# Diario Oficial C 173/2012

| | ISSN 1977-0928
  doi:10.3000/19770928.C_2012.173.spa |
| --- | --- |
| Diario Oficial
  de la Unión Europea | C 173 |
| | |
| Edición en lengua española | Comunicaciones e informaciones | 55o año16 de junio de 2012 |

ISSN 1977-0928

doi:10.3000/19770928.C_2012.173.spa

Diario Oficial

de la Unión Europea

C 173

Edición en lengua española

Comunicaciones e informaciones

55o año16 de junio de 2012

---

| Número de información | Sumario | Página |
| --- | --- | --- |
| | IV   Información |
| | INFORMACIÓN PROCEDENTE DE LAS INSTITUCIONES, ÓRGANOS Y ORGANISMOS DE LA UNIÓN EUROPEA |
| | Tribunal de Cuentas |
| 2012/C 173/01 | Informe sobre la auditoría de gestión de riesgos del Banco Central Europeo en el ejercicio 2010 acompañado de las respuestas del Banco Central Europeo | 1 |

Número de información

Sumario

Página

IV   Información

INFORMACIÓN PROCEDENTE DE LAS INSTITUCIONES, ÓRGANOS Y ORGANISMOS DE LA UNIÓN EUROPEA

Tribunal de Cuentas

2012/C 173/01

Informe sobre la auditoría de gestión de riesgos del Banco Central Europeo en el ejercicio 2010 acompañado de las respuestas del Banco Central Europeo

1

| ES | |
| --- | --- |

ES

---

IV Información

INFORMACIÓN PROCEDENTE DE LAS INSTITUCIONES, ÓRGANOS Y ORGANISMOS DE LA UNIÓN EUROPEA

Tribunal de Cuentas

| 16.6.2012 | ES | Diario Oficial de la Unión Europea | C 173/1 |
| --- | --- | --- | --- |

16.6.2012

ES

Diario Oficial de la Unión Europea

C 173/1

---

INFORME

sobre la auditoría de gestión de riesgos del Banco Central Europeo en el ejercicio 2010 acompañado de las respuestas del Banco Central Europeo

2012/C 173/01

ÍNDICE

| | Apartado | Página |
| --- | --- | --- |
| INTRODUCCIÓN ... | 1-4 | 3 |
| ALCANCE Y ENFOQUE DE LA FISCALIZACIÓN ... | 5-6 | 3 |
| CONSTATACIONES DE LA FISCALIZACIÓN ... | 7-91 | 3 |
| ¿Ha implantado el BCE un marco de gobernanza apropiado y global para la gestión de riesgos? ... | 7-18 | 3 |
| Marco global de gestión de riesgos... | 8-14 | 3 |
| Divulgación de información sobre el marco de gestión de riesgos del BCE a terceros ... | 15-18 | 4 |
| ¿Ha gestionado el BCE sus riesgos operativos de manera eficaz? ... | 19-66 | 5 |
| Gestión de riesgos operativos ... | 20-39 | 5 |
| Gestión de la continuidad de las actividades del BCE ... | 40-66 | 7 |
| ¿Ha gestionado el BCE sus riesgos financieros de manera eficaz? ... | 67-91 | 10 |
| Marco de gestión de riesgos financieros para inversiones y operaciones de políticas ... | 69-74 | 10 |
| Metodología de gestión de riesgos financieros ... | 75-83 | 11 |
| Aplicación de la metodología de gestión de riesgos financieros ... | 84-88 | 12 |
| Idoneidad de la información sobre riesgos financieros ... | 89-91 | 12 |
| CONCLUSIONES Y RECOMENDACIONES ... | 92-100 | 13 |
| ¿Ha implantado el BCE un marco de gobernanza apropiado y global para la gestión de riesgos? ... | 92-93 | 13 |
| ¿Ha gestionado el BCE sus riesgos operativos de manera eficaz? ... | 94-98 | 13 |
| ¿Ha gestionado el BCE sus riesgos financieros de manera eficaz? ... | 99-100 | 13 |
| Respuestas del Banco Central Europeo ... | 15 |

Apartado

Página

INTRODUCCIÓN ...

1-4

3

ALCANCE Y ENFOQUE DE LA FISCALIZACIÓN ...

5-6

3

CONSTATACIONES DE LA FISCALIZACIÓN ...

7-91

3

¿Ha implantado el BCE un marco de gobernanza apropiado y global para la gestión de riesgos? ...

7-18

3

Marco global de gestión de riesgos...

8-14

3

Divulgación de información sobre el marco de gestión de riesgos del BCE a terceros ...

15-18

4

¿Ha gestionado el BCE sus riesgos operativos de manera eficaz? ...

19-66

5

Gestión de riesgos operativos ...

20-39

5

Gestión de la continuidad de las actividades del BCE ...

40-66

7

¿Ha gestionado el BCE sus riesgos financieros de manera eficaz? ...

67-91

10

Marco de gestión de riesgos financieros para inversiones y operaciones de políticas ...

69-74

10

Metodología de gestión de riesgos financieros ...

75-83

11

Aplicación de la metodología de gestión de riesgos financieros ...

84-88

12

Idoneidad de la información sobre riesgos financieros ...

89-91

12

CONCLUSIONES Y RECOMENDACIONES ...

92-100

13

¿Ha implantado el BCE un marco de gobernanza apropiado y global para la gestión de riesgos? ...

92-93

13

¿Ha gestionado el BCE sus riesgos operativos de manera eficaz? ...

94-98

13

¿Ha gestionado el BCE sus riesgos financieros de manera eficaz? ...

99-100

13

Respuestas del Banco Central Europeo ...

15

ABREVIATURAS

| BCE | Banco Central Europeo |
| --- | --- |
| BIA | Análisis del impacto en el negocio (Business Impact Analysis) |
| BPH | Business Practice Handbook (Manual de Prácticas Internas) |
| BPI | Banco de Pagos Internacionales |
| CRO | Comité de riesgos operativos |
| D-CO | Dirección de Comunicación |
| DG-A | Dirección General de Administración |
| DG-IS | Dirección General de Sistemas de Información |
| DG-H | Dirección General de Recursos Humanos, Presupuesto y Organización |
| DG-M | Dirección General de Operaciones de Mercado |
| DG-P | Dirección General de Sistemas de Pago |
| DGR | División de Gestión de Riesgos (de la DG-H) |
| DG-S | Dirección General de Estadística |
| GCA | Gestión de la continuidad de las actividades |
| GFP | Gestión de fondos propios |
| GIPS | Global Investment Performance Standards (Normas internacionales sobre rendimientos de inversión) |
| GRO | Gestión de riesgos operativos |
| IASB | International Accounting Standards Board (Consejo de normas internacionales de contabilidad) |
| NIC | Normas Internacionales de Contabilidad |
| NIIF | Normas Internacionales de Información Financiera |
| SEBC | Sistema Europeo de Bancos Centrales |
| VaR | Value at Risk (Valor en riesgo) |

BCE

Banco Central Europeo

BIA

Análisis del impacto en el negocio (Business Impact Analysis)

BPH

Business Practice Handbook (Manual de Prácticas Internas)

BPI

Banco de Pagos Internacionales

CRO

Comité de riesgos operativos

D-CO

Dirección de Comunicación

DG-A

Dirección General de Administración

DG-IS

Dirección General de Sistemas de Información

DG-H

Dirección General de Recursos Humanos, Presupuesto y Organización

DG-M

Dirección General de Operaciones de Mercado

DG-P

Dirección General de Sistemas de Pago

DGR

División de Gestión de Riesgos (de la DG-H)

DG-S

Dirección General de Estadística

GCA

Gestión de la continuidad de las actividades

GFP

Gestión de fondos propios

GIPS

Global Investment Performance Standards (Normas internacionales sobre rendimientos de inversión)

GRO

Gestión de riesgos operativos

IASB

International Accounting Standards Board (Consejo de normas internacionales de contabilidad)

NIC

Normas Internacionales de Contabilidad

NIIF

Normas Internacionales de Información Financiera

SEBC

Sistema Europeo de Bancos Centrales

VaR

Value at Risk (Valor en riesgo)

INTRODUCCIÓN

| 1. | El Banco Central Europeo (BCE) y los bancos centrales nacionales de los Estados miembros de la Unión Europea (UE) componen el Sistema Europeo de Bancos Centrales (SEBC). El objetivo primordial del SEBC es mantener la estabilidad de precios, aunque también apoya las políticas económicas generales de la UE para contribuir a la consecución de sus objetivos (1). Con este fin, el BCE ejerce las funciones previstas en sus Estatutos (2) y asume la responsabilidad de gestionar sus finanzas y actividades. |
| --- | --- |

1.

El Banco Central Europeo (BCE) y los bancos centrales nacionales de los Estados miembros de la Unión Europea (UE) componen el Sistema Europeo de Bancos Centrales (SEBC). El objetivo primordial del SEBC es mantener la estabilidad de precios, aunque también apoya las políticas económicas generales de la UE para contribuir a la consecución de sus objetivos (1). Con este fin, el BCE ejerce las funciones previstas en sus Estatutos (2) y asume la responsabilidad de gestionar sus finanzas y actividades.

| 2. | La fiscalización efectuada por el Tribunal de Cuentas Europeo (en lo sucesivo, «el Tribunal») de la eficacia operativa del BCE se basa en el artículo 27, apartado 2, del Protocolo sobre los Estatutos del SEBC y del BCE (3), y en 2010 abarcó los procedimientos y sistemas de gestión de riesgos establecidos por el BCE y su respectiva aplicación. |
| --- | --- |

2.

La fiscalización efectuada por el Tribunal de Cuentas Europeo (en lo sucesivo, «el Tribunal») de la eficacia operativa del BCE se basa en el artículo 27, apartado 2, del Protocolo sobre los Estatutos del SEBC y del BCE (3), y en 2010 abarcó los procedimientos y sistemas de gestión de riesgos establecidos por el BCE y su respectiva aplicación.

| 3. | Los órganos rectores del BCE son el Consejo de Gobierno y el Comité Ejecutivo (4). Este último ejecuta la política monetaria de conformidad con las directrices y decisiones establecidas por el Consejo de Gobierno (5) y es el principal responsable de la gestión ordinaria del BCE y de sus recursos. Asimismo, el Comité Ejecutivo se encarga de la gestión de riesgos en el BCE. |
| --- | --- |

3.

Los órganos rectores del BCE son el Consejo de Gobierno y el Comité Ejecutivo (4). Este último ejecuta la política monetaria de conformidad con las directrices y decisiones establecidas por el Consejo de Gobierno (5) y es el principal responsable de la gestión ordinaria del BCE y de sus recursos. Asimismo, el Comité Ejecutivo se encarga de la gestión de riesgos en el BCE.

| 4. | En el BCE la gestión de riesgos tiene lugar en dos marcos diferenciados. La unidad de gestión de riesgos operativos/gestión de la continuidad de las actividades [GRO (6)/GCA] abarca todos los riesgos operativos (véase la nota 22) incluida la continuidad de las actividades. La división de gestión de riesgos (DGR) se ocupa de la gestión de riesgos financieros (véase el apartado 70), entre los que se encuentran las actividades de inversión y las operaciones de crédito del BCE. |
| --- | --- |

4.

En el BCE la gestión de riesgos tiene lugar en dos marcos diferenciados. La unidad de gestión de riesgos operativos/gestión de la continuidad de las actividades [GRO (6)/GCA] abarca todos los riesgos operativos (véase la nota 22) incluida la continuidad de las actividades. La división de gestión de riesgos (DGR) se ocupa de la gestión de riesgos financieros (véase el apartado 70), entre los que se encuentran las actividades de inversión y las operaciones de crédito del BCE.

ALCANCE Y ENFOQUE DE LA FISCALIZACIÓN

| 5. | La fiscalización del Tribunal del ejercicio 2010 tuvo por objeto evaluar la idoneidad del marco de gestión de riesgos operativos y financieros del BCE (7), para lo cual se plantearon las siguientes preguntas clave de auditoría:






  — | ¿Ha implantado el BCE un marco de gobernanza apropiado y global para la gestión de riesgos? |
| --- | --- | --- |

5.

La fiscalización del Tribunal del ejercicio 2010 tuvo por objeto evaluar la idoneidad del marco de gestión de riesgos operativos y financieros del BCE (7), para lo cual se plantearon las siguientes preguntas clave de auditoría:

—

¿Ha implantado el BCE un marco de gobernanza apropiado y global para la gestión de riesgos?

| — | ¿Ha gestionado el BCE sus riesgos operativos de manera eficaz? |
| --- | --- |

—

¿Ha gestionado el BCE sus riesgos operativos de manera eficaz?

| — | ¿Ha gestionado el BCE sus riesgos financieros de manera eficaz? |
| --- | --- |

—

¿Ha gestionado el BCE sus riesgos financieros de manera eficaz?

| 6. | La auditoría de la gestión de riesgos del BCE (8) abarcó los siguientes elementos:






  a) | examen del marco global de gestión de riesgos del BCE, incluyendo las mejores prácticas de otras organizaciones internacionales similares en el ámbito de la gestión de riesgos (9); |
| --- | --- | --- |

6.

La auditoría de la gestión de riesgos del BCE (8) abarcó los siguientes elementos:

a)

examen del marco global de gestión de riesgos del BCE, incluyendo las mejores prácticas de otras organizaciones internacionales similares en el ámbito de la gestión de riesgos (9);

| b) | examen del marco del sistema de gestión de riesgos operativos y verificación de seis unidades de gestión seleccionadas (direcciones generales) para evaluar la aplicación de dicho marco. La selección se basó en las siguientes líneas: i) garantizar la cobertura de riesgos operativos significativos, ii) incluir actividades del BCE principales y secundarias, iii) incluir actividades que requieran una gestión transversal de riesgos. Las direcciones generales (DG) seleccionadas fueron Operaciones de Mercado (DG-M), Sistemas de Pago (DG-P), Estadística (DG-S), Administración (DG-A), Sistemas de Información (DG-IS) y la Dirección de Comunicación (D-CO); |
| --- | --- |

b)

examen del marco del sistema de gestión de riesgos operativos y verificación de seis unidades de gestión seleccionadas (direcciones generales) para evaluar la aplicación de dicho marco. La selección se basó en las siguientes líneas: i) garantizar la cobertura de riesgos operativos significativos, ii) incluir actividades del BCE principales y secundarias, iii) incluir actividades que requieran una gestión transversal de riesgos. Las direcciones generales (DG) seleccionadas fueron Operaciones de Mercado (DG-M), Sistemas de Pago (DG-P), Estadística (DG-S), Administración (DG-A), Sistemas de Información (DG-IS) y la Dirección de Comunicación (D-CO);

| c) | examen del marco de gestión de riesgos financieros y verificación detallada de la división de gestión de riesgos (DGR) de la DG Recursos Humanos, Presupuesto y Organización (DG-H) y las divisiones Sistemas de operaciones de mercado, Servicios de operaciones financieras e Inversión de la DG-M. La evaluación de la metodología de gestión de riesgos y su aplicación se efectuó contando con la asistencia técnica de un equipo de expertos en riesgos financieros de la empresa Ernst and Young, de Luxemburgo. |
| --- | --- |

c)

examen del marco de gestión de riesgos financieros y verificación detallada de la división de gestión de riesgos (DGR) de la DG Recursos Humanos, Presupuesto y Organización (DG-H) y las divisiones Sistemas de operaciones de mercado, Servicios de operaciones financieras e Inversión de la DG-M. La evaluación de la metodología de gestión de riesgos y su aplicación se efectuó contando con la asistencia técnica de un equipo de expertos en riesgos financieros de la empresa Ernst and Young, de Luxemburgo.

CONSTATACIONES DE LA FISCALIZACIÓN

¿Ha implantado el BCE un marco de gobernanza apropiado y global para la gestión de riesgos?

| 7. | Según declara el BCE, su aspiración es aplicar las mejores prácticas en su gestión de riesgos. Desde el principio, el Banco Central Europeo prestó particular atención a este ámbito y, en su calidad de nuevo miembro de la comunidad de bancos centrales, tenía la ambición de cumplir los más altos estándares de gobernabilidad en la organización de su función de gestión de riesgos en la institución y aplicar las herramientas más avanzadas (10). |
| --- | --- |

7.

Según declara el BCE, su aspiración es aplicar las mejores prácticas en su gestión de riesgos. Desde el principio, el Banco Central Europeo prestó particular atención a este ámbito y, en su calidad de nuevo miembro de la comunidad de bancos centrales, tenía la ambición de cumplir los más altos estándares de gobernabilidad en la organización de su función de gestión de riesgos en la institución y aplicar las herramientas más avanzadas (10).

Marco global de gestión de riesgos

| 8. | Una cultura del riesgo sólida a escala institucional es un elemento clave para una gestión de riesgos eficaz. Uno de los requisitos previos para crear esta cultura del riesgo es la instauración de una función integral de gestión de riesgos (que abarque todos los tipos de riesgo, líneas de actividad y riesgos correspondientes) e independiente que dependa directamente del administrador responsable de la gestión de riesgos o los altos directivos en caso de no haberse asignado esta función, con arreglo al principio de proporcionalidad
   (11). |
| --- | --- |

8.

Una cultura del riesgo sólida a escala institucional es un elemento clave para una gestión de riesgos eficaz. Uno de los requisitos previos para crear esta cultura del riesgo es la instauración de una función integral de gestión de riesgos (que abarque todos los tipos de riesgo, líneas de actividad y riesgos correspondientes) e independiente que dependa directamente del administrador responsable de la gestión de riesgos o los altos directivos en caso de no haberse asignado esta función, con arreglo al principio de proporcionalidad
   (11).

| 9. | En el BCE cada unidad de gestión (12) se encarga de gestionar sus propios riesgos y controles, y para ello cuentan con el apoyo de dos funciones o divisiones:






  — | la función GRO/GCA (13) se encarga del mantenimiento metodológico, de la coordinación de todas las actividades relacionadas con riesgos operativos y de prestar asesoramiento previo a las unidades de gestión (14), |
| --- | --- | --- |

9.

En el BCE cada unidad de gestión (12) se encarga de gestionar sus propios riesgos y controles, y para ello cuentan con el apoyo de dos funciones o divisiones:

—

la función GRO/GCA (13) se encarga del mantenimiento metodológico, de la coordinación de todas las actividades relacionadas con riesgos operativos y de prestar asesoramiento previo a las unidades de gestión (14),

| — | la división de gestión de riesgos se ocupa de los riesgos financieros (15) y se encarga de proponer políticas y procedimientos, así como apoyo organizativo sobre gestión de riesgos para todas las operaciones de mercados financieros llevadas a cabo por el BCE o el Eurosistema en nombre del BCE. La división se compone de dos unidades: análisis de riesgo y estrategia de riesgo. |
| --- | --- |

—

la división de gestión de riesgos se ocupa de los riesgos financieros (15) y se encarga de proponer políticas y procedimientos, así como apoyo organizativo sobre gestión de riesgos para todas las operaciones de mercados financieros llevadas a cabo por el BCE o el Eurosistema en nombre del BCE. La división se compone de dos unidades: análisis de riesgo y estrategia de riesgo.

| 10. | Para apoyar al Comité Ejecutivo en su toma de decisiones, se han creado varios comités que abordan diversos aspectos de la gestión de riesgos, como el comité de riesgos operativos, el comité de inversión, el comité de gestión de activos y pasivos y el comité de crédito. |
| --- | --- |

10.

Para apoyar al Comité Ejecutivo en su toma de decisiones, se han creado varios comités que abordan diversos aspectos de la gestión de riesgos, como el comité de riesgos operativos, el comité de inversión, el comité de gestión de activos y pasivos y el comité de crédito.

| 11. | Existe una estructura organizativa global con funciones y responsabilidades claramente asignados. Sin embargo, la separación entre gestión de riesgos operativos y financieros está muy marcada en el BCE, lo que aumenta el riesgo de que la imagen de las exposiciones a riesgos a escala del Banco no sea completa. |
| --- | --- |

11.

Existe una estructura organizativa global con funciones y responsabilidades claramente asignados. Sin embargo, la separación entre gestión de riesgos operativos y financieros está muy marcada en el BCE, lo que aumenta el riesgo de que la imagen de las exposiciones a riesgos a escala del Banco no sea completa.

| 12. | Entre el Comité Ejecutivo y las dos funciones o unidades de gestión de riesgos, GRO/GCA y DGR, no se ha creado un órgano independiente, como un responsable del control de riesgos o un comité general de gestión de riesgos. En el momento de la fiscalización, el miembro del Comité Ejecutivo encargado de la gestión de riesgos también estaba encargado de otros ámbitos, mientras que un responsable del control de riesgos se concentraría únicamente en esta función. |
| --- | --- |

12.

Entre el Comité Ejecutivo y las dos funciones o unidades de gestión de riesgos, GRO/GCA y DGR, no se ha creado un órgano independiente, como un responsable del control de riesgos o un comité general de gestión de riesgos. En el momento de la fiscalización, el miembro del Comité Ejecutivo encargado de la gestión de riesgos también estaba encargado de otros ámbitos, mientras que un responsable del control de riesgos se concentraría únicamente en esta función.

| 13. | Por otra parte, la ausencia de una función de gestión de riesgos jerárquicamente independiente aumenta el riesgo de que no se conceda suficiente prioridad a este ámbito, por ejemplo, la asignación de recursos de personal a tareas de gestión de riesgos, puesto que este tipo de cuestiones están sujetas a decisiones de la DG-H. |
| --- | --- |

13.

Por otra parte, la ausencia de una función de gestión de riesgos jerárquicamente independiente aumenta el riesgo de que no se conceda suficiente prioridad a este ámbito, por ejemplo, la asignación de recursos de personal a tareas de gestión de riesgos, puesto que este tipo de cuestiones están sujetas a decisiones de la DG-H.

| 14. | Un examen de las mejores prácticas de otras organizaciones internacionales similares ha mostrado que el Bank of Canada ha adoptado un marco integrado de gestión de riesgos, que cuenta con un administrador responsable de gestión de riesgos y un grupo de trabajo sobre gestión de riesgos. Ambos se ocupan de establecer un perfil de riesgo global para el banco que incluya riesgos de gestión, operativos y financieros, que se describen en el recuadro 1. El marco de gestión de riesgos del Banco está plenamente integrado en sus procesos de planificación estratégica, presupuestación y evaluación de la gestión al final del ejercicio.

  Recuadro 1


  Ejemplo de gestión integrada de riesgos — Bank of Canada



  El administrador responsable de gestión de riesgos
  desempeña las siguientes funciones:






  — | dirige el desarrollo y el perfeccionamiento del marco político de gestión de riesgos y obtiene la aprobación de la dirección, |
| --- | --- | --- |

14.

Un examen de las mejores prácticas de otras organizaciones internacionales similares ha mostrado que el Bank of Canada ha adoptado un marco integrado de gestión de riesgos, que cuenta con un administrador responsable de gestión de riesgos y un grupo de trabajo sobre gestión de riesgos. Ambos se ocupan de establecer un perfil de riesgo global para el banco que incluya riesgos de gestión, operativos y financieros, que se describen en el recuadro 1. El marco de gestión de riesgos del Banco está plenamente integrado en sus procesos de planificación estratégica, presupuestación y evaluación de la gestión al final del ejercicio.

Recuadro 1

Ejemplo de gestión integrada de riesgos — Bank of Canada

El administrador responsable de gestión de riesgos
  desempeña las siguientes funciones:

—

dirige el desarrollo y el perfeccionamiento del marco político de gestión de riesgos y obtiene la aprobación de la dirección,

| — | ofrece orientación y asesoramiento en materia de gestión de riesgos a otros miembros de la dirección y preside el grupo de trabajo sobre gestión de riesgos, |
| --- | --- |

—

ofrece orientación y asesoramiento en materia de gestión de riesgos a otros miembros de la dirección y preside el grupo de trabajo sobre gestión de riesgos,

| — | copreside el comité de riesgos del comité de gestión de fondos con el servicio de finanzas. |
| --- | --- |

—

copreside el comité de riesgos del comité de gestión de fondos con el servicio de finanzas.

El grupo de trabajo sobre gestión de riesgos
  tiene el cometido siguiente:

| — | efectúa la actualización completa de la autoevaluación de riesgos del Banco y elabora el informe anual e intermedio de gestión de riesgos, |
| --- | --- |

—

efectúa la actualización completa de la autoevaluación de riesgos del Banco y elabora el informe anual e intermedio de gestión de riesgos,

| — | se reúne tres o cuatro veces al año para examinar el perfil de riesgos del Banco y compartir las iniciativas en materia de gestión de riesgos con las funciones o servicios de los representantes. |
| --- | --- |

—

se reúne tres o cuatro veces al año para examinar el perfil de riesgos del Banco y compartir las iniciativas en materia de gestión de riesgos con las funciones o servicios de los representantes.

Divulgación de información sobre el marco de gestión de riesgos del BCE a terceros

| 15. | La divulgación pública de información debería ser suficiente para permitir a terceros evaluar el método de gestión de riesgos del BCE. |
| --- | --- |

15.

| 16. | El BCE publica un informe anual que contiene las cuentas anuales y las notas explicativas correspondientes (16). La información sobre gestión de riesgos en las cuentas anuales es bastante limitada y la información sobre los principios y cifras de gestión de riesgos del BCE no es accesible al público [salvo el caso de la cifra consolidada del Valor en Riesgo (17) (VaR)]. El informe anual del BCE contiene una breve información sobre determinadas cuestiones de gestión de riesgos pero no presenta una visión general del proceso de gestión de riesgos en la organización, los riesgos presentados y el enfoque adoptado por la dirección al respecto. |
| --- | --- |

16.

El BCE publica un informe anual que contiene las cuentas anuales y las notas explicativas correspondientes (16). La información sobre gestión de riesgos en las cuentas anuales es bastante limitada y la información sobre los principios y cifras de gestión de riesgos del BCE no es accesible al público [salvo el caso de la cifra consolidada del Valor en Riesgo (17) (VaR)]. El informe anual del BCE contiene una breve información sobre determinadas cuestiones de gestión de riesgos pero no presenta una visión general del proceso de gestión de riesgos en la organización, los riesgos presentados y el enfoque adoptado por la dirección al respecto.

| 17. | La utilización de las Normas Internacionales de Información Financiera (NIIF) (18) constituye la mejor práctica de presentación de las cuentas de una entidad. La NIIF 7, «Instrumentos financieros: información a revelar», trata de la presentación de los riesgos a los que se enfrenta una organización en sus cuentas. No obstante, no ha sido aplicada por el BCE. |
| --- | --- |

17.

La utilización de las Normas Internacionales de Información Financiera (NIIF) (18) constituye la mejor práctica de presentación de las cuentas de una entidad. La NIIF 7, «Instrumentos financieros: información a revelar», trata de la presentación de los riesgos a los que se enfrenta una organización en sus cuentas. No obstante, no ha sido aplicada por el BCE.

| 18. | Otras organizaciones de bancos centrales internacionales o nacionales, como el Banco de Pagos Internacionales (BPI) y el Bank of Canada presentan en sus estados financieros anuales información sobre gestión de riesgos, auanque uno de ellos no aplica las NIIF (véase el recuadro 2).

  Recuadro 2


  Ilustración de la divulgación de información sobre gestión de riesgos








  Organización | Divulgación de información sobre gestión de riesgos en las cuentas anuales | Marco de información financiera |
| --- | --- | --- | --- |
| Banco de Pagos Internacionales (BPI) | Las cuentas anuales muestran los riesgos afrontados por el Banco, el enfoque y la organización de la gestión de riesgos, una visión detallada del riesgo de crédito, del riesgo de mercado y del riesgo de liquidez, así como del riesgo operativo. | Marco específico de información financiera fijado en los Estatutos del Banco |
| Bank of Canada | Las cuentas anuales muestran una visión general del proceso de gestión de riesgos, la estructura de gobernanza en materia de riesgos, la función del responsable de riesgos financieros, del riesgo financiero afrontado por el Banco, y una visión detallada de los riesgos de crédito, de mercado y de liquidez. | NIIF (19) |

18.

Otras organizaciones de bancos centrales internacionales o nacionales, como el Banco de Pagos Internacionales (BPI) y el Bank of Canada presentan en sus estados financieros anuales información sobre gestión de riesgos, auanque uno de ellos no aplica las NIIF (véase el recuadro 2).

Recuadro 2

Ilustración de la divulgación de información sobre gestión de riesgos

Organización

Divulgación de información sobre gestión de riesgos en las cuentas anuales

Marco de información financiera

Banco de Pagos Internacionales (BPI)

Las cuentas anuales muestran los riesgos afrontados por el Banco, el enfoque y la organización de la gestión de riesgos, una visión detallada del riesgo de crédito, del riesgo de mercado y del riesgo de liquidez, así como del riesgo operativo.

Marco específico de información financiera fijado en los Estatutos del Banco

Bank of Canada

Las cuentas anuales muestran una visión general del proceso de gestión de riesgos, la estructura de gobernanza en materia de riesgos, la función del responsable de riesgos financieros, del riesgo financiero afrontado por el Banco, y una visión detallada de los riesgos de crédito, de mercado y de liquidez.

NIIF (19)

¿Ha gestionado el BCE sus riesgos operativos de manera eficaz?

| 19. | La gestión de la continuidad de las actividades complementa el marco de gestión del riesgo operativo del BCE, y ambos constituyen un importante elemento de gobernanza empresarial (20). |
| --- | --- |

19.

La gestión de la continuidad de las actividades complementa el marco de gestión del riesgo operativo del BCE, y ambos constituyen un importante elemento de gobernanza empresarial (20).

Gestión de riesgos operativos

| 20. | Un marco eficaz del sistema de gestión de riesgos operativos abarca unas estrategias y una visión claras por parte del consejo de administración y los altos directivos, una cultura sólida de riesgos operativos y una cultura de control interno (que incluya unas líneas claras de responsabilidades y separación de funciones), así como un sistema eficaz de información interna. |
| --- | --- |

20.

Un marco eficaz del sistema de gestión de riesgos operativos abarca unas estrategias y una visión claras por parte del consejo de administración y los altos directivos, una cultura sólida de riesgos operativos y una cultura de control interno (que incluya unas líneas claras de responsabilidades y separación de funciones), así como un sistema eficaz de información interna.

| 21. | Para evaluar la gestión de los riesgos operativos en el BCE, el Tribunal examinó lo siguiente:






  — | las políticas de gestión de riesgos operativos establecidas en el BCE, |
| --- | --- | --- |

21.

Para evaluar la gestión de los riesgos operativos en el BCE, el Tribunal examinó lo siguiente:

—

las políticas de gestión de riesgos operativos establecidas en el BCE,

| — | la estructura organizativa y las distintas funciones de gestión de riesgos operativos, |
| --- | --- |

—

la estructura organizativa y las distintas funciones de gestión de riesgos operativos,

| — | su relación con la planificación estratégica y financiera (el ciclo presupuestario anual), |
| --- | --- |

—

su relación con la planificación estratégica y financiera (el ciclo presupuestario anual),

| — | la identificación de riesgos, evaluación y respuesta, información, supervisión y seguimiento tanto en las unidades de gestión como a nivel central. |
| --- | --- |

—

la identificación de riesgos, evaluación y respuesta, información, supervisión y seguimiento tanto en las unidades de gestión como a nivel central.

Políticas de riesgos operativos

| 22. | Las políticas de gestión de riesgos operativos deben proporcionar una definición clara del riesgo operativo que englobe a todo el banco y determinar las políticas que enmarcan el enfoque del banco en materia de identificación, evaluación, supervisión y control o reducción del riesgo. |
| --- | --- |

22.

| 23. | El marco del sistema de gestión de riesgos operativos del BCE fue aprobado por el Comité Ejecutivo en octubre de 2007 (21) y se describe en el manual de prácticas internas publicado en la intranet y accesible a todo el personal. Resume la definición del BCE de la gestión de riesgos operativos (22), la política de tolerancia de riesgo, las funciones y responsabilidades, así como las políticas de evaluación, respuesta e información y supervisión. |
| --- | --- |

23.

El marco del sistema de gestión de riesgos operativos del BCE fue aprobado por el Comité Ejecutivo en octubre de 2007 (21) y se describe en el manual de prácticas internas publicado en la intranet y accesible a todo el personal. Resume la definición del BCE de la gestión de riesgos operativos (22), la política de tolerancia de riesgo, las funciones y responsabilidades, así como las políticas de evaluación, respuesta e información y supervisión.

| 24. | Las políticas de gestión de riesgos operativos establecidas ofrecen una clara definición a nivel bancario del riesgo operativo y exponen las políticas que enmarcan el enfoque del Banco para evaluar, supervisar y controlar o reducir el riesgo. No obstante, el manual de prácticas internas no facilita detalles del enfoque del Banco con respecto a la identificación de riesgos. |
| --- | --- |

24.

Las políticas de gestión de riesgos operativos establecidas ofrecen una clara definición a nivel bancario del riesgo operativo y exponen las políticas que enmarcan el enfoque del Banco para evaluar, supervisar y controlar o reducir el riesgo. No obstante, el manual de prácticas internas no facilita detalles del enfoque del Banco con respecto a la identificación de riesgos.

Estructura organizativa y responsabilidades

| 25. | Las unidades de gestión deberían encargarse de aplicar las políticas, procesos y procedimientos de gestión del riesgo operativo en todas las actividades, procesos y sistemas significativos del banco. Este también debería contar con un sistema de gestión de riesgos operativos en el que exista una clara atribución de responsabilidades a una función de gestión de riesgos. |
| --- | --- |

25.

| 26. | El Comité Ejecutivo es responsable en último término de la gestión de riesgos operativos en el BCE. El comité de riesgos operativos trata los temas estratégicos y cuestiones a medio plazo, así como cuestiones puntuales y a corto plazo pertinentes (23). Está formado por un miembro del Comité Ejecutivo (el presidente) y siete altos directivos del Banco (24), y tiene poder de decisión para aceptar riesgos de nivel medio mientras que los riesgos elevados siempre tienen que ser aceptados por el Comité Ejecutivo. Cada dos meses, o con más frecuencia en caso necesario, se celebran reuniones. |
| --- | --- |

26.

El Comité Ejecutivo es responsable en último término de la gestión de riesgos operativos en el BCE. El comité de riesgos operativos trata los temas estratégicos y cuestiones a medio plazo, así como cuestiones puntuales y a corto plazo pertinentes (23). Está formado por un miembro del Comité Ejecutivo (el presidente) y siete altos directivos del Banco (24), y tiene poder de decisión para aceptar riesgos de nivel medio mientras que los riesgos elevados siempre tienen que ser aceptados por el Comité Ejecutivo. Cada dos meses, o con más frecuencia en caso necesario, se celebran reuniones.

| 27. | El manual de prácticas internas indica con claridad que las unidades de gestión deben gestionar sus riesgos operativos (25). En consecuencia, cada unidad debería designar (al menos) un coordinador de riesgos que apoye a los jefes de las unidades en materia de gestión de riesgos operativos y actúe como primer punto de contacto en este ámbito dentro de cada unidad de gestión. Los jefes de las unidades de gestión también tienen la obligación de garantizar que el personal adquiera y mantenga las competencias necesarias para asumir la responsabilidad y rendición de cuentas con respecto a la gestión de riesgos operativos. La función GRO/GCA debería desarrollar y mantener el marco de gestión de riesgos operativos y coordinar el enfoque de las unidades de gestión a este respecto. |
| --- | --- |

27.

El manual de prácticas internas indica con claridad que las unidades de gestión deben gestionar sus riesgos operativos (25). En consecuencia, cada unidad debería designar (al menos) un coordinador de riesgos que apoye a los jefes de las unidades en materia de gestión de riesgos operativos y actúe como primer punto de contacto en este ámbito dentro de cada unidad de gestión. Los jefes de las unidades de gestión también tienen la obligación de garantizar que el personal adquiera y mantenga las competencias necesarias para asumir la responsabilidad y rendición de cuentas con respecto a la gestión de riesgos operativos. La función GRO/GCA debería desarrollar y mantener el marco de gestión de riesgos operativos y coordinar el enfoque de las unidades de gestión a este respecto.

| 28. | De los ocho agentes que integran la función GRO/GCA, solo cuatro eran permanentes en el momento de la fiscalización. Los demás se encontraban en comisión de servicio procedentes de bancos centrales nacionales o tienen contratos de duración determinada que oscilan entre tres meses y dos años, lo que significa que existe una elevada rotación de personal que da lugar a una pérdida de continuidad en una función importante y aumenta el riesgo de que el marco de gestión de riesgos operativos no se aplique adecuadamente en el BCE. |
| --- | --- |

28.

De los ocho agentes que integran la función GRO/GCA, solo cuatro eran permanentes en el momento de la fiscalización. Los demás se encontraban en comisión de servicio procedentes de bancos centrales nacionales o tienen contratos de duración determinada que oscilan entre tres meses y dos años, lo que significa que existe una elevada rotación de personal que da lugar a una pérdida de continuidad en una función importante y aumenta el riesgo de que el marco de gestión de riesgos operativos no se aplique adecuadamente en el BCE.

| 29. | El conocimiento por parte del personal del marco de gestión de riesgos se incluyó en encuestas al personal de 2009 y 2010. La encuesta de 2009 mostró que alrededor del 40 % de los encuestados declararon no haber recibido suficiente información sobre la gestión de riesgos operativos; el 56 % desconocía quién había sido designado coordinador de riesgos de su unidad de gestión y el 45 % no sabía dónde encontrar información sobre la gestión de riesgos operativos en la intranet. En la encuesta de 2010 el 40 % continuaba sin saberlo. |
| --- | --- |

29.

El conocimiento por parte del personal del marco de gestión de riesgos se incluyó en encuestas al personal de 2009 y 2010. La encuesta de 2009 mostró que alrededor del 40 % de los encuestados declararon no haber recibido suficiente información sobre la gestión de riesgos operativos; el 56 % desconocía quién había sido designado coordinador de riesgos de su unidad de gestión y el 45 % no sabía dónde encontrar información sobre la gestión de riesgos operativos en la intranet. En la encuesta de 2010 el 40 % continuaba sin saberlo.

Relación con la planificación estratégica y financiera (ciclo presupuestario anual)

| 30. | La gestión de riesgos debe inscribirse en la gobernanza del BCE como parte integrante de la planificación estratégica, comercial y financiera del banco. |
| --- | --- |

30.

| 31. | Una parte importante de la determinación del perfil de riesgo del BCE es la evaluación anual de los riesgos operativos llevada a cabo por las unidades de gestión y la función GRO/GCA. Las evaluaciones de 2009 fueron efectuadas por las unidades de gestión entre junio y agosto de ese año, tras lo cual se celebró una reunión de ajuste con los coordinadores de riesgos. El informe descendente (top-down) se finalizó en enero de 2010. |
| --- | --- |

31.

Una parte importante de la determinación del perfil de riesgo del BCE es la evaluación anual de los riesgos operativos llevada a cabo por las unidades de gestión y la función GRO/GCA. Las evaluaciones de 2009 fueron efectuadas por las unidades de gestión entre junio y agosto de ese año, tras lo cual se celebró una reunión de ajuste con los coordinadores de riesgos. El informe descendente (top-down) se finalizó en enero de 2010.

| 32. | El perfil de riesgo debería ser una de las aportaciones al proceso de planificación estratégica, que a su vez dirige el plan financiero. Sin embargo, la fiscalización reveló que no existe una integración de la evaluación anual de los riesgos operativos con el ciclo de planificación estratégica y financiera del BCE, por lo que la gestión de los riesgos operativos puede reducirse a un ejercicio aislado y el plan financiero puede no canalizar de manera adecuada los recursos para lograr objetivos estratégicos (26). |
| --- | --- |

32.

El perfil de riesgo debería ser una de las aportaciones al proceso de planificación estratégica, que a su vez dirige el plan financiero. Sin embargo, la fiscalización reveló que no existe una integración de la evaluación anual de los riesgos operativos con el ciclo de planificación estratégica y financiera del BCE, por lo que la gestión de los riesgos operativos puede reducirse a un ejercicio aislado y el plan financiero puede no canalizar de manera adecuada los recursos para lograr objetivos estratégicos (26).

| 33. | Un ejemplo de buenas prácticas es el Bank of Canada, donde el perfil de riesgo del banco es parte integrante de su ciclo global de planificación estratégica y financiera (27). |
| --- | --- |

33.

Un ejemplo de buenas prácticas es el Bank of Canada, donde el perfil de riesgo del banco es parte integrante de su ciclo global de planificación estratégica y financiera (27).

El proceso de gestión de riesgos operativos: Identificación, evaluación de riesgos y respuesta a estos, información y supervisión

Identificación y evaluación de riesgos y respuesta a los mismos

| 34. | Todos los riesgos operativos inherentes a las actividades, procesos y sistemas deben ser identificados y evaluados con respecto a la política existente y al nivel de tolerancia para determinar una respuesta adecuada basada en cálculos de costes suficientes. Debería facilitarse a la dirección y al Comité Ejecutivo información pertinente que apoye la gestión proactiva del riesgo operativo. |
| --- | --- |

34.

| 35. | El marco de gestión de riesgos operativos se ha aplicado principalmente mediante evaluaciones descendentes. Según la política de riesgos del BCE, las unidades de gestión también deben proceder de forma continua a evaluaciones ascendentes de sus procesos y los riesgos identificados deben aprobarse (28). |
| --- | --- |

35.

El marco de gestión de riesgos operativos se ha aplicado principalmente mediante evaluaciones descendentes. Según la política de riesgos del BCE, las unidades de gestión también deben proceder de forma continua a evaluaciones ascendentes de sus procesos y los riesgos identificados deben aprobarse (28).

| 36. | El BCE llevó a cabo evaluaciones de riesgos descendentes en 2008 y 2009. La función GRO/GCA proporcionó a las unidades de gestión unos riesgos de alto nivel predefinidos que constituyeron la base para sus evaluaciones de riesgos. En el informe final se incluyó un plan de acción para cada unidad de gestión. El manual de prácticas internas exige que las unidades de gestión analicen y definan estrategias de respuesta a los riesgos y lleven a cabo un análisis de costes y beneficios de posibles soluciones. |
| --- | --- |

36.

El BCE llevó a cabo evaluaciones de riesgos descendentes en 2008 y 2009. La función GRO/GCA proporcionó a las unidades de gestión unos riesgos de alto nivel predefinidos que constituyeron la base para sus evaluaciones de riesgos. En el informe final se incluyó un plan de acción para cada unidad de gestión. El manual de prácticas internas exige que las unidades de gestión analicen y definan estrategias de respuesta a los riesgos y lleven a cabo un análisis de costes y beneficios de posibles soluciones.

| 37. | Todas las unidades de gestión habían identificado riesgos y respuestas en relación con el ejercicio de evaluación descendente de 2009, y el informe correspondiente contenía medidas concretas de seguimiento para cada unidad. No obstante, en las unidades de gestión seleccionadas no se documentaron análisis de costes y beneficios. |
| --- | --- |

37.

Todas las unidades de gestión habían identificado riesgos y respuestas en relación con el ejercicio de evaluación descendente de 2009, y el informe correspondiente contenía medidas concretas de seguimiento para cada unidad. No obstante, en las unidades de gestión seleccionadas no se documentaron análisis de costes y beneficios.

| 38. | En el caso de determinados riesgos, una vez identificado el riesgo por la unidad de gestión, el procedimiento de aceptación por el comité de riesgos operativos/Comité Ejecutivo fue muy prolongado. Por ejemplo, dos riesgos identificados en julio-agosto de 2009 todavía no estaban aprobados en diciembre de 2010. La lista de medidas concretas abiertas revisada en las reuniones del comité de riesgos operativos muestra también que algunos permanecían abiertos durante más de un año y otros hasta dos años. |
| --- | --- |

38.

En el caso de determinados riesgos, una vez identificado el riesgo por la unidad de gestión, el procedimiento de aceptación por el comité de riesgos operativos/Comité Ejecutivo fue muy prolongado. Por ejemplo, dos riesgos identificados en julio-agosto de 2009 todavía no estaban aprobados en diciembre de 2010. La lista de medidas concretas abiertas revisada en las reuniones del comité de riesgos operativos muestra también que algunos permanecían abiertos durante más de un año y otros hasta dos años.

| 39. | En solo tres de las seis unidades de gestión seleccionadas fue posible identificar recursos específicos asignados a las actividades de gestión de riesgos operativos en su programa de trabajo, pero la descripción de estas actividades era imprecisa y no era posible rastrear las medidas concretas del ejercicio descendente de la gestión de riesgos operativos de 2009 hasta los programas de trabajo de la unidad de gestión. |
| --- | --- |

39.

En solo tres de las seis unidades de gestión seleccionadas fue posible identificar recursos específicos asignados a las actividades de gestión de riesgos operativos en su programa de trabajo, pero la descripción de estas actividades era imprecisa y no era posible rastrear las medidas concretas del ejercicio descendente de la gestión de riesgos operativos de 2009 hasta los programas de trabajo de la unidad de gestión.

Gestión de la continuidad de las actividades del BCE

| 40. | La gestión de la continuidad de las actividades es un componente importante de la gestión de riesgos operativos, que requiere planes de emergencia y de recuperación para los supuestos más desfavorables a fin de garantizar la continuidad de actividades y procesos esenciales en casos de crisis. |
| --- | --- |

40.

La gestión de la continuidad de las actividades es un componente importante de la gestión de riesgos operativos, que requiere planes de emergencia y de recuperación para los supuestos más desfavorables a fin de garantizar la continuidad de actividades y procesos esenciales en casos de crisis.

| 41. | El Tribunal examinó lo siguiente:






  i) | si el marco global de gestión de la continuidad de las actividades es adecuado y está en consonancia con las mejores prácticas, |
| --- | --- | --- |

41.

El Tribunal examinó lo siguiente:

i)

si el marco global de gestión de la continuidad de las actividades es adecuado y está en consonancia con las mejores prácticas,

| ii) | si los procesos esenciales están correctamente identificados, |
| --- | --- |

ii)

si los procesos esenciales están correctamente identificados,

| iii) | si los distintos planes de continuidad de las actividades de las unidades de gestión seleccionadas afrontan de manera adecuada los riesgos para garantizar la correcta continuidad de operaciones esenciales, |
| --- | --- |

iii)

si los distintos planes de continuidad de las actividades de las unidades de gestión seleccionadas afrontan de manera adecuada los riesgos para garantizar la correcta continuidad de operaciones esenciales,

| iv) | si las disposiciones de continuidad de las actividades se verificaron del modo apropiado, |
| --- | --- |

iv)

si las disposiciones de continuidad de las actividades se verificaron del modo apropiado,

| v) | si el personal conocía y estaba preparado con respecto a las disposiciones de continuidad de las actividades. |
| --- | --- |

v)

si el personal conocía y estaba preparado con respecto a las disposiciones de continuidad de las actividades.

Marco de gestión de la continuidad de las actividades

| 42. | La gestión de la continuidad de las actividades es un enfoque empresarial global que incluye políticas, normas y procedimientos para garantizar que puedan mantenerse o recuperarse con la debida diligencia operaciones especificadas en caso de perturbación. La finalidad es minimizar las consecuencias operativas, financieras, legales, de reputación u otras consecuencias significativas derivadas de una perturbación
   (29). |
| --- | --- |

42.

La gestión de la continuidad de las actividades es un enfoque empresarial global que incluye políticas, normas y procedimientos para garantizar que puedan mantenerse o recuperarse con la debida diligencia operaciones especificadas en caso de perturbación. La finalidad es minimizar las consecuencias operativas, financieras, legales, de reputación u otras consecuencias significativas derivadas de una perturbación
   (29).

| 43. | El objeto de la gestión de la continuidad de las actividades es garantizar que las disposiciones y soluciones al respecto sean conformes con los objetivos, obligaciones y deberes estatutarios del BCE y con su política de tolerancia de riesgos (30). |
| --- | --- |

43.

El objeto de la gestión de la continuidad de las actividades es garantizar que las disposiciones y soluciones al respecto sean conformes con los objetivos, obligaciones y deberes estatutarios del BCE y con su política de tolerancia de riesgos (30).

| 44. | La fiscalización incluyó una revisión de los documentos clave que constituyen el marco de la gestión de la continuidad de las actividades:






  — | el capítulo 26 del manual de prácticas internas expone el marco general, define los procesos y subsiguientes realizaciones que se han de obtener, y define funciones y responsabilidades, |
| --- | --- | --- |

44.

La fiscalización incluyó una revisión de los documentos clave que constituyen el marco de la gestión de la continuidad de las actividades:

—

el capítulo 26 del manual de prácticas internas expone el marco general, define los procesos y subsiguientes realizaciones que se han de obtener, y define funciones y responsabilidades,

| — | estrategia de ensayo de la continuidad de las actividades del BCE y de formación, |
| --- | --- |

—

estrategia de ensayo de la continuidad de las actividades del BCE y de formación,

| — | el programa de ensayo de la continuidad de las actividades, |
| --- | --- |

—

el programa de ensayo de la continuidad de las actividades,

| — | el manual de gestión de crisis. |
| --- | --- |

—

el manual de gestión de crisis.

| 45. | El BCE ha elaborado un manual de gestión de crisis que define las funciones, responsabilidades y procesos en estos casos, así como datos de contacto del equipo de gestión de crisis. Cada unidad de gestión tiene la obligación de elaborar su plan de continuidad de las actividades. Sin embargo, el modelo de plan de continuidad de alto nivel no exige un plan global de continuidad de las actividades a nivel del BCE, por lo que no se ha preparado ninguno. |
| --- | --- |

45.

El BCE ha elaborado un manual de gestión de crisis que define las funciones, responsabilidades y procesos en estos casos, así como datos de contacto del equipo de gestión de crisis. Cada unidad de gestión tiene la obligación de elaborar su plan de continuidad de las actividades. Sin embargo, el modelo de plan de continuidad de alto nivel no exige un plan global de continuidad de las actividades a nivel del BCE, por lo que no se ha preparado ninguno.

| 46. | El BCE ha creado un marco sólido con orientaciones sobre las políticas, procesos y responsabilidades en materia de gestión de la continuidad de las actividades en la organización. No obstante, su enfoque descentralizado entraña el peligro de que, sin una coordinación estricta, dicha gestión no se aplique de manera coherente en toda la entidad. |
| --- | --- |

46.

El BCE ha creado un marco sólido con orientaciones sobre las políticas, procesos y responsabilidades en materia de gestión de la continuidad de las actividades en la organización. No obstante, su enfoque descentralizado entraña el peligro de que, sin una coordinación estricta, dicha gestión no se aplique de manera coherente en toda la entidad.

Identificación de procesos esenciales

| 47. | El análisis del impacto en el negocio (Business Impact Analysis — BIA) es un proceso dinámico de identificación de operaciones y servicios críticos, dependencias internas y externas fundamentales y niveles de adaptación adecuados. Evalúa los riesgos y el impacto potencial de distintos supuestos de perturbación en las operaciones y en la reputación de una organización
   (31). |
| --- | --- |

47.

El análisis del impacto en el negocio (Business Impact Analysis — BIA) es un proceso dinámico de identificación de operaciones y servicios críticos, dependencias internas y externas fundamentales y niveles de adaptación adecuados. Evalúa los riesgos y el impacto potencial de distintos supuestos de perturbación en las operaciones y en la reputación de una organización
   (31).

| 48. | El análisis del impacto en el negocio completo más reciente se efectuó en 2006 (32) para identificar los productos y servicios del BCE que resultaban esenciales para la continuidad de las principales operaciones del banco, y se centraba principalmente en los siguientes aspectos:






  — | identificación de los procesos esenciales de la entidad, |
| --- | --- | --- |

48.

El análisis del impacto en el negocio completo más reciente se efectuó en 2006 (32) para identificar los productos y servicios del BCE que resultaban esenciales para la continuidad de las principales operaciones del banco, y se centraba principalmente en los siguientes aspectos:

—

identificación de los procesos esenciales de la entidad,

| — | categorización de los requisitos esenciales, |
| --- | --- |

—

categorización de los requisitos esenciales,

| — | orientaciones sobre el modo de tratar procesos no recurrentes o poco frecuentes, |
| --- | --- |

—

orientaciones sobre el modo de tratar procesos no recurrentes o poco frecuentes,

| — | identificación de requisitos de apoyo adicionales. |
| --- | --- |

—

identificación de requisitos de apoyo adicionales.

| 49. | Una actualización exhaustiva de un análisis de impacto global efectuado en 2007 identificó lagunas respecto de la continuidad de las actividades y las disposiciones vigentes en ese momento, tras lo cual se creó una estrategia de seguimiento que incluía opciones para subsanar las lagunas identificadas o aceptar los riesgos y costes. Sin embargo, aunque el documento presentaba los costes en términos de soluciones informáticas y de infraestructura logística, no presentaba un desglose que mostrara el impacto de los distintos niveles de riesgo en los costes. |
| --- | --- |

49.

Una actualización exhaustiva de un análisis de impacto global efectuado en 2007 identificó lagunas respecto de la continuidad de las actividades y las disposiciones vigentes en ese momento, tras lo cual se creó una estrategia de seguimiento que incluía opciones para subsanar las lagunas identificadas o aceptar los riesgos y costes. Sin embargo, aunque el documento presentaba los costes en términos de soluciones informáticas y de infraestructura logística, no presentaba un desglose que mostrara el impacto de los distintos niveles de riesgo en los costes.

| 50. | La actualización más reciente del análisis de impacto en el negocio para colmar las lagunas identificadas en 2007 se completó en 2010 y, desde la crisis financiera, no se ha procedido a otro análisis de impacto completo. |
| --- | --- |

50.

La actualización más reciente del análisis de impacto en el negocio para colmar las lagunas identificadas en 2007 se completó en 2010 y, desde la crisis financiera, no se ha procedido a otro análisis de impacto completo.

Planes de continuidad de las actividades

Operaciones esenciales

| 51. | Los planes de continuidad de las actividades deben plantearse de modo que se identifiquen las operaciones críticas para garantizar que el BCE pueda cumplir sus obligaciones estatutarias definidas en el protocolo sobre el estatuto del BCE
   (33). Estos planes deberían articularse en torno a un «supuesto más desfavorable», teniendo en cuenta que la respuesta puede ser debidamente redimensionada para hacer frente a la crisis real
   (34). |
| --- | --- |

51.

Los planes de continuidad de las actividades deben plantearse de modo que se identifiquen las operaciones críticas para garantizar que el BCE pueda cumplir sus obligaciones estatutarias definidas en el protocolo sobre el estatuto del BCE
   (33). Estos planes deberían articularse en torno a un «supuesto más desfavorable», teniendo en cuenta que la respuesta puede ser debidamente redimensionada para hacer frente a la crisis real
   (34).

| 52. | El BCE ha establecido unos puntos de referencia primarios para la determinación del carácter crítico en relación con una serie de riesgos y sobre la base de sus obligaciones estatutarias (véase el recuadro 3).

  Recuadro 3


  Puntos de referencia primarios para la determinación de la importancia crítica

  Cumplir las obligaciones estatutarias, en particular:






  — | la definición y ejecución de la política monetaria para la zona del euro, |
| --- | --- | --- |

52.

El BCE ha establecido unos puntos de referencia primarios para la determinación del carácter crítico en relación con una serie de riesgos y sobre la base de sus obligaciones estatutarias (véase el recuadro 3).

Recuadro 3

Puntos de referencia primarios para la determinación de la importancia crítica

Cumplir las obligaciones estatutarias, en particular:

—

la definición y ejecución de la política monetaria para la zona del euro,

| — | la realización de operaciones de cambio de divisas, |
| --- | --- |

—

la realización de operaciones de cambio de divisas,

| — | el mantenimiento y gestión de las reservas oficiales de divisas de los países de la zona del euro, |
| --- | --- |

—

el mantenimiento y gestión de las reservas oficiales de divisas de los países de la zona del euro,

| — | la promoción del buen funcionamiento de los sistemas de pagos. |
| --- | --- |

—

la promoción del buen funcionamiento de los sistemas de pagos.

El impacto de la interrupción en un proceso identificado con respecto a:

| — | la inestabilidad del mercado, |
| --- | --- |

—

la inestabilidad del mercado,

| — | la pérdida de credibilidad, imagen o reputación, |
| --- | --- |

—

la pérdida de credibilidad, imagen o reputación,

| — | la pérdida financiera para el BCE, |
| --- | --- |

—

la pérdida financiera para el BCE,

| — | la pérdida financiera para otras instituciones, |
| --- | --- |

—

la pérdida financiera para otras instituciones,

| — | posibles problemas legales, |
| --- | --- |

—

posibles problemas legales,

| — | otros impactos no incluidos en los puntos anteriores. |
| --- | --- |

—

otros impactos no incluidos en los puntos anteriores.

Fuente: Revisión realizada por el BCE del análisis del impacto en el negocio de 2006.

| 53. | Sobre la base del examen efectuado por el Tribunal de estos puntos de referencia primarios y una evaluación preliminar del nivel potencial de las operaciones continuadas en el marco de los supuestos establecidos (35), los planes elaborados fueron concebidos con el fin de garantizar el cumplimiento de las obligaciones estatutarias. No obstante, el examen realizado por el Tribunal de los planes de continuidad de las actividades reveló una ausencia de planes para responder a una pérdida grave de recursos humanos (36) en caso de desastre. Aunque las unidades de gestión encargadas de los procesos definieron el personal encargado de la continuidad de las actividades y su sustitución, ninguna disponía de un plan de seguridad en caso de falta de personal disponible a gran escala. |
| --- | --- |

53.

Sobre la base del examen efectuado por el Tribunal de estos puntos de referencia primarios y una evaluación preliminar del nivel potencial de las operaciones continuadas en el marco de los supuestos establecidos (35), los planes elaborados fueron concebidos con el fin de garantizar el cumplimiento de las obligaciones estatutarias. No obstante, el examen realizado por el Tribunal de los planes de continuidad de las actividades reveló una ausencia de planes para responder a una pérdida grave de recursos humanos (36) en caso de desastre. Aunque las unidades de gestión encargadas de los procesos definieron el personal encargado de la continuidad de las actividades y su sustitución, ninguna disponía de un plan de seguridad en caso de falta de personal disponible a gran escala.

Conformidad con el modelo de plan de continuidad de las actividades de alto nivel

| 54. | Según el modelo de plan de continuidad de las actividades de alto nivel, los distintos planes de las unidades de gestión deberían abarcar:






  — | aspectos organizativos
   (37), |
| --- | --- | --- |

54.

—

aspectos organizativos
   (37),

| — | procesos esenciales
   (38), |
| --- | --- |

—

procesos esenciales
   (38),

| — | requisitos
   (39), |
| --- | --- |

—

requisitos
   (39),

| — | listado de partes interesadas. |
| --- | --- |

—

listado de partes interesadas.

Una organización debería sopesar el beneficio directo que obtiene de las medidas para mejorar su capacidad de recuperación ante las perturbaciones operativas en relación con el coste de dichas medidas
   (40).

| 55. | El modelo global del BCE para el plan de continuidad de la actividad de alto nivel proporciona la estructura obligatoria y los contenidos de los planes de continuidad de las actividades de las distintas unidades de gestión. Como tal, el modelo solo incluye la estructura los documentos del plan de continuidad de las actividades que deben presentar las unidades. |
| --- | --- |

55.

El modelo global del BCE para el plan de continuidad de la actividad de alto nivel proporciona la estructura obligatoria y los contenidos de los planes de continuidad de las actividades de las distintas unidades de gestión. Como tal, el modelo solo incluye la estructura los documentos del plan de continuidad de las actividades que deben presentar las unidades.

| 56. | Los planes de continuidad de las actividades se preparan en las unidades de gestión, en los servicios o en las divisiones. El modelo de plan de continuidad de alto nivel suele respetarse desde el punto de vista del contenido obligatorio, pero existen grandes diferencias en el grado de detalle. Aunque la función GRO/GCA actúa como coordinador central, la calidad de los distintos planes depende de la persona encargada en la unidad de gestión. Nada indicaba que los distintos planes de continuidad de las actividades estuvieran suficientemente revisados por la función GRO/GCA. |
| --- | --- |

56.

Los planes de continuidad de las actividades se preparan en las unidades de gestión, en los servicios o en las divisiones. El modelo de plan de continuidad de alto nivel suele respetarse desde el punto de vista del contenido obligatorio, pero existen grandes diferencias en el grado de detalle. Aunque la función GRO/GCA actúa como coordinador central, la calidad de los distintos planes depende de la persona encargada en la unidad de gestión. Nada indicaba que los distintos planes de continuidad de las actividades estuvieran suficientemente revisados por la función GRO/GCA.

| 57. | De las cinco unidades de gestión (41) seleccionadas para proceder a una verificación detallada, cuatro presentaron un plan de continuidad de las actividades conforme a los requisitos, y tres de dichos planes abordaban plenamente los procesos esenciales identificados en el análisis del impacto en el negocio. |
| --- | --- |

57.

De las cinco unidades de gestión (41) seleccionadas para proceder a una verificación detallada, cuatro presentaron un plan de continuidad de las actividades conforme a los requisitos, y tres de dichos planes abordaban plenamente los procesos esenciales identificados en el análisis del impacto en el negocio.

| 58. | En la mayoría de los casos de las áreas de gestión de la muestra no se había documentado un análisis de costes y beneficios relativo a las opciones de continuidad de las actividades, incluida la evaluación de varios niveles de riesgo. |
| --- | --- |

58.

En la mayoría de los casos de las áreas de gestión de la muestra no se había documentado un análisis de costes y beneficios relativo a las opciones de continuidad de las actividades, incluida la evaluación de varios niveles de riesgo.

Pruebas

| 59. | Las organizaciones deberían poner a prueba sus planes de continuidad de las actividades, evaluar su eficacia y actualizar su gestión de la continuidad de las actividades según convenga
   (42). La norma BS25999
   (43)
  establece que la organización garantice que las disposiciones de su gestión de la continuidad de las actividades sean validadas por ejercicios y que se revisen y actualicen. |
| --- | --- |

59.

Las organizaciones deberían poner a prueba sus planes de continuidad de las actividades, evaluar su eficacia y actualizar su gestión de la continuidad de las actividades según convenga
   (42). La norma BS25999
   (43)
  establece que la organización garantice que las disposiciones de su gestión de la continuidad de las actividades sean validadas por ejercicios y que se revisen y actualicen.

| 60. | Se examinaron los siguientes documentos:






  — | la estrategia de pruebas de la continuidad de la actividad (44), |
| --- | --- | --- |

60.

Se examinaron los siguientes documentos:

—

la estrategia de pruebas de la continuidad de la actividad (44),

| — | los programas y calendarios de pruebas para el período 2008-2010, |
| --- | --- |

—

los programas y calendarios de pruebas para el período 2008-2010,

| — | informes de los resultados de las pruebas. |
| --- | --- |

—

informes de los resultados de las pruebas.

| 61. | La estrategia de pruebas se centra en el plan de continuidad de las actividades y en los planes de recuperación de los sistemas de información desarrollados para revisar los procesos esenciales con arreglo al análisis del impacto en el negocio. El marco de las pruebas incluye una clara atribución de funciones, estableciendo el alcance de las pruebas, los requisitos en materia de presentación de informes, la frecuencia de las pruebas y un programa pertinente de pruebas a medio plazo. El examen indicaba que se había creado un marco de pruebas conforme a los requisitos de la norma BS 25999. |
| --- | --- |

61.

La estrategia de pruebas se centra en el plan de continuidad de las actividades y en los planes de recuperación de los sistemas de información desarrollados para revisar los procesos esenciales con arreglo al análisis del impacto en el negocio. El marco de las pruebas incluye una clara atribución de funciones, estableciendo el alcance de las pruebas, los requisitos en materia de presentación de informes, la frecuencia de las pruebas y un programa pertinente de pruebas a medio plazo. El examen indicaba que se había creado un marco de pruebas conforme a los requisitos de la norma BS 25999.

| 62. | Las pruebas realizadas identificaron que los ejercicios de pruebas, aunque incluían al personal clave y se efectuaban periódicamente, no siempre simulan las circunstancias a las que tendría que hacer frente el BCE en caso de una perturbación importante de las actividades. Las pruebas planificadas para 2009 y 2010 no abarcaron todos los supuestos establecidos por el BCE y no se llevaron a cabo todas las pruebas inicialmente previstas. |
| --- | --- |

62.

Las pruebas realizadas identificaron que los ejercicios de pruebas, aunque incluían al personal clave y se efectuaban periódicamente, no siempre simulan las circunstancias a las que tendría que hacer frente el BCE en caso de una perturbación importante de las actividades. Las pruebas planificadas para 2009 y 2010 no abarcaron todos los supuestos establecidos por el BCE y no se llevaron a cabo todas las pruebas inicialmente previstas.

Formación y sensibilización

| 63. | Los equipos de gestión de crisis y de respuesta a estas deberían recibir formación sobre sus responsabilidades y obligaciones al menos anualmente y, en el caso de los nuevos miembros, la formación debería impartirse en el momento de su llegada. Todo el personal debería recibir formación para ejercer sus respectivas funciones en caso de crisis y ser informado de los principales componentes del plan de continuidad de las actividades
   (45). |
| --- | --- |

63.

Los equipos de gestión de crisis y de respuesta a estas deberían recibir formación sobre sus responsabilidades y obligaciones al menos anualmente y, en el caso de los nuevos miembros, la formación debería impartirse en el momento de su llegada. Todo el personal debería recibir formación para ejercer sus respectivas funciones en caso de crisis y ser informado de los principales componentes del plan de continuidad de las actividades
   (45).

| 64. | La estrategia adoptada por el BCE en materia de formación especifica que todo el personal debería beneficiarse de un programa de sensibilización sobre la gestión de la continuidad de las actividades (46). Por lo que respecta a las pruebas, la estrategia prevé la creación de un programa de formación que proporcione detalles sobre su ejecución. |
| --- | --- |

64.

La estrategia adoptada por el BCE en materia de formación especifica que todo el personal debería beneficiarse de un programa de sensibilización sobre la gestión de la continuidad de las actividades (46). Por lo que respecta a las pruebas, la estrategia prevé la creación de un programa de formación que proporcione detalles sobre su ejecución.

| 65. | En 2010 se impartieron cinco programas de formación de medio día de duración para ofrecer un recorrido paso a paso del manual de crisis aprobado por el BCE. En general, tanto la introducción del manual como la sesión de formación recibieron valoraciones positivas por los participantes en el curso, pero también se puso de manifiesto que la organización de pruebas de simulación sería bien acogida. |
| --- | --- |

65.

En 2010 se impartieron cinco programas de formación de medio día de duración para ofrecer un recorrido paso a paso del manual de crisis aprobado por el BCE. En general, tanto la introducción del manual como la sesión de formación recibieron valoraciones positivas por los participantes en el curso, pero también se puso de manifiesto que la organización de pruebas de simulación sería bien acogida.

| 66. | Si bien en la fiscalización se obtuvieron pruebas claras de la formación impartida al personal competente para la continuidad de las actividades, concretamente a través de pruebas del plan de continuidad, no se encontraron indicios de que se hubiera abordado de manera activa la sensibilización del resto del personal sobre el marco y los procesos de continuidad de las actividades. Varios documentos internos de referencia (47) reconocen que, aunque las pruebas desempeñan un papel importante en la formación del personal, es necesario un programa de sensibilización que llegue al conjunto de la plantilla. Hasta la fecha no se ha elaborado tal programa, ya que la función central de GRO/GCA considera satisfactoria la sensibilización del personal a este respecto. No obstante, una encuesta interna (48) pone de manifiesto que más del 12 % (20 % en 2009) de los encuestados desconocen las disposiciones sobre continuidad de las actividades en su unidad de gestión, y no sabrían dónde encontrar información sobre el modo de actuar en caso de crisis. |
| --- | --- |

66.

Si bien en la fiscalización se obtuvieron pruebas claras de la formación impartida al personal competente para la continuidad de las actividades, concretamente a través de pruebas del plan de continuidad, no se encontraron indicios de que se hubiera abordado de manera activa la sensibilización del resto del personal sobre el marco y los procesos de continuidad de las actividades. Varios documentos internos de referencia (47) reconocen que, aunque las pruebas desempeñan un papel importante en la formación del personal, es necesario un programa de sensibilización que llegue al conjunto de la plantilla. Hasta la fecha no se ha elaborado tal programa, ya que la función central de GRO/GCA considera satisfactoria la sensibilización del personal a este respecto. No obstante, una encuesta interna (48) pone de manifiesto que más del 12 % (20 % en 2009) de los encuestados desconocen las disposiciones sobre continuidad de las actividades en su unidad de gestión, y no sabrían dónde encontrar información sobre el modo de actuar en caso de crisis.

¿Ha gestionado el BCE sus riesgos financieros de manera eficaz?

| 67. | La gestión de riesgos financieros es un proceso para tratar las incertidumbres derivadas de los mercados financieros que implica la evaluación de los riesgos financieros que afronta una organización y la elaboración de estrategias de gestión coherentes con las prioridades y políticas internas. |
| --- | --- |

67.

La gestión de riesgos financieros es un proceso para tratar las incertidumbres derivadas de los mercados financieros que implica la evaluación de los riesgos financieros que afronta una organización y la elaboración de estrategias de gestión coherentes con las prioridades y políticas internas.

| 68. | El Tribunal examinó los siguientes aspectos:






  — | si el marco general de gestión de riesgos financieros para operaciones de inversión y de política resulta adecuado y está en consonancia con las mejores prácticas, |
| --- | --- | --- |

68.

El Tribunal examinó los siguientes aspectos:

—

si el marco general de gestión de riesgos financieros para operaciones de inversión y de política resulta adecuado y está en consonancia con las mejores prácticas,

| — | si la metodología de riesgo financiero aplicada por el BCE es adecuada para gestionar los riesgos financieros, |
| --- | --- |

—

si la metodología de riesgo financiero aplicada por el BCE es adecuada para gestionar los riesgos financieros,

| — | si la metodología de riesgo financiero es aplicada eficazmente por el BCE, |
| --- | --- |

—

si la metodología de riesgo financiero es aplicada eficazmente por el BCE,

| — | si la información sobre la gestión del riesgo financiero es periódica y fiable. |
| --- | --- |

—

si la información sobre la gestión del riesgo financiero es periódica y fiable.

Marco de gestión de riesgos financieros para inversiones y operaciones de políticas

| 69. | El marco debería ofrecer una definición de riesgo financiero a escala de toda la entidad y establecer los principios que definen el modo de identificar, evaluar, supervisar y controlar o reducir los riesgos financieros
   (49). El banco debe contar con un sistema de gestión de riesgos financieros en el que exista una clara atribución de responsabilidades. |
| --- | --- |

69.

El marco debería ofrecer una definición de riesgo financiero a escala de toda la entidad y establecer los principios que definen el modo de identificar, evaluar, supervisar y controlar o reducir los riesgos financieros
   (49). El banco debe contar con un sistema de gestión de riesgos financieros en el que exista una clara atribución de responsabilidades.

| 70. | El marco de gestión de riesgos financieros del BCE está concebido para cubrir riesgos derivados de dos de sus tipos de operaciones: inversión y crédito. Las operaciones de inversión corresponden a las dos carteras de inversiones, reservas de divisas (50) (60 600 millones de euros a 31 de diciembre de 2010) y fondos propios (51) (13 300 millones de euros a 31 de diciembre de 2010). Las operaciones de crédito corresponden a operaciones de política monetaria (52). Las actividades de inversión del BCE incluyen la gestión de reservas de divisas del BCE (53) y su cartera de fondos propios, así como la gestión del fondo de pensiones y las actividades de las dos carteras mantenidas con fines de política monetaria (54). |
| --- | --- |

70.

El marco de gestión de riesgos financieros del BCE está concebido para cubrir riesgos derivados de dos de sus tipos de operaciones: inversión y crédito. Las operaciones de inversión corresponden a las dos carteras de inversiones, reservas de divisas (50) (60 600 millones de euros a 31 de diciembre de 2010) y fondos propios (51) (13 300 millones de euros a 31 de diciembre de 2010). Las operaciones de crédito corresponden a operaciones de política monetaria (52). Las actividades de inversión del BCE incluyen la gestión de reservas de divisas del BCE (53) y su cartera de fondos propios, así como la gestión del fondo de pensiones y las actividades de las dos carteras mantenidas con fines de política monetaria (54).

| 71. | La división de gestión de riesgos (DGR) se ocupa de mantener el marco general de gestión de riesgos para operaciones de inversión y supervisión, evaluación y controles de los riesgos resultantes de estas operaciones, y supervisa la conformidad con las políticas y procesos de mercado y de gestión del riesgo de crédito acordados. Los casos de disconformidad son notificados con arreglo a procedimientos de cadena de alerta acordados. |
| --- | --- |

71.

La división de gestión de riesgos (DGR) se ocupa de mantener el marco general de gestión de riesgos para operaciones de inversión y supervisión, evaluación y controles de los riesgos resultantes de estas operaciones, y supervisa la conformidad con las políticas y procesos de mercado y de gestión del riesgo de crédito acordados. Los casos de disconformidad son notificados con arreglo a procedimientos de cadena de alerta acordados.

| 72. | La DG-M es la unidad de gestión que dirige las operaciones de inversión en el BCE, y también se encarga del mantenimiento y ulterior desarrollo de la aplicación de gestión de carteras del Eurosistema (55). La división de inversiones de la DG-M se ocupa de la preparación de las propuestas del comité de inversión para la referencia táctica de las carteras de reservas de divisas y la gestión directa de la cartera de fondos propios del BCE. |
| --- | --- |

72.

La DG-M es la unidad de gestión que dirige las operaciones de inversión en el BCE, y también se encarga del mantenimiento y ulterior desarrollo de la aplicación de gestión de carteras del Eurosistema (55). La división de inversiones de la DG-M se ocupa de la preparación de las propuestas del comité de inversión para la referencia táctica de las carteras de reservas de divisas y la gestión directa de la cartera de fondos propios del BCE.

| 73. | El manual de gestión de riesgo financiero (56), documento clave para la gestión del riesgo financiero de las actividades de inversión, ofrece una visión global de todas las políticas, procesos y procedimientos pertinentes, en particular mediante referencia a los documentos visados por el órgano decisorio del BCE. |
| --- | --- |

73.

El manual de gestión de riesgo financiero (56), documento clave para la gestión del riesgo financiero de las actividades de inversión, ofrece una visión global de todas las políticas, procesos y procedimientos pertinentes, en particular mediante referencia a los documentos visados por el órgano decisorio del BCE.

| 74. | El marco global y la gestión de riesgos financieros establecidos por el BCE para la gestión de operaciones de inversión y de política aportan una definición de los riesgos financieros a escala de todo el banco y establece los principios según los cuales se han de identificar, evaluar, supervisar y controlar o reducir los riesgos financieros. |
| --- | --- |

74.

El marco global y la gestión de riesgos financieros establecidos por el BCE para la gestión de operaciones de inversión y de política aportan una definición de los riesgos financieros a escala de todo el banco y establece los principios según los cuales se han de identificar, evaluar, supervisar y controlar o reducir los riesgos financieros.

Metodología de gestión de riesgos financieros

| 75. | Deben elaborarse unas directrices adecuadas en materia de inversión a fin de determinar con suficiente detalle la propensión al riesgo y facilitar orientaciones globales para las operaciones de inversión. |
| --- | --- |

75.

| 76. | El manual de gestión de riesgo financiero del BCE define los siguientes elementos:






  i) | la tolerancia de riesgo del BCE, |
| --- | --- | --- |

76.

El manual de gestión de riesgo financiero del BCE define los siguientes elementos:

i)

la tolerancia de riesgo del BCE,

| ii) | los instrumentos y operaciones aprobados, |
| --- | --- |

ii)

los instrumentos y operaciones aprobados,

| iii) | las contrapartes y emisores admisibles, determinación de límites, |
| --- | --- |

iii)

las contrapartes y emisores admisibles, determinación de límites,

| iv) | la colocación estratégica de activos, |
| --- | --- |

iv)

la colocación estratégica de activos,

| v) | la supervisión, elaboración de informes y evaluación, |
| --- | --- |

v)

la supervisión, elaboración de informes y evaluación,

| vi) | la revisión del marco (57). |
| --- | --- |

vi)

la revisión del marco (57).

| 77. | El proceso de inversión de las reservas de divisas está dirigido por una estructura de tres niveles que engloba la referencia estratégica, la referencia táctica y las carteras propiamente dichas. La referencia estratégica refleja las preferencias entre riesgo y rendimiento a largo plazo y es decidida por el Consejo de Gobierno. |
| --- | --- |

77.

El proceso de inversión de las reservas de divisas está dirigido por una estructura de tres niveles que engloba la referencia estratégica, la referencia táctica y las carteras propiamente dichas. La referencia estratégica refleja las preferencias entre riesgo y rendimiento a largo plazo y es decidida por el Consejo de Gobierno.

| 78. | El proceso de inversión de fondos propios se basa en una estructura de dos niveles, la referencia estratégica y la cartera propiamente dicha. La referencia estratégica es decidida por el Comité Ejecutivo. |
| --- | --- |

78.

El proceso de inversión de fondos propios se basa en una estructura de dos niveles, la referencia estratégica y la cartera propiamente dicha. La referencia estratégica es decidida por el Comité Ejecutivo.

| 79. | El rendimiento se maximiza sujeto a las limitaciones de evitar que se produzcan pérdidas y de colocación de activos y se ejecuta a través de una colocación estratégica específica (58). |
| --- | --- |

79.

El rendimiento se maximiza sujeto a las limitaciones de evitar que se produzcan pérdidas y de colocación de activos y se ejecuta a través de una colocación estratégica específica (58).

| 80. | La división de gestión de riesgos mantiene listas de países, emisores y contrapartes admisibles, y establece límites para las contrapartes sobre la base de la metodología aprobada por el Comité Ejecutivo. Para la gestión de reservas de divisas, los límites son impuestos a los bancos centrales nacionales sobre la base de la metodología aprobada por el Consejo de Gobierno. Una vez al año, se procede a una actualización sistemática de todos los límites. Además, se tienen en cuenta inmediatamente las implicaciones de los cambios de la calificación crediticia en la admisibilidad y los límites. |
| --- | --- |

80.

La división de gestión de riesgos mantiene listas de países, emisores y contrapartes admisibles, y establece límites para las contrapartes sobre la base de la metodología aprobada por el Comité Ejecutivo. Para la gestión de reservas de divisas, los límites son impuestos a los bancos centrales nacionales sobre la base de la metodología aprobada por el Consejo de Gobierno. Una vez al año, se procede a una actualización sistemática de todos los límites. Además, se tienen en cuenta inmediatamente las implicaciones de los cambios de la calificación crediticia en la admisibilidad y los límites.

| 81. | La colocación estratégica de activos tiene en cuenta los siguientes requisitos políticos de alto nivel:






  i) | los objetivos para mantener las reservas, |
| --- | --- | --- |

81.

La colocación estratégica de activos tiene en cuenta los siguientes requisitos políticos de alto nivel:

i)

los objetivos para mantener las reservas,

| ii) | las preferencias entre riesgo y rendimiento, |
| --- | --- |

ii)

las preferencias entre riesgo y rendimiento,

| iii) | la filosofía de modelización, |
| --- | --- |

iii)

la filosofía de modelización,

| iv) | el horizonte de inversión y la frecuencia de las revisiones, |
| --- | --- |

iv)

el horizonte de inversión y la frecuencia de las revisiones,

| v) | la división de responsabilidades entre la referencia estratégica y los niveles tácticos en la cadena de inversión, |
| --- | --- |

v)

la división de responsabilidades entre la referencia estratégica y los niveles tácticos en la cadena de inversión,

| vi) | el contenido informativo aportado a las decisiones de inversión, |
| --- | --- |

vi)

el contenido informativo aportado a las decisiones de inversión,

| vii) | las inversiones admisibles, |
| --- | --- |

vii)

las inversiones admisibles,

| viii) | las limitaciones impuestas a la inversión. |
| --- | --- |

viii)

las limitaciones impuestas a la inversión.

Los horizontes de inversión y de riesgo se fijan en un año para las reservas de divisas y en cinco años para los fondos propios.

| 82. | La fiscalización del Tribunal incluyó un examen de:






  — | la exhaustividad e idoneidad de la definición de la propensión al riesgo y la estrategia de riesgos, |
| --- | --- | --- |

82.

La fiscalización del Tribunal incluyó un examen de:

—

la exhaustividad e idoneidad de la definición de la propensión al riesgo y la estrategia de riesgos,

| — | las directrices sobre inversiones, |
| --- | --- |

—

las directrices sobre inversiones,

| — | el proceso decisorio por el que se establecen límites de inversión, |
| --- | --- |

—

el proceso decisorio por el que se establecen límites de inversión,

| — | las medidas de riesgo y su coherencia: riesgo de mercado, riesgo de crédito; riesgo de la contraparte; riesgo de liquidez y riesgo operativo de las actividades de inversión. |
| --- | --- |

—

las medidas de riesgo y su coherencia: riesgo de mercado, riesgo de crédito; riesgo de la contraparte; riesgo de liquidez y riesgo operativo de las actividades de inversión.

| 83. | El examen del marco de gestión de riesgos financieros indica que la metodología aplicada determina suficientemente la propensión al riesgo y ofrece orientaciones globales para las operaciones de inversión en el BCE. |
| --- | --- |

83.

El examen del marco de gestión de riesgos financieros indica que la metodología aplicada determina suficientemente la propensión al riesgo y ofrece orientaciones globales para las operaciones de inversión en el BCE.

Aplicación de la metodología de gestión de riesgos financieros

| 84. | La metodología de gestión de riesgos financieros tal como se describe en la sección anterior debe aplicarse eficazmente en la práctica. |
| --- | --- |

84.

| 85. | En su fiscalización, el Tribunal examinó:






  i) | la idoneidad de las referencias respecto del perfil de riesgo de las carteras, incluyendo medidas de los errores, calidad y gestión de los datos y seguridad de los datos de las referencias estratégicas y tácticas, |
| --- | --- | --- |

85.

En su fiscalización, el Tribunal examinó:

i)

la idoneidad de las referencias respecto del perfil de riesgo de las carteras, incluyendo medidas de los errores, calidad y gestión de los datos y seguridad de los datos de las referencias estratégicas y tácticas,

| ii) | las herramientas y el sistema de apoyo al cálculo y a la actualización de carteras y referencias, |
| --- | --- |

ii)

las herramientas y el sistema de apoyo al cálculo y a la actualización de carteras y referencias,

| iii) | un examen de la gestión del cambio de referencias. |
| --- | --- |

iii)

un examen de la gestión del cambio de referencias.

| 86. | Para la revisión del marco de valor en riesgo, se consideraron los siguientes aspectos:






  i) | análisis de la calidad y de la gestión de los datos, examen de los datos de seguridad y de control, |
| --- | --- | --- |

86.

Para la revisión del marco de valor en riesgo, se consideraron los siguientes aspectos:

i)

análisis de la calidad y de la gestión de los datos, examen de los datos de seguridad y de control,

| ii) | análisis de la técnica de modelización, de los supuestos en que se basan los modelos y de los componentes básicos de la modelización, |
| --- | --- |

ii)

análisis de la técnica de modelización, de los supuestos en que se basan los modelos y de los componentes básicos de la modelización,

| iii) | pruebas de razonabilidad, examen de resultados de verificación a posteriori, análisis de la elaboración de informes. |
| --- | --- |

iii)

pruebas de razonabilidad, examen de resultados de verificación a posteriori, análisis de la elaboración de informes.

| 87. | Las pruebas mostraron que la metodología era aplicada correctamente, aunque «el principio de los cuatro ojos» no estaba documentado. Además, la revisión de los modelos utilizados para el cálculo de las referencias estratégicas y tácticas, así como del valor en riesgo, incluida la validación de modelos, mostró que en algunos de los modelos:






  a) | no se efectuaba y ni documentaba recientemente una verificación a posteriori periódica de los modelos; |
| --- | --- | --- |

87.

Las pruebas mostraron que la metodología era aplicada correctamente, aunque «el principio de los cuatro ojos» no estaba documentado. Además, la revisión de los modelos utilizados para el cálculo de las referencias estratégicas y tácticas, así como del valor en riesgo, incluida la validación de modelos, mostró que en algunos de los modelos:

a)

no se efectuaba y ni documentaba recientemente una verificación a posteriori periódica de los modelos;

| b) | no se había efectuado una validación independiente ni una actualización reciente de los modelos aplicados; |
| --- | --- |

b)

no se había efectuado una validación independiente ni una actualización reciente de los modelos aplicados;

| c) | los supuestos para los modelos no siempre se documentaban suficientemente. |
| --- | --- |

c)

los supuestos para los modelos no siempre se documentaban suficientemente.

| 88. | Un examen de las mejores prácticas de otras organizaciones internacionales similares ha mostrado que a raíz de la crisis financiera en los Estados Unidos de América y como parte del refuerzo de sus capacidades de gestión de riesgos financieros, el Federal Reserve Bank of New York creó un equipo de validación de modelos, cuyas tareas principales se describen en el recuadro 4.

  Recuadro 4


  Equipo de validación de modelos en el Federal Reserve Bank of New York

  Las tareas principales del equipo son las siguientes:






  — | inventario de todos los modelos utilizados en relación con la gestión de riesgos financieros, |
| --- | --- | --- |

88.

Un examen de las mejores prácticas de otras organizaciones internacionales similares ha mostrado que a raíz de la crisis financiera en los Estados Unidos de América y como parte del refuerzo de sus capacidades de gestión de riesgos financieros, el Federal Reserve Bank of New York creó un equipo de validación de modelos, cuyas tareas principales se describen en el recuadro 4.

Recuadro 4

Equipo de validación de modelos en el Federal Reserve Bank of New York

Las tareas principales del equipo son las siguientes:

—

inventario de todos los modelos utilizados en relación con la gestión de riesgos financieros,

| — | examen y validación de la documentación de los modelos, |
| --- | --- |

—

examen y validación de la documentación de los modelos,

| — | elaboración de documentación detallada cuando la documentación existente se considere insuficiente, |
| --- | --- |

—

elaboración de documentación detallada cuando la documentación existente se considere insuficiente,

| — | verificación de modelos. |
| --- | --- |

—

verificación de modelos.

Idoneidad de la información sobre riesgos financieros

| 89. | Debería existir un proceso para supervisar periódicamente los perfiles de riesgo y las exposiciones significativas a las pérdidas. Debería implantarse un sistema fiable de supervisión e información. |
| --- | --- |

89.

| 90. | El cumplimiento de las politicas y procesos acordados de gestión de riesgos de mercado y de crédito es supervisado por la división de gestión de riesgos, que también se encarga de informar de los casos de incumplimiento siguiendo unos procedimientos de cadena de alerta acordados. Esta división informa periódicamente sobre riesgo, rentabilidad y rendimiento, tanto de las carteras de reservas de divisas y fondos propios como de las referencias estratégicas y tácticas correspondientes. La información es transmitida con una frecuencia diaria, semanal, mensual, trimestral y anual. |
| --- | --- |

90.

El cumplimiento de las politicas y procesos acordados de gestión de riesgos de mercado y de crédito es supervisado por la división de gestión de riesgos, que también se encarga de informar de los casos de incumplimiento siguiendo unos procedimientos de cadena de alerta acordados. Esta división informa periódicamente sobre riesgo, rentabilidad y rendimiento, tanto de las carteras de reservas de divisas y fondos propios como de las referencias estratégicas y tácticas correspondientes. La información es transmitida con una frecuencia diaria, semanal, mensual, trimestral y anual.

| 91. | Las pruebas y entrevistas realizadas por los auditores confirmaron que la información sobre el rendimiento se efectúa periódicamente y que se distribuye a los órganos ejecutivos de manera oportuna. No obstante, se observó que las normas GIPS (59), consideradas como las mejores prácticas, no son cumplidas plenamente a efectos de la información interna del BCE en materia de rendimiento. |
| --- | --- |

91.

Las pruebas y entrevistas realizadas por los auditores confirmaron que la información sobre el rendimiento se efectúa periódicamente y que se distribuye a los órganos ejecutivos de manera oportuna. No obstante, se observó que las normas GIPS (59), consideradas como las mejores prácticas, no son cumplidas plenamente a efectos de la información interna del BCE en materia de rendimiento.

CONCLUSIONES Y RECOMENDACIONES

¿Ha implantado el BCE un marco de gobernanza apropiado y global para la gestión de riesgos?

| 92. | El BCE ha establecido una estructura organizativa integral y las funciones y responsabilidades están claramente atribuidas. No obstante, existe una pronunciada separación entre la gestión de riesgos financieros y la gestión de riesgos operativos, lo que incrementa el riesgo de que la visión de las exposiciones a riesgos del Banco no sea suficientemente global. Entre el Comité Ejecutivo y las dos unidades o funciones de riesgo (la GRO/GCA y la división de gestión de riesgos) no se ha creado un órgano único independiente, como un responsable o un comité encargado de la gestión de riesgos. |
| --- | --- |

92.

El BCE ha establecido una estructura organizativa integral y las funciones y responsabilidades están claramente atribuidas. No obstante, existe una pronunciada separación entre la gestión de riesgos financieros y la gestión de riesgos operativos, lo que incrementa el riesgo de que la visión de las exposiciones a riesgos del Banco no sea suficientemente global. Entre el Comité Ejecutivo y las dos unidades o funciones de riesgo (la GRO/GCA y la división de gestión de riesgos) no se ha creado un órgano único independiente, como un responsable o un comité encargado de la gestión de riesgos.

| 93. | Las cuentas anuales del BCE solo ofrecen una breve información sobre determinadas cuestiones en materia de gestión de riesgos en lugar de mostrar una visión general del proceso en la organización, los riesgos afrontados y el enfoque de la dirección con respecto a estos.

  Recomendaciones







  1. | El BCE debería estudiar la posibilidad de establecer una función única de gestión de riesgos jerárquicamente independiente, como un responsable o un comité encargado de la gestión de riesgos que se concentrara únicamente en este ámbito y ofreciera una visión general de las exposiciones a riesgos del Banco. |
| --- | --- | --- |

93.

Las cuentas anuales del BCE solo ofrecen una breve información sobre determinadas cuestiones en materia de gestión de riesgos en lugar de mostrar una visión general del proceso en la organización, los riesgos afrontados y el enfoque de la dirección con respecto a estos.

Recomendaciones

1.

El BCE debería estudiar la posibilidad de establecer una función única de gestión de riesgos jerárquicamente independiente, como un responsable o un comité encargado de la gestión de riesgos que se concentrara únicamente en este ámbito y ofreciera una visión general de las exposiciones a riesgos del Banco.

| 2. | El BCE debería mejorar su divulgación pública de las prácticas de gestión de riesgos a terceros en las cuentas anuales aplicando las mejores prácticas, como la NIIF 7. |
| --- | --- |

2.

El BCE debería mejorar su divulgación pública de las prácticas de gestión de riesgos a terceros en las cuentas anuales aplicando las mejores prácticas, como la NIIF 7.

¿Ha gestionado el BCE sus riesgos operativos de manera eficaz?

| 94. | El BCE cuenta con una estructura organizativa clara y ha establecido unas politicas de gestión de riesgos operativos que definen el enfoque del Banco con respecto a la evaluación, supervisión, y control y reducción de riesgos. |
| --- | --- |

94.

El BCE cuenta con una estructura organizativa clara y ha establecido unas politicas de gestión de riesgos operativos que definen el enfoque del Banco con respecto a la evaluación, supervisión, y control y reducción de riesgos.

| 95. | Aunque se efectuaron evaluaciones descendentes (top down) en 2008 y 2009 y se definieron planes de acción para cada unidad de gestión, no se documentaron análisis de costes y beneficios. |
| --- | --- |

95.

Aunque se efectuaron evaluaciones descendentes (top down) en 2008 y 2009 y se definieron planes de acción para cada unidad de gestión, no se documentaron análisis de costes y beneficios.

| 96. | Se ha creado un sistema de información, supervisión y seguimiento y se ha acordado un calendario para el seguimiento de las medidas de reducción de riesgos para riesgos medios y elevados. Sin embargo, en el caso de algunos riesgos, el procedimiento de aceptación por parte del CRO/Comité Ejecutivo ha sido muy prolongado. Los ciclos de planificación y de gestión de riesgos operativos no están integrados. Asimismo, las actividades de gestión de riesgos operativos no figuraban claramente en los programas de trabajo de algunas unidades de gestión examinadas. |
| --- | --- |

96.

Se ha creado un sistema de información, supervisión y seguimiento y se ha acordado un calendario para el seguimiento de las medidas de reducción de riesgos para riesgos medios y elevados. Sin embargo, en el caso de algunos riesgos, el procedimiento de aceptación por parte del CRO/Comité Ejecutivo ha sido muy prolongado. Los ciclos de planificación y de gestión de riesgos operativos no están integrados. Asimismo, las actividades de gestión de riesgos operativos no figuraban claramente en los programas de trabajo de algunas unidades de gestión examinadas.

| 97. | El BCE ha desarrollado un manual integral de gestión de crisis que define funciones, responsabilidades y procesos en tales casos, así como datos de contacto del equipo de gestión de crisis. Cada unidad de gestión tiene atribuida la plena responsabilidad de desarrollar su plan de continuidad de las actividades. |
| --- | --- |

97.

El BCE ha desarrollado un manual integral de gestión de crisis que define funciones, responsabilidades y procesos en tales casos, así como datos de contacto del equipo de gestión de crisis. Cada unidad de gestión tiene atribuida la plena responsabilidad de desarrollar su plan de continuidad de las actividades.

| 98. | El BCE ha creado un marco sólido que ofrece orientaciones sobre las políticas, procesos y responsabilidades de la gestión de la continuidad de las actividades en la organización. Sin embargo:






  a) | aunque en 2007 se efectuó una actualización exhaustiva del análisis del impacto en el negocio, que se completó en 2010, no se ha vuelto a efectuar un análisis completo del impacto en el negocio desde el comienzo de la crisis financiera; |
| --- | --- | --- |

98.

El BCE ha creado un marco sólido que ofrece orientaciones sobre las políticas, procesos y responsabilidades de la gestión de la continuidad de las actividades en la organización. Sin embargo:

a)

aunque en 2007 se efectuó una actualización exhaustiva del análisis del impacto en el negocio, que se completó en 2010, no se ha vuelto a efectuar un análisis completo del impacto en el negocio desde el comienzo de la crisis financiera;

| b) | se observó una ausencia de planes para afrontar una pérdida grave de recursos humanos; |
| --- | --- |

b)

se observó una ausencia de planes para afrontar una pérdida grave de recursos humanos;

| c) | las pruebas planificadas no abarcaban plenamente los eventuales casos de catástrofes planificados por el BCE; |
| --- | --- |

c)

las pruebas planificadas no abarcaban plenamente los eventuales casos de catástrofes planificados por el BCE;

| d) | no se realizaron algunas pruebas previstas para 2009 y 2010. |
| --- | --- |

d)

no se realizaron algunas pruebas previstas para 2009 y 2010.

Recomendaciones

| 3. | La evaluación anual de riesgos operativos debería incluirse en el ciclo de planificación estratégica y financiera del BCE y en los respectivos programas de trabajo de las distintas unidades de gestión. |
| --- | --- |

3.

La evaluación anual de riesgos operativos debería incluirse en el ciclo de planificación estratégica y financiera del BCE y en los respectivos programas de trabajo de las distintas unidades de gestión.

| 4. | Deberían resolverse con rapidez las medidas destinadas a afrontar los riesgos operativos de nivel medio a elevado. |
| --- | --- |

4.

Deberían resolverse con rapidez las medidas destinadas a afrontar los riesgos operativos de nivel medio a elevado.

| 5. | El BCE debería continuar reforzando sus planes de continuidad de las actividades y su programa de pruebas y velar por que se realicen todas las pruebas previstas. |
| --- | --- |

5.

El BCE debería continuar reforzando sus planes de continuidad de las actividades y su programa de pruebas y velar por que se realicen todas las pruebas previstas.

¿Ha gestionado el BCE sus riesgos financieros de manera eficaz?

| 99. | El marco global y la gestión de riesgos financieros establecidos por el BCE para la gestión de las operaciones de políticas y de inversión son adecuados. El examen del marco de gestión de riesgos financieros indicaba que la metodología de gestión de riesgos financieros diseñada es válida y adecuada para la gestión de las operaciones políticas y de inversión del BCE. Sin embargo, se necesitan mejoras en la aplicación práctica de la metodología, por ejemplo en los modelos utilizados para realizar los cálculos de referencias estratégicas y tácticas y de los valores en riesgo. |
| --- | --- |

99.

El marco global y la gestión de riesgos financieros establecidos por el BCE para la gestión de las operaciones de políticas y de inversión son adecuados. El examen del marco de gestión de riesgos financieros indicaba que la metodología de gestión de riesgos financieros diseñada es válida y adecuada para la gestión de las operaciones políticas y de inversión del BCE. Sin embargo, se necesitan mejoras en la aplicación práctica de la metodología, por ejemplo en los modelos utilizados para realizar los cálculos de referencias estratégicas y tácticas y de los valores en riesgo.

| 100. | Los informes internos de gestión de riesgos proporcionan a la dirección y al Comité Ejecutivo del BCE una información sobre gestión de riesgos financieros exacta, adecuada y exhaustiva. La información sobre el rendimiento es puntual y periódica, pero no se actualiza regularmente para reflejar los cambios en las normas GIPS.

  Recomendaciones







  6. | El BCE debería continuar mejorando su revisión y validación de los modelos utilizados para los cálculos de las referencias estratégicas y tácticas, así como de los valores en riesgo, incluyendo la elaboración de documentación detallada cuando la documentación existente se considere insuficiente, la verificación de los modelos y el examen periódico de los supuestos para los modelos. |
| --- | --- | --- |

100.

Los informes internos de gestión de riesgos proporcionan a la dirección y al Comité Ejecutivo del BCE una información sobre gestión de riesgos financieros exacta, adecuada y exhaustiva. La información sobre el rendimiento es puntual y periódica, pero no se actualiza regularmente para reflejar los cambios en las normas GIPS.

Recomendaciones

6.

El BCE debería continuar mejorando su revisión y validación de los modelos utilizados para los cálculos de las referencias estratégicas y tácticas, así como de los valores en riesgo, incluyendo la elaboración de documentación detallada cuando la documentación existente se considere insuficiente, la verificación de los modelos y el examen periódico de los supuestos para los modelos.

| 7. | Los cambios en las normas GIPS deberían revisarse anualmente y estudiarse su plena aplicación a la información interna del BCE en materia de rendimiento. |
| --- | --- |

7.

Los cambios en las normas GIPS deberían revisarse anualmente y estudiarse su plena aplicación a la información interna del BCE en materia de rendimiento.

El presente Informe ha sido aprobado por la Sala IV, presidida por Louis GALEA, Miembro del Tribunal de Cuentas, en Luxemburgo en su reunión del día 27 de marzo de 2012.

Por el Tribunal de Cuentas

Vítor Manuel da SILVA CALDEIRA

Presidente

---

(1)  Artículo 127, apartado 1, del Tratado de Funcionamiento de la Unión Europea.

1

(2)  Los Estatutos del SEBC y del BCE componen un protocolo anexo al Tratado.

2

(3)  El artículo 27, apartado 2, del Protocolo sobre los Estatutos del SEBC y del BCE establece que «Las disposiciones del artículo 287 del Tratado de Funcionamiento de la Unión Europea solo se aplicarán a un examen de la eficacia operativa de la gestión del BCE».

3

(4)  Artículo 9, apartado 3, del Protocolo sobre los Estatutos del SEBC y del BCE. El Consejo de Gobierno está compuesto por los seis miembros del Comité Ejecutivo y por los gobernadores de los bancos centrales nacionales de los Estados miembros cuya moneda es el euro. El Comité Ejecutivo está compuesto por el presidente, el vicepresidente y otros cuatro miembros.

4

(5)  Artículo 12, apartado 1, del Protocolo sobre los Estatutos del SEBC y del BCE.

5

(6)  El alcance de la GRO abarca riesgos relativos a actividades del BCE, incluidos los correspondientes a procesos y proyectos del SEBC/Eurosistema.

6

(7)  Los criterios con respecto a los cuales el Tribunal evaluó el marco de gestión de riesgos operativos y financieros del BCE figuran en cursiva en el presente documento. Salvo indicación contraria, los criterios son del Tribunal.

7

(8)  El alcance de la auditoría excluyó la gestión de riesgos a escala del Sistema Europeo de Bancos Centrales (SEBC).

8

(9)  Se efectuaron visitas informativas al Federal Reserve Bank of New York y al Bank of Canada y se enviaron cuestionarios al Federal Reserve Bank of New York, al Bank of Canada y al Swiss National Bank.

9

(10)  Risk Management for Central Banks and Other Public Investors (Gestión de riesgos para bancos centrales y otros inversores públicos), José Manuel González-Páramo, miembro del Comité Ejecutivo del BCE, Ulrich Bindseil y Evangelos Tabakis, Cambridge University Press 2009.

10

Risk Management for Central Banks and Other Public Investors

(11)  «High level principles for risk management» (Principios de alto nivel sobre la gestión de riesgos), Comité de supervisores bancarios europeos (CSBE), febrero de 2010 (cursiva, Tribunal de Cuentas Europeo, texto original en negrita presentado en caracteres normales).

11

High level principles for risk management

(12)  Sección, división, dirección o dirección general.

12

(13)  Que forma parte de la DG-H.

13

(14)  La función GRO/GCA también es secretaría del Comité de riesgos operativos.

14

(15)  La DGR pertenece administrativamente a la DG-H, pero informa directamente al miembro del Comité Ejecutivo responsable de la gestión de riesgos financieros.

15

(16)  El BCE aplica su propio marco de información financiera establecido por la Decisión BCE/2006/17 sobre las cuentas anuales del BCE en su visión modificada.

16

(17)  El Valor en Riesgo (VaR) es una medición frecuentemente utilizada del riesgo de pérdida de una cartera específica de activos financieros. Para una determinada cartera, probabilidad y horizonte temporal, el VaR se define como un valor umbral de tal manera que la probabilidad de que la pérdida de valor de mercado de la cartera durante el período determinado sea superior a este valor, partiendo del supuesto de que se trate de unos mercados normales y que no haya comercialización en la cartera, sea el nivel de probabilidad dado [Value at Risk: The New Benchmark for Managing Financial Risk (Valor en Riesgo: El nuevo estándar para la Gestión de Riesgos Financieros] (3a edición), Philippe Jorion, McGraw-Hill Professional, 2006).

17

Value at Risk: The New Benchmark for Managing Financial Risk

a

(18)  Las Normas Internacionales de Información Financiera son normas basadas en principios, interpretaciones y el marco aprobado por el Consejo de normas internacionales de contabilidad (IASB), también conocidas por su antiguo nombre, Normas Internacionales de Contabilidad (NIC). En febrero de 2001, la Comisión Europea propuso un reglamento que exigía que todas las empresas de la UE con cotización en bolsa en un mercado regulado, incluidos bancos y compañías aseguradoras, prepararan cuentas consolidadas con arreglo a las NIC a más tardar en 2005. Se dio a los Estados miembros de la UE la opción de hacer extensivo este requisito a empresas que no cotizaran en bolsa y a las cuentas de empresas individuales. Se creó un mecanismo de control europeo, tanto a nivel técnico como político, para supervisar la integración de las NIC en la UE.

18

(19)  Hasta el 31 de diciembre de 2010, el Banco de Canadá ha informado con arreglo a los Principios contables generalmente aceptados presentando, no obstante, información de gestión de riesgos comparable a las NIIF. A partir del 1 de enero de 2011, el Bank of Canada informa de conformidad con las NIIF.

19

(20)  Manual de prácticas internas, capítulo 26.

20

(21)  En 2008 el Comité Ejecutivo decidió alinear el marco de gestión de riesgos operativos del BCE con el marco adoptado para el SEBC.

21

(22)  Se entiende por riesgo operativo el riesgo de que se produzca un impacto negativo financiero, en la actividad o en la reputación resultante de la falta de idoneidad, o del mal funcionamiento, de la gobernanza interna y de los procesos empresariales, o de personas, sistemas o acontecimientos externos.

22

(23)  Tiene el mandato de estimular y supervisar el desarrollo, la aplicación y el mantenimiento de la gestión de riesgos operativos en el BCE.

23

(24)  Los miembros son altos directivos de las direcciones generales de Operaciones de Mercado, Sistemas de información, Administración, Recursos humanos, presupuesto y organización, dos unidades de gestión principales de manera rotativa anual y el asesor del Director General de Recursos humanos, presupuesto y organización.

24

(25)  La unidad de gestión (titular del riesgo) encargada del riesgo transversal (riesgo que afecta a varias unidades de gestión) debería recomendar o aplicar medidas apropiadas de tratamiento de riesgos que sean aplicables a todo el BCE.

25

(26)  Basado en la conclusión extraída del artículo «ERM at the Federal Reserve Bank of Richmond», 2007, Jack Dorminey y Richard Mohn.

26

(27)  Fuente: Sitio web del Bank of Canada «Medium-term plan 2010-12» (www.bankofcanada.ca, 13 de julio de 2011).

27

Fuente:

(28)  Para proyectos, por ejemplo informáticos, existen procedimientos específicos como los descritos en la Organización de Proyectos y Procedimientos de Control. Los riesgos de los proyectos son notificados por separado a través del Comité de dirección de proyectos /Comité de dirección de nuevas instalaciones. La gestión de riesgos relativa a proyectos específicos se ha excluido del alcance de la presente fiscalización.

28

(29)  High-level principles for business continuity (Principios de alto nivel para la continuidad de las actividades), Comité de Supervisión Bancaria de Basilea, agosto de 2006, apartado 9.

29

High-level principles for business continuity

(30)  «Manual de prácticas internas» 5a edición, BCE, 24 de septiembre de 2010.

30

a

(31)  High-level principles for business continuity (Principios de alto nivel para la continuidad de las actividades), Comité de Supervisión Bancaria de Basilea, agosto de 2006, apartado 10.

31

High-level principles for business continuity

(32)  «ECB Business Impact Analyses» (Análisis de impacto de las actividades del BCE), Revisión de 2006, Dirección General de Recursos Humanos, presupuesto y organización, 16 de enero de 2007.

32

(33)  El artículo 3 del protocolo (no 4) de los Estatutos del Sistema Europeo de Bancos Centrales y del Banco Central Europeo define las funciones estatutarias que ha de desempeñar el BCE.

33

o

(34)  Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery, ASIS international, 2005; apartado 11.3.

34

Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery

(35)  Sobre la base de seis eventuales situaciones catastróficas, el análisis de impacto estudia la incidencia en la capacidad operativa de cada unidad de gestión.

35

(36)  Tal como exigen los High-level principles for business continuity (Principios de alto nivel para la continuidad de la actividad), Comité de Supervisión Bancaria de Basilea, agosto de 2006, apartado 23.

36

High-level principles for business continuity

(37)  Es decir, organismos encargados de tomar decisiones en caso de crisis, composición de los equipos de continuidad de las actividades, relaciones con otros equipos y ubicación de los equipos de continuidad de las actividades.

37

(38)  Los identificados y aprobados en el marco del análisis de impacto empresarial, lista de tareas con el detalle de las actividades específicas necesarias para garantizar la continuidad de los procesos esenciales mencionados.

38

(39)  Material informático y de oficina, manuales.

39

(40)  High-level principles for business continuity (Principios de alto nivel para la continuidad de las actividades), Comité de Supervisión Bancaria de Basilea, agosto de 2006, apartado 13.

40

High-level principles for business continuity

(41)  La DG-IS cuenta con un proceso de continuidad de las actividades separado que es objeto de una auditoría externa para verificar su conformidad con la norma ISO 20000, razón por la cual el plan de continuidad de las actividades de esta DG se excluyó del alcance de la fiscalización del Tribunal de 2010.

41

(42)  High-level principles for business continuity (Principios de alto nivel para la continuidad de las actividades) Comité de Supervisión Bancaria de Basilea, agosto de 2006, principio 6.

42

High-level principles for business continuity

(43)  British Standard’s Code of Practice (Código de prácticas de las normas británicas) para la gestión de la continuidad de las actividades.

43

British Standard’s Code of Practice

(44)  «ECB Business Continuity Testing and Training Strategy» (Verificación de la continuidad de las actividades y estrategia de formación del BCE), Comité de riesgos operativos, 4 de marzo de 2008.

44

(45)  Directriz sobre la continuidad de la actividad: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery (Enfoque práctico de preparación para emergencias, gestión de crisis y recuperación en caso de catástrofe); ASIS international; 2005; apartado 12.1.1.

45

A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery

(46)  «ECB Business Continuity Testing and Training Strategy» (Verificación de la continuidad de las actividades y estrategia de formación), Comité de riesgos operativos, 4 de marzo de 2008.

46

(47)  «Business Continuity Testing and Training Strategy» p. 315; «Business Practice Handbook», 26.1; «Business Continuity Framework» (intranet del BCE); documento sobre la política de gestión de la continuidad de las actividades.

47

(48)  Informe de los resultados de la encuesta interna del BCE sobre el nivel de satisfacción de los usuarios de 2010 y 2009.

48

(49)  Basilea, ERM COSO (Enterprise Risk Management Committee of Sponsoring Organizations, Comité para la gestión de riesgos empresariales de organizaciones patrocinadoras).

49

(50)  Directriz del Banco Central Europeo de 20 de junio de 2008 sobre la gestión de los activos de la reserva de divisas del Banco Central Europeo por los bancos centrales nacionales y la documentación jurídica de las operaciones que implican a dichos activos (reformulación) (BCE/2008/5) (2008/596/CE).

50

(51)  Directriz sobre GFP, julio de 2010, Directrices sobre inversión de fondos propios del BCE, septiembre de 2010.

51

(52)  Directriz del Banco Central Europeo de 26 de septiembre de 2002 sobre las normas mínimas de conducta para el Banco Central Europeo y los bancos centrales al efectuar operaciones de política monetaria, operaciones de cambio en divisas con las reservas de divisas del BCE y gestionar los activos de la reserva de divisas del BCE (BCE/2002/6).

52

(53)  Incluidas las reservas de oro.

53

(54)  Cartera del Programa de compra de bonos garantizados y cartera del Programa para los mercados de valores.

54

(55)  Aplicación utilizada para la gestión de las reservas de divisas y los fondos propios del BCE y para elaborar los valores de rendimiento.

55

(56)  «Handbook of Financial Risk Management, Policies and procedures», marzo de 2008.

56

(57)  Revisión periódica, o al menos anual de los incisos i) a v) por parte del Comité Ejecutivo o el Consejo de Gobierno.

57

(58)  Decidida por el Consejo de Gobierno en el caso de las reservas de divisas y por el Comité Ejecutivo en el de los fondos propios sobre la base de las propuestas de la división de gestión de riesgos.

58

(59)  Las normas GIPS (Normas internacionales sobre rendimientos de inversión) son un conjunto de principios éticos sectoriales normalizados, creados y administrados por el Instituto CFA (Chartered Financial Analyst), que facilitan orientaciones sobre la forma de calcular y comunicar resultados de inversiones. Tienen un carácter voluntario y se basan en los principios fundamentales de divulgación íntegra y representación fiable de los resultados del rendimiento de las inversiones.

59

---

RESPUESTAS DEL BANCO CENTRAL EUROPEO

El Banco Central Europeo (BCE) acoge favorablemente el Informe del Tribunal de Cuentas Europeo correspondiente al ejercicio 2010 y agradece las observaciones y las recomendaciones formuladas en el mismo. El BCE observa, además, que el Tribunal reconoce: i) que el BCE tiene una clara estructura organizativa y ha establecido normas adecuadas de gestión de los riesgos operacionales, y ii) que el sistema general de gestión de riesgos financieros establecido por el BCE para gestionar las operaciones de política e inversión es el adecuado.

El BCE toma nota de las observaciones del Tribunal y de sus recomendaciones para introducir mejoras. A continuación figuran los comentarios del BCE relativos a algunos de los apartados y a las siete recomendaciones del Informe.

Apartados 9 a 13 y 92

Respecto de la descripción del Tribunal del sistema general de gestión de riesgos del BCE, el BCE desea señalar lo siguiente:

El sistema de gestión de riesgos operacionales, que comprende la medición y vigilancia de dichos riesgos en el BCE, es competencia de la función de gestión de riesgos operacionales y de gestión de la continuidad operativa, integrada en la Dirección General de Recursos Humanos, Presupuesto y Organización. El sistema de gestión de riesgos financieros de las operaciones de mercado, así como la medición y vigilancia de la exposición al riesgo de dichas operaciones, compete a la Oficina de Gestión de Riegos. Este tipo de estructura organizativa es común en bancos centrales y organizaciones similares. Por lo tanto, la existencia de una función y una oficina específicas no debe interpretarse como una separación entre gestión de riesgos financieros y gestión de riesgos operacionales, sino como una solución organizativa que persigue garantizar un reparto eficaz de tareas bajo la responsabilidad colegiada del Comité Ejecutivo respecto de la gestión global de riesgos en el BCE.

El BCE quisiera informar de las siguientes novedades acontecidas desde que el Tribunal redactó su Informe:

| — | en el ámbito de los riesgos operacionales, el Comité de Riesgos Operacionales, al que compete el fomento y la vigilancia del desarrollo, la aplicación y el mantenimiento de la gestión de dichos riesgos, lo preside ahora el vicepresidente del BCE, |
| --- | --- |

—

en el ámbito de los riesgos operacionales, el Comité de Riesgos Operacionales, al que compete el fomento y la vigilancia del desarrollo, la aplicación y el mantenimiento de la gestión de dichos riesgos, lo preside ahora el vicepresidente del BCE,

| — | en el ámbito de los riesgos financieros, en julio de 2011 el BCE transformó la hasta entonces División de Gestión de Riesgos en una oficina independiente, la Oficina de Gestión de Riesgos, que informa al Comité Ejecutivo por conducto de un miembro del Comité distinto del encargado de la Dirección General de Operaciones de Mercado. Este cambio obedece a: i) la mayor importancia de la gestión de los riesgos financieros en la banca central en general y en el BCE en particular, y ii) la recomendación del Consejo de Gobierno a todos los bancos centrales del Eurosistema de separar los conductos de rendición de cuentas a los miembros del Comité Ejecutivo encargados, respectivamente, de las operaciones de mercado y de la gestión de los riesgos financieros. |
| --- | --- |

—

en el ámbito de los riesgos financieros, en julio de 2011 el BCE transformó la hasta entonces División de Gestión de Riesgos en una oficina independiente, la Oficina de Gestión de Riesgos, que informa al Comité Ejecutivo por conducto de un miembro del Comité distinto del encargado de la Dirección General de Operaciones de Mercado. Este cambio obedece a: i) la mayor importancia de la gestión de los riesgos financieros en la banca central en general y en el BCE en particular, y ii) la recomendación del Consejo de Gobierno a todos los bancos centrales del Eurosistema de separar los conductos de rendición de cuentas a los miembros del Comité Ejecutivo encargados, respectivamente, de las operaciones de mercado y de la gestión de los riesgos financieros.

Véase también la respuesta a la recomendación 1.

Apartados 16, 17 y 93

La información relativa a la gestión de riesgos figura en varios capítulos del Informe Anual del BCE, incluidas sus cuentas anuales, que se elaboran conforme a las normas contables que el Consejo de Gobierno del BCE considera apropiadas para las actividades de banca central. Estas normas las aplican uniformemente todos los bancos centrales del Eurosistema por lo que respecta a las operaciones de este, y se consideran internacionalmente como normas de información financiera apropiadas para los bancos centrales.

Las exigencias jurídicas del BCE respecto de la información financiera se establecen en una decisión sobre sus cuentas anuales (Decisión BCE/2010/21). Cuando dicha decisión no regula un tratamiento contable determinado, y salvo decisión contraria del Consejo de Gobierno del BCE, el BCE aplica principios de valoración compatibles con las Normas Internacionales de Información Financiera (NIIF) conforme a su adopción por la Unión Europea. Asimismo, con arreglo a la citada decisión, el BCE elabora sus cuentas anuales sobre la base de la apreciación por el Consejo de Gobierno de lo que constituye el nivel apropiado de divulgación, y no está obligado a cumplir las exigencias de divulgación de la NIIF 7.

Véase también la respuesta a la recomendación 2.

Apartado 24

El BCE desea señalar que las comunicaciones de intranet de la función de gestión de riesgos operacionales facilitan a los coordinadores y gestores de riesgos toda la información pertinente, incluida la relativa a la clasificación de acontecimientos y causas fundamentales. Los departamentos del BCE reciben orientación complementaria sobre la determinación de riesgos cuando se efectúa cada actualización anual de la evaluación de los riesgos operacionales a nivel de todo el Banco.

Apartado 28

El número de empleados con contratos permanentes dedicados a la función de gestión de riesgos operacionales y de gestión de la continuidad operativa se ha ampliado recientemente a cinco. A juicio del BCE, la actual composición del personal en esta función permite aprovechar las ventajas de la cesión de personal de los bancos centrales sin que aumente el riesgo de una aplicación inadecuada del sistema de gestión de riesgos operacionales.

Apartados 29 y 66

A fin de contribuir a una mayor toma de conciencia sobre el sistema de gestión de riesgos operacionales y los mecanismos de continuidad operativa, el BCE mejorará la presentación de la información pertinente en las comunicaciones de intranet relativas a la función de gestión de riesgos operacionales y de gestión de la continuidad operativa, y pedirá a los jefes de equipos de riesgos que hagan presentaciones periódicas para el personal de sus departamentos.

Apartados 37, 58 y 95

Aunque la política de gestión de riesgos operacionales recomienda efectuar un análisis de coste/beneficio al determinar inicialmente posibles estrategias de respuesta a los riesgos para garantizar que estas sean eficaces en función de sus costes, dicho análisis es esencial al adoptar decisiones sobre medidas concretas de respuesta a riesgos. Por ejemplo, cuando se inicia un proyecto en el BCE, siempre se requiere un análisis de coste/beneficio.

Apartados 50 y 98, letra a)

Es práctica del BCE actualizar su análisis de impacto en el negocio siempre que sea necesario, y no a intervalos regulares, para garantizar el cumplimiento oportuno de nuevas exigencias de continuidad operativa, tales como cambios organizativos o de sistemas y nuevos procesos o funciones. Efectivamente, desde que en 2007 se facilitaron al Comité Ejecutivo los resultados de un análisis completo de impacto en el negocio, nuevas exigencias de continuidad operativa se han incorporado en varias ocasiones al sistema de gestión de la continuidad operativa.

Apartados 53 y 98, letra b)

El BCE considera que su planificación plenamente desarrollada para situaciones de pandemia basta para hacer frente a casos de grave pérdida de recursos humanos. Además, en el caso muy improbable de nula disponibilidad de personal, el BCE dispone de mecanismos de emergencia que garantizan la continuidad de sus procesos neurálgicos.

Apartados 62 y 98, letras c) y d)

La actual crisis financiera, que ha requerido que las funciones esenciales del BCE estén disponibles casi todos los fines de semana, ha limitado necesariamente la oportunidad y la frecuencia de las pruebas generales de continuidad operativa. Por tanto, aunque el equipo de gestión de crisis efectúa periódicamente pruebas basadas en hipótesis muy concretas, se sigue una práctica más prudente en cuanto a las pruebas de los planes generales de continuidad operativa del BCE y de los mecanismos de recuperación de IT (tecnología de la información), a fin de limitar el riesgo de interrupción de las tareas continuas del BCE.

Véase también la respuesta a la recomendación 5.

Apartados 91 y 100

El BCE no ha adoptado íntegramente las normas internacionales sobre rendimientos de inversión [Global Investment Performance Standards (GIPS)] porque no son plenamente aplicables a sus actividades de banco central.

Véase también la respuesta a la recomendación 7.

Recomendación 1

El BCE siempre agradece y tiene en cuenta las recomendaciones encaminadas a mejorar su gestión de riesgos y a aplicar las prácticas más avanzadas de banca central. La actual estructura organizativa de la gestión de riesgos en el BCE constituye un marco eficaz de asignación de tareas bajo la responsabilidad colegiada del Comité Ejecutivo respecto de la gestión general de riesgos del Banco.

Recomendación 2

El BCE cumple ya las exigencias jurídicas aplicables a la información financiera establecidas en la Decisión BCE/2010/21. El BCE examina y seguirá examinando la evolución de las NIIF, con atención especial a su adecuación a la información financiera del BCE.

Recomendación 3

El BCE acepta esta recomendación. Aunque cada departamento del BCE siempre ha incorporado medidas y costes relacionados con la ejecución de las medidas de mitigación de riesgos en sus programas de trabajo y propuestas de presupuesto anuales, el BCE ha modificado recientemente el calendario de los procesos pertinentes en todo el Banco a fin de armonizar plenamente la actualización anual de la evaluación de los riesgos operacionales con los ciclos de planificación estratégica y financiera.

Recomendación 4

El BCE acepta esta recomendación.

Recomendación 5

El BCE acepta esta recomendación. El BCE se compromete totalmente a seguir mejorando sus planes de continuidad operativa, y se esforzará por garantizar la ejecución oportuna de los programas de prueba de todos sus procesos y productos pertinentes. No obstante, al mismo tiempo, el BCE sopesará la urgencia de llevar a cabo las pruebas previstas con la exigencia de minimizar los riesgos para el desempeño de sus funciones, en especial en este momento crucial en cuanto a la superación de la actual crisis financiera.

Recomendación 6

El BCE acepta esta recomendación y reitera su compromiso de seguir examinando, probando y documentando plenamente su asignación de activos y sus modelos de riesgo, a fin de lograr la máxima calificación posible.

Recomendación 7

El BCE examina y seguirá examinando la evolución de las GIPS, con especial atención a la adecuación de estas a la información interna del BCE sobre sus rendimientos de inversión.

---