CMF · RAN · Capítulos 1-13, 20-7, 20-8, 20-9 y 20-10
La Recopilación Actualizada de Normas de la CMF trata externalización, incidentes operacionales, continuidad del negocio y ciberseguridad en cuatro capítulos separados. No son cuatro obligaciones sueltas: se remiten entre sí, y el Capítulo 1-13 es donde la Comisión clasifica la gestión del banco. El plazo más corto de todo el conjunto es de 30 minutos. Andin mantiene el registro continuo que sostiene esa evaluación, para que no haya que reconstruirla.
Qué exige
El Capítulo 20-8 fija un plazo máximo de 30 minutos luego de la ocurrencia, en cualquier horario y tanto en días hábiles como inhábiles. El reporte de inicio pide al menos once campos, y la norma es explícita: no contar con toda la información no es impedimento para enviar la comunicación dentro del plazo. La NCG 454 fija a las aseguradoras un tope de 30 minutos, pero lo cuenta desde que se toma conocimiento del incidente, no desde su ocurrencia.
El Capítulo 20-9 enuncia lineamientos y buenas prácticas, no requisitos: su adhesión es parte de la evaluación de gestión del 1-13. Entre ellos, probar al menos anualmente los planes que soportan los procesos críticos, en todos los escenarios previstos, con cinco escenarios de contingencia como piso: falta total y parcial de los sistemas tecnológicos, ataques maliciosos que afecten la ciberseguridad, ausencia de personal crítico, imposibilidad de acceder y/o utilizar las instalaciones físicas, y falta de provisión de los servicios críticos contratados a proveedores.
El Capítulo 20-10 pide autoevaluaciones al menos anuales sobre políticas internas, normativa y adherencia a mejores prácticas, y que el Directorio revise y apruebe las políticas al menos una vez al año. El capítulo no fija fecha de corte ni obligación de remitir esa autoevaluación a nadie: lo que la mide es la evaluación de gestión.
Los capítulos se remiten entre sí, y el sentido de la remisión importa: son los capítulos 20 los que declaran complementar al 1-13, no al revés. El 20-9 y el 20-10 dicen complementar la letra c) del numeral 3.2 del Título II del 1-13 —la evaluación del riesgo operacional— y el 20-7; el 20-10 nombra además al 20-8 y al 20-9; y el 20-7 remite la comunicación de incidentes al 20-8 y los sitios de procesamiento al Título II del 20-9. La fecha del conjunto está en el 1-13: antes del 30 de septiembre de cada año se envía a la Comisión la copia del informe de autoevaluación de gestión presentado al Directorio y el acta de esa reunión. Si esa reunión se celebra en septiembre, el propio capítulo permite extender el plazo al establecido para el envío del acta respectiva.
A quién le aplica
Conviene decir el alcance con la precisión con que lo dice cada capítulo, porque no todos lo redactan igual:
Si llegó acá desde la NCG 454: esa norma se dirige a aseguradoras y reaseguradoras, y a los bancos no los alcanza. Estos cinco capítulos son los que sí.
Cómo ayuda Andin
Los plazos de este conjunto corren en dos escalas. El de minutos no deja margen para armar la información en el momento: el reporte de inicio pide productos y servicios afectados, proveedores involucrados, dependencias y activos. La norma obliga a comunicar dentro del plazo aunque falten campos, así que el inventario o está poblado antes del incidente o el reporte sale incompleto. El de meses pide otra cosa: que la administración se pronuncie, al menos una vez al año, sobre el desarrollo de su gestión, y ese pronunciamiento se apoya en lo que quedó registrado durante el período. Andin mantiene el estado de los controles como un registro continuo, con cada responsable, cada cambio y cada pieza de evidencia trazados en el tiempo.
Andin genera y conserva la evidencia. La certificación, cuando corresponde, la emite un organismo acreditado.
Preguntas frecuentes
Corren en escalas distintas. El más corto es el del Capítulo 20-8: la información del incidente se envía en un plazo máximo de 30 minutos luego de su ocurrencia, en cualquier horario, tanto en días hábiles como inhábiles. Hay una cadencia semestral, del Capítulo 20-10: los resultados de las pruebas de seguridad a la infraestructura tecnológica se comunican al Directorio al menos semestralmente. Las cadencias anuales están repartidas en varios capítulos: la autoevaluación de ciberseguridad del Capítulo 20-10 y la revisión y aprobación de sus políticas por el Directorio; las pruebas de los planes de continuidad del Capítulo 20-9; y dos del Capítulo 20-7 —el pronunciamiento anual del Directorio sobre la tolerancia al riesgo para contratar servicios en la nube, y la prueba anual de los planes de continuidad de los proveedores de servicios críticos, de la que la entidad debe tomar conocimiento y cuyos resultados debe verificar—. Y hay una fecha: la copia del informe de autoevaluación de gestión presentado al Directorio, junto con el acta de esa reunión, se envía a la Comisión antes del 30 de septiembre de cada año, según el Capítulo 1-13. No es un cómputo de días hábiles ni corridos: es una fecha. Con una salvedad que da el mismo capítulo: si la reunión del Directorio se celebra en septiembre, el plazo puede extenderse al establecido para el envío del acta respectiva.
El Capítulo 20-7 no establece autorización ni aviso previo a la Comisión para externalizar, tampoco para la nube ni para el procesamiento en el extranjero. Las autorizaciones previas que sí exige son otras dos: la del Directorio —o de otra instancia de la administración, si la propia política de la entidad así lo define—, para las actividades que esa política reserve a aprobación previa, y la de cada cliente, cuando el servicio incluya transmisión fuera del país de datos sujetos a reserva o secreto bancario. Frente a la Comisión el régimen es distinto: antecedentes a disposición, acceso permanente a los registros procesados por el proveedor, y comunicación de incidentes en los términos del Capítulo 20-8. Para la nube, el Directorio debe pronunciarse anualmente sobre la tolerancia al riesgo; los servicios no críticos en nube pública o privada no requieren la diligencia reforzada. Que no haya autorización previa no significa que el extranjero sea libre: solo se puede externalizar en jurisdicciones con calificación de riesgo país en grado de inversión —el Directorio, o la instancia que haga sus veces, puede excepcionarlo si el país cuenta con leyes adecuadas de protección y seguridad de datos personales, dejando constancia del análisis—, y las actividades significativas o estratégicas realizadas en el exterior exigen un centro de procesamiento de datos de contingencia en Chile. Ese requisito admite excepción, pero la excepción depende de la clasificación del 1-13: la puede otorgar el Directorio, o la instancia que haga sus veces, de un banco que mantenga una adecuada gestión del riesgo operacional en su última evaluación, y solo si un informe anual de una empresa independiente acredita que la entidad adoptó las medidas preventivas que el capítulo enumera. El banco que todavía no tenga calificación de gestión en riesgo operacional queda sujeto a esas mismas medidas preventivas, salvo la calificación. Y si un banco con servicios en el exterior pasa a Cumplimiento Insatisfactorio o inferior en esa materia, debe informar a la Comisión las medidas adicionales que adopte.
No. Andin genera y conserva la evidencia con la que su organización sostiene su autoevaluación y responde a la evaluación de la Comisión; la certificación, cuando corresponde, la emite un organismo acreditado. Nuestro rol es dejar el registro ordenado, trazable y disponible.
No. La estrategia de continuidad y las políticas de seguridad las aprueba el Directorio, y la ejecución es del equipo de riesgo. Andin es la infraestructura que ese equipo usa: en lugar de reconstruir el estado de los controles cuando llega la evaluación, lo mantiene vivo durante el año.
El registro continuo de Andin está disponible hoy. Conversemos cómo dejar la evaluación de gestión de su banco apoyada en la historia real acumulada durante el año.
Conversar con Andin