España-Mapas Riesgos Seminario Ciat-Aeat

SEMINARIO CIAT/AEAT (ESPAÑA)
EL CONTROL INTERNO COMO TAREA DE DIRECCIÓN
GESTIÓN DE RIESGOS
25-MAYO-2011
Servicio de Auditoría Interna 1

CONTENIDO
1. ASPECTOS GENERALES
2. MAPA DE RIESGOS AEAT (ESPAÑA)
3. PROCEDIMIENTO DE GESTIÓN

1. ASPECTOS GENERALES

Los informes actuales sobre control interno elaborados por
las principales instituciones mundiales que se ocupan de
esta materia han derivado hacia un tipo de control interno
basado en la gestión de los riesgos de las organizaciones.
•El Committee of Sponsoring Organizations of the Treadway

Commission ha desarrollado una metodología para
gestionar los riesgos conocida comúnmente como ERM
(Entreprise Risk Management) o COSO II (2004).
Metodologías de análisis y gestión de riesgos se está

implantando en mayor o menor grado por todas las grandes
organizaciones.

¿Qué es el riesgo?
Visión amplia del riesgo
Amenaza
Reducir/Minimizar
Incertidumbre
Administrar
Oportunidad
Aprovechar/Maximizar
Cualquier acontecimiento futuro incierto que puede obstaculizar el logro de

los objetivos estratégicos, operativos y/o financieros de la organización.

¿QUÉ ES UN RIESGO?
El riesgo se define como la posibilidad de que

un evento ocurra y afecte adversamente a la
consecución de los objetivos de una
organización.
Su naturaleza puede ser muy variada y deberse a

factores externos (económicos, medioambientales,
políticos, sociales, catastróficos, etc.) o internos
(infraestructura, personal, procesos y tecnología, etc.)

Gestión de Riesgos
La gestión de riesgos identifica, evalúa y controla

acontecimientos que, potencialmente, pueden
poner en peligro los objetivos y metas.
El riesgo se mide en términos de impacto y probabilidad.

Tipos de Riesgos
RIESGOS DESCRIPCIÓN
Riesgos de naturaleza estructural o (afectan a la misión o visión institucional,
institucional programación, dirección, estructura u organización
claves....)
Riesgos vinculados a la gestión económico- (medios materiales y financieros)
financiera
Riesgos vinculados a la gestión inmobiliaria
Riesgos en las comunicaciones (voz, teléfono, fax, papel, etc.)
Riesgos de cumplimiento de normas (generales e instrucciones internas)
Riesgos de información para la gestión (integridad y disponibilidad)
Riesgos en los procesos de gestión (diseño, calidad, eficacia y eficiencia)
Riesgos de Recursos Humanos (capacidad, conducta, seguridad e higiene,

satisfacción y motivación)
Riesgos de seguridad en la información (accesos y cesión)
Riesgos externos (políticas públicas, cambios legislación, entidades

colaboradoras, otras administraciones tributarias)
Seguridad Interna

Definiciones de Riesgos
Riesgo del Entorno El riesgo del entorno surge cuando hay fuerzas
externas que pueden afectar al logro de la misión y
objetivos de la institución.
Riesgos de Procesos El riesgo de procesos es el riesgo que los procesos de
negocios de la institución:
· No están adquiriendo, administrando, renovando y
disponiendo eficazmente los recursos
· No están claramente definidos los procesos claves
· No están alineados con sus estrategias
· No están operando eficaz y efectivamente para
satisfacer las necesidades sociales
· No están creando valor
· Están efectuando un mal uso o malversación de los
recursos

Riesgos Financieros El riesgo financiero es el riesgo que los flujos de caja y
activos financieros no se manejan de manera
eficiente
Riesgo de Información Consiste en que la información sea oportuna y fiable
de Gestión para la toma de decisiones tanto estratégicas como
operativas.
Riesgo de Dirección Liderazgo efectivo de la alta Dirección y políticas

alineadas con los objetivos estratégicos de la
institución.

Riesgos Tecnológicos
Riesgo de Tecnología de Referidos a Hardware, al software, a las redes y a

Información la seguridad de los sistemas de información.
Riesgos de Integridad El riesgo de integridad es el riesgo de fraude

gerencial, fraude de personal, actos ilegales y
actos no autorizados, los cuales podrían resultar en
la pérdida de reputación de la institución y
perdida de confianza de los ciudadanos

Evitar Compartir
•Prescindir o reducir una actividad o efectuar •Adoptar seguros frente a situaciones
actuación limitada sobre un segmento inesperadas significativas
geográfico o de contribuyentes
•Establecer acuerdos con otras Adm.
•Decidir no emprender nuevas iniciativas / Tributarias y Organismos Internacionales
actividades que podrían dar lugar a riesgos
•Externalizar procesos de actividad
•Distribuir el riesgo mediante acuerdos
contractuales con Universidades, asesores
fiscales, corporaciones y empresas
Reducir Aceptar
•Comprometer a la Dirección y al conjunto •Establecer discursos creíbles y mejorar la
de las areas en el desarrollo del Control comunicación externa de la AEAT
•Aumentar la implicación de la Dirección en •Aceptar el riesgo si se adapta a la tolerancia

la toma de Decisiones y el seguimiento al riesgo existente
•Mejorar la articulación institucional y la

coordinación del Control Interno

El Rol de la Organización
“Evaluar y garantizar que exista un equilibrio apropiado
entre el coste del control y el riesgo en toda la
organización.”
Riesgo Control

Etapas de la Gestión de Riesgo
Concepto de Gestión de Riesgo (1)
Punto de Partida: Objetivos, Metas y Procesos (2):
Identificación de los Riesgo (3):
Evaluación de los Riesgo (4):
Escala de Análisis (5)
Respuesta de Riesgo(6):
Medidas, Tareas y Punto de Control mitigantes (7)
Nueva Autoevaluación y Actividades de Control (8):

Concepto de Gestión de Riesgo (1)
Proceso efectuado por la Dirección y el conjunto del personal

de la AEAT.
Integrado dentro de la estrategia de la organización.
Diseñado para primero identificar, después evaluar y mas tarde

controlar acontecimientos o situaciones potenciales de Riesgo.
Su fin es proporcionar un aseguramiento razonable respecto al

alcance de los objetivos y metas de la institución.

Punto de Partida: Objetivos, Metas y Procesos (2):
Establecimiento de los objetivos de la organización:
• Los objetivos y metas de la institución, tanto estratégicos

como operativos, se establecen con anterioridad a que se
identifiquen, los posibles acontecimientos que impidan su
1 consecución.
• Los objetivos de una organización deben ser alcanzables y

susceptibles de medición. La medición puede ser
cualitativa o cuantitativa, y utiliza, según el caso,
2 indicadores de rendimiento o medidas de percepción.

Identificación de los Riesgo (3):
• Deben identificarse los acontecimientos o eventos que pueden

afectar a la consecución de los objetivos y metas. Algunos
pueden afectar negativamente y, por tanto, implicar riesgos, y
1 otros positivamente, e implicar oportunidades.
• Riesgos Estratégicos y Corporativos: Son los que deben ser

valorados por la Alta Dirección debido al impacto que pueden
2 tener sobre el negocio.
• Riesgos Operacionales: Se sitúan en un nivel inferior de la

organización y deben ser resueltos por las Unidades Operativas.
3

Evaluación de los Riesgo (4):
Evaluación de los Riesgos:
Su impacto
sobre la La
consecución probabilidad
de los de ocurrencia
objetivos
Hay que valorar:

 El riesgo inherente, que se define como el riesgo existente
antes de establecer los controles, es decir si no se hubiesen
adoptado acciones para alterar el impacto o la
probabilidad.
 El riesgo residual, consistente en el riesgo remanente tras
establecer las medidas de control.
Tipos de Riesgos
Riesgo
Inherente
Respuesta al Riesgo
(control interno)
Riesgo
Residual

 La evolución del riesgo inherente permite a la
dirección de la organización evaluar si los controles
existentes, que pueden tener un coste directo o un
coste de oportunidad relevante, deben mantenerse.
 Las técnicas de evaluación de riesgos consisten en una
combinación de técnicas cualitativas y de técnicas
cuantitativas (benchmarking, modelos
probabilísticos, modelos no probabilísticos).
 Una medida cuantitativa del impacto es el
porcentaje del riesgo existente.

 No obstante, ante la dificultad real del proceso de
valoración de los diferentes riesgos de una
organización, se suelen utilizar escalas simplificadas
tanto para el impacto como para la probabilidad de
ocurrencia.
 Se emplean a veces modelos más sofisticados, que
tienen en cuenta el periodo de exposición al riesgo o
el número de ocasiones en que se puede producir una
situación de riesgos.

Los riesgos deben definirse en términos precisos y se debe
analizar su posible gestión, por los órganos proponentes.
Los riesgos deben vincularse a procesos pero no pueden ser

excesivamente puntuales.
La selección debe incluir riesgos de diversa naturaleza:
• Procesos
Operativos
1 Coordinación
General 2 • Procesos
Estructurales
• Procesos
Institucionales

Como referencias, a título de ejemplo, pueden
considerarse:
- Riesgos vinculados a los procesos y procedimientos específicos

de cada área.
- A dificultades en el cumplimiento del Plan de objetivos de primer

nivel.
- A la inexistencia de recursos en áreas clave.
- A la necesidad de cambios normativos y de instrucciones de

funcionamiento y a cuestiones organizativas y de coordinación
inter-áreas.
No se debe obviar y en consecuencia hay que incluir riesgos en los

procesos operativos tales como: Prescripciones, Control
Conductas, Insuficientes Resultados.

2. MAPA DE RIESGOS
AEAT (ESPAÑA)

COMISIONES SECTORIALES DE
SEGURIDAD Y CONTROL
Creadas por Resolución de 26 de enero de 1998 de la Presidencia

de la A.E.A.T., en desarrollo de la Orden de 11 de julio de 1997.
PRESIDENTE Director del Departamento correspondiente
VICEPRESIDENTE Un Inspector de los Servicios del S.A.I.
Un funcionario del Departamento correspondiente,

Un representante del Departamento de Informática
VOCALES Tributaria
Dos representantes de los Servicios territoriales.
SECRETARIO Un funcionario del Departamento correspondiente

COMISIONES SECTORIALES DE
SEGURIDAD Y CONTROL: FUNCIONES
Analizar y evaluar los riesgos de funcionamiento de los

servicios a fin de establecer las correspondientes medidas
preventivas.
Establecer y mantener actualizados de forma permanente los

criterios y directrices generales sobre seguridad en el ámbito
de la Comisión.
Elaborar propuestas para mejorar y reforzar los sistemas de

seguridad y control.
Elevar a la Comisión de Seguridad y Control propuestas.

COMISIONES SECTORIALES DE SEGURIDAD Y
CONTROL: PRESTARÁ ESPECIAL ATENCIÓN
Detectar e inventariar las áreas y puntos de riesgo más

relevantes en su ámbito.
Analizar y evaluar, para cada una de las áreas de

riesgo delimitadas, las deficiencias y debilidades de
control existentes.
Acordar y hacer operativas las medidas encaminadas a

corregir las deficiencias observadas y a reforzar los
sistemas de control y seguridad.
Elaborar, en su caso, las propuestas de normas e

instrucciones que requiera la ejecución de las medidas
acordadas.

MAPA DE RIESGOS DE LA AEAT
A finales de 2005, el Comité de Dirección de la AEAT

decidió, a propuesta del SAI, la elaboración de un
primer Mapa de Riesgos de la Agencia Tributaria, para
el periodo 2006-2008.
Por resolución del Director de la AEAT de 4 de

diciembre de 2009, se ha aprobado el Mapa de Riesgos
de la AEAT para el periodo 2009-2011.

MAPA DE RIESGOS
Es una representación de los principales riesgos que

afectan a la consecución de los objetivos de la AEAT,
categorizados en función de su probabilidad de
ocurrencia y su impacto en dichos objetivos.
Es un instrumento de ayuda a la Dirección en la toma de

decisiones, que le permite orientar sus esfuerzos hacia
aquellas áreas, procesos o aspectos de la actividad que
puedan comprometer más gravemente la consecución
de sus objetivos.

EVALUACIÓN DEL RIESGO
PROBABILIDAD  muy alta (5), alta (4), media alta (3) media (2), baja (1)
X
IMPACTO  muy alto (3), alto (2), medio (1), bajo (0) *
EVALUACIÓN:
BAJO  1 a 3
MEDIO  4 a 5
MEDIO ALTO  6
ALTO  8 a 10
CRÍTICO  12 a 15
* Convención para que los riesgos de impacto muy bajo siempre resulten con
evaluación final baja.
MAPA DEL RIESGO INHERENTE
muy alto 3 Valor Riesgo

Probabilidad x Impacto
3 6 9 12 15
alto 2 Muy bajo 0
2 4 6 8 10 Bajo 1 a 3
Impacto
medio 1 Medio 4 y 5
Medio Alto 6
1 2 3 4 5
Alto 8 a 10
bajo 0
0 0 0 0 0 Crítico 12 y
15
1 2 3 4 5
baja media media-alta alta muy alta
Probabilidad
OBJETIVOS DEL MAPA DE RIESGOS
Dotar de estructura, método y coordinación a los

instrumentos de gestión de riesgos que ya posee
la Agencia, especialmente a las Comisiones
Sectoriales de Seguridad y Control.
Orientar la atención preferente de dichos

instrumentos de gestión hacia los riesgos más
relevantes para la AEAT, y en general también la
de los órganos y personal que desarrollan las
actividades de control.

CUADRO DE PLAN ANUAL
MANDOS COMISIONES
CONTROL DE
RIESGOS
INCORPORADOS MAPA DE RIESGOS
A LA GESTIÓN
PLAN ACTUACIONES
SAI

FASES DE LA ELABORACIÓN DEL
MAPA DE RIESGOS
1ª) Fijación, catalogación y priorización de los objetivos de
cualquier categoría de la organización.
2ª) Identificación, para cada objetivo, de los procesos y
subprocesos efectuados por la organización que se
consideren clave para el cumplimiento de aquél.
3ª) Identificación de los riesgos asociados a cada uno de los
procesos clave u objetivos.
4ª) Evaluación del riesgo inherente: en ausencia de controles.
5ª) Identificación de los controles ya establecidos por la
organización.
6ª) Evaluación del riesgo residual: remanente tras los controles.
7ª) Tratamiento. Análisis del efecto del riesgo residual e
identificación y evaluación de alternativas de tratamiento.

MAPA DE RIESGOS OPERATIVOS DE LA AEAT (2009-2011)
Concluidos los trabajos de gestión del Mapa de Riesgos Operativos de

la AEAT para el periodo 2006-2008, y una vez efectuado el
correspondiente Informe final por el Servicio de Auditoria Interna, el
Comité de Dirección aprobó su actualización para el periodo 2009-2011.
El nuevo MAPA consta de 50 Riesgos y 132 Medidas y ofrece una
visión más unitaria de los mismos, a través del proceso de integración
de distintos riesgos conexos.
MAPA DE RIESGOS MAPA DE RIESGOS
2006-2008 2009-2011
ADUANAS 11 8
GESTIÓN 11 7
INFORMÁTICA 10 10
INSPECCIÓN 10 10
RECAUDACIÓN 11 7
GENERAL 9 8
TOTAL 62 50
MAPA DE RIESGOS OPERATIVOS DE LA AEAT (2009-2011)
CLASIFICACIÓN DE LOS RIESGOS SEGÚN CONCEPTOS
Riesgos de procesos 27
Cumplimiento de Normas e Instrucciones 5
Gestión de RR.HH. 4
Gestión Económico-Financiera 1
Sistemas Informáticos 4
Seguridad de la Información 2
Información para la Gestión 3
De carácter estructural/institucional o estratégico 4
TOTAL 50

CLASIFICACIÓN DE LAS MEDIDAS
PROPUESTAS
Mejora Control Directivo 22

Política y Planes de Seguridad 12
Mejora de la Calidad 17
Normalización Procedimientos 14
Actuaciones Operativas 20
Coordinación Actuaciones 8
Análisis, diseño, evaluación 17

Propuestas Normativas 3
Formación y Capacitación Profesional 15
Otros 4
TOTAL 132

ALINEAMIENTO MAPA DE RIESGOS (2009-2011)
REFERENCIAS ESTRATÉGICAS 2009 MAPA DE RIESGOS OPERATIVOS 2009-2011
Insuficiente adecuación de la política marco de Recursos SGE 240202: Riesgos en la distribución de los recursos
Humanos, a medio/largo plazo. humanos en relación con las cargas de trabajo.
SGE 250404: Riesgos relacionados con el modelo de
valoración del desempeño vinculado a la carrera
profesional.
SGE 260303: Riesgos en la dotación de cuadros con
formación en materias gerenciales.
Falta de adaptación del modelo de control de la AEAT a las SGE 240202: Riesgos en la distribución de los recursos
nuevas modalidades del fraude fiscal. humanos en relación con las cargas de trabajo.
Más de una docena de riesgos operativos en las áreas
de Aduanas, Gestión Inspección y Recaudación.
Insuficiente adaptación de los planes de trabajo a un periodo SGE 270106: Riesgos por insuficiencia de recursos.
de Déficit Público excesivo. INF 270103: Riesgo relativo a la distribución de los
recursos disponibles a las necesidades del área de
informática tributaria.

ALINEAMIENTO MAPA DE RIESGOS (2009-2011)
REFERENCIAS ESTRATÉGICAS 2009 MAPA DE RIESGOS OPERATIVOS 2009-2011
Falta de renovación de la Plataforma Tecnológica de la AEAT. INF 220106: Riesgos de eficacia de las aplicaciones
corporativas y pérdida de eficiencia del personal de desarrollo.
INF 220308: Riesgo de degradación o pérdida del servicio
prestado por inadecuada operativa o recuperación de la
infraestructura tecnológica.
Aplicación a la AEAT Ley 11/2007. INF 270103: Riesgo relativo a la distribución de los recursos
Desarrollo específico del Plan de Adecuación de los Sistemas de disponibles a las necesidades del área de informática
Información de la AEAT al Esquema Nacional de Seguridad tributaria.
(Decreto 3/2010, de 8 de enero) INF 270204: Riesgos vinculados al cumplimiento en tiempo y
forma en la Ley 11/2007.
INF 230101.: Riesgo en el uso de la información,
obsolescencia y falta de adaptación de las aplicaciones
USUARIOS y CONTROLA al trabajo y organización de los
usuarios y dificultad para el desarrollo de las tareas de
autorizadores, controladores y administradores de seguridad.
INF 230410: Riesgos por la exposición de los sistemas de
información a nuevas amenazas.
Plan de Continuidad del Negocio INF 220308: Riesgo de degradación o pérdida del servicio
prestado por inadecuada operativa de la infraestructura
tecnológica.
SGE 270207: Riesgos en la Seguridad en edificios e
instalaciones.
SGE 270408: Riesgos CIE.

3. PROCEDIMIENTO
DE
GESTIÓN

MAPA DE RIESGOS OPERATIVOS A.E.A.T.(2009-2011): Aduanas, Impuestos Especiales y
Vigilancia Aduanera
RIESGO
CÓDIGO TÍTULO RESIDUAL
INICIAL
TOTAL
ADU010101 Riesgos en los controles efectuados en el procedimiento de viajeros. El control de viajeros plantea problemas de Alto (8 a 10)
eficacia , eficiencia y oportunidad que hay que analizar.
ADU010208 Riesgos en la coordinación de los órganos de las Áreas de Aduanas y Recaudación para el cobro de las deudas de
aduanas (aduanera y fiscal). Muchas deudas no se cobran en vía ejecutiva a pesar de estar garantizadas y de estar ya Crítico (12 a 15)
ingresadas en Bruselas que, por otra parte, no siempre admite los créditos incobrables.
ADU040104 Riesgo por el que la insuficiencia de medios materiales no permitan efectuar un adecuado reconocimiento físico de la
mercancía. Algunas aduanas carecen de locales y/o medios para efectuar los reconocimientos físicos que exige la UE Alto (8 a 10)
ADU040202 Riesgos en el despacho aduanero de mercancías por ineficiencias en el sistema de análisis de riesgo y en su
aplicación por los actuarios. Posibilidad de que el sistema de filtros no detecte las importaciones con riesgos reales Alto (8 a 10)
y/o los funcionarios no efectúen los controles que estos filtros determinen.
ADU040303 Riesgo de responsabilidad financiera de España ante la Unión Europea en relación con los controles establecidos en
la normativa reguladora de la política agrícola comunitaria. Posibilidad de que la UE no considere suficientes y Crítico (12 a 15)
conformes a la normativa PAC los controles efectuados por España en la exportación de productos agrícolas y exija
responsabilidades financieras a nuestro país.
ADU040409 Riesgos en la revisión a posteriori de las declaraciones aduaneras. No existe un plan nacional de revisión a posteriori
y, además, la normativa comunitaria que regula estas revisiones plantea algunos problemas de encaje con nuestra Crítico (12 a 15)
LGT y reglamentos.
ADU070105 Riesgos en el procedimiento para dar de baja a las fábricas, depósitos o almacenes fiscales, que les permita operar sin
cumplir las condiciones que exige la reglamentación. El procedimiento nacional para dar de baja una fábrica o
depósito fiscal en el caso de falta de pago de los Impuestos Especiales es tan lento que para cuando se sustancia Alto (8 a 10)
dicho cierre el perjuicio económico puede ser elevadísimo.
ADU100107 Riesgos en la colaboración y coordinación entre las actuaciones del área operativa y el resto de las áreas de la AEAT.
La coordinación actual es buena, pero debe hacerse más fluida y sus resultados más específicos. Alto (8 a 10)

MAPA DE RIESGOS OPERATIVOS A.E.A.T.(2009-2011): Gestión Tributaria
RIESGO
INICIAL
TOTAL
GES040101 Riesgos en la utilización del borrador del IRPF por contribuyentes que posean el perfil requerido. Lograr una explotación y
aprovechamiento suficiente del borrador del IRPF maximizando su utilización, mejorar la calidad en el proceso de entrega Medio (4 y 5)
utilizando otras vías alternativas al correo postal y minimizar el riesgo de confirmación del borrador sin la necesaria
revisión por los contribuyentes.
GES040102 Riesgos en el control de las declaraciones del IRPF a ingresar y a devolver. Lograr la máxima eficacia y eficiencia en el
proceso de control extensivo de declaraciones del IRPF, definiendo los documentos, filtros, atributos y motivaciones que Medio (4 y 5)
deben incluirse en la aplicación informática del IRPF
GES040103 Riesgos en el control de las declaraciones de IVA a ingresar, a compensar y a devolver. Incrementar las actuaciones de
control extensivo en las campañas del IVA periódico o anual y definir los documentos, filtros, atributos y motivaciones Medio (4 y 5)
que deben incluirse en la aplicación informática del IVA.
GES040104 Riesgos en el control de renunciantes y excluidos del régimen de estimación objetiva IRPF y régimen simplificado IVA.
La gestión de este riesgo se orienta especialmente a la utilización fraudulenta del régimen de estimación objetiva del IRPF Alto (8 a 10)
y del simplificado de IVA.
GES040105 Riesgos en el control de no declarantes en IRPF, IVA, e IS. Lograr el adecuado control de no declarantes y realizar las
adecuadas actuaciones sobre ellos. Alto (8 a 10)
GES040106 Riesgos en los procesos de notificación. Maximizar la notificación efectiva en detrimento de la edictal, garantizando la
adecuación a la norma, rapidez de la gestión y reducción de costes. Alto (8 a 10)
GES040107 Riesgos en la motivación de los actos. Conseguir la suficiente motivación de los actos que garantice los derechos de los
contribuyentes, pero automatizando en lo posible las matizaciones en el control de declarantes.
Medio (4 y 5)

MAPA DE RIESGOS OPERATIVOS A.E.A.T.(2009-2011): Informática Tributaria
RIESGO
INICIAL TOTAL
INF210109 Riesgos en la confección de los borradores de IRPF y otros procesos de gestión por registros con perceptores no identificados. El
objetivo es mejorar la calidad de la información de las declaraciones informativas para mejorar las imputaciones y los borradores. Medio Alto (6)
Medida\inf210109.ppt
INF220106 Riesgos de eficacia de las aplicaciones corporativas y pérdida de eficiencia del personal de desarrollo. Con el fin de evitar la
insatisfacción del usuario por la falta de eficacia de las aplicaciones corporativas hay que mejorar: el diseño, la puesta en marcha y la Medio (4 y 5)
ejecución de las aplicaciones. Medida\inf220106.ppt
INF220308 Riesgo de degradación o pérdida del servicio prestado por inadecuada operativa o recuperación de la infraestructura tecnológica. Es
necesario garantizar la continuidad del servicio a los usuarios, con unos niveles de servicio y un grado de criticidad para definir los Medio Alto (6)
recursos que garanticen la continuidad ante contingencias. Medida\inf220308.ppt
INF230101 Riesgo en el uso de la información, obsolescencia y falta de adaptación de las aplicaciones USUARIOS y CONTROLA al trabajo y
organización de los usuarios y dificultad para el desarrollo de las tareas de autorizadores, controladores y administradores de seguridad. Medio Alto (6)
Dado el tiempo transcurrido desde que se implantó la aplicación de Gestión de Usuarios y Controla, se hace necesario su actualización
para la mejora de la gestión. Medida\inf230101.ppt
INF230202 Riesgos de control de los usuarios externos, de los accesos que realizan a las bases de datos de la AEAT y de la utilización de la
información que obtienen. Es necesario mejorar el control de los usuarios externos en los accesos a las bases de datos de la AEAT, a Alto (8 a 10)
través sobre todo de la actualización de los convenios de cesión de información. Medida\inf230202.ppt
INF230305 Riesgos en los sistemas de seguridad conforme a la naturaleza de la información y los sistemas soportados en las RALs de la
organización. Las redes de Área Local (RALs) deben contar con las medidas de seguridad adecuadas, implantando herramientas de Medio (4 y 5)
auditoría y control de la red, para que sean un instrumento eficaz y seguro. Medida\inf230305.ppt
INF230410 Riesgos por la exposición de los sistemas de información a nuevas amenazas. Dada la exposición de los sistemas informáticos a nuevas
amenazas hay que garantizar el adecuado nivel de seguridad en la información. Medida\inf230410.ppt Alto (8 a 10)
INF270103 Riesgo relativo a la distribución de los recursos disponibles a las necesidades del área de informática tributaria. Ante la gran demanda de
desarrollos informáticos al DIT, se hace necesario adecuar los recursos disponibles a esta demanda a través de un Plan Director y un
Alto (8 a 10)
aumento de la formación del personal. Medida\inf230410.ppt
INF270204 Riesgos vinculados al cumplimiento en tiempo forma en la Ley 11/2007. Se trata de no inhibir el ejercicio de los derechos y el
cumplimiento de los deberes de los ciudadanos por medios electrónicos, el acceso a la información y el procedimiento administrativo. Alto (8 a 10)
Medida\inf270204.ppt
INF270307 Riesgo para la imagen corporativa por la fuga de datos sensibles o el incumplimiento de la normativa. Se pone de manifiesto la necesaria
adecuación de la AEAT a la Ley Orgánica de Protección de Datos(LOPA). La ley de acceso electrónico de los ciudadanos a la Alto (8 a 10)
Administración (Ley 11/2007) y el necesario análisis de riesgos específicos sobre la seguridad de la información. Medida\inf270307.ppt

FIN DE LA PRESENTACIÓN
www.agenciatributaria.es

España-Mapas Riesgos Seminario Ciat-Aeat

Hochgeladen von

Dokumentinformationen

Originaltitel

Copyright

Verfügbare Formate

Dieses Dokument teilen

Dokument teilen oder einbetten

Freigabeoptionen

Stufen Sie dieses Dokument als nützlich ein?

Sind diese Inhalte unangemessen?

Copyright:

Verfügbare Formate

España-Mapas Riesgos Seminario Ciat-Aeat

Hochgeladen von

Copyright:

Verfügbare Formate

SEMINARIO CIAT/AEAT (ESPAÑA)

EL CONTROL INTERNO COMO TAREA DE DIRECCIÓN

Servicio de Auditoría Interna 1

2. MAPA DE RIESGOS AEAT (ESPAÑA)

Servicio de Auditoría Interna 2

Servicio de Auditoría Interna 3

•El Committee of Sponsoring Organizations of the Treadway

Metodologías de análisis y gestión de riesgos se está

Servicio de Auditoría Interna 4

Cualquier acontecimiento futuro incierto que puede obstaculizar el logro de

Servicio de Auditoría Interna 5

El riesgo se define como la posibilidad de que

Su naturaleza puede ser muy variada y deberse a

Servicio de Auditoría Interna 6

La gestión de riesgos identifica, evalúa y controla

El riesgo se mide en términos de impacto y probabilidad.

Servicio de Auditoría Interna 7

Riesgos en las comunicaciones (voz, teléfono, fax, papel, etc.)

Riesgos de cumplimiento de normas (generales e instrucciones internas)

Riesgos de información para la gestión (integridad y disponibilidad)

Riesgos en los procesos de gestión (diseño, calidad, eficacia y eficiencia)

Riesgos de Recursos Humanos (capacidad, conducta, seguridad e higiene,

Riesgos de seguridad en la información (accesos y cesión)

Riesgos externos (políticas públicas, cambios legislación, entidades

Servicio de Auditoría Interna 8

Servicio de Auditoría Interna 9

Riesgo de Dirección Liderazgo efectivo de la alta Dirección y políticas

Servicio de Auditoría Interna 10

Riesgo de Tecnología de Referidos a Hardware, al software, a las redes y a

Riesgos de Integridad El riesgo de integridad es el riesgo de fraude

Servicio de Auditoría Interna 11

•Aumentar la implicación de la Dirección en •Aceptar el riesgo si se adapta a la tolerancia

•Mejorar la articulación institucional y la

Servicio de Auditoría Interna 12

Servicio de Auditoría Interna 13

Punto de Partida: Objetivos, Metas y Procesos (2):

Identificación de los Riesgo (3):

Evaluación de los Riesgo (4):

Escala de Análisis (5)

Medidas, Tareas y Punto de Control mitigantes (7)

Nueva Autoevaluación y Actividades de Control (8):

Servicio de Auditoría Interna 14

Proceso efectuado por la Dirección y el conjunto del personal

Integrado dentro de la estrategia de la organización.

Diseñado para primero identificar, después evaluar y mas tarde

Su fin es proporcionar un aseguramiento razonable respecto al

Servicio de Auditoría Interna 15

Establecimiento de los objetivos de la organización:

• Los objetivos y metas de la institución, tanto estratégicos

• Los objetivos de una organización deben ser alcanzables y

Servicio de Auditoría Interna 16

• Deben identificarse los acontecimientos o eventos que pueden

• Riesgos Estratégicos y Corporativos: Son los que deben ser

• Riesgos Operacionales: Se sitúan en un nivel inferior de la

Servicio de Auditoría Interna 17

Evaluación de los Riesgos:

Hay que valorar:

Servicio de Auditoría Interna 19

Servicio de Auditoría Interna 20

Servicio de Auditoría Interna 21

Los riesgos deben vincularse a procesos pero no pueden ser

La selección debe incluir riesgos de diversa naturaleza:

Servicio de Auditoría Interna 22