Riesgos

Metodología de evaluación de riesgos
Introducción
La División de Auditoría y Supervisión Internas ha elaborado una metodología de evaluación de riesgos basada en el asesoramiento y orientación proporcionados por el Instituto de Auditores Internos (IIA), así como en las buenas prácticas aceptadas comúnmente para tales ejercicios. El principal objetivo de la metodología de evaluación de riesgoses mejorar la objetividad y transparencia, y ofrecer bases sólidas para la evaluación de las necesidades y la preparación del plan anual de auditoría.
A continuación figuran las principales definiciones relativas al riesgo y la evaluación de riesgos que permitirán comprender mejor el proceso de evaluación de riesgos realizado por la División de Auditoría y Supervisión Internas.
Definicionesrelativas a la evaluación de riesgos
Riesgo
Se trata de un evento futuro e incierto que podría tener repercusiones negativas para el logro de los objetivos de una organización.
Probabilidad de riesgo
Se trata de la probabilidad de que un riesgo ocurra. Los factores que se tienen en cuenta para determinar la probabilidad son los siguientes: el origen de la amenaza, el potencial del origen, lanaturaleza de la vulnerabilidad y, por último, la existencia de mecanismos de control y la eficacia de éstos. La probabilidad puede describirse como alta, media y baja.
• Alta: el evento ocurrirá en la mayoría de casos
• Media: el evento ocurrirá probablemente en muchos casos
• Baja: el evento puede ocurrir en algún momento
Impacto del riesgo
Se trata del impacto probable que podría tener el riesgosobre la organización en caso de que ocurriera. Cabe mencionar que no todas las amenazas tendrán el mismo impacto, ya que cada sistema de la Organización tiene distinto valor. La magnitud del impacto también puede clasificarse como alta, media y baja.
• Alta: impacto grave sobre las operaciones, reputación o situación de financiación
• Media: impacto importante sobre las operaciones, reputacióno situación de financiación
• Baja: impacto menos importante sobre las operaciones, reputación o situación de financiación
La combinación de la probabilidad y el impacto determinar el peso de cada factor de riesgo.

Proceso de evaluación de riesgos
Se trata del proceso de identificación y análisis de los riesgos inherentes y residuales para el logro de los objetivos de una institución.Componentes del modelo de riesgos
Los criterios de evaluación de riesgos detallados a continuación se han elaborado sobre la base de los preceptos y prácticas profesionales recomendados por el IIA y la ISACA.
Variables fundamentales de la evaluación de riesgos
Valor material: En función del valor financiero de la unidad objeto de auditoría, ya sea un ingreso o un gasto, se asigna un peso de 1 a 5según la siguiente escala:
• Ingreso/gasto (000)
• >18.000.000 de CHF - 5
• >6.000.000 a 18.000.000 de CHF - 3, 4
• =>6.000.000 de CHF - 1,2
Naturaleza de la actividad: En función del grado de importancia, se asigna un peso de 5 a 1 a la unidad objeto de auditoría según si se trata de una actividad básica o de una unidad administrativa.
• Actividad básica 4, 5
• Unidad administrativa 2, 3• Sistema local 1
Mecanismos de contingencia: Se asigna al área objeto de auditoría un peso de 1 a 5 en función de la existencia de mecanismos de contingencia, por ejemplo, medidas que garanticen la continuidad de la actividad, planes de recuperación en caso de desastre, procedimientos manuales, procedimientos de respaldo, etcétera.
Amplitud del cambio sufrido por el sistema o proceso: Se asignaal área objeto de auditoría un peso en relación con la magnitud del cambio que ha sufrido.
• Reingeniería profunda 4,5
• Reingeniería moderada 2,3
• Reingeniería menor 1
Período transcurrido desde la última auditoría: La valoración entre 1 y 5 se basa en el período transcurrido desde la última auditoría. Como es evidente, se asignó un peso de 5 a la mayoría de áreas objeto de auditoría...