El pasado 11 de agosto, la Comisión para el Mercado Financiero (“CMF”) publicó la Norma de Carácter General N°573 (“NCG N°573”), que establece un marco regulatorio específico para la externalización de servicios por parte de las compañías de seguros y reaseguros (“Compañías”), en el contexto de la gestión del riesgo operacional.
La Norma entrará en vigencia un año después de su publicación, esto es, el 11 agosto de 2027.
Un nuevo marco para gestionar los riesgos de la externalización
La NCG N°573 establece las condiciones y controles que las Compañías deberán considerar al externalizar actividades que podrían ser realizadas directamente con sus propios recursos, con especial foco en la identificación y gestión de los riesgos operacionales, de continuidad, seguridad de la información, cumplimiento y reputación.
Principales exigencias:
- Gobierno y política de externalización: el Directorio deberá definir el apetito al riesgo asociado a la externalización y aprobar una política que establezca los criterios y procedimientos aplicables.
- Evaluación y debida diligencia: las Compañías deberán evaluar los riesgos de las actividades a externalizar y realizar procesos de debida diligencia respecto de sus proveedores.
- Responsabilidad de la Compañía: la externalización no traslada el riesgo regulatorio. La Compañía será siempre responsable por la gestión de los riesgos y funciones de control, sin perjuicio de que la ejecución técnica de una actividad sea encomendada a un proveedor.
- Continuidad y seguridad de la información: deberán implementarse medidas que permitan asegurar la continuidad de las operaciones y la confidencialidad, integridad, trazabilidad y disponibilidad de la información.
- Control sobre proveedores: la regulación contempla exigencias específicas para la contratación y monitoreo de proveedores, incluyendo obligaciones respecto de las cadenas de servicios externalizados.
- Reporte de incidentes a la CMF: las Compañías deberán comunicar a la CMF los incidentes operacionales que afecten un servicio externalizado, en el país o en el exterior, conforme a lo dispuesto en la NCG N°454.
- Externalización de servicios en la nube: se establece un régimen reforzado cuando estos servicios se utilicen para actividades significativas, incluyendo una diligencia especial respecto del proveedor y una revisión anual del apetito al riesgo del Directorio.
- Servicios prestados desde el extranjero: la externalización estará sujeta a determinadas restricciones asociadas al riesgo país, sin perjuicio de excepciones que podrán ser autorizadas fundadamente por el Directorio.
- Contratos de externalización: Se establecen los elementos mínimos que deberán contemplarse en estos contratos.
Régimen diferenciado según la relevancia del servicio
La NCG N°573 distingue entre servicios según su nivel de relevancia para las operaciones de las Compañías. Para servicios no significativos, se contempla la posibilidad de que el Directorio los exceptúe de la aplicación íntegra de la política de externalización, conforme a los criterios que establece.
Asimismo, la presente norma excluye de toda posibilidad de externalización las funciones de gestión de riesgos y la auditoría interna cuando sean prestadas por terceros no relacionados con la Compañía.
Próximo paso: preparación para su entrada en vigencia
La NCG N°573 entrará en vigencia el 11 agosto de 2027, con reglas distintas según el tipo de contrato:
- Contratos nuevos: los contratos de externalización que se suscriban a partir de la entrada en vigencia deberán cumplir íntegramente con la presente norma.
- Contratos vigentes: deberán adecuarse en la primera oportunidad disponible (renovación, prórroga o modificación sustancial) y, en todo caso, dentro del plazo de un año desde la entrada en vigencia, es decir, a más tardar en agosto de 2028.
Las Compañías disponen de un período 1 año para que puedan revisar sus actuales esquemas de externalización, políticas internas y contratos con proveedores, y adecuarlos a las nuevas exigencias regulatorias, priorizando aquellos contratos cuya renovación o modificación sea más próxima.
CONTACTO
Patricio Prieto
Socio
pdprieto@prieto.cl
Maite Larrañaga
Directora
mlarranaga@prieto.cl
Emilia Papic
Asociada
epapic@prieto.cl
La información contenida en esta alerta ha sido preparada con fines informativos y no constituye asesoría legal*
Alonso de Córdova 4355, piso 15, Vitacura, Santiago, Chile
prieto@prieto.cl
Alonso de Córdova 4355, piso 15, Vitacura, Santiago – Chile
+562 2280 5000
prieto@prieto.cl