NCG 510 (CMF) — el registro continuo detrás de la gestión de riesgo operacional

La NCG 510 da quince minutos para informar un incidente.
Dos horas, si es una administradora general de fondos.

Disponible hoy

La Norma de Carácter General N.º 510 de la Comisión para el Mercado Financiero (CMF) rige desde el 1 de febrero de 2025 y ordena la gestión de riesgo operacional de los cinco tipos de entidad que enumera su encabezado, en tres pilares: seguridad de la información y ciberseguridad, continuidad de negocio y externalización de servicios, más un régimen propio de incidentes y pérdidas operacionales. Andin mantiene el registro continuo del que salen esos reportes: en quince minutos no hay tiempo de reconstruir nada.

Tres pilares, y dos plazos generales de incidente: 15 minutos y 2 horas.

Incidentes: 15 minutos

Las bolsas de valores, las bolsas de productos, las sociedades administradoras de sistemas de compensación y liquidación y las entidades de depósito y custodia informan el incidente operacional a la CMF en un plazo máximo de 15 minutos desde que la entidad tomó conocimiento del hecho. Para las administradoras generales de fondos el plazo es de 2 horas, con el mismo punto de partida. Notificar no exige tener el problema resuelto ni las causas aclaradas. Las sociedades administradoras de sistemas de compensación y liquidación y las entidades de depósito y custodia cargan además un tercer plazo, en el Anexo N° 4: si el incidente sigue sin resolverse a los 30 minutos desde su ocurrencia —no desde que se tomó conocimiento—, deben comunicarlo a sus usuarios, a las entidades no afectadas y al Banco Central de Chile, con la misma comunicación enviada a la Comisión.

Pruebas de seguridad en forma continua

Esas mismas cuatro entidades —todas menos las administradoras generales de fondos— deben realizar en forma continua, con suficiente alcance y profundidad, pruebas de seguridad de la infraestructura tecnológica: pentesting, red team o ethical hacking. Lo que cambia para las administradoras generales de fondos es la frecuencia, no la obligación: su régimen A.2.1 les exige ejecutar pruebas al menos anuales para identificar amenazas y vulnerabilidades, sobre escenarios de riesgo que incluyan ataques cibernéticos, con los resultados reportados al directorio.

Continuidad: RTO de 2 horas

El plan de continuidad de negocio y recuperación ante desastres de esas cuatro entidades debe permitir reponer los servicios con un tiempo objetivo de recuperación no mayor a 2 horas y un punto objetivo de recuperación cercano a 0. La aprobación anual del plan por el directorio y su prueba anual alcanzan a los cinco tipos de entidad; el objetivo de 2 horas, solo a estas cuatro.

El tercer pilar tiene la misma cadencia de gobierno que los otros dos: las políticas de seguridad de la información y ciberseguridad, de continuidad de negocio y de externalización de servicios se actualizan y aprueban al menos anualmente por el directorio u órgano equivalente. Y el registro de servicios externalizados debe estar disponible para consulta permanente de la Comisión. Eso no es un informe que se arma cuando lo piden.

Cinco tipos de entidad, en una lista cerrada.

La CMF ordena el riesgo operacional por segmento. A las aseguradoras y reaseguradoras las alcanza la NCG 454; a las entidades de infraestructura y administración del mercado, la NCG 510. Su encabezado enumera a los destinatarios en una lista cerrada:

Administradoras generales de fondos. Con régimen propio de seguridad de la información y ciberseguridad, y el plazo de 2 horas para incidentes.

Bolsas de valores.

Bolsas de productos.

Sociedades administradoras de sistemas de compensación y liquidación de instrumentos financieros.

Entidades de depósito y custodia de valores.

Bancos y compañías de seguros: no son destinatarios. No figuran en la lista del encabezado, y las compañías de seguros aparecen en el texto solo como origen de recuperaciones de pérdidas operacionales y como costo de primas, nunca como entidad obligada. Existe sí una vía indirecta que conviene no descartar: los participantes de un sistema de compensación y liquidación —sea un banco u otra entidad— deben acreditar ante la sociedad administradora, antes de ser aceptados y de forma permanente después, procedimientos de riesgo operacional en los tres ámbitos, una política aprobada anualmente por su propio directorio, un manual de procedimientos y dos responsables independientes entre sí (Sección II.5).

Dentro de la lista hay dos regímenes, y una distinción que suele confundirse. El régimen A.2.1 rige solo para las administradoras generales de fondos; el A.2.2 y el B.3, para las otras cuatro. La Sección II —disposiciones adicionales— se dirige únicamente a las sociedades administradoras de sistemas de compensación y liquidación de instrumentos financieros y a las entidades de depósito y custodia de valores. Las bolsas de valores y las bolsas de productos quedan fuera de la Sección II. Dentro del B.3 hay además obligaciones acotadas a las bolsas de valores —centros de procesamiento, niveles de servicio, redundancia y envíos a la Comisión—; de ellas, la mantención de centros de procesamiento alcanza también a las bolsas de productos.

La norma está fechada el 8 de mayo de 2024 y rige desde el 1 de febrero de 2025. Derogó las Circulares N° 1.939 y N° 2.020 y la Norma de Carácter General N° 256, y modificó la Norma de Carácter General N° 480.

El registro que alimenta el reporte — vivo antes de que haga falta.

GRC continuo

Disponible hoy

Los tres pilares de la NCG 510 comparten un supuesto: que la entidad puede mostrar el estado de sus controles, sus proveedores y sus planes en el momento en que se lo preguntan. Andin mantiene ese estado como un registro continuo: cada control, cada responsable, cada cambio y cada pieza de evidencia quedan trazados en el tiempo. Cuando llega el incidente, la autoevaluación o el requerimiento de la Comisión, el punto de partida es la historia real, no una reconstrucción.

Los controles y sus responsables, con su estado actual a la vista.
La evidencia asociada a cada control, versionada, con quién la cargó y cuándo.
El registro de servicios externalizados, mantenido al día y no armado a pedido.
El historial de cambios, para mostrar la evolución y no solo la foto del cierre.

Andin genera y conserva la evidencia. La certificación, cuando corresponde, la emite un organismo acreditado, y la responsabilidad de los reportes es de la entidad y su directorio.

Lo que se suele preguntar.

¿Andin certifica el cumplimiento de la NCG 510?

No. Andin genera y conserva la evidencia con la que su entidad sostiene sus autoevaluaciones y sus reportes a la CMF; la certificación, cuando corresponde, la emite un organismo acreditado. Nuestro rol es dejar el registro ordenado, trazable y disponible.

¿Y los plazos de la norma?

Los de aviso a la CMF son dos, y no son el mismo. Las bolsas de valores, las bolsas de productos, las sociedades administradoras de sistemas de compensación y liquidación y las entidades de depósito y custodia informan a la CMF en un máximo de 15 minutos desde que la entidad tomó conocimiento del hecho; las administradoras generales de fondos, en un máximo de 2 horas, con el mismo punto de partida. Hay un tercero que no está en el cuerpo de la norma sino en el Anexo N° 4, y alcanza solo a las sociedades administradoras de sistemas de compensación y liquidación y a las entidades de depósito y custodia: si el incidente sigue sin resolverse transcurridos 30 minutos desde su ocurrencia —este plazo corre desde la ocurrencia, no desde la toma de conocimiento—, la entidad debe comunicar la situación a sus usuarios, a las entidades no afectadas y al Banco Central de Chile, y enviar esa misma comunicación a la Comisión. Las pérdidas operacionales individuales superiores a 150 Unidades de Fomento se envían de forma semestral, y ahí conviene una advertencia: el cuerpo de la norma fija 15 días hábiles después del cierre de junio y diciembre, mientras que el Anexo N° 3 dice al último día hábil de junio y diciembre, que es la fecha más temprana de las dos. Son fechas distintas para el mismo reporte y vale la pena zanjarlo antes del primer envío.

Operamos una bolsa de valores. ¿Nos aplica la Sección II?

No. La Sección II se dirige únicamente a las sociedades administradoras de sistemas de compensación y liquidación de instrumentos financieros y a las entidades de depósito y custodia de valores. Una bolsa de valores sí queda alcanzada por el régimen A.2.2 de seguridad de la información y ciberseguridad, por el B.3 de continuidad —incluidas las exigencias de niveles de servicio y redundancia que son solo para ella, y las de centros de procesamiento, que alcanzan también a las bolsas de productos— y por el plazo de 15 minutos para informar incidentes. Lo que no la alcanza es el régimen A.2.1, propio de las administradoras generales de fondos.

¿Reemplaza al equipo de riesgo o al oficial de seguridad?

No. La norma pone la aprobación en el directorio y la ejecución en la entidad, y exige designar a un funcionario encargado y a un suplente, ambos de nivel ejecutivo, para los reportes a la CMF. Andin es la infraestructura que ese equipo usa: en lugar de reconstruir el estado de los controles cuando llega el requerimiento, lo mantiene vivo todo el año.

La NCG 510 da quince minutos para informar un incidente.Dos horas, si es una administradora general de fondos.