N° 3622 de 2021

Superintendencia

Social de Seguridad AU08-2021-01432

Gobierno de Chile

CIRCULAR N°3.622

SANTIAGO, 15 DE OCTUBRE DE 2021

IMPARTE INSTRUCCIONES SOBRE LA GESTIÓN DE LA CONTINUIDAD

OPERACIONAL

MODIFICA EL TÍTULO II. ATENCIONES MÉDICAS DEL LIBRO V. PRESTACIONES

MÉDICAS, TÍTULO I. GOBIERNOS CORPORATIVOS Y EL TÍTULO IV. GESTIÓN DE RIESGOS FINANCIEROS Y OPERACIONALES, AMBOS DEL LIBRO VII. ASPECTOS

OPERACIONALES Y ADMINISTRATIVOS, Y EL TÍTULO II. GESTIÓN DE REPORTES E INFORMACIÓN PARA LA SUPERVISIÓN, DEL LIBRO IX. SISTEMAS DE INFORMACIÓN. INFORMES Y REPORTES, TODOS DEL COMPENDIO DE NORMAS

DEL SEGURO SOCIAL DE ACCIDENTES DEL TRABAJO Y ENFERMEDADES

PROFESIONALES DE LA LEY N°16.744

La Superintendencia de Seguridad Social, en el uso de las atribuciones que le confieren los artículos 2°, 3°, 30 y 38 letra d) de la Ley N°16.395 y el artículo 12 de la Ley N°16.744, ha estimado pertinente modificar instrucciones referidas a la continuidad operacional de las mutualidades de empleadores, incorporando cambios en el Título II. Atenciones médicas del Libro V, el Título I. Gobiernos corporativos y el Título IV. Gestión de riesgos financieros y operacionales, ambos del Libro Vll, y el Título Il. Gestión de reportes e información para la supervisión del Libro IX, todos del Compendio de Normas del Seguro Social de Accidentes del Trabajo y Enfermedades Profesionales de la Ley N°16.744.

I. MODIFÍCASE EL NÚMERO 3. PLAN DE CONTINGENCIA DE LA LETRA C. ATENCIÓN EN CENTROS AMBULATORIOS DE LAS AGENCIAS DEL ORGANISMO ADMINISTRADOR, EN EL TÍTULO II DEL LIBRO V. PRESTACIONES MÉDICAS, DEL SIGUIENTE MODO:

Agrégase en el segundo párrafo, a continuación del punto final (.) que ha pasado a ser punto seguido (.), la siguiente oración:

"Este plan deberá ser consistente con lo señalado en el Capítulo VI. Gestión de la continuidad operacional, de la Letra B. Gestión específica de los riesgos, Título iV del Libro VIl.". II. INTRODÚCENSE LAS SIGUIENTES MODIFICACIONES EN EL LIBRO VII. ASPECTOS

OPERACIONALES Y ADMINISTRATIVOS:

1. Incorpórase en el Capítulo I. Políticas, de la Letra E. Políticas, manuales yplanes, del Título I. Gobierno corporativo, el siguiente número 10. nuevo:

"10. Política de continuidad operacional

La mutualidad deberá implementar una política de continuidad operacional, cuyo objetivo será establecer un marco estratégico para identificar, mitigar y gestionar los riesgos relacionados con la interrupción de sus operaciones, permitiendo con esto un adecuado y oportuno otorgamiento de las prestaciones del Seguro de la Ley N°16.744. Se considerará buena práctica que dicha política sea ordenada y aprobada por el directorio de la mutualidad. En este sentido se sugiere que, dicha política contenga al menos los siguientes elementos:

a) Definición de roles y responsabilidades de las diferentes personas y estamentos que participan en los procesos de gestión de la continuidad operacional;

b) Definición de objetivos que persigue la implementación de los procesos de gestión de continuidad operacional, los cuales deben estar alineados con los objetivos estratégicos de la mutualidad;

c) Definición de criterios de evaluación del riesgo continuidad operacional, junto con los criterios de tratamiento del riesgo;

d) Definición de límites de riesgo aceptado, el cual debe ser consecuente con los criterios de evaluación y tratamiento de los riesgos;

e) Establecimiento de la forma y periodicidad con la que se informará al directorio, comité de riesgos y a la gerencia general, entre otros, sobre la exposición al riesgo de la mutualidad, y f) Procedimiento de aprobación y actualización de la política de continuidad operacional, indicando la periodicidad e instancia de revisión. Se sugiere que esta política sea revisada al menos una vez al año.

Las revisiones y actualizaciones que se efectúen respecto de esta política deberán quedar registradas y disponibles para eventuales revisiones de la Superintendencia de Seguridad Social.

2. Modifícase del Título IV. Gestión de riesgos financieros y operacionales, del siguiente modo: 2.1. Agréganse en el Capítulo ll. Definiciones, de la Letra A. Sistema de gestión de riesgo, los siguientes números 8, 9 y 10 nuevos:

"8. Continuidad operacional

Se entenderá como continuidad operacional la función de gestión que se lleva a cabo en una organización para asegurar la continuidad de sus procesos operacionales, frente a la materialización de eventos adversos, manteniendo su disponibilidad para sus beneficiarios, proveedores, y otras partes interesadas.

El sistema de gestión de la continuidad operacional está conformado por las políticas, guías, estándares y procedimientos implementados por la mutualidad. Todo el diseño, implementación, soporte y mantenimiento de los sistemas deberán estar fundamentados en la obtención de un adecuado Plan de Continuidad Operacional, recuperación de desastres y en algunos casos, soporte al sistema.

9. Análisis de Impacto del Riesgo (Risk Impact Analysis o RIA)

Corresponde al proceso mediante el cual se identifican y evalúan los riesgos de procesos de la mutualidad, centrado en aquellos riesgos que podrían afectar a la continuidad operativa de la organización.

10. Análisis de Impacto al Negocio (Business Impact Analysis o BIA)

Corresponde al proceso mediante el cual se realiza el análisis para estimar los efectos y/o consecuencias que, en el contexto de la continuidad de sus operaciones, podría provocar la ocurrencia de algún evento.". 2.2. Modifícase la Letra B. Gestión específica de los riesgos, de la siguiente forma:

a) Reemplázanse en su encabezado la expresión "menos lo", por "menos, los riesgos y elementos de gestión", y la expresión "y V", por ", V y VI". b)Elimínase en el Capítulo V. Riesgo operacional, el actual número 4. Planes de contingencia para asegurar capacidad operativa continua de la mutualidad, pasando los números 5 y 6 actuales, a ser los números 4 y 5, respectivamente. c)Incorpórase el nuevo Capítulo VI:

"Capítulo VI. Gestión de la continuidad operacional

Como parte de una adecuada gestión integral del riesgo, las mutualidades deberán implementar un sistema de gestión de la continuidad operacional, entendiendo éste como el conjunto de políticas, manuales, guías, estándares y procedimientos que permiten evaluar y gestionar la continuidad de las operaciones, teniendo como objetivo el establecer planes de continuidad operacional que permitan dar respuestas efectivas para que las mutualidades continúen operando ante la ocurrencia de eventos que puedan crear una interrupción o inestabilidad en las operaciones de la entidad. Para tal efecto, la implementación de este sistema de gestión, deberá considerar dentro de su alcance, tanto sus procesos internos como aquellos que se encuentren externalizados.

La definición de cuáles son los procesos afectos a estos planes, se deberá efectuar evaluando su criticidad y su impacto en la continuidad de las operaciones, con foco en el otorgamiento de las distintas prestaciones a los beneficiarios.

1. Identificación y análisis del entorno operativo

La definición e implementación de un Plan de Continuidad Operacional deberá establecer su alcance basándose en la identificación de los principales factores que amenazan la continuidad operacional de la mutualidad, así como su impacto potencial a nivel del negocio, en caso de materializarse un evento que afecte la continuidad operativa. Además, es necesario considerar que la materialización de estos eventos, se puede producir mediante la concreción simultánea de distintos factores o amenazas, conformando de esta manera, escenarios de riesgos de continuidad operacional. Asimismo, se deberán implementar y documentar metodologías para la realización de Análisis de Impacto al Riesgo (RIA) y Análisis de Impacto en el Negocio (BIA), con el objetivo de brindar un soporte adecuado para la construcción del Plan de Continuidad Operacional, estableciendo criterios de acción en relación al nivel de afectación que se presenta en la continuidad operativa, con base en la criticidad de sus riesgos relacionados con el cumplimiento de los objetivos estratégicos de la mutualidad, los que deberán considerar el adecuado cumplimiento con la administración y las prestaciones del Seguro de la Ley N°16.744, con foco en el beneficiario.

2. Planes de continuidad operacional

Se entenderá por Plan de Continuidad Operacional a todos los elementos y definiciones a nivel táctico y operacional implementados con el objetivo de asegurar la continuidad operativa de la mutualidad ante la ocurrencia de eventos que puedan crear una interrupción o inestabilidad en las operaciones de la entidad. En ese sentido, la mutualidad deberá implementar planes de continuidad operacional basándose en la realización de un análisis en relación a la identificación de riesgos y sus impactos a nivel del negocio. Lo anterior, permitirá la definición de estrategias de respuesta ante interrupción o inestabilidad en las operaciones con base en la definición de criterios de priorización, acorde a la criticidad de los riesgos y su impacto a nivel de la organización. El diseño y definiciones de los cursos de acción de un plan, se deberá realizar mediante la definición de parámetros objetivos en relación a las operaciones de la mutualidad, tales como los acuerdos de niveles de servicio; el tiempo máximo tolerable de disrupción; el tiempo objetivo de recuperación, entre otros.

En este sentido cada plan deberá contener a lo menos, los siguientes elementos:

a) Definición del alcance del plan, indicando los procesos y escenariosde riesgo de continuidad considerados;

b) Identificación de escenarios y factores de riesgos (amenazas) de continuidad operacional;

c) Clasificación de eventos de riesgo de continuidad operacional de acuerdo a su criticidad;

d) Definición de una estructura organizacional, con roles y responsabilidades definidos para la coordinación de actividades ante la materialización de eventos de continuidad operacional. Se deberá considerar la implementación de un comité operativo para este efecto;

e) Plan comunicacional que asegure el adecuado flujo de información relevante, en relación a la continuidad operativa, las partes interesadas, dentro de las que se encuentra la Superintendencia de Seguridad Social, y f) Descripción de las actividades de respuesta ante la materialización de eventos que afecten la continuidad operacional, así como de recuperación operativa.

Complementario a lo anterior, se deberán establecer mecanismos de control que aseguren la actualización de todos los elementos que componen el Sistema de Continuidad Operacional, poniendo especial énfasis enaquellos contenidos en los planes de continuidad que se relacionan con la designación y capacitación en la materia, de los actores claves en la ejecución de las actividades de respuesta ante interrupción o inestabilidad en las operaciones de la mutualidad.

Se considerará buena práctica que el Plan de Continuidad Operacional sea conocido y aprobado por el Comité de Riesgos.

3. Pruebas de efectividad a los planes de continuidad operacional

Con el objetivo de asegurar que un Plan de Continuidad Operacional funcione de manera adecuada, las mutualidades deberán realizar de forma periódica, de acuerdo a la criticidad de su impacto en la operación de la mutualidad, pruebas sobre la efectividad de los planes de continuidad operacional. El resultado de dichas pruebas deberá quedar documentado, así como las posibles medidas correctivas y oportunidades de mejoras implementadas.

Asimismo, en caso de materializarse algún evento cuyo impacto sea significativo en el funcionamiento de los procesos de la mutualidad, desde el punto de vista de su continuidadoperacional,se deberá realizar un análisis en relacióna las acciones ejecutadas y la efectividad de éstas, una vez recuperada la capacidad operativa. La mutualidad deberá establecer planes anuales de pruebas de efectividad a los planes de continuidad operacional, de acuerdo a la criticidad de sus procesos. Los resultados obtenidos de estas pruebas, así como los resultados de la activación del plan, producto de la materialización de escenarios reales de riesgo de continuidad operativa, deberán estar documentados, junto con los análisis y conclusiones respectivas, las que pueden originar acciones correctivas y oportunidades de mejora al plan.

Se considera buena práctica que, el Comité de Riesgos de la mutualidad tome conocimiento acerca de los resultados obtenidos de las pruebas realizadas, así como los resultados de la materialización de eventos de continuidad operacional, analizando el desempeño del Sistema de Continuidad Operacional, como una actividad relevante para la revisión del mismo, y con una periodicidad al menos anual.

4. Revisión y mejora continua

La revisión periódica de los elementos que componen el Sistema de Continuidad Operacional posibilitará la viabilidad en el tiempo del mismo. Dado lo anterior, la mutualidad deberá realizar una revisión y actualización a su sistema con una periodicidad, a lo menos anual, con el objetivo de asegurar su conveniencia, adecuación, eficacia y eficiencia.

En este sentido la revisión del sistema deberá incluir al menos:

a) El estado de las acciones de revisiones anteriores;

b) Cambios en el entorno (factores externos e internos de la mutualidad) que sean relevantes para el Sistema de Gestión de Continuidad Operacional; c)Información sobre la eficacia y eficiencia de la continuidad operativa, incluyendo los resultados, tanto de las pruebas realizadas, como de la ejecución de actividades ante la materialización de eventos de interrupción o inestabilidad operativa, además de los resultados de auditoría; d)Oportunidades para la mejora continua en relación al sistema de gestión.

En relación a la evaluación de la eficacia y eficiencia de la continuidad operativa de la mutualidad, se deberán considerar los siguientes tópicos:

a) Acciones de seguimiento de revisiones previas;

b) Necesidades de cambios en el Sistema de Gestión de Continuidad Operativa, incluyendo la política y los objetivos;

c) Identificación de oportunidades de mejora del sistema;

d) Resultados de las auditorías del Sistema de Gestión de Continuidad Operacional;

e) Las técnicas, productos o procedimientos que pueden ser utilizados en la mutualidad para mejorar el Sistema de Gestión de Continuidad Operativa;

f) Estado de acciones preventivas y correctivas comprometidas;

g) Resultados de las pruebas realizadas a los planes;

h) Riesgos o problemas que no se hayan abordado adecuadamente en cualquier evaluación de riesgo conocido;

i) Cualquier cambio que pueda afectar al Sistema de Gestión de Continuidad

Operacional, ya sea interno o externo;

j) Lecciones aprendidas y acciones derivadas de incidentes ocurridos, y k) Buenas prácticas emergentes y orientación en materia de continuidad operativa. Como producto del proceso de revisión al Sistema de Gestión de Continuidad

Operacional, se espera que emanen decisiones relacionadas a las oportunidades de mejora continua y la posible necesidad de cambios en dicho Sistema, dentro de los cuales se puede encontrar:

a) Variaciones en el alcance del Sistema de Gestión de Continuidad Operativa;

b) Mejora en la eficacia y eficiencia del Sistema de Gestión de Continuidad;

c) Actualización de la evaluación de riesgos, análisis de impacto de negocio, planes de continuidad de negocio y procedimientos relacionados, y d) Modificación de todos los procedimientos y controles para responder a eventos internos o externos que puedan impactar en el Sistema de Gestión de Continuidad Operacional. Se deberán incluir los requisitos de negocio, la reducción de riesgos, las condiciones de funcionamiento, los requisitos legales, las obligaciones, los niveles de riesgo, las necesidades de recursos y las necesidades de financiamiento. La mutualidad deberá documentar la información en un medio de almacenamiento de fácil acceso, preferentemente electrónico, como evidencia de los resultados de las revisiones realizadas.

5. Envío de Información a la Superintendencia de Seguridad Social

Las mutualidades deberán remitir a la Superintendencia de Seguridad Social a través del Sistema de Gestión de Reportes e Información para la Supervisión (GRiS), de acuerdo con las instrucciones del Título II, del Libro IX, los siguientes documentos: a)Política de continuidad operacional;

b) Plan anual de pruebas a los planes de continuidad operacional;

c) Informes de resultados de las pruebas realizadas, y d) Resultados del funcionamiento de sus planes por materialización de eventos de continuidad operativa.

No obstante lo anterior, en caso de materializarse un evento de riesgo operacional que afecte la continuidad operacional, deberá incorporarse en el reporte establecido para la conformación de una base de eventos de riesgo operacional, de acuerdo a lo definido en el número 3. Generación de una base de eventos de riesgo operacional, del Capítulo V, Letra B, Título IV del Libro VII.".

III. MODIFÍCANSE LOS ANEXOS DE LA LETRA C DEL TÍTULO II. GESTIÓN DE REPORTES E INFORMACIÓN PARA LA SUPERVISIÓN (GRIS) DEL LIBRO IX. SISTEMAS DE INFORMACIÓN. INFORMES Y REPORTES, DE ACUERDO A LOS SIGUIENTE:

1. Modifícase el actual Anexo N°30 "Formato de los archivos del sistema GRIS", del siguiente modo: 1.1. Agrégase al final en la tabla de la Letra A. Estatutos y Políticas, del número III. Nombres de archivos de texto, la siguiente nueva fila del archivo "A.23":

A.23 Política de Continuidad Operacional Política_Continuidad_Operacional 1.2.Agrégase al final en la tabla de la Letra D. Informes, del número III. Nombres de archivos de texto, las siguientes nuevas filas de los archivos "D.12" y "D.13":

D.12 Plan anualde pruebas a los planes de Plan_Anual_PCO continuidad operacional

D.13 Informes de resultados de las pruebas y del funcionamiento de planes de Informe_Prueba_PCO continuidad operacional por materialización de eventos de continuidad operativa 2. Modificase el actual N°31 "Calendario de envío de los archivos del sistema GRIS", como sigue: 2.1. Agrégase al final en la tabla de la Letra B) Envío de archivos de texto, la siguiente nueva fila del archivo "A.23":

A.23 Política de Continuidad Permanentemente Hasta 5 días hábiles, contado

Operacional actualizado desde el día siguiente a su aprobación 2.2. Intercálanse en la tabla de la letra B) Envío de archivos de texto, las siguientes nuevas filas de los archivos "D.12" y "D.13", entre los actuales archivos "D.11 Informe de Indicadores de Calidad de la Atención de Salud del Trabajador" y "E.1 Acuerdos de Directorio, elevados a consulta de la Superintendencia de Seguridad Social, según lo establecido en artículo 46 de la Ley N°16.395":

D.12 Plan anual de pruebas a Permanentemente Hasta el último día del mes de los planes de continuidad actualizado enero de cada año operacional

D.13 Informes de resultados de Hasta el último día del mes de las pruebas y del enero de cada año, con funcionamiento de planes información de resultados del de continuidad Anual año anterior operacional por materialización de eventos de continuidad operativa

IV. VIGENCIA

Las modificaciones introducidas por la presente circular, entrarán en vigencia a partir de la fecha de su publicación.

No obstante lo anterior, la información o documentos señalados en el capítulo Ill de esta circular, deberán remitirse a partir de los siguientes plazos:

Documento / Información Fuente Compendio de Normas Plazo para primer envío del Seguro de la Ley N°16.744

Tabla de la Letra A. Estatutos y A.23 Política de Políticas, del Número III. Nombres 1 Continuidad Operacional de archivos de texto, del Anexo 31 de enero de 2022 N°30 "Formato de los archivos del sistema GRIS".

D.12 Plan anual de pruebas 2 a los planes de continuidad 31 de enero de 2022 operacional

Tabla de la Letra D. Informes, del D.13 Informes de número III. Nombres de archivos resultados de las pruebas y de texto, del Anexo N°30 del funcionamiento de "Formato de los archivos del 31 de enero de 2023, con 3 planes de continuidad sistema GRIS". informes de resultados operacional por del año 2022. materialización de eventos de continuidad operativa

MARÍA SOLEDAD RAMÍREZ HERRERA

SUPERINTENDENTA DE SEGURIDADSOCIAL

三

PSA/PGC/ETC/VNC/CSM/JGA/CFL

DISTRIBUCIÓN:

- Mutualidades de empleadores

Con copia informativa a:

Departamento de Supervisión y Control

Departamento de Tecnología y Operaciones

Departamento de Regulación

Unidad de Prevención y Vigilancia

Unidad de Gestión Documental e Inventario

–

BASENMTENDEN