El proceso de gestión integral de riesgos implica: la identificación de los distintos “tipos de riesgos” a los que está expuesta la Casa de Corredores de Bolsa; la cuantificación, monitoreo y control mediante el establecimiento de procedimientos de evaluación y análisis continuo; el establecimiento de límites; y finalmente la modificación o anulación de la exposición a los distintos factores de riesgo.

Por tanto, la Unidad de Riesgos cumple para la Casa de Corredores de Bolsa, las siguientes funciones:

• Identifica, mide, controla, monitorea e informa los riesgos que se enfrentan en el desarrollo de sus operaciones;
• Diseña y propone a las instancias correspondientes, para su aprobación, las estrategias, políticas, procedimientos y los manuales respectivos para la gestión de riesgos, así como sus modificaciones;
• Propone para su aprobación las metodologías, modelos y parámetros para la gestión de los distintos tipos de riesgos a que se encuentra expuesta la entidad;
• Informa periódicamente al Comité de Riesgos sobre la evolución de los principales riesgos asumidos por la entidad;
• Opina sobre los posibles riesgos que conlleve el establecimiento de nuevos productos, operaciones y actividades;
• Da seguimiento periódico a las acciones correctivas presentadas por las unidades para la mejora en la gestión de riesgos;
• Da seguimiento al cumplimiento de los límites de exposiciones al riesgo, sus niveles de tolerancia por tipo de riesgo cuantificables y propone mecanismos de mitigación a las exposiciones; y,
• Elabora y propone al Comité de Riesgos, planes de contingencia y pruebas de tensión en situaciones adversas.

La gestión de riesgos en la Casa de Corredores de Bolsa, es acorde a la magnitud de las actividades, negocios y recursos de la entidad, que, para el caso, Valores Cuscatlán está autorizada para negociar en Mercado Primario, Mercado Secundario, Reportos, Mercado Internacional y Operador Remoto en la Bolsa de Valores de El Salvador.

La Casa de Corredores de Bolsa actualmente negocia los siguientes productos: Bonos Soberanos, Bonos Corporativos e instrumentos de Corto Plazo Públicos y Privados; y a su vez puede actuar como estructurador de emisiones.

Se evalúan siete riesgos:

1. Riesgo de Crédito: entendiéndose éste como la posibilidad de pérdida debido al incumplimiento de las obligaciones contractuales asumidas por una contraparte, siendo esta última un prestatario o un emisor de deuda. Este riesgo comprende el Riesgo del Emisor, el cual surge al negociar los activos de un emisor en los mercados primario y secundario, y representa el cambio potencial adverso en el valor de mercado de un título provocado por la percepción del mercado de la fortaleza financiera del emisor (rating, riesgo país, riesgo de insolvencia, etc.). Para administrar ésta exposición al riesgo de crédito de emisores, en las operaciones de intermediación, se realiza un análisis financiero de cada uno de los emisores, al menos una vez al año; para luego establecerse un límite, existiendo un proceso detallado para el establecimiento de estos límites o cupos de inversión para cada emisor, que es aplicable al Conglomerado.
2. Riesgo de Contraparte: se refiere al riesgo derivado de la pérdida que se puede producir debido al incumplimiento de las obligaciones contractuales asumidas, por una parte, para la liquidación de una operación, dada situaciones de iliquidez, insolvencia, capacidad operativa o actuaciones indebidas. Considera el riesgo de liquidación (settlement), que es el riesgo generado en el periodo comprendido entre la fecha de contratación de la operación y la fecha de liquidación, cuya medición se hace para las transacciones de compra o venta en la Casa de Corredores de Bolsa.
3. Riesgo Custodia: es la posibilidad de pérdida que afecte a los valores mantenidos en custodia debido a la insolvencia, negligencia, el fraude, la administración deficiente o el mantenimiento inadecuado de los registros de un custodio. Siendo que, la función actual de la Casa de Corredores de Bolsa es únicamente de intermediario, es CEDEVAL quien se encarga de la custodia de los títulos valores transados para inversiones.
4. Riesgo de Liquidez: es la posibilidad de incurrir en pérdidas por no disponer de los recursos suficientes para cumplir con las obligaciones asumidas, incurrir en costos excesivos y no poder desarrollar el negocio en las condiciones previstas. La gestión de este riesgo no aplica para la Casa de Corredores de Bolsa, ya que no administra fondos de terceros.
5. Riesgo de Mercado: es la posibilidad de pérdida, producto de movimientos en los precios de mercado que generan un deterioro de valor en las posiciones dentro y fuera del balance o en los resultados financieros de la entidad. Este se monitorea a través de mediciones como el Valor en Riesgo (VaR) en caso se tuvieran portafolios de inversiones.
6. Riesgo Operacional: Es la posibilidad de incurrir en una pérdida debido a deficiencias o fallas en los sistemas de información, procesos, personas, controles internos, y/o eventos externos; así como, los riesgos: legal, fraude, tecnológico, estratégico.

Para esto Valores Cuscatlán, ha implementado procesos y procedimientos para asegurar el cumplimiento con las regulaciones locales sobre el Riesgo Operacional, con el fin de establecer un marco consistente para la evaluación y comunicación de este riesgo, así como la efectividad del ambiente de control interno.

La gestión de riesgo operacional y su estructura de gobierno contiene tres niveles de defensa en los que se distribuyen diferentes responsabilidades como sigue:

• Primera Línea de Defensa:
  Las Unidades de Negocio junto con las Unidades de Soporte al Riesgo Operacional son dueños de sus riesgos operacionales y por ende el primer frente para el manejo de sus riesgos. Como dueñas de sus riesgos, son responsables de la mitigación de éstos por medio del desarrollo e implementación de sistemas de control interno, y verificando que estos controles están debidamente diseñados y operando efectivamente en línea con las guías de manejo de control de Valores Cuscatlán.
• Segunda Línea de Defensa:
  El objetivo de la segunda línea de defensa es responsable de definir directrices (Estándares, Manuales, Políticas y Procedimientos) de riesgo y control para la Primera Línea de defensa y los gestiona y supervisa activamente en toda la entidad con el fin de proteger a la institución de riesgos Operacionales, regulatorios, financieros, de reputación y mitigar riesgos emergentes.
  Forman parte de la segunda línea de defensa: La Dirección, Legal y Regulatoria, la Sub Gerencia de Cumplimiento Regulatorio y la Oficialía de Cumplimiento, y conforman el grupo de Gerencias Funcionales; que dan soporte sobre los temas legales o regulatorios que podrían afectar significativamente a Valores Cuscatlán.
  Riesgo Operacional como parte de la segunda línea de defensa es la encargada de establecer una Gestión adecuada del riesgo, apoyar a las unidades en la implementación de esta, y fomentar que las áreas establezcan medidas correctivas sobre deficiencias en los procesos internos, de acuerdo con lo establecido en el Manual de Gestión Integral de Riesgos de Valores Cuscatlán, S.A. de C.V. Casa Corredores de Bolsa.
  Se cuenta con un marco normativo para la Gestión de Riesgo Operacional, que evalúa, anticipa y mitiga los riesgos operacionales y su impacto en el negocio, para lo cual se apoya en las siguientes herramientas definidas para la administración de estos riesgos, como lo son:
  1. Matrices de Control Gerencial (MCG)
  2. Indicadores Claves de Riesgo Operacional (KRI)
  3. Administración de Pérdidas Operativas y Base de datos centralizada.
  4. Política de Prestación de Servicios por Terceros.
  5. Evaluación de riesgos a Nuevas Iniciativas, entre otras.
  
  Adicionalmente, dentro de Riesgo Operacional se encuentran las áreas de Continuidad del Negocio y Seguridad de la Información que administran los riesgos relacionados a sus áreas de competencia.
  1. Continuidad del Negocio:
     Es la capacidad de una organización para continuar entregando productos o servicios a niveles predefinidos y aceptables después de un incidente disruptivo.
     Para lograr que se cumplan estos objetivos se ha implementado un conjunto de controles; incluyendo la política, roles y responsabilidades en la continuidad de negocio para implementar la estructura organizacional, procedimientos y funciones que darán cumplimiento a la misma.
     La “Política de Continuidad de Negocio” proporciona un marco detallado para la gestión y mitigación de eventos que ponen en riesgo la continuidad de la operación, de tal forma que se ejecute la recuperación de sus procesos críticos con el menor impacto a la operación, y toma como marco de referencia las normas ISO 22301 así como los requisitos regulatorios de la Continuidad de negocio en El Salvador, incluyendo las Normas Técnicas para el Sistema de la Gestión de Continuidad de negocio NRP-24 y todas la regulaciones vigentes.
     La Política de Continuidad de Negocio en conjunto con los Estándares de Continuidad de Negocio proporciona un marco detallado para la gestión y mitigación de eventos que ponen en riesgo la continuidad de la Operación. También define la metodología y detalle de todos los elementos y requisitos mínimos para la Gestión de la Continuidad de Negocio en toda la organización:
     • Roles y responsabilidades de los participantes en la gestión de continuidad del negocio.
     • El análisis de impacto del negocio (BIA).
     • Diseño y selección de estrategias de continuidad del negocio.
     • Definición de planes de continuidad de negocio (BCP).
     • Ejecución de pruebas de los planes de continuidad de negocio.
     • Un plan de recuperación de desastres (DRP).
     • Procedimientos para gestión de crisis.
     
     La implantación efectiva de los Estándares facilita la recuperación de procesos críticos para:
     
     1. Minimizar los efectos de interrupciones al Negocio.
     2. Asegurar la continuidad del servicio y el apoyo a nuestros clientes.
     3. Mantener la capacidad de recuperación antes, durante y después de un evento de interrupción.
     
     Con todo lo anterior Valores Cuscatlán busca mitigar los riesgos previos, durante y posteriores a un evento inesperado que afecte el normal funcionamiento de las operaciones y servicios de la Institución, con el menor impacto a la operación.
  2. Seguridad de la Información:
     La información es un activo esencial para la Institución, el cual está expuesto a una amplia gama de amenazas y vulnerabilidades, por lo que necesita ser protegida adecuadamente en cada una de sus formas: impresa o escrita en un papel, almacenada electrónicamente, transmitida por correo o utilizando medios electrónicos, mostrada en películas o hablada en una conversación.
     Por lo tanto, la aplicación de acciones y procedimientos de Seguridad de la Información y de Ciberseguridad constituyen la protección de la información de un amplio rango de amenazas para poder asegurar la continuidad del negocio, minimizar los riesgos de los negocios y maximizar el retorno de las inversiones y las oportunidades de negocio.
     Para lograr que se cumplan los objetivos estratégicos de la Seguridad de la Información y Ciberseguridad se ha implementado un conjunto de controles, incluyendo políticas, procesos, procedimientos, estructuras organizacionales y funciones de software y hardware.
     La “Política de Seguridad de la Información y Ciberseguridad” identifica los requisitos de protección de la información alineados con los objetivos de la Institución, a fin de garantizar la disponibilidad, integridad y confidencialidad de la información y toma como marco de referencia las normas ISO 27001 e ISO 27032 así como los requisitos de Seguridad de la Información regulatorios en El Salvador, incluyendo las Normas Técnicas para la Gestión de la Seguridad de la Información NRP-23 y todas las regulaciones vigentes.
     La Política es la base para los “Estándares de Seguridad de la Información y Ciberseguridad”, en donde se establecen los requisitos mínimos para la administración en los siguientes rubros:
     
     1. Organización de la Seguridad de la Información
     2. Gestión de activos
     3. Seguridad de recursos humanos
     4. Seguridad física y ambiental
     5. Gestión de comunicaciones y operaciones
     6. Control de acceso
     7. Adquisición, desarrollo y mantenimiento de sistemas
     8. Gestión de Incidentes de Seguridad de la Información
     9. Gestión de continuidad del negocio
     10. Cumplimiento
     
     Para ejecutar adecuadamente los controles que mitigan el riesgo de Seguridad de la Información y Ciberseguridad, se designa a un Oficial de Seguridad de la Información del área como responsable de velar el cumplimiento de las pruebas institucionales de Seguridad de la Información en su unidad.
     Con todo lo anterior Valores Cuscatlán busca mitigar las pérdidas por riesgo en procesos, mejorar la reputación frente a Entes Regulatorios, Inversionistas, Clientes, así como una cultura de constante mejora en sistemas y procesos.
• Tercera Línea de Defensa:
  Auditoría Interna es el tercer frente de defensa. Brinda servicios independientes y objetivos de aseguramiento y consultoría, diseñados para agregar valor y mejorar las operaciones de Valores Cuscatlán, S.A. de C.V. La actividad de auditoría interna ayuda a la Junta Directiva y Alta Gerencia a lograr sus objetivos, aportando un enfoque sistemático y disciplinado para evaluar y mejorar la eficacia de los procesos de gestión de riesgos, control y gobierno.
• Riesgo Reputacional: es la posibilidad de incurrir en pérdidas, producto del deterioro de imagen de la entidad, debido al incumplimiento de leyes, normas internas, códigos de gobierno corporativo, códigos de conducta, lavado de dinero, entre otros. Para la gestión de este riesgo, la Institución cuenta con manuales que comprenden estándares, políticas y procedimientos necesarios que permiten proteger la reputación de la Institución y de sus empleados de una forma adecuada.
  Existen límites y tolerancias relacionados con cada riesgo, cuyas metodologías y cálculos están documentados en el Manual de Riesgos.
  Se cuenta con un sistema interno contable para extracción de información, además de información pública de entidades regulatorias (BCR, SSF y Bolsa de Valores) y calificadoras de riesgo, para el cálculo de indicadores y mediciones.

Existe un Manual de Gestión Integral de Riesgos que describe, consolida y documenta las principales políticas, procedimientos, la gobernanza e interrelaciones de las diferentes unidades, lineamientos y controles para el manejo de los riesgos de Valores Cuscatlán, S.A. de C.V., Casa de Corredores de Bolsa, estableciendo las disposiciones generales para fortalecer la gestión, acorde a la naturaleza y actividades de la entidad. Este manual es revisado anualmente y aprobado por la Junta Directiva.