IGAC - PL-PRC-01 V2 Administración del Riesgo

Política de Administración del Riesgo

CÓDIGO

PL-PRC-01

VIGENTE DESDE:

20/05/2024

Página 1 | 15 COPIA NO CONTROLADA

VERSIÓN:

2Política de Administración del Riesgo

CÓDIGO

PL-PRC-01

VIGENTE DESDE:

20/05/2024

Página 2 | 15 COPIA NO CONTROLADA

VERSIÓN:

2

Política Administración del Riesgo Código: PL-PRC-01 Versión: 2 Vigente desde: 20/05/2024Política de Administración del Riesgo

CÓDIGO

PL-PRC-01

VIGENTE DESDE:

20/05/2024

Página 1 | 15 COPIA NO CONTROLADA

VERSIÓN:

2

1. INTRODUCCIÓN De acuerdo con la guía para administración del riesgo expedida por el Departamento Administrativo de la Función Pública – DAFP, el Instituto Geográfico Agustín Codazzi - IGAC presenta la actualización de la política de administración de riesgos de la entidad, la cual, desde el Instituto, busca garantizar un adecuado modelo de Gobierno, Riesgo y Cumplimiento.

Con su expedición, el IGAC se compromete a implementar un modelo de gobierno que le permita a la entidad, desde los procesos de su cadena de valor, gestionar de manera integral los rie sgos que de materializarse pueden afectar el despliegue de los o bjetivos estratégicos de la entidad y el

la entidad, desde los procesos de su cadena de valor, gestionar de manera integral los rie sgos que de materializarse pueden afectar el despliegue de los o bjetivos estratégicos de la entidad y el cumplimiento de las metas y resultados definidos; por ello, la creación una cultura de gestión del riesgo y la efectividad en los controles se convierten, en factores determinantes para que el Instituto responda de manera efectiva a las expectativas de nuestros grupos de valor, en el marco de nuestro compromiso con la gestión transparente y el despliegue de sus valores institucionales.

Pare ello, a partir del Modelo Integrado de Planeación y Gestión – MIPG y su operación articulada con las instancias de gobierno corporativo: Comité Institucional de Gestión y Desempeño y Comité Institucional de Coordinación de Control Interno, se definirán las políticas y lineamientos para la gestión del riesgo y se adoptarán las mejo ras requeridas a partir de su ciclo de maduración, de tal forma que se propicie en las diferentes áreas del Instituto, responsables de los procesos y encargadas de su implementación; la adopción de metodologías, el despliegue de mecanismos de gestión del conocimiento para su uso y apropiación y el acompañamiento decidido en su implementación. Se busca que todos los funcionarios de la organización apliquen los controles en la ejecución de sus actividades y con ello se aporte al cumplimento de los objetivos institucionales.

En esta línea, las Dimensiones de Direccionamiento Estratégico, Control Interno y Gestión con Valores para Resultados de MIPG, aportan las directrices para establecer una política alineada con los objetivos estratégicos y la metodología para manejar los riesgos basados en su valoración, siendo insumos para que la alta dirección pueda tomar decisiones adecuadas y fijar los lineamientos para gestionar de

estratégicos y la metodología para manejar los riesgos basados en su valoración, siendo insumos para que la alta dirección pueda tomar decisiones adecuadas y fijar los lineamientos para gestionar de manera integral los riesgos al interior de la organización.

Con este documento se define la intencionalidad y relevancia de este tema para la gestión y el cumplimiento de las metas institucionales y da cumplimiento a lo establecido en la versión 6 de la Guía para la Administración del Riesgo y el Diseño de Controles en Entidades Públicas, emi tida por el DAFP, que contempla la metodología de administración del riesgo de gestión, corrupción, fiscal y seguridad de la información y establece, la elaboración e implementación de la Política de Administración de Riesgos.

Fue aprobada por el Comité Institucional de Coordinación de Control Interno del 20 de mayo del 2024.

2. OBJETIVO Definir los lineamientos para identificar, analizar y establecer acciones que permitan gestionar los riesgos que pueden afectar el cumplimiento de llevar a cabo la misión in stitucional, los compromisos de gobierno, los objetivos estratégicos y de procesos y normatividad vigentes. Esto, mediante el análisis del contexto, la formulación de controles efectivos y acciones de mitigación para los riesgos identificados, con el fin d e alcanzar un nivel aceptable de riesgos residuales en los procesos definidos en la cadena de valor y su despliegue organizacional.Política de Administración del Riesgo

CÓDIGO

PL-PRC-01

VIGENTE DESDE:

20/05/2024

Página 2 | 15 COPIA NO CONTROLADA

VERSIÓN:

2

CÓDIGO

PL-PRC-01

VIGENTE DESDE:

20/05/2024

Página 2 | 15 COPIA NO CONTROLADA

VERSIÓN:

2 OBJETIVOS ESPECÍFICOS DE LA POLÍTICA ARTICULACIÓN A OBJETIVOS ESTRATÉGICOS Actuar con integridad, lograr los objetivos de forma fiable y fomentar la cultura y el pensamiento basado en riesgos en todos los niveles de la entidad, para mejorar la gestión en los procesos y la toma de decisiones. Capital humano y socios estratégicos competentes Promover la generación de capacidades y competencias para contar con un capital humano altamente calificado y motivado, que de manera extendida aporte a la consolidación de los cambios que requiere la gestión geográfica y catastral del país.

Modelo de Gestión Integrado Definir e implementar un modelo de gestión integrado por procesos, proyectos y resultados, que bajo un efectivo modelo de gobernanza y de manera estandarizada permita conformar, difundir y mantener los datos, la información y el conocimiento geográfico, geodésico, agrológico y catastral, para facilitar la administración y gestión del territorio en el país.

Gestión del conocimiento para la innovación aplicada Definir y desarrollar líneas de investigación aplicada que favorezcan el mejoramiento continuo de los procesos y la gestión relacionada con la producción, procesamiento, transformación, análisis y difusión de los datos y la información geográfica, geodésica, agrológica y catastral, a través de nuevas prácticas e innovación. Gestionar de forma anticipada las vulnerabilidades o eventos

transformación, análisis y difusión de los datos y la información geográfica, geodésica, agrológica y catastral, a través de nuevas prácticas e innovación. Gestionar de forma anticipada las vulnerabilidades o eventos que puedan afectar el logro de los objetivos institucionales y de procesos. Modelo de Gestión Integrado Definir e implementar un modelo de gestión integrado por procesos, proyectos y resultados, que bajo un efectivo modelo de gobernanza y de manera estandarizada permita conformar, difundir y mantener los datos, la información y el conocimiento geográfico, geodésico, agrológico y catastral, para facilitar la administración y gestión del territorio. Mantener y fortalecer los controles que permitan el adecuado aprovechamiento de los recursos destinados a la ejecución de planes, programas, y proyectos, para asegurar la gestión del desempeño en un nuevo modelo de gobernanza pública. Gobernanza del dato y la información de valor público Fomentar la producción masiva, estandarizada, simple y el mantenimiento sostenible de datos geográficos, geodésicos, agrológicos y catastrales, que, con altos niveles de calidad y confiabilidad, faciliten la generación de información y conocimiento del territorio con valor público.

Regulación y política pública con enfoque territorial Profundizar el rol de máxima autoridad geográfica, geodésica, agrológica y catastral del país, mediante la generación y difusión de regulaciones técnicas que facilite la implementación de un modelo de gestión pública integral con orientación hacia resultados, base para las políticas y la administración y gestión del territorio.

Automatización, integración e interoperabilidad para el territorio

generación y difusión de regulaciones técnicas que facilite la implementación de un modelo de gestión pública integral con orientación hacia resultados, base para las políticas y la administración y gestión del territorio.

Automatización, integración e interoperabilidad para el territorio Fortalecer la apropiación y uso óptimo de las Tecnología de la Información y las Comunicaciones - TIC para la automatización de los procesos y la gestión abierta y efectiva de los datos e información geográfica, geodésica, agrológica y catastral, así como para su integración e interoperabilidad con otros sistemas de información de administración de la tierra y del territorio. Reprobar y combatir la corrupción por parte de cada uno de los servidores públicos del IGAC, a través de mecanismos que eviten la posibilidad de que, por acción u omisión, se use el poder para desviar la gestión de lo público hacia un beneficio privado o de un tercero, socave el Estado de Derecho, se distorsione el efecto de las políticas gubernamentales, se Capital humano y socios estratégicos competentes Promover la generación de capacidades y competencias para contar con un capital humano altamente calificado y motivado, que de manera extendida aporte a la consolidación de los cambios que requiere la gestión geográfica y catastral del país.Política de Administración del Riesgo

CÓDIGO

PL-PRC-01

VIGENTE DESDE:

20/05/2024

Página 3 | 15 COPIA NO CONTROLADA

VERSIÓN:

2

OBJETIVOS ESPECÍFICOS DE LA POLÍTICA ARTICULACIÓN A OBJETIVOS ESTRATÉGICOS

Página 3 | 15 COPIA NO CONTROLADA

VERSIÓN:

2 OBJETIVOS ESPECÍFICOS DE LA POLÍTICA ARTICULACIÓN A OBJETIVOS ESTRATÉGICOS quebrante la legi timidad del gobierno, se desestimule la participación ciudadana y propicie escenarios de politización. Modelo de Gestión Integrado Definir e implementar un modelo de gestión integrado por procesos, proyectos y resultados, que bajo un efectivo modelo de gobernanza y de manera estandarizada permita conformar, difundir y mantener los datos, la información y el conocimiento geográfico, geodésico, agrológico y catastral, para facilitar la administración y gestión del territorio. Mantener y/o fortalecer la imagen institucional en la prestación del servicio para aumentar el valor público, seguridad y confianza ante las partes interesadas. Posicionamiento institucional Definir e implementar acciones que permitan visibilizar la gestión desplegada en materia de geografía, geodesia, agrología y catastro, para el posicionamiento como máxima autoridad nacional y referente internacional por sus aportes a la administración y gestión del territorio. Identificar y gestion ar las amenazas y vulnerabilidades que puedan llegar a comprometer la confidencialidad, integridad y disponibilidad de la información, a través de la gestión de riegos asociados a la seguridad de la información. Gobernanza del dato y la información de valor público Fomentar la producción masiva, estandarizada, simple y el mantenimiento sostenible de datos geográficos, cartográficos, geodésicos, agrológicos y catastrales, que cuenten con altos niveles de calidad y confiabilidad,

Fomentar la producción masiva, estandarizada, simple y el mantenimiento sostenible de datos geográficos, cartográficos, geodésicos, agrológicos y catastrales, que cuenten con altos niveles de calidad y confiabilidad, faciliten la generación de información y conocimiento del territorio con valor público.

Automatización, integración e interoperabilidad para el territorio Fortalecer la apropiación y uso óptimo de las TIC para la automatización de los procesos y la gestión abierta y efectiva de los datos e información geográfica, cartográfica, geodésica, agrológica y catastral, así como para su integración e interoperabilidad con otros sistemas de información de administración de la tierra y del territorio.

3. ALCANCE La Política de Administración del Riesgo inicia con la definición de los roles y responsabilidades, continua con la metodología establecida al interior de la entidad para la administración del riesgo y finaliza con el seguimiento, monitoreo y mejoramiento.

La administración de riesgos es un proceso continuo que permite abordar y mitigar los riesgos organizacionales conforme las políticas establecidas, debe ser extensible y aplicable a todos los procesos, subprocesos, Direcciones Territoriales y proyectos del IGAC. En el caso de los rie sgos de seguridad de la información, éstos se gestionan de acuerdo con los criterios diferenciales descritos en el Modelo de Seguridad y Privacidad de la Información - MSPI y el Modelo Nacional de Gestión de Riesgos de Seguridad de la Información en entidades públicas – MNGRSI.

4. DESARROLLO 4.1 ROLES Y RESPONSABILIDADES Con el fin de asegurar que las responsabilidades y autoridades para la gestión del riesgo se asignan y

Riesgos de Seguridad de la Información en entidades públicas – MNGRSI.

4. DESARROLLO 4.1 ROLES Y RESPONSABILIDADES Con el fin de asegurar que las responsabilidades y autoridades para la gestión del riesgo se asignan y comunican a los roles pertinentes, el IGAC determina las siguientes responsabilidades de acuerdo con las líneas de Defensa definidas en la Guía para la administración de los riesgos y diseño de controles del DAFP.

LÍNEAS DE

DEFENSA RESPONSABLE RESPONSABILIDAD FRENTE AL RIESGO

Estratégica Alta Dirección

CIGD - CICCI

1. Establecer y aprobar la Política de administración del riesgo la cual incluye los niveles de responsabilidad y autoridad con énfasis en la prevención.

2. Definir y hacer seguimiento a los niveles de aceptación (apetito al riesgo).Política de Administración del Riesgo

CÓDIGO

PL-PRC-01

VIGENTE DESDE:

20/05/2024

Página 4 | 15 COPIA NO CONTROLADA

VERSIÓN:

2

LÍNEAS DE

DEFENSA RESPONSABLE RESPONSABILIDAD FRENTE AL RIESGO

3. Analizar los cambios en el entorno (contexto interno y externo) que puedan tener un impacto significativo en la operación de la entidad y que puedan generar cambios en la estructura de riesgos y controles.

4. Monitorear los riesgos críticos identificados (aquellos definidos en los niveles de severidad Alto y E xtremo, independientemente de su nivel de probabilidad).

5. Evaluar el estado del sistema de control interno y aprobar las modificaciones, actualizaciones y acciones de fortalecimiento de éste.

de severidad Alto y E xtremo, independientemente de su nivel de probabilidad).

5. Evaluar el estado del sistema de control interno y aprobar las modificaciones, actualizaciones y acciones de fortalecimiento de éste.

6. Asegurar la implementación y desarrollo de políticas de gestión y directrices en materia de seguridad y privacidad de la información.

Primera línea de Defensa Servidores públicos del IGAC

1. Aplicar los controles identificados y proponer mejoras si hay lugar a ello, para asegurar un efectivo manejo del riesgo.

2. Apoyar la gestión de Riesgos Institucionales de acuerdo con los lineamientos definidos en la Política y Procedimiento de Administración del Riesgo.

Líder de proceso y responsable de subproceso en la sede central

1. Analizar los cambios en el entorno (contexto interno y externo) que puedan tener un impacto significativo en la gestión de los procesos o proyectos a cargo y que puedan generar cambios en la estructura de riesgos y controles.

2. Realizar la identificación y valoración de los riesgos asociados a sus procesos.

3. Definir los controles asociados a los riesgos identificados.

4. Supervisar la ejecución de los controles aplicados por el equipo de trabajo en la gestión del día a día, detectar las deficiencias de los contro les y determinar las acciones de mejora a que haya lugar.

5. Adelantar las acciones establecidas para reducir, evitar, compartir los riesgos y mitigar su probabilidad de ocurrencia o su impacto en caso de materialización.

6. Realizar autoevaluación a la administración del riesgo y hacer seguimiento a la ejecución de controles y determinación de materialización de riesgos institucionales.

y mitigar su probabilidad de ocurrencia o su impacto en caso de materialización.

6. Realizar autoevaluación a la administración del riesgo y hacer seguimiento a la ejecución de controles y determinación de materialización de riesgos institucionales.

7. Reportar los avances y evidencias de la gestión de los riesgos a la Oficina Asesora de Planeación – OAP en los periodos determinados.

8. Informar a la Oficina Asesora de Planeación - OAP (segunda línea) sobre los riesgos materializados a su cargo.

9. Formular y actualizar el mapa de riesgos institucional asociado a cada proceso, incluyendo los subprocesos respectivamente, cuando se requiera.

Directores Territoriales

1. Realizar autoevaluación a la administración del riesgo, hacer seguimiento a la ejecución de controles y determinación de materialización de riesgos correspondientes.

Rol Gerentes de proyecto, equipo de profesionales de gestión de proyectos.

1. Realizar la identificación de los riesgos que puedan afectar el éxito del proyecto (cronograma, costos, desempeño del proyecto), sus controles para la mitigación y otros que puedan aparecer en la realización del proyecto. Lo anterior teniendo en cuenta las herramientas dispuestas por la entidad para riesgos de proyectos.

2. Supervisar la ejecución de los controles aplicados por el equipo de trabajo en la gestión del día a día, detectar las deficiencias de los controles y determinar las acciones de mejora a que haya lugar.

3. Reportar los avances y evidencias a la Oficina Asesora de Planeación – OAP en los periodos determinados.

4. Informar a la Oficina Asesora de Planeación - OAP (segunda línea) sobre los riesgos materializados.

Segunda Línea de defensa

en los periodos determinados.

4. Informar a la Oficina Asesora de Planeación - OAP (segunda línea) sobre los riesgos materializados.

Segunda Línea de defensa Oficina Asesora de Planeación (Gerencia del Riesgo)

1. Asesorar a la línea estratégica en el análisis del contexto interno y externo, para la definición de la política de administración del riesgo, el establecimiento de los niveles de impacto y el nivel de aceptación del riesgo.

2. Brindar acompañamiento metodológico a los responsables de procesos, subprocesos y a sus equipos de trabajo en la formulación o actualización de los mapas de riesgos.

3. Acompañar al proceso en el establecimiento de los control es de los riesgos identificados y a su diseño.

4. Consolidar la propuesta del Mapa de Riesgos Institucional por proceso, incluyendo los subprocesos vinculados.

5. Acompañar, orientar y entrenar a los líderes de procesos y responsables de subprocesos en la identificación, análisis y valoración del riesgo.Política de Administración del Riesgo

CÓDIGO

PL-PRC-01

VIGENTE DESDE:

20/05/2024

Página 5 | 15 COPIA NO CONTROLADA

VERSIÓN:

2

LÍNEAS DE

DEFENSA RESPONSABLE RESPONSABILIDAD FRENTE AL RIESGO

6. Monitorear los controles establecidos por la primera línea de defensa acorde con la información suministrada por los líderes de procesos y responsables de subprocesos.

7. Diseñar, implementar y socializar la metodol ogía para la valoración, seguimiento y control de los riesgos institucionales.

con la información suministrada por los líderes de procesos y responsables de subprocesos.

7. Diseñar, implementar y socializar la metodol ogía para la valoración, seguimiento y control de los riesgos institucionales.

8. Promover ejercicios de autoevaluación para establecer la eficiencia, eficacia y efectividad de los controles.

9. Generar recomendaciones y posibles ajustes a los mapas de riesgos, de manera tal que las instancias de 1ª línea puedan establecer mejoras a los riesgos y controles, así mismo garantizar su aplicación efectiva.

10. Presentar para aprobación del Comité institucional de gestión y desempeño el mapa de riesgos institucional.

11. Solicitar la publicación del Mapa de riesgos institucional en la sección de Transparencia de la página web de la entidad, previo al cumplimiento de los requisitos establecidos por la normatividad vigente.

Supervisores de Contrato

1. Acompañar a los líderes de procesos y responsables de subprocesos en la identificación, análisis, y valoración del riesgo y definición de controles en los temas a su cargo y con enfoque en la prevención.

El líder de la PMO (oficina de gestión de proyectos).

1. Monitorear los controles establecidos por Gerentes de proyecto, equipo de profesionales de gestión de proyectos acorde con la información suministrada.

Tercera línea Oficina de Control Interno

1. Proporcionar aseguramiento objetivo sobre la efectividad de la gestión del riesgo, con énfasis en el diseño, idoneidad y funcionamiento de los controles establecidos.

2. Asesorar de forma coordinada con la OAP, a la primera línea de defensa en

1. Proporcionar aseguramiento objetivo sobre la efectividad de la gestión del riesgo, con énfasis en el diseño, idoneidad y funcionamiento de los controles establecidos.

2. Asesorar de forma coordinada con la OAP, a la primera línea de defensa en la identificación de los riesgos institucionales y diseño de controles.

3. Llevar a cabo el seguimien to a los riesgos consolidados en los mapas de riesgos de conformidad con el Plan Anual de Auditoria y reportar los resultados al Comité de coordinación de control interno.

4. Identificar y evaluar cambios en el entorno que podrían generar nuevos riesgos o mod ificar los que ya se tienen, con base en las evaluaciones periódicas de riesgos y/o durante la realización de auditorías internas.

5. Revisar que se hayan identificado los riesgos significativos que afectan en el cumplimiento de los objetivos de los procesos.

6. Recomendar mejoras frente a la administración del riesgo.

Fuente: Elaboración Propia Oficina Asesora de Planeación.

4.2 OPERATIVIDAD INSTITUCIONAL PARA LA ADMINISTRACIÓN DEL RIESGO El Instituto Geográfico Agustín Codazzi - IGAC, en cumplimiento del modelo integrado de planeación y gestión - MIPG define para su operación articulada la creación del Comité Institucional de Gestión y Desempeño y del Comité Institucional de Coordinación de Control Interno, reglamentados a través de la Resolución 422 del 2020 y la Resolución 301 del 2023, en este marco general, para una adecuada operatividad de la gestión del riesgo, se define la siguiente estructura, que orienta la toma de decisiones para el manejo y tratamiento de los riesgos:

Tabla 1. Operatividad Líneas de Defensa

operatividad de la gestión del riesgo, se define la siguiente estructura, que orienta la toma de decisiones para el manejo y tratamiento de los riesgos:

Tabla 1. Operatividad Líneas de Defensa

Línea Estratégica: Constituida por la Alta Dirección y el Comité Institucional de Gestión y Desempeño - CIGD y el Comité Institucional de Coordinación de Control Interno - CICCI. Definen el marco general para la administración del Riesgo y garantizan el cumplimiento de los planes.

Primera línea de Defensa: Constituida por los Líderes de proceso y sus equipos de trabajo ta nto en sede central como Territorial, se encargan de mantener los controles en el día a día, identifican, evalúan, controlan y mitigan los riesgos.

Segunda línea de Defensa: Constituida por los Líderes de proceso y sus equipos de trabajo tanto en sede central como Territorial, se encargan de mantener los controles en el día a día, identifican, evalúan, controlan y mitigan los riesgos. Correctamente.

Tercera Línea de Defensa: Constituida por la Oficina de Control Interno, se encargan de realizar las auditorías internas para evaluar la gestión y la efectividad de los controles implementados, en el marco del SGI y el modelo de capacidad GRC.

Fuente: Elaboración propia, Oficina Asesora de Planeación.Política de Administración del Riesgo

CÓDIGO

PL-PRC-01

VIGENTE DESDE:

20/05/2024

Página 6 | 15 COPIA NO CONTROLADA

VERSIÓN:

2

4.3 IMPLEMENTACIÓN

CÓDIGO

PL-PRC-01

VIGENTE DESDE:

20/05/2024

Página 6 | 15 COPIA NO CONTROLADA

VERSIÓN:

2

4.3 IMPLEMENTACIÓN 4.3.1 DECLARACIÓN GENERAL DE LA POLÍTICA DE ADMINISTRACIÓN DEL RIESGO “En el Instituto Geográfico Agustín Codazzi - IGAC, estamos comprometidos con la gestión integral de riesgos (identificación, valoración, control y mitigación) mediante la implementación del modelo de capacidades, meto dologías y estrategias de gestión del riesgo que involucran todos los niveles del Instituto, para garantizar el cumplimiento de las metas organizacionales conforme normatividad vigente”.

4.3.2 METODOLOGÍA La gestión del Riesgo en el Instituto Geográfico Agustín Codazzi – IGAC, se desarrolla en el marco de la metodología de la Guía para la administración del riesgo y el diseño de controles en entidades públicas versión 6 (Incluidos sus anexos) y se articula con el modelo de capacidades (Gobierno, Riesgo y Cumplimiento – GRC), las cuales deben operar en conjunto para lograr en la entidad un desempeño basado en principios, es decir lograr objetivos confiables, abordando la incertidumbre (riesgo) y actuando con integridad (respetando las obligaciones legales y compromisos institucionales). El despliegue de esta articulación se dará en esta política y en el Procedimiento de Administración del Riesgo vigente, en los cuales se plasmará toda la ejecución del modelo de cumplimiento -GRC, a través del desarrollo de s us c omponentes (comprender, alinear, examinar y ejecutar) y sus respectivos elementos.

Riesgo vigente, en los cuales se plasmará toda la ejecución del modelo de cumplimiento -GRC, a través del desarrollo de s us c omponentes (comprender, alinear, examinar y ejecutar) y sus respectivos elementos.

4.3.3 NIVEL DE ACEPTACIÓN DEL RIESGO Una vez se determine la valoración residual, los riesgos situados en los niveles extremo, alto o moderado, se deben analizar los controles existentes y generar si es el caso, las acciones de tratamiento que se requieran, para fortalecer y/o implementar nuevas actividades de control, para los riesgos situados en el nivel bajo, es optativa su aceptación a excepción de los riesgos de corrupción que son inaceptables, dado que el nivel bajo no aplica para éstos.

“No se admite tolerancia a los riesgos relacionados con prácticas corruptas ”. Para el caso de los riesgos de seguridad de la información, se hará gestión de riegos sobre los act ivos de información clasificados con nivel de criticidad “alto”, de acuerdo con lo definido en el inventario de activos de información por procesos del Instituto.

4.3.4 TIPOLOGÍA DE RIESGOS PARA EL IGAC

Ejecución y administración de procesos Pérdidas derivadas de errores en la ejecución y administración de procesos. Fraude externo Pérdida derivada de actos de fraude por personas ajenas a la organización (no participa personal de la entidad). Corrupción Pérdida debido a actos de fraude, actuaciones irregulares, comisión de hechos delictivos abuso de confianza, apropiación indebida, incumplimiento de regulaciones legales o internas de la entidad en las cuales están involucrado por lo menos 1 participante interno de la organización, son realizadas de forma intencional y/o con

delictivos abuso de confianza, apropiación indebida, incumplimiento de regulaciones legales o internas de la entidad en las cuales están involucrado por lo menos 1 participante interno de la organización, son realizadas de forma intencional y/o con ánimo de lucro para sí mismo o para terceros. Fallas tecnológicas Errores en hardware, software, telecomunicaciones, interrupción de servicios básicos. Relaciones laborales Pérdidas que surgen de acciones contrarias a las leyes o acuerdos de empleo, salud o seguridad, del pago de demandas por daños personales o de discriminación. Usuarios, productos y prácticas Fallas negligentes o involuntarias de las obligaciones frente a los usuarios y que impiden satisfacer una obligación profesional frente a éstos. Eventos externos Pérdida por eventos externos como atentados, vandalismo, orden público. Ambiental Posibilidad de que por forma natural o por acción humana se produzca impacto en el medio ambiente. Seguridad de la Información Posibilidad de que una amenaza concreta pueda explotar una vulnerabilidad para causar una pérdida o daño en un activo de información. Suele considerarse como una combinación de la probabilidad de un evento y sus consecuencias. (ISO/IEC 27000).Política de Administración del Riesgo

CÓDIGO

PL-PRC-01

VIGENTE DESDE:

20/05/2024

Página 7 | 15 COPIA NO CONTROLADA

VERSIÓN:

2 Fiscal Es el efecto dañoso sobre los recursos públicos y/o los bienes y/o intereses patrimoniales de naturaleza pública, a causa de un evento potencial. Riesgos Proyectos PMO El modelo de riesgos de los proyectos se basará, en los lineamientos definidos desde el

Fiscal Es el efecto dañoso sobre los recursos públicos y/o los bienes y/o intereses patrimoniales de naturaleza pública, a causa de un evento potencial. Riesgos Proyectos PMO El modelo de riesgos de los proyectos se basará, en los lineamientos definidos desde el OE de Modelo de gestión por procesos, proyectos, riesgo y resultados, en el marco de lo establecido en el proceso de direccionamiento estratégico y planeación de la cadena de valor.

Fuente: Adaptado y adaptado del Curso Riesgo Operativo de la Universidad del Rosario por la Dirección de Gestión y

Desempeño Institucional de Función Pública, 2020.

4.3.5 VALORACIÓN DEL RIESGO 4.3.5.1 CRITERIOS PARA DETERMINAR LA PROBABILIDAD La probabilidad de ocurrencia estará asociada a la exposición al riesgo del proceso o actividad que se esté analizando. De este modo, la probabilidad inherente será el número de veces que se pasa por el punto de riesgo (actividad) en el periodo de 1 año.

Los niveles para calificar la probabilidad se definen en la siguiente tabla.

Tabla 2. Criterios para definir el nivel de probabilidad

NIVEL FRECUENCIA DE LA ACTIVIDAD PROBABILIDAD Muy Baja La actividad que conlleva el riesgo se ejecuta como máximo 2 veces por año 20% Baja La actividad que conlleva el riesgo se ejecuta de 3 a 24 veces por año 40% Media La actividad que conlleva el riesgo se ejecuta de 24 a 500 veces por año 60% Alta La actividad que conlleva el riesgo, se ejecuta mínimo 500 veces al año y máximo 5000 veces por año. 80% Muy Alta La actividad que conlleva el riesgo se ejecuta más de 5000 veces por año. 100%

Alta La actividad que conlleva el riesgo, se ejecuta mínimo 500 veces al año y