Riesgo operacional, bases de pérdidas y auditoría