23988731
Description
Mind Map by RAMIREZ CAMPOVERDE KATHERINE ESTEFANIA, updated more than 1 year ago
|
Created by RAMIREZ CAMPOVERDE KATHERINE ESTEFANIA
over 4 years ago
|
|
CAPÍTULO V.- NORMA DE CONTROL PARA LA GESTIÓN DEL RIESGO OPERATIVO
- Aplicables a entidades del sector financiero y controladas por Superintendencia de Bancos
- Entidades
controladas
- La posibilidad de que se ocasionen pérdidas por eventos derivados de fallas o
insuficiencias en los factores de:
- -Procesos
-Personas
-Tecnología de la
información
-Eventos externos.
- Riesgo Legal
- Excluye los riesgos
sistemáticos
- Entidades controladas sufran
pérdidas
- Activos en situaciones de vulnerabilidad.
Pasivos puedan verse incrementados.
- Desarrollo de sus operaciones por la incorrecta aplicación de disposiciones
legales, así como de instrucciones de carácter general o particular de los
organismos de control
- Activos en situaciones de vulnerabilidad.
Pasivos puedan verse incrementados.
- Excluye los riesgos
sistemáticos
- Administración del Riesgo
- Permite a las entidades controladas
crear
- Políticas, procesos,
procedimientos
metodologías
- Identificar los riesgos operativos por línea de
negocio
- Tipos de eventos de riesgo
- Fraude interno y externo
- Prácticas laborales y seguridad del ambiente de trabajo
- Prácticas relacionadas con los clientes, los
productos y el negocio
- Daños a los activos físicos
- Fallas en la tecnología de la información
- Fallas en la tecnología de la información
- Deficiencias en el diseño y/o la ejecución de procesos
- Medir el riesgo
- Determinando su probabilidad de ocurrencia e impacto
para la entidad
- Permitiendo al directorio y a la alta gerencia contar
con una visión clara de la exposición al riesgo
operativo
- Permitiendo al directorio y a la alta gerencia contar
con una visión clara de la exposición al riesgo
operativo
- Control
- Entidades controladas
- Planes de mitigación formalmente establecidos y
validados periódicamente
- Implementación o modificación de límites de
riesgo
- Revisión de términos de pólizas de seguro
contratadas
- Revisión de términos de pólizas de seguro
contratadas
- Implementación o modificación de límites de
riesgo
- Planes de mitigación formalmente establecidos y
validados periódicamente
- Monitoreo
- Indicadores claves de riesgo operativo
- Grado de cumplimiento de los planes de
mitigación
- Matriz y mapas de riesgos
operativos
- Matriz y mapas de riesgos
operativos
- Grado de cumplimiento de los planes de
mitigación
- Reporte
- Indicadores claves de riesgo operativo
- Entidades controladas
- Determinando su probabilidad de ocurrencia e impacto
para la entidad
- Fraude interno y externo
- Tipos de eventos de riesgo
- Identificar los riesgos operativos por línea de
negocio
- Políticas, procesos,
procedimientos
metodologías
- Permite a las entidades controladas
crear
- -Procesos
-Personas
-Tecnología de la
información
-Eventos externos.
- Entidades
controladas
- Factores de riesgo
operativo
- Minimiza la probabilidad de incurrir pérdidas al riesgo operativo
- Factores
- Procesos
- Procesos
Gobernantes
- Proporcionan directrices y políticas a los
demás
- Proporcionan directrices y políticas a los
demás
- Procesos
productivos
- Son los procesos de la entidad
- Son los procesos de la entidad
- Procesos habilitantes
- Apoyan a los procesos estratégicos y
productivo
- Apoyan a los procesos estratégicos y
productivo
- Procesos
Gobernantes
- Personas
- Las entidades deben administrar el
capital humano
- Políticas
- Incorporación
- Reclutamiento e
incorporación del
personal
- Reclutamiento e
incorporación del
personal
- Permanencia
- Creación de
condiciones
laborales optimas
- Creación de
condiciones
laborales optimas
- Desvinculación
- Planificación de
salida del
personal
- Planificación de
salida del
personal
- Incorporación
- Políticas
- Las entidades deben administrar el
capital humano
- Tecnología de
la
información
- Las entidades controladas deben garantizar
el procesamiento, almacenamiento y
transmisión de la información
- Gestión del riesgo
tecnológico
- Contar con área
tecnológica
- Garantiza el soporte de
operación actuales y futuros
- Establece los procedimientos de
gestión y respaldo de datos
- Contar con área
tecnológica
- Gestión del riesgo
tecnológico
- Las entidades controladas deben garantizar
el procesamiento, almacenamiento y
transmisión de la información
- Eventos externos
- Plan de
continuidad del
negocio
- Las entidades deben contar con plan de
continuidad
- Escenarios de
riesgos
- Estrategias de
continuidad
- Objetivos
- Escenarios de
riesgos
- Las entidades deben contar con plan de
continuidad
- Administración de la continuidad
del negocio
- Deben establecer un proceso de administración continuidad
del negocio que permita
- Planificar
- Mantener
- Mejorar
- Planificar
- Deben establecer un proceso de administración continuidad
del negocio que permita
- Plan de
continuidad del
negocio
- Procesos
- Factores
- Minimiza la probabilidad de incurrir pérdidas al riesgo operativo
- Seguridad en canales
electrónicos
- Cumplir con parámetros para evitar eventos
fraudulentos
- Implementar buenas prácticas de seguridad
- Mecanismos para
monitorear periódicamente
- Utilizar técnicas de cifrado
- Contar con software
antimalware
- Renovar por lo menos una vez al año las claves de acceso
- Incorporar el bloqueo de los canales electrónicos cuando se presenten
eventos inusuales.
- Mantener mínimo 12 meses el registro histórico
- Que los clientes puedan reportar emergencias bancarias y funcione
24/7
- Mantener mínimo 12 meses la grabación de
llamadas de los clientes
- Informar y capacitar
permanentemente a los
clientes
- Implementar buenas prácticas de seguridad
- Cajeros
automáticos
- Garantizar la seguridad de
transacciones en cajero
automático.
- Las claves no deben ser almacenadas
- Ejecutar procedimientos de auditoría de
seguridad
- Mecanismos de autentificación en
transacciones.
- Las claves no deben ser almacenadas
- Garantizar la seguridad de
transacciones en cajero
automático.
- Puntos de
venta
- Los establecimientos comerciales confirmen su identidad y
cuenten con la debida autorización
- Establecer comunicaciones inalámbrica y
procesar la información
- Los establecimientos comerciales confirmen su identidad y
cuenten con la debida autorización
- Banca
electrónica
- Implementar los algoritmos y protocolos en
páginas web
- Mecanismos para que los clientes no accedan
a páginas web falsas.
- Establecer un tiempo máximo de
inactividad
- Implementar los algoritmos y protocolos en
páginas web
- Banca
móvil
- Mecanismos para la ejecución de transacciones desde
dispositivos autorizados únicamente
- Mecanismos para la ejecución de transacciones desde
dispositivos autorizados únicamente
- Disposiciones
generales
- Contratar anualmente compañías de seguro
privado, ante los siguientes riesgos:
- Revelación ilegal de bases de datos
- Interceptación ilegal de datos
- Transferencia electrónica del
activo patrimonial
- Ataque a la integridad a los
sistemas informáticos
- Revelación ilegal de bases de datos
- Contratar anualmente compañías de seguro
privado, ante los siguientes riesgos:
- Cumplir con parámetros para evitar eventos
fraudulentos
- Riesgo legal
- Las entidades
controladas
- Identificarán, medirán,
controlarán, mitigarán y
monitorearán
- Atribuciones formales, y
contarán con el personal
capcitado
- Identificarán, medirán,
controlarán, mitigarán y
monitorearán
- Las entidades
controladas
- Administración
de proyectos
- Funciones y
responsables
- Políticas, procesos,
procedimientos y metodología
- Políticas, procesos,
procedimientos y metodología
- Metodología acorde a las
mejores prácticas
internacionales
- Acta de constitución,
alcance, costos y
adquisiciones
- RRHH, comunicación,
monitoreo y acta de
cierre
- Acta de constitución,
alcance, costos y
adquisiciones
- Repositorio con las
seguridades para
almancenar la
documentación
- Funciones y
responsables
- Servicios provistos por
terceros
- Implementar un proceso integral para la
administración de proveedores
- Establecer políticas, procesos y
procedimientospara asegurar
la contratación
- Niveles mínimos de calida
- Garantías financieras y técnicas
- Multas y penalizaciones
- Confidencialidad de la
información
- Derechos de propiedad
intelectual
- Niveles mínimos de calida
- Administrar los riesgos a los que se exponen al
contratar servicios provistos por terceros
- Establecer políticas, procesos
y procedimientos
- Evaluación experiencia de la empresa,
personal, financiera y capacidad logística
- Evaluación experiencia de la empresa,
personal, financiera y capacidad logística
- Contratación de servicios de
infraestructura, plataforma y/o
software
- Informar a la
Superintendencia de
Bancos
- El proveedor de servicios
debe contar con la
certificación ISO 27001
- Informar a la
Superintendencia de
Bancos
- Establecer políticas, procesos y
procedimientospara asegurar
la contratación
- Implementar un proceso integral para la
administración de proveedores
- Seguridad de la información
- Las entidades controladas
deben tener como
referencia la ISO 27000
- Funciones y responsabilidades
- Formar un comité de seguridad
de la información
- Un área independiente y
especializada con peronal
capacitado
- Funciones y responsabilidades
- Deben establecer, implementar, operar,
monitorear, mantener y mejorar un
sistema de gestión de seguridad de la
información
- Alcance del sistema
- Políticas, objetivos, procesos,
procedimientos y metodologías
- Inventario de activos de información, con su
clasificación
- Valor, requerimientos legales, sensibilidad y
criticidad para la entidad, propietario,
custodio y ubicación
- Valor, requerimientos legales, sensibilidad y
criticidad para la entidad, propietario,
custodio y ubicación
- La designación de los propietarios de los
activos de información
- Identificación y documentación de los
requerimientos y controles
- Plan de seguridad de la
información
- Información para verificar el
cumplimiento de las políticas,
procesos, procedimientos y
controles
- Monitoreo de
cumplimiento y
efectividad
- Evaluación del
desepeño del sistema
de gestión
- La unidad responsable de la seguridad
de la información debe implementar:
- Procedimientos de
eliminacion de la
informacón crítica
- Medidas para proteger
la información
contenida
- Políticas y controles para
detectar y evitar la
instalación del software no
autorizado
- Procedimientos de
eliminacion de la
informacón crítica
- Alcance del sistema
- Las entidades controladas
deben tener como
referencia la ISO 27000
Want to create your own Mind Maps for free with GoConqr? Learn more.