El artículo 2.2.21.5.4 del Decreto 1083 de 2015 determina que las entidades públicas establecerán y aplicarán políticas de administración del riesgo, como parte integral del fortalecimiento de los sistemas de control interno. Para tal efecto, la identificación y análisis del riesgo debe ser un proceso permanente e interactivo entre la administración y las unidades de control interno o quien haga sus veces, evaluando aspectos, tanto internos como externos, que pueden llegar a representar amenaza para la consecución de los objetivos organizacionales, con miras a establecer acciones efectivas, representadas en actividades de control.
En este rol, las unidades u oficinas de control Interno, auditoría interna o quien haga sus veces, juegan un papel fundamental, a través de la asesoría, acompañamiento técnico y de evaluación y seguimiento a los diferentes pasos de la gestión del riesgo, que van desde la fijación de la política de administración de riesgo hasta la evaluación de la efectividad de los controles.
¿En qué consiste el rol de evaluación de la gestión del riesgo?
A través de este rol, las unidades u oficinas de control Interno, auditoría interna, o quien haga sus veces, deben proporcionar un aseguramiento objetivo a la Alta Dirección (línea estratégica) sobre el diseño y efectividad de las actividades de administración del riesgo en la entidad para ayudar a asegurar que los riesgos claves o estratégicos estén adecuadamente definidos, sean gestionados apropiadamente y que el sistema de control interno está siendo operado efectivamente.
En el desarrollo de este rol, las unidades deben brindar asesoría a los responsables y ejecutores de los procesos y proyectos (primera línea de defensa), respecto a metodologías y herramientas para la identificación, análisis y evaluación de riesgos, como complemento a la labor de acompañamiento que deben desarrollar las oficinas de planeación o comités de riesgos (segunda línea de defensa).
Así mismo, en el marco de la evaluación independiente deberán señalar aquellos aspectos que consideren una amenaza para el cumplimiento de los objetivos de los procesos, y por ende, los objetivos y metas institucionales. Así mismo, debe pronunciarse sobre la pertinencia y efectividad de los controles.
Principales aspectos de la evaluación del riesgo
La evaluación a la gestión del riesgo se lleva a cabo, entre otros, sobre los siguientes aspectos:
- Procesos de administración del riesgo, tanto en su diseño como en el funcionamiento.
- Administración de riesgos clasificados como “institucionales” (riesgos claves), incluyendo la efectividad de los controles.
- Evaluaciones y reportes anteriores sobre la gestión del riesgo y el estado de los controles.
- Solicitud expresa de la Alta Dirección frente al seguimiento de algún(os) riesgo(s) que impliquen algún tema de interés dentro de la gestión institucional.
Fuente: Función Pública, Dirección de Gestión y Desempeño, 2018
