Evento de riesgo operacional: qué es y cómo registrarlo bien

¿Qué es un evento de riesgo operacional?

Un riesgo es algo que podría pasar. Un evento es algo que ya pasó. Cuando el sistema de pagos se cae, cuando alguien aprueba una operación sin la firma que corresponde o cuando una inundación cierra una sucursal, el riesgo operacional se materializó y eso es un evento.

Los eventos son la mejor evidencia que tiene un área de riesgos: muestran dónde fallan de verdad los procesos y permiten comprobar si la matriz de riesgos refleja la realidad. Si quieres el panorama completo de la disciplina, parte por nuestra guía de riesgo operacional.

¿Hay que registrar también los eventos sin pérdida?

En varias normas, sí. Este es el punto que más se olvida:

• La Circular Básica Financiera de la SFC (Colombia) pide registrar todos los eventos, incluidos los que no generan pérdida, sin umbral.
• El SARO de la Supersolidaria (Colombia) pide registrar todos los eventos de riesgo operativo, con y sin pérdida, sin umbral (numeral 5.5.2).
• La RAN 21-8 de la CMF (Chile, bancos) no tiene umbral mínimo de registro.
• La Res. SMV 027-2016 (Perú) fija un umbral de S/ 3.000, y la entidad puede fijar uno menor.

Aunque tu norma no lo exija, registrar los eventos sin pérdida y los casi incidentes es una buena práctica: son avisos tempranos de un control que falló.

¿Qué datos hay que registrar de cada evento?

Cada regulador tiene su lista, pero hay un núcleo que se repite. Esta tabla resume los campos que aparecen en las guías que publicamos:

Algunas normas piden datos propios. La CNBV, por ejemplo, exige vincular cada evento del R28 A-2811 con el folio del riesgo en el inventario anual (A-2812), y la CNSF incluye en el reporte EPO un campo de controles o planes de mitigación y otro de impacto reputacional. Revisa los campos exactos en la guía de tu norma.

¿Qué fechas importan y por qué?

Las tres fechas que más piden los reguladores son distintas y no conviene mezclarlas:

1. Ocurrencia: cuándo pasó el hecho.
2. Descubrimiento: cuándo la entidad se enteró.
3. Registro contable: cuándo la pérdida entró a la contabilidad.

La diferencia entre ocurrencia y descubrimiento te dice cuánto tardan tus controles en detectar un problema, y ese dato vale oro para mejorar. La RAN 21-8 pide la fecha de materialización, la de descubrimiento y la de contabilización.

¿Cómo registrar un evento paso a paso?

Este flujo es una guía general. Ajústalo a tu norma y a tus procedimientos internos.

1. Reporta de inmediato al área de riesgos. Quien detecta el evento lo informa al responsable. En el SARO, por ejemplo, el potencial evento se reporta al área o funcionario responsable del SARO y luego se registra en la base de eventos.
2. Revisa si hay un reporte urgente al supervisor. Algunos eventos son también incidentes con plazo propio: la CMF pide reportar los incidentes operacionales de bancos en 30 minutos (RAN 20-8), y la SEPS pide comunicar de inmediato los incidentes que afecten servicios críticos (SEPS 0116, artículo 16 numeral 7).
3. Completa los datos básicos. Fechas, descripción, proceso, producto o canal, y quién lo reporta.
4. Clasifica el evento. Usa el catálogo oficial de tu regulador para el tipo y la causa.
5. Cuantifica cuando puedas. La pérdida, los gastos asociados y las recuperaciones suelen conocerse después: actualiza el registro a medida que llegan los datos y conserva la evidencia.
6. Vincúlalo con la matriz. Asocia el evento al riesgo de la matriz que se materializó. Si no existe, quizá tengas un riesgo que no habías identificado.
7. Define acciones. Si el evento revela un control débil, abre un plan de acción con responsable y fecha.

¿Qué errores son los más comunes al registrar eventos?

• Registrar solo lo que costó dinero. Se pierden las señales tempranas y, en varias normas, es un incumplimiento.
• Descripciones vagas, como «falla del sistema». Escribe qué pasó, dónde y con qué efecto.
• Mezclar las fechas de ocurrencia, descubrimiento y contabilización.
• No volver al registro cuando llegan las recuperaciones o el monto final.
• No conectar el evento con la matriz, lo que deja la evaluación de riesgos desactualizada.
• No guardar evidencia, justo lo que el supervisor pedirá en una revisión.

Los plazos que citamos son datos de cada norma.

¿Qué revisar antes de cerrar un evento?

Una lista ilustrativa para revisar antes de dar un evento por cerrado:

• Las tres fechas (ocurrencia, descubrimiento y registro contable) están completas y no se mezclan.
• La descripción dice qué pasó, dónde y con qué efecto.
• La causa y el tipo usan el catálogo de tu regulador.
• El monto bruto y las recuperaciones están actualizados.
• El evento está vinculado a un riesgo de la matriz (o se creó uno nuevo).
• Si reveló un control débil, hay un plan de acción con responsable y fecha.
• La evidencia quedó guardada.