Riesgo Operativo en Banca Panamá: Guía del Acuerdo 11-2018

Casi todos los bancos tienen un manual de riesgo operativo. Lo que el supervisor quiere ver es otra cosa: qué eventos registraron el año pasado, quién los reportó y qué cambió en los procesos después. Ahí es donde la gestión del riesgo operativo en la banca de Panamá se cae. El manual existe, pero la base de eventos está casi vacía y la matriz de riesgos se actualizó por última vez para la auditoría anterior.

Qué exige la Superintendencia de Bancos

La norma es el Acuerdo 011-2018 de la Superintendencia de Bancos, de 11 de septiembre de 2018, «por medio del cual se dictan nuevas disposiciones sobre Riesgo Operativo». Derogó el Acuerdo 007-2011 y entró en vigor el 31 de diciembre de 2019. Puedes leer el texto oficial en la web de la SBP.

A quién aplica

Según su artículo 2, la parte de gestión aplica a todos los bancos de licencia general y a los de licencia internacional cuya supervisión de origen ejerce la SBP. Los bancos de licencia internacional con supervisión de destino deben tener su propia gestión del riesgo operacional, sujeta a revisión. El Superintendente puede exigirles las mismas reglas cuando lo considere conveniente.

La definición que manda

El Acuerdo define el riesgo operativo como la posibilidad de pérdidas por fallas o insuficiencias del recurso humano, los procesos, la tecnología, la infraestructura, la información de gestión, los modelos o por acontecimientos externos. Incluye el riesgo legal asociado a esos factores. Deja fuera el lucro cesante, el riesgo reputacional y el estratégico.

Fíjate en el orden del artículo 7: el segundo factor son los procesos internos, y la norma pide que estén documentados, definidos y actualizados permanentemente. Sin un mapa de procesos vigente no hay dónde colgar los riesgos.

El Acuerdo se alinea con los principios del Comité de Basilea. Su revisión más reciente es Revisions to the principles for the sound management of operational risk, de marzo de 2021.

Las piezas de la gestión del riesgo operativo

El artículo 8 fija las etapas: identificación, medición, mitigación, monitoreo, control e información. En la práctica, eso se traduce en seis piezas que deben existir y conversar entre sí.

Estructura y responsables

La junta directiva aprueba la estrategia y la metodología, y el artículo 5 pide revisarlas cada año. El comité de riesgos vela por la gestión. La unidad de administración de riesgos debe ser independiente de las áreas de negocio. Para la identificación, el artículo 9 pone a esa unidad a trabajar junto con el dueño del proceso. Si el proceso no tiene dueño, la identificación no tiene contraparte.

Esta estructura descansa sobre el gobierno corporativo de la entidad. Lo explicamos en nuestra guía del Acuerdo 005-2011.

Políticas, manual y apetito de riesgo

El artículo 6 lista el contenido mínimo:

• funciones de cada instancia,
• el proceso de gestión detallado,
• las herramientas de medición,
• el proceso de aprobación de nuevos productos,
• la forma y la periodicidad de los reportes a la junta, al comité y a la gerencia superior.

El límite global y los límites específicos traducen el apetito de riesgo en umbrales concretos.

Matrices y mapas de riesgo

Las matrices de riesgo operativo y los mapas de riesgo inherente y residual se construyen proceso por proceso. El artículo 22 exige además una autoevaluación del entorno de control al menos una vez al año, documentada.

La base de datos de eventos

Es la pieza que más cuesta. El artículo 23 pide una base centralizada que registre eventos e incidentes de todo el banco, con 29 campos mínimos por registro: línea de negocio, proceso o área, tipo de riesgo y causa según los anexos del Acuerdo, fechas de ocurrencia, descubrimiento y registro contable, monto de exposición y recuperaciones, entre otros.

Dos detalles se pasan por alto. Todo evento debe llevar un monto de exposición, estimado si no se puede cuantificar. Y los eventos que no se convirtieron en pérdida también se registran, porque son la señal temprana.

Indicadores y alertas

Los indicadores de riesgo operativo (IRO) necesitan umbrales definidos y alguien que actúe cuando se cruzan. Un indicador sin umbral es solo un reporte.

Nuevos productos y continuidad

Antes de lanzar un producto o un servicio, la unidad de riesgos emite su opinión sobre los riesgos operativos que trae. El artículo 21 suma un plan de continuidad del negocio, que se prueba al menos una vez al año, y un sistema de gestión de la seguridad de la información.

El informe anual del 31 de enero

El artículo 28 obliga a enviar a la SBP un informe anual de gestión de riesgo operativo a más tardar el 31 de enero. Su contenido lo detalla la Resolución General SBP-RG-0192-2019, de 25 de noviembre de 2019:

1. Estructura organizacional: integrantes del comité de riesgos, organigrama de la unidad y personal asignado a riesgo operativo y legal.
2. Clasificación de productos por línea de negocio y detalle de los nuevos lanzamientos, con la opinión previa de riesgos.
3. Plan de trabajo de la unidad, con su porcentaje de avance al cierre del año.
4. Formación continua: fecha, tema, participantes, organizador y horas de cada capacitación.
5. Herramientas: límite global, límites específicos, indicadores de alerta temprana e inventario de matrices actualizadas.
6. Comportamiento de los eventos e incidentes por tipo de riesgo, y las cinco causas de mayor criticidad con su plan de acción.

Los bancos con menos de un año de operación presentan solo algunos de los numerales.

El punto 6 se arma con la base de eventos. Si la base no se alimentó durante el año, en enero no hay cómo reconstruirla. Por eso este informe se prepara de febrero a diciembre, no en las dos semanas antes de la fecha límite.

Lo que he visto en los bancos

En los bancos donde he trabajado, el problema rara vez fue la metodología. Fue que el riesgo operativo vivía en una unidad de dos o tres personas y el resto del banco lo veía como un formulario más. Los eventos llegaban cuando ya había una pérdida contable, nunca antes. Lo que más movió la aguja no fue un software nuevo: fue nombrar un enlace de riesgo en cada área, atar cada riesgo a un proceso con dueño y revisar la base de eventos en el comité todos los meses, no al cierre del año.

Si tus procesos todavía no están mapeados, empieza por ahí. En nuestra guía de BPMN explicamos cómo hacerlo paso a paso.

Checklist: tu marco de riesgo operativo en 10 puntos

1. La junta directiva aprobó la estrategia, la metodología y los límites, y los revisó este año.
2. La unidad de administración de riesgos es independiente de las áreas de negocio.
3. El mapa de procesos está vigente y cada proceso tiene un dueño con nombre.
4. Cada riesgo de la matriz está atado a un proceso, con controles y un responsable.
5. La base de eventos tiene los campos del artículo 23 y un procedimiento de captura.
6. Cada área tiene un enlace que reporta eventos e incidentes, incluso los que no generaron pérdida.
7. Los IRO tienen umbrales y una acción definida cuando se cruzan.
8. Ningún producto nuevo sale sin la opinión previa de la unidad de riesgos.
9. El plan de continuidad se probó en los últimos doce meses.
10. Las capacitaciones quedan registradas con fecha, tema, participantes y horas.

Errores comunes en la gestión del riesgo operativo bancario

• Base de eventos casi vacía. No significa que no pasen cosas: significa que nadie las reporta. Suele faltar una definición clara de qué es un evento y un canal sencillo para reportarlo.
• Matrices hechas por la unidad de riesgos sola. Si el dueño del proceso no participó, la matriz describe un proceso que no existe.
• Controles sin dueño ni evidencia. Un control que nadie ejecuta con registro no mitiga nada ante el examen.
• Productos lanzados sin opinión de riesgos. Luego aparecen en el informe anual sin la opinión previa que exige la RG-0192-2019.
• Informe armado en enero. Datos reconstruidos de memoria, inconsistentes con la contabilidad.
• Plan de continuidad que nunca se probó. El Acuerdo pide probarlo al menos una vez al año, y la prueba es la evidencia.

Por dónde empezar

Un marco de riesgo operativo para la banca en Panamá no se construye con otro manual. Se construye con procesos documentados, dueños claros y una base de eventos que se alimenta todas las semanas. En Alternative acompañamos a entidades financieras a mapear sus procesos y a conectar sus matrices de riesgo con la operación real, con un equipo de 15+ años de experiencia. Lo hacemos desde nuestra práctica de banca y servicios financieros y la de cumplimiento regulatorio SBP.

Si quieres saber dónde está hoy tu banco frente al Acuerdo 11-2018, agenda un diagnóstico gratuito de 15 minutos.