El proceso de gestión integral de riesgos implica: la identificación de los distintos “tipos de riesgos” a los que está expuesta la Casa de Corredores de Bolsa; la cuantificación, monitoreo y control mediante el establecimiento de procedimientos de evaluación y análisis continuo; el establecimiento de límites; y finalmente la modificación o anulación de la exposición a los distintos factores de riesgo.

Por tanto, la Unidad de Riesgos cumple para la Casa de Corredores de Bolsa, las siguientes funciones:

• Identifica, mide, controla, monitorea e informa los riesgos que se enfrentan en el desarrollo de sus operaciones;
• Diseña y propone a las instancias correspondientes, para su aprobación, las estrategias, políticas, procedimientos y los manuales respectivos para la gestión de riesgos, así como sus modificaciones;
• Propone para su aprobación las metodologías, modelos y parámetros para la gestión de los distintos tipos de riesgos a que se encuentra expuesta la entidad;
• Informa periódicamente al Comité de Riesgos sobre la evolución de los principales riesgos asumidos por la entidad;
• Opina sobre los posibles riesgos que conlleve el establecimiento de nuevos productos, operaciones y actividades;
• Da seguimiento periódico a las acciones correctivas presentadas por las unidades para la mejora en la gestión de riesgos;
• Da seguimiento al cumplimiento de los límites de exposiciones al riesgo, sus niveles de tolerancia por tipo de riesgo cuantificables y propone mecanismos de mitigación a las exposiciones; y,
• Elabora y propone al Comité de Riesgos, planes de contingencia y pruebas de tensión en situaciones adversas.

La gestión de riesgos en la Casa de Corredores de Bolsa, es acorde a la magnitud de las actividades, negocios y recursos de la entidad, que, para el caso, Valores Cuscatlán está autorizada para negociar en Mercado Primario, Mercado Secundario, Reportos, Mercado Internacional y Operador Remoto en la Bolsa de Valores de El Salvador.

La Casa de Corredores de Bolsa actualmente negocia los siguientes productos: Bonos Soberanos, Bonos Corporativos e instrumentos de Corto Plazo Públicos y Privados; y a su vez puede actuar como estructurador de emisiones.

Se evalúan siete riesgos:

1. Riesgo de Crédito: entendiéndose éste como la posibilidad de pérdida debido al incumplimiento de las obligaciones contractuales asumidas por una contraparte, siendo esta última un prestatario o un emisor de deuda. Este riesgo comprende el Riesgo del Emisor, el cual surge al negociar los activos de un emisor en los mercados primario y secundario, y representa el cambio potencial adverso en el valor de mercado de un título provocado por la percepción del mercado de la fortaleza financiera del emisor (rating, riesgo país, riesgo de insolvencia, etc.). Para administrar ésta exposición al riesgo de crédito de emisores, en las operaciones de intermediación, se realiza un análisis financiero de cada uno de los emisores, al menos una vez al año; para luego establecerse un límite, existiendo un proceso detallado para el establecimiento de estos límites o cupos de inversión para cada emisor, que es aplicable al Conglomerado.
2. Riesgo de Contraparte: se refiere al riesgo derivado de la pérdida que se puede producir debido al incumplimiento de las obligaciones contractuales asumidas, por una parte, para la liquidación de una operación, dada situaciones de iliquidez, insolvencia, capacidad operativa o actuaciones indebidas. Considera el riesgo de liquidación (settlement), que es el riesgo generado en el periodo comprendido entre la fecha de contratación de la operación y la fecha de liquidación, cuya medición se hace para las transacciones de compra o venta en la Casa de Corredores de Bolsa.
3. Riesgo Custodia: es la posibilidad de pérdida que afecte a los valores mantenidos en custodia debido a la insolvencia, negligencia, el fraude, la administración deficiente o el mantenimiento inadecuado de los registros de un custodio. Siendo que, la función actual de la Casa de Corredores de Bolsa es únicamente de intermediario, es CEDEVAL quien se encarga de la custodia de los títulos valores transados para inversiones.
4. Riesgo de Liquidez: es la posibilidad de incurrir en pérdidas por no disponer de los recursos suficientes para cumplir con las obligaciones asumidas, incurrir en costos excesivos y no poder desarrollar el negocio en las condiciones previstas. La gestión de este riesgo no aplica para la Casa de Corredores de Bolsa, ya que no administra fondos de terceros.
5. Riesgo de Mercado: es la posibilidad de pérdida, producto de movimientos en los precios de mercado que generan un deterioro de valor en las posiciones dentro y fuera del balance o en los resultados financieros de la entidad. Este se monitorea a través de mediciones como el Valor en Riesgo (VaR) en caso se tuvieran portafolios de inversiones.
6. Riesgo Operacional: Es la posibilidad de incurrir en una pérdida debido a deficiencias o fallas en los sistemas de información, procesos, personas, controles internos, y/o eventos externos; así como, los riesgos: legal, fraude, tecnológico, estratégico.

Para esto Valores Cuscatlán ha implementado procesos y procedimientos para asegurar el cumplimiento con las regulaciones locales sobre el Riesgo Operacional, con el fin de establecer un marco consistente para la evaluación y comunicación de este riesgo, así como la efectividad del ambiente de control interno.

La gestión de riesgo operacional y su estructura de gobierno contiene tres niveles de defensa en los que se distribuyen diferentes responsabilidades como sigue:

• Primera Línea de Defensa:
  Las Unidades de Negocio junto con las Unidades de Soporte al Riesgo Operacional son dueños de sus riesgos operacionales y por ende el primer frente para el manejo de sus riesgos. Como dueñas de sus riesgos, son responsables de la mitigación de éstos por medio del desarrollo e implementación de sistemas de control interno, y verificando que estos controles están debidamente diseñados y operando efectivamente en línea con las guías de manejo de control de Valores Cuscatlán.
• Segunda Línea de Defensa:
  Riesgo Operacional como parte de la segunda línea de defensa es la encargada de establecer una Gestión adecuada del riesgo, apoyar a las unidades en la implementación de esta, y fomentar que las áreas establezcan medidas correctivas sobre deficiencias en los procesos internos, de acuerdo con lo establecido en el Manual de Gestión Integral de Riesgos de Valores Cuscatlán, S.A. de C.V. Casa Corredores de Bolsa.
  Algunas de sus funciones son:
  
  • Monitorear la gestión de continuidad del negocio y Seguridad de la Información.
  • Apoyar y asistir a las Unidades para la implementación de la Metodología de Riesgo Operacional.
  • Participar en el desarrollo de nuevos productos y ante cambios significativos que afecten los productos existentes, efectuar la identificación de los procesos cuyo riesgo operacional pueden tener un impacto significativo.
  • Asegurar la consistencia entre las operaciones y los niveles de tolerancia a los riesgos definidos aplicables a su ámbito de acción.
  • Monitorear los resultados de las herramientas establecidas por Valores Cuscatlán, para la gestión de los riesgos operacionales y comunicarlos al Comité Integral de Riesgo.
  • Establecer medidas correctivas cuando aplique y por diferentes factores tanto internos como externos.
  • Escalar en cualquier momento a Junta Directiva a través del Comité de Gestión Integral de Riesgos, cualquier punto cuando considere necesario, y al menos trimestralmente, los principales resultados de su gestión
  
  Adicionalmente, se cuenta con la Gerencia Legal y la Oficialía de Cumplimiento que conforman el grupo de Gerencias Funcionales que colaboran directamente con Riesgo Operacional para identificar, prevenir y conducir las acciones que aseguren que las causas raíces y temas recurrentes sean manejados con un mayor alcance y de forma más amplia, para lograr la reducción en pérdidas futuras y mitigar riesgos emergentes.
  Se cuenta con un marco normativo para la Gestión de Riesgo Operacional, que evalúa, anticipa y mitiga los riesgos operacionales y su impacto en el negocio, para lo cual se apoya en las siguientes herramientas:
  1. Matriz de Control Gerencial (MCG): Es un proceso de monitoreo del ambiente de control, el cual es responsabilidad del negocio. El proceso requiere de un trabajo de identificación, evaluación y tratamiento de los riesgos, considerando fuentes, elementos o factores significativos de riesgo. Para determinar la severidad del riesgo, se valora el impacto y la probabilidad de ocurrencia, y la combinación de ambos indica el Nivel de Riesgo inherente asociado al Proceso. Trimestralmente, las áreas envían a Riesgo Operacional los resultados del monitoreo de los controles y de existir alguna debilidad que requiera de acciones correctivas, es documentado con las acciones a seguir.
  2. Indicadores de Riesgo Operacional (KRI): se dispone de una herramienta que permite contar con métricas para identificar de manera temprana el aumento de la exposición al riesgo, considerando como base la Matriz de Control Gerencial (MCG).
  3. Administración de las Pérdidas Operativas: Cuando se produce una pérdida/recuperación (ganancia operacional), se documenta el Reporte de Pérdidas y Ganancias, con el fin de sustentar correctamente la causa raíz del evento que afecta su proceso y/o producto, y en caso de ser necesario el plan de acción que se ejecutará para eliminar o mitigar el riesgo relacionado a dicho error cuando aplique.
  4. Base de Datos Centralizada: Riesgo Operacional, se cuenta con una base de datos centralizada, que permita registrar, ordenar, clasificar y disponer de información sobre los eventos de riesgo operacional, siendo clasificados por factores, determina la frecuencia del evento y el efecto producido y contiene lo establecido en la Norma para la gestión de Riesgo Operacional.
  5. Continuidad del Negocio: La Política de Continuidad del Negocio proporciona un marco detallado para la gestión y mitigación de eventos que ponen en riesgo la continuidad de la operación, de tal forma que se ejecute la recuperación de sus procesos críticos con el menor impacto a la operación. Se ha constituido una estructura, a efecto que todas las unidades de negocio como dueños de sus procesos, utilicen la metodología de Análisis de Impacto al Negocio para evaluación de todos sus procesos y la definición de un Plan de Recuperación de Negocio para aquellos procesos identificados como críticos, los cuales deben ser probados. La Gestión de la Continuidad de Negocio proporciona una metodología para evaluar las situaciones, proporcionar los lineamientos a seguir previo, durante y posterior a un evento inesperado de tal forma que se efectúe la recuperación de los procesos críticos con el menor impacto a la operación y a la entrega de productos o servicios.
  6. Seguridad de la Información: La información es un activo esencial para la Institución, el cual está expuesto a una amplia gama de amenazas y vulnerabilidades, por lo que necesita ser protegida adecuadamente en cada una de sus formas: impresa o escrita en un papel, almacenada electrónicamente, transmitida por correo o utilizando medios electrónicos, mostrada en películas o hablada en una conversación.
     Por lo tanto, la aplicación de acciones y procedimientos de Seguridad de la Información y de Ciberseguridad constituyen la protección de la información de un amplio rango de amenazas para poder asegurar la continuidad del negocio, minimizar los riesgos de los negocios y maximizar el retorno de las inversiones y las oportunidades de negocio.
     Para lograr que se cumplan los objetivos estratégicos de la Seguridad de la Información y la Ciberseguridad se ha implementado un conjunto de controles; incluyendo políticas, procesos, procedimientos, estructuras organizacionales y funciones de software y hardware.
     La Política de Seguridad de la Información y Ciberseguridad identifica los requisitos de protección de la información, a fin de garantizar la disponibilidad, integridad y confidencialidad de la Información de la Institución en todas las áreas, de acuerdo con los requerimientos legales y regulatorios vigentes. Para ejecutar adecuadamente los controles que mitigan el riesgo de Seguridad de la Información y Ciberseguridad, cada Unidad de la Institución designa a un Oficial de Seguridad de la Información del área como responsable de velar el cumplimiento de las pruebas institucionales de Seguridad de la Información en su unidad.
     Con todo lo anterior Valores Cuscatlán busca mitigar las pérdidas por riesgo en procesos, mejorar la reputación frente a Entes Regulatorios, Inversionistas, Clientes, así como una cultura de constante mejora en sistemas y procesos.
  7. Política de Prestación de Servicios por Terceros: Contiene los objetivos, definiciones y criterios para la administración y clasificación de los proveedores de Servicios Tercerizados; incluyendo, disposiciones contractuales estándares, cumplimiento de las políticas de la Institución, y otros requerimientos regulatorios.
• Tercera Línea de Defensa:
  Auditoría Interna es el tercer frente de defensa. Es un área independiente y objetiva, que mediante sus evaluaciones plantea mejoras en los procesos y operaciones de Valores Cuscatlán, S.A. de C.V., y apoya a la Junta Directiva y a la Alta Gerencia con el cumplimiento de sus objetivos; aplicando un enfoque sistemático y disciplinado en la evaluación y mejora de la efectividad y eficiencia de los procesos de gestión de riesgos, control interno y gobierno corporativo.

7. Riesgo Reputacional: es la posibilidad de incurrir en pérdidas, producto del deterioro de imagen de la entidad, debido al incumplimiento de leyes, normas internas, códigos de gobierno corporativo, códigos de conducta, lavado de dinero, entre otros. Para la gestión de este riesgo, la Institución cuenta con manuales que comprenden estándares, políticas y procedimientos necesarios que permiten proteger la reputación de la Institución y de sus empleados de una forma adecuada.

Existen límites y tolerancias relacionados con cada riesgo, cuyas metodologías y cálculos están documentados en el Manual de Riesgos.

Se cuenta con un sistema interno contable para extracción de información, además de información pública de entidades regulatorias (BCR, SSF y Bolsa de Valores) y calificadoras de riesgo, para el cálculo de indicadores y mediciones.

Existe un Manual de Gestión Integral de Riesgos que describe, consolida y documenta las principales políticas, procedimientos, la gobernanza e interrelaciones de las diferentes unidades, lineamientos y controles para el manejo de los riesgos de Valores Cuscatlán, S.A. de C.V., Casa de Corredores de Bolsa, estableciendo las disposiciones generales para fortalecer la gestión, acorde a la naturaleza y actividades de la entidad. Este manual es revisado anualmente y aprobado por la Junta Directiva.