Cálculo de pérdidas estimadas por riesgo operacional en las entidades financieras

La regulación bancaria de Basilea II establece para las entidades financieras la necesidad de hacer reservas de  capital para cubrirse frente a las posibles pérdidas por riesgo de mercado, riesgo de crédito y, además, para las originadas por riesgo operacional. El foco de este artículo es describir algunos aspectos esenciales de la gestión del riesgo operacional bajo el modelo avanzado de la regulación Basilea.

Recordemos que el riesgo operacional se puede definir como:

El riesgo de pérdidas resultantes de procesos o sistemas inadecuados o fallidos, factores humanos, obligaciones contractuales, tecnología, infraestructura y desastres, eventos externos, prácticas de negocio o relaciones con clientes… ”.

Aunque el riesgo operacional ha sido siempre una realidad que las entidades han tenido que gestionar;  la globalización, los efectos de la crisis, la creciente complejidad de los productos y servicios financieros, el creciente outsourcing de procesos y la prevalencia de la tecnología han sido algunos de los factores decisivos para que los reguladores establezcan la necesidad de una gestión diferenciada, rigurosa y sistemática del riesgo operacional. Las categorías de riesgos operaciones que contempla Basilea II son:

  • Fraude Interno: Pérdidas debidas a actos deliberados originados dentro de la empresa y encaminados a defraudar, apropiarse de bienes indebidamente o saltarse regulaciones, leyes o políticas de la compañía.
  • Fraude Externo: Pérdidas debidas a actos deliberados originados por terceras partes desde fuera de la empresa y encaminados a defraudar, apropiarse de bienes indebidamente o saltarse regulaciones o leyes
  • Prácticas laborales y seguridad del puesto de trabajo: Pérdidas derivadas de incumplimiento de la legislación laboral, de las obligaciones contractuales con los empleados, de la legislación de prevención de riesgos laborales o de sanciones por actos de discriminación (por razón de raza, sexo…).
  • Prácticas de negocio, de gestión de clientes o de productos: Pérdidas derivadas del incumplimiento (negligente o involuntario) de las obligaciones profesionales con los clientes o como consecuencia de la naturaleza o diseño de los productos.
  • Daño a activos físicos: Pérdidas derivadas de daños o perjuicios a la integridad física de activos de la organización como consecuencia de desastres naturales u otros eventos.
  • Discontinuidad del negocio y fallos de sistemas: Pérdidas derivadas de la interrupción del negocio o fallos en los sistemas informáticos.
  • Ejecución, resolución y gestión de procesos: Pérdidas derivadas de fallos en las transacciones o la gestión de procesos, o de relaciones con las contrapartidas o proveedores.

Modelo avanzado de cálculo del capital regulatorio (AMA)

Basilea II establece diferentes métodos alternativos para que las entidades puedan calcular sus necesidades de capital regulatorio frente al riesgo operacional, siendo el llamado modelo avanzado (AMA, de sus siglas en inglés Advanced Measurement Approach) el que da a las entidades mayor flexibilidad y resulta en una menor necesidad de capital. Es además el que los reguladores esperan que sea aplicado por las entidades más grandes.

No hay que olvidar que desde la perspectiva de los gestores y los inversores de una entidad, la reserva de capital conviene que sea lo más pequeña posible, dado que el capital es dinero “congelado” y cuanta menor cantidad sea requerida para respaldar las pérdidas, mayor cantidad de dinero queda para, por ejemplo, pagar dividendos.

El modelo AMA permite a las entidades desarrollar sus propias herramientas y modelos matemáticos de medición del riesgo y sus necesidades de capital y exige como requisito que las entidades tengan reservas de capital suficientes para cubrir, con una certeza del 99.9 %, todas las pérdidas anuales por riesgo operacional.

Un segundo requisito de AMA es que el modelo usado debe contemplar los siguientes elementos:

  • Datos de pérdidas incurridas por la entidad (pérdidas internas)
  • Datos sobre pérdidas incurridas por otras entidades (información sobre pérdidas externas)
  • Datos derivados de análisis de escenarios posibles de riesgo (estimación cualitativa de escenarios de baja probabilidad de ocurrencia pero alto impacto)
  • Datos relevantes del entorno de negocio y del marco de control interno de la entidad

En muchas ocasiones, estos elementos se usan como una fuente de información para ajustar el resultado de los procesos de cálculo de capital más que como un input directo en el proceso de cálculo del mismo, dada la complejidad técnica y metodológica que conllevan.

Pérdidas esperadas y pérdidas inesperadas

El modelo AMA, debe cubrir el nivel de pérdidas esperadas (EL, Expected losses), pero también en gran medida las pérdidas inesperadas (UL, unexpected losses). Las primeras, podrán ser cubiertas mediante provisiones e incluso repercutiendo las pérdidas esperadas en el precio. Las segundas, mediante capital regulatorio.

Veamos esto de manera más visual. En la siguiente gráfica se muestra una curva prototípica de probabilidad de incidentes operacionales con pérdida según magnitud de las mismas.

CURVA_01

Como puede apreciarse, la gran mayoría de los incidentes se concentran en la franja de pérdidas de menor cuantía. Este tipo de incidentes son los más fáciles de estimar ya que suelen estar relacionados con el día a día de la entidad y hay una experiencia real sobre los mismos (ej: una sanción por incumplimiento de protección de datos, o las pérdidas en concepto de fraude online). Por el contrario, en la franja de los incidentes inesperados, se agrupan aquellos eventos que no suelen ocurrir frecuentemente, pero que cuando suceden causan pérdidas severas (ej: una explosión en el datacenter o la quiebra de la entidad como consecuencia de operaciones de trading no autorizadas).

Las pérdidas esperadas pueden ser respaldadas mediantes provisiones contables y/o repercutiendo las pérdidas en el precio; por el contrario, las inesperadas deben ser respaldadas mediante la reserva de capital regulatorio, aunque además podría valorarse suscribir una póliza de seguro para aliviar el capital requerido.

En la franja de las pérdidas catastróficas (más allá del percentil 99,9 %), el coste de conseguir respaldo para este tipo de contingencias puede ser inasumible para las entidades y por tanto, es el riesgo residual que se acepta.

CURVA_02

El método del cálculo de la distribución de pérdidas

Aunque AMA no establece un método concreto para la estimación de las pérdidas, uno de los métodos más frecuentes es el de la distribución de pérdidas (LDA, Loss Distribution Approach). El método consiste en el cálculo mediante procedimientos estadísticos de una distribución de probabilidad de las pérdidas anuales.  El modelo más simple toma como punto de partida el histórico de pérdidas acaecidas (y obtenidas a partir de la base de datos de incidentes internos de la entidad y la referencia de incidentes externos ocurridos en otras entidades) y usan el resto de elementos (eventos externos, scenario analysis, etc…) para ajustar con posterioridad los resultados obtenidos.

Modelando la frecuencia y la severidad de los incidentes

El primer paso consiste en el cálculo (a partir de la información de pérdidas internas y externas) de una función que represente la frecuencia anual de ocurrencia de los incidentes; el segundo paso consiste en el cálculo de una función de distribución de la severidad de las pérdidas. Normalmente se asume que la frecuencia se ajusta a una distribución de Poisson que es un estándar en la industria para modelar eventos distribuidos aleatoriamente; en el caso de la distribución de severidad, la curva teórica se ajusta a partir de los datos reales siguiendo el método de máxima verosimilitud.

Distribuciones_Parciales

Hay que aclarar que este ejercicio y los pasos que se describen a continuación se deben llevar a cabo para cada uno de los tipo de riesgo operacional y para cada línea de negocio, consolidándose posteriormente los resultados para obtener la visión agregada global a nivel de entidad.

Simulación de Monte Carlo

Una vez que las distribuciones de frecuencia y severidad han sido modeladas, el siguiente paso es usar esas distribuciones para generar una serie de datos simulados que tienen las mismas características que las de los incidentes reales usados para calcular ambas distribuciones: Primero se elige aleatoriamente un dato en la distribución de frecuencia, esto determinará el  número de incidentes que se pronostica que puedan ocurrir en un año. Después, para cada uno de estos incidentes simulados se calcula su severidad obteniendo un valor aleatorio de pérdidas desde la distribución de severidad. La suma de estos importes de pérdidas simuladas dará el valor acumulado anual de pérdidas esperadas en este primer año simulado. El proceso descrito se repite millones de veces, para obtener millones de simulaciones de pérdidas anuales. Los datos obtenidos de estas millones de simulaciones se ordenan de mayor severidad a menor severidad. El percentil 99,9 % de esta distribución marca el punto que nos permitirá estimar con ése nivel de confianza el máximo nivel de pérdidas esperadas en un año.

Distribuciones_Parciales_02

Esta estimación refleja la pérdidas esperadas, tomando en consideración las situaciones ocurridas en el pasado, pero no contempla posibles nuevos tipos de incidentes que puedan acaecer en el futuro como consecuencia, por ejemplo, de nuevos productos o servicios que se vayan a lanzar. Por ello, es frecuente que para el cálculo del modelo se incluyan también los incidentes que se hayan valorado como posibles en ejercicios de análisis de riesgos realizados por la entidad; es decir, se incluyen pérdidas potenciales que se estima que puedan llegar a ocurrir con cierta frecuencia.

Distribuciones_Parciales_03

Estimación de las pérdidas inesperadas

Hasta ahora, el método que hemos desarrollado permite modelar de manera razonable las pérdidas anuales esperadas de acuerdo al patrón de los los incidentes ocurridos en el pasado y los esperados con mayor frecuencia en las nuevas actividades de al entidad; sin embargo, el modelo AMA, tal como ya hemos mencionado, requiere que se contemplen también incidentes de baja probabilidad y alto impacto, los cuales, dada su naturaleza, no suelen estar bien representados en las bases de datos de incidentes usados, ni suelen ser considerados como muy probables en los análisis de riesgos (ej: una explosión que destruye el centro de proceso de datos de la entidad, o un fraude de cientos de millones de euros como consecuencia de actividades de hackers). Se trata ahora de hacer una estimación basada en el pronóstico de incidentes extremos cuya frecuencia esperada es muy baja (ej: 1 cada 50 años, cada 100 años…).

La problemática es que, dada su naturaleza, no se dispone de un histórico con datos suficientes como para poder modelar matemáticamente este tipo de incidentes. La aproximación más común que siguen muchas entidades para cubrir esta carencia es la realización de  Análisis de Escenarios extremos por parte de expertos de negocio y de las áreas de riesgos y que en varias sesiones de trabajo analizan y discuten distintos escenarios extremos de este tipo. En el proceso se usa como información de referencia, noticias de prensa de incidentes ocurridos a otras entidades o situaciones más o menos severas planteadas por los propios participantes. El resultado final es conseguir un consenso sobre el impacto que podrían tener los distintos escenarios analizados. En algunas organizaciones, los escenarios analizados se usan de la misma forma que hemos descrito antes para calcular curvas de frecuencia y severidad y simular así  incidentes que se incorporan en el cálculo de la curva de pérdidas esperadas.

CURVA_03

Con esto finalizamos aquí este breve apunte sobre este interesante asunto. Muchas gracias por su atención y hasta pronto.

 

 

Anuncios

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s