Gestión de riesgo y cumplimiento

Contamos con un Sistema de Control Interno (SCI) conforme a lo establecido por la Directiva N.º 011-2019-CG/INTEG “Implementación del Sistema de Control Interno en el Banco Central de Reserva del Perú, PETROPERÚ, Superintendencia de Banca, Seguros y AFP, Fondo Nacional de Financiamiento de la Actividad Empresarial del Estado y Entidades que se encuentra bajo la supervisión de ambas”, emitida por la Contraloría General de la República (CGR).

Al cierre del 2023 se implementaron 24 recomendaciones de auditoría interna, mientras que 14 fueron enviadas al Órgano de Control Interno (OCI) para su conformidad. Asimismo, otras 80 recomendaciones se encuentran en proceso de implementación.

Para garantizar una gestión óptima de riesgos corporativos, en marzo de 2023, aprobamos la Metodología para la Determinación del Grado de Madurez de Gestión de Riesgos INSA1-917, la cual permite evaluar el nivel de madurez de nuestro Sistema de Gestión de Riesgos. En este marco, al finalizar este periodo, logramos alcanzar un nivel “óptimo”, con un valor del 74.55 %.

Finalmente, durante el periodo objeto de reporte, aprobamos la actualización de la Política de Gestión de Riesgos de la empresa^[1], y completamos y aprobamos el 100 % de las matrices de riesgos correspondientes a los Objetivos Estratégicos para el periodo 2023-2027. A diciembre del 2023, las matrices de riesgos de los procesos prioritarios alcanzaron un progreso del 94 %, y se logró un avance del 38 % en la implementación de los planes de acción destinados a mitigar estos riesgos. GRI 2-13, NO GRI: IPN-3

Metodología de gestión de riesgos corporativos

Seguridad de la Información

Durante el 2023 emprendimos diversas iniciativas para fortalecer la seguridad de la información en Petroperú. Estas estas acciones, desarrollamos matrices de riesgos para cinco procesos principales (nivel 1) con el fin de identificar y mitigar posibles vulnerabilidades.

De otra parte, actualizamos la normativa del Sistema de Gestión de Seguridad de la Información (SGSI) conforme a la Norma Técnica Peruana NTP-ISO/IEC 27001:2022, y se atendieron las recomendaciones de seguridad identificadas en auditorías realizadas por los diferentes Órganos del Sistema Nacional de Control.

Además, en marzo del 2023, implementamos el servicio de «Asesoría, Consultoría y Evaluación de la Seguridad Informática (Ethical Hacking)», que incluyó dentro de su alcance las siguientes actividades:

Además, se revisaron y elaboraron los aportes relacionados con la seguridad de la información en cumplimiento del Componente 4 “Información y Comunicación” del Marco Integrado de Control Interno COSO, donde se obtuvo una calificación 4.64/5). Paralelamente, se elaboraron y difundieron los tips de seguridad de la información, a fin de mantener concientizado al personal en temas referentes a los últimos eventos que comprometen este ámbito.

Durante el 2023, atendimos consultas de usuarios sobre seguridad de la información, tanto solicitadas directamente por las dependencias como a través del Comité Técnico de Seguridad de la Información en sesiones quincenales. Estas consultas se enfocaron en supervisar los avances de las actividades destinadas a preservar la confidencialidad, integridad y disponibilidad de los activos de información de la empresa.

[1] Acuerdo de Directorio N.º 138-2023-PP.