En coherencia con la definición de las competencias y funciones asignadas a la institución por la Constitución y las leyes, la entidad debe definir su Misión y Visión institucionales.

La Misión y la Visión deben ser aprobadas por la Máxima Autoridad Institucional, y deben ser sometidas a revisiones periódicas para asegurar su conveniencia y adecuación.

La institución debe establecer, implementar y mantener uno o varios procedimientos para definir su planificación a nivel estratégico y operacional.

Los criterios para la planificación deberán tener en cuenta, entre otros:

1. La definición de los niveles de revisión y aprobación asociados;
2. La determinación de las cuestiones externas e internas que son pertinentes para su propósito y su dirección estratégica;
3. El establecimiento de los objetivos institucionales, en las funciones, niveles y procesos pertinentes, y asegurando que los mismos sean coherentes con la misión y visión institucional;
4. El cumplimiento de los propósitos constitucionales y legales de la institución, en consonancia con las necesidades de la sociedad a la que atiende;
5. La definición de los cursos de acción necesarios para el logro de su misión, visión y objetivos institucionales, para un período de tiempo determinado;
6. La determinación de los recursos necesarios para el logro de los fines trazados;
7. La coherencia entre los planes estratégicos y operativos establecidos, y el presupuesto y los planes de contratación e inversión institucionales a definir;
8. La definición de instrumentos de seguimiento y medición del grado de avance de los planes, y de los logros alcanzados;
9. El direccionamiento de la operación de la institución bajo los parámetros de calidad, eficiencia y eficacia requeridos por las diferentes partes interesadas.

La institución debe revisar periódicamente los planes, para ajustarlos a los cambios del entorno y al desarrollo de competencias al interior de la institución.

La institución debe comunicar acerca de su misión, visión, objetivos y planes de acción a todos los niveles de la organización, con la intención de que estén conscientes de sus obligaciones individuales al respecto.

La institución debe mantener información documentada sobre los objetivos y sus planes, así como de los resultados de su seguimiento y medición.

La institución debe orientar su operación a través de una gestión basada en procesos, como medio para que pueda alcanzar eficaz y eficientemente sus objetivos, en cumplimiento con su función constitucional y legal, la misión fijada y la visión proyectada. Para la definición del modelo de gestión por procesos la institución debe tener en cuenta los siguientes criterios:

1. Debe poner foco en el diseño de procesos competitivos, capaces de reaccionar a los cambios, mediante el control y evaluación constante;
2. Debe contribuir a que las actividades se desarrollen hacia la plena satisfacción del ciudadano y de sus necesidades;
3. Debe orientar a la institución hacia la mejora continua de sus procesos, basada en parámetros de control y evaluación, y en la obtención de resultados.

La metodología aplicada para el diseño e implementación del modelo de gestión por procesos debe establecer:

1. El desarrollo de un mapa de procesos, que permita el despliegue de los procesos con un enfoque estratégico, misional y de apoyo;
2. La caracterización de los procesos, incluyendo la definición de:
   • Los objetivos de cada proceso, y su coherencia y armonía con la misión y objetivos institucionales;
   • Los elementos de entrada requeridos (insumos) y sus proveedores:
   • Los elementos de salida esperados (resultados) y sus clientes o beneficiarios;
   • Los reportes e información generados y sus destinatarios;
   • La interacción con otros procesos;
   • Los criterios, las mediciones y los indicadores del desempeño necesarios para asegurar la operación eficaz y el control de estos procesos;
   • Los recursos necesarios para su ejecución.
3. La identificación y cumplimiento de la base legal aplicable.

El modelo de gestión por procesos debe ser aprobado por la Máxima Autoridad Institucional, y debe ser sometido a revisiones periódicas para asegurar su conveniencia y adecuación.

El modelo de gestión por procesos deberá ser tenido en cuenta para la definición y/o revisión de la estructura organizacional.

La institución debe establecer su estructura organizacional, identificando los diferentes niveles de autoridad y de responsabilidad, para que se ejerzan apropiadamente las labores de planificación, ejecución, control y evaluación periódica de las actividades, buscando alcanzar los objetivos institucionales.

La estructura organizacional debe asegurar la armonía, coherencia y articulación entre las actividades que realiza cada área de la institución, con las competencias constitucionales y legales, los objetivos establecidos, y la cadena de valor definida en el Modelo de Gestión por Procesos, además de tener flexibilidad para adaptarse a las exigencias y procesos de cambio permanente.

La estructura organizacional debe configurar de manera integral y articulada, los cargos, las funciones, las relaciones y los correspondientes niveles de autoridad y responsabilidad.

La asignación de los niveles de autoridad y responsabilidad debe respetar el criterio de separación de funciones, buscando evitar la concentración de responsabilidades en aquellos puestos que sean incompatibles o generen conflictos de intereses.

El diseño de la estructura organizacional debe incluir los siguientes elementos:

1. Definición de puestos de trabajo, con base a las competencias requeridas por las actividades y tareas identificadas en el despliegue de los procesos;
2. Conformación del organigrama estructural de la institución;
3. Definición de las interfaces e interacciones a nivel horizontal y vertical.

La estructura organizacional debe ser aprobada por la Máxima Autoridad Institucional, a través de un acto administrativo.

La institución debe establecer mecanismos para asegurar que cada funcionario conoce cabalmente sus deberes y responsabilidades, de modo que pueda rendir cuenta por los mismos.

La organización debe establecer, implementar y mantener uno o varios procedimientos para la continua identificación y evaluación de sus riesgos, y para la determinación de las medidas de control necesarias.

Los criterios para la identificación y evaluación de riesgos deberán tener en cuenta, entre otros:

1. El contexto estratégico interno y externo;
2. La etapa de configuración de los planes estratégicos y operativos;
3. Los diferentes niveles del modelo de gestión por procesos;
4. Las actividades rutinarias y no rutinarias;
5. Las actividades de todo el personal que tengan relación con los objetivos y la misión institucional (incluyendo aquellas realizadas por contratistas);
6. El comportamiento humano, sus capacidades y otros factores humanos, incluyendo consideraciones sobre la perspectiva de género y la no discriminación;
7. La probabilidad de ocurrencia y el impacto potencial ocasionado;
8. La infraestructura, tecnología y materiales utilizados, tanto provistos por la institución o por otros;
9. Las modificaciones organizacionales o de su sistema de gestión, incluyendo cambios temporarios, y sus impactos en los objetivos, procesos y actividades;
10. Toda obligación legal relacionada con la evaluación de riesgos y la implementación de los controles necesarios;
11. El diseño de procesos, instalaciones, tecnología, procedimientos operativos y la organización del trabajo, incluyendo su adaptación a las capacidades humanas.

La metodología definida por la institución para la identificación y evaluación de riesgos debe:

1. Estar definida con respecto a su alcance, naturaleza y planificación en el tiempo, para asegurar que sea proactiva más que reactiva;
2. Prever la identificación, evaluación, valorización, priorización y documentación de los riesgos;
3. Establecer la necesidad de aplicación de controles cuando se detecten riesgos significativos;
4. Asegurar que la identificación y evaluación de riesgos sea revisada al menos una vez al año.

Para la gestión del cambio, la organización debe identificar y evaluar los riesgos asociados con modificaciones en la organización, en el sistema de control, o en sus procesos y actividades, antes de introducir dichos cambios.

La organización debe asegurar que los resultados de estas evaluaciones sean consideradas cuando se determinen los controles operacionales.