Corresponde tanto al directorio como a la administración superior de la mutualidad identificar y cuantificar la magnitud de cada uno de los riesgos a los que ésta se enfrenta, proyectando su probabilidad o frecuencia de ocurrencia y la magnitud de su impacto patrimonial, con el fin de adoptar las medidas de mitigación que correspondan.

La administración superior de la mutualidad deberá identificar y evaluar los riesgos en cuestión, contrastándolos con los límites autorizados por el directorio en su política de riesgos.

En caso que se identifiquen riesgos que excedan los límites definidos por el directorio, junto con informar a éste de dicha situación, se deberán llevar a cabo actividades de mitigación, definiendo acciones, plazos y responsables y efectuándose un monitoreo periódico del avance de las mismas.

Sin perjuicio de lo anterior, todo nuevo proyecto significativo para la mutualidad deberá ser objeto de un análisis y evaluación de riesgos desde su fase inicial, lo que deberá ser debidamente comunicado al directorio.

La mutualidad debe contar con una instancia de administración de riesgos, responsable del cumplimiento de todas las actividades precedentemente aludidas. Entre las labores que debe cumplir esta instancia, deberá contemplarse la de implementar instancias formales de identificación y evaluación de los riesgos, que permitan hacer el seguimiento de las actividades de mitigación adoptadas, y de mantener informada a la administración y al directorio, de acuerdo con las instrucciones que imparta la Superintendencia de Seguridad Social.

Una vez identificados y tratados los riesgos a nivel de la organización como un todo, debe practicarse similar procedimiento a nivel de todo proceso administrativo y operacional relevante relacionado con los objetivos del control interno (operacionales, de información financiera y de cumplimiento) de la mutualidad, con el fin de identificar los riesgos inherentes a cada uno de dichos procesos y establecer la necesidad de incorporar actividades de control para mitigar los riesgos inaceptables. El alcance de este procedimiento (qué procesos administrativos y operacionales abarca) debe ser definido por la gerencia general y ser aprobado por el Directorio.

Para cada uno de estos procesos se debe documentar, según la profundidad que amerite el caso, la descripción del proceso (incluyendo sus subprocesos) en sus diversas etapas, identificando con precisión su inicio y su fin, los cargos involucrados en el proceso, las entradas y las salidas, las interfaces y aplicaciones informáticas involucradas, los proveedores externos involucrados, los puntos de control establecidos, las métricas de medición de desempeño, y los responsables de cada uno de dichos procesos.

Esta evaluación debe actualizarse al menos una vez al año, de modo de permitir que se lleven a cabo nuevas actividades de control, ya sea por cambios en los procesos o por nuevos riesgos sobrevinientes sobre los mismos procesos, considerando, especialmente, el historial de problemas, errores o irregularidades que se hayan detectado desde la última revisión.

De la evaluación antes aludida, deberá dejarse una evidencia formal, con la aprobación de los responsables de los procesos.