ANE - Política de Administración de Riesgos

VERSIÓN 14

TRD 100.26

POLÍTICA DE ADMINISTRACIÓN DE RIESGOS

Contenido INTRODUCCIÓN ................................ ................................ .................... 3

1. Términos y definiciones aplicables a la gestión del riesgo ....................... 3

2. Política de administración del riesgo ................................ .................... 6

3. Objetivos de la política ................................ ................................ ..... 6 3.1. Objetivo general de la Política. ................................ ....................... 7 3.2. Objetivos específicos de la Política. ................................ ................. 7

4. Aplicación y alcance de la política de administración de riesgos ............... 7

5. Roles, responsabilidades y autoridades de la gestión de riesgos............... 8

6. Alineación de la Política con la Plataforma Estratégica de la Entidad ....... 11

7. Propósito Superior ................................ ................................ ......... 11

8. Misión ................................ ................................ .......................... 11

9. Visión ................................ ................................ .......................... 11

10. Propósito Superior, Ejes Estratégicos y Objetivos estratégicos -Mándala Estratégico ................................ ................................ ......................... 11

11. Mapa de procesos ................................ ................................ ....... 13

12. Metodología y normatividad aplicable ................................ ............. 13

13. Establecimiento del contexto de la entidad ................................ ...... 16 13.1. Factores Externos: ................................ ................................ ... 16 13.2. Factores Internos: ................................ ................................ .... 17

14. Niveles de aceptación del riesgo (apetito del riesgo) ......................... 18 14.1. Tolerancia del riesgo ................................ ................................ . 18 14.2. Identificación de áreas de factores de riesgo ................................ . 20

15. Niveles de valoración del riesgo para calificar la probabilidad y el impacto ................................ ................................ ............................. 21

16. Lineamientos riesgos de seguridad de la información ........................ 25

14.2. Identificación de áreas de factores de riesgo ................................ . 20

15. Niveles de valoración del riesgo para calificar la probabilidad y el impacto ................................ ................................ ............................. 21

16. Lineamientos riesgos de seguridad de la información ........................ 25 16.1. Identificación de los activos de seguridad de la información ............. 26 16.2. Identificación del riesgo de seguridad de la información .................. 27 16.3. Infraestructura Crítica Cibernética ................................ ............... 28VERSIÓN 14

TRD 100.26 16.4. Controles asociados a la seguridad de la información...................... 29

17. Lineamientos para los riesgos fiscales................................ ............. 30 17.1. Control fiscal interno y prevención del riesgo ................................ 30 17.2. Definición y elementos del riesgo fiscal ................................ ........ 32 17.3. Levantamiento del mapa de riesgos fiscales: ................................ . 33 17.3.1. Identificación de riesgos fiscales ................................ ............ 33 17.3.2. Valoración del riesgo fiscal................................ .................... 36 17.4. Valoración de controles para los riesgos fiscales. ........................... 36

18. Tratamiento del riesgo - Plan de Acción o Plan de Manejo de Riesgos de gestión, corrupción y seguridad de la información ................................ ..... 36

19. Escenarios de pérdida de continuidad ................................ ............. 37

20. Etapas y Herramientas para la Gestión del Riesgo ............................ 38

21. Monitoreo y Control (Periodo de revisión riesgos institucionales) ......... 38 20.1. Acciones a seguir en caso de materialización de riesgos .................. 41 20.1.1. Materialización de riesgos de gestión y seguridad de la información ................................ ................................ .................. 41 20.1.2. Materialización de riesgos de corrupción ................................ . 41

20.1. Acciones a seguir en caso de materialización de riesgos .................. 41 20.1.1. Materialización de riesgos de gestión y seguridad de la información ................................ ................................ .................. 41 20.1.2. Materialización de riesgos de corrupción ................................ . 41

22. Comunicación y Consulta................................ .............................. 41VERSIÓN 14

TRD 100.26

INTRODUCCIÓN

Para la Agencia Nacional del Espectro (en adelante la ANE), la administración de riesgos es una herramienta fundamental para asegurar el cumplimiento de su misión institucional y el desarrollo de sus actividades mediante el cumplimiento de los objetivos enmarcados en el Sistema Integrado de Gestión.

Este documento busca unificar los lineamientos para la administración de riesgos en la entidad y lograr fortalecer el enfoque preventivo con el fin de facilitar a los líderes de proceso, los funcionarios, los contratistas y demás integrantes de la organización, la identificación y tratamiento de cada uno de ellos.

Esta política se asume enmarcada en los parámetros del Modelo Integrado de Planeación y Gestión, el Modelo Estándar de Control Interno, la ISO 31000 y la guía para la administración de riesgos emitida por el Departamento Administrativo de Función Pública, y su Anexo 4 Modelo Nacional de Gestión de riesgos de Seguridad de la Información en Entidades Públicas del Ministerio de Tecnologías de la Información y Comunicaciones (MinTIC), así como, la Guía 7 Gestión de riesgos de MinTIC del MSPI, la cual está basada en ISO 27005 y NIST

1. Términos y definiciones aplicables a la gestión del riesgo  Activo de información: Se refiere a elementos de hardware y de software de procesamiento, almacenamiento y comunicaciones, bases de datos y

1. Términos y definiciones aplicables a la gestión del riesgo  Activo de información: Se refiere a elementos de hardware y de software de procesamiento, almacenamiento y comunicaciones, bases de datos y procesos, procedimientos, recursos humanos e información física asociada con el manejo de los datos y la información misional, operativa y administrativa de cada entidad, órgano u organismo. 1  Amenaza: Causa potencial de un incidente no deseado que aprovecha una vulnerabilidad y que puede provocar daños a un sistema o a la organización. 2  Apetito del riesgo: Es el nivel de riesgo que la entidad puede aceptar, relacionado con sus Objetivos, el marco lega l y las disposiciones de la Alta Dirección y del Órgano de Gobierno. El apetito de riesgo puede ser diferente para los distintos tipos de riesgos que la entidad debe o desea gestionar.  Bienes Públicos: Son todos aquellos muebles e inmuebles de propiedad pública (este concepto comprende: bienes del Estado y aquellos productos del ejercicio de una función pública a cargo de particulares).

1 CONPES 3854 de 2016, pág 56 2 ISO 27000: 2016VERSIÓN 14

TRD 100.26  Capacidad de riesgo: Es el máximo valor del nivel de riesgo que una Entidad puede soportar y a partir del cual se considera por la Alta Dirección y el Órgano de Gobierno que no sería posible el logro de los objetivos de la entidad.  Causa: Todos aquellos factores internos y ex ternos que solos o en combinación con otros, pueden producir la materialización de un riesgo.  Causa raíz: Causa principal o básica, corresponde a las razones por la cuales

 Causa: Todos aquellos factores internos y ex ternos que solos o en combinación con otros, pueden producir la materialización de un riesgo.  Causa raíz: Causa principal o básica, corresponde a las razones por la cuales se puede presentar el riesgo.  Confidencialidad: Propiedad de la información que la hace no disponible o sea divulgada a individuos, entidades o procesos no autorizados.  Consecuencia: Los efectos o situaciones resultantes de la materialización del riesgo que impactan en el proceso, la entidad, sus grupos de valor y demás partes interesadas.  Contexto externo: A mbiente externo en el cual la organización busca alcanzar sus objetivos.  Contexto interno: A mbiente interno en el cual la organización busca alcanzar los objetivos.  Control: Medida que permite reducir o mitigar un riesgo.  Disponibilidad: Propiedad de ser accesible y utilizable a demanda por una entidad.  DRP (Disaster Recovery Plan): Un DRP tiene como objetivo ayudar a una organización a resolver la pérdida de datos y recuperar la funcionalidad del sistema para que pueda funcionar después de un incidente.  Establecimiento del contexto: D efinición de los parámetros internos y externos que han de tomar en consideración cuando se gestiona el riesgo, y establecimiento del alcance y los criterios del riesgo.  Factores de riesgo: Son las fuentes generadoras de riesgos.  Gestión del riesgo: A ctividades coordinadas para dirigir y controlar una organización respecto al riesgo.  Impacto: Las consecuencias que puede ocasionar a la organización la materialización del riesgo.  Intereses patrimoniales de n aturaleza pública: Son expectativas

organización respecto al riesgo.  Impacto: Las consecuencias que puede ocasionar a la organización la materialización del riesgo.  Intereses patrimoniales de n aturaleza pública: Son expectativas razonables de beneficios, que en condiciones normales se espera obtener o recibir y que sean susceptible de estimación económica. A diferencia del recurso público, los intereses patrimoniales de naturaleza pública son expectativas  Integridad: Propiedad de exactitud y completitud.VERSIÓN 14 TRD 100.26  Monitoreo del riesgo: verificación, supervisión, observación crítica o determinación continua del estado del riesgo con el fin de identificar los cambios.  Nivel del riesgo: Es el valor que se de termina a partir de combinar la probabilidad de ocurrencia de un evento potencialmente dañino y la magnitud del impacto que este evento traería sobre la capacidad institucional de alcanzar los objetivos. En general la fórmula del Nivel del Riesgo corresponde a la Probabilidad Impacto, sin embargo, pueden relacionarse las variables a través de otras maneras diferentes a la multiplicación, por ejemplo, mediante una matriz de Probabilidad – Impacto.  Oportunidad: Corresponde al cumplimento de las expectativas más allá de los objetivos establecidos.  Plan anticorrupción y de atención al ciudadano: Plan que contempla la estrategia de lucha contra la corrupción que debe ser implementada por todas las entidades del orden nacional, departamental y municipal.  Política para la gestión del riesgo: Declaración de la Dirección y las intenciones generales de una organización con respecto a la gestión del riesgo.  Recursos públicos: para los efectos esta guía son los dineros comprometidos y ejecutados en ejercicio de la función pública

intenciones generales de una organización con respecto a la gestión del riesgo.  Recursos públicos: para los efectos esta guía son los dineros comprometidos y ejecutados en ejercicio de la función pública  Riesgo: Efecto que se causa sobre los objetivos de las entidades debido a eventos potenciales.  Riesgos de corrupción: Posibilidad de que, por acción u omisión, se use el poder para desviar la gestión de lo público hacia un beneficio privado.  Riesgo fiscal: Es el efecto dañoso sobre los recursos públicos y/o los bienes y/o intereses patrimoniales de naturaleza pública, a causa de un evento potencial.  Riesgos de seguridad de la información: Posibilidad de que una amenaza concreta pueda explotar una vulnerabilidad para causar una pérdida o daño en un activo de información. Suele considerarse como una combinación de la probabilidad de un evento y sus consecuencias.  Riesgo Inherente: Nivel de riesgo propio de la actividad. El resultado de combinar la probabilidad con el impacto nos permite determinar el nivel del riesgo inherente, dentro de unas escalas de severidad  Riesgo residual: Es el resultado de aplicar la efectividad de los controles al riesgo inherente.VERSIÓN 14 TRD 100.26  Tolerancia del riesgo: Es el valor d e la máxima desviación admisible del nivel de riesgo con respecto al valor del Apetito del riesgo determinado por la entidad.  Tratamiento del riesgo: P roceso para modificar el riesgo, el cual puede implicar: - Evitar el riesgo decidiendo no iniciar o continuar la actividad que lo originó - Tomar el riesgo con el fin de perseguir una oportunidad - Retirar la fuente del riesgo

implicar: - Evitar el riesgo decidiendo no iniciar o continuar la actividad que lo originó - Tomar el riesgo con el fin de perseguir una oportunidad - Retirar la fuente del riesgo - Cambiar la probabilidad - Cambiar las consecuencias - Compartir el riesgo con una o varias partes  Tolerancia al riesgo: E s el valor de la máxi ma desviación admisible del nivel de riesgo con respecto al valor del apetito de riesgo determinado por la entidad.  Vulnerabilidad: Debilidad de un activo o control que puede ser explotada por una o más amenazas.

2. Política de administración del riesgo La ANE se compromete a administrar adecuadamente los riesgos de gestión, corrupción y Seguridad de la Información, asociados a los objetivos estratégicos, planes, programas, proyectos y procesos institucionales, considerando la metodología propia para su gestión, determinando los controles oportunamente para evitar la materialización de los riesgos y en tal caso generar la acción correctiva inmediata ante eventos presentados, buscando aceptar, reducir o evitar una posible materialización y posibles consecuenci as a fin de mantener los niveles de riesgo aceptables.

Nota: La política de administración de riesgos es establecida por la Alta Dirección de la entidad con el liderazgo del representante legal y la participación del Comité Institucional de Coordinación de Control Interno y ejecutada y controlada por las diferentes líneas de defensa

.

3. Objetivos de la política La ANE establece una política que permite identificar, valorar, controlar, mitigar, monitorear y hacer seguimiento a los riesgos que pueda estar expue sta la entidad, desde un enfoque preventivo, gestionando de forma anticipada hechos o situaciones que puedan afectar la planeación, atribución, vigilancia y control

monitorear y hacer seguimiento a los riesgos que pueda estar expue sta la entidad, desde un enfoque preventivo, gestionando de forma anticipada hechos o situaciones que puedan afectar la planeación, atribución, vigilancia y control del espectro, el logro de los objetivos institucionales, las metas y resultados esperados y la satisfacción de las partes interesadas. Esta política es lideradaVERSIÓN 14 TRD 100.26 por la alta dirección de la entidad y ejecutada y controlada por las diferentes líneas de defensa. 3.1. Objetivo general de la Política. La administración de riesgos en la ANE hará énfasis en el fortalecimiento de los controles internos, con el fin de minimizar la probabilidad de materialización de cualquier tipo de riesgo que afecten el logro de las metas institucionales. 3.2. Objetivos específicos de la Política.  Generar una visión sistémica de la administración, control y evaluación de los riesgos de la Entidad.  Proteger los recursos de la entidad, resguardándolos contra la materialización de los riesgos valorados como amenazas de gestió n, corrupción y seguridad de la información.  Introducir y fortalecer dentro de los procesos y procedimientos puntos de control, que permitan evitar, reducir o mitigar, las vulnerabilidades o potenciales amenazas que se puedan presentar.  Mejorar el aprendiz aje organizacional frente a la eficaz identificación y administración de los riesgos.

4. Aplicación y alcance de la política de administración de riesgos La presente política aplica para cada uno de los procesos institucionales, y los controles serán aplicados por todos los servidores públicos y colaboradores de la ANE.

Dentro del alcance se encuentran las partes interesadas relacionadas en el

La presente política aplica para cada uno de los procesos institucionales, y los controles serán aplicados por todos los servidores públicos y colaboradores de la ANE. Dentro del alcance se encuentran las partes interesadas relacionadas en el contexto de esta metodología, entendiendo que no solo son las personas naturales y jurídicas con una relación contractual con la ANE, sino aquellas que tengan un convenio de intercambio de cualquier activo de información de la entidad. Aplica para responsables, encargados de activos de información, o cualquiera que tenga acceso a activos en reposo o en movimiento de la entidad. Para fines de proteger la información de la entidad, cualquiera que tenga acceso a dichos activos debe garantizar la protección de la información y su borrado seguro cuando termine su tratamiento, así como los demás lineamientos como se establece en el Manual de seguridad de la información3.

3 Manual de Seguridad.docxVERSIÓN 14 TRD 100.26

5. Roles, responsabilidades y autoridades de la gestión de riesgos

ROL AUTORIDAD RESPONSABILIDADES Línea estratégica Alta Dirección y el Comité Institucional de Coordinación de Control Interno  Evaluar la forma como funciona el esquema de líneas de defensa incluyendo la línea estratégica.  Definir las líneas de reporte (canales de comunicación) en temas claves para la toma de decisiones, atendiendo el esquema de líneas de defensa.  Definir y evaluar la política de administración del riesgo. La evaluación debe considerar su aplicación en la entidad, cambios en el entorno, dificultades para su desarrollo, riesgos emergentes.  Aprobar los activos de información de la

 Definir y evaluar la política de administración del riesgo. La evaluación debe considerar su aplicación en la entidad, cambios en el entorno, dificultades para su desarrollo, riesgos emergentes.  Aprobar los activos de información de la entidad, esta actividad debe ser realizada solo por el Comité Institucional de Gestión y Desempeño.  Define el marco general para la gestión del riesgo y del control y supervisa su cumplimiento.  Someter a aprobación del representante legal la política de administración del riesgo y hacer seguimiento, en especial a la prevención y detección de fraude y mala conducta.

Primera Línea de defensa Los servidores en sus diferentes niveles cuando se trate de servidores que ostenten un cargo de responsabilidad (jefe) dentro de la estructura organizacional, se denominan controles de gerencia operativa, ya que son aplicados por líderes o responsables de proceso  Conocer y apropiar las políticas , procedimientos, manuales, protocolos y otras herramientas que permitan tomar acciones para el autocontrol en sus puestos de trabajo.  Identificar riesgos y establecer controles, así como realizar seguimiento, acorde con el diseño de dichos controles, evit ando la materialización de los riesgos.  Realizar el seguimiento a los indicadores de gestión de los procesos e institucionales, según corresponda.  Formular planes de mejoramiento, realizar su aplicación y seguimiento para resolver los hallazgos presentados.  Coordinar con sus equipos de trabajo las

gestión de los procesos e institucionales, según corresponda.  Formular planes de mejoramiento, realizar su aplicación y seguimiento para resolver los hallazgos presentados.  Coordinar con sus equipos de trabajo las acciones establecidas en la planeación institucional a fin de contar con información clave para el seguimiento o autoevaluación aplicada por la segunda línea de defensa.  Identificar y valorar los activos de información en los procesos donde aplique laVERSIÓN 14 TRD 100.26 ROL AUTORIDAD RESPONSABILIDADES gestión de riesgos de seguridad de la información.

Nota 1: En el caso de que uno de los miembros de la primera línea de defensa se ausente temporal o definitivamente, la persona encargada de suplir sus funciones asumirá estas responsabilidades y deberá asegurar su cumplimiento.

Nota 2: Los funcionarios, contratistas y personal de servicios tercerizados, son responsables de cumplir con los controles que se han establecido para la gestión de riesgos de la entidad y específicamente de cada proceso. Así mismo, son responsables de informar al líder del proceso cualquier novedad frente a los riesgos para que se tomen las acciones a que haya lugar. Segunda línea de defensa Los servidores que ocupan cargos a nivel directivo o asesor (media o alta gerencia), quienes realizan labores de supervisión sobre temas transversales para la entidad y rinden cuentas ante la Alta Dirección. Aquí se incluye el jefe de planeación o quien haga sus veces, coordinadores de grupos de trabajo

temas transversales para la entidad y rinden cuentas ante la Alta Dirección. Aquí se incluye el jefe de planeación o quien haga sus veces, coordinadores de grupos de trabajo y asesores.  Asegurar que los controles y procesos de gestión del riesgo de la 1ª Línea de Defensa sean apropiados y funcionen correctamente, supervisar la implementación de prácticas de gestión de riesgo eficaces.  Consolidar y analizar la información sobre temas claves para la entidad, bases para la toma de decisiones y de las acciones preventivas necesarias para evitar materializaciones de riesgos.  Trabajar coordinadamente con las oficinas de control interno o quien haga sus veces, en el fortalecimiento del Sistema de Control Interno.  Asesorar a la 1ª línea de defensa en temas clave para el Sistema de Control Interno: i) riesgos y controles; ii) planes de mejoramiento; iii) indicadores de gestión; iv) procesos y procedimientos.  Establecer los mecanismos para la autoevaluación requerida (auditoría interna a sistemas de gestión, seguimientos a través de herramientas objetivas, informes con información de contraste que genere acciones para la mejora).

Nota: Para la gestión de riesgos de Seguridad de la Información, la segunda línea de defensa se apoyará en el profesional de TI con funciones deVERSIÓN 14

TRD 100.26 ROL AUTORIDAD RESPONSABILIDADES Oficial de Seguridad de la Información, quien desarrollará acciones como:

 Definir la documentación para la Identificación y Valoración de Activos de

TRD 100.26 ROL AUTORIDAD RESPONSABILIDADES Oficial de Seguridad de la Información, quien desarrollará acciones como:

 Definir la documentación para la Identificación y Valoración de Activos de Información  Adoptar o adecuar el procedimiento formal para la gestión de riesgos de Seguridad de la Información  Asesorar y acompañar a la primera línea de defensa en la realización de la gestión de riesgos de seguridad de la info rmación y en la recomendación de controles para mitigar los riesgos  Apoyar en el seguimiento a los planes de tratamiento de riesgo definidos  Informar a la línea estratégica sobre cualquier variación importante en los niveles o valoraciones de los riesgos de seguridad de la información  Orientar a la primera línea de defensa en la identificación y valoración de los activos de información en los procesos en donde aplique la gestión de riesgos de seguridad de la Información. Tercera línea de defensa Oficina de Control Interno  Orientar técnicamente y generar recomendaciones frente a la administración del riesgo en coordinación con la Oficina Asesora de Planeación o quien haga sus veces garantizando el cumplimento efectivo de los objetivos.  Monitorear la exposición de la organización al riesgo y realizar recomendaciones con alcance preventivo.  Asesorar proactiva y estratégicamente a la Alta Dirección y los líderes de proceso, en materia de control interno y sobre las responsabilidades en materia de riesgos.  Formar a la alta dirección y a todos los niveles de la entidad sobre las responsabilidades en materia de riesgos.  Informar los hallazgos y proporcionar

materia de control interno y sobre las responsabilidades en materia de riesgos.  Formar a la alta dirección y a todos los niveles de la entidad sobre las responsabilidades en materia de riesgos.  Informar los hallazgos y proporcionar recomendaciones de forma independiente.  Evaluar efectividad de los controlesVERSIÓN 14 TRD 100.26 El modelo integrado de planeación y gestión – MIPG, define para su operación articulada la creación en todas las entidades del Comité Institucional de Gestión y Desempeño, regulado por el Decreto 1499 de 2017 y el Comité Institucional de Coordinación de Control Interno, reglamentado a través del artículo 13 de la Ley 87 de 1993 y el Decreto 648 de 2017.

6. Alineación de la Política con la Plataforma Estratégica de la Entidad La ANE (ANE, fue creada con la expedición de la Le y 1341 de 2009, y posteriormente, mediante el Decreto 4169 de 2011 se cambi ó su naturaleza jurídica a una Unidad Administrativa Especial del orden nacional, con personería jurídica, autonomía técnica, administrativa, financiera y patrimonio propio, adscrita al MinTIC, con funciones de planeación, atribución, vigi lancia y control del espectro radioeléctrico como bien público inenajenable e imprescriptible sujeto a la gestión y control del Estado.

Dentro de su misionalidad, la ANE ha construido una plataforma estratégica, la cual hace parte integral en la definición de los lineamientos de administración de riesgos descritos en esta política

7. Propósito Superior Gestionamos el espectro radioeléctrico con enfoque innovador y de inclusión

cual hace parte integral en la definición de los lineamientos de administración de riesgos descritos en esta política

7. Propósito Superior Gestionamos el espectro radioeléctrico con enfoque innovador y de inclusión social, para contribuir al desarrollo de las comunicaciones y a la calidad de vida de los colombianos.

8. Misión Administrar de manera eficiente el espectro radioeléctrico por medio de la planeación, atribución, vigilancia y control del mismo; la generación y divulgación del conocimiento; la gestión internacional y el relacionamiento con los grupos de interés, a través de un equipo humano competente y de herramientas tecnológicas idóneas.

9. Visión Ser reconocida en el 2026 por su contribución en la conectividad y transformación digital del país a través de la gestión técnica del espectro, generando bienestar social.

10. Iniciativas y Objetivos estratégicos

La alineación de las iniciativas con los objetivos estratégicos es la siguiente:VERSIÓN 14 TRD 100.26  Transformación Digital.

Objetivo: Continuar con la implementación de la transformación digital de la entidad como herramienta para el mejoramiento continuo . o Gestión integral de espectro para el incremento del bienestar social o Fortalecimiento del sistema de gestión y de desempeño institucional

 Uso Eficiente del Espectro Objetivo: Proponer nuevos mecanismos para la gestión eficiente del espectro y optimizar los existentes a partir de las mejores prácticas internacionales

o Gestión integral de espectro para el incremento del bienestar social

 Partes Interesadas Objetivo: Conocer y articular las necesidades de las pa rtes interesadas con los productos generados por la entidad en el marco de la política de espectro

o Gestión integral de espectro para el incremento del bienestar social

 Partes Interesadas Objetivo: Conocer y articular las necesidades de las pa rtes interesadas con los productos generados por la entidad en el marco de la política de espectro

o Gestión integral de espectro para el incremento del bienestar social

 Vigilancia y Control Objetivo: Implementar el nuevo modelo de vigilancia y control como una herramienta para promover el uso adecuado del espectro

o Gestión integral de espectro para el incremento del bienestar social

 Consolidar el sistema de gestión y desempeño Objetivo: Consolidar el sistema de gestión y desempeño institucional de la entidad para fortalecer las capacidades a nivel de procesos, talento humano y tecnología

o Gestión integral de espectro para el incremento del bienestar social o Fortalecimiento del sistema de gestión y de desempeño institucionalVERSIÓN 14 TRD 100.26

11. Mapa de procesos A continuación, se presenta el mapa de procesos de la ANE, donde por cada proceso establecido existe la identificación de los riesgos de gestión, corrupción

y de seguridad de la información:

Ilustración 1. Mapa de Procesos

Fuente: ANE.

12. Metodología y normatividad aplicable

La ANE, aplicará la metodología establecida por el Departamento Administrativo de la Función Pública. Así mismo, se aplicarán los lineamientos del Modelo Integrado de Planeación y Gestión - MIPG según lo contemplado en la normatividad vigente, por lo anter ior el modelo integrado de planeación y gestión define para su operación articulada la creación en todas las entidades

Integrado de Planeación y Gestión - MIPG según lo contemplado en la normatividad vigente, por lo anter ior el modelo integrado de planeación y gestión define para su operación articulada la creación en todas las entidades del Comité Institucional de Gestión y Desempeño y el Comité Institucional de Coordinación de Control Interno en este marco general, para una adecuadaVERSIÓN 14 TRD 100.26 gestión del riesgo, dicha institucionalidad entra a funcionar de la siguiente forma: Ilustración 2. Operatividad Institucionalidad para la Administración del Riesgo

Fuente: Guía para la administración del riesgo y el diseño de controles en entidades Públicas del DAFP 2022 V6.

La metodología para la administración de los riesgos de la ANE está basada en los lineamientos de la Guía para la Gestión de Riesgos versión 6 del año 2022 y la Guía de auditoría interna bas ada en riesgos