| Características | Sarbanes-Oxley (SOX) | Turnbull Report/Implementing Turnbull |
|---|
| Controles Internos | Sólo Financieros | Financieros, Operacionales y de Cumplimiento |
| Gestión de Riesgo | No, sólo aplicando ERM/COSO | Si, y además, con prioridades |
| Maduración | Es de 2002. Se promulgó un poco de apuro por los escándalos de Enron y WorldCom. Resulta difícil y costosa de llevar a la práctica (ver Implementación). |
Es de 1999 pero detrás hay casi 10 años de estudios, ya que responde al Código Combinado (1998) y una serie de reportes anteriores asociados con escándalos financieros similares a los de USA, pero que ocurrieron en Inglaterra a fines de los 80. |
Implementación | Complicada. La SEC viene haciendo aclaraciones y concesiones. | Tradicional, con las complejidades que puede tener la operatoria de una empresa. La SEC aceptó aplicar Turnbull para dar cumplimiento a la Sección 404 (a) de Sarbanes-Oxley. |
Mantenimiento del cumplimiento | Sin metodología especial. Simplemente repetible con cada ejercicio. |
El sistema de gestión de riesgos de negocios de Turnbull, sigue el ciclo PDCA de mejoramiento continuo. Esto produce sinergia con el sistema de gestión de riesgos de seguridad de la información (ISO 27001), y de aquí un alineamiento con otros sistemas de gestión: calidad (ISO 9001), ambiental (ISO 14001) e Higiene y Seguridad Ocupacional (OHSAS 18001). |
Visión pública externa | Si una empresa quiebra fraudulentamente sólo gana el estado con las multas a los responsables. |
Cuida al inversor, a los accionistas de cualquier nivel incluso a los que cotizan en bolsa. Los controles operacionales permiten visualizar el comportamiento de una empresa antes que pueda irse a la quiebra. Esto es útil no sólo para los shareholders sino para el resto de los stakeholders (uno de los Principios OECD del Corporate Governance). |
Menciones de la palabra “risk” | 5 | 56/367 |
Menciones de “risk management” | 1, pero hablando de los recursos de la SEC. | 6/107 |
Menciones de la palabra “security” | 29 veces pero con el significado dado a la palabra en la sección 3a) de la ley Securities Exchange de 1934. | 1/1 |
Menciones de “information security” | Ninguna | Ninguna/Ninguna |
Ante la falta de referencias específicas ¿por qué se implica a la Seguridad de la Información? | Porque aunque los funcionarios responsables no “dibujen” los números financieros, en algunos casos para no ser multados y/o ir presos, podría pasar que “alguien” (empleado hostil, hacker) modificara información electrónica que llevara a presentar resultados no reales, con lo cual igualmente los directivos serían multados y/o irían presos. Esta posibilidad es la que obliga a buscar un nivel adecuado de seguridad de la información. |
Porque en los riesgos operacionales siempre están presentes los riesgos de seguridad de la información, sobre todo en un banco donde prácticamente todas las transacciones son electrónicas. Además, la confiabilidad es básicamente lo opuesto a la presencia de los riesgos operacionales. Y a mayor seguridad, mayor confiabilidad. |
