SFC - Vigiladas, tercerización. Sistema de Administración de Riesgo Operacional - SARO Concepto 2022082082-002 del 10 de mayo de 2022 id2022082082

VIGILADAS, TERCERIZACION, SISTEMA DE ADMINISTRACIÓN DE RIESGO OPERACIONAL-SARO Concepto 2022082082-002 del 10 de mayo de 2022

Síntesis: Si bien las entidades vigiladas por esta Superintendencia son responsables de realizar un análisis de riesgos de los procesos y actividades a tercerizar, los terceros a quienes estas contraten deben establecer mecanismos para gestionar los riesgos operacionales propios de la actividad tercerizada (identificarlos, implementar controles para su mitigación, etc.). Lo anterior con independencia del sector al que pertenezcan y de las normas que regulan su actividad. «(…) consulta “(…) si los Operadores de Redes y Servicios de Telecomunicaciones y prestadores de Servicios TIC, como agentes que pertenecen a un régimen especial de supervisión vigilancia y control comprendido por agentes propios de la Industria de las TIC y por un marco normativo especial, están obligados a declarar que aceptan, cumplen y quedan sometidos al contenido de la circular 025 de 2020 del 7 de julio de 2020.”; así mismo solicita “(…) se nos brinde la mayor claridad respecto de los sujetos obligados por el marco legal y las normas regulatorias y reglamentarias propias del sector financiero (circulares externas 041 de 2007, 028 de 2016, CE005circular externa del 2019, CE007circular externa de 2018, CE042circular externa del 2007, CE052circular externa del 2012 y Circular Externa 304-000001, circular 025 de 2020 del 7 de julio del 2020 entre otras), su adecuado cumplimiento y la posibilidad o no que le asiste a las entidades sometidas a la vigilancia de esa Superintendencia

de imponer dichas obligaciones”. Lo anterior, considerando que “(…) tanto en las invitaciones a participar en los procesos de servicios de telecomunicaciones y TIC por parte de las entidades vigiladas por esa Superintendencia, así como en sus modelos de contratos, se pretende forzar vía inclusión de obligaciones contractuales, a los Proveedores de Redes y Servicios de Telecomunicaciones-PRSTa cumplir con las normas relativas al sector financiero y a la atención de requerimientos proferidos por Entidad y para este caso en especial, a cumplir con todo lo relativo al SARO, es decir, se les pretende obligar a implementar un sistema SARO y a cumplir con todo lo relacionado a lo mismo” y que “(…) teniendo en cuenta que los marcos legales y normativos especiales tanto del sector financiero como del sector TIC, parten de supuestos particulares que comprenden la realización de ciertas actividades comerciales o de servicios y la naturaleza jurídica de los agentes, consideramos que no resulta viable jurídicamente, desconocer esos regímenes y sus ámbitos de aplicación objetivos y subjetivos, para que en su lugar, vía contractual, se obligue a los Proveedores de Redes y Servicios de Telecomunicaciones a someterse al imperio de las normas emitidas por una entidad que no ejerce control y vigilancia sobre los mismos”. Sobre el particular, proceden las siguientes consideraciones:

I. En relación con la Circular Externa 025 de 2020: 1) Mediante la Circular Externa 025 del 7 de julio de 2020, se modifica el Capítulo XXIII “Reglas Relativas a la Administración del Riesgo Operacional” de la Circular Externa Básica Contable y Financiera (Circular Externa

100 de 1995) y sus Anexos 1 y 2, con el fin de actualizar las instrucciones relacionadas con la gestión de este riesgo; se incorporan instrucciones relacionadas con el cálculo del valor de la exposición por riesgo operacional y se modifica el marco de gestión de riesgo para los conglomerados financieros en cuanto al riesgo reputacional. 2) El subnumeral 3.1.3.1 de la precitada Circular establece que las entidades vigiladas podrán “(…) contratar bajo la modalidad de tercerización a personas naturales y/o jurídicas para el desarrollo de sus procesos, siempre que no implique la delegación de la profesionalidad. En todo caso, la entidad debe: (i) realizar un análisis de riesgo para determinar los procesos y/o actividades a tercerizar; (ii) comprender el riesgo operacional asociado a los procesos y/o actividades tercerizadas; (iii) contar con políticas eficaces para incorporar en su estrategia de riesgos, aquellos derivados de la tercerización; y (iv) determinar dentro de los procesos y/o actividades tercerizadas aquellos que se consideren críticos. (la negrilla es nuestra) 3) Así mismo, el precitado subnumeral de la Circular Externa 025 de 2020 establece que “(….) Tratándose de los procesos y/o actividades identificadas como críticos para la entidad, se debe cumplir como mínimo con los siguientes requerimientos: a) Definir los criterios y procedimientos a partir de los cuales se seleccionarán los terceros. b) Incluir en los contratos que se celebren con los terceros, o en aquellos que se prorroguen a partir de la vigencia del presente capitulo, al menos, los siguientes aspectos:

1. Obligaciones de las partes.

1. Niveles de servicio. iii. Operación en situaciones contingentes. iv. Gestión de los riesgos operacionales que puedan afectar el cumplimiento de las obligaciones del tercero.
2. Acuerdos de confidencialidad sobre la información manejada y las actividades desarrolladas. c) Gestionar los riesgos que se derivan de la prestación del servicio por parte del tercero, en particular, cuando atiende a varias entidades. d) Contar con los procedimientos necesarios para verificar el cumplimiento de las obligaciones por parte del tercero. e) Incluir dentro del alcance de las evaluaciones que haga la función de gestión de riesgos y la auditoría interna, las actividades tercerizadas” ((la negrilla es nuestra) 4) Conforme a lo expuesto, si bien las entidades vigiladas por la Superintendencia Financiera son responsables de realizar un análisis de riesgos de los procesos y actividades a tercerizar, de comprender el riesgo operacional al que se ven expuestos tales terceros y contar con políticas eficaces que permitan incorporar en la estrategia de riesgos aquellos derivados de la tercerización, al tiempo que deben identificar cuáles procesos y actividades son críticas, se da un correlativo deber por parte de los terceros de establecer los mecanismos que le permitan gestionar los riesgos operacionales propios de la actividad tercerizada, lo que implica como mínimo que éstos identifiquen los riesgos a los que se ven expuestos, implementen los controles respectivos para su mitigación y realicen un monitoreo continuo a la gestión de los riesgos operacionales y a su perfil de riesgo operacional; al tiempo que deben adoptar los correctivos, definir, implementar, probar y mantener un

proceso para administrar la continuidad del negocio. 5) Tratándose de procesos y/o actividades identificadas como críticas, la precitada Circular Externa 025, establece el deber de exigir con mayor rigor a las entidades vigiladas, no solo con la inclusión en los contratos suscritos con tales terceros, de una serie de obligaciones que lista el literal b) del subnumeral 3.1.3.1, entre las cuales se prevé la “Gestión de los riesgos operacionales que puedan afectar el cumplimiento de las obligaciones del tercero”, sino que este deber se acompaña de la obligación por parte del tercero de gestionar los riesgos que se derivan de la prestación de las actividades tercerizadas, y en particular , cuando atiende a varias entidades. Así mismo, la entidad vigilada debe contar con los procedimientos que le permitan verificar el cumplimiento de las obligaciones por parte del tercero, lo que la habilita para exigir y hacer el seguimiento respectivo en la gestión de los riesgos derivados de la actividad tercerizada, la cual debe ser incorporada en las evaluaciones efectuadas por la función de gestión de riesgos y la Auditoría Interna. 6) No sobra advertir que corresponde a este Órgano de Control y Vigilancia supervisar el sistema financiero colombiano con el fin de preservar su estabilidad, seguridad y confianza, así como, promover, organizar y desarrollar el mercado de valores colombiano y la protección de los inversionistas, ahorradores y asegurados; de ahí la importancia que si la entidad vigilada por esta Superintendencia va a tercerizar una o varias de sus actividades, algunas de las cuales puede definir como críticas, se gestionen los riesgos asociados a esta tercerización y se cumplan con los instructivos que dan cuenta de algunas obligaciones que guardan relación

con este modo de operar, sin perjuicio de los demás mecanismos que adopte para su mitigación y que estime pertinente exigir del tercero, como conocedor de su negocio y de sus riesgos, como una buena práctica.

II. En relación con las demás normas citadas en su consulta: Frente a las normas propias del sector financiero que cita en su escrito y sobre las cuales pregunta sobre los sujetos obligados a su cumplimiento, proceden las siguientes consideraciones: 1) Circular Externa 052 de 2007: modificada por las Circulares Externas 022 de 2010 y 042 de 2012, se encontraban incorporadas en el Capítulo XII, Título Primero de la Circular Básica Jurídica (Circular Externa 007 de 1996). Sin embargo, con la Circular Externa 029 de 2014 se realizó la reexpedición de la Circular Básica Jurídica; y se dispuso en el numeral 2 del Capítulo I, Título II de la Parte I, en materia de seguridad y calidad una serie de requerimientos de carácter general previstos en el numeral 2.3.3. del citado Capítulo, Título y Parte; y otras especiales por tipo de canal en el numeral 2.3.4.; instructivo que a su vez fue modificado por las Circulares Externas 008 de 2018 y 029 de 2019.

En la actualidad el numeral 2.3.6 del Capítulo I, Título II de la Parte I de la Circular Externa 029 de 2014Circular Básica Jurídica-, establece en materia de Tercerización, lo siguiente: “2.3.6. Tercerización – Outsourcing Las entidades que contraten bajo la modalidad de outsourcing o tercerización, a personas naturales o

jurídicas, para la atención parcial o total de los distintos canales o de los dispositivos usados en ellos, o que en desarrollo de su actividad tengan acceso a información confidencial de la entidad o de sus clientes, deben cumplir, como mínimo, con los siguientes requerimientos: (la negrilla es nuestra) 2.3.6.1. Definir los criterios y procedimientos a partir de los cuales se seleccionarán los terceros y los servicios que serán atendidos por ellos. 2.3.6.2. Incluir en los contratos que se celebren con terceros, por lo menos, los siguientes aspectos: (la negrilla es nuestra) 2.3.6.2.1. Niveles de servicio y operación. 2.3.6.2.2. Acuerdos de confidencialidad sobre la información manejada y sobre las actividades desarrolladas. 2.3.6.2.3. Propiedad de la información. 2.3.6.2.4. Restricciones sobre el software empleado. 2.3.6.2.5. Normas de seguridad informática y física a ser aplicadas. 2.3.6.2.6. Procedimientos a seguir cuando se encuentre evidencia de alteración o manipulación de dispositivos o información. 2.3.6.2.7. Procedimientos y controles para la entrega de la información manejada y la destrucción de la misma por parte del tercero una vez finalizado el servicio. Las entidades deben contar con los procedimientos necesarios para verificar el cumplimiento de las obligaciones señaladas en el presente subnumeral, los cuales deben ser informados previamente a la auditoría interna o quien ejerza sus funciones. 2.3.6.3. Exigir que los terceros contratados dispongan de planes de contingencia y continuidad debidamente

documentados. Las entidades deben verificar que los planes, en lo que corresponde a los servicios convenidos, funcionen en las condiciones pactadas. 2.3.6.4. Establecer procedimientos que permitan identificar físicamente, de manera inequívoca, a los funcionarios de los terceros contratados. 2.3.6.5. Implementar mecanismos de cifrado fuerte para el envío y recepción de información confidencial con los terceros contratados”. Conforme lo expuesto, si una entidad vigilada por esta Superintendencia suscribe un contrato de tercerización con COLOMBIA TELECOMUNICACIONES S.A. ESP, con algún operador de Redes y Servicios de Telecomunicaciones y prestadores de Servicios TIC o con cualquier tercero, para la atención parcial o total de los distintos canales o de los dispositivos usados en ellos, o que en desarrollo de su actividad tengan acceso a información confidencial de la entidad o de sus clientes, este contrato como mínimo debe incorporar lo establecido en los subnumerales del 2.3.6.2.1 al 2.3.6.2.7 y la entidad debe velar por su cumplimiento y también de los subnumerales 2.3.6.3, 2.3.6.4 y 2.3.6.5, precitados. 2) Circular Externa 041 de 2007: por la cual se modifica el Capítulo XXIII denominado “Reglas Relativas a la Administración del Riesgo Operativo - SARO” de la Circular Externa 100 de 1995, también fue modificada por la Circular Externa 025 de 2020, con el fin de actualizar las instrucciones relacionadas con la gestión de este riesgo; se incorporan instrucciones relacionadas con el cálculo del valor de la exposición por riesgo operacional

y se modifica el marco de gestión de riesgo para los conglomerados financieros en cuanto al riesgo reputacional. El alcance de las obligaciones de los terceros y terceros críticos en materia de SARO se desarrolla en el punto I anterior. 3) Circular Externa 028 de 2016: por la cual se impartieron las siguientes Instrucciones relacionadas con eventos que generen interrupciones en la prestación de los servicios y que impiden la realización de operaciones a los consumidores financieros, la cual a su vez modificada por la Circular Externa 053 de 2016, instrucciones que establecen deberes para los establecimientos de crédito y en general las entidades vigiladas por esta Superintendencia. 4) Circular Externa 007 de 2018: esta Superintendencia impartió instrucciones relacionadas con los requerimientos mínimos para la gestión del riesgo de ciberseguridad, las cuales se adicionan en el Capítulo V, Título IV de la Parte I de la Circular Externa 029 de 2014Circular Básica Jurídica-. El numeral 3.9 de la misma Circular señala que las entidades obligadas a dar aplicación a ese instructivo “deben incluir en los contratos que se celebren con terceros críticos, la obligación de que ellos implementen las mejores prácticas en seguridad de la información y ciberseguridad”; al tiempo que el numeral 2.16 ibídem, define a los Terceros Críticos, así: “Terceros con quien se vincula la entidad y que, de acuerdo con los parámetros establecidos por la propia entidad, pueden tener incidencia directa en la seguridad de su información”. En esa medida, si Telefónica o algún Operador de Redes y Servicios de Telecomunicaciones y prestador de Servicios TIC es contratado por una entidad vigilada como Tercero Crítico y ésta considera que el tercero

puede tener incidencia directa en la seguridad de la información, en el contrato que se circunscriba entre ambos se deben incluir “las medidas y obligaciones pertinentes para la adopción y el cumplimiento de políticas para la gestión de los riesgos de seguridad de la información y ciberseguridad”. 5) Circular Externa 304-000001: no nos pronunciamos porque no fue expedida por esta Superintendencia.

Conclusiones: 1) Si bien en principio la obligación de implementar los requerimientos de las Circulares Externas 025 de 2020, 029 de 2014, 007 de 2018 y 029 de 2019 corresponde a las entidades vigiladas por esta Superintendencia sujetas a su aplicación, los terceros y terceros críticos que desarrollen procesos y/o actividades en aquellas, están obligados a cumplir algunas de las exigencias de las precitadas Circulares, en los términos descritos en párrafos anteriores. 2) Considerando la actividad tercerizada que desarrollan respecto de las entidades vigiladas, los terceros contratados deben establecer los mecanismos que le permitan gestionar los riesgos operacionales propios de tal actividad, lo que implica como mínimo que éstos identifiquen los riesgos a los que se ven expuestos, implementen los controles respectivos para su mitigación y realicen un monitoreo continuo a la gestión de los riesgos operacionales y a su perfil de riesgo operacional; al tiempo que deben adoptar los correctivos, definir, implementar, probar y mantener un proceso para administrar la continuidad del negocio; lo anterior, sin perjuicio de los demás requerimientos de la Circular Externa 025 de 2020 que como buena práctica adopten. 3) Tratándose de los procesos y/o actividades identificadas como críticos para la entidades, los terceros

contratados deberán cumplir con la inclusión en los contratos suscritos con aquellas, de una serie de obligaciones que lista el literal b) del subnumeral 3.1.3.1 de la precitada Circular 025, entre las cuales se prevé la “Gestión de los riesgos operacionales que puedan afectar el cumplimiento de las obligaciones del tercero”, así como de la obligación por parte del tercero de gestionar los riesgos que se derivan de la prestación de las actividades tercerizadas, y en particular , cuando atiende a varias entidades. 4) Si alguna entidad vigilada suscribe un contrato con un tercero para la atención parcial o total de los distintos canales o de los dispositivos usados en ellos, o que en desarrollo de su actividad tengan acceso a información confidencial de la entidad o de sus clientes, en dicho contrato se deberá incorporar, como mínimo, los subnumerales del 2.3.6.1 al 2.3.6.7 y la entidad vigilada deberá velar por su cumplimiento y porque igualmente se cumpla lo dispuesto en los subnumerales 2.3.6.3, 2.3.6.4 y 2.3.6.5 todos del del Capítulo I, Título II de la Parte I de la Circular Externa 029 de 2014 -Circular Básica Jurídica-. 5) Si alguna entidad vigilada vincula a un tercero para que desarrolle una actividad que considera crítica, y que por ende, puede tener incidencia directa en la seguridad de la información de la institución supervisada por esta entidad, en el contrato que se celebre con aquel se deben incluir “las medidas y obligaciones pertinentes para la adopción y el cumplimiento de políticas para la gestión de los riesgos de seguridad de la información y ciberseguridad”, tal y como lo establece la Circular externa 007 de 2018, con independencia del sector al que

pertenezca, por ejemplo un Operador de Redes y Servicios de Telecomunicaciones y prestadores de Servicios TIC. Finalmente, la exigencia que hacen las entidades vigiladas a sus terceros y/o terceros críticos para que éstos cumplan con algunas obligaciones previstas en las Circulares expedidas por la Superintendencia Financiera de Colombia relacionadas en su consulta, es legítima y legal y se origina por el tipo de actividad y/o proceso que es tercerizado por la entidad vigilada, y trae consigo la responsabilidad de los terceros de gestionar los riesgos operacionales implícitos en su ejercicio, con independencia del sector al que pertenezcan y de las normas propias que regulan su actividad. Vale recordar que la Superintendencia Financiera de Colombia, en su ejercicio de supervisión, debe preservar la estabilidad, seguridad y confianza del sector financiero, al tiempo que promueve, organiza y desarrolla el mercado de valores colombiano y la protección de los inversionistas, ahorradores y asegurados. (…).»