COLPENSIONES - Manual del Sistema Integral de Administración de Riesgos

Manual

SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS

Gestión Integral de RiesgosManual Sistema Integral de Administración de Riesgos

MACROPROCESO / PROCESO:

ASEGURAMIENTO DE LA GESTIÓN / GESTIÓN INTEGRAL DE RIESGOS

CÓDIGO:

AGE-GRI-MAN-009

VERSIÓN:

7

PÁGINA 2 de 130

Contenido

1. INTRODUCCIÓN .................................................................................................... 5

2. OBJETIVO GENERAL DE LA GESTIÓN INTEGRAL DE RIESGOS ...................................... 5 2.1. OBJETIVOS ESPECÍFICOS ..................................................................................... 6

3. ALCANCE .............................................................................................................. 6

4. MARCO LEGAL Y DE REFERENCIA ............................................................................ 7

5. DEFINICIONES ....................................................................................................... 8

6. PRINCIPIOS Y POLÍTICAS ...................................................................................... 12 6.1. PRINCIPIOS DEL SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS ................ 12 6.2. POLÍTICAS GENERALES ..................................................................................... 13 6.3. POLÍTICAS ESPECÍFICAS .................................................................................... 20 6.3.1. De los elementos ......................................................................................... 20 6.3.2. De las etapas ............................................................................................... 23 6.4. PRINCIPIOS Y POLÍTICAS GESTIÓN DE RIESGO DE TERCERAS PARTES ..................... 27

7. ESTRUCTURA ORGANIZACIONAL .......................................................................... 28 7.1. ROLES Y FUNCIONES ........................................................................................ 31 7.1.1. JUNTA DIRECTIVA ............................................................................. 31 7.1.2. REPRESENTANTE LEGAL ................................................................. 33 7.1.3. COMITÉS DE RIESGOS ..................................................................... 35

7.1. ROLES Y FUNCIONES ........................................................................................ 31 7.1.1. JUNTA DIRECTIVA ............................................................................. 31 7.1.2. REPRESENTANTE LEGAL ................................................................. 33 7.1.3. COMITÉS DE RIESGOS ..................................................................... 35 7.1.4. ALTA DIRECCIÓN (PRESIDENTE, VICEPRESIDENTES, JEFES DE OFICINA, GERENTES, DIRECTORES) .......................................................... 35

7.1.5. VICEPRESIDENCIA DE SEGURIDAD Y RIESGOS EMPRESARIALES

36 7.1.6. OFICIAL DE SEGURIDAD DE LA INFORMACIÓN ............................. 38 7.1.7. OFICIAL DE CUMPLIMIENTO ............................................................ 39 7.1.8. UNIDAD DE PREVENCIÓN DEL RIESGO LAVADO DE ACTIVOS Y FINANCIACIÓN DEL TERRORISMO (LAFT) .................................................. 41 7.1.9. LÍDERES DE PROCESOS .................................................................. 42 7.1.10. GESTORES INTEGRALES .............................................................. 44 7.1.11. DEBERES DE CUMPLIMIENTO DE LOS SERVIDORES PÚBLICOS Y COLABORADORES DE COLPENSIONES .................................................. 45Manual Sistema Integral de Administración de Riesgos

MACROPROCESO / PROCESO:

ASEGURAMIENTO DE LA GESTIÓN / GESTIÓN INTEGRAL DE RIESGOS

CÓDIGO:

AGE-GRI-MAN-009

VERSIÓN:

7

PÁGINA 3 de 130

7.1.12. ÓRGANOS DE CONTROL ............................................................... 46

8. CLASIFICACIÓN DE RIESGOS ................................................................................. 47

VERSIÓN:

7

PÁGINA 3 de 130

7.1.12. ÓRGANOS DE CONTROL ............................................................... 46

8. CLASIFICACIÓN DE RIESGOS ................................................................................. 47

9. MARCO INTEGRAL DE APETITO DE RIESGOS Y AGREGACIÓN DE RIESGOS ................. 49 9.1. MARCO INTEGRAL DE APETITO DE RIESGO ......................................................... 49 9.1.1. Objetivo del Marco Integral de Apetito de Riesgo ................................ 50 9.1.2. Alcance del Marco Integral de Apetito de Riesgo ................................ 50 9.1.3. Funciones y Responsabilidades en el Marco Integral de Apetito de Riesgo 50 9.1.4. Definición del Marco Integral de Apetito de Riesgo ............................. 51 9.1.5. Lineamientos para el Seguimiento al Comportamiento del Apetito de Riesgo 62 9.1.6. Comunicación Marco Integral de Apetito de Riesgo ............................ 62 9.2. AGREGACIÓN DE RIESGOS ................................................................................ 63

10. METODOLOGÍA PARA LA GESTIÓN INTEGRAL DE RIESGOS ................................... 65 10.1. ESTABLECIMIENTO DEL CONTEXTO ................................................................... 67 10.1.1. Establecimiento del Contexto de la Gestión de Riesgo .................... 68 10.1.2. Establecimiento del Contexto a Nivel Estratégico ............................ 68 10.1.3. Establecimiento del Contexto a Nivel Táctico ................................... 72 10.1.4. Establecimiento del Contexto a Nivel de Procesos .......................... 73 10.2. EVALUACIÓN DE RIESGOS ................................................................................. 74 10.2.1. Identificación de Riesgos .................................................................. 74

10.1.4. Establecimiento del Contexto a Nivel de Procesos .......................... 73 10.2. EVALUACIÓN DE RIESGOS ................................................................................. 74 10.2.1. Identificación de Riesgos .................................................................. 74 10.2.2. Análisis de Riesgos .......................................................................... 83 10.2.3. Valoración de Riesgos .................................................................... 100 10.3. TRATAMIENTO DE RIESGOS ............................................................................ 101 10.4. SEGUIMIENTO Y REVISIÓN .............................................................................. 104 10.4.1. Eventos de Riesgo ......................................................................... 105 10.4.2. Autoevaluación de Riesgos y Controles ......................................... 109 10.4.3. Monitoreo a riesgos a través de indicadores .................................. 110 10.4.4. Evaluación de Riesgos en Terceras Partes .................................... 112 10.4.5. Seguimiento a los planes de mejoramiento .................................... 117Manual Sistema Integral de Administración de Riesgos

MACROPROCESO / PROCESO:

ASEGURAMIENTO DE LA GESTIÓN / GESTIÓN INTEGRAL DE RIESGOS

CÓDIGO:

AGE-GRI-MAN-009

VERSIÓN:

7

PÁGINA 4 de 130

10.5. METODOLOGÍA PARA LA GESTIÓN DE LAS OPORTUNIDADES ............................. 118 10.6. COMUNICACIÓN Y CONSULTA ........................................................................ 119 10.7. REGISTRO E INFORME .................................................................................... 119

11. DOCUMENTACIÓN Y REGISTRO DE LA GESTIÓN INTEGRAL DE RIESGOS .............. 120

12. PLATAFORMA TECNOLÓGICA ......................................................................... 120

13. CAPACITACIÓN Y SENSIBILIZACIÓN .................................................................. 121

11. DOCUMENTACIÓN Y REGISTRO DE LA GESTIÓN INTEGRAL DE RIESGOS .............. 120

12. PLATAFORMA TECNOLÓGICA ......................................................................... 120

13. CAPACITACIÓN Y SENSIBILIZACIÓN .................................................................. 121 13.1 DISEÑO ......................................................................................................... 122 13.2 DESARROLLO................................................................................................. 123 13.3 IMPLEMENTACIÓN ........................................................................................ 124 13.4 EVALUACIÓN Y MEJORAMIENTO CONTINUO DEL PLAN ..................................... 125

14. ANEXOS ........................................................................................................ 126

15. CONTROL DE CAMBIOS DEL DOCUMENTO ....................................................... 127Manual

Sistema Integral de Administración de Riesgos

MACROPROCESO / PROCESO:

ASEGURAMIENTO DE LA GESTIÓN / GESTIÓN INTEGRAL DE RIESGOS

CÓDIGO:

AGE-GRI-MAN-009

VERSIÓN:

7

PÁGINA 5 de 130

TÍTULO I. DISPOSICIONES GENERALES

1. INTRODUCCIÓN

En un entorno de constante evolución y cambio, identificar, valorar y gestionar los riesgos y oportunidades a los que se enfrenta una empresa, es fundamental para su desarrollo y crecimiento.

Es por ello que, para Colpensiones, la Gestión Integral de Riesgos es un eje fundamental para el logro de sus objetivos estratégicos, tácticos y por procesos. Bajo esta premisa, se ha definido el marco de actuación sobre el cual se gestionan los riesgos en la entidad, estableciendo políticas, responsabilidades, proce dimientos y metodologías, que deberán ser consideradas por todos sus grupos de interés, (colaboradores, proveedores, órganos de control, ciudadanos, etc), para una

responsabilidades, proce dimientos y metodologías, que deberán ser consideradas por todos sus grupos de interés, (colaboradores, proveedores, órganos de control, ciudadanos, etc), para una adecuada administración de los diferentes riesgos a los que se enfrenta la entidad en la búsqueda de sus objetivos estratégicos, en el cumplimiento del plan de acción institucional y en el desarrollo de sus procesos.

Para la definición de este marco de actuación y en línea con los objetivos estratégicos de Colpensiones, se consideraron las mejores prácticas en materia de gestión de riesgos, tomando como referencias principales el marco de normas ISO, en especial la norma técnica colombiana NTC -ISO 31000, el Modelo Integrado de Administración de Riesgo emitido por el Committee of Sponsoring Organizations of the Treadway Commission - COSO ERM, los acuerdos emitidos por el Comité de Basilea, la Guía para la administración del riesgo y el diseño de controles en entidades públicas emitida por el Departamento Administrativo de la Función Pública y las recomendaciones en materia de gestión de riesgo de la Organización Internacional de Supervisores de Pensiones y la Organización para la Cooperación y el Desarrollo Económico OCDE.

De igual forma, y como entidad vigilada por la Superintendencia Financiera de Colombia, se consideró el marco normativo emitido por dicha entidad, en materia de Gestión de Riesgos.

2. OBJETIVO GENERAL DE LA GESTIÓN INTEGRAL DE RIESGOS

Crear y proteger el valor para Colpensiones dentro del apetito de riesgo definido, a través de un marco claro de políticas, lineamientos, responsabilidades, procedimientos y metodologías que permitan la identificación, valoración, tratamiento, seguimiento y comunicación eficiente y eficaz de los riesgos a

claro de políticas, lineamientos, responsabilidades, procedimientos y metodologías que permitan la identificación, valoración, tratamiento, seguimiento y comunicación eficiente y eficaz de los riesgos a los que se ve expuesta la entidad a nivel es tratégico, táctico y por proceso, promoviendo la cultura de gestión de riesgos en todos los niveles de la organización, reduciendo los efectos no deseados, potenciando las oportunidades y contribuyendo al cumplimiento de los objetivos y metas institucionales.Manual Sistema Integral de Administración de Riesgos

MACROPROCESO / PROCESO:

ASEGURAMIENTO DE LA GESTIÓN / GESTIÓN INTEGRAL DE RIESGOS

CÓDIGO:

AGE-GRI-MAN-009

VERSIÓN:

7

PÁGINA 6 de 130

2.1. OBJETIVOS ESPECÍFICOS

a. Establecer y divulgar el marco de políticas y lineamientos para la gestión de riesgos, considerando el conocimiento y puntos de vista de todas las partes interesadas.

b. Establecer y divulgar el marco integral de apetito de riesgo de la entidad, abarcando las diferentes tipologías de riesgo a las que se ve expuesta Colpensiones, con el fin de que el mismo sea considerado por la organización en la toma de decisiones y asignación de recursos.

c. Definir con claridad el marco de gobierno y las responsabilidades de todos los roles presentes en la gestión de riesgos y en todos los niveles de la organización.

d. Definir e implementar metodologías, procedimientos y herramientas que permitan gestionar los diferentes componentes del sistema de administración de riesgos de manera integral para las

la gestión de riesgos y en todos los niveles de la organización.

d. Definir e implementar metodologías, procedimientos y herramientas que permitan gestionar los diferentes componentes del sistema de administración de riesgos de manera integral para las diferentes tipologías de riesgo y de manera integrada a todas las actividades de la organización

e. Establecer los mecanismos de seguimiento a los riesgos a los que se ve expuesta la entidad con el fin de generar alertas tempranas, corregir tendencias negativas que impliquen el asumir un mayor riesgo al permitido y mejorar los procesos y el control interno de la entidad.

f. Determinar los criterios, parámetros y alcance a considerar en el establecimiento de un plan de capacitación sobre la administración de riesgos que permita profundizar los conocimientos, desarrollar nuevas habilidades y mantener las existentes.

g. Definir e implementar un proceso de comunicación eficaz sobre la gestión de riesgos que apoye el proceso de toma de decisiones y al mejoramiento continuo.

h. Asegurar el cumplimiento del marco normativo en materia de gestión de riesgos, aplicable a Colpensiones.

3. ALCANCE

La administración integral de riesgos es responsabilidad de todos los servidores públicos y colaboradores de Colpensiones, así como, de los terceros que apoyan el cumplimiento de sus objetivos.

Tiene alcance sobre el direccionamiento estratégicos de la entidad (Riesgos Estratégicos), los proyectos desarrollados para alcanzar sus metas (Riesgos Tácticos) y los procesos empleados para el cumplimiento de su objeto social (Riesgos por procesos).

Por lo anterior, es de vital importancia para Colpens iones sensibilizar a todos sus colaboradores

proyectos desarrollados para alcanzar sus metas (Riesgos Tácticos) y los procesos empleados para el cumplimiento de su objeto social (Riesgos por procesos).

Por lo anterior, es de vital importancia para Colpens iones sensibilizar a todos sus colaboradores respecto de la importancia de contar con una visión integral y estratégica sobre la identificación, elManual Sistema Integral de Administración de Riesgos

MACROPROCESO / PROCESO:

ASEGURAMIENTO DE LA GESTIÓN / GESTIÓN INTEGRAL DE RIESGOS

CÓDIGO:

AGE-GRI-MAN-009

VERSIÓN:

7

PÁGINA 7 de 130

análisis, la evaluación, el tratamiento, monitoreo y comunicación de los riesgos de forma que se dé cumplimiento a la misión y objetivos de Colpensiones.

Este manual describe la administración de riesgos de forma integrada, basado en una metodología estandarizada para los diferentes riesgos que afectan a la entidad, incluyendo: operacional, continuidad del nego cio, fraude y corrupción, seguridad de la inform ación y ciberseguridad, financieros, lavado de activos y financiación del terrorismo.

4. MARCO LEGAL Y DE REFERENCIA

El presente Manual se establece conforme al marco regulatorio vigente aplicable a Colpensiones expedido por la Superintendencia Financiera de Colombia en lo relativo a los Sistemas de Administración de Riesgos (Operacional, Continuidad del Negocio, Lavado de Activos y Financiación del Terrorismo, Seguridad de la información y Ciberseguridad, Financieros) y el Sistema de Control Interno; los documentos establecidos por el Departamento Administrativo de la Función Pública con

del Terrorismo, Seguridad de la información y Ciberseguridad, Financieros) y el Sistema de Control Interno; los documentos establecidos por el Departamento Administrativo de la Función Pública con relación al Modelo Integrado de P laneación y Gestión -MIPG– y la Guía para la administración del riesgo y el diseño de controles en entidades públicas.

Adicional a lo anterior, y con el objetivo de adoptar las mejores prácticas en materia de gestión de Riesgos, Colpensiones ha considerado los siguientes marcos de referencia:

• Marco de normas establecidas por el Organismo Internacional de Estandarización (ISO), entre las que se encuentran: o ISO 9001 - Sistema de Gestión de Calidad – Requisitos o ISO 31000 - Gestión de Riesgos – Directrices o ISO 27001 – Seguridad de la Información o ISO 27005 – Gestión de Riesgos de Seguridad de la Información o ISO22301 – Continuidad del Negocio • El Marco Integrado para la Gestión de Riesgos Corporativos emitido por el Committe Of Sponsoring Organizations of the Treadway Commission – COSO ERM. • Las recomendaciones en materia de riesgos definidas en los acuerdos de supervisión bancaria emitidos por el Comité de Basilea. • Las recomendaciones dadas en materia de riesgos por la Organización Internacional de Supervisores de Pensiones (IOPS) y la Organización pa ra la Cooperación y el Desarrollo

Económico (OECD).Manual Sistema Integral de Administración de Riesgos

MACROPROCESO / PROCESO:

ASEGURAMIENTO DE LA GESTIÓN / GESTIÓN INTEGRAL DE RIESGOS

CÓDIGO:

AGE-GRI-MAN-009

VERSIÓN:

7

MACROPROCESO / PROCESO:

ASEGURAMIENTO DE LA GESTIÓN / GESTIÓN INTEGRAL DE RIESGOS

CÓDIGO:

AGE-GRI-MAN-009

VERSIÓN:

7

PÁGINA 8 de 130

5. DEFINICIONES

Activos de información: Cualquier elemento que contenga, datos que tienen valor para uno o más procesos de la organización y debe protegerse. (ISO/IEC 27001:2013).

Amenaza: Son los eventos que pueden causar la afectación de la confidencialidad, integridad o disponibilidad de la información y se deben clasificar de acuerdo con los tipos de contenedores de los activos de información.

Ciberseguridad: Es el desarrollo de capacidades empresariales para defender y anticipar las amenazas cibernéticas con el fin de proteger y asegurar los datos, sistemas y aplicaciones en el ciberespacio que son esenciales para la operación de la entidad. (Circular Básica Jurídica, Parte I, Tí tulo IV, Capítulo V “Requerimientos mínimos para la gestión del riesgo de ciberseguridad” agregado por la Circular Externa 008 de 2018).

Corrección: Acción para eliminar una no conformidad detectada.

Corrupción: Cualquier acción u omisión cometida por u n servidor, colaborador o tercero de la entidad, usando las facultades o funciones del cargo confiado por la entidad para su desarrollo, con el fin de desviar la gestión hacia un beneficio particular.

De acuerdo con las definiciones establecidas, la corrupción es una clasificación del fraude, que implica una calificación del sujeto que realiza el acto, teniendo en cuenta que son personas con poder o

el fin de desviar la gestión hacia un beneficio particular.

De acuerdo con las definiciones establecidas, la corrupción es una clasificación del fraude, que implica una calificación del sujeto que realiza el acto, teniendo en cuenta que son personas con poder o incidencia en la toma de decisiones y la administración de los recursos de Colpensiones.

Declaración de ap etito por el riesgo (DAR): Informe escrito en donde la Junta Directiva y la Presidencia informan los diferentes tipos de riesgo en los que Colpensiones está dispuesta a aceptar, asumir o evitar para lograr sus objetivos estratégicos.

Evento: Incidente o s ituación que ocurre en un lugar particular durante un intervalo de tiempo determinado.

Eventos de pérdida: Son aquellos incidentes que generan pérdidas por riesgo a la entidad.

Factores de riesgo: Se entiende por factores de riesgo, las fuentes generadoras de riesgos que pueden o no generar pérdidas.

Fraude: Cualquier acción u omisión intencional realizada con el fin de obtener un provecho económico ilícito o de cualquier otra índole , en detrimento de los intereses de la entidad o de un tercero.Manual

Sistema Integral de Administración de Riesgos

MACROPROCESO / PROCESO:

ASEGURAMIENTO DE LA GESTIÓN / GESTIÓN INTEGRAL DE RIESGOS

CÓDIGO:

AGE-GRI-MAN-009

VERSIÓN:

7

PÁGINA 9 de 130

Gestión del Riesgo: Proceso efectuado por todo el personal para proporcionar a la administración un aseguramiento razonable con respecto al logro de los objetivos.

7

PÁGINA 9 de 130

Gestión del Riesgo: Proceso efectuado por todo el personal para proporcionar a la administración un aseguramiento razonable con respecto al logro de los objetivos.

Límites: Medidas cuantitativas desarrolladas con base en supuestos, utilizadas para la def inición del apetito de riesgos de la Entidad e incorporadas en la declaración del apetito de riesgos.

Manual de Riesgo: Es el documento que contiene las políticas, objetivos, estructura organizacional, estrategias, los procesos y procedimientos aplicables en el desarrollo, implementación y seguimiento del Sistema Integral de Administración de Riesgos.

Mapa de Riesgos: Instrumento que permite representar gráficamente la información resultante de la gestión de riesgos.

Marco de apetito de riesgo (MAR): Conjunto de Políticas, metodologías, procedimientos y controles a partir del cual Colpensiones establece, comunica y monitorea el apetito de riesgo. Debe tener en consideración los riesgos tanto financieros, como no financieros, así como los que afectan la reputación de la entidad.

Pérdida: Cuantificación económica de la ocurrencia de un evento, así como los gastos derivados de su atención.

Pérdida Bruta: Se entiende una pérdida antes de recuperaciones de cualquier tipo.

Pérdida Neta: Se entiende la pérdida después de tener en consideración los efectos de las recuperaciones. La recuperación es un hecho independiente, relacionado con el evento de pérdida bruta, que no necesariamente se efectúa en el mismo periodo por el que se perciben fondos o flujos económicos.

Perfil de riesgo: Resultado consolidado de la medición permanente de los riesgos a los que se ve

bruta, que no necesariamente se efectúa en el mismo periodo por el que se perciben fondos o flujos económicos.

Perfil de riesgo: Resultado consolidado de la medición permanente de los riesgos a los que se ve expuesta la entidad.

Plan de contingencia: Conjunto de acciones y recursos para responder a las fallas e interrupciones específicas de un sistema o proceso.

Plan de continuidad del negocio: Conjunto detallado de acciones que describen los procedimientos, los sistemas y los recursos necesarios para retornar y continuar la operación, en caso de interrupción.

Riesgo: El riesgo es el efecto de la incertidumbre y dicha incertidumbre puede tener efectos positivos o negativos. Una desviación positiva que surge de un riesgo puede proporcionar una oportunidad, pero no todos los efectos positivos del riesgo tienen como resultado oportunidades.Manual

Sistema Integral de Administración de Riesgos

MACROPROCESO / PROCESO:

ASEGURAMIENTO DE LA GESTIÓN / GESTIÓN INTEGRAL DE RIESGOS

CÓDIGO:

AGE-GRI-MAN-009

VERSIÓN:

7

PÁGINA 10 de 130

Riesgo de cumplimiento: Es la posibilidad de incurrir en sanciones administrativas, legales y financieras o en dado caso en la pérdida de reputación por el incumplimiento de las normas, disposiciones legales o regulatorias, código de conducta y estándares adoptados por la Entidad.

Riesgo de contagio: Es la posibilidad de pérdida que una entidad puede sufrir, directa o indirectamente, por una acción o experiencia de un vinculado. El vinculado es el relacionado o

Riesgo de contagio: Es la posibilidad de pérdida que una entidad puede sufrir, directa o indirectamente, por una acción o experiencia de un vinculado. El vinculado es el relacionado o asociado e incluye personas naturales o jurídicas que tienen posibilidad de ejercer influencia sobre la entidad.

Riesgo de terceras partes : Se entiende como la posibilidad de ocurrencia de sucesos (positivos o negativos), a raíz de la relación u arreglo de negocios que la entidad tiene con una tercera parte. Estos sucesos inciertos pueden afectar los objetivos y metas de la entidad contratante.

Riesgo Emergente: Los riesgos emergentes son eventos nuevos e imprevistos y/o la evolución de riesgos conocidos previamente que la entidad no ha comprendido o permitido.

Riesgo inherente: Nivel de riesgo propio de la actividad, sin tener en cuenta el efecto de los controles.

El riesgo inherente puede reducirse de acuerdo con la gestión operativa de la entidad, lo cual se hace a través de la adopción de políticas, procesos, procedimientos, y definición de perfiles de los funcionarios, previo a su contratación entre otros.

Riesgo legal: Es la posibilidad de pérdida en que incurre una entidad al ser sancionada u obligada a indemnizar daños como resultado del incumplimiento de normas o regulac iones y obligaciones contractuales.

El riesgo legal surge también como consecuencia de fallas en los contratos y transacciones, derivadas de actuaciones malintencionadas, negligencia o actos involuntarios que afectan la formalización o ejecución de contratos o transacciones. Aplica a todas las actividades e incluye a terceros que actúen en representación de la entidad respecto de los procesos y/o actividades tercerizadas.

de actuaciones malintencionadas, negligencia o actos involuntarios que afectan la formalización o ejecución de contratos o transacciones. Aplica a todas las actividades e incluye a terceros que actúen en representación de la entidad respecto de los procesos y/o actividades tercerizadas.

Riesgo reputacional: Es la posibilidad de pérdida en que incurre una entidad por des prestigio, mala imagen, publicidad negativa, cierta o no, respecto de la institución y sus prácticas de negocios, que cause pérdida de clientes, disminución de ingresos o procesos judiciales.

Riesgo residual: Es el nivel resultante del riesgo después de aplicar los controles.

Tercera parte: Organización / Entidad (Persona Natural o Jurídica), que tiene un acuerdo, relación contractual o no contractual, con el propósito de proveer o suministrar un bien, servicio o producto, o un beneficio a Colpensiones. Ejemplos de Terceras Partes: contrapartes, proveedores de servicios y productos, entidades sin ánimo de lucro, consultores, firmas de abogados, entidades de servicios públicos, distribuidores, etc.Manual

Sistema Integral de Administración de Riesgos

MACROPROCESO / PROCESO:

ASEGURAMIENTO DE LA GESTIÓN / GESTIÓN INTEGRAL DE RIESGOS

CÓDIGO:

AGE-GRI-MAN-009

VERSIÓN:

7

PÁGINA 11 de 130

Tipo de riesgo: Se refiere a los diferentes ri esgos a los cuales se enfrenta la entidad, según corresponda que con carácter enunciativo y no limitativo pueden corresponder a los riesgos operacionales, de continuidad del negocio, de seguridad de la información y ciberseguridad,

Tipo de riesgo: Se refiere a los diferentes ri esgos a los cuales se enfrenta la entidad, según corresponda que con carácter enunciativo y no limitativo pueden corresponder a los riesgos operacionales, de continuidad del negocio, de seguridad de la información y ciberseguridad, financieros, de fraude y corrupción, de lavado de activos y financiación del terrorismo.

Tratamiento al riesgo: Es la acción que la entidad toma para prevenir o mitigar los impactos de eventos que afectaría el logro de objetivos, mediante una apropiada definición e implementación de controles, de manera que los riesgos se sitúen en un nivel tolerable por la institución.

Vulnerabilidad: Son las debilidades identificadas en los procesos, tecnología, personas y/o la infraestructura con la que se realiza el procesamiento de la información y que son aprovechadas por las amenazas contra la confidencialidad, integridad y/o disponibilidad de la información.Manual

Sistema Integral de Administración de Riesgos

MACROPROCESO / PROCESO:

ASEGURAMIENTO DE LA GESTIÓN / GESTIÓN INTEGRAL DE RIESGOS

CÓDIGO:

AGE-GRI-MAN-009

VERSIÓN:

7

PÁGINA 12 de 130

TÍTULO II. GESTIÓN INTEGRAL DE RIESGOS

6. PRINCIPIOS Y POLÍTICAS

6.1. PRINCIPIOS DEL SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS

Propendiendo por la eficacia de los procesos de Colpensiones, la gestión de riesgos está basada en los siguientes principios:

✔ La gestión de riesgos crea y protege el valor:

Propendiendo por la eficacia de los procesos de Colpensiones, la gestión de riesgos está basada en los siguientes principios:

✔ La gestión de riesgos crea y protege el valor:

La gestión de riesgos en Colpensiones contribuye al logro de los objetivos estratégicos y a la mejora del desempeño organizacional.

✔ La gestión de riesgos es una parte integral de todos los procesos de la entidad:

La gestión de riesgos en Colpensiones hace parte de las actividades de todos los procesos de la entidad, incluyendo la planeación estratégica y la gestión de proyectos.

✔ La gestión de riesgos es parte de la toma de decisiones:

La gestión de riesgos hace parte fundamental en la toma de decisiones.

✔ La gestión de riesgos aborda explícitamente la incertidumbre:

La gestión de riesgos considera eventos internos o externos que se pueden llegar a presentar, así como su naturaleza y la forma en que se pueden mitigar.

✔ La gestión de riesgos es sistemática, estructurada y oportuna:

La gestión de riesgos está orientada a apoyar el cumplimiento en la promesa de servicio y se basa en un enfoque estructurado y establecido, aprobado por la Alta Dirección.

✔ La gestión de riesgos se basa en la mejor información disponible:

El proceso de gestión de riesgos se basa en fuentes de información tales como datos históricos, experiencia, retroalimentación de las partes involucradas, observación