Norma vigente
1. De conformidad con el artículo 22 de la Directiva 2006/48/CE (DRC), «las autoridades competentes del Estado miembro de origen exigirán que cada entidad de crédito disponga de sólidos procedimientos de gobierno corporativo, incluida una estructura organizativa clara, con líneas de responsabilidad bien definidas, transparentes y coherentes, así como procedimientos eficaces de identificación, gestión, control y comunicación de los riesgos a los que esté o pueda estar expuesta, junto con mecanismos adecuados de control interno, incluidos procedimientos administrativos y contables adecuados. Estos sistemas, procedimientos y mecanismos serán completos y proporcionales al carácter, escala y complejidad de las actividades de la entidad de crédito».
2. Como en cualquier tipo de negocio, disponer de mecanismos de gobierno corporativo y de sistemas de control interno adecuados es fundamental para la gestión de riesgos, para evitar la materialización de eventos de riesgo operacional en el contexto de las actividades de mercado y para reducir su impacto sobre la institución. Los eventos de riesgo operacional relacionados con el mercado se asocian con frecuencia a actividades de negociación fraudulentas, a operaciones no autorizadas o de apalancamiento, a instrumentos complejos, a nuevos productos, a riesgos de modelo y a un aumento rápido del número de operaciones. Algunas instituciones han centrado su atención en el riesgo de mercado y no han reconocido suficientemente la importancia de una gestión adecuada del riesgo operacional.
3. La experiencia reciente y del pasado demuestra que cuando las instituciones no se adhieren a unos principios básicos de buen gobierno corporativo, la severidad de eventos de riesgo operacional en las actividades de mercado puede ser muy alta, poniendo en peligro los beneficios de la institución, la existencia de un área de negocio determinada o incluso la existencia de toda la institución.
4. En este contexto, los principios de alto nivel sobre gobierno corporativo que figuran en la sección 2 del documento titulado «Guías relativas al proceso de revisión y evaluación supervisora en el marco del Pilar 2» (documento del CEBS publicado en enero de 2006), los «Principios de alto nivel para la gestión de riesgos» (documento del CEBS publicado en febrero de 2010) y los «Principios de alto nivel para las políticas de remuneración» (documento del CEBS publicado en abril de 2009), son las principales herramientas de referencia que las instituciones deberían considerar a nivel general para la gestión y el control de riesgos, incluida la prevención y la mitigación del riesgo operacional en las actividades de mercado.
5. El objetivo de este documento es complementar el marco de guías de alto nivel con principios y medidas de implantación más específicos con el fin de identificar, evaluar, controlar y realizar un seguimiento de los riesgos operacionales en las actividades de mercado.
6. En particular, este documento tiene por objeto presentar las expectativas de los supervisores en relación con los procedimientos, mecanismos y sistemas específicos de áreas de negociación que podrían evitar eventos de riesgo operacional o mitigar sus efectos. Este objetivo se aborda desde tres ángulos diferentes, descritos en las siguientes secciones: mecanismos de gobierno corporativo (Sección 2), controles internos (Sección 3) y sistemas de información de gestión (Sección 4).
7. Las personas, los procesos, los sistemas y los acontecimientos externos son factores generadores de riesgo operacional. Los esfuerzos y las acciones de la dirección encaminadas a evitar o mitigar el riesgo operacional en las actividades de mercado están dirigidos a estos factores de riesgo, que al mismo tiempo se utilizan para gestionar posiciones con riesgo de mercado. Como consecuencia de esta interconectividad, puede considerarse que algunos principios también son aplicables a la gestión del riesgo de mercado o incluso del riesgo de crédito.
8. No obstante, en este documento, la atención se centra en la gestión del riesgo operacional en las actividades de mercado, y no pretende cubrir la gestión de otros tipos de riesgo que suelen caracterizar a este tipo de actividad. El documento «Guidelines on the Scope of Operational Risk and Operational Risk Loss» (publicado por el CEBS en septiembre de 2009, denominado el «Compendio»), que incluye guías detalladas sobre los límites entre el riesgo operacional y el riesgo de mercado, puede ayudar a aclarar cuestiones relacionadas con el riesgo operacional en las actividades de mercado, incluido el alcance de las pérdidas por riesgo operacional y, por tanto, delimitar mejor el ámbito de este documento.
9. En términos más generales, las instituciones deben gestionar adecuadamente todos los riesgos. En consecuencia, en ocasiones, la gestión del riesgo operacional está a cargo de empleados de las unidades de negocio, mientras que la responsabilidad de la implantación de un marco apropiado de gestión de este tipo de riesgo recae en el órgano de dirección o en las funciones de control y apoyo (véase el apartado 12), en particular, en la función independiente de gestión del riesgo operacional.
10. Aunque esta guía es importante para todas las instituciones, el principio de proporcionalidad debería tenerse en cuenta en su aplicación. En consecuencia, el grado de sofisticación de los mecanismos degobierno corporativo, de los controles internos y de los sistemas de información para la gestión del riesgo operacional en las actividades de mercado debería ser proporcional a la complejidad y la magnitud de estas actividades en cada institución.
11. El CEBS espera que sus miembros implanten la guía sobre la gestión del riesgo operacional en las actividades de mercado para el 30 de junio de 2011, y es consciente de que su implantación conllevará no solo la modificación de las guías nacionales, sino también de los procesos supervisores.
Principio 1. El órgano de dirección debería conocer los riesgos operacionales, efectivos o potenciales, que afecten a las actividades de mercado. Asimismo, debería desarrollar y mantener una estructura organizativa, unos controles internos y un sistema de información de gestión adecuados para identificar, evaluar, controlar y realizar un seguimiento de los riesgos operacionales en las actividades de mercado.
12. De acuerdo con el apartado 602 del documento GL10 del CEBS, el órgano de dirección podrá establecer, en su caso, comités específicos y delegar en ellos determinados aspectos del marco de gestión del riesgo operacional en las actividades de mercado. Estos comités deberían:
- disponer de los recursos humanos y material necesarios para llevar a cabo las tareas requeridas. En particular, el personal de las «funciones de control y apoyo» (véase el apartado 13) debería ser fundamental en estos comités, ya sea por su número de representantes o por sus funciones en el comité, de forma que puedan examinar y poner en cuestión de manera efectiva las actividades del front office;
- tener un ámbito de actuación amplio que les permita considerar todas las cuestiones que sean pertinentes para asegurar la eficacia de la gestión de los riesgos operacionales en las actividades de mercado. Este ámbito de actuación debería incluir la evaluación de las políticas de la institución relativas a la contratación de personal, la asignación de tareas, los códigos éticos y la remuneración, incluidas las primas (bonus);
−tener acceso a las salidas obtenidas de los sistemas de información de gestión y de control interno, incluidas las alertas comunicadas a las autoridades de supervisión; y
- asumir la responsabilidad de respaldar al órgano de dirección en sus decisiones sobrela identificación, la evaluación, el control y el seguimiento del riesgo operacional.
13. La estructura organizativa debería establecer una separación adecuada de tareas entre el front office y las funciones de apoyo, verificación y seguimiento de las transacciones (por ejemplo, de operaciones, liquidaciones, cuestiones jurídicas, financiación, control del riesgo, cumplimiento y auditoría interna y externa, en lo sucesivo, «funciones de control y apoyo»). Las instituciones deberían considerar si una separación física adecuada de las funciones facilitaría la implantación de normas relativas a la separación de tareas (por ejemplo, el personal del front office no debería tener acceso físico a los sistemas informáticos, las impresoras y la documentación del back office en ausencia del personal de esta última sala). Las tareas deberían asignarse adecuadamente a las funciones de control y apoyo así como individualmente a los empleados. Debe asegurarse que, durante el proceso de gestión de operaciones, las actividades que puedan dar lugar a conflictos de intereses sean llevadas a cabo por personas distintas.
14. Las instituciones deberían considerar detenidamente la forma en que están organizadas las funciones de control y apoyo en relación con las áreas que supervisan y controlan. En caso de que las funciones de control y apoyo estén fragmentadas entre varias unidades, esta situación debería compensarse adecuadamente con el fin de asegurar que los controles son eficaces y transparentes y cubren todas las actividades significativas. Las instituciones deberían considerar que:
- la integración o cooperación entre las funciones de control y apoyo , en particular entre el control financiaciero y de riesgos, puede aumentar el nivel de vigilancia y control de las actividades de negociación y contribuir a obtener una perspectiva integral de estas actividades;
- una excesiva alineación de intereses entre las funciones de control y apoyo y las distintas líneas de negocio, puede llevar a prácticas cuestionables (por ejemplo, en las áreas de procesamiento de confirmaciones y de ajuste y reposición de márgenes) que podrían abordarse mejor si se encomiendan a una unidad más amplia. No obstante, las instituciones deben asignar y formalizar las responsabilidades de estos últimos de manera que aseguren que se evitan carencias en el sistema de control. Deberían llevarse a cabo las comprobaciones adecuadas (por ejemplo, por el departamento de auditoría interna), con el fin de garantizar que las distintas funciones de control y apoyo cubren todas las actividades importantes y que se han implantado procesos eficaces; y
- una organización correcta de los procesos postnegociación más importantes, principalmente en las áreas del back office y de contabilidad, es esencial para implantar los controles adecuados.
Principio 2. El órgano de dirección debería promover, especialmente en el front office, una cultura diseñada para mitigar los riesgos operacionales en las actividades de mercado.
15. Deberían promoverse altos estándares profesionales y una cultura de riesgos adecuada, especialmente en la sala de operaciones, de forma que favorezcan un comportamiento profesional y responsable. Esto debería incluir, sin carácter de exhaustividad, el desarrollo y la implantación de políticas y procedimientos apropiados que establezcan estándares (con frecuencia en forma de «código de conducta») para las relaciones entre operadores y sus contrapartes, y procedimientos de formación.
16. Se deberían desarrollar, implantar y seguir periódicamente unas políticas y procedimientos adecuados relativos a la obligatoriedad de las vacaciones, y la regulación de los movimientos de personal, en particular:
− una política que establezca un requisito de ausencia mínima de al menos dos semanas consecutivas para los operadores (a través de vacaciones, ya sean individuales por operador o para todos los operadores de una misma mesa, u otras ausencias obligatorias, ya sea físicamente fuera de la oficina o sin posibilidades de operar, incluyendo la prohibición de utilizar dispositivos móviles para acceder a los sistemas de negociación) constituye una buena práctica, de forma que los operadores no puedan actualizar o valorar sus propias carteras físicamente, recayendo necesariamente esta responsabilidad en otra persona durante estos períodos,
− se debería realizar un seguimiento adecuado de los empleados que cambien de puesto de trabajo entre el front, el middle y el back office o el departamento de sistemas de información. Los riesgos potenciales derivados de un cambio de puesto de trabajo, especialmente si se produce dentro de la misma actividad o línea de producto, deberían compensarse con procedimientos de control apropiados.
Principio 3. La alta dirección debería asegurar que las personas que la integran, así como el personal de las funciones de control y apoyo, disponen de los conocimientos, las capacidades, la autoridad y los incentivos adecuados para cuestionar adecuadamente las actividades de los operadores.
17. La alta dirección necesita adquirir, mantener y profundizar en los conocimientos y capacidades necesarios para cumplir sus responsabilidades. Esto incluye conocer bien los riesgos operacionales potenciales y efectivos en las actividades de mercado, incluidas las exposiciones al riesgo operacional en el front office, en los procesos de liquidación y en nuevos productos y procesos.
18. Para respaldar la implantación efectiva de procesos y procedimientos de control, el personal de las funciones de control y apoyo debería estar adecuadamente cualificado. Esto incluye la aplicación de unas políticas de contratación adecuadas y medidas para conservar al personal cualificado en las funciones de control, así como proporcionar una formación apropiada.
19. Debería considerarse la posibilidad de introducir mecanismos de incentivos a nivel de las funciones de control y apoyo para recompensar el correcto desempeño de dichas funciones. Los empleados que realicen funciones de control son independientes de las unidades de negocio que supervisan y, por consiguiente, deberían ser compensados en función de la consecución de los objetivos vinculados a sus funciones, con independencia de los resultados de las áreas de negocio que controlen.
Principio 4. El riesgo operacional debería tenerse en cuenta al fijar y al evaluar el desempeño de un empleado o de una unidad de negocio en actividades de mercado.
20. Las instituciones deberían encontrar el equilibrio adecuado entre los factores de rentabilidad y la cultura del riesgo operacional o tolerancia al riesgo en los diversos niveles jerárquicos, empezando por el front office.
21. Por ejemplo, las instituciones pueden fijar objetivos para directivos y para operadores o unidades de negocio en términos de un nivel máximo aceptable de riesgo operacional y/o teniendo en cuenta el nivel de este riesgo en la asignación de su remuneración variable. Esto podría efectuarse considerando las pérdidas por riesgo operacional observadas o fijando límites a este riesgo a partir de indicadores clave del riesgo, cuadros de mando, niveles de alerta, etc. Los objetivos y límites deberían ser acordes con la estrategia de riesgo y el apetito general por elmismo.
Principio 5. Un comportamiento proactivo frente a actuaciones que se consideren fraude o a conductas sospechosas en las actividades de mercado debería ser un aspecto clave de los controles internos y de los sistemas de información.
22. Las instituciones deberían analizar las posibles fuentes de fraude y definir medidas para luchar contra el fraude teniendo en cuenta la exposición al mismo resultante de sus actividades de mercado. En función de la magnitud y del tipo de exposición al fraude en las citadas actividades, algunas de estas medidas podrían formar parte de los procesos de control diarios en el área de mercado, mientras que otras podrán aplicarse con menos frecuencia pero, en cualquier caso, de forma periódica.
23. Los siguientes ejemplos de detección y prevención del fraude y de actividades sospechosas relacionadas con actividades de mercado podrían ser válidos y aplicables a cualquier negocio de una institución:
- utilización de escenarios para conocer mejor cómo podría producirse un fraude en diversos niveles de la organización y la capacidad de la institución para detectar y gestionar actividades fraudulentas internas y externas;
- revisión y análisis periódicos de incidentes de fraude, por ejemplo, mediante la utilización de un proceso basado en lecciones aprendidas para analizar actividades fraudulentas (por ejemplo, violación de contraseñas, otros problemas de seguridad informática, incumplimiento de límites) y la implantación de medidas para reducir la posibilidad de que vuelvan a producirse;
- establecimiento de un marco que permita someter a prueba las intrusiones fraudulentas en la infraestructura de la institución, incluido el uso indebido de contraseñas y de perfiles de usuarios, y la elaboración de documentos ficticios o carteras de posiciones ficticias;
- un programa específico para identificar el riesgo de fraude y elaborar un inventario de riesgos de fraude que pueda formar parte del marco integrado de gestión de riesgos y sea coherente con el método de evaluación del riesgo utilizado para el riesgo operacional;
- medidas para mejorar la concienciación del personal sobre el fraude;
- una definición adecuada de los derechos de acceso y una infraestructura que proteja apropiadamente de injerencias indebidas en los datos utilizados en los procesos postnegociación (por ejemplo, mediante la separación física o lógica de la infraestructura usada en los procesos de negociación y postnegociación), y
- el establecimiento de mecanismos de activación para revisar las exposiciones al riesgo operacional, incluidos sistemas de alerta/alarma integrados y eficaces que permitan a la dirección identificar y responder oportunamente a cualquier actividad fraudulenta o sospechosa. Concretamente, deberían estar cubiertos los procesos, las líneas de negocio y las líneas de producto sensibles.
24. Debería disponerse de procesos de comunicación escalonada de la información para informar al nivel adecuado de la dirección sobre incidentes que superen los niveles predeterminados de tolerancia al riesgo o que reúnan ciertas características, incluidos los que tengan su origen en casos reales de fraude o en actividades sospechosas.
25. La autoridad supervisora debería ser informada de casos de fraude o de actividades sospechosas que excedan un umbral determinado o que reúnan ciertas características (utilizando, por ejemplo, las plantillas ad hoc que exija la autoridad supervisora o adoptando los estados COREP donde se hayan introducido).
Principio 6. Los operadores deberían iniciar operaciones solo cuando estas cumplan los criterios de referencia fijados. Deberían observarse estándares mínimos para iniciar y concluir transacciones.
26. La existencia de unos criterios de referencia adecuados que describan la actividad de cada operador o grupo de operadores es un requisito esencial para la gestión correcta de las operaciones de mercado. Estos criterios proporcionan a todas las partes involucradas ―operadores, directivos de todos los niveles y funciones de control y apoyo― los medios para verificar que las características, los volúmenes y la magnitud total de las operaciones que realice cada operador o grupo de operadores se encuentran dentro de los límites y de la estrategia definida por la dirección de la institución.
27. Uno de los objetivos de un marco de negociación autorizado para el front office debería ser la formalización de normas para operadores que les permita asegurarse de que trabajan en un marco claro. Entre los ejemplos del contenido de este marco se encuentran listas de productos autorizados, límites al riesgo de mercado y responsabilidades específicas (por ejemplo, directrices de vigilancia para los jefes de la sala). Debería disponerse de un proceso de de comunicación escalonada de la información y cuestionamiento adecuado para investigar cualquier incumplimiento de las actividades o los límites permitidos.
28. Las operaciones que no sean acordes con las condiciones de mercado (por ejemplo, operaciones concluidas con renovaciones de tipos históricos) deberían limitarse, en general, en lo que se refiere al número y al valor nominal, y cumplir las normas internas que rigen el tipo, la magnitud y la estructura de las operaciones, así como las características de las contrapartes y la comunicación con las mismas. La desviación con respecto a las condiciones de mercado debería ser claramente evidente a partir de la documentación y notificarse a las funciones de control y apoyo pertinentes y, en caso necesario, a la alta dirección.
29. Los criterios de referencia y los estándares mínimos para iniciar y ejecutar operaciones deberían ser objeto de un estricto seguimiento por parte de las funciones de control. En particular, inmediatamente después de concluir las operaciones, los datos y la documentación relevantes deberían entregarse a las funciones de control y apoyo para su correcta verificación, confirmación, liquidación y conciliación.
30. Las conversaciones de los operadores relacionadas con las transacciones deberían grabarse, y las grabaciones deberían conservarse durante un plazo adecuado.
Principio 7. Los requisitos sobre documentación relativa a las actividades de negociación deberían definirse adecuadamente. Las incertidumbres jurídicas deberían reducirse al mínimo para que pueda exigirse el cumplimiento de los contratos en la medida de lo posible.
31. Las instituciones deberían establecer sus requisitos sobre documentación antes de la negociación. En concreto, si una contraparte necesita requisitos especiales, ya sea por actividades de pagos a terceros o por labores de intermediación complejas que incluyen apoyo logístico, financiación y otros servicios (prime brokerage), estos requisitos deberían acordarse y documentarse antes de la negociación en la medida en que sea factible.
32. En caso de que se utilice un acuerdo marco con una contraparte, dicho acuerdo debería incluir, en la medida de lo posible, disposiciones jurídicamente vinculantes para las liquidaciones por compensación exigible anticipadamente (close-out netting) y los neteos en la liquidación (settlement netting).
Principio 8. Por norma general, las operaciones deberían iniciarse y concluirse en la sala de operaciones y dentro del horario de negociación.
33. La negociación fuera de las instalaciones de la institución (por ejemplo, utilizando dispositivos móviles) únicamente debería permitirse en virtud de normas internas que especifiquen, en particular, quienes son las personas autorizadas, el ámbito de negociación permitido y el registro de las operaciones. Estas normas deberían considerar los riesgos operacionales derivados de la negociación fuera de las instalaciones. Las operaciones deberían identificarse y comunicarse a la mayor brevedad posible para ser revisadas por las funciones de control pertinentes.
34. Las operaciones concluidas con posterioridad a la hora límite de liquidación (operaciones fuera del horario de negociación) deberían señalarse como tales e incluirse en las posiciones de ese día (incluida la liquidación posterior) si generan cambios sustanciales. Los datos y la documentación de transacciones relacionadas con operaciones fuera del horario de negociación deberían comunicarse de inmediato a las funciones de control pertinentes.
Principio 9. Todas las posiciones, flujos de caja y cálculos relevantes asociados a una operación (por ejemplo, posiciones, pérdidas y ganancias y flujos de caja contingentes de la cartera de negociación) deberían registrarse claramente en los sistemas informáticos de la institución con un rastro auditable.
35. Los rastros de auditoría son fundamentales para los controles postnegociación de la institución, que deberían ser efectuados periódicamente por las funciones de control y apoyo (por ejemplo, los gestores de riesgo operacional, el departamento de control de riesgos, el departamento de financiación, los auditores internos o externos), y la conciliación de operaciones. De igual modo, la contabilidad de las operaciones y de los flujos de efectivo exige un estricto seguimiento y controles internos.
36. El rastro de auditoría debería permitir hacer un seguimiento de los flujos de caja en sentido tanto ascendente como descendente con un nivel de detalle suficiente (por ejemplo, operadores, registros, productos y carteras).
37. Lo ideal sería que el rastro auditable comience con el operador que inició la transacción y continúe hasta llegar a la contraparte que haya recibido o pagado la operación. No obstante, puede que no sea necesario un rastro auditable automático de principio a fin (que corresponde a un rastro auditable fácilmente accesible de forma automática), siempre que éste documente adecuadamente los datos de entrada y modificación de datos relacionados con operaciones (incluida la liquidación), posiciones, valoraciones y otros aspectos relevantes, y asegure que el rastro auditable completo (incluido el responsable o los operadores) puede obtenerse cuando se solicite o en un período de tiempo razonable.
Principio 10. Las instituciones deberían asegurarse de que disponen de un marco de control adecuado de las relaciones entre los operadores y sus contrapartes en el mercado.
38. Las instituciones deberían definir e implantar controles y procedimientos adecuados que abarquen desde el comienzo de la relación hasta el control y el seguimiento diarios de los operadores y las contrapartes asociadas, así como las operaciones internas, las carteras «durmientes» (es decir, carteras que ya no son objeto de seguimiento por el front office) y contrapartes transitorias (que están pendientes de asignación).
39. También debería considerarse la relación y la conexión entre clientes profesionales o contrapartes admisibles y el personal del front office. Las instituciones deberían realizar un seguimiento de estas relaciones [incluido el cumplimiento de las normas y de un «código de conducta» (como se indica en el apartado 15), por ejemplo, mediante un seguimiento de los pagos sin contraprestación, o de cualesquiera otros pagos importantes efectuados o recibidos fuera del ámbito del acuerdo contractual] y de la manera en que el front office trata los eventos de riesgo operacional. En particular, el hecho de que la relación sea gestionada por el front office puede implicar que las instituciones no reaccionen con la vigilancia y la diligencia necesarias ante la llegada de alertas procedentes, por ejemplo, del middle y back office de sus contrapartes. La gestión de las cuestiones relacionadas con los precios, las cuestiones jurídicas y las consultas sobre operaciones y liquidación, así como las relativas a reclamaciones y errores, deberían dirigirse a las funciones de control y apoyo y ser responsabilidad de dichas funciones, o bien de personal especializado independiente de la función de negociación bajo la supervisión de la función de control.
Principio 11. Los procesos de confirmación, liquidación y conciliación deberían estar adecuadamente diseñados y ejecutarse correctamente.
40. Los procesos de confirmación, liquidación y conciliación deberían definirse para evitar carencias y deficiencias, y ayudar a identificar y resolver interrupciones. La adecuación de estos procesos debería evaluarse periódicamente.
41. Las funciones de control y apoyo deberían seguir siendo responsables de los procesos de confirmación, liquidación y conciliación. Al llevar a cabo las actividades de control pertinentes, estas funciones podrían solicitar información complementaria al front office (por ejemplo, para aclarar cuestiones y para obtener datos o información adicionales).
42. Las instituciones deberían disponer de un proceso riguroso y fiable para confirmar las condiciones y los términos de las operaciones con contrapartes externas sin demora y sin ambigüedades, con el fin de evitar la acumulación de operaciones no conciliadas que constituyan una fuente de riesgo importante. Esto puede incluir sistemas de conciliación automática si proporcionan el mismo nivel de confianza.
43. En los casos en los que estén pendientes los procesos de cumplimentación de toda la documentación y de confirmación, debería considerarse la utilización de procesos de reconfirmación para evitar los riesgos operacionales, en particular el riesgo de fraude, demostrando la existencia de la transacción (por ejemplo, mediante reconfirmaciones telefónicas adicionales entre las funciones de control y apoyo de las instituciones que participen en la operación). Las transacciones no reconfirmadas y no confirmadas deberían comunicarse adecuadamente.
44. Como principio general, las confirmaciones deberían intercambiarse con las funciones de control y/o apoyo pertinentes de las contrapartes y verificar su correspondencia con todas las operaciones de mercado, incluidas las que se vayan a compensar y las realizadas a través de dispositivos de terceros, como las plataformas de Reuters, las fichas de operaciones de EBS y las operaciones basadas en notificaciones de intermediarios (voice brokers). Las excepciones a este principio solo deberían ser posibles en casos extraordinarios (por ejemplo, con determinadas contrapartes o para operaciones específicas) y, en cualquier caso, deberían establecerse con claridad, estar plenamente documentados, y ser comunicados y valorados correctamente por las funciones de control.
45. Deberían definirse e implantarse procesos y procedimientos adecuados para la liquidación de operaciones, con el fin de mitigar con eficacia los riesgos operacionales inherentes a tales actividades. A tal fin, las instituciones pueden considerar el uso de los siguientes elementos, entre otros:
- autorización de datos de entrada por parte del back office;
- realización de pagos/liquidaciones con documentos independientes;
- conciliación entre los sistemas del front y back office; y
- procedimientos de conciliación independientes de las funciones de procesamiento.
46. Los controles deberían incluir la conciliación diaria de posiciones y de flujos de caja conocidos en los propios sistemas (front office, riesgos, liquidación y libros contables) y con contrapartes externas. Estas conciliaciones deberían incluir todos los eventos relacionados con las operaciones, incluidas modificaciones, cancelaciones, ejercicios, reajustes y expiración de plazos.
47. Las operaciones internas (véase la nota a pie de página 10) deberían estar sujetas a determinadas condiciones y controles, de modo que se genere el mismo nivel de confianza que el existente para operaciones con contrapartes externas. En particular, ambas partes de las operaciones deberían conciliarse diariamente en sus principales atributos, siempre que no estén sujetas a ajustes de márgenes o a la liquidación física.
48. En el caso de operaciones en mercados no organizados (OTC), debería prestarse especial atención a los siguientes puntos:
- la utilización de contratos tan estandarizados como sea posible, por ejemplo utilizando modelos de contrato elaborados por asociaciones del sector;
- la disponibilidad de un proceso específico, propio de cada institución, que dé lugar a la intervención de la unidad adecuada fuera del front office si las cláusulas de un contrato se apartan de las cláusulas del modelo de contrato o si se utilizan modelos de contrato no modificados para operaciones a medida;
- una función dotada con el personal adecuado para verificar que los contratos cumplen las condiciones negociadas originalmente y que dichas condiciones se han redactado y firmado. Cualquier cambio, cancelación o reacción de la contraparte debería dar lugar a un proceso de revisión apropiado. Esto afecta principalmente a novaciones que impliquen la intervención de terceros que no eran parte del contrato original;
- la conservación segura de documentación (por ejemplo, mediante el uso de un registro central de operaciones que guarde una copia de cada contrato con el fin de acreditar su autenticidad en caso de litigio);
- el análisis frecuente del número y la duración de las operaciones fallidas, modificadas y canceladas, y el establecimiento de un proceso que asegure que las operaciones se confirman en un plazo de tiempo adecuado. Deberían tomarse específicamente en consideración determinadas operaciones OTC no confirmadas con características que planteen riesgos mayores (como operaciones OTC sin flujo de caja a corto plazo con una contraparte con la que no haya acuerdos sobre la utilización de garantías);
- la comunicación de una lista exhaustiva de operaciones en las que se haya producido un fallo en la liquidación, adaptada a las actividades de la institución, con sistemas de alerta que informen a las funciones de control y apoyo pertinentes sobre las personas que hayan participado directamente en las operaciones; y
- la comunicación a la función de control correspondiente de cualquier anomalía y de eventos de riesgo operacional que se hayan descubierto en las operaciones OTC, con independencia de si han tenido su origen en la institución o proceden de partes/proveedores externos.
Principio 12. Las instituciones deberían asegurar que sus procesos de ajuste de márgenes funcionan correctamente y que cualquier cambio se concilia con las posiciones correspondientes en sus carteras.
49. Las posiciones relevantes requieren ajustes considerables de los márgenes o de las garantías. Por tanto, las instituciones deberían conciliar los ajustes de los márgenes y los de las garantías para contribuir a asegurar que los ajustes de los márgenes y las posiciones de la cartera son correctos. Las instituciones deberían implantar controles apropiados, incluidos procedimientos de alerta, para asegurar que las garantías y los riesgos de contraparte garantizados son objeto de adecuado seguimiento. Cuando se identifique una anomalía, las instituciones deberían poder seguir el asunto hasta llegar a la operación y al operador.
50. En la medida de lo posible, las instituciones deberían disponer de sistemas de medición de consumo de crédito en tiempo real que sean capaces de calcular las líneas de crédito disponibles y de establecer el consumo cuando se contrate alguna operación. Las instituciones tienen que estar capacitadas para realizar una agregación de las exposiciones de todas las mesas de operaciones y reflejar correctamente el efecto del netting de operaciones.
51. En el contexto de la negociación con derivados, los cambios importantes en las posiciones suelen llevarse a cabo a través de productos cotizados o de contratos OTC colateralizados. Cualquier incoherencia significativa entre los importes y/o la dirección de la valoración a mercado de los derivados OTC y la reposición de garantías puede, por lo tanto, ser una señal de una gestión o un mantenimiento inadecuados de la cartera de operaciones. Es necesaria una estrecha labor de coordinación entre la función de control (responsable de determinar las pérdidas y ganancias y de la verificación independiente de los precios) y la función de gestión de las garantías.
Principio 13. Las fuentes de riesgo operacional en las actividades de mercado deberían identificarse correctamente y ser objeto de seguimiento con un nivel adecuado de vigilancia, intensidad y oportunidad.
52. Las instituciones deberían conocer cuales son los aspectos que llevan a las pérdidas y ganancias que se generan en el área de tesorería. Las pérdidas y ganancias deberían ser plausibles en el contexto de los objetivos asignados al área de tesorería y la evolución del mercado. Las inverosimilitudes importantes que se pongan en evidencia en las pérdidas y ganancias deberían analizarse para comprobar si han sido causadas por eventos de riesgo operacional. En particular, el seguimiento de anomalías como cancelaciones, modificaciones, operaciones fuera del horario de negociación o fuera de mercado, debería integrarse en los procesos diarios y mensuales de examen de las pérdidas y ganancias. Las modificaciones importantes de operaciones deberían comunicarse a las funciones de control del riesgo de mercado y/o del riesgo de crédito. La asignación de pérdidas y ganancias es una herramienta de control clave para entender el riesgo de una operación, especialmente cuando se negocian productos más complejos o riesgos de base. Además, las instituciones deberían velar por que los movimientos relevantes en pérdidas y ganancias, así como los importes elevados de pérdidas y ganancias, se analicen adecuadamente desde el primer día, incluidas las que se hayan cancelado o modificado.
53. Las operaciones inusuales y reseñables, las anomalías en los procesos de confirmación y conciliación, los errores que se produzcan en el registro, el procesamiento y la liquidación de operaciones, junto con las cancelaciones, modificaciones, operaciones fuera del horario de negociación y fuera de mercado, deberían ser objeto de seguimiento con un nivel de detalle suficiente por parte de las funciones de control y apoyo pertinentes, y comunicarse a los niveles jerárquicos apropiados. Los procedimientos de seguimiento y su eficacia deberían revisarse periódicamente.
54. La utilización de cuentas técnicas (por ejemplo, cuentas transitorias) debería ser analizada y conocida por el middle y back office, e investigarse cuando el front office las utilice de manera inadecuada. Cualquier actividad sospechosa en estas cuentas debe comunicarse escalonadamente a la alta dirección, que actuará en consecuencia.
55. Además, las instituciones deberían examinar las cuentas sensibles (por ejemplo, cuentas de transición) e implantar controles apropiados para asegurar que son objeto de un seguimiento adecuado. Las instituciones deberían determinar cuál es la frecuencia conveniente del seguimiento de las actividades de mercado, dependiendo del objetivo del seguimiento (por ejemplo, operadores o grupos de operadores, registros, productos, carteras y procesos) y de su perfil de riesgo.
56. Para que los controles tengan un efecto disuasorio y permitan la pronta adopción de medidas correctivas, el seguimiento debería realizarse, en todos los casos, con la frecuencia necesaria para detectar actividades inadecuadas o un comportamiento anómalo a la mayor brevedad posible. La introducción únicamente de controles mensuales de operaciones de tesorería (por ejemplo, asignación de costes de financiación, conciliaciones de operaciones internas y entre empresas relacionadas, control y comunicación de cuentas de transición) puede llevar a demoras indebidas en la detección de anomalías.
Principio 14. El valor nominal de las operaciones/posiciones debería controlarse estrictamente para realizar un seguimiento de los riesgos operacionales y de contraparte mediante la definición de límites adecuados y/o la participación en iniciativas para la novación de contratos.
57. Los controles tradicionales de las operaciones/posiciones netas con riesgo de mercado (por ejemplo, límites en los importes netos fijados a nivel de operadores, registros, productos y carteras) deberían complementarse con el sometimiento a control de los valores nominales de las operaciones/posiciones cuando sea necesario, dado que las cifras netas no identifican necesariamente los riesgos operacionales o los riesgos de contraparte que subyacen a dichas operaciones/posiciones. Estos controles podrían incluir procedimientos de alerta, vigilancia de volúmenes elevados de operaciones o actividades de negociación inusuales, así como controles basados en volúmenes o en límites. Las excepciones a este principio únicamente son posibles en casos extraordinarios y, en cualquier caso, deben establecerse con claridad, estar plenamente documentados y ser valorados correctamente por las funciones de control.
58. Con independencia de la naturaleza de la operación (es decir, interna o externa), deberían fijarse límites adecuados a los valores nominales acumulados de las operaciones/posiciones con el nivel de detalle requerido (esto es, a nivel de operadores, registros, productos y carteras), así como actualizarse cuando sea necesario y revisarse periódicamente. Las funciones de control y apoyo deberían realizar un seguimiento del cumplimiento de los límites por el front office.
59. En algunas jurisdicciones, la participación en mecanismos para la novación o «anulación» de contratos puede ser de utilidad para reducir la posición nocional y la exposición a los riesgos operacional y de contraparte de la institución sin modificar sustancialmente su posición de riesgo de mercado.
Principio 15. Los sistemas de información del área de negociación deberían diseñarse, implantarse y mantenerse adecuadamente con el fin de asegurar un nivel elevado de protección en las actividades de mercado.
60. En general, el acceso a la información proveniente de los sistemas debería controlarse mediante un procedimiento que haya sido aprobado formalmente por la alta dirección. Este procedimiento debería incluir revisiones periódicas de los requisitos de acceso, y debería actualizarse con la frecuencia necesaria para incorporar las mejorasque se introduzcan en los sistemas de información que utilice la institución. El cumplimiento de estas normas debería garantizar que las funciones encomendadas se ajustan al acceso autorizado, así como impedir el acceso a los sistemas de información con fines fraudulentos.
61. El nivel de seguridad de estos sistemas debería someterse a prueba y ser objeto de seguimiento periódicamente con el fin de impedir el acceso no autorizado.
Principio 16. El sistema de información de gestión sobre el riesgo operacional en las actividades de mercado debería diseñarse de forma que genere los avisos adecuados y alerte a la dirección cuando se detecten operaciones sospechosas o incidentes importantes.
62. Los sistemas de gestión del riesgo operacional deberían establecer criterios, indicadores y umbrales que permitan identificar incidentes importantes detectados por los procedimientos de control interno. Estos elementos deberían adaptarse a la actividad de la institución y cubrir posibles pérdidas aunque todavía no se hayan materializado. Los incidentes importantes deberían notificarse sin dilación a la alta dirección. Una condición indispensable para ello es que las instituciones mantengan un registro de pérdidas significativas por riesgo operacional en las actividades de mercado y las analicen para establecer posibles interconexiones (es decir, pérdidas basadas en un mismo evento de pérdida o causa original).
63. La notificación de irregularidades por parte de los propios empleados y el seguimiento de alertas pueden contribuir a detectar patrones de actividad anormales y ayudar en la investigación de incidentes detectados por el sistema de control interno. Estas herramientas deberían incluir la comunicación a los niveles jerárquicos correspondientes de los avisos y salvedades expresadas por sociedades rectoras de los mercados, operadores, personas que participen en la compensación y custodios, y procedimientos que aseguren que todas las cuestiones planteadas por entidades externas se investigan exhaustivamente.
Principio 17. Las instituciones deberían asegurar la calidad y la coherencia de sus informes internos y su adecuación a las necesidades de las personas a las que van dirigidos.
64. Los distintos niveles de gestión y/o de control tienen necesidades de información que varían tanto en términos de contenido como de frecuencia. Las unidades de negocio deberían elaborar documentos que satisfagan sus propias necesidades de gestión y control y las de información de otras unidades. Estos documentos pueden estandarizarse o responder a necesidades concretas que evolucionan con el tiempo. La información facilitada debe ser suficiente para cumplir el objetivo establecido.
65. Las instituciones deberían asegurar que los informes internos enviados a los distintos niveles jerárquicos son de calidad suficiente e incluyen las explicaciones adecuadas, con el fin de convertirlos en un elemento clave de un sistema de control interno sólido. Por ejemplo, los informes que tengan por objeto detectar riesgos operacionales en las actividades de mercado deberían elaborarse bajo la responsabilidad de las funciones de control. Si el informe se prepara fuera del ámbito de las funciones de control, se debería especificar el formato y el contenido y someterlo a los controles apropiados para garantizar el cumplimiento de las exigencias de información de gestión. Además, en estos informes se debería utilizar, en la medida de lo posible, información y fuentes alternativas adoptadas por el front office para iniciar y concluir operaciones.
66. Es fundamental que la información que circule entre departamentos distintos esté bien estructurada, especialmente en instituciones complejas, con el fin de evitar retrasos o alteraciones en la comunicación de información fundamental causados por la filtración de la misma realizada en los niveles intermedios.
67. Los informes deberían ser comprensibles e incluir solicitudes de adopción de medidas correctivas adecuadamente formuladas y apropiadas para su aplicación a todos los niveles de la institución. La implantación de medidas correctivas debería ser objeto de adecuado seguimiento. Esto último, así como la eficacia del marco de información de gestión, deberían entrar dentro del ámbito de la auditoría interna.
