ES Diario Oficial de la Unión Europea C 173/1

INFORME

sobre la auditoría de gestión de riesgos del Banco Central Europeo en el ejercicio 2010 acompañado de las respuestas del Banco Central Europeo

2012/C 173/01

ÍNDICE

Apartado Página INTRODUCCIÓN … 1-4 3 ALCANCE Y ENFOQUE DE LA FISCALIZACIÓN … 5-6 3 CONSTATACIONES DE LA FISCALIZACIÓN … 7-91 3 ¿Ha implantado el BCE un marco de gobernanza apropiado y global para la gestión de riesgos? … 7-18 3 Marco global de gestión de riesgos… 8-14 3 Divulgación de información sobre el marco de gestión de riesgos del BCE a terceros … 15-18 4 ¿Ha gestionado el BCE sus riesgos operativos de manera eficaz? … 19-66 5 Gestión de riesgos operativos … 20-39 5 Gestión de la continuidad de las actividades del BCE … 40-66 7 ¿Ha gestionado el BCE sus riesgos financieros de manera eficaz? … 67-91 10 Marco de gestión de riesgos financieros para inversiones y operaciones de políticas … 69-74 10 Metodología de gestión de riesgos financieros … 75-83 11 Aplicación de la metodología de gestión de riesgos financieros … 84-88 12 Idoneidad de la información sobre riesgos financieros … 89-91 12 CONCLUSIONES Y RECOMENDACIONES … 92-100 13 ¿Ha implantado el BCE un marco de gobernanza apropiado y global para la gestión de riesgos? … 92-93 13 ¿Ha gestionado el BCE sus riesgos operativos de manera eficaz? … 94-98 13 ¿Ha gestionado el BCE sus riesgos financieros de manera eficaz? … 99-100 13 Respuestas del Banco Central Europeo … 15

ABREVIATURAS

BCE Banco Central Europeo BIA Análisis del impacto en el negocio (Business Impact Analysis) BPH Business Practice Handbook (Manual de Prácticas Internas) BPI Banco de Pagos Internacionales CRO Comité de riesgos operativos D-CO Dirección de Comunicación DG-A Dirección General de Administración DG-IS Dirección General de Sistemas de Información DG-H Dirección General de Recursos Humanos, Presupuesto y Organización DG-M Dirección General de Operaciones de Mercado DG-P Dirección General de Sistemas de Pago DGR División de Gestión de Riesgos (de la DG-H) DG-S Dirección General de Estadística GCA Gestión de la continuidad de las actividades GFP Gestión de fondos propios GIPS Global Investment Performance Standards (Normas internacionales sobre rendimientos de inversión) GRO Gestión de riesgos operativos IASB International Accounting Standards Board (Consejo de normas internacionales de contabilidad) NIC Normas Internacionales de Contabilidad NIIF Normas Internacionales de Información Financiera SEBC Sistema Europeo de Bancos Centrales VaR Value at Risk (Valor en riesgo)

INTRODUCCIÓN

1. El Banco Central Europeo (BCE) y los bancos centrales nacionales de los Estados miembros de la Unión Europea (UE) componen el Sistema Europeo de Bancos Centrales (SEBC). El objetivo primordial del SEBC es mantener la estabilidad de precios, aunque también apoya las políticas económicas generales de la UE para contribuir a la consecución de sus objetivos (1). Con este fin, el BCE ejerce las funciones previstas en sus Estatutos (2) y asume la responsabilidad de gestionar sus finanzas y actividades.

2. La fiscalización efectuada por el Tribunal de Cuentas Europeo (en lo sucesivo, «el Tribunal») de la eficacia operativa del BCE se basa en el artículo 27, apartado 2, del Protocolo sobre los Estatutos del SEBC y del BCE (3), y en 2010 abarcó los procedimientos y sistemas de gestión de riesgos establecidos por el BCE y su respectiva aplicación.

3. Los órganos rectores del BCE son el Consejo de Gobierno y el Comité Ejecutivo (4). Este último ejecuta la política monetaria de conformidad con las directrices y decisiones establecidas por el Consejo de Gobierno (5) y es el principal responsable de la gestión ordinaria del BCE y de sus recursos. Asimismo, el Comité Ejecutivo se encarga de la gestión de riesgos en el BCE.

4. En el BCE la gestión de riesgos tiene lugar en dos marcos diferenciados. La unidad de gestión de riesgos operativos/gestión de la continuidad de las actividades [GRO (6)/GCA] abarca todos los riesgos operativos (véase la nota 22) incluida la continuidad de las actividades. La división de gestión de riesgos (DGR) se ocupa de la gestión de riesgos financieros (véase el apartado 70), entre los que se encuentran las actividades de inversión y las operaciones de crédito del BCE.

ALCANCE Y ENFOQUE DE LA FISCALIZACIÓN

5. La fiscalización del Tribunal del ejercicio 2010 tuvo por objeto evaluar la idoneidad del marco de gestión de riesgos operativos y financieros del BCE (7), para lo cual se plantearon las siguientes preguntas clave de auditoría: — ¿Ha implantado el BCE un marco de gobernanza apropiado y global para la gestión de riesgos? — ¿Ha gestionado el BCE sus riesgos operativos de manera eficaz? — ¿Ha gestionado el BCE sus riesgos financieros de manera eficaz?

6. La auditoría de la gestión de riesgos del BCE (8) abarcó los siguientes elementos: a) examen del marco global de gestión de riesgos del BCE, incluyendo las mejores prácticas de otras organizaciones internacionales similares en el ámbito de la gestión de riesgos (9); b) examen del marco del sistema de gestión de riesgos operativos y verificación de seis unidades de gestión seleccionadas (direcciones generales) para evaluar la aplicación de dicho marco. La selección se basó en las siguientes líneas: i) garantizar la cobertura de riesgos operativos significativos, ii) incluir actividades del BCE principales y secundarias, iii) incluir actividades que requieran una gestión transversal de riesgos. Las direcciones generales (DG) seleccionadas fueron Operaciones de Mercado (DG-M), Sistemas de Pago (DG-P), Estadística (DG-S), Administración (DG-A), Sistemas de Información (DG-IS) y la Dirección de Comunicación (D-CO); c) examen del marco de gestión de riesgos financieros y verificación detallada de la división de gestión de riesgos (DGR) de la DG Recursos Humanos, Presupuesto y Organización (DG-H) y las divisiones Sistemas de operaciones de mercado, Servicios de operaciones financieras e Inversión de la DG-M. La evaluación de la metodología de gestión de riesgos y su aplicación se efectuó contando con la asistencia técnica de un equipo de expertos en riesgos financieros de la empresa Ernst and Young, de Luxemburgo.

CONSTATACIONES DE LA FISCALIZACIÓN

¿Ha implantado el BCE un marco de gobernanza apropiado y global para la gestión de riesgos?

7. Según declara el BCE, su aspiración es aplicar las mejores prácticas en su gestión de riesgos. Desde el principio, el Banco Central Europeo prestó particular atención a este ámbito y, en su calidad de nuevo miembro de la comunidad de bancos centrales, tenía la ambición de cumplir los más altos estándares de gobernabilidad en la organización de su función de gestión de riesgos en la institución y aplicar las herramientas más avanzadas (10).

Marco global de gestión de riesgos

8. Una cultura del riesgo sólida a escala institucional es un elemento clave para una gestión de riesgos eficaz. Uno de los requisitos previos para crear esta cultura del riesgo es la instauración de una función integral de gestión de riesgos (que abarque todos los tipos de riesgo, líneas de actividad y riesgos correspondientes) e independiente que dependa directamente del administrador responsable de la gestión de riesgos o los altos directivos en caso de no haberse asignado esta función, con arreglo al principio de proporcionalidad (11).

9. En el BCE cada unidad de gestión (12) se encarga de gestionar sus propios riesgos y controles, y para ello cuentan con el apoyo de dos funciones o divisiones: — la función GRO/GCA (13) se encarga del mantenimiento metodológico, de la coordinación de todas las actividades relacionadas con riesgos operativos y de prestar asesoramiento previo a las unidades de gestión (14), — la división de gestión de riesgos se ocupa de los riesgos financieros (15) y se encarga de proponer políticas y procedimientos, así como apoyo organizativo sobre gestión de riesgos para todas las operaciones de mercados financieros llevadas a cabo por el BCE o el Eurosistema en nombre del BCE. La división se compone de dos unidades: análisis de riesgo y estrategia de riesgo.

10. Para apoyar al Comité Ejecutivo en su toma de decisiones, se han creado varios comités que abordan diversos aspectos de la gestión de riesgos, como el comité de riesgos operativos, el comité de inversión, el comité de gestión de activos y pasivos y el comité de crédito.

11. Existe una estructura organizativa global con funciones y responsabilidades claramente asignados. Sin embargo, la separación entre gestión de riesgos operativos y financieros está muy marcada en el BCE, lo que aumenta el riesgo de que la imagen de las exposiciones a riesgos a escala del Banco no sea completa.

12. Entre el Comité Ejecutivo y las dos funciones o unidades de gestión de riesgos, GRO/GCA y DGR, no se ha creado un órgano independiente, como un responsable del control de riesgos o un comité general de gestión de riesgos. En el momento de la fiscalización, el miembro del Comité Ejecutivo encargado de la gestión de riesgos también estaba encargado de otros ámbitos, mientras que un responsable del control de riesgos se concentraría únicamente en esta función.

13. Por otra parte, la ausencia de una función de gestión de riesgos jerárquicamente independiente aumenta el riesgo de que no se conceda suficiente prioridad a este ámbito, por ejemplo, la asignación de recursos de personal a tareas de gestión de riesgos, puesto que este tipo de cuestiones están sujetas a decisiones de la DG-H.

14. Un examen de las mejores prácticas de otras organizaciones internacionales similares ha mostrado que el Bank of Canada ha adoptado un marco integrado de gestión de riesgos, que cuenta con un administrador responsable de gestión de riesgos y un grupo de trabajo sobre gestión de riesgos. Ambos se ocupan de establecer un perfil de riesgo global para el banco que incluya riesgos de gestión, operativos y financieros, que se describen en el recuadro 1. El marco de gestión de riesgos del Banco está plenamente integrado en sus procesos de planificación estratégica, presupuestación y evaluación de la gestión al final del ejercicio. Recuadro 1 Ejemplo de gestión integrada de riesgos — Bank of Canada El administrador responsable de gestión de riesgos desempeña las siguientes funciones: — dirige el desarrollo y el perfeccionamiento del marco político de gestión de riesgos y obtiene la aprobación de la dirección, — ofrece orientación y asesoramiento en materia de gestión de riesgos a otros miembros de la dirección y preside el grupo de trabajo sobre gestión de riesgos, — copreside el comité de riesgos del comité de gestión de fondos con el servicio de finanzas. El grupo de trabajo sobre gestión de riesgos tiene el cometido siguiente: — efectúa la actualización completa de la autoevaluación de riesgos del Banco y elabora el informe anual e intermedio de gestión de riesgos, — se reúne tres o cuatro veces al año para examinar el perfil de riesgos del Banco y compartir las iniciativas en materia de gestión de riesgos con las funciones o servicios de los representantes.

Divulgación de información sobre el marco de gestión de riesgos del BCE a terceros

15. La divulgación pública de información debería ser suficiente para permitir a terceros evaluar el método de gestión de riesgos del BCE.

16. El BCE publica un informe anual que contiene las cuentas anuales y las notas explicativas correspondientes (16). La información sobre gestión de riesgos en las cuentas anuales es bastante limitada y la información sobre los principios y cifras de gestión de riesgos del BCE no es accesible al público [salvo el caso de la cifra consolidada del Valor en Riesgo (17) (VaR)]. El informe anual del BCE contiene una breve información sobre determinadas cuestiones de gestión de riesgos pero no presenta una visión general del proceso de gestión de riesgos en la organización, los riesgos presentados y el enfoque adoptado por la dirección al respecto.

17. La utilización de las Normas Internacionales de Información Financiera (NIIF) (18) constituye la mejor práctica de presentación de las cuentas de una entidad. La NIIF 7, «Instrumentos financieros: información a revelar», trata de la presentación de los riesgos a los que se enfrenta una organización en sus cuentas. No obstante, no ha sido aplicada por el BCE.

18. Otras organizaciones de bancos centrales internacionales o nacionales, como el Banco de Pagos Internacionales (BPI) y el Bank of Canada presentan en sus estados financieros anuales información sobre gestión de riesgos, auanque uno de ellos no aplica las NIIF (véase el recuadro 2). Recuadro 2 Ilustración de la divulgación de información sobre gestión de riesgos Organización Divulgación de información sobre gestión de riesgos en las cuentas anuales Marco de información financiera Banco de Pagos Internacionales (BPI) Las cuentas anuales muestran los riesgos afrontados por el Banco, el enfoque y la organización de la gestión de riesgos, una visión detallada del riesgo de crédito, del riesgo de mercado y del riesgo de liquidez, así como del riesgo operativo. Marco específico de información financiera fijado en los Estatutos del Banco Bank of Canada Las cuentas anuales muestran una visión general del proceso de gestión de riesgos, la estructura de gobernanza en materia de riesgos, la función del responsable de riesgos financieros, del riesgo financiero afrontado por el Banco, y una visión detallada de los riesgos de crédito, de mercado y de liquidez. NIIF (19)

¿Ha gestionado el BCE sus riesgos operativos de manera eficaz?

19. La gestión de la continuidad de las actividades complementa el marco de gestión del riesgo operativo del BCE, y ambos constituyen un importante elemento de gobernanza empresarial (20).

Gestión de riesgos operativos

20. Un marco eficaz del sistema de gestión de riesgos operativos abarca unas estrategias y una visión claras por parte del consejo de administración y los altos directivos, una cultura sólida de riesgos operativos y una cultura de control interno (que incluya unas líneas claras de responsabilidades y separación de funciones), así como un sistema eficaz de información interna.

21. Para evaluar la gestión de los riesgos operativos en el BCE, el Tribunal examinó lo siguiente: — las políticas de gestión de riesgos operativos establecidas en el BCE, — la estructura organizativa y las distintas funciones de gestión de riesgos operativos, — su relación con la planificación estratégica y financiera (el ciclo presupuestario anual), — la identificación de riesgos, evaluación y respuesta, información, supervisión y seguimiento tanto en las unidades de gestión como a nivel central.

Políticas de riesgos operativos

22. Las políticas de gestión de riesgos operativos deben proporcionar una definición clara del riesgo operativo que englobe a todo el banco y determinar las políticas que enmarcan el enfoque del banco en materia de identificación, evaluación, supervisión y control o reducción del riesgo.

23. El marco del sistema de gestión de riesgos operativos del BCE fue aprobado por el Comité Ejecutivo en octubre de 2007 (21) y se describe en el manual de prácticas internas publicado en la intranet y accesible a todo el personal. Resume la definición del BCE de la gestión de riesgos operativos (22), la política de tolerancia de riesgo, las funciones y responsabilidades, así como las políticas de evaluación, respuesta e información y supervisión.

24. Las políticas de gestión de riesgos operativos establecidas ofrecen una clara definición a nivel bancario del riesgo operativo y exponen las políticas que enmarcan el enfoque del Banco para evaluar, supervisar y controlar o reducir el riesgo. No obstante, el manual de prácticas internas no facilita detalles del enfoque del Banco con respecto a la identificación de riesgos.

Estructura organizativa y responsabilidades

25. Las unidades de gestión deberían encargarse de aplicar las políticas, procesos y procedimientos de gestión del riesgo operativo en todas las actividades, procesos y sistemas significativos del banco. Este también debería contar con un sistema de gestión de riesgos operativos en el que exista una clara atribución de responsabilidades a una función de gestión de riesgos.

26. El Comité Ejecutivo es responsable en último término de la gestión de riesgos operativos en el BCE. El comité de riesgos operativos trata los temas estratégicos y cuestiones a medio plazo, así como cuestiones puntuales y a corto plazo pertinentes (23). Está formado por un miembro del Comité Ejecutivo (el presidente) y siete altos directivos del Banco (24), y tiene poder de decisión para aceptar riesgos de nivel medio mientras que los riesgos elevados siempre tienen que ser aceptados por el Comité Ejecutivo. Cada dos meses, o con más frecuencia en caso necesario, se celebran reuniones.

27. El manual de prácticas internas indica con claridad que las unidades de gestión deben gestionar sus riesgos operativos (25). En consecuencia, cada unidad debería designar (al menos) un coordinador de riesgos que apoye a los jefes de las unidades en materia de gestión de riesgos operativos y actúe como primer punto de contacto en este ámbito dentro de cada unidad de gestión. Los jefes de las unidades de gestión también tienen la obligación de garantizar que el personal adquiera y mantenga las competencias necesarias para asumir la responsabilidad y rendición de cuentas con respecto a la gestión de riesgos operativos. La función GRO/GCA debería desarrollar y mantener el marco de gestión de riesgos operativos y coordinar el enfoque de las unidades de gestión a este respecto.

28. De los ocho agentes que integran la función GRO/GCA, solo cuatro eran permanentes en el momento de la fiscalización. Los demás se encontraban en comisión de servicio procedentes de bancos centrales nacionales o tienen contratos de duración determinada que oscilan entre tres meses y dos años, lo que significa que existe una elevada rotación de personal que da lugar a una pérdida de continuidad en una función importante y aumenta el riesgo de que el marco de gestión de riesgos operativos no se aplique adecuadamente en el BCE.

29. El conocimiento por parte del personal del marco de gestión de riesgos se incluyó en encuestas al personal de 2009 y 2010. La encuesta de 2009 mostró que alrededor del 40 % de los encuestados declararon no haber recibido suficiente información sobre la gestión de riesgos operativos; el 56 % desconocía quién había sido designado coordinador de riesgos de su unidad de gestión y el 45 % no sabía dónde encontrar información sobre la gestión de riesgos operativos en la intranet. En la encuesta de 2010 el 40 % continuaba sin saberlo.

Relación con la planificación estratégica y financiera (ciclo presupuestario anual)

30. La gestión de riesgos debe inscribirse en la gobernanza del BCE como parte integrante de la planificación estratégica, comercial y financiera del banco.

31. Una parte importante de la determinación del perfil de riesgo del BCE es la evaluación anual de los riesgos operativos llevada a cabo por las unidades de gestión y la función GRO/GCA. Las evaluaciones de 2009 fueron efectuadas por las unidades de gestión entre junio y agosto de ese año, tras lo cual se celebró una reunión de ajuste con los coordinadores de riesgos. El informe descendente (top-down) se finalizó en enero de 2010.

32. El perfil de riesgo debería ser una de las aportaciones al proceso de planificación estratégica, que a su vez dirige el plan financiero. Sin embargo, la fiscalización reveló que no existe una integración de la evaluación anual de los riesgos operativos con el ciclo de planificación estratégica y financiera del BCE, por lo que la gestión de los riesgos operativos puede reducirse a un ejercicio aislado y el plan financiero puede no canalizar de manera adecuada los recursos para lograr objetivos estratégicos (26).

33. Un ejemplo de buenas prácticas es el Bank of Canada, donde el perfil de riesgo del banco es parte integrante de su ciclo global de planificación estratégica y financiera (27).

El proceso de gestión de riesgos operativos: Identificación, evaluación de riesgos y respuesta a estos, información y supervisión

Identificación y evaluación de riesgos y respuesta a los mismos

34. Todos los riesgos operativos inherentes a las actividades, procesos y sistemas deben ser identificados y evaluados con respecto a la política existente y al nivel de tolerancia para determinar una respuesta adecuada basada en cálculos de costes suficientes. Debería facilitarse a la dirección y al Comité Ejecutivo información pertinente que apoye la gestión proactiva del riesgo operativo.

35. El marco de gestión de riesgos operativos se ha aplicado principalmente mediante evaluaciones descendentes. Según la política de riesgos del BCE, las unidades de gestión también deben proceder de forma continua a evaluaciones ascendentes de sus procesos y los riesgos identificados deben aprobarse (28).

36. El BCE llevó a cabo evaluaciones de riesgos descendentes en 2008 y 2009. La función GRO/GCA proporcionó a las unidades de gestión unos riesgos de alto nivel predefinidos que constituyeron la base para sus evaluaciones de riesgos. En el informe final se incluyó un plan de acción para cada unidad de gestión. El manual de prácticas internas exige que las unidades de gestión analicen y definan estrategias de respuesta a los riesgos y lleven a cabo un análisis de costes y beneficios de posibles soluciones.

37. Todas las unidades de gestión habían identificado riesgos y respuestas en relación con el ejercicio de evaluación descendente de 2009, y el informe correspondiente contenía medidas concretas de seguimiento para cada unidad. No obstante, en las unidades de gestión seleccionadas no se documentaron análisis de costes y beneficios.

38. En el caso de determinados riesgos, una vez identificado el riesgo por la unidad de gestión, el procedimiento de aceptación por el comité de riesgos operativos/Comité Ejecutivo fue muy prolongado. Por ejemplo, dos riesgos identificados en julio-agosto de 2009 todavía no estaban aprobados en diciembre de 2010. La lista de medidas concretas abiertas revisada en las reuniones del comité de riesgos operativos muestra también que algunos permanecían abiertos durante más de un año y otros hasta dos años.

39. En solo tres de las seis unidades de gestión seleccionadas fue posible identificar recursos específicos asignados a las actividades de gestión de riesgos operativos en su programa de trabajo, pero la descripción de estas actividades era imprecisa y no era posible rastrear las medidas concretas del ejercicio descendente de la gestión de riesgos operativos de 2009 hasta los programas de trabajo de la unidad de gestión.

Gestión de la continuidad de las actividades del BCE

40. La gestión de la continuidad de las actividades es un componente importante de la gestión de riesgos operativos, que requiere planes de emergencia y de recuperación para los supuestos más desfavorables a fin de garantizar la continuidad de actividades y procesos esenciales en casos de crisis.

41. El Tribunal examinó lo siguiente: i) si el marco global de gestión de la continuidad de las actividades es adecuado y está en consonancia con las mejores prácticas, ii) si los procesos esenciales están correctamente identificados, iii) si los distintos planes de continuidad de las actividades de las unidades de gestión seleccionadas afrontan de manera adecuada los riesgos para garantizar la correcta continuidad de operaciones esenciales, iv) si las disposiciones de continuidad de las actividades se verificaron del modo apropiado, v) si el personal conocía y estaba preparado con respecto a las disposiciones de continuidad de las actividades.

Marco de gestión de la continuidad de las actividades

42. La gestión de la continuidad de las actividades es un enfoque empresarial global que incluye políticas, normas y procedimientos para garantizar que puedan mantenerse o recuperarse con la debida diligencia operaciones especificadas en caso de perturbación. La finalidad es minimizar las consecuencias operativas, financieras, legales, de reputación u otras consecuencias significativas derivadas de una perturbación (29).

43. El objeto de la gestión de la continuidad de las actividades es garantizar que las disposiciones y soluciones al respecto sean conformes con los objetivos, obligaciones y deberes estatutarios del BCE y con su política de tolerancia de riesgos (30).

44. La fiscalización incluyó una revisión de los documentos clave que constituyen el marco de la gestión de la continuidad de las actividades: — el capítulo 26 del manual de prácticas internas expone el marco general, define los procesos y subsiguientes realizaciones que se han de obtener, y define funciones y responsabilidades, — estrategia de ensayo de la continuidad de las actividades del BCE y de formación, — el programa de ensayo de la continuidad de las actividades, — el manual de gestión de crisis.

45. El BCE ha elaborado un manual de gestión de crisis que define las funciones, responsabilidades y procesos en estos casos, así como datos de contacto del equipo de gestión de crisis. Cada unidad de gestión tiene la obligación de elaborar su plan de continuidad de las actividades. Sin embargo, el modelo de plan de continuidad de alto nivel no exige un plan global de continuidad de las actividades a nivel del BCE, por lo que no se ha preparado ninguno.

46. El BCE ha creado un marco sólido con orientaciones sobre las políticas, procesos y responsabilidades en materia de gestión de la continuidad de las actividades en la organización. No obstante, su enfoque descentralizado entraña el peligro de que, sin una coordinación estricta, dicha gestión no se aplique de manera coherente en toda la entidad.

Identificación de procesos esenciales

47. El análisis del impacto en el negocio (Business Impact Analysis — BIA) es un proceso dinámico de identificación de operaciones y servicios críticos, dependencias internas y externas fundamentales y niveles de adaptación adecuados. Evalúa los riesgos y el impacto potencial de distintos supuestos de perturbación en las operaciones y en la reputación de una organización (31).

48. El análisis del impacto en el negocio completo más reciente se efectuó en 2006 (32) para identificar los productos y servicios del BCE que resultaban esenciales para la continuidad de las principales operaciones del banco, y se centraba principalmente en los siguientes aspectos: — identificación de los procesos esenciales de la entidad, — categorización de los requisitos esenciales, — orientaciones sobre el modo de tratar procesos no recurrentes o poco frecuentes, — identificación de requisitos de apoyo adicionales.

49. Una actualización exhaustiva de un análisis de impacto global efectuado en 2007 identificó lagunas respecto de la continuidad de las actividades y las disposiciones vigentes en ese momento, tras lo cual se creó una estrategia de seguimiento que incluía opciones para subsanar las lagunas identificadas o aceptar los riesgos y costes. Sin embargo, aunque el documento presentaba los costes en términos de soluciones informáticas y de infraestructura logística, no presentaba un desglose que mostrara el impacto de los distintos niveles de riesgo en los costes.

50. La actualización más reciente del análisis de impacto en el negocio para colmar las lagunas identificadas en 2007 se completó en 2010 y, desde la crisis financiera, no se ha procedido a otro análisis de impacto completo.

Planes de continuidad de las actividades

Operaciones esenciales

51. Los planes de continuidad de las actividades deben plantearse de modo que se identifiquen las operaciones críticas para garantizar que el BCE pueda cumplir sus obligaciones estatutarias definidas en el protocolo sobre el estatuto del BCE (33). Estos planes deberían articularse en torno a un «supuesto más desfavorable», teniendo en cuenta que la respuesta puede ser debidamente redimensionada para hacer frente a la crisis real (34).

52. El BCE ha establecido unos puntos de referencia primarios para la determinación del carácter crítico en relación con una serie de riesgos y sobre la base de sus obligaciones estatutarias (véase el recuadro 3). Recuadro 3 Puntos de referencia primarios para la determinación de la importancia crítica Cumplir las obligaciones estatutarias, en particular: — la definición y ejecución de la política monetaria para la zona del euro, — la realización de operaciones de cambio de divisas, — el mantenimiento y gestión de las reservas oficiales de divisas de los países de la zona del euro, — la promoción del buen funcionamiento de los sistemas de pagos. El impacto de la interrupción en un proceso identificado con respecto a: — la inestabilidad del mercado, — la pérdida de credibilidad, imagen o reputación, — la pérdida financiera para el BCE, — la pérdida financiera para otras instituciones, — posibles problemas legales, — otros impactos no incluidos en los puntos anteriores. Fuente: Revisión realizada por el BCE del análisis del impacto en el negocio de 2006.

53. Sobre la base del examen efectuado por el Tribunal de estos puntos de referencia primarios y una evaluación preliminar del nivel potencial de las operaciones continuadas en el marco de los supuestos establecidos (35), los planes elaborados fueron concebidos con el fin de garantizar el cumplimiento de las obligaciones estatutarias. No obstante, el examen realizado por el Tribunal de los planes de continuidad de las actividades reveló una ausencia de planes para responder a una pérdida grave de recursos humanos (36) en caso de desastre. Aunque las unidades de gestión encargadas de los procesos definieron el personal encargado de la continuidad de las actividades y su sustitución, ninguna disponía de un plan de seguridad en caso de falta de personal disponible a gran escala.

Conformidad con el modelo de plan de continuidad de las actividades de alto nivel

54. Según el modelo de plan de continuidad de las actividades de alto nivel, los distintos planes de las unidades de gestión deberían abarcar: — aspectos organizativos (37), — procesos esenciales (38), — requisitos (39), — listado de partes interesadas. Una organización debería sopesar el beneficio directo que obtiene de las medidas para mejorar su capacidad de recuperación ante las perturbaciones operativas en relación con el coste de dichas medidas (40).

55. El modelo global del BCE para el plan de continuidad de la actividad de alto nivel proporciona la estructura obligatoria y los contenidos de los planes de continuidad de las actividades de las distintas unidades de gestión. Como tal, el modelo solo incluye la estructura los documentos del plan de continuidad de las actividades que deben presentar las unidades.

56. Los planes de continuidad de las actividades se preparan en las unidades de gestión, en los servicios o en las divisiones. El modelo de plan de continuidad de alto nivel suele respetarse desde el punto de vista del contenido obligatorio, pero existen grandes diferencias en el grado de detalle. Aunque la función GRO/GCA actúa como coordinador central, la calidad de los distintos planes depende de la persona encargada en la unidad de gestión. Nada indicaba que los distintos planes de continuidad de las actividades estuvieran suficientemente revisados por la función GRO/GCA.

57. De las cinco unidades de gestión (41) seleccionadas para proceder a una verificación detallada, cuatro presentaron un plan de continuidad de las actividades conforme a los requisitos, y tres de dichos planes abordaban plenamente los procesos esenciales identificados en el análisis del impacto en el negocio.

58. En la mayoría de los casos de las áreas de gestión de la muestra no se había documentado un análisis de costes y beneficios relativo a las opciones de continuidad de las actividades, incluida la evaluación de varios niveles de riesgo.

Pruebas

59. Las organizaciones deberían poner a prueba sus planes de continuidad de las actividades, evaluar su eficacia y actualizar su gestión de la continuidad de las actividades según convenga (42). La norma BS25999 (43) establece que la organización garantice que las disposiciones de su gestión de la continuidad de las actividades sean validadas por ejercicios y que se revisen y actualicen.

60. Se examinaron los siguientes documentos: — la estrategia de pruebas de la continuidad de la actividad (44), — los programas y calendarios de pruebas para el período 2008-2010, — informes de los resultados de las pruebas.

61. La estrategia de pruebas se centra en el plan de continuidad de las actividades y en los planes de recuperación de los sistemas de información desarrollados para revisar los procesos esenciales con arreglo al análisis del impacto en el negocio. El marco de las pruebas incluye una clara atribución de funciones, estableciendo el alcance de las pruebas, los requisitos en materia de presentación de informes, la frecuencia de las pruebas y un programa pertinente de pruebas a medio plazo. El examen indicaba que se había creado un marco de pruebas conforme a los requisitos de la norma BS 25999.

62. Las pruebas realizadas identificaron que los ejercicios de pruebas, aunque incluían al personal clave y se efectuaban periódicamente, no siempre simulan las circunstancias a las que tendría que hacer frente el BCE en caso de una perturbación importante de las actividades. Las pruebas planificadas para 2009 y 2010 no abarcaron todos los supuestos establecidos por el BCE y no se llevaron a cabo todas las pruebas inicialmente previstas.

Formación y sensibilización

63. Los equipos de gestión de crisis y de respuesta a estas deberían recibir formación sobre sus responsabilidades y obligaciones al menos anualmente y, en el caso de los nuevos miembros, la formación debería impartirse en el momento de su llegada. Todo el personal debería recibir formación para ejercer sus respectivas funciones en caso de crisis y ser informado de los principales componentes del plan de continuidad de las actividades (45).

64. La estrategia adoptada por el BCE en materia de formación especifica que todo el personal debería beneficiarse de un programa de sensibilización sobre la gestión de la continuidad de las actividades (46). Por lo que respecta a las pruebas, la estrategia prevé la creación de un programa de formación que proporcione detalles sobre su ejecución.

65. En 2010 se impartieron cinco programas de formación de medio día de duración para ofrecer un recorrido paso a paso del manual de crisis aprobado por el BCE. En general, tanto la introducción del manual como la sesión de formación recibieron valoraciones positivas por los participantes en el curso, pero también se puso de manifiesto que la organización de pruebas de simulación sería bien acogida.

66. Si bien en la fiscalización se obtuvieron pruebas claras de la formación impartida al personal competente para la continuidad de las actividades, concretamente a través de pruebas del plan de continuidad, no se encontraron indicios de que se hubiera abordado de manera activa la sensibilización del resto del personal sobre el marco y los procesos de continuidad de las actividades. Varios documentos internos de referencia (47) reconocen que, aunque las pruebas desempeñan un papel importante en la formación del personal, es necesario un programa de sensibilización que llegue al conjunto de la plantilla. Hasta la fecha no se ha elaborado tal programa, ya que la función central de GRO/GCA considera satisfactoria la sensibilización del personal a este respecto. No obstante, una encuesta interna (48) pone de manifiesto que más del 12 % (20 % en 2009) de los encuestados desconocen las disposiciones sobre continuidad de las actividades en su unidad de gestión, y no sabrían dónde encontrar información sobre el modo de actuar en caso de crisis.

¿Ha gestionado el BCE sus riesgos financieros de manera eficaz?

67. La gestión de riesgos financieros es un proceso para tratar las incertidumbres derivadas de los mercados financieros que implica la evaluación de los riesgos financieros que afronta una organización y la elaboración de estrategias de gestión coherentes con las prioridades y políticas internas.

68. El Tribunal examinó los siguientes aspectos: — si el marco general de gestión de riesgos financieros para operaciones de inversión y de política resulta adecuado y está en consonancia con las mejores prácticas, — si la metodología de riesgo financiero aplicada por el BCE es adecuada para gestionar los riesgos financieros, — si la metodología de riesgo financiero es aplicada eficazmente por el BCE, — si la información sobre la gestión del riesgo financiero es periódica y fiable.

Marco de gestión de riesgos financieros para inversiones y operaciones de políticas

69. El marco debería ofrecer una definición de riesgo financiero a escala de toda la entidad y establecer los principios que definen el modo de identificar, evaluar, supervisar y controlar o reducir los riesgos financieros (49). El banco debe contar con un sistema de gestión de riesgos financieros en el que exista una clara atribución de responsabilidades.

70. El marco de gestión de riesgos financieros del BCE está concebido para cubrir riesgos derivados de dos de sus tipos de operaciones: inversión y crédito. Las operaciones de inversión corresponden a las dos carteras de inversiones, reservas de divisas (50) (60 600 millones de euros a 31 de diciembre de 2010) y fondos propios (51) (13 300 millones de euros a 31 de diciembre de 2010). Las operaciones de crédito corresponden a operaciones de política monetaria (52). Las actividades de inversión del BCE incluyen la gestión de reservas de divisas del BCE (53) y su cartera de fondos propios, así como la gestión del fondo de pensiones y las actividades de las dos carteras mantenidas con fines de política monetaria (54).

71. La división de gestión de riesgos (DGR) se ocupa de mantener el marco general de gestión de riesgos para operaciones de inversión y supervisión, evaluación y controles de los riesgos resultantes de estas operaciones, y supervisa la conformidad con las políticas y procesos de mercado y de gestión del riesgo de crédito acordados. Los casos de disconformidad son notificados con arreglo a procedimientos de cadena de alerta acordados.

72. La DG-M es la unidad de gestión que dirige las operaciones de inversión en el BCE, y también se encarga del mantenimiento y ulterior desarrollo de la aplicación de gestión de carteras del Eurosistema (55). La división de inversiones de la DG-M se ocupa de la preparación de las propuestas del comité de inversión para la referencia táctica de las carteras de reservas de divisas y la gestión directa de la cartera de fondos propios del BCE.

73. El manual de gestión de riesgo financiero (56), documento clave para la gestión del riesgo financiero de las actividades de inversión, ofrece una visión global de todas las políticas, procesos y procedimientos pertinentes, en particular mediante referencia a los documentos visados por el órgano decisorio del BCE.

74. El marco global y la gestión de riesgos financieros establecidos por el BCE para la gestión de operaciones de inversión y de política aportan una definición de los riesgos financieros a escala de todo el banco y establece los principios según los cuales se han de identificar, evaluar, supervisar y controlar o reducir los riesgos financieros.

Metodología de gestión de riesgos financieros

75. Deben elaborarse unas directrices adecuadas en materia de inversión a fin de determinar con suficiente detalle la propensión al riesgo y facilitar orientaciones globales para las operaciones de inversión.

76. El manual de gestión de riesgo financiero del BCE define los siguientes elementos: i) la tolerancia de riesgo del BCE, ii) los instrumentos y operaciones aprobados, iii) las contrapartes y emisores admisibles, determinación de límites, iv) la colocación estratégica de activos, v) la supervisión, elaboración de informes y evaluación, vi) la revisión del marco (57).

77. El proceso de inversión de las reservas de divisas está dirigido por una estructura de tres niveles que engloba la referencia estratégica, la referencia táctica y las carteras propiamente dichas. La referencia estratégica refleja las preferencias entre riesgo y rendimiento a largo plazo y es decidida por el Consejo de Gobierno.

78. El proceso de inversión de fondos propios se basa en una estructura de dos niveles, la referencia estratégica y la cartera propiamente dicha. La referencia estratégica es decidida por el Comité Ejecutivo.

79. El rendimiento se maximiza sujeto a las limitaciones de evitar que se produzcan pérdidas y de colocación de activos y se ejecuta a través de una colocación estratégica específica (58).

80. La división de gestión de riesgos mantiene listas de países, emisores y contrapartes admisibles, y establece límites para las contrapartes sobre la base de la metodología aprobada por el Comité Ejecutivo. Para la gestión de reservas de divisas, los límites son impuestos a los bancos centrales nacionales sobre la base de la metodología aprobada por el Consejo de Gobierno. Una vez al año, se procede a una actualización sistemática de todos los límites. Además, se tienen en cuenta inmediatamente las implicaciones de los cambios de la calificación crediticia en la admisibilidad y los límites.

81. La colocación estratégica de activos tiene en cuenta los siguientes requisitos políticos de alto nivel: i) los objetivos para mantener las reservas, ii) las preferencias entre riesgo y rendimiento, iii) la filosofía de modelización, iv) el horizonte de inversión y la frecuencia de las revisiones, v) la división de responsabilidades entre la referencia estratégica y los niveles tácticos en la cadena de inversión, vi) el contenido informativo aportado a las decisiones de inversión, vii) las inversiones admisibles, viii) las limitaciones impuestas a la inversión. Los horizontes de inversión y de riesgo se fijan en un año para las reservas de divisas y en cinco años para los fondos propios.

82. La fiscalización del Tribunal incluyó un examen de: — la exhaustividad e idoneidad de la definición de la propensión al riesgo y la estrategia de riesgos, — las directrices sobre inversiones, — el proceso decisorio por el que se establecen límites de inversión, — las medidas de riesgo y su coherencia: riesgo de mercado, riesgo de crédito; riesgo de la contraparte; riesgo de liquidez y riesgo operativo de las actividades de inversión.

83. El examen del marco de gestión de riesgos financieros indica que la metodología aplicada determina suficientemente la propensión al riesgo y ofrece orientaciones globales para las operaciones de inversión en el BCE.

Aplicación de la metodología de gestión de riesgos financieros

84. La metodología de gestión de riesgos financieros tal como se describe en la sección anterior debe aplicarse eficazmente en la práctica.

85. En su fiscalización, el Tribunal examinó: i) la idoneidad de las referencias respecto del perfil de riesgo de las carteras, incluyendo medidas de los errores, calidad y gestión de los datos y seguridad de los datos de las referencias estratégicas y tácticas, ii) las herramientas y el sistema de apoyo al cálculo y a la actualización de carteras y referencias, iii) un examen de la gestión del cambio de referencias.

86. Para la revisión del marco de valor en riesgo, se consideraron los siguientes aspectos: i) análisis de la calidad y de la gestión de los datos, examen de los datos de seguridad y de control, ii) análisis de la técnica de modelización, de los supuestos en que se basan los modelos y de los componentes básicos de la modelización, iii) pruebas de razonabilidad, examen de resultados de verificación a posteriori, análisis de la elaboración de informes.

87. Las pruebas mostraron que la metodología era aplicada correctamente, aunque «el principio de los cuatro ojos» no estaba documentado. Además, la revisión de los modelos utilizados para el cálculo de las referencias estratégicas y tácticas, así como del valor en riesgo, incluida la validación de modelos, mostró que en algunos de los modelos: a) no se efectuaba y ni documentaba recientemente una verificación a posteriori periódica de los modelos; b) no se había efectuado una validación independiente ni una actualización reciente de los modelos aplicados; c) los supuestos para los modelos no siempre se documentaban suficientemente.

88. Un examen de las mejores prácticas de otras organizaciones internacionales similares ha mostrado que a raíz de la crisis financiera en los Estados Unidos de América y como parte del refuerzo de sus capacidades de gestión de riesgos financieros, el Federal Reserve Bank of New York creó un equipo de validación de modelos, cuyas tareas principales se describen en el recuadro 4. Recuadro 4 Equipo de validación de modelos en el Federal Reserve Bank of New York Las tareas principales del equipo son las siguientes: — inventario de todos los modelos utilizados en relación con la gestión de riesgos financieros, — examen y validación de la documentación de los modelos, — elaboración de documentación detallada cuando la documentación existente se considere insuficiente, — verificación de modelos.

Idoneidad de la información sobre riesgos financieros

89. Debería existir un proceso para supervisar periódicamente los perfiles de riesgo y las exposiciones significativas a las pérdidas. Debería implantarse un sistema fiable de supervisión e información.

90. El cumplimiento de las politicas y procesos acordados de gestión de riesgos de mercado y de crédito es supervisado por la división de gestión de riesgos, que también se encarga de informar de los casos de incumplimiento siguiendo unos procedimientos de cadena de alerta acordados. Esta división informa periódicamente sobre riesgo, rentabilidad y rendimiento, tanto de las carteras de reservas de divisas y fondos propios como de las referencias estratégicas y tácticas correspondientes. La información es transmitida con una frecuencia diaria, semanal, mensual, trimestral y anual.

91. Las pruebas y entrevistas realizadas por los auditores confirmaron que la información sobre el rendimiento se efectúa periódicamente y que se distribuye a los órganos ejecutivos de manera oportuna. No obstante, se observó que las normas GIPS (59), consideradas como las mejores prácticas, no son cumplidas plenamente a efectos de la información interna del BCE en materia de rendimiento.

CONCLUSIONES Y RECOMENDACIONES

¿Ha implantado el BCE un marco de gobernanza apropiado y global para la gestión de riesgos?

92. El BCE ha establecido una estructura organizativa integral y las funciones y responsabilidades están claramente atribuidas. No obstante, existe una pronunciada separación entre la gestión de riesgos financieros y la gestión de riesgos operativos, lo que incrementa el riesgo de que la visión de las exposiciones a riesgos del Banco no sea suficientemente global. Entre el Comité Ejecutivo y las dos unidades o funciones de riesgo (la GRO/GCA y la división de gestión de riesgos) no se ha creado un órgano único independiente, como un responsable o un comité encargado de la gestión de riesgos.

93. Las cuentas anuales del BCE solo ofrecen una breve información sobre determinadas cuestiones en materia de gestión de riesgos en lugar de mostrar una visión general del proceso en la organización, los riesgos afrontados y el enfoque de la dirección con respecto a estos. Recomendaciones 1. El BCE debería estudiar la posibilidad de establecer una función única de gestión de riesgos jerárquicamente independiente, como un responsable o un comité encargado de la gestión de riesgos que se concentrara únicamente en este ámbito y ofreciera una visión general de las exposiciones a riesgos del Banco. 2. El BCE debería mejorar su divulgación pública de las prácticas de gestión de riesgos a terceros en las cuentas anuales aplicando las mejores prácticas, como la NIIF 7.

¿Ha gestionado el BCE sus riesgos operativos de manera eficaz?

94. El BCE cuenta con una estructura organizativa clara y ha establecido unas politicas de gestión de riesgos operativos que definen el enfoque del Banco con respecto a la evaluación, supervisión, y control y reducción de riesgos.

95. Aunque se efectuaron evaluaciones descendentes (top down) en 2008 y 2009 y se definieron planes de acción para cada unidad de gestión, no se documentaron análisis de costes y beneficios.

96. Se ha creado un sistema de información, supervisión y seguimiento y se ha acordado un calendario para el seguimiento de las medidas de reducción de riesgos para riesgos medios y elevados. Sin embargo, en el caso de algunos riesgos, el procedimiento de aceptación por parte del CRO/Comité Ejecutivo ha sido muy prolongado. Los ciclos de planificación y de gestión de riesgos operativos no están integrados. Asimismo, las actividades de gestión de riesgos operativos no figuraban claramente en los programas de trabajo de algunas unidades de gestión examinadas.

97. El BCE ha desarrollado un manual integral de gestión de crisis que define funciones, responsabilidades y procesos en tales casos, así como datos de contacto del equipo de gestión de crisis. Cada unidad de gestión tiene atribuida la plena responsabilidad de desarrollar su plan de continuidad de las actividades.

98. El BCE ha creado un marco sólido que ofrece orientaciones sobre las políticas, procesos y responsabilidades de la gestión de la continuidad de las actividades en la organización. Sin embargo: a) aunque en 2007 se efectuó una actualización exhaustiva del análisis del impacto en el negocio, que se completó en 2010, no se ha vuelto a efectuar un análisis completo del impacto en el negocio desde el comienzo de la crisis financiera; b) se observó una ausencia de planes para afrontar una pérdida grave de recursos humanos; c) las pruebas planificadas no abarcaban plenamente los eventuales casos de catástrofes planificados por el BCE; d) no se realizaron algunas pruebas previstas para 2009 y 2010. Recomendaciones 3. La evaluación anual de riesgos operativos debería incluirse en el ciclo de planificación estratégica y financiera del BCE y en los respectivos programas de trabajo de las distintas unidades de gestión. 4. Deberían resolverse con rapidez las medidas destinadas a afrontar los riesgos operativos de nivel medio a elevado. 5. El BCE debería continuar reforzando sus planes de continuidad de las actividades y su programa de pruebas y velar por que se realicen todas las pruebas previstas.

¿Ha gestionado el BCE sus riesgos financieros de manera eficaz?

99. El marco global y la gestión de riesgos financieros establecidos por el BCE para la gestión de las operaciones de políticas y de inversión son adecuados. El examen del marco de gestión de riesgos financieros indicaba que la metodología de gestión de riesgos financieros diseñada es válida y adecuada para la gestión de las operaciones políticas y de inversión del BCE. Sin embargo, se necesitan mejoras en la aplicación práctica de la metodología, por ejemplo en los modelos utilizados para realizar los cálculos de referencias estratégicas y tácticas y de los valores en riesgo.

100. Los informes internos de gestión de riesgos proporcionan a la dirección y al Comité Ejecutivo del BCE una información sobre gestión de riesgos financieros exacta, adecuada y exhaustiva. La información sobre el rendimiento es puntual y periódica, pero no se actualiza regularmente para reflejar los cambios en las normas GIPS. Recomendaciones 6. El BCE debería continuar mejorando su revisión y validación de los modelos utilizados para los cálculos de las referencias estratégicas y tácticas, así como de los valores en riesgo, incluyendo la elaboración de documentación detallada cuando la documentación existente se considere insuficiente, la verificación de los modelos y el examen periódico de los supuestos para los modelos. 7. Los cambios en las normas GIPS deberían revisarse anualmente y estudiarse su plena aplicación a la información interna del BCE en materia de rendimiento.

El presente Informe ha sido aprobado por la Sala IV, presidida por Louis GALEA, Miembro del Tribunal de Cuentas, en Luxemburgo en su reunión del día 27 de marzo de 2012. Por el Tribunal de Cuentas Vítor Manuel da SILVA CALDEIRA Presidente

(1) Artículo 127, apartado 1, del Tratado de Funcionamiento de la Unión Europea.

(2) Los Estatutos del SEBC y del BCE componen un protocolo anexo al Tratado.

(3) El artículo 27, apartado 2, del Protocolo sobre los Estatutos del SEBC y del BCE establece que «Las disposiciones del artículo 287 del Tratado de Funcionamiento de la Unión Europea solo se aplicarán a un examen de la eficacia operativa de la gestión del BCE».

(4) Artículo 9, apartado 3, del Protocolo sobre los Estatutos del SEBC y del BCE. El Consejo de Gobierno está compuesto por los seis miembros del Comité Ejecutivo y por los gobernadores de los bancos centrales nacionales de los Estados miembros cuya moneda es el euro. El Comité Ejecutivo está compuesto por el presidente, el vicepresidente y otros cuatro miembros.

(5) Artículo 12, apartado 1, del Protocolo sobre los Estatutos del SEBC y del BCE.

(6) El alcance de la GRO abarca riesgos relativos a actividades del BCE, incluidos los correspondientes a procesos y proyectos del SEBC/Eurosistema.

(7) Los criterios con respecto a los cuales el Tribunal evaluó el marco de gestión de riesgos operativos y financieros del BCE figuran en cursiva en el presente documento. Salvo indicación contraria, los criterios son del Tribunal.

(8) El alcance de la auditoría excluyó la gestión de riesgos a escala del Sistema Europeo de Bancos Centrales (SEBC).

(9) Se efectuaron visitas informativas al Federal Reserve Bank of New York y al Bank of Canada y se enviaron cuestionarios al Federal Reserve Bank of New York, al Bank of Canada y al Swiss National Bank.

(10) Risk Management for Central Banks and Other Public Investors (Gestión de riesgos para bancos centrales y otros inversores públicos), José Manuel González-Páramo, miembro del Comité Ejecutivo del BCE, Ulrich Bindseil y Evangelos Tabakis, Cambridge University Press 2009.

(11) «High level principles for risk management» (Principios de alto nivel sobre la gestión de riesgos), Comité de supervisores bancarios europeos (CSBE), febrero de 2010 (cursiva, Tribunal de Cuentas Europeo, texto original en negrita presentado en caracteres normales).

(12) Sección, división, dirección o dirección general.

(13) Que forma parte de la DG-H.

(14) La función GRO/GCA también es secretaría del Comité de riesgos operativos.

(15) La DGR pertenece administrativamente a la DG-H, pero informa directamente al miembro del Comité Ejecutivo responsable de la gestión de riesgos financieros.

(16) El BCE aplica su propio marco de información financiera establecido por la Decisión BCE/2006/17 sobre las cuentas anuales del BCE en su visión modificada.

(17) El Valor en Riesgo (VaR) es una medición frecuentemente utilizada del riesgo de pérdida de una cartera específica de activos financieros. Para una determinada cartera, probabilidad y horizonte temporal, el VaR se define como un valor umbral de tal manera que la probabilidad de que la pérdida de valor de mercado de la cartera durante el período determinado sea superior a este valor, partiendo del supuesto de que se trate de unos mercados normales y que no haya comercialización en la cartera, sea el nivel de probabilidad dado [Value at Risk: The New Benchmark for Managing Financial Risk (Valor en Riesgo: El nuevo estándar para la Gestión de Riesgos Financieros] (3a edición), Philippe Jorion, McGraw-Hill Professional, 2006).

(18) Las Normas Internacionales de Información Financiera son normas basadas en principios, interpretaciones y el marco aprobado por el Consejo de normas internacionales de contabilidad (IASB), también conocidas por su antiguo nombre, Normas Internacionales de Contabilidad (NIC). En febrero de 2001, la Comisión Europea propuso un reglamento que exigía que todas las empresas de la UE con cotización en bolsa en un mercado regulado, incluidos bancos y compañías aseguradoras, prepararan cuentas consolidadas con arreglo a las NIC a más tardar en 2005. Se dio a los Estados miembros de la UE la opción de hacer extensivo este requisito a empresas que no cotizaran en bolsa y a las cuentas de empresas individuales. Se creó un mecanismo de control europeo, tanto a nivel técnico como político, para supervisar la integración de las NIC en la UE.

(19) Hasta el 31 de diciembre de 2010, el Banco de Canadá ha informado con arreglo a los Principios contables generalmente aceptados presentando, no obstante, información de gestión de riesgos comparable a las NIIF. A partir del 1 de enero de 2011, el Bank of Canada informa de conformidad con las NIIF.

(20) Manual de prácticas internas, capítulo 26.

(21) En 2008 el Comité Ejecutivo decidió alinear el marco de gestión de riesgos operativos del BCE con el marco adoptado para el SEBC.

(22) Se entiende por riesgo operativo el riesgo de que se produzca un impacto negativo financiero, en la actividad o en la reputación resultante de la falta de idoneidad, o del mal funcionamiento, de la gobernanza interna y de los procesos empresariales, o de personas, sistemas o acontecimientos externos.

(23) Tiene el mandato de estimular y supervisar el desarrollo, la aplicación y el mantenimiento de la gestión de riesgos operativos en el BCE.

(24) Los miembros son altos directivos de las direcciones generales de Operaciones de Mercado, Sistemas de información, Administración, Recursos humanos, presupuesto y organización, dos unidades de gestión principales de manera rotativa anual y el asesor del Director General de Recursos humanos, presupuesto y organización.

(25) La unidad de gestión (titular del riesgo) encargada del riesgo transversal (riesgo que afecta a varias unidades de gestión) debería recomendar o aplicar medidas apropiadas de tratamiento de riesgos que sean aplicables a todo el BCE.

(26) Basado en la conclusión extraída del artículo «ERM at the Federal Reserve Bank of Richmond», 2007, Jack Dorminey y Richard Mohn.

(27) Fuente: Sitio web del Bank of Canada «Medium-term plan 2010-12» (www.bankofcanada.ca, 13 de julio de 2011).

(28) Para proyectos, por ejemplo informáticos, existen procedimientos específicos como los descritos en la Organización de Proyectos y Procedimientos de Control. Los riesgos de los proyectos son notificados por separado a través del Comité de dirección de proyectos /Comité de dirección de nuevas instalaciones. La gestión de riesgos relativa a proyectos específicos se ha excluido del alcance de la presente fiscalización.

(29) High-level principles for business continuity (Principios de alto nivel para la continuidad de las actividades), Comité de Supervisión Bancaria de Basilea, agosto de 2006, apartado 9.

(30) «Manual de prácticas internas» 5a edición, BCE, 24 de septiembre de 2010.

(31) High-level principles for business continuity (Principios de alto nivel para la continuidad de las actividades), Comité de Supervisión Bancaria de Basilea, agosto de 2006, apartado 10.

(32) «ECB Business Impact Analyses» (Análisis de impacto de las actividades del BCE), Revisión de 2006, Dirección General de Recursos Humanos, presupuesto y organización, 16 de enero de 2007.

(33) El artículo 3 del protocolo (no 4) de los Estatutos del Sistema Europeo de Bancos Centrales y del Banco Central Europeo define las funciones estatutarias que ha de desempeñar el BCE.

(34) Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery, ASIS international, 2005; apartado 11.3.

(35) Sobre la base de seis eventuales situaciones catastróficas, el análisis de impacto estudia la incidencia en la capacidad operativa de cada unidad de gestión.

(36) Tal como exigen los High-level principles for business continuity (Principios de alto nivel para la continuidad de la actividad), Comité de Supervisión Bancaria de Basilea, agosto de 2006, apartado 23.

(37) Es decir, organismos encargados de tomar decisiones en caso de crisis, composición de los equipos de continuidad de las actividades, relaciones con otros equipos y ubicación de los equipos de continuidad de las actividades.

(38) Los identificados y aprobados en el marco del análisis de impacto empresarial, lista de tareas con el detalle de las actividades específicas necesarias para garantizar la continuidad de los procesos esenciales mencionados.

(39) Material informático y de oficina, manuales.

(40) High-level principles for business continuity (Principios de alto nivel para la continuidad de las actividades), Comité de Supervisión Bancaria de Basilea, agosto de 2006, apartado 13.

(41) La DG-IS cuenta con un proceso de continuidad de las actividades separado que es objeto de una auditoría externa para verificar su conformidad con la norma ISO 20000, razón por la cual el plan de continuidad de las actividades de esta DG se excluyó del alcance de la fiscalización del Tribunal de 2010.

(42) High-level principles for business continuity (Principios de alto nivel para la continuidad de las actividades) Comité de Supervisión Bancaria de Basilea, agosto de 2006, principio 6.

(43) British Standard’s Code of Practice (Código de prácticas de las normas británicas) para la gestión de la continuidad de las actividades.

(44) «ECB Business Continuity Testing and Training Strategy» (Verificación de la continuidad de las actividades y estrategia de formación del BCE), Comité de riesgos operativos, 4 de marzo de 2008.

(45) Directriz sobre la continuidad de la actividad: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery (Enfoque práctico de preparación para emergencias, gestión de crisis y recuperación en caso de catástrofe); ASIS international; 2005; apartado 12.1.1.

(46) «ECB Business Continuity Testing and Training Strategy» (Verificación de la continuidad de las actividades y estrategia de formación), Comité de riesgos operativos, 4 de marzo de 2008.

(47) «Business Continuity Testing and Training Strategy» p. 315; «Business Practice Handbook», 26.1; «Business Continuity Framework» (intranet del BCE); documento sobre la política de gestión de la continuidad de las actividades.

(48) Informe de los resultados de la encuesta interna del BCE sobre el nivel de satisfacción de los usuarios de 2010 y 2009.

(49) Basilea, ERM COSO (Enterprise Risk Management Committee of Sponsoring Organizations, Comité para la gestión de riesgos empresariales de organizaciones patrocinadoras).

(50) Directriz del Banco Central Europeo de 20 de junio de 2008 sobre la gestión de los activos de la reserva de divisas del Banco Central Europeo por los bancos centrales nacionales y la documentación jurídica de las operaciones que implican a dichos activos (reformulación) (BCE/2008/5) (2008/596/CE).

(51) Directriz sobre GFP, julio de 2010, Directrices sobre inversión de fondos propios del BCE, septiembre de 2010.

(52) Directriz del Banco Central Europeo de 26 de septiembre de 2002 sobre las normas mínimas de conducta para el Banco Central Europeo y los bancos centrales al efectuar operaciones de política monetaria, operaciones de cambio en divisas con las reservas de divisas del BCE y gestionar los activos de la reserva de divisas del BCE (BCE/2002/6).

(53) Incluidas las reservas de oro.

(54) Cartera del Programa de compra de bonos garantizados y cartera del Programa para los mercados de valores.

(55) Aplicación utilizada para la gestión de las reservas de divisas y los fondos propios del BCE y para elaborar los valores de rendimiento.

(56) «Handbook of Financial Risk Management, Policies and procedures», marzo de 2008.

(57) Revisión periódica, o al menos anual de los incisos i) a v) por parte del Comité Ejecutivo o el Consejo de Gobierno.

(58) Decidida por el Consejo de Gobierno en el caso de las reservas de divisas y por el Comité Ejecutivo en el de los fondos propios sobre la base de las propuestas de la división de gestión de riesgos.

(59) Las normas GIPS (Normas internacionales sobre rendimientos de inversión) son un conjunto de principios éticos sectoriales normalizados, creados y administrados por el Instituto CFA (Chartered Financial Analyst), que facilitan orientaciones sobre la forma de calcular y comunicar resultados de inversiones. Tienen un carácter voluntario y se basan en los principios fundamentales de divulgación íntegra y representación fiable de los resultados del rendimiento de las inversiones.