RESTRICTED  
 
WT/BFA/W/361  
28 de mayo de 2015  
(15-2765)  Página: 1/6  
Comité de Asuntos Presupuestarios, 
Financieros y Administrativos   
 
  EL SISTEMA DE GESTIÓN DEL RIESGO DE LA SECRETARÍA DE LA OMC 
1  ANTECEDENTES 
1.1.  A finales de 2012, se estableció una política de gestión del riesgo para toda la Secretaría con 
el objetivo de fortalecer la estructura de gestión interna y el sistema de control interno, lo que está 
en consonancia con las mejores prácticas de cualquier organización. 
1.2.  La política (finalidad, enfoque, responsabilidades y rendición de cuentas, proceso) se expone 
en el Anexo al presente documento. 
1.3.  En el Reglamento Financiero revisado que aprobó el Consejo General a principios de 2015 se 
incluyeron referencias a la gestión del riesgo. 
1.4.  En este documento se exponen, para conocimiento del Comité de Asuntos Presupuestarios, 
Financieros y Administrativos, los elementos fundamentales del sistema de gestión del riesgo 
aplicado por la Secretaría de la OMC, a finales de 2014. 
1.5.  La Secretaría está expuesta a riesgos limitados en sus actividades en comparación con las 
organizaciones basadas en proyectos y las instituciones financieras. 
2  RIESGOS CRÍTICOS IDENTIFICADOS A FINALES DE 2014 
2.1.  Durante el segundo año de aplicación del sistema de gestión del riesgo en toda la 
Organización, la Secretaría identificó unos 16 nuevos riesgos en las categorías de riesgos financieros, relativos al cumplimiento y de gestión. 
2.2.  La Dirección ha revisado el registro de riesgos, que actualmente contiene 75 riesgos y las 
evaluaciones actualizadas tras las medidas de mitigación adoptadas en 2014 con respecto a unos 30 riesgos. 
2.3.  El Director General Adjunto a cargo de la Administración presentó al Director General el 
registro de riesgos actualizado hasta finales de 2014. 
2.4.  El registro general de riesgos es una herramienta de gestión interna y no está destinado a ser 
un documento oficial a disposición del público. En el cuadro que figura a continuación solo se 
exponen los riesgos críticos, es decir, los riesgos para los que la probabilidad de ocurrencia y el impacto en caso de producirse se han calificado de altos, con el nivel máximo de 9, lo que podría entrañar un riesgo financiero considerable para la Organización. De los 75 riesgos que figuraban 
en el registro a finales de 2014, se consideran críticos los 3 riesgos siguientes. 
Riesgos críticos identifi cados a finales de 2014 
RIESGOS FINANCIEROS 
1 Incapacidad de financiar totalmente el défici t actuarial del Plan de  Pensiones de la OMC 
2. Incapacidad de financiar totalmente  el déficit actuarial del seguro de salud después de la separación del 
servicio 
RIESGOS TECNOLÓGICOS  
3. Ataque informático sofisticado dirigido a ob jetivos específicos; amen aza persistente avanzada 
 WT/BFA/W/361 
- 2 - 
  2.5.  Los dos riesgos financieros guardan relación con la dificultad de financiar totalmente el Plan 
de Pensiones y el seguro de salud después de la separación del servicio para cumplir las obligaciones contraídas a largo plazo. En la reunión del Comité de Asuntos Presupuestarios celebrada en febrero de 2014 se decidió crear un grupo de trabajo sobre el seguro de salud 
después de la separación del servicio para que evaluara la situación financiera y las medidas para 
reducir la exposición al riesgo. 
2.6.  El Comité de Asuntos Presupuestarios, Fina ncieros y Administrativos seguirá examinando 
estas cuestiones. El Consejo de Administración del Plan de Pensiones de la OMC y el Grupo de 
Trabajo sobre el Seguro de Salud después de la Separación del Servicio presentarán sus recomendaciones para encontrar solución a estos riesgos a lo largo de 2015. 
2.7.  El riesgo financiero ligado a la apreciación del franco suizo frente a otras divisas importantes, 
con las consiguientes dificultades para el pago de las contribuciones de los Miembros, ya se 
identificó en 2013 y se le asignó un riesgo bajo. Este año, el riesgo se ha considerado alto, dado que el Banco Nacional Suizo anunció el 15 de en ero de 2015 que abandonaba su estrategia de 
mantener un tipo de cambio mínimo de 1,20 francos suizos por euro. El 2 de febrero de 2015 la 
Secretaría informó al Comité de Asuntos Presupuestarios, Financieros y Administrativos sobre la repercusión de un franco suizo fuerte.
1 
2.8.  En el ámbito de la seguridad informática sigue habiendo un riesgo tecnológico crítico. El 
riesgo tecnológico identificado, el "ataque informático sofisticado dirigido a objetivos específicos; amenaza persistente avanzada", sigue siendo un riesgo crítico. Se está trabajando para reducir la probabilidad de que ocurra un evento y, en caso de producirse, reducir su impacto. 
3  EL PROCESO DE GESTIÓN DEL RIESGO 
3.1.  De conformidad con la política de gestión del riesgo, en 2014 el oficial de riesgos hizo 
unas 30 entrevistas cualitativas a miembros clave de la Dirección. 
3.2.  Las consultas con varias Divisiones permitieron mantener debates proactivos sobre la 
situación en general del sistema de gestión del riesgo, la identificación y reevaluación de varios riesgos a los que está expuesta la Organización, las formas de tratar los riesgos y la vigilancia. 
3.3.   Algunos riesgos identificados anteriormente se han materializado y se han tratado de forma 
eficaz. 
3.4.  Se han tratado los riesgos críticos identificados a finales de 2013 en la categoría de riesgos 
tecnológicos, a saber: 1) pérdida o sustracción de dispositivos móviles (computadoras portátiles, 
teléfonos inteligentes y dispositivos de almacenamiento extraíbles) que contengan información 
sumamente sensible, 2) vulnerabilidad de las contraseñas de los funcionarios; acceso remoto a información interna de la OMC, 3) ataques de ingeniería social que consisten en engañar a los 
funcionarios para que revelen información interna de carácter sensible. 
3.5.  Se tomaron las medidas adecuadas y se instauraron controles operativos para reducir la 
exposición al riesgo en el ámbito de la seguridad informática. Las computadoras portátiles 
recientemente distribuidas se cifran sistemáticamente. También se cifran los teléfonos móviles 
conectados a los recursos informáticos de la Organización. 
3.6.  En cuanto a la divulgación de las contraseñas de los funcionarios, se introdujo el segundo 
factor de autenticación, sin el cual el acceso remo to no es posible. Ese riesgo ya se ha eliminado. 
3.7.  Con respecto a los ataques de ingeniería social, la División de Soluciones de TI llevó a cabo 
en 2014 un programa de sensibilización dirigido al personal de la División para reducir el impacto 
de esos ataques. Está previsto organizar un curso completo de formación por computadora sobre 
la seguridad de la información para todo el personal de la Organización. 
                                               
1 WT/BFA/W/350. Información sobre las recientes fluc tuaciones monetarias y posible repercusión en la 
gestión financiera de la Secretaría de la OMC. WT/BFA/W/361 
- 3 - 
  3.8.  El Comité Directivo de Tecnología de la Información se reúne con regularidad, entre otras 
cosas para examinar las formas de controlar los riesgos y encontrar soluciones. 
4  PRÓXIMAS MEDIDAS 
4.1.  En 2015, la Secretaría seguirá potenciando su capacidad de gestión del riesgo en toda la 
Organización a fin de detectar y comunicar oportunamente riesgos importantes. La vigilancia 
regular de los riesgos existentes ayudará a identificar nuevos riesgos. Las formas de tratar y controlar los riesgos se evaluarán desde el punto de vista del costo-beneficio. 
4.2.  El sistema de gestión del riesgo de la Organización contribuye a la gobernanza y a la 
adopción de decisiones adecuadas por la Dirección. 
4.3.  La Secretaría seguirá facilitando anualmente al Comité de Asuntos Presupuestarios, 
Financieros y Administrativos información actualizada sobre la gestión del riesgo. 
 
  
 
 WT/BFA/W/361 
- 4 - 
  ANEXO 
POLÍTICA DE GESTIÓN DEL RIESGO DE LA SECRETARÍA DE LA OMC 
5  FINALIDAD 
5.1.  Esta política establece el sistema de gestión del riesgo de la OMC. La gestión del riesgo forma 
parte del sistema de control interno establecido por la Secretaría. 
5.2.  En el contexto de esta política, se entiende por riesgo un evento que podría o no ocurrir y 
que, de suceder, podría tener consecuencias negativas para el logro de sus objetivos. 
6  ENFOQUE DE LA GESTIÓN DEL RIESGO 
6.1.  La Secretaría ha adoptado una política de gest ión del riesgo que se basa en los siguientes 
principios fundamentales: 
a. La gestión del riesgo es parte integrante del proceso de gestión de la Secretaría. 
b. Se identifican, analizan y vigilan los riesgos que podrían afectar a la consecución de los 
objetivos de la Secretaría, y se lleva un registro de los principales riesgos a que está expuesta, el cual se revisa y actualiza de forma periódica. 
c. Se aplican medidas apropiadas de mitigación del riesgo para reducir la exposición al 
riesgo a niveles aceptables. 
7  RESPONSABILIDADES 
7.1.  El Director General Adjunto a cargo de la Administración debe: 1) supervisar el sistema de 
gestión del riesgo de la Secretaría; 2) presentar al Director General, al menos anualmente, un informe sobre los principales riesgos a que está expuesta la Secretaría; y 3) mantener informada en todo momento a la Dirección de los riesgos graves y/o inminentes que se detecten. 
7.2.  El oficial de riesgos se encarga de: 1) mantener consultas periódicas con el personal de la 
Secretaría para identificar, analizar y vigilar los ri esgos; y 2) mantener el registro de riesgos de la 
Secretaría. 
7.3.  Los funcionarios que deseen señalar un riesgo a la atención de la Secretaría pueden ponerse 
en contacto con el oficial de riesgos o con el Director General Adjunto a cargo de la Administración. 
7.4.  A cada riesgo consignado en el registro se asigna un "propietario", por lo general la División 
que se ocupa directamente de su gestión y está en mejores condiciones de poner en práctica un plan para su mitigación. 
8  EL PROCESO DE GESTIÓN DEL RIESGO 
8.1.  La finalidad del proceso de gestión del riesgo es asegurar que los riesgos se traten lo antes 
posible y que se elaboren planes de acción para reducir la probabilidad de que esos riesgos se materialicen y tengan repercusiones negativas para el logro de los objetivos de la Secretaría. 
8.1  Identificación del riesgo 
8.2.  El proceso de identificación del riesgo es continuo. Cualquier funcionario puede detectar un 
riesgo e informar de ello al oficial de riesgos. Este, por su lado, se reúne regularmente con la 
Dirección y el personal para identificar y examinar los riesgos a que está expuesta la Secretaría. WT/BFA/W/361 
- 5 - 
  8.2  Análisis del riesgo 
8.3.  Después de mantener consultas con el propietario del riesgo, el oficial de riesgos propone una 
calificación para cada riesgo teniendo en cuenta la siguiente fórmula: Probabilidad x Impacto = Calificación. 
Matriz de valoración del riesgo 
 
8.4.  El análisis del riesgo consiste en evaluar la pr obabilidad de que un evento ocurra y el impacto 
que tendría si sucediera. La probabilidad y el impacto se clasifican en tres niveles: bajo, medio y 
alto. 
Probabilidad del riesgo 
Baja  El evento podría ocurrir en algún momento. 
Media Es probable que en muchas ocasiones el evento ocurra. 
Alta Se espera que casi siempre el evento ocurra. 
 
8.5.  El impacto de un evento concreto se mide en función del daño que podría ocasionar a la 
credibilidad y al prestigio de la Organización, así como a la capacidad de esta para cumplir su 
mandato. 
Impacto del riesgo 
Bajo Escasas repercusiones en las principales actividades, el prestigio o la situación financiera. 
Medio Repercusiones significativas en las principales actividades, el prestigio o la situación financiera. 
Alto Graves repercusiones en las principales actividades, el prestigio o la situación financiera. 
 8.6.  El proceso de valoración tiene un componente subj etivo. Por lo tanto, la calificación asignada 
es una mera indicación de la importancia relativa de cada riesgo identificado. 
8.7.  Los riesgos con las calificaciones 6 (alto) y 9 (crítico), podrían entrañar un riesgo financiero 
considerable para la Organización. 
8.8.  El oficial de riesgos también clasifica los riesgos según las categorías siguientes: financiero, 
de gestión, relativo a la seguridad y la salud en el trabajo, relativo al cumplimiento (de los 
reglamentos, tales como el Reglamento Financiero y la Reglamentación Financiera Detallada, el Estatuto y el Reglamento del Personal, o la Política y los Procedimientos de Contratación de la OMC), político o tecnológico. 
8.9.  En el registro de riesgos se indican, para cada riesgo detectado, la calificación y la categoría 
correspondientes. 
8.3  Vigilancia del riesgo 
8.10.  La vigilancia del riesgo supone en primer  lugar determinar las medidas que pueden 
adoptarse para mitigarlo. Existen varias formas de tratar o de mitigar un riesgo; por ejemplo, se puede: evitar (prevenir) o aceptar el riesgo, reduci r la probabilidad de que se produzca, reducir su 
impacto o transferirlo. 
Impacto  
del evento Alto (3) Medio 3 Alto 6 Crítico 9 
Medio (2) Bajo 2 Medio 4 Alto 6 
Bajo (1) Bajo 1 Bajo 2 Medio 3 
 Baja (1) Media (2) Alta (3) 
Probabilidad  de ocurrencia del evento WT/BFA/W/361 
- 6 - 
  8.11.  El oficial de riesgos lleva un registro, que actualiza periódicamente, de los principales 
riesgos a que está expuesta la Secretaría. 
8.12.  El Director General Adjunto a cargo de la Admi nistración revisa y aprueba el registro de 
riesgos, con inclusión de las medidas de mitigación. Presenta al Director General, al menos 
anualmente, un informe sobre los riesgos más importantes a que debe hacer frente la Secretaría. 
Además, mantiene informada en todo momento a la Dirección de los riesgos graves y/o inminentes que se hayan detectado. 
 
__________