SFC - SARO, Capacitación a terceros Concepto 2016038265-002 del 18 de abril de 2016 id2016038265

SARO, CAPACITACIÓN A TERCEROS Concepto 2016038265-002 del 18 de abril de 2016

Síntesis: Las entidades vigiladas sujetas a la aplicación del SARO deben identificar los riesgos en todos sus procesos, independiente si estos son o no tercerizados; asímismo, la capacitación debe ser impartida a todos los terceros que intervengan en los procesos de la entidad vigilada, siempre que exista una relación contractual con ellos y que desempeñen funciones de la entidad, con el objetivo de crear en ellos la cultura necesaria para que identifiquen y administren sus riesgos operativos, sin hacer distinción de si estos terceros sean contratados desde procesos misionales o que desempeñan o no funciones directas desde el objeto social de la entidad, como lo plantea en su escrito. «(…) correo electrónico mediante la cual consulta lo siguiente: “(…) DENTRO DE LA INTERPRETACION A LA NORMA EN EL CAPITULO XXIII DE LA CIRCULAR BASICA CONTABLE, EN SU NUMERAL 3.2.9, SOLICITAN UN ACÁPITE DE CAPACITACION A LOS TERCEROS, ESTA DEFINICION ES MUY AMPLIA, SERIA A CUALQUIERA DE LOS PROVEEDORES DE UNA ENTIDAD, A LOS QUE SE CONTRATEN DESDE PROCESOS MISIONALES, O A LOS QUE CUMPLAN FUNCIONES DIRECTAS DESDE EL OBJETO SOCIAL DE LA ENTIDAD?.” Sobre el particular, resulta pertinente formular los siguientes comentarios:

1. El Sistema de Administración de Riesgo Operativo (SARO), está definido como el “Conjunto de elementos tales como políticas, procedimientos, documentación, estructura organizacional, registro de eventos de riesgo operativo, órganos de control, plataforma tecnológica, divulgación de información y capacitación, mediante

los cuales las entidades vigiladas identifican, miden, controlan y monitorean el riesgo operativo.” (la negrilla es nuestra), cuyas reglas se encuentran previstas en la Circular Externa 041 de 2007, incorporada en el Capítulo XXIII de la Circular Básica Contable y Financiera 100 de 19951, instructivo que es de obligatorio cumplimiento para las entidades sujetas a su aplicación2.

2. A su turno, la precitada Circular bajo el título de "Consideraciones generales”, establece lo siguiente: “En desarrollo de sus operaciones, las entidades sometidas a la inspección y vigilancia de la Superintendencia Financiera de Colombia (SFC) se exponen al Riesgo Operativo (RO).

Por tal razón, dichas entidades deben desarrollar, establecer, implementar y mantener un Sistema de Administración de Riesgo Operativo (SARO), acorde con su estructura, tamaño, objeto social y actividades de 1 La Circular Básica Contable y Financiera 100 de 1995 puede ser consultada en nuestro sitio web www.superfinanciera.gov.co, en el ícono Normativa/Normas/Circular Básica Contable y Financiera (C.E. 100 de 1995)/Capítulo XXIII.

2 “REGLAS RELATIVAS A LA ADMINISTRACIÓN DEL RIESGO OPERATIVO

1. Ámbito de aplicación Todas las entidades sometidas a la inspección y vigilancia de la SFC, deben adoptar un Sistema de Administración de Riesgo Operativo (SARO), con excepción de las Oficinas de Representación de instituciones financieras y reaseguradoras del exterior.” apoyo, estas últimas realizadas directamente o a través de terceros, que les permita identificar, medir, controlar

y monitorear eficazmente este riesgo. ". Dicho sistema está compuesto por elementos mínimos (políticas, procedimientos, documentación, estructura organizacional, el registro de eventos de riesgo operativo, órganos de control, plataforma tecnológica, divulgación de información y capacitación) mediante los cuales se busca obtener una efectiva administración del riesgo operativo. (la negrilla es nuestra)”.

3. Frente a las “Etapas de la Administración del Riesgo Operativo”, la Circular Externa 041, señala entre otros aspectos, como parte del subnumeral 3.1.1 Identificación, que: “En desarrollo del SARO las entidades deben identificar los riesgos operativos a que se ven expuestas, teniendo en cuenta los factores de riesgo definidos en este capítulo”. A su turno, el numeral 3.1.3 Control del mismo instructivo, señala entre otros aspectos, que “La utilización de ciertas medidas, como la contratación de un seguro o tercerización

(outsourcing), puede ser fuente generadora de otros riesgos operativos, los cuales deben ser a su vez administrados.".

4. Frente al punto de la capacitación, la citada Circular, dispone lo siguiente: “3.2.9 Capacitación Las entidades deben diseñar, programar y coordinar planes de capacitación sobre el SARO dirigidos a todas las áreas y funcionarios.

Tales programas deben, cuando menos cumplir con las siguientes condiciones: a) Periodicidad anual. b) Ser impartidos durante el proceso de inducción de los nuevos funcionarios. c) Ser impartidos a los terceros siempre que exista una relación contractual con éstos y desempeñen funciones de la entidad. d) Ser constantemente revisados y actualizados. e) Contar con los mecanismos de evaluación de los resultados obtenidos con el fin de determinar la eficacia

de dichos programas y el alcance de los objetivos propuestos.” De acuerdo con lo anterior, las entidades vigiladas sujetas a la aplicación del SARO deben identificar los riesgos en todos sus procesos, independiente si estos son o no tercerizados; asímismo, la capacitación debe ser impartida a todos los terceros que intervengan en los procesos de la entidad vigilada, siempre que exista una relación contractual con ellos y que desempeñen funciones de la entidad, con el objetivo de crear en ellos la cultura necesaria para que identifiquen y administren sus riesgos operativos, sin hacer distinción de si estos terceros sean contratados desde procesos misionales o que desempeñan o no funciones directas desde el objeto social de la entidad, como lo plantea en su escrito. Finalmente, es importante señalar que la capacitación debe ser anual, acorde con el tipo de actividad que desempeñe el Outsourcing, con los riesgos que éste le pueda generar a la entidad vigilada por su recurso humano, procesos, infraestructura y tecnología que utilice y con los cambios en los factores de riesgos que hacen que estos sea dinámicos. (…).»