Política de Gestión de Riesgos
Comienza el contenido principal
Política de Gestión de Riesgos
La gestión de riesgos corporativos es un proceso que debe establecer el Consejo de Administración y supervisar la Comisión de Auditoría y Cumplimiento. No obstante, la correcta aplicación del sistema de gestión y control de riesgos requiere la implicación de todo el personal de la Organización.
La política de gestión de riesgos es de aplicación para todas las compañías y territorios en los que opera DIA.
Las decisiones de la Dirección en todas sus actividades influyen en la creación de valor, desde el establecimiento de la estrategia hasta las operaciones cotidianas de la empresa. Este último se maximiza cuando se establece una estrategia y unos objetivos con un equilibrio óptimo entre las metas de crecimiento y rentabilidad y los riesgos asociados.
En su aplicación del sistema de gestión de riesgos corporativos, DIA debe considerar todas sus actividades en los diferentes niveles de la Organización, desde aquellas a nivel de Grupo, hasta las de unidades y procesos de negocio. El sistema debe ser por lo tanto aplicable en los siguientes niveles:
Toda la Organización juega un rol importante en la consecución de los objetivos del sistema de gestión de riesgos. El enfoque del modelo de gestión de riesgos es, por tanto, integral y sistemático y de aplicación en todos los territorios y países en los que DIA esté presente.
Metodología
Un modelo de gestión integral de riesgos mejora la capacidad de una organización para gestionar escenarios de incertidumbre. Se trata de un enfoque sistemático y detallado que permite a la organización identificar eventos, evaluar, priorizar y responder a los riesgos asociados a sus principales objetivos, proyectos y operaciones.
El proceso de gestión de riesgos de DIA está basado en el estándar metodológico COSO II, metodología de gestión de riesgos generalmente aceptada en el mercado y que ha sido adaptada a las necesidades de DIA. Esta metodología permite identificar, crear, captar y sostener el valor de la gestión del riesgo en los distintos niveles de la Firma.
La metodología COSO II se basa en el enfoque de la gestión de riesgos en tres dimensiones:
- Objetivos de la Organización.
- Niveles de la Organización en los que pueden materializarse los riesgos y, por tanto, los niveles sobre los que se debe implantar el modelo de gestión de riesgos.
- Componentes interrelacionados unos con otros y necesarios para gestionar los riesgos que pueden impedir la consecución de esos objetivos.
Dimensiones en la Gestión de Riesgos
Los componentes integrados en el proceso de gestión de la Organización son:
- Ambiente interno: la Dirección establece la filosofía de gestión de riesgos, determinando el nivel de riesgo aceptado.
- Establecimiento de objetivos: es necesario conocer los objetivos de la compañía de cara a identificar los eventos potenciales que pueden afectar a su consecución.
- Identificación de eventos: deben identificarse los eventos potenciales que pueden tener impacto en DIA. En este sentido, se considerarán eventos aquellos acontecimientos que pueden afectar a la consecución de los objetivos, diferenciando los que suponen un riesgo de los que suponen una oportunidad.
- Evaluación de riesgos: se analizan los riesgos y se valora su probabilidad de ocurrencia y posible impacto en la consecución de los objetivos.
- Respuesta a los riesgos: se identifican y evalúan las posibles respuestas a los riesgos: evitar, aceptar, reduir o compartir.
- Actividades de control: en función de las respuestas a los riesgos, se establecen las políticas y procedimientos para asegurar que éstas se llevan a cabo.
- Información y Comunicación: la información surgida del análisis debe ser comunicada a los responsables de su implantación.
- Supervisión: la gestión de riesgos se supervisa, de manera que se puedan adecuar, si cambian las circunstancias.
Concepto de riesgo
DIA define Riesgo como cualquier contingencia, interna o externa que, de materializarse, impediría o dificultaría la consecución de los objetivos fijados por la organización.
El Modelo de Gestión de Riesgos de DIA asegura la identificación de los distintos tipos de riesgo, financieros y no financieros (entre otros los operativos, tecnológicos, sociales, medio ambientales, políticos y reputacionales) a los que se enfrenta la Organización, incluyendo entre los financieros o económicos, los fiscales, los pasivos contingentes y otros riesgos fuera de balance.
Para llevar a cabo una gestión eficiente de riesgos, se consideran dos tipos o estadios de riesgo:
- Riesgos Inherentes: riesgos propios de la naturaleza del negocio y la empresa cuya valoración no tiene en cuenta los controles existentes en la organización para mitigarlos.
- Riesgos Residuales: riesgos propios de la naturaleza del negocio y la empresa que persisten tras la existencia de controles en la organización para mitigarlos.
Cada Riesgo es evaluado en términos de probabilidad e impacto. DIA considera que un riesgo surge como pérdida de oportunidades y/o fortalezas así como materialización de una amenaza y/o potenciación de una debilidad.
Principios clave
Los cinco principios clave de gestión de riesgos en DIA son los siguientes:
- Con el fin de alcanzar los objetivos estratégicos marcados, los riesgos deben ser gestionados en toda la Compañía, sin excepciones. Es necesaria la implicación de toda la Organización en el sistema de gestión de riesgos.
- La gestión de los riesgos incluye su identificación, evaluación, respuesta, monitorización o seguimiento y el reporting de acuerdo a los procedimientos destinados al efecto.
- El modelo implantado debe asegurar la existencia de medidas adecuadas para mitigar el impacto de los riesgos identificados, en caso de que llegaran a materializarse. Las respuestas a los riesgos deben ser consistentes y estar ampliamente adecuadas a las condiciones del negocio y del entorno económico.
- El Comité Ejecutivo de DIA (COMEX) deberá, entre otras funciones, evaluar anualmente la valoración de los principales riesgos de DIA, incluidos los fiscales, y revisar el nivel de tolerancia al riesgo de DIA. Las funciones del Comité Ejecutivo de DIA (COMEX) son detalladas en el Manual de Gestión de Riesgos.
- De forma periódica, se realizará seguimiento y se reportará acerca de las actividades de identificación, evaluación, respuesta, monitorización o seguimiento y reporting con el Modelo de Gestión de Riesgos de DIA.
El Modelo de Gestión de Riesgos implantado en DIA asegura la existencia de sistemas de control interno adecuados para controlar y gestionar los citados riesgos, incluidos los pasivos contingentes o riesgos fuera de balance.
Responsabilidad
El Consejo de Administración, la Comisión de Auditoría y Cumplimiento y la Dirección de DIA son los encargados de velar por el buen funcionamiento del Modelo de Gestión de Riesgos.
El Consejo de Administración tiene la responsabilidad de aprobar y fijar la política de control y gestión de riesgos. La Dirección es la encargada de su implementación, así como de establecer la estrategia, cultura, personas, procesos, y tecnología que constituyen el Modelo de Gestión de Riesgos de la Compañía.
El Comité Ejecutivo (COMEX) debe, asimismo, fijar el nivel de riesgo que la Organización considera aceptable (apetito de riesgo), que será aprobado por el Consejo de Administración en última instancia.
La Comisión de Auditoría y Cumplimiento tiene la competencia de supervisar y revisar periódicamente la eficacia de los procedimientos de control interno de DIA, de auditoría interna y de los sistemas de gestión de riesgos, comprobando la adecuación e integridad de los mismos.
DIA ha constituido un Comité de Riesgos a nivel Corporativo, dentro de este Comité se ha designado a un Coordinador de Riesgos Corporativo, que tiene entre sus funciones la comunicación y coordinación de las reuniones, así como la recopilación y reporte de información. El coordinador actúa también como interlocutor con los países en materia de gestión de riesgos. Cada país debe constituir su propio Comité de Riesgos.
El Director de cada área será responsable de gestionar adecuadamente los riesgos de su área.
En el caso de que se materialice un riesgo en un área, será el Director del área el responsable de gestionarlo adecuadamente y poner en marcha los mecanismos necesarios para que el impacto sea el mínimo posible.
El Comité de Riesgos evaluará posteriormente si la respuesta dada tras la materialización del riesgo fue la correcta, y si se detecta la necesidad de implantar nuevos controles o mecanismos de respuesta.
Comité de riesgos
El Comité de Riesgos está compuesto por un Coordinador de Riesgos (en las reuniones trimestrales del Comité de Riesgos Corporativo, el Coordinador de Riesgos Corporativo actuará en representación del Coordinador de Riesgos de cada país, trasladando al Comité de riesgos Corporativo la información recibida de los países en materia de gestión de riesgos) y por un responsable de cada una de las líneas funcionales (Directores del área).
En su tarea de gestión de riesgos, el Comité de Riesgos realizará reuniones trimestrales y mantendrá, con independencia de las que puedan serle otorgadas de manera adicional por necesidades de DIA, las siguientes responsabilidades básicas:
- Análisis del entorno y de nuevos proyectos que pueden influir directa o indirectamente en los riesgos de DIA. Consideración de la inclusión de nuevos riesgos y/o la desaparición de alguno de los ya existentes.
- Recomendación de desarrollo de planes de acción específicos, planificación de su seguimiento y continuidad de los planes de acción ya existentes.
Además de las tareas a realizar en las revisiones trimestrales, anualmente el Comité de Riesgos debe llevar a cabo una evaluación y análisis detallado de los riesgos de DIA.
Las conclusiones e información extraída del análisis del Modelo de Gestión de Riesgos de DIA deben ser reportadas a la Dirección del Grupo y a la Comisión de Auditoría y Cumplimiento periódicamente. De manera adicional, el Comité de Riesgos deberá informar a la Dirección siempre que se detecten en su análisis temas relevantes. Por último, la Dirección podrá solicitar el reporte de los resultados del Comité de Riesgos siempre que lo considere oportuno.
Supervisión de principios clave y Política de Gestión de Riesgos
En el ejercicio responsable e independiente de sus funciones, la Comisión de Auditoría y Cumplimiento y Auditoría Interna tienen la competencia de supervisión del sistema de control y gestión de riesgos.
La Dirección de Auditoría Interna dentro de su tarea de supervisión, realiza la evaluación del funcionamiento íntegro del sistema de control y gestión de riesgos, del rendimiento de los órganos de gobierno y de la efectividad de las actividades de control implantadas. Los resultados de esta supervisión se reportarán a la Comisión de Auditoría y Cumplimiento.
Apetito de riesgo y Tolerancia al Riesgo
El enfoque de DIA está basado en tres elementos básicos y su alineación correcta con el proceso de gestión del riesgo:
- Objetivos de negocio: Objetivos estratégicos y operativos de DIA.
- Riesgos: Cualquier situación o acontecimiento, que puede poner en peligro la consecución de un objetivo.
- Controles: Las acciones y respuestas puestas en marcha por la Dirección para los riesgos.
- La alineación apropiada entre los objetivos de negocio, los riesgos y los controles basados en el nivel de apetito de riesgo y tolerancia al riesgo de DIA.
El apetito de riesgo se define como el nivel deseado de riesgo que DIA está dispuesto a tomar para lograr los objetivos. Se considera en la estrategia que ha sido definida por el Comité Ejecutivo y aprobada por el Consejo de Administración.
La tolerancia al riesgo se define como el nivel aceptable de variación que DIA está dispuesto a aceptar en cuanto a la consecución de sus objetivos. Es el riesgo máximo específico que la Organización está dispuesta a asumir. Es responsabilidad de la Dirección el definir la tolerancia al riesgo.
El apetito al riesgo y el nivel de tolerancia al riesgo se revisa y se presenta al Consejo para su validación anualmente.
Una vez que el apetito de riesgo y la tolerancia al riesgo se definen, deben ser comparados con el valor de riesgo. Existen tres posibles situaciones:
Ejemplo
Situación 1
Valor de Riesgo < Apetito < Tolerancia
El riesgo se encuentra dentro de los niveles deseables y aceptables de la compañía.
Acciones:
Se mantendrá la situación actual valorando la posibilidad de tomar más riesgo.
Situación 2
Apetito < Valor de Riesgo < Tolerancia
El riesgo se encuentra fuera de los niveles deseables pero dentro de los niveles aceptables de la compañía.
Acciones:
Se tomarán medidas para mitigar el riesgo ajustándolo al apetito de la Organización o se aprobará mantener el nivel fuera del apetito establecido para conseguir el objetivo (validar el Mapa de Riesgos).
Situación 3
Apetito < Tolerancia < Valor de riesgo
El riesgo se encuentra fuera de los niveles deseables y aceptables de la compañía.
Acciones:
La Dirección debe analizar la situación y los planes de acción necesarios para reducir el riesgo al menos dentro de los niveles aceptables.
Con respecto al apetito de riesgo, el Consejo de Administración debe contar con la información suficiente suministrada desde todos los niveles de la Organización para poder realizar la toma de decisiones de forma correcta.
Adhesiones y colaboraciones
DIA se compromete a tener en cuenta los estándares más internacionales y nacionales más relevantes en la materia. Desde Marzo de 2012, DIA está adherida al Pacto Mundial de las Naciones Unidas (UN Global Compact) cuyo objetivo es conseguir el compromiso voluntario de las entidades adheridas con la Responsabilidad Social, mediante la implantación de los Diez Principios establecidos en el Pacto, basados en el respeto de los Derechos Humanos, laborales y medioambientales y la lucha contra la corrupción.
Fin del contenido principal
- Subir
- Descargar