RESOLUCION 113 de 2015

EL DIRECTOR GENERAL DEL CENTRO DE MEMORIA HISTORICA En uso de sus facultades legales y reglamentarias, especialmente, las consagradas en los artículos 145 y 146 de la Ley 1448 de 2011 y los artículos 5º y 9º del Decreto 4803 de 2011 y

CONSIDERANDO:

La Constitución Política en su artículo 209, establece: "La administración pública, en todos sus órdenes, tendrá un Control Interno que se ejercerá en los términos que señale la Ley". A su vez, el artículo 269 de Constitución Política establece, entre otros aspectos, que: "En las entidades públicas, las autoridades correspondientes están obligadas a diseñar y aplicar, según la naturaleza de sus funciones, métodos y procedimientos de Control Interno, de conformidad con lo que disponga la Ley"

Es de precisar que el artículo 2° de la Ley 87 de 1993 establece en el literal a). Proteger los recursos de la organización buscando su adecuada administración ante posibles riesgos que los afecten; y en el literal D. Definir y aplicar medidas para prevenir los riesgos, detectar y corregir las desviaciones que se presenten en la organización y que puedan afectar el logro de sus objetivos.

Es de precisar que el artículo 6º de la Ley 87 de 1993 estableció que la responsabilidad del Sistema de Control Interno recae en el representante legal o máximo directivo de cada entidad, sin perjuicio de que la aplicación de los métodos y procedimientos, al igual que la calidad, eficiencia y eficacia del Control Interno, sean responsabilidad de los jefes de cada una de las dependencias de las entidades y organismos.

De otra parte, el Decreto 1537 de 2001 señaló que, como parte integral del fortalecimiento de los Sistemas de Control Interno en las entidades públicas, las autoridades correspondientes debían establecer y aplicar políticas de administración del riesgo, con base en un proceso permanente de identificación y análisis del riesgo, evaluando los aspectos tanto internos como externos que puedan llegar a representar amenaza para la consecución de los objetivos organizacionales.

A su vez el artículo 4° del Decreto 1537 de 2001 establece la administración de riesgos como parte Integral del fortalecimiento de los sistemas de control interno en las entidades públicas, para lo cual las autoridades correspondientes establecerán y aplicarán políticas de administración del riesgo. Para tal efecto, la identificación y análisis del riesgo debe ser un proceso permanente e interactivo entre la administración y las oficinas de control interno o quien haga sus veces, evaluando los aspectos tanto internos como externos que pueden llegar a representar amenaza para la consecución de los objetos organizacionales con miras a establecer acciones efectivas, representadas en actividades de control, acordadas entre los responsables de las áreas o procesos y las oficinas de control interno e integradas de manera inherente a los procedimientos.

La Ley 872 de diciembre 30 de 2003, por la cual se crea el Sistema de Gestión de la Calidad en la Rama Ejecutiva del Poder Público y, en otras entidades prestadoras de servicios, establece la creación del Sistema de Gestión de la Calidad, como una herramienta de gestión sistemática y transparente que permita dirigir y evaluar el desempeño institucional, en términos de calidad y satisfacción social en la prestación de los servicios a cargo de las entidades y agentes obligados, la cual estará enmarcada en los planes estratégicos y de desarrollo de tales entidades.

En su artículo 4°. Requisitos para su implementación. Expone en el literal e. "Identificar y diseñar, con la participación de los servidores públicos que intervienen en cada uno de los procesos y actividades, los puntos de control sobre los riesgos de mayor probabilidad de ocurrencia o que generen un impacto considerable en la satisfacción de las necesidades y expectativas de calidad de los usuarios o destinatarios, en las materias y funciones que le competen a cada entidad"

De otra parte, el Decreto 1599 de 2005 adopta el Modelo Estándar de Control Interno para el Estado Colombiano MECI: 1000: 2005, modificado por Decreto 943 de 2014 el cual actualizó el Modelo Estándar de Control Interno -MECI. Este último se implementará a través del Manual Técnico del Modelo Estándar de Control Interno, emitido por el Departamento Administrativo de la Función Pública Dirección de Políticas de Control Interno y Racionalización de Trámites, el cual es de obligatorio cumplimiento y aplicación para las entidades del Estado.

El Manual Técnico del MECI establece como uno de sus componentes la administración del riesgo, que se estructura a través de los siguientes elementos de control: políticas de administración del riesgo, identificación del riesgo, análisis y valoración del riesgo. Por lo anterior, es necesario adoptar la metodología e instrumentos para la Administración del Riesgo en el Centro Nacional de Memoria Histórica - CNMH según el componente enunciado.

De igual forma en el Manual Técnico del MECI del Departamento Administrativo de la Función Pública define los riesgos como la posibilidad de ocurrencia de un evento que pueda entorpecer el normal desarrollo de las funciones de la entidad y afectar el logro de sus objetivos y estructura la metodología para administración del riesgo en cinco elementos: contexto estratégico, identificación del riesgo, análisis del riesgo, valoración del riesgo y mapa para la administración del riesgo; de acuerdo con los lineamientos y parámetros impartidos por esta Entidad.

Como complemento el Departamento Administrativo de la Función Pública emite la "Guía para la administración del riesgo" donde se establecen varios lineamientos y aclaraciones sobre la administración del riesgo, esta sugiere adoptar la metodología planteada por la Dirección de Control Interno y Racionalización de Trámites del Departamento Administrativo de la Función Pública, con el fin de facilitarle a las entidades el ejercicio de la administración del riesgo.

Mediante Resolución 196 de 22 de octubre de 2013 de la Dirección General del CNMH se adoptan los sistemas de Control Interno, Calidad, Gestión Documental, Capacitación, Desarrollo Administrativo y se crean los equipos de trabajo institucional para su implementación.

La Ley 1150 de 2007, artículo 4 establece que la Entidad Estatal debe "incluir la estimación, tipificación y asignación de los riesgos previsibles involucrados en la contratación" en los pliegos de condiciones o su equivalente.

El Decreto 1510 de 2013, "Por el cual se reglamenta el sistema de compras y contratación pública", dispone en el artículo 22. Pliego de condiciones, ítem 8 Se deben establecer los riesgos asociados al contrato, la forma de mitigarlos y la asignación del riesgo entre las partes contratantes.

El Decreto 1510 de 2013 define Riesgo como un evento que puede generar efectos adversos y de distinta magnitud en el logro de los objetivos del Proceso de Contratación o en la ejecución de un contrato. También, el Decreto 1510 establece que la Entidad Estatal debe evaluar el Riesgo que el Proceso de Contratación representa para el cumplimiento de sus metas y objetivos, de acuerdo con los manuales y guías que para el efecto expida Colombia Compra Eficiente.

Con el Decreto 4170 de 3 de noviembre de 2011 del Departamento Administrativo de La Función Pública se crea la Agencia Nacional de Contratación Pública - Colombia Compra Eficiente. La Agencia Nacional de Contratación Pública mediante Circular Externa No 5 del 16 de septiembre de para la Identificación y Cobertura del Riesgo. 2013, en desarrollo del literal (a) del numeral 2 del artículo 159 del Decreto 1510 de 2013 presenta el Manual De otra parte, la Ley 1474 de 2011, en su artículo 73, Plan Anticorrupción y de Atención al Ciudadano. Establece que cada entidad del orden nacional, departamental y municipal deberá elaborar anualmente una estrategia de lucha contra la corrupción y de atención al ciudadano. Dicha estrategia contemplará, entre otras cosas, el mapa de riesgos de corrupción en la respectiva entidad, las medidas concretas para mitigar esos riesgos, las estrategias antitrámites y los mecanismos para mejorar la atención al ciudadano. El Decreto Reglamentario 2641 de 2012, por el cual se reglamentan los artículos 73 y 76 de la Ley de 2011, en el artículo 5 dio a las oficinas de control interno la responsabilidad de implementar mecanismos de seguimiento al cumplimiento de las orientaciones y obligaciones derivadas del documento "Estrategias para la Construcción del Plan Anticorrupción y de Atención al Ciudadano" para lo cual se publicará en la página web de la respectiva entidad, las actividades realizadas, de acuerdo con los parámetros establecidos.

A su vez, la Agencia Nacional de Defensa Jurídica del Estado tiene como una de sus funciones proponer, implementar y hacer seguimiento a la política pública de prevención del daño, las conductas y los actos antijurídicos, en cumplimiento de esta función la entidad publicó el "Manual para la elaboración de Políticas de Prevención del Daño Antijurídico" y la "Guía para la generación de política de prevención del daño antijurídico" mecanismos para proponer política preventiva del daño antijurídico en las entidades públicas.

RESUELVE:

Artículo primero.

ASPECTOS GENERALES. Establecer y desarrollar la Política de Administración del Riesgos para el Centro Nacional de Memoria Histórica a través del adecuado tratamiento de los riesgos de gestión institucional, la cual incluya los riesgos asociados al Sistema de Gestión de la Calidad, Modelo Estándar de Control Interno, procesos de selección y/o contratación, los posibles riesgos relacionados con eventos de corrupción y los demás que puedan afectar la gestión institucional; para garantizar el cumplimiento de la misión, visión y objetivos institucionales, garantizando la alineación con la planificación estratégica del Centro Nacional de Memoria Histórica.

Artículo segundo.

OBJETIVO. El objetivo de la política de administración del riesgo es orientar la toma de decisiones respecto al tratamiento de los riesgos y sus efectos al interior del Centro Nacional de Memoria Histórica, con el propósito de orientar las acciones necesarias que conduzcan a disminuir la vulnerabilidad frente a situaciones que puedan interferir en el cumplimiento de sus funciones y en el logro de los objetivos de la Entidad.

Artículo tercero.

POLÍTICA DE ADMINISTRACIÓN DEL RIESGO. El Centro Nacional de Memoria Histórica se compromete a administrar los riesgos identificados en el mapa de riesgos, los cuales estarán sujetos al seguimiento, monitoreo, control y actualización mediante la aplicación de herramientas y procedimientos establecidos, incluyendo acciones para evitar, reducir, compartir o transferir, o asumir el riesgo; con la participación de los servidores públicos y contratistas de la Entidad y dando respuesta a los lineamientos estratégicos y los requisitos legales.

Artículo cuarto.

ALCANCE. La política de administración del riesgo establece la guía de acción para que todos los servidores públicos y contratistas del Centro Nacional de Memoria Histórica, coordinen y administren los eventos que puedan impedir el logro de las metas a través del tratamiento y manejo de los riesgos con base en su valoración y que permitan tomar decisiones adecuadas para evitar, reducir, compartir o transferir, o asumir el riesgo. La administración de los riesgos se hará para todos los procesos del Centro Nacional de Memoria Histórica (estratégicos, misionales, apoyo o de evaluación).

Artículo quinto.

METODOLOGÍA. Adoptar en el Centro Nacional de Memoria Histórica los lineamientos, la metodología e instrumentos para la Administración del Riesgo establecidos por el Departamento Administrativo de la Función Pública, las consideraciones, orientaciones y mecanismos de la administración de riesgos del Modelo Estándar de Control Interno - MECI, de la Agencia Nacional de Defensa Jurídica del Estado, de la Agencia Nacional de Contratación Pública - Colombia Compra Eficiente y demás metodologías y políticas públicas que se impartan sobre la materia y que apliquen a la Entidad.

Artículo sexto.

RESPONSABLES. La implementación de la política de administración del riesgo debe ser coordinada por el representante de la alta dirección del CNMH y su equipo directivo. Igualmente contar con el apoyo del Comité Institucional de Desarrollo Administrativo del Centro Nacional de Memoria Histórica y el apoyo del equipo operativo del Sistema Integrado de Gestión del Centro Nacional de Memoria Histórica, acorde con la legislación vigente aplicable y la normatividad interna; también debe ser conocida y apropiada por todos los servidores públicos y contratistas que sean responsables y/o participen en el desarrollo de los diferentes planes, programas, proyectos, procesos o actividades en el CNMH. Los líderes de proceso deben dar a conocer a su equipo de trabajo los lineamientos determinados en la presente política.

Planeación del CNMH realiza el acompañamiento a los procesos en el levantamiento de los mapas de riesgos en cada una de sus etapas y elabora la consolidación de los mapas de riesgos por proceso.

Los líderes de los procesos son los responsables de implementar las metodologías y lineamientos para la administración de riesgos establecidos en el CNMH; diseñar, actualizar y realizar seguimiento al mapa de riesgos de su proceso; velar por el mejoramiento y sostenibilidad del mapa de riesgos de su proceso a través de las acciones de mejora, preventivas o correctivas. De igual forma por el seguimiento a las acciones, la eficacia de los controles, la adecuada documentación y la socialización al interior de su grupo de trabajo. Los líderes de procesos serán los encargados de actualizar, aprobar, revisar y adoptar las modificaciones al mapa de riesgos, dando viabilidad al cambio de versión, así como de la evaluación de la eficacia en el manejo de los riesgos.

Control Interno del Centro Nacional de Memoria Histórica frente a la Administración del Riesgo tiene el propósito de proveer una evaluación objetiva a la entidad a través del proceso de auditoría interna sobre la efectividad de las políticas y acciones en la materia, de cara a asegurar que los riesgos institucionales están siendo administrados apropiadamente y que el Sistema de Control Interno está siendo operado efectivamente por la alta dirección, de la misma forma debe recomendar, motivar y soportar las decisiones gerenciales sobre riesgo. En consecuencia, uno de los requerimientos claves de la Alta Dirección es verificar que se evalúe la política de administración del riesgo y que los riesgos institucionales estén siendo manejados en niveles aceptables.

Los funcionarios públicos y contratistas del CNMH participarán en la implementación de las metodologías de la administración del riesgo definidas por el CNMH y deben conocer y apropiar la política de administración del riesgo.

Artículo séptimo.

ESTRUCTURA DE LA ADMINISTRACIÓN DEL RIESGO. La administración del riesgo contempla la estructura de cinco (5) elementos, a saber:

-Contexto estratégico: Estará integrado por la observación, distinción y análisis de las circunstancias internas y externas que puedan generar eventos que originen oportunidades o afecten el cumplimiento de la función, misión y objetivos institucionales. Permite establecer el lineamiento estratégico que orienta las decisiones del Centro Nacional de Memoria Histórica, frente a los riesgos que pueden afectar el cumplimiento de sus objetivos.

- Identificación del riesgo. La identificación del riesgo debe ser permanente e interactivo basado en el resultado del análisis del contexto estratégico, se realiza determinando las causas, con base en los factores internos y/o externos analizados para el Centro Nacional de Memoria Histórica, y que pueden afectar el logro de los objetivos. Establece agentes generadores del riesgo, las causas y los efectos. Posibilita conocer los eventos potenciales, estén o no bajo el control de la Entidad y que ponen en riesgo el logro de los objetivos.

- Análisis del riesgo. El análisis del riesgo busca establecer la probabilidad de ocurrencia del mismo y sus consecuencias, este último aspecto puede orientar la clasificación del riesgo, con el fin de obtener información para establecer el nivel de riesgo y las acciones que se van a implementar. Se califican y evalúan a fin de determinar la capacidad del Centro Nacional para la Memoria Histórica para su aceptación y manejo. Permite establecer la probabilidad de ocurrencia de los riesgos y el impacto de sus consecuencias.

- Valoración del riesgo. Es el producto de confrontar los resultados de la evaluación del riesgo con los controles identificados, esto se hace con el objetivo de establecer prioridades para su manejo y para la fijación de políticas. Determina el nivel o grado de exposición del Centro Nacional de la Memoria Histórica al impacto del riesgo y permite estimar las prioridades para su tratamiento.

La selección de los controles implica equilibrar los costos y los esfuerzos para su implementación, así como los beneficios finales, por lo tanto se deberá considerar aspectos como: viabilidad jurídica, viabilidad técnica e institucional, análisis de costo-beneficio, entre otros.

Artículo octavo.

NIVELES DE RIESGO ACEPTABLE. El Centro Nacional de Memoria Histórica estable como niveles de riesgo las siguientes zonas: extrema, alta, moderada y bajo.

Para estimar el nivel de riesgo inicial, los valores determinados para la probabilidad y el impacto o consecuencias se cruzan en la matriz de riesgo con el fin de determinar la zona de riesgo en la cual se ubica el riesgo identificado. Este primer análisis del riesgo se denomina "Riesgo inherente" y se define como aquél al que se enfrenta la entidad en ausencia de acciones por parte del CNMH para modificar su probabilidad o impacto. Una vez se desarrolle el análisis objetivo de los controles y las acciones para el manejo de los riesgos, la valoración después de controles se denomina "Riesgo residual", ésta definido como aquel que permanece después de la entidad desarrolle sus respuestas a los riesgos.

El nivel de riesgo aceptable (NRA), es decir cuáles de los niveles de riesgos para los riesgos inherentes son aceptables, se establece de acuerdo a las metodologías adoptadas por el CNMH para la administración de los riesgos.

Artículo noveno.

OPCIONES PARA EL TRATAMIENTO Y MANEJO DE RIESGOS. Las opciones apuntarán a la toma de decisiones para:

Evitar el riesgo: tomar las medidas encaminadas a prevenir su materialización. Es siempre la primera alternativa a considerar, se logra cuando al interior de los procesos se genera cambios sustanciales por mejoramiento, rediseño o eliminación, resultado de unos adecuados controles y acciones emprendidas. Por ejemplo: el control de calidad, manejo de los insumos, mantenimiento preventivo de los equipos, desarrollo tecnológico, etc.

Reducir el riesgo: implica tomar medidas encaminadas a disminuir tanto la probabilidad (medidas de prevención), como el impacto (medidas de protección). La reducción del riesgo es probablemente el método más sencillo y económico para superar las debilidades antes de aplicar medidas más costosas y difíciles, ejemplo: a través de la optimización de los procedimientos y la implementación de controles.

Compartir o transferir el riesgo: reduce su efecto a través del traspaso de las pérdidas a otras organizaciones, como en el caso de los contratos de seguros o a través de otros medios que permiten distribuir una porción del riesgo con otra entidad, como en los contratos a riesgo compartido. Por ejemplo, la información de gran importancia se puede duplicar y almacenar en un lugar distante y de ubicación segura, en vez de dejarla concentrada en un solo lugar, la tercerización.

Asumir el riesgo: luego de que el riesgo ha sido reducido o transferido puede quedar un riesgo residual que se mantiene, en este caso el gerente del proceso simplemente acepta la pérdida residual probable y elabora planes de contingencia para su manejo. Dicha selección implica equilibrar los costos y los esfuerzos para su implementación, así como los beneficios finales; por lo tanto, se deberá considerar para la implementación de acciones y controles, aspectos como: viabilidad jurídica, viabilidad técnica, viabilidad institucional y viabilidad financiera o económica.

Dicha selección implica equilibrar los costos y los esfuerzos para su implementación, así como los beneficios finales; por lo tanto, se deberá considerar para la implementación de acciones y controles, aspectos como: viabilidad jurídica, viabilidad técnica, viabilidad institucional y viabilidad financiera o económica.

Artículo décimo.

MONITOREO Y REVISIÓN A LA GESTIÓN DE LOS RIESGOS. El monitoreo y revisión debe asegurar que las acciones establecidas en los mapas de riesgo se están llevando a cabo y evaluar la eficacia en su implementación, adelantando revisiones sobre la marcha para evidenciar todas aquellas situaciones o factores que pueden influir en la aplicación de acciones preventivas.

El monitoreo a los mapas de riesgo, controles y planes de tratamiento se realizará como mínimo dos (2) veces al año, salvo en los casos que los lineamientos u orientaciones establezcan los respectivos seguimientos. Los ciclos de control establecidos se revisarán y se ajustarán si es necesario para adaptarlos a los cambios, situaciones o circunstancias por las que pueda atravesar el Centro Nacional de Memoria Histórica.

El monitoreo y revisión de la administración del riesgo estará a cargo de los líderes de los procesos y de Control Interno del Centro Nacional de Memoria Histórica su finalidad principal es monitorear que el plan de tratamiento se esté llevando a cabo, evaluar la implementación, y sugerir los correctivos y ajustes necesarios para asegurar un efectivo manejo del riesgo.

Parágrafo.
Control Interno del Centro Nacional de Memoria Histórica realizará los monitores y revisiones a la administración del riesgo, con el fin de aplicar y sugerir los correctivos y ajustes necesarios para asegurar el efectivo manejo del riesgo. Igualmente dentro de su función asesora comunicará y presentará sus resultados y propuestas de mejoramiento y tratamiento a las situaciones detectadas.

En sus procesos de auditoría interna Control Interno debe analizar el diseño e idoneidad de los controles, determinando si son o no adecuados para prevenir o mitigar los riesgos de los procesos, haciendo uso de las técnicas relacionadas con pruebas de auditoría que permitan determinar la efectividad de los controles. ARTÍCULO DÉCIMO PRIMERO. MEJORAMIENTO. Como resultados del monitoreo y revisión se definirán acciones de mejora, preventivas o correctivas que permitan implementar el mejoramiento continuo y la sostenibilidad de la administración del riesgo, así como evitar las desviaciones que se presenten frente a los objetivos y metas planteadas en el Centro Nacional de Memoria Histórica.

ARTÍCULO DÉCIMO SEGUNDO. DIVULGACIÓN. La política de administración del riesgo y los mapas de riesgos se divulgarán al interior del Centro Nacional de Memoria Histórica a través de los medios de comunicación, charlas informativas, así como la socialización al interior de cada uno de los procesos a los servidores públicos y contratistas de la entidad por parte de los líderes de proceso y la participación del equipo de trabajo en el monitoreo y revisión de los riesgos del proceso.

ARTÍCULO DÉCIMO TERCERO.TÉRMINOS Y DEFINICIONES: Se relaciona los términos relevantes en la administración del riesgo para el Centro Nacional de Memoria Histórica. Tomados de la guía para la administración del riesgo del Departamento Administrativo de la Función Pública. 2011.

Administración de riesgos: conjunto de elementos de control que al interrelacionarse, permiten a la entidad pública evaluar aquellos eventos negativos, tanto internos como externos, que puedan afectar o impedir el logro de sus objetivos institucionales o los eventos positivos que permitan identificar oportunidades para un mejor cumplimiento de su función. Se constituye en el componente de control que al interactuar sus diferentes elementos le permite a la entidad pública autocontrolar aquellos eventos que pueden afectar el cumplimiento de sus objetivos.

Contexto estratégico: son las condiciones internas y del entorno, que pueden generar eventos que originan oportunidades o afectan negativamente el cumplimiento de la misión y objetivos de una institución.

Impacto: se entiende como las consecuencias que puede ocasionar a la organización la materialización del riesgo.

Mapa de riesgos: es una representación final de la probabilidad e impacto de uno o más riesgos frente a un proceso, proyecto o programa. Un mapa de riesgos puede adoptar la forma de un cuadro resumen que muestra cada uno de los pasos llevados a cabo para su levantamiento.

Mapa de riesgos institucional: contiene a nivel estratégico los mayores riesgos a los cuales está expuesta la entidad, permitiendo conocer las políticas inmediatas de respuesta ante ellos.

Mapa de riesgos por proceso: facilita la elaboración del mapa institucional, que se alimenta de estos, teniendo en cuenta que solamente se trasladan al institucional aquellos riesgos que permanecieron en las zonas más altas de riesgo y que afectan el cumplimiento de la misión institucional y objetivos de la entidad.

Matriz de riesgo: para facilitar la calificación y evaluación a los riesgos, se realiza una matriz que contempla un análisis cualitativo, para presentar la magnitud de las consecuencias potenciales (impacto) y la posibilidad de ocurrencia (probabilidad).

Probabilidad: grado en el cual es probable que ocurra de un evento, este se debe medir a través de la relación entre los hechos ocurridos realmente y la cantidad de eventos que pudieron ocurrir. Esta puede ser medida con criterios de frecuencia, si se ha materializado (por ejemplo: número de veces en un tiempo determinado), o de Factibilidad teniendo en cuenta la presencia de factores internos y externos que pueden propiciar el riesgo, aunque este no se haya materializado.

Riesgo: posibilidad de que suceda algún evento que tendrá un impacto sobre los objetivos institucionales o del proceso. Se expresa en términos de probabilidad y consecuencias.

Riesgo inherente: es aquel al que se enfrenta una entidad en ausencia de acciones de la dirección para modificar su probabilidad o impacto.

Riesgo residual: nivel de riesgo que permanece luego de tomar medidas de tratamiento de riesgo. ARTICULO DÉCIMO CUARTO. Comuníquese el contenido de la Resolución por conducto de la Dirección Administrativa y Financiera. ARTICULO DÉCIMO QUINTO. VIGENCIA. La presente resolución rige a partir de la fecha de expedición y publicación en el diario oficial y deroga las disposiciones que le sean contrarías. PUBLÍQUESEY CÚMPLASE Dada en Bogotá, D. C. a los quince días del mes de mayo de 2015 1 5 MAY 2015_ DIRECTOR GENERAL.