Las mutualidades deben contar con una base de datos de eventos de riesgo operacional, cuya información debe ser remitida mensualmente a la Superintendencia de Seguridad Social.

Se entenderá por materialización de eventos, a la concreción de aquellos eventos de riesgo operacional, que generen un impacto en la organización y afecten el adecuado cumplimiento de la administración y otorgamiento de las prestaciones del Seguro de la Ley Nº16.744. Este impacto, puede implicar o no, un perjuicio o desembolso monetario; sin embargo, independiente del tipo de perjuicio, se deben establecer metodologías adecuadas para la cuantificación de cada impacto del evento materializado.

Los eventos identificados susceptibles de incorporarse dentro de esta base, independiente de la naturaleza del riesgo operacional que lo originó, deben cumplir a lo menos una de estas condiciones:

• Impidan el oportuno o adecuado otorgamiento de prestaciones médicas, económicas y preventivas, incluyendo la interrupción de las operaciones normales.

• Se vean afectados 50 o más: trabajadores, empresas adherentes o pensionados.

• Generen pérdidas económicas.

• Se haya generado alarma pública o un potencial daño de imagen.

• Eventos que hayan dado origen a acciones judiciales, tanto en contra, como por parte de la mutualidad.

• Eventos vinculados a ciberincidentes, según lo establecido en el Capítulo II. Reporte de ciberincidentes, de la Letra D. Ciberseguridad, Título V. Gestión de la Seguridad de la Información, del presente Libro VII.

1. Registros de información de eventos
   
   Se debe considerar que un evento puede tener como efecto uno o más impactos y que podrían existir recuperaciones directas o indirectas sobre las mismas, por lo cual las mutualidades deben registrar todos los impactos ocurridos bajo un mismo código de evento.
   
   La Base de Eventos de Riesgo Operacional debe cumplir con los siguientes criterios:

   1. Deben registrarse los eventos originados en la mutualidad, para lo cual la entidad debe contar con procedimientos de captura, identificación y asignación de roles y responsabilidades y entrenamiento al personal que interviene en el proceso, los que deben estar debidamente documentados.

   2. Deben registrarse los eventos y los respectivos impactos de riesgo operacional, sean o no monetarios, y las eventuales recuperaciones, tanto directas (ejemplo: gestión propia) como indirectas (ejemplo: seguros), asociadas al evento. Para el caso de eventos cuyos impactos no sean monetarios, se deberá cuantificar un monto bruto del impacto mediante metodologías construidas por la mutualidad para estos efectos.

   3. Debe adelantarse, en lo posible, el reconocimiento y registro por parte de la mutualidad sobre aquellos eventos que se tiene conocimiento o certeza razonable que acabarán generando pérdidas por riesgo operacional en la entidad. Esto incluye a los eventos provisionados.

   4. Debe registrarse, como mínimo, la siguiente información referida al evento, a los impactos y a las recuperaciones:

      • Evento:
        Código único de identificación del evento.
        Línea(s) de negocio(s) asociada(s) al evento.
        Tipo o categoría del evento, según tipos de eventos señalados en el Anexo Nº18 "Tipo de eventos de riesgo operacional".
        Fecha de ocurrencia del evento o de inicio del evento.
        Fecha de detección o toma de conciencia del evento.
        Descripción del evento.
        Estatus de finalización o cierre del evento.
      • Impacto:
        Código único de identificación del impacto.
        Monto bruto del impacto.
        Línea de negocio asociada al impacto, según lo señalado en el Anexo N° 19 "Líneas de negocio genéricas para mutualidades".
        Indicador de tipo de impacto (monetario / no monetario).
        Descripción del impacto.
        Fecha contable del impacto.
        Cuenta contable.
      • Recuperación:
        Código único de identificación de la recuperación.
        Tipo de recuperación (directa o indirecta).
        Descripción de la recuperación.
        Monto bruto de la recuperación.
        Fecha recuperación.
        Fecha contable de la recuperación.
        Cuenta contable de la recuperación.

2. Conciliación contable
   
   Tratándose de eventos con impacto monetario, la mutualidad debe establecer y ejecutar procedimientos robustos que le permitan asegurar la conciliación de la información registrada en la base de eventos de riesgo operacional con el registro contable, y que la información de pérdidas por riesgo operacional reflejada en la contabilidad se encuentre debidamente registrada en la base de eventos de riesgo operacional.
   
   Dichos procedimientos de conciliación deben encontrarse formalizados y validados.
   
   La mutualidad debe mantener un registro de las pruebas periódicas realizadas sobre la conciliación, así como los resultados obtenidos y las acciones mitigantes o correctoras desarrolladas.

3. Pruebas de calidad de datos
   
   La mutualidad debe desarrollar de forma mensual, pruebas específicas que le permitan asegurar la calidad de los datos registrados en la base de eventos de riesgo operacional, incluyendo la razonabilidad de montos y fechas, así como la concentración o distribución de eventos.
   
   Los procedimientos y el detalle de las pruebas deben estar formalizados en documentos validados.
   
   La mutualidad debe mantener un registro de las pruebas periódicas realizadas sobre la calidad de los datos de la base de eventos de riesgo operacional, así como los resultados obtenidos y las acciones mitigantes o correctoras desarrolladas.