IDEAM - SGI-Pl019 Política de Administración de Riesgos Ideam (2025)

pág. 1

SGI-PL019

SGI-PL019pág. 2

SGI-PL019

Introducción

La gestión del riesgo se constituye en un componente esencial para el fortalecimiento institucional y la garantía del cumplimiento misional del Instituto de Hidrología, Meteorología y Estudios Ambientales (I deam). A través de un enfoque preventivo y sistemático, la gestión del riesgo permite identificar, analizar y mitigar eventos que puedan generar desviaciones en el logro de la misión, visión, objetivos estratégicos y operativos del Instituto, contribuyendo así a una administración pública más eficiente, transparente y orientada a resultados. En este sentido, el I deam ha adoptado un enfoque estructurado para la administración del riesgo, fundamentado en los lineamientos establecidos en la "Guía para la administración del riesgo y el diseño de controles en entidades públicas", emitida por el Departamento Administrativo de la Función Pública (DAFP) y el “anexo 4 del Modelo de Gestión de Riesgos de Seguridad Digital” de MINTIC”. Estos documentos proporcionan un marco metodológico que facilita la identificación de eventos de riesgo, la valoración de su impacto y probabilidad, así como la definición e implementación de controles eficaces que minimicen su ocurrencia o mitiguen sus efectos. Como insumo, para la identificación de riesgos y oportunidades organizacionales, se debe establecer el contexto y posteriormente identificar los riesgos y oportunidades por cada uno de los procesos. . Así mismo, cuando se materializa un riesgo de seguridad digital, se debe activar el procedimiento de gestión de incidentes y notificar a las entidades competentes. Por otro lado, se responden a los lineamientos emitidos por

procesos. . Así mismo, cuando se materializa un riesgo de seguridad digital, se debe activar el procedimiento de gestión de incidentes y notificar a las entidades competentes. Por otro lado, se responden a los lineamientos emitidos por Superintendencia Financiera de Colombia en cuanto a gestión para identificar, evaluar y controlar los riesgos de lavado de activos y financiación del terrorismo a través de SARLAFT La implementación de esta política de gestión del riesgo no solo responde a un mandato normativo, sino que se alinea con las buenas prácticas de gobernanza institucional. A través del fortalecimiento de sus capacidades internas para anticiparse y responder proactivamente a las amenazas. El Ideam avanza hacia una cultura organizacional más resiliente, capaz de adaptarse a los cambios del entorno y asegurar la sostenibilidad de sus procesos. Objetivo

Gestionar los riesgos que puedan afectar la operación y cumplimiento de objetivos de acuerdo con el marco normativo vigente. Objetivos específicos • Mantener los riesgos institucional es en niveles bajos o moderados con controles con enfoque preventivo. • Involucrar y comprometer a todos los servidores de las entidades de la Administración Pública en la búsqueda de acciones encaminadas a prevenir y administrar los riesgos.pág. 3

SGI-PL019 • Mejorar el desempeño de la gestión del riesgo contribuyendo al logro de los objetivos a través de la identificación y tratamiento de eventos de materialización.

Alcance

Aplica a todos los procesos definidos en el Modelo de Gestión por Procesos, así como a las actividades desarrolladas por los servidores públicos en la sede central, sede de puente Aranda, aeropuertos, estaciones y áreas operativas del

Alcance

Aplica a todos los procesos definidos en el Modelo de Gestión por Procesos, así como a las actividades desarrolladas por los servidores públicos en la sede central, sede de puente Aranda, aeropuertos, estaciones y áreas operativas del Instituto. Su propósito es establecer un marco integral que permita identificar, analizar, valorar, tratar y monitorear los riesgos de gestión, corrupción, fiscales, lavado de activos, financiación del terrorismo y de seguridad de la información, bajo el enfoque de las tres líneas de defensa. La primera línea, conformada por los líderes de proceso y responsables ope rativos, es la encargada de gestionar directamente los riesgos; la segunda línea realiza el seguimiento y acompañamiento técnico a la gestión del riesgo; y la tercera línea, a través de la Oficina de Control Interno, efectúa evaluaciones independientes que fortalecen la mejora continua del sistema. Para la gestión de riesgos de seguridad de la información se debe considerar el MSPI conforme a los activos de información, la efectividad de los controles, la documentación e indicadores relacionados con el enfoque global de la organización hacia la gestión del riesgo. Definiciones1

Activo: En el contexto de seguridad digital son elementos tales como aplicaciones de la organización, servicios web, redes, Hardware, información física o digital, recurso humano, entre otros, que utiliza la organización para funcionar en el entorno digital.

Amenaza: Causa potencial de un incidente no deseado, que puede provocar daños a un sistema o a la organización. (ISO/IEC 27000).

Apetito de riesgo : Es el nivel de riesgo que la entidad puede aceptar, relacionado con sus Objetivos, el marco legal y las disposiciones de la Alta

daños a un sistema o a la organización. (ISO/IEC 27000).

Apetito de riesgo : Es el nivel de riesgo que la entidad puede aceptar, relacionado con sus Objetivos, el marco legal y las disposiciones de la Alta Dirección y del Órgano de Gobierno. El apetito de riesgo puede ser diferente para los distintos tipos de riesgos que la entidad debe o desea gestionar.

Bien público: Son todos aquellos muebles e inmuebles de propiedad pública

(este concepto comprende: bienes del Estado y aquellos productos del ejercicio de una función pública a cargo de particulares). Estos se clasifican en bienes de uso público y bienes fiscales, definidos así: a. Bien de uso público: aquellos cuyo uso pertenece a todos los habitantes del territorio nacional. Ejemplos: Las calles, plazas, puentes, vías, parques etc.

1 Todo lo desarrollado en este numeral es tomado de " Guía para la Administración del Riesgo y el diseño de controles en entidades públicas versión 6 “pág. 4

SGI-PL019

b. Bienes fiscales: aquellos que están destinados al cumplimiento de las funciones o servicios públicos (Consejo de Estado, 2012), es decir, afectos al desarrollo de su misión y utilizados para sus actividades. Ejemplos: Los terrenos, edificios, oficinas, colegios, hospital es, otras construcciones, fincas, granjas, equipos, enseres, mobiliario etc.

Capacidad de riesgo: Es el máximo valor del nivel de riesgo que una Entidad puede soportar y a partir del cual se considera por la Alta Dirección y el Órgano de Gobierno que no sería posible el logro de los objetivos de la Entidad.

Causa: todos aquellos factores internos y externos que solos o en combinación

puede soportar y a partir del cual se considera por la Alta Dirección y el Órgano de Gobierno que no sería posible el logro de los objetivos de la Entidad.

Causa: todos aquellos factores internos y externos que solos o en combinación con otros, pueden producir la materialización de un riesgo Causa Inmediata: Circunstancias bajo las cuales se presenta el riesgo, pero no constituyen la causa principal o base para que se presente el riesgo. Nota: Tratándose de riesgo fiscal, se usa el término circunstancia inmediata (Causa Inmediata, pero se asocia a la misma causa inmediata.

Causa Raíz: Causa principal o básica, corresponde a las razones por la cuales se puede presentar el riesgo. Causa Raíz (Causa Eficiente o Causa Adecuada): Es el evento (acción u omisión) que de presentarse es generador directo de un efecto dañoso sobre los bienes, recursos o intereses patrimoniales de naturaleza pública. Es la condición necesaria, de tal forma que, si ese hecho no se produce, el daño no se genera. Así las cosas, la causa raíz se asocia con aquel hecho potencial generador del daño.

Confidencialidad: Propiedad de la información que la hace no disponible o sea divulgada a individuos, entidades o procesos no autorizados Integridad: Propiedad de exactitud y completitud.

Consecuencia: los efectos o situaciones resultantes de la materialización del riesgo que impactan en el proceso, la entidad, sus grupos de valor y demás partes interesadas. Nota: Tratándose de riesgo fiscal, el impacto siempre será económico y se identificará en la redacción de riesgos como efecto dañoso, sobre

riesgo que impactan en el proceso, la entidad, sus grupos de valor y demás partes interesadas. Nota: Tratándose de riesgo fiscal, el impacto siempre será económico y se identificará en la redacción de riesgos como efecto dañoso, sobre bienes públicos, recursos públicos o intereses patrimoniales públicos.

Control: Medida que permite reducir o mitigar un riesgo.

Disponibilidad: Propiedad de ser accesible y utilizable a demanda por una entidad.

Evento De Materialización De Riesgo: el cual se define como una fuente de materialización del riesgo, un incidente que puede producir la materialización del riesgo.

Gestión del Riesgo Fiscal: Son las actividades que debe desarrollar cada Entidad y todos los gestores públicos (ver concepto de gestor público) para identificar, valorar, prevenir y mitigar los riesgos fiscales (probabilidad de efecto dañoso sobre los bienes, recursos y/o intereses patrimoniales de naturaleza pública, a causa de un evento potencial).

Gestor Fiscal: Son los servidores públicos y las personas de derecho privado que manejen o administren recursos o fondos públicos, desarrollandopág. 5

SGI-PL019 actividades económicas, jurídicas y tecnológicas, tendientes a la adecuada y correcta adquisición, planeación, conservación, administración, custodia, explotación, enajenación, consumo, adjudicación, gasto, inversión y disposición de los bienes públicos, a sí como, a la recaudación, manejo e inversión de sus rentas, en orden a cumplir los fines esenciales del Estado (artículo 3 de la Ley 610 de 2000 o la norma que lo sustituya o modifique)” . A título de ejemplo son gestores fiscales, entre otros (sin perjui cio de las particularidades de cada

rentas, en orden a cumplir los fines esenciales del Estado (artículo 3 de la Ley 610 de 2000 o la norma que lo sustituya o modifique)” . A título de ejemplo son gestores fiscales, entre otros (sin perjui cio de las particularidades de cada entidad): representante legal, ordenador del gasto, autorizado para contratar, pagador, tesorero, almacenista.

Gestor público : Es todo aquel que participa, concurre, incide o contribuye directa o indirectamente en el manejo o administración de bienes, recursos o intereses patrimoniales de naturaleza pública, sean o no gestores fiscales, por lo tanto, son todos los gestores públi cos y no sólo los que desarrollan gestión fiscal, los llamados a prevenir riesgos fiscales”. A título de ejemplo, además de los gestores fiscales, son gestores públicos, entre otros (sin perjuicio de las particularidades de cada entidad): los contratistas, los interventores, los supervisores y en general todos los servidores públicos.

Intereses patrimoniales de naturaleza pública : Son expectativas razonables de beneficios, que en condiciones normales se espera obtener o recibir y que sean susceptible de estimación económica. A diferencia del recurso público, los intereses patrimoniales de naturaleza pública son expectativas.

Ejemplos: Son algunos ejemplos de intereses patrimoniales de naturaleza pública, la rentabilidad proyectada de cualquier inversión pública, es decir antes de que se causen o generen efectivamente; la cobertura de garantías y pólizas; la participación accionaria pública en una empresa de economía mixta o en una empresa de servicios públicos con socio o socios públicos; los rendimientos financieros y frutos de recursos públicos cuando se proyectan, es decir antes de que se causen o generen efectivamente; así como, los intereses moratorios,

empresa de servicios públicos con socio o socios públicos; los rendimientos financieros y frutos de recursos públicos cuando se proyectan, es decir antes de que se causen o generen efectivamente; así como, los intereses moratorios, indexaciones, actualización del dinero en el tiempo, estimación de pérdida de costo de oportunidad, cuando se trata de cobrar recursos públicos que un tercero debe; explotación de bien es públicos y/o recaudo de recursos públicos por un particular sin contrato o habilitación legal.

Materialización De Riesgo: es la ocurrencia del riesgo, es decir, se convierte en una realidad y genera un impacto tangible.

Modelo Integrado de Planeación y Gestión: El MIPG es el marco de referencia para dirigir, planear, ejecutar, hacer seguimiento, evaluar y controlar la gestión de las entidades públicas con el fin de generar resultados que atiendan a los planes de desarrollo y que resuelvan las necesidades y proble mas de los ciudadanos con integridad y calidad en los servicios.

Monitoreo de riesgo: es la actividad que se realiza a fin de garantizar que las condiciones del riesgo no han cambiado y que no se está superando los niveles de tolerancia establecidos, Su propósito es desarrollar las actividades de supervisión continua (controles permanentes) en el día a día de las actividades, así como evaluaciones periódicas

(autoevaluación, auditorías) que permiten valorar: (i) la efectividad del controlpág. 6

SGI-PL019 interno de la entidad pública; (ii) la eficiencia, eficacia y efectividad de los procesos; (iii) el nivel de ejecución de los planes, programas y proyectos; (iv) los resultados de la gestión, con el propósito de detectar desviaciones, establecer tendencias, y generar recomendaciones para orientar las acciones de

procesos; (iii) el nivel de ejecución de los planes, programas y proyectos; (iv) los resultados de la gestión, con el propósito de detectar desviaciones, establecer tendencias, y generar recomendaciones para orientar las acciones de mejoramiento de la entidad pública Nivel de riesgo : Es el valor que se determina a partir de combinar la probabilidad de ocurrencia de un evento potencialmente dañino y la magnitud del impacto que este evento traería sobre la capacidad institucional de alcanzar los objetivos. En general la fórmula del Niv el del Riesgo poder ser Probabilidad Impacto, sin embargo, pueden relacionarse las variables a través de otras maneras diferentes a la multiplicación, por ejemplo, mediante una matriz de Probabilidad – Impacto.

Oportunidades: efectos positivos, entendidos como oportunidades externas o fortalezas internas que permiten orientar y alinear los riesgos con los objetivos estratégicos y dar cumplimiento a la normatividad legal vigente.

Patrimonio público: se entiende como el conjunto de bienes o recursos o intereses patrimoniales de naturaleza pública, susceptibles de estimación económica (artículo 6 Ley 610 de 2000 y sentencia C340-07).

Probabilidad: se entiende la posibilidad de ocurrencia del riesgo. Estará asociada a la exposición al riesgo del proceso o actividad que se esté analizando.

La probabilidad inherente será el número de veces que se pasa por el punto de riesgo en el periodo de 1 año.

Punto de Riesgo : Actividades en las que potencialmente se genera riesgo.

Tratándose de riesgo fiscal los puntos de riesgo son todas las actividades que representen gestión fiscal, por ejemplo, aquellas de administración, gestión, ordenación, ejecución, manejo, adquisición, planeación, conservación, custodia,

Tratándose de riesgo fiscal los puntos de riesgo son todas las actividades que representen gestión fiscal, por ejemplo, aquellas de administración, gestión, ordenación, ejecución, manejo, adquisición, planeación, conservación, custodia, explotación, enajenación, consumo, adjudicación, gasto, inversión y disposición de los bienes o recursos públicos o intereses de naturaleza pública. Para la identificación y priorización de los puntos de riesgo, la entidad deberá tener en cuenta aquellas actividades en las cuales se han presentado advertencias, alertas, hallazgos fiscales y/o fallos con responsabilidad fiscal, así como, aquellas actividades que la organización identifique que pueden generar riesgos fiscales.

Recurso público: Para efectos del capítulo de riesgos fiscales, entiéndase como recurso público, los dineros comprometidos y ejecutados en ejercicio de la función pública. Ejemplos: Los recursos de inversión y recursos de funcionamiento de cada entidad; los recursos gene rados por actividades comerciales, industriales y de prestación de servicios, por parte de entidades estatales; los recursos parafiscales; los recursos que resultan del ejercicio de funciones públicas por particulares.

Riesgo: Efecto que se causa sobre los objetivos de las entidades, debido a eventos potenciales.pág. 7

SGI-PL019

Nota: Los eventos potenciales hacen referencia a la posibilidad de incurrir en pérdidas por deficiencias, fallas o inadecuaciones, en el recurso humano, los procesos, la tecnología, la infraestructura o por la ocurrencia de acontecimientos externos.

Riesgo de Corrupción : Posibilidad de que, por acción u omisión, se use el poder para desviar la gestión de lo público hacia un beneficio privado

procesos, la tecnología, la infraestructura o por la ocurrencia de acontecimientos externos.

Riesgo de Corrupción : Posibilidad de que, por acción u omisión, se use el poder para desviar la gestión de lo público hacia un beneficio privado Riesgo de Lavado de Activos /Financiación del Terrorismo: Posibilidad de pérdida o daño que podría sufrir la entidad al ser utilizada directamente o a través de sus operaciones como instrumento para el lavado de activos y/o canalización de recursos hacia la realización de actividades terroristas.

Riesgo de Seguridad de la Información : Posibilidad de que una amenaza concreta pueda explotar una vulnerabilidad para causar una pérdida o daño en un activo de información. Suele considerarse como una combinación de la probabilidad de un evento y sus consecuencias. (ISO/IEC 27000).

Riesgo fiscal: Es el efecto dañoso sobre los recursos públicos y/o los bienes y/o intereses patrimoniales de naturaleza pública, a causa de un evento potencial.

(ver conceptos de recursos públicos, bien público e Intereses patrimoniales de naturaleza pública).

Riesgo Inherente: Nivel de riesgo propio de la actividad. El resultado de combinar la probabilidad con el impacto, nos permite determinar el nivel del riesgo inherente, dentro de unas escalas de severidad.

Riesgo Residual: El resultado de aplicar la efectividad de los controles al riesgo inherente.

Tolerancia del riesgo: Es el valor de la máxima desviación admisible del nivel de riesgo con respecto al valor del apetito de riesgo determinado por la entidad.

Tratamiento de riesgo: Es la respuesta establecida por la primera línea de defensa para la mitigación de los diferentes riesgos, los cuales estarán enfocados

de riesgo con respecto al valor del apetito de riesgo determinado por la entidad.

Tratamiento de riesgo: Es la respuesta establecida por la primera línea de defensa para la mitigación de los diferentes riesgos, los cuales estarán enfocados en aceptar, reducir, evitar y/o compartir el riesgo.

Vulnerabilidad: Debilidad de un activo o control que puede ser explotada por una o más amenazas. (ISO/IEC 27000).

Siglas

MIPG: Modelo Integrado de Planeación y Gestión DAFP: Departamento Administrativo de la Función Pública TICs: Gestión de las Tecnología de la Información y la Comunicaciones

MECI: Modelo Estándar de Control Interno LAFT: Lavado de Activos, Financiación del Terrorismo MSPI: Modelo de seguridad y privacidad de la información

Marco Normativopág. 8

SGI-PL019

La gestión de los riesgos en el Instituto se enmarca en el siguiente conjunto de normas que rigen la administración del riesgo como apoyo al buen gobierno corporativo y mejores medidas de control en las entidades • Constitución Política de Colombia de 1991, artículo 209. En el que se define los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, mediante la descentralización, la delegación y la desconcentración de funciones. Así como define que l a administración pública, en todos sus órdenes, tendrá un control interno que se ejercerá en los términos que señale la ley. • Constitución Política de Colombia, artículo 269. En las entidades públicas, las autoridades correspondientes están obligadas a diseñar y aplicar, según la naturaleza de sus funciones, métodos y procedimientos de control interno, de conformidad con lo que disponga la ley, la cual

• Constitución Política de Colombia, artículo 269. En las entidades públicas, las autoridades correspondientes están obligadas a diseñar y aplicar, según la naturaleza de sus funciones, métodos y procedimientos de control interno, de conformidad con lo que disponga la ley, la cual podrá establecer excepcio nes y autorizar la contratación de dichos servicios con empresas privadas colombianas. • Ley 87 de 1993. Por la cual se establecen normas para el ejercicio del control interno en las entidades y organismos del Estado y se dictan otras disposiciones. • Ley 489 de 1998. Estatuto Básico de Organización y funcionamiento de la administración pública. • Decreto 2145 de 1999. Por el cual se dictan normas sobre el Sistema Nacional de Control Interno de las Entidades y Organismos de la Administración Pública del Orden Nacional y territorial y se dictan otras disposiciones. Modificado parcialmente por el Decreto 2593 del 2000. • Directiva Presidencial 09 de 1999 . Lineamientos para la implementación de la política de lucha contra la corrupción. • Decreto 1537 de 2001. Por el cual se reglamenta parcialmente la Ley 87 de 1993 en cuanto a elementos técnicos y administrativos que fortalezcan el sistema de control interno de las entidades y organismos del Estado. • Ley 872 de 2003. Establece el Sistema de Gestión de la Calidad en la Rama Ejecutiva del Poder Público y en otras entidades prestadoras de servicios. • Decreto 943 de 2014. Por el cual se actualiza el Modelo Estándar de Control Interno (MECI). • Decreto 1499 de 2017. Por medio del cual se modifica el Decreto 1083

servicios. • Decreto 943 de 2014. Por el cual se actualiza el Modelo Estándar de Control Interno (MECI). • Decreto 1499 de 2017. Por medio del cual se modifica el Decreto 1083 de 2015, Decreto Único Reglamentario del Sector Función Pública, en lo relacionado con el Sistema de Gestión establecido en el artículo 133 de la Ley 1753 de 2015. • Resolución 500 de 2021. Por la cual se establecen los lineamientos y estándares para la estrategia de seguridad digital y se adopta el modelo de seguridad y privacidad como habilitador de la política de Gobierno Digital. • Resolución 746 de 2022. Por la cual se fortalece el Modelo de Seguridad y Privacidad de la Información y se definen lineamientos adicionales a los establecidos en la Resolución No. 500 de 2021pág. 9

SGI-PL019

• CIRCULAR EXTERNA PRESIDENCIA DE LA REPUBLICA 001 DE

2022. Recomendaciones de uso de servicios en la nube como medida para mitigar riesgos de seguridad digital. • NTCPE 1000-2020. Norma Técnica de la Calidad del Proceso Estadístico.

Requisitos de Calidad para la Generación de estadísticas. DANE-ICONTEC. • NTC ISO 27005:2009. Tecnología de la Información – Técnicas de Seguridad – Gestión del Riesgo en la Seguridad de la Información • NTC ISO 31000:2018. Gestión del Riesgo – Principios y Directrices. Política de administración del riesgo. • Circular No. 100-000016 del 17 de noviembre de 2021, emitido por Superintendencia de Sociedades; el cual indica que el rol del oficial de

Política de administración del riesgo. • Circular No. 100-000016 del 17 de noviembre de 2021, emitido por Superintendencia de Sociedades; el cual indica que el rol del oficial de cumplimiento es el de participar activamente en los procedimientos de diseño, implementación, auditoría, verificación de cumplimiento y monitoreo del El Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos y Financiación del Terrorismo –SAGRILAFT. • Circular externa No. CIR25-00000026 / GFPU 13130000 de 6 de junio de 2025, emitida por la Presidencia de la República, a través de la Secretaria de Transparencia; la cual establece lineamientos en maro del régimen de transición a los programas de transparencia y ética pública • Anexo 4 Modelo de Gestión de Riesgos de Seguridad Digital de MinTIC: Marco de gestión de riesgos de seguridad digital en el cual se identifiquen las amenazas y vulnerabilidades a las que una entidad pueda estar expuesta al momento de llevar a cabo actividades socio económicas en el entorno digital.

Promesa de Valor en la Gestión del Riesgo

El Instituto de hidrología meteorología y estudios ambientales - Ideam, en cumplimiento a su misionalidad, se compromete con sus grupos de valor y de interés a establecer medidas y herramientas con enfoque preventivo, participativo y orientado a resultados, promoviendo la capacidad e integridad de su talento humano como factor determinante para el aseguramiento de la transparencia y la confianza pública. Su ciclo de gestión se estructura en torno al análisis del contexto, identificación, valoración, monitor eo, tratamiento, revisión y evaluación de los riesgos que puedan afectar los objetivos

transparencia y la confianza pública. Su ciclo de gestión se estructura en torno al análisis del contexto, identificación, valoración, monitor eo, tratamiento, revisión y evaluación de los riesgos que puedan afectar los objetivos organizacionales. Esta política se aplica de manera transversal a todos los niveles, procesos y áreas del Ideam, garantizando una respuesta coordinada y eficaz ante posi bles amenazas que impacten su misión y buscando la mejora continua en gestión. La Política de Administración de Riesgos se adopta, incluyendo aspectos relacionados con la adecuada administración del riesgo, según el Modelo Integrado de Planeación y Gestión – MIPG. Esta política se construye desde el direccionamiento estratégico y pla neación con el fin de establecer los lineamientos para el tratamiento, manejo, prevención y seguimiento a los riesgos que pueden llegar a afectan los objetivos institucionales.pág. 10

SGI-PL019

El Ideam entiende la importancia de la gestión de los riesgos de corrupción, de gestión, fiscales, de lavado de activos y financiación del terrorismo y de seguridad de la información (para activos con nivel crítico alto), en donde dispone de un equipo profesional especializado y de tres líneas de defensa y una línea estratégica para realizar un seguimiento detallado y evitar una posible materialización de algún riesgo que genere repercusiones en la entidad.

Roles y Responsabilidades

De conformidad a lo establecido en el Modelo Integrado de Planeación y Gestión -MIPG, a continuación, se relacionan las políticas y líneas de defensa con sus correspondientes niveles de responsabilidad y autoridad establecidos para la administración del riesgo, buscando una adecuada gestión y prevención de la materialización de estos.

-MIPG, a continuación, se relacionan las políticas y líneas de defensa con sus correspondientes niveles de responsabilidad y autoridad establecidos para la administración del riesgo, buscando una adecuada gestión y prevención de la materialización de estos. Los roles y las responsabilidades en la gestión del riesgo son de carácter integral y diferenciado, y participan todos los niveles de la gestión institucional. De esta manera se asegura el logro, anticipándose y minimizando los riesgos que pueden afectar a la entidad. Esta gestión se desarrolla mediante las líneas de defensa estratégica y de responsabilidad de la gestión del riesgo y control , asegurando los niveles de coordinación y comunicación en las diferentes etapas de esta gestión, de acuerdo con la siguiente estructura definida por la DAFP:

Ilustración 1 Niveles de coordinación y comunicación en las diferentes etapas de la gestión del riesgo

Fuente: Guía de administración del riesgo DAFP 2022pág. 11

SGI-PL019

Por lo que se describen los roles y responsabilidades de la siguiente manera:

Tabla 1 Roles y responsabilidades de las líneas de defensa respecto a la gestión del riesgo Línea de defensa Conformada por Funciones frente a la gestión del riesgo Línea de defensa estratégica Dirección general, Comité Institucional de Control Interno ✓ Emitir, revisar, validar y supervisar políticas de la entidad en materia de administración de todos los riesgos que pueden afectar los objetivos de la entidad. ✓ Fortalecer el Comité Institucional de Coordinación de Control Interno, incrementando su periodicidad para las reuniones. ✓ Evaluar el funcionamiento del

administración de todos los riesgos que pueden afectar los objetivos de la entidad. ✓ Fortalecer el Comité Institucional de Coordinación de Control Interno, incrementando su periodicidad para las reuniones. ✓ Evaluar el funcionamiento del Esquema de Líneas de Defensa, incluyendo la línea estratégica. ✓ Definir líneas de reporte (canales de comunicación) en temas clave para la toma de decisiones, atendiendo el Esquema de Líneas de Defensa. ✓ Definir y evaluar la "Política de administración del riesgo". La evaluación debe considerar su aplicación en la entidad, los cambios en el entorno que puedan definir ajustes, dificultades para su desarrollo, riesgos emergentes. ✓ Evaluar la política de gestión estratégica del talento humano (forma de provisión de los cargos, capacitación, código de Integridad, bienestar). ✓ Definir el marco general para la gestión del riesgo y el control, proveer los recursos necesarios para su implementación, garantizar el cumplimiento de los planes de la entidad y asegurar la mejora continua de la gestión y el desempeño de la entidad Primera línea de defensa Servidores en sus diferentes niveles, líderes o ✓ Revisar los cambios en el Direccionamiento Estratégico o en el entorno y como estos puedan generar nuevos riesgos o modificarpág. 12

SGI-PL019 responsables de proceso los que ya se tienen identificados en cada uno de sus procesos, y así realizar la actualización respec