, las funciones, se han segregado las funciones, se han dado las políticas y el directorio de la empresa está comprometida con la aprobación de políticas, recursos y la gerencia general con la implementación, además el personal esta capacitado en sus deficiencias para el apoyo a las demás actividades del desarrollo del modelo de administración de riesgos operacionales, entonces es hora se identificar los objetivos a todo nivel. Los objetivos los obtenemos del plan corporativo y de los demás planes por áreas, así como sus estrategias, sus factores críticos de éxito, y demás elementos propios del proceso de planeamiento estratégico.

Por cada objetivo, debemos de establecer una meta, y tolerancias al riesgo, y un apetito al riesgo alineado. Las tolercias lo da el directorio y está en base a los análisis de costos, volumen y utilidad de la oportunidad del negocio, por cada línea de negocio, línea de productos y productos individuales incluso. Además dependiendo de la metodología de planeamiento estratégico, como el balanced scorecard, pueden existir objetivos desde varias perspectivas tanto a nivel corporativo como a nivel de áreas es cascadas.

El directorio es responsable de establecer el rendimiento del capital dado el nivel de riesgos de la entidad. De tal forma que se cumpla que el apetito al riesgo guarde correlación con las tolerancias y niveles de riesgos que asume la empresa, esto es si el inversionista asume más riesgo, debe obtener un premio por ello, que es la mayor rentabilidad para compensar el riesgo.

Entonces se debe de elaborar la alineación entre apetito al riesgo y las tolerancias al riesgo. De forma que cuando el nivel de riesgo crezca, la probabilidad de cumplimiento de objetivos disminuya, es una relación inversa. Esta alineación es posible de hacerlo de manera sencilla, mediante modelos en un inicio semi-cuantitativos, pero si hay suficiente información se podrían hacer modelos basados en valores reales y esperados mediante la simulación, identificando el comportamiento de las variables para asiganr los tipos correctos de distribuciones y mediante simulación por ejemplo montecarlo ajustas las variables de probabilidad, impacto, nivel de riesgo y capital ajustado al riesgo.

Una vez establecidos los objetivos con todos los elementos linkeados de riesgos, estamos en condiciones de pasar a la siguiente fase de la metodología de administración de riesgo operacionales, que es, identificación de eventos.

Una aclaración hago, pues me consultaron a mi correo, la administración de riesgo operacionales no sólo es aplicable a las empresas del sector financiero, como bancos, financieras, Edpymes, Cajas y otras; sino a cualquier empresa que quiera tener una mayor seguridad de alcanzar sus objetivos mediante un proceso de administración de riesgos operacionales, esto es disminuir las pérdidas debido a fallas o inadecuaciones en sistemas, procesos, personas, eventos externos, temas legales, sin incluir en temas reputacionales y estratégicas; sin embargo no quita el mérito de administrar los demás riesgos como los reputacionales y estratégicos, aunque la medición no es tan simple pues hay que elaborar otros métodos de puentes como los procesos de negocios.

Gestión del ambiente interno

El ambiente interno de la empresa, es el inicio del proceso de gestión de riesgos operacionales. Lo compone su gente con sus costumbres, la calidad de las decisiones de los directivos, la forma de hacer las cosas de todo el personal, sus creencias, prioridades, grado de responsabilidad y valores éticos.

En esta etapa es necesario tener listo lo siguiente:

• La filosofía de gestión de la empresa, tanto a nivel directorio, gerencia general y demás gerencias. La forma de planificación y gestión de la empresa.
• La cultura organizacional, que conforma el conjunto de formas de actuar dentro del negocio, sus costumbres, creencias y prácticas en general.
• Una adecuada estructura organizacional y una adecuada segregación de funciones, los roles y responsabilidades de cada individuo para administrar los riesgos bajo su responsabilidad. Si no se tiene la estructura necedsaria alineado al tamaño de la organización y complejidad de la misma, es envano hacer todo el resto, no dará resultados.
• La empresa debe tener políticas para administrar sus recursos humanos, desde procesos de convocatorias, investigación de antecedentes, formalización de la contratación, ascensos internos, escalas de salarios, incentivos, promociones, sanciones ante faltas, políticas de tratamiento de despidos.
• Otros elementos que dependiendo del negocio es vital que se consideren.

Pero llega la hora de saber cómo vamos en estos conceptos para implementar la administración de riesgos de manera satisfactoria, y es cuando necesitamos herramientas y métodos para poder medirlos.

Entre las herramientas más conocidas están las encuestas, por ejemplo con preguntas como las siguientes:

• La empresa posee códigos de conducta y valores, documentados, comunicados y los empleados saben que existen.
• Los empleados saben las acciones sancionables y la sanción misma.
• Existen políticas de tratamiento de recursos humanos, bien definidas y los empleados saben qué necesitan para lograr ascensos.
• Etc.

Luego debemos de consolidar los resultados y evaluar en qué aspectos necesitamos mejorar, y establecer por lo tanto planes de acción para la mejora del ambiente interno, antes de seguir con el resto del proceso de administración de riesgos.

Riesgo Operacional - 1

Para gestionar adecuadamente el riesgo operacional es necesario disponer de una serie de elementos que involucra toda la empresa.

Todo debe partir desde el directorio y la alta gerencia de la empresa; ellos son quienes definen las políticas relacionadas a este riesgo, siempre enlazada a los demás tipos de riesgos. El directorio y la alta gerencia deben de emitir políticas relacionadas y el aseguramiento de provisión de recursos necesarios para la ejecución y la continuidad de este proceso, que es el proceso de gestión del riesgo operacional como parte integral de las tareas de todo el personal en la empresa.

Función central del directorio y la alta gerencia es formular o reformular el plan estratégico de la empresa, a partir de ella, debe existir una alineación de las demás áreas. La teoría dice que debemos de administrar los riesgos que antenten contra estos objetivos a todo nivel. Así que hay objetivos estratégicos, relacionados, de procesos, y otros más. Si no tiene los objetivos de la empresa, los demás departamentos y de los procesos, es recomendable no avanzar con la implementación hasta que los tenga.