NCG 573 — Externalización de servicios en la gestión de riesgo operacional (aseguradoras)

REF: Imparte instrucciones en materia de externalización de servicios en el contexto de la gestión de riesgo operacional.

________________________________

11 de agosto de 2026

NORMA DE CARACTER GENERAL Nº 573

A todas las entidades aseguradoras y reaseguradoras

Esta Comisión, en uso de sus facultades legales, en especial lo dispuesto en el número 1 y 4 del artículo 5, el número 3 del artículo 20 y el número 1 del artículo 21, todos del D.L. N°3.538, de 1980, y la letra b) del artículo 3° del D.F.L. N°251, de 1931, y lo acordado por el Consejo de la Comisión para el Mercado Financiero en Sesión Ordinaria N° 508 del 06 de agosto de 2026, ejecutado mediante Resolución Exenta N° 8432 de 11 de agosto de 2026, ha resuelto impartir las siguientes instrucciones relativas al sistema de gestión del riesgo operacional, en lo referido a la externalización de servicios por parte de las entidades aseguradoras y reaseguradoras.

La externalización de actividades, funciones o procesos se ha convertido en una práctica habitual dentro del mercado asegurador, asociada a la búsqueda de mayor eficiencia operativa, incorporación de tecnologías especializadas y mayor flexibilidad organizacional. No obstante, esta práctica también puede dar lugar a una exposición significativa a distintos tipos de riesgos, en particular al riesgo operacional, así como a riesgos de cumplimiento y reputacionales, entre otros.

Esta norma se enmarca en la implementación del modelo de Supervisión Basada en Riesgo promovido por la Comisión para el Mercado Financiero (CMF) y, se basa en los principios de gestión prudencial establecidos en la NCG N°454 sobre gestión de riesgo operacional y ciberseguridad, la que a su vez descansa en los principios establecidos por las Normas de Carácter General N°309 sobre gobierno corporativo y N°325 sobre sistemas de gestión de riesgos.

Los principios y conceptos de gestión del riesgo operacional de externalización de servicios señalados en la presente norma serán considerados en la evaluación de la CMF, de acuerdo con la realidad de cada compañía, reconociendo la existencia de diferentes prácticas de gestión de riesgo operacional de la externalización de servicios dependiendo del tamaño, naturaleza, alcance y complejidad de sus operaciones, estrategia y perfil de riesgo de la compañía. De esta manera, la aplicación de estos principios o conceptos pueden adoptar modalidades distintas en cada aseguradora, lo que será tomado en cuenta por la Comisión en su evaluación.

El directorio y la alta gerencia son los responsables del cumplimiento de los principios establecidos en esta norma. De esta forma, el directorio deberá aprobar las políticas que implementan los principios detallados en esta norma en la compañía y monitorear el cumplimiento de estos principios. Por su parte, la administración deberá establecer los procedimientos para una correcta implementación de dichos principios conforme a la realidad de cada compañía.

En concordancia con los mencionados cuerpos normativos, la presente norma establece los principios y requisitos mínimos que deberán observar las compañías a la hora de identificar, evaluar, monitorear y controlar los riesgos derivados de la externalización de servicios.

Entre otros elementos, la norma considera lineamientos sobre los procesos de selección y contratación de proveedores, requisitos contractuales, medidas para la gestión de subcontrataciones, así como la necesidad de incorporar los servicios externalizados en los planes de continuidad del negocio y en los mecanismos de ciberseguridad. Además, se refuerzan las exigencias de trazabilidad y transparencia en la relación con los proveedores, asegurando que la CMF mantenga, en todo momento, la capacidad de acceder a la información relevante para el cumplimiento de su rol supervisor.

La presente normativa se refiere a las contrataciones por parte de las compañías de seguros con proveedores de servicios externos, mediante las cuales se encomienda a terceros la realización de una o más actividades operativas que, en principio, podrían ser efectuadas directamente por la compañía con sus propios recursos, tanto humanos como tecnológicos.

En consecuencia, las disposiciones de esta normativa no son aplicables a aquellos servicios que una compañía no puede proveerse a sí misma, tales como los servicios básicos o aquellos donde una ley o norma ha definido que deben ser prestados por entidades de giro exclusivo.

La presente norma no contempla como actividades posibles de externalización las vinculadas a funciones de gestión de riesgo, así como tampoco la función de auditoría interna realizadas por entidades no relacionadas a la compañía.

Las actividades encomendadas a terceros deben atender a la realización de objetos específicos especialmente determinados. En tal sentido, en ningún caso podrá externalizarse la ejecución de aquellas actividades respecto de las cuales una ley o cuerpo normativo aplicable disponga expresamente que deben ser realizadas directamente por la compañía.

En todo caso, dichos servicios deberán ser considerados por las compañías dentro de sus procesos de evaluación y gestión de riesgos en conformidad con lo establecido en el numeral 2.5 del capítulo III de la NCG N°325 y en la NCG N°454.

Externalización de servicios (Outsourcing): es la ejecución por un proveedor externo de servicios o actividades en forma continua u ocasional, las que normalmente podrían ser realizadas directamente por la compañía contratante.

Proveedor de servicios: entidad relacionada o no a la compañía contratante, que preste servicios o provea bienes e instalaciones a éste.

Cadenas de servicios externalizados: son aquellas formadas por terceros subcontratados por el proveedor inicial de servicios para realizar parte importante de las actividades contratadas con éste (subcontrato de otros proveedores).

Persona relacionada: se entenderá por persona relacionada las definidas en el artículo 100 de la ley N°18.045 y todas aquellas personas señaladas en los numerales del artículo 146 de la Ley N°18.046.

Servicios en la nube (cloud computing): servicios de infraestructura tecnológica y aplicaciones, en modalidad física o virtual, administrados total o parcialmente por un proveedor externo. Generalmente son desplegados en múltiples ubicaciones geográficas y entregados bajo demanda de recursos o con mecanismos de auto suministro.

Nube Privada: infraestructura de nube provista para el uso exclusivo de una entidad, comprendiendo múltiples usuarios (por ejemplo, unidades comerciales). Puede ser de propiedad, administración y operación de la misma entidad, de un tercero o una combinación de ambos; y puede encontrarse tanto dentro como fuera de las instalaciones del contratante.

Nube Pública: infraestructura de nube provista para el uso de varias entidades. La infraestructura pertenece a un proveedor que otorga servicios de nube, y es administrada y operada por éste. Esta infraestructura se encuentra en las instalaciones del proveedor de nube.

Actividades significativas o principales: toda línea de negocios o actividad que sea fundamental para el modelo de negocios de la aseguradora y en la que cualquier debilidad o falla en su provisión o ejecución pueda tener un efecto significativo sobre el cumplimiento normativo, la continuidad del negocio, la seguridad de la información propia o de sus asegurados, la calidad de sus servicios y productos, o la solvencia de la compañía, considerando su naturaleza, tamaño y complejidad.

Infraestructura tecnológica: conjunto de hardware y software que requiere una entidad para realizar las actividades necesarias para ejercer su giro.

Infraestructura de seguridad de la información: Conjunto de hardware y software dispuesto por la compañía para resguardar la seguridad de la información.

Una sólida gestión de riesgos se basa en la existencia de una adecuada estructura de gobierno, un marco con políticas, normas y procedimientos, así como un entorno que permita identificar, evaluar, controlar, mitigar, monitorear y reportar los riesgos más relevantes asociados a la externalización de actividades, proceso que en el caso del riesgo operacional debe cumplirse en concordancia con lo indicado en el numeral 2.5 del capítulo III de la NCG N°325 y en lo señalado por la NCG N°454.

Dentro de las evaluaciones de riesgo deben considerarse aquellos que se generan como consecuencia de la concentración por parte de numerosas compañías de seguros u otras entidades financieras en un solo proveedor, ya que ante una eventual falla de éste, se podría generar una crisis a nivel de la industria; cuando se entreguen varias actividades significativas a tal proveedor; cuando se externalicen servicios en proveedores que contemplen barreras altas de salida, especialmente en términos de dependencia de la infraestructura tecnológica contratada, la posible pérdida de la pericia técnica interna, la localización de los datos y la propiedad de los mismos. En base a lo anterior, las compañías deben evaluar a cada proveedor y definir de manera fundada los criterios de contratación, tomando en consideración aspectos como la concentración y barreras de salida.

La compañía que decida externalizar alguna actividad, además de considerar los aspectos indicados en el Anexo N°1 para fines de la contratación de cada servicio en particular, debe considerar los elementos que se presentan a continuación:

a) El Directorio, o quien haga sus veces, deberá pronunciarse sobre el apetito y los niveles de tolerancia al riesgo que está dispuesto a asumir en el caso de externalizar servicios. En este contexto, niveles de apetitos y tolerancias cuantificables aportan a un mejor control del riesgo.

b) Mantener una política debidamente aprobada por el Directorio, que regule las actividades asociadas a la externalización. Esta política debe pronunciarse, al menos, respecto de los elementos indicados en el N°2 siguiente.

c) Realizar una debida diligencia al proveedor, de acuerdo con lo indicado en el N°3 siguiente, resguardando que éste cuente con mecanismos que permitan prevenir que acciones realizadas por otros clientes afecten negativamente el servicio externalizado por la compañía.

d) Establecer procedimientos formales para la selección, contratación y monitoreo de proveedores.

e) Velar por que el proveedor y el personal a cargo de los servicios contratados posean adecuados conocimientos y experiencia en la actividad que se está externalizando. Asimismo, también deberá vigilar el debido cumplimiento de aquellos aspectos regulatorios y legales que pudiesen afectar la provisión de los servicios contratados.

f) Mantener un catastro actualizado de todos los servicios contratados con terceros, determinando claramente aquellos que, a su juicio, son estratégicos y de alto riesgo, de manera de establecer procedimientos de control y seguimiento en forma permanente de acuerdo con los niveles de criticidad que les asigne.

g) Establecer procedimientos que aseguren que la externalización de servicios regulada por esta norma no afecte el cumplimiento oportuno y cabal de los compromisos que la compañía tiene con sus asegurados.

h) Velar por que existan auditorías independientes (internas o externas) al proceso de selección, contratación y seguimiento de los proveedores, con personal especialista en los distintos riesgos auditados.

i) Velar por que el proveedor realice periódicamente informes de auditoría interna o revisiones independientes de sus servicios, conforme con su estructura y el tamaño de su organización, que aborden aspectos tales como la calidad del servicio, la continuidad operacional y la seguridad de la información, debiendo compartir oportunamente con la compañía los hallazgos que le sean pertinentes.

j) Velar por que los procedimientos operacionales, administrativos y tecnológicos propios del servicio contratado, se encuentren debidamente documentados, actualizados y permanentemente a disposición de la compañía, la que deberá asegurar su disponibilidad para su revisión por parte de esta Comisión.

k) Considerar los riesgos que provienen de las cadenas de servicios externalizados, lo que debe quedar reflejado en el contrato respectivo. Asimismo, deben quedar claramente establecidas, en los respectivos contratos, las responsabilidades y obligaciones que deben cumplir las empresas subcontratadas respecto del servicio externalizado por la compañía.

l) La compañía debe incorporar en los reportes de riesgo operacional que ponga a disposición del Directorio, información respecto de la gestión que realiza la compañía para administrar los riesgos de externalización, incluyendo los cambios en el perfil de riesgos de los proveedores (como, por ejemplo, cambios relevantes en sus procesos y áreas geográficas de donde se prestan los servicios) y la exposición a aquellos servicios considerados críticos, entre otros contenidos que estime necesarios.

m) Los datos, plataformas tecnológicas y aplicaciones a utilizar en la externalización de los servicios deben encontrarse en sitios de procesamiento específicos y, para el caso de procesamiento en el extranjero, en una jurisdicción definida y conocida. Además de la jurisdicción, se debe conocer la ciudad donde operan los centros de datos.

n) Inclusión de niveles mínimos de servicios definidos por la compañía en los contratos, y acceso a información suficiente para hacer monitoreo de los niveles de servicios.

La Política que deberá ser aprobada por el Directorio de la compañía, debe abordar al menos las siguientes materias:

a) La definición de la estructura de gobierno y de los procedimientos a seguir para autorizar y gestionar la externalización de servicios, incluyendo las líneas de reporte y de responsabilidad.

b) La descripción de las herramientas específicas de evaluación de riesgos en esta materia y de su utilización.

c) Criterios para definir los umbrales o límites permitidos o de tolerancia o apetito al riesgo inherente y residual, así como los instrumentos y estrategias de mitigación y monitoreo.

d) Criterios particulares de contratación, cuando se trate de un proveedor que sea una entidad relacionada.

e) Elementos que serán considerados por la compañía para determinar aquellos servicios que, a su juicio, se encuentran asociados con actividades significativas o principales.

f) La definición de aquellas actividades que solo pueden externalizarse previa aprobación del Directorio o de otra instancia de la administración que se defina.

g) Periodicidad de revisión de la política, especialmente cuando existan cambios relevantes en el perfil de riesgo de la compañía.

h) Los elementos mínimos a incorporar en el contrato de prestación de servicios, teniendo en cuenta los criterios contemplados en el numeral 1 anterior, que la entidad considere relevantes.

En el caso de contratos de adhesión, que no cuenten con la totalidad de dichos elementos mínimos, la política deberá definir cuáles serán las excepciones, es decir, los aspectos que no estarán considerados en los contratos. Dichas excepciones deberán estar justificadas y limitarse únicamente a aquellos aspectos que escapen al control y gestión de la compañía. Al mismo tiempo, la política deberá considerar la adopción y documentación de los resguardos necesarios para la adecuada gestión de los riesgos derivados de la externalización mediante contratos de adhesión que no cuenten con los citados elementos mínimos.

i) Definición de los elementos relacionados a la gestión de riesgo que no les sean aplicables a cierto tipo de actividades o servicios que se realicen localmente, de acuerdo con lo dispuesto en el Anexo N°2.

La CMF espera que las compañías realicen una debida diligencia interna para determinar la naturaleza y el alcance de la actividad que se va a externalizar, su relación con el resto de las actividades de la compañía y cómo se gestiona dicha actividad.

Al seleccionar un proveedor de servicios, o al enmendar sustancialmente o renovar un contrato o acuerdo de externalización, se espera que las compañías lleven a cabo un proceso de debida diligencia que evalúe completamente los riesgos asociados con el acuerdo de externalización y aborde todos los aspectos relevantes del proveedor de servicios, incluidos los factores cualitativos (operativos) y cuantitativos (financieros).

Cuando se contemple la externalización fuera del país, las compañías deben prestar especial atención a los requisitos legales de esa jurisdicción, así como a las posibles condiciones y eventos políticos, económicos y sociales que puedan conspirar para reducir la capacidad del proveedor extranjero para proporcionar el servicio, así como a cualquier factor de riesgo adicional que pueda requerir un ajuste al programa de gestión de riesgos.

Los procesos de debida diligencia podrán variar según la compañía y la naturaleza del acuerdo de externalización que se esté contemplando.

La computación en la nube o cloud computing engloba la evolución de varios ámbitos de las tecnologías de la información, tales como las redes de telecomunicaciones y los microprocesadores, siendo la virtualización o abstracción del hardware una de las más relevantes. Al respecto, la variedad de servicios a los que es posible acceder a través de la nube, como de infraestructura, plataforma o incluso de software, importa una modificación en la dinámica de los riesgos asociados a los actuales modelos tecnológicos aplicados en el mercado asegurador.

Para efectos de contratar cualquier tipo de servicio a través de la modalidad denominada nube, el Directorio de la compañía deberá aprobar - al menos anualmente o cuando se produzca un cambio - la tolerancia o apetito al riesgo que está dispuesto a asumir en este tipo de externalizaciones. Este pronunciamiento deberá considerar un análisis de los datos a almacenar o procesar bajo esta modalidad y su ubicación.

Sin perjuicio del debido cumplimiento de los distintos requerimientos contenidos en esta u otras normas o la legislación vigente, las compañías podrán externalizar en la nube pública o privada sus servicios no críticos conforme a las consideraciones mencionadas en los títulos precedentes.

En el evento que la compañía evalúe la contratación de un servicio en la nube para una actividad considerada significativa o principal, este también podrá ser efectuado en modalidad de nube pública o privada. No obstante, en estos casos la compañía deberá realizar una diligencia reforzada del proveedor y del servicio, que al menos considere lo siguiente:

a) El proveedor dispone de reconocido prestigio y experiencia en el servicio que otorga.

b) El proveedor contratado cuenta con certificaciones independientes, reconocidas internacionalmente, en términos de gestión de la seguridad de la información, la continuidad del negocio y la calidad de servicios que recojan las mejores prácticas vigentes.

c) Se considera una buena práctica que el proveedor del servicio realice informes de auditoría asociados a los servicios prestados y dichos informes se encuentren disponibles, para ser consultados en cualquier momento por la compañía contratante y esta Comisión, en las materias que resulten pertinentes.

d) Se considera una buena práctica que la compañía requiera que el proveedor cuente con adecuados mecanismos de seguridad, tanto físicos como lógicos, que permitan aislar los componentes de la infraestructura nube que la compañía comparte con otros clientes del proveedor, de manera de prevenir fugas de información o eventos que puedan afectar la confidencialidad e integridad de los datos de la compañía.

e) Identificar los datos que, por su naturaleza y sensibilidad, deben contar con mecanismos fuertes de encriptación.

La entidad podrá justificar el cumplimiento de los requerimientos dispuestos en este numeral mediante mecanismos alternativos, siempre que se adopten los resguardos necesarios para la adecuada gestión de los riesgos derivados de la externalización. Lo anterior deberá quedar documentado en la política, con su debida justificación, especificando los elementos de debida diligencia que se sustituyen.

La compañía debe requerir que sus proveedores de servicios críticos cuenten con planes que aseguren la continuidad de los servicios contratados. De igual forma se considera una buena práctica que los proveedores críticos de servicios subcontratados cuenten a su vez con apropiados planes de continuidad del negocio. Adicionalmente, la compañía también debe disponer de planes probados, para asegurar la continuidad operacional ante la contingencia de no contar con dicho servicio externo.

La compañía debe contar con planes de salida en el evento de incumplimientos de dichos proveedores, que consideren el término anticipado de la relación contractual y que permitan retomar la operación, ya sea por cuenta propia o mediante otro proveedor. Lo anterior, considerando criterios de razonabilidad y proporcionalidad.

Se considera una buena práctica que la compañía requiera que el proveedor cuente con un proceso formal y sistemático de gestión frente a los incidentes que pudieran interrumpir o afectar la provisión de los productos, servicios o actividades. El plan de continuidad y los sistemas de respaldo deben ser proporcionales al riesgo de una interrupción del servicio. En particular, el plan de continuidad del negocio debe permitirle a la compañía mantener las operaciones, cumplir con sus obligaciones legales y proporcionar toda la información que pueda ser requerida por la CMF para cumplir con su mandato, en caso de que el proveedor de servicios no pueda prestarlo.

La compañía debe cerciorarse que el proveedor del servicio mantiene un programa de seguridad de la información que le permita asegurar la confidencialidad, integridad, trazabilidad y disponibilidad de sus activos de información y la de sus asegurados. Estas condiciones deben ser consistentes con las políticas y estándares adoptados por la compañía y, en lo posible, quedar incorporadas en el contrato de prestación de servicios. En caso de que, por tratarse de un contrato de adhesión no sea posible incorporar lo precedente, la compañía deberá mantener a disposición de la Comisión antecedentes que den cuenta de mecanismos para asegurar la confidencialidad, integridad, trazabilidad y disponibilidad de sus activos de información y la de sus clientes.

En el caso del procesamiento de la documentación física, la compañía deberá contar con procedimientos de control que vele por el debido cumplimiento de las condiciones señaladas en este Título. Junto a lo anterior, se deben establecer los procedimientos que aseguren el adecuado traspaso de información a la compañía por parte del proveedor y que éste, en ningún caso, mantenga información en su poder después de finalizada la relación contractual.

Sólo se podrá externalizar servicios en jurisdicciones que cuenten con calificación de riesgo país en grado de inversión, otorgada por una clasificadora de reconocido prestigio internacional. No obstante, el Directorio podrá excepcionar este requisito, en la medida que el país en el que se externalizan los servicios cuente con leyes de protección y seguridad de datos personales adecuadas, debiendo dejar constancia formal del análisis realizado al efecto.

La compañía será siempre responsable por la gestión de los riesgos y funciones de control. El hecho de que la ejecución técnica de determinadas actividades operativas, de soporte o monitoreo especializado sea encomendada a un proveedor externo, no exime a la compañía de su obligación de supervisión ni de su responsabilidad frente a esta Comisión por los resultados de dicha gestión. Lo anterior es sin perjuicio que en algunas entidades internacionales existan, para efectos de una administración consolidada por parte de sus casas matrices, coordinaciones matriciales entre el personal establecido en el extranjero y el personal local.

Por otra parte, en cumplimiento de lo dispuesto en el capítulo VI de la NCG N°454, la compañía deberá comunicar a esta Comisión, en los términos definidos en dicho Capítulo, los incidentes operacionales que afecten un servicio externalizado en el país o en el exterior.

La compañía contratante debe asegurarse que esta Comisión tenga acceso permanente, a través suyo, a todos los registros, datos e información que se procesen, mantengan y generen a través de un proveedor externo, ya sea establecido en el país o en el exterior.

En el caso de que la compañía externalice servicios fuera del país, deberá disponer en todo momento de los antecedentes de la empresa contratada. En especial, deberá mantener aquellos antecedentes que respalden la solidez financiera del proveedor del servicio y que éste mantiene certificaciones de calidad, seguridad y apropiados sistemas de control.

La compañía debe efectuar el monitoreo del servicio externalizado en el exterior. Dichas actividades de monitoreo deben estar debidamente fundamentadas de acuerdo con la gestión de riesgos realizada para el proveedor específico. Lo anterior, independientemente de las actividades propias de control y monitoreo que realice el proveedor del servicio.

Adicionalmente, el sistema de gestión de riesgos de la compañía debe incorporar cualquier preocupación adicional relacionada con el entorno económico y político, la sofisticación tecnológica y el perfil de riesgo legal y regulatorio de la(s) jurisdicción(es) extranjera(s).

En el caso de aquellas entidades que hayan externalizado actividades significativas o principales o que las exponga a riesgos operacionales relevantes, esta Comisión podrá requerir mecanismos de gestión de contingencias y evaluación de riesgos para el adecuado desarrollo de la actividad aseguradora. En consideración a lo anterior, la compañía deberá mantener permanentemente actualizado un plan que posibilite cumplir con esos eventuales requerimientos.

La presente normativa entra en vigencia a contar de un año desde la fecha de emisión. Adicionalmente, para facilitar una implementación ordenada y resguardar la estabilidad de las relaciones contractuales, se establecen las siguientes reglas de transitoriedad:

Nuevas contrataciones: Todos los contratos de externalización suscritos a partir de la fecha de entrada en vigencia deberán cumplir íntegramente con los requisitos establecidos en esta norma.

Adecuación de contratos vigentes: Los contratos de externalización celebrados con anterioridad a la fecha de entrada en vigencia deberán adecuarse a lo dispuesto en la presente normativa en la primera oportunidad disponible, tal como su renovación, prórroga o ante enmiendas sustanciales a sus términos y condiciones. En cualquier caso, deberán adecuarse a más tardar dentro del plazo de un año contado desde la entrada en vigencia.

Catherine Firmado digitalmente por Catherine

Carolina

Carolina Tornel Leon

Tornel Leon

Fecha: 2026.08.11 16:44:22 -04'00'

CATHERINE TORNEL LEÓN PRESIDENTA

COMISIÓN PARA EL MERCADO FINANCIERO

Aspectos mínimos que deben considerarse para la externalización de servicios

Antes de decidir la externalización de una actividad, se debe efectuar una evaluación, que considere la participación de todos los agentes involucrados respecto de los riesgos que esta decisión incorpora a la compañía, volumen de transacciones que se procesará, criticidad del servicio contratado y concentración de servicios con el mismo proveedor, entre otros.

En esta evaluación se debe considerar la opinión del área encargada de la gestión del riesgo operacional de la compañía fiscalizada, la que deberá encontrarse debidamente sustentada.

La compañía debe evaluar las propuestas recibidas de acuerdo con sus requerimientos y llevar a cabo un proceso de debida diligencia que sustente la información recibida de los posibles proveedores.

En el caso de que se contrate un servicio con una entidad relacionada, además del adecuado cumplimiento de las formalidades legales y normativas propias de esta clase de operaciones, éstas deberán ajustarse en precio, términos y condiciones a aquellas que prevalezcan en el mercado al tiempo de su aprobación, debiendo además, cumplir las condiciones económicas con principios de transparencia que deben estar definidos en la política que regula la externalización de servicios.

La compañía debe asegurarse que el contrato defina claramente los derechos y obligaciones de ambas partes, conteniendo acuerdos de niveles claros y medibles de los servicios contratados, cláusulas de término anticipado de la relación contractual, así como también un método de fijación de precios adecuado para el contrato específico.

También se deben incluir cláusulas de continuidad del negocio y de seguridad de la información, especialmente aquella que se refiere a la propiedad y confidencialidad de la información, tanto propia como de sus asegurados; restricciones sobre el uso de software; eliminación segura de los datos del cliente, cuando corresponda; además, indicar claramente donde operan los centros de datos.

Contractualmente debe quedar claramente establecido todo lo relacionado con la idoneidad y responsabilidad del personal de la empresa proveedora del servicio, así como también todos los aspectos legales y laborales que imperen en el país o en el extranjero, aplicables a estas contrataciones.

En caso de celebrarse contratos de adhesión, la compañía deberá verificar el cumplimiento de los elementos establecidos en su política de contratación y gestión de actividades relativas a la externalización de servicios, dejando constancia de la revisión efectuada y de los resguardos que se consideren relevantes al efecto.

Por último, las compañías, en el caso de contratos, subcontratos y sus respectivos anexos que se encuentren celebrados en un idioma extranjero, deberán proveer de una copia traducida al idioma español, cuando la CMF lo solicite para efectos de supervisión. La veracidad de la traducción será responsabilidad de la compañía.

Del proveedor: La compañía debe controlar el desempeño del proveedor durante la vigencia del contrato y sus eventuales modificaciones o prórrogas.

Del servicio: La compañía debe contar con procedimientos que le permitan controlar el cumplimiento de las cláusulas estipuladas en los contratos. El monitoreo debe comprender al menos: acuerdos de niveles de servicios, disposiciones contractuales, gestión del riesgo operacional asociado al servicio contratado y posibles cambios a causa del entorno externo.

Externalización de servicios no significativos

El Directorio deberá aprobar la Política donde se defina qué elementos de esta norma no serán aplicables a aquellos contratos de servicios que comúnmente se vinculan con actividades que no tienen un carácter significativo o sus riesgos son más acotados.

A continuación, a manera de referencia, se enumeran algunas categorías de servicios y actividades que podrían cumplir con dichas condiciones:

i. Servicios Generales: tales como vigilancia, limpieza, mantenimiento y reparaciones, mensajería, servicios públicos, entre otros.

ii. Actividades de apoyo administrativo: pago de sueldos, compras, facturación, capacitación, selección de personal, entre otros.

iii. Actividades de investigación de mercado y marketing: encuestas de productos y servicios, antecedentes de clientes y publicidad, entre otros.

Lo anterior, sin perjuicio de que la comercialización de las pólizas deba realizarse directamente por la compañía o a través de agentes de venta o corredores de seguros.

iv. Otros: Servicios de arrendamiento. Sin perjuicio de lo señalado, para estas actividades la compañía deberá velar por el debido cumplimiento de cualquier requerimiento legal o regulatorio que ponga en riesgo la adecuada provisión del servicio.

Asimismo, dependerá de cada compañía establecer las condiciones que deben ser ponderadas antes de exceptuar a un servicio o actividad de alguna de las medidas de gestión de riesgo de que trata esta norma, de acuerdo con las características particulares de cada compañía.