1. CONTROL INTERNO Y AUDITORÍA
DE OPERACIONES

2. Ruta de aprendizaje
Ruta de la Actividad de Aprendizaje 2 (AA2)
Semana 1
Semana 3
Semana 5
Semana 6
Semana 7
Semana 8
- Riesgo Operacional
- Matrices de riesgos
Impacto y
probabilidad del
Riesgo operacional
(Ejemplos)
Exposición y entrega del
informe del caso de la
AA2
Controles
asociados a los
procesos
operativos
(Normativa)

3. PRESENTACIÓN
IL1: Identifica los riesgos en los procesos operativos para determinar el nivel de
impacto, y considera los controles internos establecidos por la institución financiera para
mitigar los mismos.
IL2. Propone controles que permitan mitigar los riesgos operacionales utilizando
matrices de riesgo operacional.
IL3. Ejecuta los controles establecidos, para mitigar riesgos en los procesos operativos
según la normativa de la institución financiera.
IL4: Evalúa los resultados de los controles ejecutados para la mitigación de riesgos en los
procesos operativos según la normativa del ente regulador
Indicadores de logro

4. Al finalizar esta sesión serás capaz de:
Identificar los posibles riesgos operativos a los que está expuesta una Entidad
Financiera con la finalidad de medir su nivel de riesgo utilizando matrices
Saberes a desarrollar:
1. Riesgo Operacional
2. Construcción de matrices
PRESENTACIÓN

5. Riesgo Operacional
Semana 5

6. CONECTEMOS
01
Después de mirar el video, responder las
siguientes preguntas:
1. ¿Pueden los bancos evitar los robos?
2. ¿Qué medidas de prevención crees
que deben tomar los bancos para
evitar los robos?
Fuente: Telefé Noticias (2019). Millonario robo a un banco grabado en video.
http://bit.ly/3koRPAj

7. CONSTRUYAMOS
02
Resolución S.B.S. N°
2116 -2009
Ley que aprueba el
Reglamento para la
Gestión del Riesgo
Operacional
Fuente: RPP. http://bit.ly/3waq3tT

8. CONSTRUYAMOS
02
Definiciones importantes:
Apetito por el riesgo: “El nivel de riesgo que la empresa está dispuesta a asumir en su
búsqueda de rentabilidad y valor” (SBS, 2009, p.4).
Fuente: Puntos Sura Advisor. https://bit.ly/3iLI3rq

9. CONSTRUYAMOS
02
Evento: “Un suceso o serie de sucesos que
pueden ser internos o externos a la
empresa, originados por la misma causa,
que ocurren durante el mismo periodo de
tiempo” (S.B.S., 2009, p.4).
Fuente: Freepik. http://bit.ly/3WhKDTU

10. CONSTRUYAMOS
02
Evento de pérdida por riesgo
operacional: “El evento que conduce a
una o varias pérdidas, cuyo origen
corresponde al riesgo operacional”
(S.B.S., 2009, p.4).
Fuente: Freepik. http://bit.ly/3WilTuw

11. Riesgo legal: “Posibilidad de ocurrencia de
pérdidas financieras debido a la falla en la
ejecución de contratos o acuerdos, al
incumplimiento no intencional de las
normas, así como a factores externos, tales
como cambios regulatorios, procesos
judiciales, entre otros” (S.B.S., 2009, p.4).
CONSTRUYAMOS
02
Fuente: Freepik.http://bit.ly/3Hf7onb

12. Tolerancia al riesgo: “El nivel de variación
que la empresa está dispuesta a asumir
en caso de desviación de los objetivos
empresariales trazados” (S.B.S., 2009,
p.4) .
CONSTRUYAMOS
02
Fuente: Freepik. http://bit.ly/3IVmcs8

13. 03 REFLEXIONEMOS
RIESGO OPERACIONAL
“(...) posibilidad de ocurrencia de
pérdidas debido a procesos
inadecuados, fallas del personal, de la
tecnología de información, o eventos
externos. Esta definición incluye el
riesgo legal, pero excluye el riesgo
estratégico y de reputación” (S.B.S.,
2009, p.4).
Fuente: Freepik. http://bit.ly/3WilTuw

14. ¡Hablemos un poco!
1
¿Qué factores crees que originan el riesgo
operacional?
Fuente: Freepik.<a href="https://www.freepik.es/vectores/sinergia">Vector de
sinergia creado por storyset - www.freepik.es</a>
CONSTRUYAMOS
02

15. Factores que originan el riesgo operacional
CONSTRUYAMOS
02
Procesos internos: procedimientos inadecuados o inexistentes que afectan
el desarrollo eficiente de las operaciones y servicios, incluso los pueden
suspender. (S.B.S., 2009)
Personal: personal poco capacitado, que realiza de forma inadecuada sus
actividades produciendo así errores (S.B.S., 2009).
Tecnología de información: errores en la seguridad y continuidad operativa
de los sistemas informáticos (S.B.S., 2009).
Eventos externos: sucesos ajenos al control de la empresa que afectan sus
procesos (S.B.S., 2009).

16. CONSTRUYAMOS
02
1. Procesos Internos:
“Las empresas deben gestionar
apropiadamente los riesgos asociados a los
procesos internos implementados para la
realización de sus operaciones y servicios,
relacionados al diseño inapropiado de los
procesos o a políticas y procedimientos
inadecuados o inexistentes que puedan tener
como consecuencia el desarrollo deficiente de
las operaciones y servicios o la suspensión de
los mismos” (S.B.S., 2009, p.5).
Factores que originan el riesgo operacional
Fuente: Freepik. http://bit.ly/3kt6pXe

17. CONSTRUYAMOS
02
2. Personas:
“Las empresas deben gestionar
apropiadamente los riesgos asociados al
personal de la empresa, relacionados a la
inadecuada capacitación, negligencia, error
humano, sabotaje, fraude, robo,
paralizaciones, apropiación de información
sensible, entre otros” (S.B.S., 2009, p.5).
Factores que originan el riesgo operacional
Fuente: Freepik. http://bit.ly/3GIrCnI

18. CONSTRUYAMOS
02
3. Sistemas (Tecnología de Información):
“Las empresas deben gestionar los riesgos
asociados a la tecnología de información,
relacionados a fallas en la seguridad y
continuidad operativa de los sistemas
informáticos, los errores en el desarrollo e
implementación de dichos sistemas y la
compatibilidad e integración de los
mismos, problemas de calidad de
información, la inadecuada inversión en
tecnología, entre otros aspectos” (S.B.S.,
2009, p.5).
Factores que originan el riesgo operacional
Fuente: Freepik. http://bit.ly/3WjMJCv

19. CONSTRUYAMOS
02
4. Eventos externos:
“Las empresas deberán gestionar los
riesgos asociados a eventos externos
ajenos al control de la empresa,
relacionados por ejemplo a fallas en
los servicios públicos, la ocurrencia de
desastres naturales, atentados y actos
delictivos, entre otros factores”
(S.B.S., 2009, p.5).
Factores que originan el riesgo operacional
Fuente: Freepik. http://bit.ly/3HfbPOR

20. Eventos de pérdida por riesgo operacional
CONSTRUYAMOS
02
Fraude interno: “Pérdidas derivadas de
algún tipo de actuación encaminada a
defraudar, apropiarse de bienes
indebidamente o incumplir regulaciones,
leyes o políticas empresariales en las que
se encuentra implicado, al menos, un
miembro de la empresa, y que tiene
como fin obtener un beneficio ilícito”
(S.B.S., 2009, p.5).
Fraude externo: “Pérdidas derivadas de
algún tipo de actuación encaminada a
defraudar, apropiarse de bienes
indebidamente o incumplir la legislación,
por parte de un tercero, con el fin de
obtener un beneficio ilícito” (S.B.S.,
2009, p.5).

21. CONSTRUYAMOS
02
Relaciones laborales y seguridad en el
puesto de trabajo: “Pérdidas
derivadas de actuaciones
incompatibles con la legislación o
acuerdos laborales, sobre higiene o
seguridad en el trabajo, sobre el
pago de reclamos por daños
personales, o sobre casos
relacionados con la diversidad o
discriminación” (S.B.S., 2009, p.5).
Clientes, productos y prácticas
empresariales: “Pérdidas derivadas
del incumplimiento involuntario o
negligente de una obligación
empresarial frente a clientes
concretos (incluidos requisitos
fiduciarios y de adecuación), o de la
naturaleza o diseño de un
producto” (S.B.S., 2009, p.6).
Eventos de pérdida por riesgo operacional

22. CONSTRUYAMOS
02
Daños a activos materiales: “Pérdidas derivadas de daños o perjuicios a activos
materiales como consecuencia de desastres naturales u otros
acontecimientos” (S.B.S., 2009, p.6).
Interrupción del negocio y fallos en los sistemas: “Pérdidas derivadas de
interrupciones en el negocio y de fallos en los sistemas” (S.B.S., 2009, p.6).
Eventos de pérdida por riesgo operacional
Ejecución, entrega y gestión de procesos: “Pérdidas derivadas de errores en el
procesamiento de operaciones o en la gestión de procesos, así como de
relaciones con contrapartes comerciales y proveedores” (S.B.S., 2009, p.6).

23. Riesgo Operacional
CONSTRUYAMOS
02
Fuente: Gerencia de riesgos (2017). GRIESGOS 2017-II RIESGO OPERATIVO. https://youtu.be/lJOFBTqO4VM
Gestión
adecuada del
riesgo
operativo
Proceso de
seguimiento
eficaz
Realizado de
forma
periódica
Promueve la rápida
detección de
errores/deficiencias
Se corrigen las
deficiencias/errores
Políticas
Procesos
Procedimientos

24. Después de ver el video, en equipos de 3
analizar y responder las siguientes
preguntas:
1. ¿Qué tanto conocimiento del riesgo
se tenía en la situación de desastre
presentada en la película?
2. ¿Cómo se buscó reducir el riesgo
para evitar la situación de desastre
presentada en la película?
Video: Moisés MG (2016) Gestión del riesgo en el
cine: Película 2012.
https://youtu.be/uAOHWFsjml8
CONSTRUYAMOS
02

25. Matriz de riesgos
La matriz de riesgos es clave para una gestión
eficiente de los riesgos corporativos, cuya
elaboración es la base para la estrategia de gestión
de riesgos empresariales (Iso Tools, s.f)
Una matriz de riesgos empresariales, permite a las
organizaciones calificar, monitorear y controlar
situaciones de riesgo que pueden afectar la
consecución de sus objetivos, pues les da
información para la toma de decisiones y
planificación futura (Iso Tools, s.f).
CONSTRUYAMOS
02
Fuente: Iso Tools (s.f.). Matriz de riesgos. ¿Qué es y cómo elaborarla correctamente?
https://www.isotools.org/2022/03/23/matriz-de-riesgos-que-es-y-como-elaborarla-correctamente/
Fuente: Freepik. http://bit.ly/3WjMJCv

26. Matriz de riesgos:
Compuesta por filas y columnas en las que
se representan: la probabilidad y el
impacto, con una escala de menor a
mayor (Iso Tools, s.f).
Esto permite colocar diversos riesgos
identificados y mediante la colorimetría se
establecen aquellos prioritarios (Iso Tools,
s.f).
CONSTRUYAMOS
02
Fuente: Incibe. https://bit.ly/3QQOiXI
Fuente: Iso Tools (s.f.). Matriz de riesgos. ¿Qué es y cómo elaborarla correctamente?
https://www.isotools.org/2022/03/23/matriz-de-riesgos-que-es-y-como-elaborarla-correctamente/

27. Pasos para elaborar una matriz de riesgos
(Iso Tools, s.f):
1. Identificar los riesgos y clasificarlos.
2. Priorizar riesgos identificados.
3. Evaluar la frecuencia, probabilidad e impacto
4. Representar gráficamente los riesgos
identificados
CONSTRUYAMOS
02
Fuente: Freepik. http://bit.ly/3CXny1P
Fuente: Iso Tools (s.f.). Matriz de riesgos. ¿Qué es y cómo elaborarla correctamente?
https://www.isotools.org/2022/03/23/matriz-de-riesgos-que-es-y-como-elaborarla-correctamente/

28. El resultado de la elaboración de una matriz de riesgo nos muestra gráficamente lo
siguiente:
CONSTRUYAMOS
02
Fuente: https://bit.ly/3kmoI0o
RIESGO ALTO
RIESGO MEDIO
RIESGO BAJO
Nota: Los niveles de riesgo pueden variar según lo crea
conveniente la EF

29. CONSTRUYAMOS
02
NIVEL PÉRDIDAS ECONÓMICAS INTERRUPCIÓN DE
OPERACIONES
CARGA OPERATIVA
1
El impacto va desde S/100.00 hasta
S/5,000.00
Hasta 1 hora
Reproceso de actividades o aumento de carga operativa entre el
1% y 5% del tiempo razonable estimado para dicha actividad
2
El impacto mayor a S/5,000.00 hasta
S/20,000.00
Hasta 2 hora
Reproceso de actividades o aumento de carga operativa entre el
5% y 15% del tiempo razonable estimado para dicha actividad
3
El impacto mayor a S/20,000.00 hasta
S/40,000.00
Hasta 4 hora
Reproceso de actividades o aumento de carga operativa entre el
15% y 30% del tiempo razonable estimado para dicha actividad
4
El impacto mayor a S/40,000.00 hasta
S/80,000.00
Hasta 6 hora
Reproceso de actividades o aumento de carga operativa entre el
30% y 40% del tiempo razonable estimado para dicha actividad
5 El impacto mayor a S/80,000.00 Más de horas
Reproceso de actividades o aumento de carga operativa en más
de 40% del tiempo razonable estimado para dicha actividad
Nota: Los
criterios
pueden
variar según
lo crea
conveniente
la EF
Fuente: Extraído de un caso laboral
Criterios para identificar los niveles de probabilidad - riesgo operacional

30. Criterios para identificar los niveles de probabilidad - riesgo operacional
CONSTRUYAMOS
02
NIVEL NÚMERO DE EVENTOS PORCENTAJE DE
EVENTOS
COMPLEJIDAD DEL PROCESO
1
Ocurre en situaciones excepcionales
(1 vez al año)
El evento puede ocurrir
hasta en un 5% del total de
casos
El procedimiento es simple y repetitivo y no requiere de recursos de
personal con un alto nivel de especialización
2
Puede ocurrir en algún momento (2
veces al año)
El evento puede ocurrir
entre el 6% y el 10% de
casos
El procedimiento no es simple y no es repetitivo pero no requiere de
recursos de personal con un alto nivel de especialización
3
Podría ocurrir en algún momento
(más de 2 y hasta 6 veces al año)
El evento puede ocurrir
entre el 11% y 20% de
casos
El procedimiento es complejo y requiere de recursos de personal con un
alto nivel de especialización
4
Probablemente ocurría en la mayoría
de circunstancias (más de 6 y hasta 12
veces al año)
El evento puede ocurrir
entre el 21% y 30% de
casos
El procedimiento es complejo y requiere de recursos de personal con un
alto nivel de especialización con el que no contamos
5
Se espera que ocurra en la mayoría
de circunstancia (más de 12 veces al
año)
El evento puede ocurrir
con una frecuencia mayor
al 30% de casos
El procedimiento es complejo y necesario para alcanzar uno de los
objetivos estratégicos, requiere de experiencia y un alto nivel de
especialización y no contamos con los recursos de personal con dicho
perfil
Nota: Los
criterios
pueden
variar según
lo crea
conveniente
la EF
Fuente: Extraído de un caso laboral

31. Basados en los criterios de IMPACTO y PROBABILIDAD, se define el mapa de calor de
Riesgo Operacional, sobre el cual se basará la definición de apetito y tolerancia al riesgo
operacional:
CONSTRUYAMOS
02
Fuente: Laft América. https://laftamerica.com/riesgos-en-su-empresa-matriz-asojuegos/

32. Niveles de probabilidad
CONSTRUYAMOS
02
NIVEL ESCALA DESCRIPCIÓN
1 Muy improbable Evento con muy baja probabilidad de ocurrencia
2 Improbable
Evento que puede ocurrir en algún momento y tiene
baja probabilidad de ocurrencia
3 Posible El evento tiene mediana probabilidad de ocurrencia
4 Probable El evento puede ocurrir casi en cualquier momento
5 Casi seguro El evento sucede en la mayoría de las circunstancias.
Fuente: Incibe (2006). Gestión de riesgos. Una guía de aproximación para el empresario.
https://www.incibe.es/sites/default/files/contenidos/guias/doc/guia_ciberseguridad_gestion_riesgos_metad.pdf

33. Niveles de impacto
CONSTRUYAMOS
02
NIVEL ESCALA DESCRIPCIÓN
1 Insignificante
Baja pérdida financiera. Se trata de un caso particular con pérdidas poco
significativas. Se soluciona rápidamente sin que queden consecuencias.
2 Menor
Pérdida financiera media. Afecta las operaciones de la organización, pero se
resuelve a nivel del sector o área involucrada. La interrupción es atendida como
máximo hasta en 2 horas. Ocasiona algún trabajo para restaurar la situación.
3 Moderado
Afectación financiera. Ocasiona pérdidas financieras dentro de la empresa. Las
operaciones se interrumpen hasta 3 horas. Dificulta algunos elementos de la
operatividad. Dispara procedimientos de investigaciones internas.
4 Mayor
Pérdida financiera mayor. Ocasiona pérdida económica o de información
significativa para la empresa. Requiere importantes esfuerzos para volver a la
situación anterior. Ocasiona altos costos para reparar la situación.
5 Catastrófico
Enorme pérdida financiera. Compromete la imagen de la empresa al tomar un
carácter público, como incendio , robo o alteración de las bases de datos críticas.
Su costo tiene un amplio impacto sobre los resultados financieros de la empresa.
Fuente: Extraído de un caso laboral

34. Etapas Descripción Semana de
ejecución
Primera El docente informa sus estudiantes que
trabajarán en los mismos grupos de la AA1 y
con el mismo caso
5
Segunda EL docente lee con los estudiantes los
lineamientos de la AA2
6
Tercera El docente revisa el avance de los grupos y
brinda su retroalimentación
7
Cuarta Los estudiantes exponen y presentan su
informe en clase la AA2
8
PRESENTACIÓN DE LINEAMIENTOS:
ACTIVIDAD DE APRENDIZAJE 2
CONSTRUYAMOS
02
Fuente: Freepik. <a
href="https://www.freepik.es/vectores/persona-idea">Vect
or de persona idea creado por syarifahbrit -
www.freepik.es</a>

35. AA2: “Matriz de riesgos”
CONSTRUYAMOS
02
EVIDENCIA: Elaborar el informe detallando la
matriz de riesgo y la evaluación de sus
respectivos controles.
Fuente: freepik.
https://www.freepik.es/vector-gratis/chica-escribiendo-diario-o-diario_964
9836.htm#query=study&position=28&from_view=search

36. CONSTRUYAMOS
02

37. 03 REFLEXIONEMOS
Ideas importantes
Esta semana hemos aprendido a:
1. Identificar los riesgos operacionales en una Entidad Financiera permitirá
tomar las acciones adecuadas para su atención oportuna.
2. Medir el riesgo identificado a través de las matrices de riesgos es
importante para gestionar su priorización y posterior atención.

38. Actividad de cierre
En equipos de 4 integrantes deberán:
1. Identificar los principales riesgos operativos
que existen en una Entidad financiera
tomando en consideración los Factores que
originan el riesgo operacional (mínimo 5)
2. Identificar el nivel de riesgo de cada uno
utilizando las matrices de riesgos.
Fuente: Freepik.<a href="https://www.freepik.es/vectores/sinergia">Vector de
sinergia creado por storyset - www.freepik.es</a>
REFLEXIONEMOS
03

39. Próxima sesión
No olvidar
Revisar materiales antes de la clase
Realizar consultas en caso las tuvieran
Revisar los lineamientos de la AA2
03 REFLEXIONEMOS

40. REFERENCIAS
04
• Incibe (2006). Gestión de riesgos. Una guía de aproximación para el empresario.
https://www.incibe.es/sites/default/files/contenidos/guias/doc/guia_cibersegurid
ad_gestion_riesgos_metad.pdf
• Iso Tools (s.f.). Matriz de riesgos. ¿Qué es y cómo elaborarla correctamente?
https://www.isotools.org/2022/03/23/matriz-de-riesgos-que-es-y-como-elaborarl
a-correctamente/
• Superintendencia Nacional de Banca, Seguros y Afp (2009). Resolución S.B.S. N°
2116-2009.
https://intranet2.sbs.gob.pe/dv_int_cn/842/v2.0/Adjuntos/2116-2009.r.pdf

41. ¡Gracias!