Enfoque Basado en Riesgos

Vicepresidencia de Supervisión de Procesos Preventivos

Dirección General de Prevención de Operaciones

con Recursos de Procedencia Ilícita B

Metodología para la Evaluación de Riesgos de los Sujetos Supervisados:

▪ Proceso que debe permitirles entender cómo y hasta qué punto son vulnerables a los Riesgos,para asignar eficientemente sus recursos en materia de PLD/FT y aplicar procesos de gestiónde Riesgos adecuados a sus características propias.

▪ El Riesgo asociado a ciertos productos, servicios, Clientes o Usuarios no es el mismo para todoslos Sujetos Supervisados y diversos Indicadores como la frecuencia, el volumen de lasOperaciones, el carácter de las relaciones y el modo de interactuar con el Cliente o Usuario,deben tenerse en cuenta cuando el Sujeto Supervisado desarrolle su Metodología para laEvaluación de Riesgos. Considerando lo anterior, los Indicadores varían de un Sujeto Supervisadoa otro.

▪ Asimismo, la Metodología para la Evaluación de Riesgos debe permitirle al Sujeto Supervisadoidentificar y mitigar de manera oportuna las deficiencias en sus procedimientos. Cuando,derivado de la implementación de la Metodología para la Evaluación de Riesgos se detecte laexistencia de mayores o nuevos Riesgos para los propios Sujetos Supervisados, estos deberánmodificar las políticas, criterios, medidas y procedimientos que correspondan para mitigarlos.

Metodología para la Evaluación de Riesgos de los Sujetos Supervisados:

▪ Existen muchos métodos y formatos eficaces que se utilizan para llevar a cabo un análisis deRiesgos; por lo tanto, los inspectores no deben exigir el uso de un método o formato enparticular. El Sujeto Supervisado deberá decidir el método y los formatos adecuados, según superfil de Riesgo. Sin embargo, los inspectores deberán determinar si el Sujeto Supervisadohubiera tomado en cuenta para el desarrollo de su Metodología para la Evaluación de Riesgostodos los productos y servicios ofrecidos, tipo de Clientes o Usuarios con los que opera, países yáreas geográficas con las que tiene relación, así como transacciones y canales de envío y si fueadecuado el análisis detallado para dichos Elementos de Riesgo específicos.

▪ De igual forma, al examinar la Metodología para la Evaluación de Riesgos del SujetoSupervisado, los inspectores deben determinar si este ha desarrollado un análisis de riesgosadecuado que identifique los Riesgos significativos a los que está expuesto.

Metodología para la Evaluación de Riesgos de los Sujetos Supervisados:

¿Cuál es su objetivo? ¿Cuáles NO son su objetivo?

Conocer el grado de exposición al riesgo de una Entidad a que se pueda llegar a realizar una operación de LD o FT dado

el tipo de operación que maneja.

Conocer el impacto financiero sobre la Entidad cuando se presente una

operación de LD o FT dentro de la misma (Riesgo Operativo)

Cuantificar el impacto financiero de las multas potenciales en caso de

incumplimiento del marco legal PLD/FT (Riesgo Legal)

Enfoque Basado en Riesgos

El desarrollo de la Metodología para la Evaluación de Riesgos comprende tres fases:

Dentro de la fase de Diseño de la Metodología de Evaluación de Riesgos, sedeberán de establecer procesos para:

1.Identificar: Definir los elementos e indicadores específicos de la entidadque explican cómo y en qué medida está expuesta al riesgo de LD/FT (cadaelemento será medido por una serie de indicadores).

2.

Medir: Utilizar una metodología para la medición de los riesgos queestablezca una relación entre los indicadores referidos en el procesoanterior y asigne un peso a cada uno de ellos de manera consistente enfunción de su importancia para describir dichos riesgos.

3.Mitigar: Establecer los mitigantes necesarios en función del nivel de riesgoobservado a partir de los indicadores considerados en el primer proceso yel nivel de tolerancia al riesgo establecido por la entidad.

Fase I: Diseño

• Como primer paso, se deberá definir el universo de Elementos de Riesgo a considerar en laMetodología de Evaluación de Riesgos.

• Como segundo paso, se deberán establecer los Indicadores de riesgo, los cuales brinden unanálisis integral para cada uno de los elementos, así como las fuentes de información para suevaluación. Los Indicadores podrán ser de carácter cualitativo o cuantitativo y deberán reflejar losatributos que en su operación el Sujeto Supervisado considere propios de sus Elementos deRiesgo.

• Es muy importante recordar que la identificación de los Elementos e Indicadores de Riesgo, sedebe realizar dentro del contexto de la entidad en lo individual. Todas las entidades seencuentran inmersas en el contexto nacional, aunque éste afecta de manera distinta a cada una.De ahí la relevancia de que las entidades tomen en consideración los resultados de la EvaluaciónNacional de Riesgos (ENR) al momento de identificar los indicadores de riesgo que las impactan.

• A fin de utilizar de manera adecuada la Evaluación Nacional de Riesgos como fuente deinformación externa para la identificación de algunos indicadores específicos, es necesariopreguntarse si existe una relación directa y lógica de la información contenida en la ENR y lainformación sobre la operatividad del Sujeto Obligado

https://www.gob.mx/cms/uploads/attachment/file/165030/ENR.pdf

Identificación

De conformidad con las DCG, la Metodología deberá considerar, almenos, los siguientes Elementos de Riesgo:

Identificación

Productos y servicios

Cliente y/o Usuario

Países y áreas geográficas

Transacciones y canales de envío vinculados con las Operaciones de la Entidad, con sus Clientes y/o Usuarios

Las fuentes de información aconsiderar pueden ser externase internas, debiendo incluir latotalidad de los contratos,productos, servicios, prácticas,tecnologías, clientes yoperaciones realizadas por laEntidad, y podrán considerar,entre otros, el subconjunto deéstos relacionados conoperaciones inusuales, tipologías(nacionales e internacionales),guías emitidas por organismosinternacionales, ENR, etc.

• Implica la selección de un método exhaustivo para la mediciónde los riesgos de manera efectiva, que establezca una relación eimportancia relativa entre los Indicadores y el Elemento deriesgo al que pertenezca cada uno en función de su importancia.

• La entidad debe decidir el método o el formato adecuado paramedir los riesgos, según su perfil de riesgo (puede resultar útiluna matriz) y deberá ser lo suficientemente flexible parapermitir realizar ajustes cuando la operación del SujetoSupervisado así lo requiera.

Medición

• Para medir o evaluar los riesgos en materia de LD/FT, la entidad puedeasignar diversos rangos de calificación a cada Indicador, así como unpeso respecto de la evaluación de riesgo del Elemento al quepertenece. Este proceso consiste básicamente en dar un valorporcentual o numérico a la probabilidad de ocurrencia de los riesgos, ymedir el impacto con base a la representatividad del riesgo sobre latotalidad de los mismos.

• La decisión y elaboración del método exige la participación de la altadirección y/o gerencia de la entidad, del área administración deriesgos, del área de cumplimiento, de las unidades de negociooperativas y funcionales y de cualquier otra que se considereconveniente con el fin de fomentar un sistema integral de gestión deRiesgos.

Medición

• Consiste en identificar los controles, estructuras internas, medidas, criterios,políticas y procedimientos implementados por la Entidad, así como los recursos decumplimiento que contribuyen a administrar, controlar y disminuir la exposición alos Riesgos de LD/FT.

• Este proceso implica que la Entidad considere el 100% de los mitigantes que tengaestablecidos al momento de la evaluación y defina el efecto que cada uno de ellostendrá en la medición del riesgo de LD/FT.

• El efecto que los mitigantes tendrán sobre la calificación de riesgos del SujetoSupervisado deberán ser proporcionales, razonables y coherentes con el perfil deriesgo del mismo, considerando al menos si: i) el efecto del mitigante está siendoaplicado en el nivel adecuado de detalle de la metodología – Sujeto Supervisado,elemento o indicador – y ii) que se esté considerando la efectividad del mitigante yno solo la existencia del mismo en el Manual de PLD/FT, tomando en cuentaperiodicidad, automatización, etc.

Mitigantes

Mitigantes

Riesgo de Entidad

•Estructuras internas, capacitación, gobierno corporativo.

• -> Aplica a toda la Entidad

Elemento de Riesgo

•Políticas de Identificación del Clientes o Usuarios

• -> Sólo aplica a Clientes o Usuarios

Indicador de Riesgo

•Restricción de montos por operación para algún producto en particular

• -> Sólo aplica a ese producto

• El resultado de tomar en consideración el efecto de los mitigantes sobre el nivel deriesgos previamente identificados y medidos (riesgos inherentes) es el riesgoresidual de la entidad.

• Sin importar si el riesgo residual de la Entidad se encuentre o no fuera de los nivelesde tolerancia aceptables definidos por la misma, la entidad deberá tomar acciones,establecer nuevos controles, políticas o procedimientos o adaptar los ya existentesa fin de mitigar o administra al menos los riesgos identificados de mayor impacto.

• En este sentido, se espera que cada Entidad, con los resultados de laimplementación de la Metodología para la Evaluación de Riesgos, adapte su suManual de PLD/FT a fin de que sus políticas, criterios, medidas y procedimientossean razonables a fin de gestionar y mitigar los Riesgos a los que está expuesto. ->Todos los Manuales de PLD/FT deberán también ser un “traje hecho a la medida”

Mitigantes

II Fase: Implementación

• Es la segunda fase del desarrollo de la Metodología para la Evaluación de Riesgos, eimplica poner en funcionamiento la misma, lo cual dará como resultado conocer elgrado de exposición al Riesgo que cada Sujeto Supervisado tiene para cada uno de losElementos de Riesgo mencionados y para cada Indicador, una vez considerados losefectos de los Mitigantes existentes.

• Con dichos resultados, cada Sujeto Supervisado deberá identificar si existe la necesidadde implementar Mitigantes adicionales o realizar mejoras a los ya existentes a fin demantener el grado de exposición al Riesgo en niveles acordes al perfil de Riesgo quecada Sujeto Supervisado elige, lo cual forma parte de la aplicación de procesos degestión de Riesgos adecuados a sus características propias y de la mitigación oportunade las deficiencias en sus procedimientos.

• Cualquier modificación a las políticas, criterios, medidas y procedimientos del SujetoSupervisado derivado de los resultados de la implementación de la Metodología para laEvaluación de Riesgos deberá quedar documentado en el Manual de PLD/FT, además deser adoptados e implementados en la práctica, a fin de contar con una adecuadagestión de Riesgos.

II Fase: Implementación

• El Oficial de Cumplimiento o Representante de cada Sujeto Supervisado tendrá dentrode sus funciones y obligaciones el presentar al Comité la metodología elaborada eimplementada para llevar a cabo la evaluación de Riesgos, así como los resultados de suimplementación. A su vez, dicho Comité tendrá dentro de sus funciones y obligacionesel someter a la aprobación del consejo de administración o directivo del SujetoSupervisado, según corresponda, dicha metodología y sus resultados.

• Una vez concluida la implementación de la Metodología para la Evaluación de Riesgosdeberá verificarse si el resultado obtenido es el adecuado. Esta evaluación final será elinicio de la valoración.

III Fase: Valoración

• Es la tercera fase del desarrollo de la Metodología para la Evaluación de Riesgosque comprende una revisión de la eficiencia y eficacia de la misma y abre laposibilidad de realizar actualizaciones o modificaciones en el diseño. UnaMetodología para la Evaluación de Riesgos eficaz debe ser un proceso continuo, noun ejercicio que deba realizarse una sola vez.

• El Sujeto Supervisado deberá revisar la presencia y el funcionamiento de losdiferentes procesos de la administración del Riesgo a lo largo del tiempo, medianteactividades permanentes de monitoreo, evaluaciones independientes o unacombinación de ambas técnicas.

Comentarios finales

• Se deberán contar con un documento que describa todos los procesos llevadosacabo para la medición de los riesgos, además de una herramienta en la quedichos procesos se vean reflejados y aplicados. No es válido tener sólo uno deellos.

• La documentación de la Metodología de Evaluación de Riesgos debe contener unadescripción exhaustiva, clara y con una secuencia lógica de todos losprocedimientos realizados para llevar a cabo el diseño de su Metodología deEvaluación de Riesgos.

• El nivel de detalle del diseño de la Metodología de Evaluación de Riesgos debe serlo suficientemente exhaustiva y clara para poder replicar el proceso sin necesidadde información adicional.

• Además, deberá contener la descripción de los razonamientos lógicos utilizados enla elaboración de la Metodología de Evaluación de Riesgos, especialmente en loscasos en los que se hubiera utilizado el “Criterio Experto”.

Comentarios finales

• Para las entidades que formen parte de Grupos Financieros deberán tomar encuenta los resultados de la metodología que, en su caso, hayan implementado lasdemás entidades que integren el grupo correspondiente.

• Se deberá aplique la Metodología para la Evaluación de Riesgos con antelación allanzamiento o uso de nuevos productos, servicios, prácticas o tecnologías.

• La información utilizada para la implementación de la Metodología para laEvaluación de Riesgos deberá ser consistente con la que obre en sus sistemasautomatizados.

• La Metodología para la Evaluación de Riesgos y sus resultados deberán estar enconcordancia con los criterios o modelo de evaluación de Riesgos, segúncorresponda, mediante el cual la entidad lleva a cabo el proceso de clasificación delos Grados de Riesgos de sus Clientes o Usuarios.

• Se deberán establecer claramente en el Manual de PLD/FT los procedimientos ycriterios para la determinación de la apertura, limitación y/o terminación de unarelación comercial con Clientes o Usuarios y estos deberán ser congruente con laMetodología para la Evaluación de Riesgos.

Bibliografía recomendada

• Capítulo II Bis de las DCG.

• Guía EBR para el sector bancario, para servicios de transferencia de valor, etc.emitidas por el GAFI.

• Guía para la elaboración de una metodología de evaluación de riesgos en materiade PLD/FT emitida por la CNBV.

• Video Tutorial de EBR para sectores populares.

https://www.youtube.com/watch?v=Q7ErqHvrZjs

• Guía GAFI para la Elaboración de una Evaluación Nacional de Riesgos.

• 1ª Evaluación Nacional de Riesgos de LD/FT en México (versión ampliada y versiónfolleto).

• Tipologías UIF 2016 más otras tipologías internacionales.

• Lineamientos de inspección de la CNBV.

Enfoque Basado en Riesgos

Vicepresidencia de Supervisión de Procesos Preventivos

Dirección General de Prevención de Operaciones

con Recursos de Procedencia Ilícita B