La estructura de riesgo asumible tiene en cuenta: políticas, procesos, controles y sistemas a través de los cuales el riesgo asumible se establece, se comunica, y se sigue. Incluye una declaración de cuál es el riesgo asumible, y sus límites, así como el papel y responsabilidades de quienes supervisan, implantan y siguen la estructura de riesgo asumible. Este concepto de riesgo es amplio, y se consideran también riesgos materiales y de reputación del banco.
Riesgo asumible y negocio
Sin duda el riesgo sobre el que mejor se puede trabajar y hay que hacer un esfuerzo continuado es el de crédito y el de negocio, buscando un equilibrio entre rentabilidad y riesgo. Puede decirse que el riesgo asumible se alinea con la estrategia del banco cuando se definen los tipos de riesgos que el banco acepta o evita, y se hace en relación con los objetivos de negocio. Y esta relación debe cuantificarse: qué ingresos se espera obtener, qué capital es necesario, qué medidas de riesgo y liquidez se están utilizando.
El esquema resulta incompleto si lo vemos sólo como control y seguimiento del riesgo. Hay que verlo desde la perspectiva del negocio, como una relación entre riesgo y rentabilidad y, por tanto, considerando aspectos como la dimensión necesaria del negocio, y con ello el papel de los costes distintos a, por ejemplo, los impagos. También hay que entender que los procesos y sistemas están para mejorar la rentabilidad, dada una estructura del balance.
En suma, entendemos que el llamado “apetito por el riesgo”, al que nos hemos referido como “riesgo asumible”, no es una declaración sobre la posición de los órganos de gobierno sobre el riesgo, sino un sistema, una estructura, que define el riesgo de manera compleja e integrada con el balance y el negocio. La dificultad de definir esta cuestión de manera simple es obvia, pues por poner de nuevo como ejemplo el crédito, un límite como la tasa de morosidad objetivo sólo se ve si se cumple o no a posteriori, cuando se ha producido. La conclusión es que los límites hay que ponerlos en función de los objetivos de negocio, la capacidad para asumir riesgo, los medios de seguimiento con que se cuenta, la preparación de los recursos humanos y, en este caso, las herramientas para la gestión del riesgo de crédito.
En la estructura de gobierno del riesgo tienen que estar definidas las responsabilidades en la gestión del riesgo en tres líneas:
- A nivel de negocio
- En la función de cumplimiento y de gestión del riesgo
- En la función de auditoría interna
Se entiende que las unidades de negocio tienen que asumir riesgo siguiendo las políticas, procesos y controles establecidos por el banco. La forma en que ejecutan sus responsabilidades debería reflejar la cultura de riesgo del banco. Pero aquí pueden darse también inconsistencias de comunicación y procesos, por ejemplo entre la voluntad declarada por el banco de incrementar su cartera de préstamos, y la reticencia del negocio a asumir ese riesgo. O puede trabajarse con métodos de scoring inadecuadamente calibrados en relación a una estrategia anunciada por el banco. Estas inconsistencias pueden darse entre las estrategias anunciadas y el desarrollo del negocio.
También, por su proximidad a situaciones de riesgos, los que tienen que llevar a cabo la estrategia son los que mejor pueden identificar las oportunidades y los riesgos. Si se capturara información sistemática a este nivel, sobre aspectos cuantitativos y cualitativos de riesgo, se procesara a nivel central, y se cruzara con otra información disponible, podría obtenerse una información muy útil para la toma de decisiones.
Las funciones de cumplimiento, gestión y auditoría del riesgo son independientes del negocio. En los últimos años se ha insistido mucho en esta independencia y capacidad efectiva de actuación, sobre todo de la función de cumplimiento, y su relación con el consejo de administración del banco. Las políticas y controles deben ser revisados y mejorados, adaptándolos a la evolución de la normativa, la estrategia del banco y el entorno de negocio.
La función de control del riesgo
La gestión del riesgo parte de una función de gestión del riesgo, entendido de manera amplia, bajo la dirección, en su caso, de un Jefe de Riesgos, con suficiente nivel, independencia, disponibilidad de recursos, y capacidad de comunicación con el consejo.
Las funciones de gestión del riesgo son:
- Identificar riesgos, individuales y agregados.
- Cuantificar la exposición del banco a los mismos.
- Apoyar al consejo en la implantación y revisión de una estructura de gobierno del riesgo (cultura de riesgo, riesgo asumible, límites de riesgo).
- Seguimiento de las exposiciones al riesgo, para asegurarse que está en línea con lo aprobado por el consejo respecto al riesgo asumible, y las limitaciones de capital y liquidez.
- Establecer alarmas ante posible vulneración de lo anterior, o decisiones con riesgo no contempladas.
- Comunicar con el núcleo de dirección, consejo o comité de riesgos en su caso, y proponer si procede acciones para unificar riesgos.
El papel del Jefe de Riesgos va a depender de las características de la entidad, y es un puesto que se define en correspondencia con las características generalmente reconocidas y asignadas a la función de control del riesgo. Puede ser de interés tener personas que roten en puestos de negocio y de gestión del riesgo, de manera que en el negocio se entienda qué se pretende con el control y gestión del riesgo, y la función de control del riesgo entienda cómo funciona el negocio.
Identificación, seguimiento y control del riesgo
El riesgo debería ser identificado, seguido y controlado desde la perspectiva del banco en su conjunto, y de riesgos individuales. Por ejemplo, es relativamente fácil identificar el riesgo de crédito por la morosidad; pero es más difícil de valorar el riesgo de pérdida de negocio y de rentabilidad en un entorno competitivo y cambiante. Los cambios en el riesgo se dan por el perfil de riesgo del banco, pero también por el riesgo de entorno y cómo evoluciona la competencia.
Tal como se define, este concepto es demasiado amplio y ambiguo como para poder cuantificarse y valorarse de una forma homogénea. Como decimos, el riesgo material de las unidades de negocio es fácil de identificar en lo que se refiere a la morosidad del crédito; pero no tanto en lo que respecta a la venta de productos de fuera de balance.
No obstante, en el documento se pide que haya formas de valorar cuestiones como el riesgo de reputación, pero aunque el mismo concepto de reputación y sus consecuencias materiales para el negocio pueden intuirse y simularse, no es valorable de forma cierta. Sin embargo, hay aproximaciones muy interesantes como, por ejemplo, la evolución del valor de la marca, que recoge el potencial de desarrollo de negocio, productos, o del valor de la acción.
Es importante para identificar, seguir y controlar riesgos disponer de una buena base de datos, una arquitectura de datos, y una infraestructura y tecnología de la información. Los sistemas de información en relación al riesgo son imprescindibles para nuevas líneas de negocio o productos, y cuando se producen fusiones. Estos sistemas de información deben estar preparados para cruzarse con bases de datos externas. Los modelos de riesgo juegan aquí un papel fundamental como apoyo a la toma de decisiones.
Sin embargo, se insiste en que las técnicas de modelización y de medida del riesgo deberían usarse junto con un análisis cualitativo y el seguimiento del riesgo. Desde nuestro punto de vista, descansar en modelos simplistas como el VaR siempre ha resultado inadecuado (teórica y empíricamente), pero existen formas adecuadas de trabajar con modelos, teniendo en cuenta lo siguiente:
- El consejo y el núcleo directivo debe conocer las limitaciones y los supuestos en que se basan modelos y análisis.
- El banco debe utilizar test de estrés y análisis de escenarios para comprender mejor la exposición al riesgo bajo circunstancias adversas.
- Las correlaciones y relaciones de causalidad entre variables pueden distinguirse y analizarse.
- Los escenarios pueden discutirse y revisarse, así como los propios test de estrés.
- El “back-testing” sigue siendo una buena herramienta para probar supuestos.
- Lo anterior puede incorporarse a procesos de recuperación, venta de activos, o situaciones de iliquidez de algunos mercados.
- Los resultados de los análisis y modelos podrán comunicarse a líneas de negocio e individuos dentro del banco, para establecer un proceso de retroalimentación de información.
Los bancos deben aprobar procesos de gestión del riesgo en relación a nuevas actividades, y sobre todo para transacciones o fusiones que requieren utilización de recursos, y cuyo riesgo no es fácil de cuantificar. Concretamente podría trabajarse sobre lo siguiente:
- Una relación de riesgos potenciales en distintos escenarios, así como la capacidad y limitaciones del banco para abordarlos.
- Si el banco dispone de medios, tecnología y experiencia suficientes para medir y gestionar los riesgos de una fusión.
- Cómo se va adaptando lo anterior a medida que la operación evoluciona y madura.
Comunicación del riesgo
Una estructura efectiva de gobierno del riesgo requiere una sólida comunicación dentro del banco sobre riesgo, tanto para la organización como para el consejo y el núcleo de dirección.
El consejero-delegado debe mantener informado al consejo de los planes y actividades relevantes, de manera que las funciones de control puedan valorar adecuadamente el riesgo de los mismos.
La información debe enfocarse a identificar las cuestiones clave. Debe evitarse la información voluminosa, y presentarse de una manera concisa y dentro del contexto concreto de lo que se pretende llevar a cabo.
La relevancia y exactitud de la información que se le presenta, así como las carencias de la misma, debería establecerse periódicamente por el consejo.
La información debería incluir el entorno, identificando condiciones y tendencias de mercado que puedan tener impacto en el perfil del riesgo del banco.
El carácter dinámico de la información exige disponer de sistemas que integren modelos de entorno con el balance, explicitando las limitaciones de las estimaciones y los supuestos en que se basan.
La información debería estar preparada de manera que hubiera un intercambio efectivo de dentro del banco.
