IDEAM - Guía para la administración del riesgo

SISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 1 de 63

Introducción La gestión de riesgos propende por identificar y mitigar la ocurrencia de desviaciones que afecten la misión, visión y los objetivos estratégicos y de proceso del Instituto de Hidrología, Meteorología y Estudios Ambientales (Ideam). Por lo anterior, se han definido los elementos para la administración de riesgos con base en la "Guía para la administración del riesgo y el diseño de controles en entidades públicas" versión 6, del Departamento Administrativo de la Función Pública-DAFPObjetivo Establecer un esquema para ejercer una correcta y eficiente administración de los riesgos en el Instituto, mediante la implementación de políticas, procedimientos y controles que permitan mitigar la probabilidad de ocurrencia de los eventos que afecten los objetivos estratégicos institucionales. Como consecuencia, dicho esquema de acciones se debe orientar hacia la calidad de los procesos y la eficiencia de sus servidores para apoyar la toma de decisiones por parte de la alta dirección. Alcance Abarca tanto los procesos definidos en el "Modelo de gestión por procesos" como las tareas desarrolladas por los servidores públicos que hacen parte de las sedes, aeropuertos, estaciones y áreas operativas del Ideam. Incluye la identificación de los riesgos de gestión, corrupción, de operaciones estadísticas y estratégicas; de seguridad digital operativa; así mismo como los riesgos fiscales. Abarca la identificación, el análisis, la valoración, el tratamiento y monitoreo por la

de los riesgos de gestión, corrupción, de operaciones estadísticas y estratégicas; de seguridad digital operativa; así mismo como los riesgos fiscales. Abarca la identificación, el análisis, la valoración, el tratamiento y monitoreo por la segunda línea de defensa y el seguimiento de riesgos por la tercera línea de defensa mediante la evaluación independiente.SISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 2 de 63

Definiciones 1

Riesgo: Efecto que se causa sobre los objetivos de las entidades, debido a eventos potenciales.

Nota: Los eventos potenciales hacen referencia a la posibilidad de incurrir en pérdidas por deficiencias, fallas o inadecuaciones, en el recurso humano, los procesos, la tecnología, la infraestructura o por la ocurrencia de acontecimientos externos.

Riesgo de Seguridad de la Información : Posibilidad de que una amenaza concreta pueda explotar una vulnerabilidad para causar una pérdida o daño en un activo de información. Suele considerarse como una combinación de la probabilidad de un evento y sus consecuencias. (ISO/IEC 27000).

Riesgo de Corrupción: Posibilidad de que, por acción u omisión, se use el poder para desviar la gestión de lo público hacia un beneficio privado Riesgo fiscal: Es el efecto dañoso sobre los recursos públicos y/o los bienes y/o intereses patrimoniales de naturaleza pública, a causa de un evento pot encial.

(ver conceptos de recursos públicos, bien público e Intereses patrimoniales de naturaleza pública).

Gestión del Riesgo Fiscal: Son las actividades que debe desarrollar cada

intereses patrimoniales de naturaleza pública, a causa de un evento pot encial. (ver conceptos de recursos públicos, bien público e Intereses patrimoniales de naturaleza pública).

Gestión del Riesgo Fiscal: Son las actividades que debe desarrollar cada Entidad y todos los gestores públicos (ver concepto de gestor público) para identificar, valorar, prevenir y mitigar los riesgos fiscales (probabilidad de efecto dañoso sobre los bienes, recursos y/o intereses patrimoniales de naturaleza pública, a causa de un evento potencial).

Gestor público : Es todo aquel que participa, concur re, incide o contribuye directa o indirectamente en el manejo o administración de bienes, recursos o intereses patrimoniales de naturaleza pública, sean o no gestores fiscales, por lo tanto, son todos los gestores públicos y no sólo los que desarrollan ges tión

1 Todo lo desarrollado en este numeral es tomado de " Guía para la Administración del Riesgo y el diseño de controles en entidades públicas versión 6 “SISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 3 de 63

fiscal, los llamados a prevenir riesgos fiscales”. A título de ejemplo, además de los gestores fiscales, son gestores públicos, entre otros (sin perjuicio de las particularidades de cada entidad): los contratistas, los interventores, los supervisores y en general todos los servidores públicos.

Gestor Fiscal: Son los servidores públicos y las personas de derecho privado que manejen o administren recursos o fondos públicos, desarrollando actividades económicas, jurídicas y tecnológicas, tendientes a la a decuada y

Gestor Fiscal: Son los servidores públicos y las personas de derecho privado que manejen o administren recursos o fondos públicos, desarrollando actividades económicas, jurídicas y tecnológicas, tendientes a la a decuada y correcta adquisición, planeación, conservación, administración, custodia, explotación, enajenación, consumo, adjudicación, gasto, inversión y disposición de los bienes públicos, así como, a la recaudación, manejo e inversión de sus rentas, en orden a cumplir los fines esenciales del Estado (artículo 3 de la Ley 610 de 2000 o la norma que lo sustituya o modifique)” . A título de ejemplo son gestores fiscales, entre otros (sin perjuicio de las particularidades de cada entidad): representante legal, ordenador del gasto, autorizado para contratar, pagador, tesorero, almacenista.

Recurso público: Para efectos del capítulo de riesgos fiscales, entiéndase como recurso público, los dineros comprometidos y ejecutados en ejercicio de la función pública. Eje mplos: Los recursos de inversión y recursos de funcionamiento de cada entidad; los recursos generados por actividades comerciales, industriales y de prestación de servicios, por parte de entidades estatales; los recursos parafiscales; los recursos que resu ltan del ejercicio de funciones públicas por particulares.

Bien público: Son todos aquellos muebles e inmuebles de propiedad pública

(este concepto comprende: bienes del Estado y aquellos productos del ejercicio de una función pública a cargo de particulares). Estos se clasifican en bienes de uso público y bienes fiscales, definidos así: a) Bien de uso público: aquellos cuyo uso pertenece a todos los habitantes del territorio nacional. Ejemplos: Las calles, plazas, puentes, vías, parques etc.SISTEMA DE GESTIÓN INTEGRADO

uso público y bienes fiscales, definidos así: a) Bien de uso público: aquellos cuyo uso pertenece a todos los habitantes del territorio nacional. Ejemplos: Las calles, plazas, puentes, vías, parques etc.SISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 4 de 63

b) Bienes fis cales: aquellos que están destinados al cumplimiento de las funciones o servicios públicos (Consejo de Estado, 2012), es decir, afectos al desarrollo de su misión y utilizados para sus actividades. Ejemplos: Los terrenos, edificios, oficinas, colegios, hos pitales, otras construcciones, fincas, granjas, equipos, enseres, mobiliario etc. Intereses patrimoniales de naturaleza pública: Son expectativas razonables de beneficios, que en condiciones normales se espera obtener o recibir y que sean susceptible de estimación económica. A diferencia del recurso público, los intereses patrimoniales de naturaleza pública son expectativas.

Ejemplos: Son algunos ejemplos de intereses patrimoniales de naturaleza pública, la rentabilidad proyectada de cualquier inversión pública, es decir antes de que se causen o generen efectivamente; la cobertura de garantías y pólizas; la participación accionaria pública en una empresa de economía mixta o en una empresa de servicios públicos con socio o socios públicos; los rendimientos financieros y frutos de recursos públicos cuando se proyectan, es decir antes de que se causen o generen efectivamente; así como, los intereses moratorios, indexaciones, actualización del dinero en el tiempo, estimación de pérdida de

financieros y frutos de recursos públicos cuando se proyectan, es decir antes de que se causen o generen efectivamente; así como, los intereses moratorios, indexaciones, actualización del dinero en el tiempo, estimación de pérdida de costo de oportunidad, cuando se trata de cobrar recursos públicos que un tercero debe; explotación de bienes públicos y/o recaudo de recursos públicos por un particular sin contrato o habilitación legal.

Patrimonio público: se entiende como el conjunto de bienes o recursos o intereses patrimoniales de naturaleza pública, susceptibles de estimación económica (artículo 6 Ley 610 de 2000 y sentencia C340-07).

Oportunidades: Riesgos positivos, entendidos como oportunidades externas o fortalezas internas que permiten orientar y alinear los riesgos con los objetivos estratégicos y dar cumplimiento a la normatividad legal vigente.

Probabilidad: se entiende la posibilidad de ocurrencia del riesgo. Estará asociada a la exposición al riesgo del proceso o actividad que se esté analizando.

La probabilidad inherente será el número de veces que se pasa por el punto de riesgo en el periodo de 1 año.SISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 5 de 63

Causa: todos aquellos factores internos y externos que solos o en combinación con otros, pueden producir la materialización de un riesgo Causa Inme diata: Circunstancias bajo las cuales se presenta el riesgo, pero no constituyen la causa principal o base para que se presente el riesgo. Nota: Tratándose de riesgo fiscal,

con otros, pueden producir la materialización de un riesgo Causa Inme diata: Circunstancias bajo las cuales se presenta el riesgo, pero no constituyen la causa principal o base para que se presente el riesgo. Nota: Tratándose de riesgo fiscal, se usa el término circunstancia inmediata (Causa Inmediata, pero se asocia a la misma causa inmediata.

Causa Raíz: Causa principal o básica, corresponde a las razones por la cuales se puede presentar el riesgo. Causa Raíz (Causa Eficiente o Causa Adecuada): Es el evento (acción u omisión) que de presentarse es generador directo de un efecto dañoso sobre los bienes, recursos o intereses patrimoniales de naturaleza pública. Es la condición necesaria, de tal forma que, si ese hecho no se produce, el daño no se genera. Así las cosas, la causa raíz se asocia con aquel hecho potencial generador del daño.

Consecuencia: los efectos o situaciones resultantes de la materialización del riesgo que impactan en el proceso, la entidad, sus grupos de valor y demás partes interesadas. Nota: Tratándose de riesgo fiscal, el impacto siempre será económico y se identificará en la redacción de riesgos como efecto dañoso, sobre bienes públicos, recursos públicos o intereses patrimoniales públicos.

Punto de Riesgo : Actividades en las que potencialmente se genera riesgo.

Tratándose de riesgo fiscal los puntos de r iesgo son todas las actividades que representen gestión fiscal, por ejemplo, aquellas de administración, gestión, ordenación, ejecución, manejo, adquisición, planeación, conservación, custodia, explotación, enajenación, consumo, adjudicación, gasto, inversión y disposición

representen gestión fiscal, por ejemplo, aquellas de administración, gestión, ordenación, ejecución, manejo, adquisición, planeación, conservación, custodia, explotación, enajenación, consumo, adjudicación, gasto, inversión y disposición de los bienes o recursos públicos o intereses de naturaleza pública. Para la identificación y priorización de los puntos de riesgo, la entidad deberá tener en cuenta aquellas actividades en las cuales se han presentado advertencias, alertas, hallazgos fiscales y/o fallos con responsabilidad fiscal, así como, aquellas actividades que la organización identifique que pueden generar riesgos fiscales.SISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 6 de 63

Control: Medida que permite reducir o mitigar un riesgo.

Riesgo Inherente: Nivel de riesgo pro pio de la actividad. El resultado de combinar la probabilidad con el impacto, nos permite determinar el nivel del riesgo inherente, dentro de unas escalas de severidad.

Riesgo Residual: El resultado de aplicar la efectividad de los controles al riesgo inherente.

Confidencialidad: Propiedad de la información que la hace no disponible o sea divulgada a individuos, entidades o procesos no autorizados Integridad: Propiedad de exactitud y completitud.

Disponibilidad: Propiedad de ser accesible y utilizable a dem anda por una entidad.

Vulnerabilidad: Representan la debilidad de un activo o de un control que puede ser explotada por una o más amenazas.

Activo: En el contexto de seguridad digital son elementos tales como aplicaciones de la organización, servicios web, redes, Hardware, información

Vulnerabilidad: Representan la debilidad de un activo o de un control que puede ser explotada por una o más amenazas.

Activo: En el contexto de seguridad digital son elementos tales como aplicaciones de la organización, servicios web, redes, Hardware, información física o digital, recurso humano, entre otros, que utiliza la organización para funcionar en el entorno digital.

Nivel de riesgo : Es el valor que se determina a partir de combinar la probabilidad de ocurrencia de un evento pot encialmente dañino y la magnitud del impacto que este evento traería sobre la capacidad institucional de alcanzar los objetivos. En general la fórmula del Nivel del Riesgo poder ser Probabilidad Impacto, sin embargo, pueden relacionarse las variables a t ravés de otras maneras diferentes a la multiplicación, por ejemplo, mediante una matriz de

Probabilidad – Impacto.

Apetito de riesgo : Es el nivel de riesgo que la entidad puede aceptar, relacionado con sus Objetivos, el marco legal y las disposiciones de l a Alta Dirección y del Órgano de Gobierno. El apetito de riesgo puede ser diferente para los distintos tipos de riesgos que la entidad debe o desea gestionar.SISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 7 de 63

Tolerancia del riesgo: Es el valor de la máxima desviación admisible del nivel de riesgo con respecto al valor del Apetito de riesgo determinado por la entidad.

Capacidad de riesgo: Es el máximo valor del nivel de riesgo que una Entidad puede soportar y a partir del cual se considera por la Alta Dirección y el Órgano de Gobierno que no sería posible el logro de los objetivos de la Entidad.

Capacidad de riesgo: Es el máximo valor del nivel de riesgo que una Entidad puede soportar y a partir del cual se considera por la Alta Dirección y el Órgano de Gobierno que no sería posible el logro de los objetivos de la Entidad.

Capacidad de riesgo: Es el máximo valor del nivel de riesgo que una Entidad puede soportar y a partir del cual se considera por la Alta Dirección y el Órgano de Gobierno que no sería posible el logro de los objetivos de la Entidad.

Modelo Integrado de Planeación y Gestión: El MIPG es el marco de referencia para dirigir, planear, ejecutar, hacer seguimiento, evaluar y controlar la gestión de las entidades públicas con el fin de generar resultados que atiendan a los planes de desarrollo y que resuelvan las necesidades y problemas de los ciudadanos con integridad y calidad en los servicios.

Monitoreo de riesgo: es la actividad que se realiza a fin de garantizar que las condiciones del riesgo no han cambiado y que no se está superando los niveles de tolerancia establecidos, Su propósito e s desarrollar las actividades de supervisión continua (controles permanentes) en el día a día de las actividades, así como evaluaciones periódicas

(autoevaluación, auditorías) que permiten valorar: (i) la efectividad del control interno de la entidad públ ica; (ii) la eficiencia, eficacia y efectividad de los procesos; (iii) el nivel de ejecución de los planes, programas y proyectos; (iv) los resultados de la gestión, con el propósito de detectar desviaciones, establecer tendencias, y generar recomendacione s para orientar las acciones de mejoramiento de la entidad pública Tratamiento de riesgo : Es la respuesta establecida por la primera línea de defensa para la mitigación de los diferentes riesgos, los cuales estarán enfocados

tendencias, y generar recomendacione s para orientar las acciones de mejoramiento de la entidad pública Tratamiento de riesgo : Es la respuesta establecida por la primera línea de defensa para la mitigación de los diferentes riesgos, los cuales estarán enfocados en aceptar, reducir, evitar y/o compartir el riesgo.SISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 8 de 63

Siglas

MIPG: Modelo Integrado de Planeación y Gestión DAFP: Departamento Administrativo de la Función Pública Tics: Gestión de las Tecnología de la Información y la Comunicaciones MECI: Modelo Estándar de Control Interno Marco normativo La gestión de los riesgos en el Instituto se enmarca en el siguiente conjunto de normas que rigen la administración del riesgo como apoyo al buen gobierno corporativo y mejores medidas de control en las entidades Constitución P olítica de Colombia de 1991, artículo 209. La función administrativa está al servicio de los intereses generales y se desarrolla con fundamento en los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, mediante la descentralización, la delegación y la desconcentración de funciones. Las autoridades administrativas deben coordinar sus actuaciones para el adecuado cumplimiento de los fines del Estado. La administración pública, en todos sus órdenes, tendrá un control interno que se ejercerá en los términos que señale la ley.

Constitución Política de Colombia, artículo 269. En las entidades públicas, las autoridades correspondientes están obligadas a diseñar y aplicar, según la naturaleza de sus funciones, métodos y pr ocedimientos de control interno, de

Constitución Política de Colombia, artículo 269. En las entidades públicas, las autoridades correspondientes están obligadas a diseñar y aplicar, según la naturaleza de sus funciones, métodos y pr ocedimientos de control interno, de conformidad con lo que disponga la ley, la cual podrá establecer excepciones y autorizar la contratación de dichos servicios con empresas privadas colombianas. Ley 87 de 1993. Por la cual se establecen normas para el ejercicio del control interno en las entidades y organismos del Estado y se dictan otras disposiciones. Ley 489 de 1998. Estatuto Básico de Organización y funcionamiento de la administración pública.SISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 9 de 63

Decreto 2145 de 1999. Por el cual se dictan normas sobre el Sistema Nacional de Control Interno de las Entidades y Organismos de la Administración Pública del Orden Nacional y territorial y se dictan otras disposiciones. Modificado parcialmente por el Decreto 2593 del 2000. Directiva Presidencial 09 de 1999. Lineamientos para la implementación de la política de lucha contra la corrupción. Decreto 1537 de 2001. Por el cual se reglamenta parcialmente la Ley 87 de 1993 en cuanto a elementos técnicos y administrativos que fortalezcan el sistema de control interno de las entidades y organismos del Estado. Ley 872 de 2003. Establece el Sistema de Gestión de la Calidad en la Rama Ejecutiva del Poder Público y en otras entidades prestadoras de servicios. Decreto 943 de 2014. Por el cual se actualiza el Modelo Estándar de Control Interno (MECI).

Ejecutiva del Poder Público y en otras entidades prestadoras de servicios. Decreto 943 de 2014. Por el cual se actualiza el Modelo Estándar de Control Interno (MECI). Decreto 1499 de 2017. Por medio del cual se modifica el Decreto 1083 de 2015, Decreto Único Reglamentario del Sector Función Pública, en lo relacionado con el Sistema de Gestión establecido en el artículo 133 de la Ley 1753 de 2015. NTCPE 1000 -2020. Norma Técnica de la Calidad del Proceso Estadístico. Requisitos de Calidad para la Generación de estadísticas. DANE-ICONTEC NTC ISO 27005:2009. Tecnología de la Información – Técnicas de Seguridad – Gestión del Riesgo en la Seguridad de la Información NTC ISO 31000:2018. Gestión del Riesgo – Principios y Directrices. Política de administración del riesgo El Instituto de hidrología meteorología y estudios ambientales -Ideam, en cumplimiento a su misionalidad, se compromete con sus grupos de valor y de interés a establecer medidas y herramientas encaminadas a controlar los efectos, mitigar su impacto y aprovechar las oportunidades para mejorar la eficacia del Sistema de Gestión Integrado-SGI, para de esta manera, responderSISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 10 de 63

a los acontecimie ntos y potenciales acciones de riesgos de corrupción, de gestión, fiscales y de seguridad de la información (para activos con nivel crítico y de conservación digital) que puedan afectar el desempeño de sus procesos y

a los acontecimie ntos y potenciales acciones de riesgos de corrupción, de gestión, fiscales y de seguridad de la información (para activos con nivel crítico y de conservación digital) que puedan afectar el desempeño de sus procesos y el logro de sus objetivos institucionales. Por lo anterior, la Alta Dirección vela por la administración integral del riesgo, fomentando la participación de los servidores públicos y demás colaboradores, propiciando procesos permanentes de comunicación, revisión, seguimiento y control a las acciones de mejora para el tratamiento de los riesgos y potencializar las oportunidades Además, teniendo en cuenta que la estructura de la entidad es dinámica en el tiempo, los instrumentos diseñados para la administración del riesgo son susceptibles de mej ora y serán revisados continuamente para ello, la descripción, actualización, monitoreo y seguimiento los cuales podrán ser consultados en la página web de la entidad, conforme a la política transparencia y acceso a la información pública del MIPG. Roles y responsabilidades De conformidad a lo establecido en el Modelo Integrado de Planeación y Gestión -MIPG, a continuación, se relacionan las políticas y líneas de defensa con sus correspondientes niveles de responsabilidad y autoridad establecidos para la administración del riesgo, buscando una adecuada gestión y prevención de la materialización de estos.SISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 11 de 63

Ilustración 1 Alineación de la Gestión del riesgo con el Modelo Integrado de Planeación y Gestión - MIPG

Fuente: Guía para l a administración del riesgo y el diseño de controles en entidades públicas

Página 11 de 63

Ilustración 1 Alineación de la Gestión del riesgo con el Modelo Integrado de Planeación y Gestión - MIPG

Fuente: Guía para l a administración del riesgo y el diseño de controles en entidades públicas

Los roles y las responsabilidades en la gestión del riesgo son de carácter integral y diferenciado, y participan todos los niveles de la gestión institucional. De esta manera se asegura el logro, anticipándose y minimizando los riesgos que pueden afectar a la entidad. Esta gestión se desarrolla mediante las líneas de defensa estratégica y de responsabilidad de la gestión del riesgo y control.

Tabla 1 Roles y responsabilidades frente a la gestión del riesgo Línea de defensa Conformada por Funciones frente a la gestión del riesgo Línea de defensa estratégica Dirección general, Comité Institucional de Control Interno • Emitir, revisar, validar y supervisar el c umplimiento de políticas en materia de controlSISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 12 de 63

Línea de defensa Conformada por Funciones frente a la gestión del riesgo interno, gestión del riesgo, seguimientos a la gestión y auditoría interna para toda la entidad. • Fortalecer el Comité Institucional de Coordinación de Control Interno, incrementando su periodicidad para las reuniones. • Evaluar el funcionamiento del Esquema de Líneas de Defensa, incluyendo la línea estratégica.

• Fortalecer el Comité Institucional de Coordinación de Control Interno, incrementando su periodicidad para las reuniones. • Evaluar el funcionamiento del Esquema de Líneas de Defensa, incluyendo la línea estratégica. • Definir líneas de reporte

(canales de comunicación) en temas clave para la toma de decisiones, atendiendo el Esquema de Líneas de Defensa. • Definir y evaluar la "Política de administración del riesgo". La evaluación debe considerar su aplicación en la entidad, los cambios en el entorno que puedan definir ajustes, dificultades para su desarrollo, riesgos emergentes. • Evaluar la política de gestión estratégica del talento humano (forma de provisión de los cargos, capacitación, código de Integridad, bienestar).SISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 13 de 63

Línea de defensa Conformada por Funciones frente a la gestión del riesgo Primera línea de defensa Servidores en sus diferentes niveles, líderes o responsables de proceso • Mantener controles internos efectivos; por c onsiguiente, identificar, evaluar, controlar y mitigar los riesgos. Aspectos que debe tener en cuenta la línea de defensa: • El conocimiento y la apropiación de políticas, procedimientos, manuales, protocolos y otras herramientas que faciliten tomar accion es para el autocontrol en sus puestos de

debe tener en cuenta la línea de defensa: • El conocimiento y la apropiación de políticas, procedimientos, manuales, protocolos y otras herramientas que faciliten tomar accion es para el autocontrol en sus puestos de trabajo. • La identificación de riesgos y el establecimiento de controles, así como el seguimiento, acorde con su diseño, con el fin de evitar la materialización de estos. • El seguimiento a los indicadores de gestión institucionales y de los procesos, según corresponda. • La formulación de planes de mejoramiento, su aplicación y seguimiento para resolver los hallazgos presentados. • La coordinación con sus equipos de trabajo, de las acciones establecidas en la plane aciónSISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 14 de 63

Línea de defensa Conformada por Funciones frente a la gestión del riesgo institucional a fin de contar con información clave para el seguimiento o autoevaluación aplicada por parte de la segunda línea de defensa. Segunda línea de defensa Jefe de Oficina Asesora de Planeación, Líderes o coordinadores de contratación, financiera y de TIC • Asegurar los controles y procesos de gestión del riesgo de la primera línea de defensa para que sean apropiados y funcionen correctamente. • Liderar el proceso de construcción de la matriz de identificación y valoración de riesgos

procesos de gestión del riesgo de la primera línea de defensa para que sean apropiados y funcionen correctamente. • Liderar el proceso de construcción de la matriz de identificación y valoración de riesgos de seguridad de la información. • Apoyar a la Alta Dirección y a los líderes de proceso para un adecuado y efectivo ejercicio de la gestión de los riesgos sobre los activos de información que afectan el cumplimiento de los Objetivos Estratégicos de la Entidad. • Informar sobre la incidencia de los riesgos de los activos de información en el logro de objetivos y evaluar si la valoración del riesgo es la apropiada. • Seguir los resultados de los planes de tratamiento desarrollados e implementados para mitigar losSISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 15 de 63

Línea de defensa Conformada por Funciones frente a la gestión del riesgo riesgos sobre los activos de información cuando haya lugar. • Analizar y consolidar los seguimientos y las actualizaciones realizadas a la matriz de identificación y valoración de riesgos de seguridad de la información. • Supervisar la eficacia e implementación de las prácticas de gestión de riesgo, ejercicio que implicará la implementación de actividades de control específicas para adelantar estos procesos de seguimiento y verificación con un enfoque basado en riesgos. • Consolidar y analizar la información sobre temas fundamentales para la entidad, como base para tomar decisiones y acciones preventivas necesarias que

para adelantar estos procesos de seguimiento y verificación con un enfoque basado en riesgos. • Consolidar y analizar la información sobre temas fundamentales para la entidad, como base para tomar decisiones y acciones preventivas necesarias que eviten materializaciones de riesgos. • Trabajar junto a las oficinas de control interno o quien haga sus veces, en el fortalecimiento del Sistema de Control Interno. • Asesorar a la primera línea de defensa en temas clave para el Sistema de Control Interno: i) riesgos y controles; ii) planes deSISTEMA DE GESTIÓN INTEGRADO Guía para la administración del riesgo

Código: SGI-G003

Versión: 07

Fecha: 01/08/2024

Página 16 de 63

Línea de defensa Conformada por Funciones frente a la gestión del riesgo mejoramiento; iii) indicadores de gestión; iv) procesos y procedimientos. • Establecer los mecanismos para la autoevaluación requerida: auditoría interna a sistemas de gestión, seguimientos a través de herramientas objetivas, informes con información de contraste que genere acc