Que el artículo 209 de la Constitución Política establece "La Administración Pública, en todos sus órdenes tendrá un Control Interno que se ejercerá en los términos que señale la Ley".

Que el artículo 269 de la misma Carta Política estipula "En las entidades públicas, las autoridades correspondientes están obligadas a diseñar y aplicar, según la naturaleza de sus funciones, métodos y procedimientos de Control Interno, de conformidad con lo que disponga la Ley".

Que el artículo 6 de la Ley 87 de 1993 "Por la cual se establecen normas para el ejercicio del control interno en las entidades y organismos del Estado y se dictan otras disposiciones", dispuso "El establecimiento y desarrollo del sistema de Control Interno en los organismos y entidades públicas, será responsabilidad del representante legal o máximo directivo correspondiente. No obstante, la aplicación de los métodos y procedimientos al igual que la calidad, eficiencia y eficacia del Control Interno, también será responsabilidad de los jefes de cada una de las distintas dependencias de las entidades y organismos".

Que el Presidente de la República, con sujeción a lo dispuesto en la Ley 87 de 1993, expidió el Decreto 1599 del 20 de Mayo de 2005, por el cual se adopta el Modelo Estándar de Control Interno para el Estado Colombiano.

Que mediante Resolución 121 del 23 de marzo de 2006, la Secretaría Distrital de Salud adoptó el Modelo Estándar de Control Interno MECI 1000:2005 como marco referente para el Sistema de Control Interno en la entidad.

Que el literal f del Artículo 2 de la Ley 87 de 1993 establece como uno de los objetivos del Sistema de Control Interno definir y aplicar medidas para prevenir los riesgos, detectar y corregir las desviaciones que se presentan en la organización y que puedan afectar el logro de sus objetivos.

Que el artículo 4 del Decreto 1537 de 2001 define la Administración Riesgos como parte integral del fortalecimiento de los Sistemas de Control Interno en las entidades públicas, para lo cual se establecerán y aplicarán políticas de administración del riesgo.

Que el Mapa de Riesgos es la herramienta conceptual y metodológica que permite valorar los riesgos al interior de la entidad.

Que en virtud de lo anterior, se hace necesario adoptar las Políticas de Administración de Riesgos y el Mapa de Riesgos para la Secretaría Distrital de Salud.

Que la Circular 03 de septiembre 27 de 2005, expedida por el Consejo Asesor de Control Interno de las Entidades del Orden Nacional y Territorial, dio los lineamientos generales para la implementación del modelo estándar de control interno.

Que en mérito de lo expuesto, este Despacho

ARTÍCULO 1°. POLÍTICAS Y METODOLOGÍA. Adoptar la Política y Metodología de Administración de Riesgos y el Mapa de Riesgos, definidos por el Comité Coordinador de Control Interno de la Secretaría Distrital de Salud, los cuales hacen parte integral del presente Acto Administrativo.

PARÁGRAFO. La política y Metodología de Administración de Riesgos establecen las guías de acción para que todos los servidores de la Secretaría de Salud del Distrito coordinen y administren los eventos que pueden impedir el logro de los objetivos de la entidad, orientándolas y habilitándolas para ello. Las políticas identifican las opciones para tratar y manejar los riesgos con base en su valoración, y permiten tomar decisiones adecuadas para evitar, reducir o compartir, transferir, o asumir el riesgo.

ARTÍCULO 2°. ALCANCE. La Administración de Riesgos en la Secretaría Distrital de Salud, tendrá un carácter prioritario y estratégico, fundamentada en el modelo de operación por procesos. En virtud de lo anterior, la identificación, análisis y valoración de los riesgos se circunscribirá a los objetivos estratégicos de la entidad y a los procesos misionales, estratégicos, de apoyo, evaluativos y de mejoramiento continuo.

ARTÍCULO 3°. RESPONSABLE. El responsable de la definición de las Políticas de Administración de Riesgos es el Comité Coordinar de Control Interno de la Secretaría Distrital de Salud.

ARTÍCULO 4°. MAPA DE RIESGOS. La herramienta conceptual y metodológica para la valoración de los riesgos en la Secretaría Distrital de Salud, es el Mapa de Riesgos.

PARÁGRAFO. La responsabilidad de la elaboración del Mapa de Riesgos estará a cargo de los responsables de cada uno de los procesos. Los responsables de los procesos serán los encargados de implementar los controles, verificar su efectividad, proponer cambios, velar por su adecuada documentación y por su socialización y aplicación al interior de su proceso.

El Comité Coordinador de Control Interno es el encargado de aprobar y adoptar las modificaciones al Mapa de Riesgos.

El Grupo Interno de Trabajo de la Dirección de Planeación que apoya el Sistema Integrado de Gestión, será el encargado de incorporar en el Manual del Sistema, las modificaciones aprobadas al Mapa de Riesgos en el Comité Coordinador de Control Interno.

La medición de los avances de las acciones de respuesta estará a cargo de la Oficina de Control Interno, así como de hacer seguimiento a los riesgos, evaluar la eficacia y eficiencia de los controles implementados por los responsables de los procesos y de monitorear la adopción de planes de tratamiento de riesgos.

ARTÍCULO 5°. MONITOREO DEL MAPA DE RIESGO. De acuerdo a (sic) la Políticas y Metodología de Administración de Riesgos establecidas por la entidad, se debe monitorear el Mapa de Riesgos, con el fin de actualizarlo permanentemente, con base en los objetivos, riesgos y controles existentes.

ARTÍCULO 6°. DIVULGACIÓN. La Política y Metodología de Administración de Riesgos y el Mapa de Riesgos se divulgarán a todos los funcionarios de la Secretaría Distrital de Salud a través de los medios institucionales de comunicación, charlas informativas así como la socialización al interior de cada uno de los procesos.

ARTÍCULO 7°. VIGENCIA. La presente Resolución rige a partir de la fecha de su expedición.

La SECRETARÍA DISTRITAL DE SALUD – SDS, en desarrollo de su objetivo estratégico institucional No. 4, "Garantizar el desarrollo institucional, tanto en la entidad como en la red de prestadores y aseguradores de servicios de salud, con gestión de calidad", realiza una serie de acciones para implementar buenas prácticas de gobierno corporativo referidas a la operación de sus procesos, la administración de los riesgos y el control de su gestión, bajo los lineamientos establecidos a este respecto en la Norma Técnica de Calidad en la Gestión Pública – NTCGP 1000:2004, en la Guía Administración del Riesgo del Departamento Administrativo de la Función Pública, y en el Modelo Estándar de Control Interno MECI 1000:2005.

En este contexto, la administración de riesgos es para SDS una gestión intrínseca al desempeño de su misión, que implica el establecimiento de infraestructura y cultura adecuadas, así como la aplicación de un método sistemático y lógico para identificar y administrar los riesgos asociados al quehacer de los procesos misionales, estratégicos, de apoyo, evaluativos y de mejoramiento continuo, bajo un enfoque preventivo que permita proponer y establecer acciones de tratamiento de riesgo que brinde a la alta Dirección, a todos los colaboradores y, en general, a todas las partes interesadas en su gestión, seguridad razonable con respecto al logro de lo planificado y esperado.

Para la formulación de la Política de Administración de Riesgos y de la metodológica que soporta su implementación en la (sic) estidad, se estudiaron estándares internacionales tales como la Norma Australiana de Administración de Riesgos AS/NZ 4360, la Norma Técnica Colombiana NTC 5254 y el documento COSO Enterprise Risk Management, entre otros, que responden y complementan los lineamientos que al respecto ha establecido la Función Pública, en el Modelo Estándar de Control Interno MECI 1000:2005 y en la Guía de Administración del Riesgo del Departamento Administrativo de la Función Pública.

Esta política y metodología es aplicable en todos los procesos y emprendimientos de la entidad y compromete a la alta Dirección y los colaboradores de la SDS en su aplicación en la dirección, gestión, operación y control de los procesos, proyectos, planes y programas que se adelantan en la gestión cotidiana de la entidad.

Por la naturaleza técnica de este documento, algunos de sus apartes son tomados literalmente de la Guía Administración del riesgo del Departamento Administrativo de la Función Pública, la Norma Técnica Colombiana NTC 5254 del ICONTEC, así como del documento COSO Administración de Riesgo Corporativo.

Establecer una política y un marco metodológico consistente y de valor agregado para identificar, analizar, valorar y tratar los riesgos a los que se ve expuesta la SDS en la realización de su misión, en el logro de sus objetivos y en la gestión de los procesos misionales, estratégicos, de apoyo, evaluativos y de mejoramiento continuo.

*Generar una visión sistémica acerca de la administración de riesgos mediante la formulación de una metodología unificada, integrada a los sistemas de gestión para lograr su aplicabilidad en la SDS.

*Consolidar la Administración de Riesgos en la SDS mediante un direccionamiento estratégico que fije la orientación clara y planeada de la gestión de la entidad, dando las bases para el adecuado desarrollo, implementación y evaluación permanente a las Actividades de Control establecidas para gestionar los riesgos.

*Involucrar y comprometer a todos los servidores de la entidad en la Administración de Riesgos y en la búsqueda de acciones encaminadas a prevenir y administrar los mismos, para propiciar una "cultura de riesgo" en la SDS.

*Proteger los recursos que la SDS dispone para el logro de sus objetivos de los riesgos a los cuales están expuestos mediante un enfoque de administración de riesgos basado en la prevención.

*Articular la administración de riesgos en la gestión de los procesos y procedimientos que hacen parte del Sistema Integrado de Gestión de Calidad y Control Interno.

*Asegurar que la SDS los procesos de Administración de Riesgos dan seguridad razonable sobre el cumplimiento de las normas, leyes y regulaciones.

*Ley 87 de 1993, por la cual se establecen normas para el ejercicio del control interno en las entidades y organismos del Estado y se dictan otras disposiciones, artículo 2 literal a). Proteger los recursos de la organización, buscando su adecuada administración ante posibles riesgos que los afectan. Artículo 2 literal f). Definir y aplicar medidas para prevenir los riesgos, detectar y corregir las desviaciones que se presenten en la organización y que puedan afectar el logro de los objetivos.

*Ley 489 de 1998. ESTATUTO BÁSICO de Organización y funcionamiento de la administración pública.

*Decreto 2145 de 1999, por el cual se dictan normas sobre el Sistema Nacional de Control Interno de las Entidades y Organismos de la Administración pública del orden nacional y territorial y se dictan otras disposiciones. Modificado parcialmente por el Decreto 2593 del 2000.

*Directiva presidencial 09 de 1999, lineamientos para la implementación de la política de lucha contra la corrupción.

*Decreto 1537 de 2001, por el cual se reglamenta parcialmente la Ley 87 de 1993 en cuanto a elementos técnicos y administrativos que fortalezcan el sistema de control interno de las entidades y organismos del Estado. Cuarto parágrafo. Son objetivos del sistema de control interno (…) definir y aplicar medidas para prevenir los riesgos, detectar y corregir las desviaciones… Artículo 3. El rol que deben desempeñar las oficinas de control interno (…) se enmarca en cinco tópicos (…) valoración de riesgos. Artículo 4. Administración de riesgos. Como parte integral del fortalecimiento de los sistemas de control interno en las entidades publicas (…).

*Decreto 188 de 2004, por el cual se modifica la estructura del Departamento Administrativo de la Función Pública y se dictan otras disposiciones.

*Decreto 1599 de 2005, por el cual se adopta el Modelo Estándar de Control Interno para el Estado Colombiano y se presenta el anexo técnico del MECI 1000:2005.

*Resolución 121 de 2006 "Por la cual se adopta el Modelo Estándar de control interno en la SDS".

*Resolución 122 de 2006 que designa al responsable del desarrollo implementación y mejora continúa del MECI.

La Administración de Riesgos busca apoyar a las entidades en el conocimiento de los riesgos que enfrentan tanto en el desarrollo de la estrategia, como en la gestión de sus procesos. Las regulaciones nacionales (Ley 87 de 1993 y Decreto 1599 de 2005) e internacionales en general, presionan a las entidades para dar un tratamiento adecuado a los riesgos y plantean metodologías para implementar sistemas, procesos y procedimientos que permitan anticipar a los diferentes tipos de riesgo y facilitar la toma de decisiones gerenciales.

Estas metodologías, (algunas orientadas a la evaluación de riesgos tecnológicos y otras orientadas a la evaluación de los procesos de negocio) contribuyen a aplicar estándares para la evaluación de riesgos en todos los tipos de organizaciones (privadas y públicas), dictando a su vez las técnicas para aplicarlos y cumplirlos.

Como apoyo a la gestión de riesgos en las entidades El Departamento Administrativo de la Función Pública (DAFP) en su Guía de Administración de Riesgos, retoma el Componente de la Administración del Riesgo ubicado por el MECI en el Subsistema de Control Estratégico, y conceptúa que "La Administración de riesgos habilita a la entidad para emprender las acciones necesarias que le permitan el manejo de eventos (riesgos) que puedan afectar negativamente el logro de los objetivos institucionales. Para ello se integran cinco Elementos de Control: el Contexto Estratégico que permite establecer los factores internos y externos que generan posibles situaciones de riesgo; la Identificación de Riesgos que define las causa (factores interno o externos) y efectos de las situaciones de riesgo; el Análisis de Riesgos que aporta probabilidad de ocurrencia; la Valoración de Riesgos para medir la exposición de la entidad a los impactos del riesgo. Todos estos elementos conducen a la definición de criterios base a la formulación del estándar de control que se consolida en la Política de Administración de Riesgos". El documento plantea (sic) sí mismo que (sic) al Administración de Riesgos en una entidad pública tiene insumos y productos, tal como se ilustra en la FIGURA 1. Productos del Sistema de Administración de Riesgos.

Lo anterior significa que al implementar el Componente de Administración de Riesgo en la entidad, se espera obtener los siguientes productos:

a. Análisis de los factores externos e internos que implican exposición al riesgo.

b. Reconocimiento de situaciones de riesgo o los riesgos que afectan el cumplimiento de los objetivos de la entidad.

c. Medidas de respuesta ante los riesgos identificados.

d. Políticas de Administración de Riesgos identificados.

Para apoyar la gestión de riesgos en nuestro país, el Instituto Colombiano de Normas Técnicas y Certificación (ICONTEC) emitió la Norma Técnica Colombiana de Gestión del Riesgo NTC 5254, basada en el estándar de Australia y Nueva Zelanda AS/NZS 4360, que es una norma genérica y aplicable en cualquier tipo de organización sin importar el sector, naturaleza o tamaño; esta norma es consistente con lo planteado en el Modelo Estándar de Control Interno (MECI) en lo referente a la Administración de Riesgos y con la Guía de Administración de Riesgos del DAFP.

La norma NTC 5254 involucra la gestión de riesgo como parte de las buenas prácticas de gobierno corporativo que debe adoptar una entidad. En la Gráfica 1. Marco del Gobierno Corporativo en la SDS, se muestra como la Política de Administración de Riesgos hace parte de las acciones de la Dirección para el Gobierno de la entidad, con el propósito de habilitar una cultura para gestionar los riesgos en todos los emprendimientos y procesos, facilitar la adopción buenas prácticas de gerencia pública, establecer una Metodología de Administración de Riesgos y formular actividades para dar seguridad razonable sobre su cumplimiento en el Mapa de Procesos de la SDS.

La Metodología de Administración de Riesgos que acompaña está Política, dota a todos los colaboradores, con herramientas y capacidades para comprender los riesgo a que se expone la entidad al realizar su misión, así como para identificar, formular e implementar actividades de control y planes de tratamiento que permitan gestionar los riesgos dentro del apetito de riesgo de la entidad.

El grupo Directivo de la SDS tiene la responsabilidad de asegurar que esta política sea aplicada en la gestión y seguimiento de todas las actividades a su cargo, para que los riesgos inherentes sean administrados apropiadamente.

La SDS como ente rector del sistema de salud en el Distrito Capital, tiene el compromiso de identificar y gestionar los riesgos que incidan sobre la calidad en la prestación de los servicios de salud a los habitantes de la ciudad región y sobre su propia gestión, bajo una perspectiva de prevención con respecto a los riesgos estratégicos, operativos, de control, financieros, de cumplimiento, ambientales y de tecnología que se presentan en el logro de su misión y visión institucional.

Por lo anterior, la administración de riesgos en nuestra entidad se establece como una acción permanente, enmarcada en el Proceso Evaluativo y de Mejoramiento Continuo. Es responsabilidad del Señor Secretario de Salud, de las direcciones, oficinas asesoras y de todos los colaboradores de la SDS, gestionar en los procesos, procedimientos proyectos, planes y programas a su cargo la administración de riesgos aplicando los lineamientos establecidos en la "Política y Metodología de Administración de Riesgos".

El enfoque preventivo en la administración de riesgos en nuestra entidad, se desarrolla mediante un proceso permanente para identificar e implementar actividades de control para prevenir, detectar y/o corregir la ocurrencia de hechos no deseados, documentadas, comunicadas y asignada la responsabilidad por su ejecución y seguimiento de forma apropiada, con el propósito de aplicar opciones de tratamiento para evitar, compartir, transferir o aceptar los riesgos dentro del riesgo aceptado establecido en esta política. Estas acciones deberán autoevaluarse por sus responsables y evaluarse de forma independiente periódicamente a fin de asegurar su cumplimiento.

En el capitulo "4. Metodología de Administración de Riesgos en la SDS" se plantea la forma como se identifican, analizan, evalúan y se tratan los riesgos en la entidad.

La administración de riesgos forma parte de la cultura de la SDS, es decir, está incorporada en la filosofía, prácticas éticas, modelo de operación y procesos de la entidad. Por lo tanto, todos los colaboradores de la entidad están involucrados en la gestión de riesgos.

La Política de Administración de Riesgos debe ser aplicada en todas las etapas de la vida institucional, en la gestión de los procesos que conforman el Sistema Integrado de Gestión, en todo nuevo emprendimiento, función, proyecto, producto o activo que establezca la entidad para el ogro de sus objetivos institucionales.

Para entender como la Política y Metodología de Administración de Riesgos se articula con la Política de Calidad en la SDS, es necesario considerar los siguientes aspectos:

1. Nuestra Política de Calidad establece que: "Concientes de nuestra razón de ser, garantizar el derecho a la salud y reconociendo las necesidades y expectativas de nuestros usuarios, nos comprometemos con atributos de efectividad, accesibilidad, oportunidad y amabilidad a ser la clave en el mejoramiento de calidad de vida y salud de los habitantes de Bogotá, valorando la experiencia de nuestra gente, el desarrollo tecnológico y el respeto por el medio ambiente".

2. La Norma Técnica de Calidad para la Gestión Pública en Colombia, NTCGP 1000:2004, en su numeral "4.1. REQUISITOS GENERALES", literal g), establece que la entidad debe: "identificar y diseñar, con la participación de todos los servidores públicos y/o particulares que ejercen funciones públicas, los puntos de control sobre los riesgos de mayor probabilidad de ocurrencia o que generan un impacto considerable en la satisfacción de necesidades y expectativas de calidad de los clientes, en las materias y funciones que le competen a cada entidad."

3. El Mapa de Procesos de la SDS tiene establecido dentro del Proceso Evaluativo y de Mejoramiento Continuo, el procedimiento para la Gestión de Riesgos, código 114 EVA-PR009 V.01.

Bajo este contexto, nuestra Política y Metodología de Administración de Riesgos apoya la Gestión de la Calidad mediante la formulación de acciones para identificar, analizar, evaluar y tratar los riesgos en el Mapa de Procesos del Sistema Integrado de Gestión.

Para entender como la Política y Metodología de Administración de Riesgos se articula con el Modelo Estándar de Control Interno en la SDS, es necesario considerar los siguientes aspectos:

1. La SDS mediante Resolución 121 del 23 de Marzo de 2006 adoptó el Modelo Estándar de Control Interno para el Estado Colombiano MECI: 1000:2005, de conformidad con lo establecido en el Decreto 1599 de 2005.

2. El Modelo Estándar de Control Interno para el Estado Colombiano MECI 1000:2005 en el Subsistema de Control Estratégico, Componente Administración del Riesgo establece que "la entidad debe emprender las acciones necesarias que le permitan el manejo de los eventos que puedan afectar negativamente el logro de los objetivos institucionales"., mediante acciones que permitan revisar el Contexto Estratégico e identificar, analizar, valorar y formular políticas de administración de riesgos. Valoración de Riesgos.

Este marco referente es base para formular la Política y Metodología de Administración de Riesgos de la SDS, ya que permite identificar, implementar y hacer seguimiento a actividades de control que se formulen a la luz de esta política, para gestionar los riesgos de la entidad.

La Metodología de Administración de Riesgos brinda una guía genérica que debe ser aplicada por los colaboradores de la entidad en todo emprendimiento, proyecto y proceso para gestionar el riesgo en la entidad.

Está metodología toma como marco referente la Norma Técnica Colombiana NTC 5254 y la Guía Administración del Riesgo, del Departamento Administrativo de la Función Pública.

Bajo este contexto, la administración de riesgos es un proceso formal ordenado y lógico, para desarrollar, establecer y alentar la gestión sistemática de riesgos en la entidad, que aplica el modelo PHVA en su estructuración, tal como se presenta en la Figura 4.

El modelo PHVA articula la administración de riesgos con la gestión de los procesos de la SDS, tomando como entrada los requisitos y expectativas de las partes interesadas, para producir como resultado la gestión de los riesgos en la entidad.

Para lograr una adecuada gestión de riesgo en la SDS, nuestra metodología establece los elementos que se presentan en la Figura 5.

La Norma Técnica Colombiana NTC5254 define cada uno de estos elementos, de la siguiente forma:

Establecer el Contexto: Establecer los contextos estratégicos, organizacionales y de gestión de riesgos en los cuales tendrá lugar el resto de los procesos. Con la realización a este elemento, se busca que la entidad obtenga los siguientes resultados:

*Identificar los factores externos que pueden ocasionar la presencia de riesgos, con base en el análisis de la formación externa y los planes y programas de la entidad.

*Identificar los factores internos que pueden ocasionar la presencia de riesgos con base en el análisis de los componentes Ambiente de Control, Direccionamiento Estratégico y demás estudios que sobre la cultura organizacional y el clima laboral adelantados en la entidad.

*Aportar información que facilite y enriquezca las demás etapas de la Administración del Riesgo.

Identificar Riesgos: Identificar qué, por qué, dónde, cuándo y cómo los eventos podrían impedir, degradar, demorar o mejorar el logro de los objetivos estratégicos. Entender la importancia del manejo del riesgo implica conocer con más detalle los siguientes conceptos:

Riesgo: Representa la posibilidad de ocurrencia de un evento que pueda entorpecer el normal desarrollo de las funciones de la entidad y afectar el logro de sus objetivos.

Causas: (factores internos o externos): son los medios, las circunstancias y agentes generadores de riesgo.

Descripción: se refiere a las características generales o las formas en que se observa o manifiesta el riesgo identificado.

Efectos (consecuencias): Constituyen las consecuencias de la ocurrencia del riesgo sobre los objetivos de la entidad; generalmente se dan sobre las personas o los bienes materiales o inmateriales con incidencias importantes tales como: daños físicos y fallecimiento, sanciones, pérdidas económicas, de información, de bienes, de imagen, de credibilidad y de confianza, interrupción del servicio y daño ambiental.

Analizar Riesgos: Determinar los controles existentes y analizar los riesgos en términos de consecuencia y probabilidad en el contexto de controles. El análisis debe considerar el rango de consecuencias potenciales y si es probable que esas consecuencias puedan ocurrir.

Para adelantar el análisis del riesgo se deben considerar los siguientes aspectos:

*Calificación del Riesgo: se logra a través de la estimación de la probabilidad de su ocurrencia y el impacto que puede causar la materialización del riesgo. La primera representa el número de veces que el riesgo se ha presentado en un determinado tiempo o puede presentarse, y la segunda se refiere a la magnitud de sus efectos.

*Para calificar la Probabilidad, se aplica la siguiente tabla:

*Para calificar el Impacto, se aplica la siguiente tabla:

Evaluar Riesgos: Comparar los niveles estimados de riesgo contra los criterios preestablecidos y considerar el balance entre beneficios potenciales y resultados adversos. Esto posibilita que se ordenen los riesgos como para identificar las prioridades de gestión. Los riesgos deben ser priorizados con base en la siguiente tabla:

Para priorizar el tratamiento de los riesgos se deben aplicar los siguientes criterios.

*Alto: Cuando el riesgo hace altamente vulnerable a la entidad o el proceso, a pesar de confrontarlo con los controles existentes. (el riesgo se encuentra en la zona inaceptable, color rojo – valor 9).

*Medio: Cuando el riesgo presenta una vulnerabilidad media una vez confrontado con los controles. (el riesgo se encuentra en las zonas importantes y moderadas, color amarillo – valores 3 y 4).

*Bajo: Cuando el riesgo presenta vulnerabilidad baja debido a la existencia de los controles. (el riesgo se encuentra en las zonas tolerable y aceptable, color azul – valores 1 y 2).

Tratar Riesgos: Si los niveles de riesgo establecidos son bajos y tolerables entonces no se requiere tratamiento. Para otros riesgos, se deben desarrollar e implementar estrategias y planes de acción específicos costo-beneficios para aumentar los beneficios potenciales de la gestión de riesgo y reducir los costos o pérdidas potenciales.

Las opciones de tratamiento del riesgo son:

*Evitar el riesgo: Tomar las medidas encaminadas a prevenir su materialización. Es siempre la primera alternativa a considerar, se logra cuando al interior de los procesos se generan cambios sustanciales por mejoramiento, rediseño o eliminación, resultado de unos adecuados controles y acciones emprendidas.

*Reducir el riesgo: Implica tomar medidas encaminadas a disminuir tanto la probabilidad (medidas de prevención), como el impacto (medidas de protección). La reducción del riesgo es probablemente el método más sencillo y económico para superar las debilidades antes de aplicar medidas más costosas y difíciles. Se consigue mediante la optimización de los procedimientos y la implementación de controles.

*Compartir o Transferir el riesgo: Reduce su efecto a través del traspaso de las pérdidas a otras organizaciones, como en el caso de los contratos de seguros o a través de otros medios que permiten distribuir una porción del riesgo con otra entidad, como en los contratos a riesgo compartido.

*Asumir un riesgo: Luego de que el riesgo ha sido reducido o transferido puede quedar un riesgo residual que se mantiene, en este caso el gerente del proceso simplemente acepta la pérdida residual probable y elabora planes de contingencia para su manejo.

*Monitorear y revisar: Monitorear y revisar el desempeño del sistema de gestión de riesgos y procurar detectar cambios que pudiera afectar la adecuación o beneficio de costos de los controles.

*Comunicar y consultar: Comunicar y consultar con los interesados internos y externos según resulte apropiado en cada etapa del proceso de gestión de riesgo, interpretando al proceso como un todo.

Se anexa a la presente Política y Metodología de Administración de Riesgos los siguientes documentos, los cuales son parte integrante de la misma:

1. Anexo 1. Glosario de términos.

2. Anexo 2. Norma Técnica Colombiana NTC5254.

3. Anexo 3. Procedimiento para la Gestión de Riesgos.

El Secretario de Salud del Distrito y los altos directivos a cargo de las direcciones y oficinas asesoras de la SDS, tienen la responsabilidad de gestionar los riesgos relacionados con los objetivos estratégicos y los de los procesos a su cargo.

Los responsables de los procesos y procedimientos de las distintas áreas de la entidad, son quienes deben identificar, implementar, evaluar y responder al riesgo en relación con el logro de sus objetivos. Ellos deben asegurar que los procesos empleados cumplen la Política y Metodología de Administración de Riesgos de la SDS y que sus actividades se encuentran dentro de los niveles establecidos de tolerancia al riesgo.

Los responsables de las direcciones deben elaborar informes periódicos sobre el progreso en la implementación de la política en su área. Estos informes deben tratar asuntos tales como:

*El cumplimiento de la Política de Administración de Riesgos y el desarrollo de técnicas adaptadas a las actividades de la dirección.

*La aplicación de las técnicas y metodología de administración de riesgos para garantizar la adecuada identificación, evaluación, respuesta, comunicación y seguimiento de los riesgos.

*Resultados de la gestión los riesgos en la cotidianidad de la entidad.

*Formular, orientar, dirigir y coordinar el proyecto de diseño e implementación del Componente de Administración de Riesgo.

*Asegurar que se desarrollen a cabalidad cada una de las etapas previstas para el diseño e implementación del Componente de Administración de Riesgo.

*Informar a la alta dirección sobre la planificación y avances del proyecto de diseño e implementación del componente de Administración de Riesgo.

*Dirigir y coordinar las actividades del Equipo MECI.

*Coordinar con los directivos o responsables de cada área o proceso las actividades que requiere realizar el Equipo MECI, en armonía y colaboración con los servidores de dicha áreas.

*Hacer seguimiento a las actividades planeadas para el diseño e implementación del Componente de Administración de Riesgo, aplicando correctivos donde se requiera.

*Someter a consideración del Comité de Coordinación de Control Interno las propuestas de diseño e implementación del Componente de Administración de Riesgo, para su aprobación.

*El equipo cumplirá los siguientes roles y responsabilidades:

*Adelantar el proceso de diseño e implementación del Componente de Administración de Riesgo bajo las orientaciones del representante de la dirección.

*Capacitar a los servidores de la entidad en el Modelo y el Componente de Administración de Riesgo.

*Asesorar a las áreas de la entidad en el diseño e implementación del Componente de Administración de Riesgo.

*Revisar, analizar y consolidar la información para presentar propuestas de diseño e implementación del Componente de Administración de Riesgo al representante de la dirección, para su aplicación.

*Trabajar en coordinación con los servidores designados por área en aquellas actividades requeridas para el diseño e implementación del Componente de Administración de Riesgo.

La Oficina de Control Interno juega un papel fundamental en el funcionamiento de la Política y Metodología de Administración de Riesgos, proporcionando un seguimiento objetivo de su aplicación y eficacia. Los colaboradores de la Oficina de Control Interno deben llevar a cabo revisiones para proporcionar una evaluación objetiva del proceso completo de administración de riesgos en la SDS.

Dentro de este papel, la Oficina de Control Interno debe apoyar a la dirección realizando evaluaciones sobre:

*El procedimiento de administración de riesgos, tanto a en su diseño como los procesos y procedimientos sobre los que impacta.

*La eficacia y eficiencia de las respuestas al riesgo y actividades de control relacionadas.

*La integridad y exactitud de la información generada sobre la gestión de riesgos.

*Asesorar el proceso de identificación de los Riesgos institucionales y con base en ellos, realizar recomendaciones preventivas y/o correctivas con los responsables de los procesos.

*Hacer seguimiento a la evolución de los riesgos y al cumplimiento de las acciones propuestas, con el fin de verificar el cumplimiento de las mismas y proponer mejoras.

*Verificar que en la entidad se implementen políticas de administración del riesgo y se implementen mecanismos reales para la administración del riesgo.

*Administración de riesgos: Rama de la gestión institucional que capacita a la dirección y a todo el personal de la entidad para identificar, evaluar y gestionar los riesgos, aplicando en la definición de la estrategia y en toda la entidad y diseñado para identificar eventos potenciales que puedan afectar a la organización y gestionar sus riesgos dentro del riesgo aceptado, proporcionando una seguridad razonable sobre el logro de objetivos.

*Análisis de riesgos: Determinar el impacto y la probabilidad del riesgo. Dependiendo de la información disponible como registros de ocurrencia de riesgos, informes de los entes de control.

*Apetito de riesgo: Determinar el impacto y la probabilidad del riesgo. Dependiendo de la información disponible como registros de ocurrencia de riesgos, informes de los entes de control.

*Causa: Medios, circunstancias y agentes que generan los riesgos.

*Colaborador: Grupo de personas vinculadas con la SDS. Incluye: Directivos, funcionarios de planta, contratistas, proveedores de servicios que apoyan la gestión de la entidad.

*Control: Acción que tiende a minimizar los riesgos, significa analizar el desempeño de las operaciones, evidenciando posibles desviaciones frente al resultado esperado para la adopción de medidas preventivas. Los controles proporcionan un modelo operacional de seguridad razonable en el logro de los objetivos.

*Controles de aplicación: Procedimientos programados en el software de aplicación y procedimientos manuales relacionados con ellos, diseñados para ayudar a asegurar la integridad y fiabilidad del procesamiento de la información. Los ejemplos incluyen las comprobaciones automáticas de edición, verificaciones de secuencia numérica y procedimientos manuales para seguir temas identificados en los informes de incidencias.

*Controles generales: Políticas y procedimientos que ayudan a asegurar el funcionamiento adecuado y permanente de los sistemas de información. Se incluyen en este concepto los controles de gestión de la tecnología de información, de la infraestructura de la tecnología informática, de la gestión de la seguridad y de la adquisición, desarrollo y mantenimiento del software. Los controles generales apoyan el funcionamiento de los controles de aplicación programados. Otros términos similares son controles generales informáticos y controles de tecnología informática.

*Control interno: Proceso efectuado por la dirección y demás personal de la entidad, diseñado para proporcionar una seguridad razonable respecto a la consecución de objetivos en cuanto a: la eficacia y eficiencia de las operaciones; la fiabilidad de la información de la entidad; el cumplimiento de leyes y regulaciones aplicables.

*Controles manuales: Controles realizados manualmente y sin apoyo del computador.

*Evento: Incidente o acontecimiento, derivado de fuentes internas o externas a la entidad que la afecta en el logro de sus objetivos institucionales.

*Factores de riesgo: Manifestaciones o características medibles u observables de un proceso que indican la presencia de riesgo o tienden a aumentar la exposición, pueden ser internos o externos a la entidad.

*Grupos de interés: Partes que interactúan o se ven afectadas por la gestión de la entidad, tales como directivos, servidores públicos, contratistas, comunidad, entidades de vigilancia y control, otras instituciones, entre otros.

*Identificación del Riesgo: Establecer la estructura del riesgo; fuentes o factores, internos o externos, generadores de riesgos; puede hacerse a cualquier nivel: total por la entidad, por áreas, por procesos, desde el nivel estratégico hasta el operativo.

*Impacto: Resultado o efecto de un evento. Puede existir una variedad de posibles impactos asociados a un evento. El impacto puede ser positivo o negativo sobre los objetivos de la entidad.

*Indicador: Es la valoración de una o más variables que informa sobre una situación y soporta la toma de decisiones, es un criterio de medición y de evaluación cuantitativa o cualitativa.

*Incertidumbre: La incapacidad de saber anticipadamente la probabilidad e impacto exactos de eventos futuros.

*Mapas de riesgos: Herramienta metodológica que permite hacer un inventario de los riesgos ordenada y sistemáticamente, definiéndolos, haciendo la descripción de cada uno de estos y las posibles consecuencias.

*Plan de contingencia: Parte del plan de manejo de riesgos que contiene las acciones a ejecutar en caso de la materialización del riesgo, con el fin de dar continuidad a los objetivos de la entidad.

*Plan de manejo del Riesgo: Plan de acción propuesto por el grupo de trabajo, cuya evaluación de beneficio costo resulta positiva y es aprobado por la gerencia.

*Plan de mejoramiento: Parte del plan de manejo que contiene las técnicas de la gestión del riesgo orientadas a prevenir, evitar, reducir, dispersar, transferir o asumir riesgos.

*Política: Directriz sobre lo que debería hacerse al ejecutar un control. Una política sirve como base para implementar un control.

*Portafolio de riesgos: Conjunto de riesgos que deben ser administrados por la entidad.

*Probabilidad: Una medida (expresada como porcentaje o razón) para estimar la posibilidad de que ocurra un incidente o evento. Contando con registros, puede estimarse a partir de su frecuencia histórica mediante modelos estadísticos de mayor o menor complejidad.

*Procedimiento: Conjunto de acciones para poner en práctica una política y gestionar un proceso.

*Proceso: Serie de acciones tomadas para conducir la entidad hacia el logro de sus objetivos.

*Responsables: Son las direcciones, áreas o personal de la entidad encargadas de adelantar las acciones propuestas. Para la asignación de responsabilidades en cuanto a lo establecido en esta metodología, se aplica el modelo RACI, que significa:

*Retroalimentación: Información sistemática sobre los resultados alcanzados en la ejecución de un plan, que sirven para actualizar y mejorar la planeación futura.

*Riesgo: Posibilidad de ocurrencia de toda aquella situación que pueda entorpecer el normal desarrollo de las funciones de la entidad y le impidan el logro de sus objetivos. Los riesgos pueden clasificarse en:

Riesgo Estratégico: Es el riesgo que se asocia a la formulación estratégica de la entidad (misión, visión, objetivos, estrategias, planes y políticas).

Riesgo Político: Es el riesgo que se asocia a las decisiones políticas tanto internas como externas.

Riesgo Social – Cultural: Son los riesgos inherentes a la ética pública y al compromiso ante la comunidad.

Riesgos Operativos: Comprende los riesgos relacionados tanto con la parte operativa como técnica de la entidad, incluye riesgos provenientes de deficiencias en los sistemas de información, en la definición de los procesos, en la estructura de la entidad, la desarticulación entre dependencias, lo cual conduce a ineficiencias, oportunidades de corrupción e incumplimiento de los compromisos institucionales.

Riesgos de Control: Están directamente relacionados con inadecuados o inexistentes puntos de control y en otros casos, con puntos de control obsoletos, inoperantes o poco efectivos.

Riesgos Financieros: Se relacionan con el manejo de los recursos de la entidad que incluye, la ejecución presupuestal, la elaboración de los estados financieros, los pagos, manejos de excedentes de tesorería y el manejo sobre los bienes de cada entidad. De la eficiencia y transparencia en el manejo de los recursos, así como su interacción con las demás áreas dependerá en gran parte el éxito o fracaso de toda entidad.

Riesgo Legal o Jurídico: Se asocian con la capacidad de la entidad para cumplir con los requisitos legales, contractuales, de ética pública y en general con su compromiso ante la comunidad.

Riesgos de Tecnología: Se asocian con la capacidad de la Entidad para que la tecnología disponible satisfaga las necesidades actuales y futuras de la entidad y soporten el cumplimiento de la misión.

Riesgo Ambiental: Se asocian con la capacidad de la entidad para cumplir y hacer cumplir los requisitos establecidos para una adecuada gestión ambiental.

*Riesgo aceptado: La cuantía más amplia de riesgo que la entidad está dispuesta a asumir para realizar su misión y lograr la visión.

*Riesgo inherente: Es el riesgo a que se somete la entidad en ausencia de acciones para reducir la probabilidad de ocurrencia o el impacto.

*Riesgo residual: Es el riesgo que queda después de aplicar acciones para modificar la probabilidad o impacto de un riesgo.

*Seguimiento: Recolección regular y sistemática sobre la ejecución del plan, que sirven para actualizar y mejorar la planeación futura.

*Seguridad razonable: Es el concepto en cuanto a que la administración de riesgos, por bien diseñada y operativa que esté, no puede proporcionar una garantía sobre la consecución de los objetivos de la entidad, debido a (sic) los limitaciones inherentes a dicha gestión (Humanas, ambientales, culturales, etc.).

*Sistema: Conjunto de elementos o apartes coordinadas, ordenadamente relacionadas entre sí, que contribuyen a un determinado objetivo.

*Técnicas para manejar el Riesgo: Evitar o prevenir, reducir, dispersar, transferir y asumir riesgos.

*Valoración del riesgo: Es el resultado de confrontar la evaluación del riesgo con los controles existentes.