SFC - Anexo Circular Externa 14 de 2022 (5)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

CAPITULO XXIII REGLAS RELATIVAS A LA ADMINISTRACIÓN DEL RIESGO OPERACIONAL

Página 5 Las entidades deben tomar medidas para controlar los riesgos inherentes a que se ven expuestas con el fin de disminuir la probabilidad de ocurrencia y/o el impacto en caso de que se materialicen. Durante esta etapa las entidades deben como mínimo: a) Establecer la metodología con base en la cual definan las medidas de control de los riesgos operacionales. b) De acuerdo con la metodología establecida en desarrollo del literal a) del numeral 3.1.3 del presente Capítulo, implementar las medidas de control sobre cada uno de los riesgos operacionales. c) Determinar las medidas que permitan asegurar la continuidad del negocio. d) Estar en capacidad de determinar el perfil de riesgo residual de la entidad. Sin perjuicio de lo anterior, las entidades podrán decidir si transfieren, mitigan, aceptan o evitan el riesgo, en los casos en que esto sea posible. La utilización de ciertas medidas, como la contratación de un seguro o tercerización (outsourcing), puede ser fuente generadora de otros riesgos operacionales, los cuales deben ser a su vez administrados. 3.1.3.1. Tercerización - Outsourcing La entidad podrá contratar bajo la modalidad de tercerización a personas naturales y/o jurídicas para el desarrollo de sus procesos, siempre que no implique la delegación de la profesionalidad. En todo caso, la entidad debe: (i) realizar un análisis de riesgo para determinar los procesos y/o actividades a tercerizar; (ii) comprender el riesgo operacional asociado a los procesos y/o actividades tercerizadas; (iii) contar con políticas eficaces para incorporar en su

estrategia de riesgos, aquellos derivados de la tercerización; y (iv) determinar dentro de los procesos y/o actividades tercerizadas aquellos que se consideren críticos. Tratándose de los procesos y/o actividades identificadas como críticos para la entidad, se debe cumplir como mínimo con los siguientes requerimientos: a) Definir los criterios y procedimientos a partir de los cuales se seleccionarán los terceros. b) Incluir en los contratos que se celebren con los terceros, o en aquellos que se prorroguen a partir de la vigencia del presente capitulo, al menos, los siguientes aspectos:

1. Obligaciones de las partes. ii. Niveles de servicio. iii. Operación en situaciones contingentes. iv. Gestión de los riesgos operacionales que puedan afectar el cumplimiento de las obligaciones del tercero.
2. Acuerdos de confidencialidad sobre la información manejada y las actividades desarrolladas. c) Gestionar los riesgos que se derivan de la prestación del servicio por parte del tercero, en particular, cuando atiende a varias entidades. d) Contar con los procedimientos necesarios para verificar el cumplimiento de las obligaciones por parte del tercero. e) Incluir dentro del alcance de las evaluaciones que haga la función de gestión de riesgos y la auditoría interna, las actividades tercerizadas. 3.1.3.2. Administración de la continuidad del negocio De acuerdo con su estructura, tamaño, objeto social y actividades de apoyo, las entidades deben definir, implementar, probar y mantener un proceso para administrar la continuidad del negocio que incluya elementos como: prevención y atención de emergencias, administración de escenarios de crisis, planes de contingencia y capacidad de retorno a la operación normal.

Los planes de continuidad del negocio deben cumplir, como mínimo, con los siguientes requisitos:

a) Haber superado las pruebas necesarias para confirmar su eficacia y eficiencia. b) Ser conocidos por todos los interesados. c) Cubrir por lo menos los siguientes aspectos: identificación de los riesgos que pueden afectar la operación, actividades a realizar cuando se presentan fallas, alternativas de operación y regreso a la actividad normal. d) Considerar los controles, la capacidad de monitoreo de los canales, entre otros aspectos que se requieran cuando exista un aumento en el uso o prestación de servicios a través de los canales de atención, o en aquellos eventos en que la operación lo amerite. e) Prever las medidas necesarias para garantizar que los funcionarios, colaboradores o terceros que desempeñen funciones críticas en la entidad vigilada puedan continuar laborando a través de Circular Externa 014 de 2022 Junio de 2022

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

CAPITULO XXIII REGLAS RELATIVAS A LA ADMINISTRACIÓN DEL RIESGO OPERACIONAL Página 5-1 trabajo remoto o en diferentes instalaciones, en eventos tales como: desastres naturales, pandemias, disturbios, entre otros. f) Establecer los mecanismos y procedimientos para acatar los protocolos que expidan las autoridades gubernamentales para la prevención de riesgos derivados de eventos sanitarios, sociales, catastróficos, etc., tales como pandemias, desastres naturales, disturbios, entre otros, de tal forma que se garantice la continuidad de la operación y la prestación de los servicios a los consumidores financieros en condiciones de seguridad y calidad. g) Definir los eventos en los cuales se debe conformar un comité de atención de emergencias, el cual debe sesionar durante el periodo de contingencia. Dicho comité debe informar a la junta directiva

sobre la evolución de la situación y la efectividad en la aplicación de los planes de acción dispuestos para atenderla. 3.1.4. Monitoreo Las entidades deben hacer un monitoreo continuo a la gestión de los riesgos operacionales y a su perfil de riesgo operacional. Circular Externa 014 de 2022 Junio de 2022