Con el fin de gestionar los riesgos operacionales asociados a la subcontratación, las mutualidades deberán establecer una política para evaluar, administrar y monitorear los procesos subcontratados, siendo la mutualidad la responsable última de dichos procesos.

Dicha política deberá considerar:

1. La evaluación del riesgo, que considere a todas las partes involucradas, previa decisión de externalización. Dicha evaluación debe considerar criterios tales como: los montos pagados, el volumen de transacciones y la frecuencia de trato con el proveedor del servicio.

2. El proceso de selección del proveedor del servicio.

3. La elaboración del acuerdo de subcontratación.

4. La gestión y monitoreo de los riesgos asociados con el acuerdo de subcontratación.

5. La identificación de la criticidad del proveedor.

6. La implementación de un entorno de control efectivo.

7. Establecimiento de planes de continuidad operacional, así como sus pruebas periódicas y reporte de resultados.

8. Acceso a la información por parte del regulador.

9. Procedimientos de revisión y actualización de la política de actividades externalizadas, indicando la periodicidad e instancia de la revisión. Estas revisiones deben ser realizadas con una periodicidad de a lo menos una vez al año, debiendo quedar registro de ello.

Los acuerdos de subcontratación deberán formalizarse mediante contratos firmados entre las partes, teniendo presente el acuerdo del nivel de servicio, las cláusulas de penalizaciones, garantías y las responsabilidades del proveedor y de la mutualidad, así como establecer los mecanismos de control y seguimiento que se consideren necesarios.

La política de actividades externalizadas, así como cualquier modificación, deberá ser remitida a la Superintendencia de Seguridad Social en un plazo no mayor a 5 días hábiles, contado desde el día siguiente a su aprobación.