Riesgo operativo en cooperativas de ahorro y crédito: qué exige cada supervisor

¿Qué es el riesgo operativo en una cooperativa?

Es la posibilidad de tener pérdidas por fallas en los procesos, las personas, la tecnología o por eventos externos. En una cooperativa se ve en cosas muy concretas, como estos ejemplos ilustrativos: un crédito desembolsado sin todos los respaldos, un error al aplicar los pagos de los socios, una caída del sistema central en el cierre de mes o un fraude en la ventanilla.

En Perú, el reglamento de la SBS para las Coopac lo define como «la posibilidad de pérdidas debido a procesos inadecuados, fallas del personal, de la tecnología de información, o eventos externos» (numeral 4 e). En Colombia y Ecuador los supervisores usan el término «riesgo operativo»; la disciplina es la misma que otros llaman riesgo operacional. Lo explicamos en nuestra guía de riesgo operacional.

¿Qué exige cada supervisor a las cooperativas?

Las cooperativas financieras de Colombia vigiladas por la SFC no siguen el SARO: usan la Circular Básica Financiera.

¿Qué pide el SARO a las cooperativas en Colombia?

El Sistema de Administración del Riesgo Operativo (SARO) está en el Capítulo IV del Título IV de la Circular Básica Contable y Financiera de la Supersolidaria. Lo principal:

• Registro de eventos sin umbral. Se registran todos los eventos de riesgo operativo, con y sin pérdida, con los campos del numeral 5.5.2 y la clasificación del Anexo 1.
• Reporte interno primero. El potencial evento se reporta al área o funcionario responsable del SARO y luego se registra en la base de eventos. La norma no fija un plazo numérico.
• Aviso por fraude. Si un incidente de seguridad desencadena un fraude, hay que informarlo a la Supersolidaria (Anexo 2, numeral 6.11).
• Informes periódicos. Un informe mensual de riesgo operativo al representante legal y al comité de riesgos (numeral 5.4.3 literal k) y un reporte semestral del perfil de riesgo residual (numerales 4.4 y 5.8.1).

Además, el SIAR de la Supersolidaria pide que, antes de ofrecer un producto nuevo, estén identificados sus posibles riesgos, incluidos los operacionales (Cap. I, numeral 6.2).

¿Qué pide la SEPS 0116 en Ecuador?

La Resolución SEPS-IGT-IGS-INSESF-INR-INGINT-INSEPS-IGJ-0116 regula la administración del riesgo operativo en el sector financiero popular y solidario. Rige desde su publicación en el Registro Oficial (Suplemento 606, 23-07-2024).

• Base de eventos según el segmento. Los segmentos 1 a 3, las mutualistas, las cajas centrales y la CONAFIPS llevan la base de eventos completa (artículo 7). Los segmentos 4 y 5 llevan un registro mínimo con fecha de ocurrencia, descripción, solución e impacto financiero (artículo 10 numeral 2).
• Comunicación inmediata. Los incidentes que afecten servicios críticos se comunican a la SEPS de inmediato; la norma no fija un plazo numérico (artículo 16 numeral 7).
• Funciones de la unidad de riesgos. Para los segmentos 1, 2 y 3, las cajas centrales, las mutualistas y la Corporación, el artículo 27 numeral 3 incluye, entre otras, «evaluar el riesgo operativo, de forma previa al lanzamiento de nuevos productos, implementación de nuevos procesos y ante cambios importantes en el ambiente operativo o informático en base a los informes de las áreas que corresponda» (literal e) y «realizar el seguimiento al cumplimiento de los planes de acción» (literal f).

¿Qué pide la SBS a las Coopac en Perú?

Las cooperativas de ahorro y crédito no autorizadas a operar con recursos del público siguen el Reglamento de Gestión Integral de Riesgos de la Res. SBS 13278-2009, con el texto modificado por la Res. SBS 480-2019.

• Informe anual de riesgos a la SBS dentro de los 90 días calendario siguientes al cierre del año (numeral 17).
• Declaración del Consejo de Administración en no más de 120 días calendario posteriores al ejercicio anual (numeral 8).
• Organización según el nivel. El comité de riesgos es obligatorio en el Nivel 3 y en el Nivel 2 con activos totales mayores a 32,200 UIT (numeral 10). La unidad de riesgos es obligatoria en los Niveles 2 y 3; en el Nivel 1, sus funciones las asume la Gerencia General (numeral 14).
• Sin reporte de incidentes. Este reglamento no regula una base de eventos de pérdida ni un reporte de incidentes a la SBS. Aun así, registrar los eventos internamente es la mejor forma de respaldar el informe anual.

¿Qué pide la CNBV a las SOCAP en México?

En las disposiciones que ya explicamos, el foco está en los incidentes que comprometen la Información Sensible del Usuario:

• Reporte del Anexo S a la CNBV y al Comité de Supervisión Auxiliar dentro de los 5 días naturales siguientes al evento (artículo 17 Bis 23 fracción I).
• Aviso a los usuarios afectados en los 3 días hábiles siguientes, si la información ha sido o puede ser mal utilizada (fracción II).
• Registro de incidencias de los Servicios Electrónicos en bases de datos por al menos cinco años (artículo 17 Bis 25).

Las disposiciones no traen un reporte de pérdidas operativas a la CNBV. Si tu SOCAP quiere gestionar el riesgo operativo en forma integral, la matriz y el registro de eventos son igual de útiles como buena práctica.

¿Cómo organizar la gestión del riesgo operativo en una cooperativa?

Sin importar el país, estos pasos sirven como punto de partida:

1. Ten claro qué norma te aplica y en qué segmento o nivel estás. Cambia lo que tienes que registrar y reportar.
2. Arma la matriz de riesgos y controles de los procesos críticos: captaciones, créditos, cobranza, tecnología y atención a socios.
3. Habilita un canal simple para reportar eventos. Que cualquier colaborador pueda avisar al área de riesgos.
4. Lleva el registro de eventos con los campos que pide tu norma. Lo explicamos en qué es un evento de riesgo operacional y cómo registrarlo bien.
5. Abre planes de acción con responsable y fecha cuando un evento o una evaluación muestran un control débil.
6. Prepara los informes al consejo, al comité y al supervisor con datos que salgan de un solo lugar.

El envío al supervisor lo hace siempre la cooperativa.