La definición e implementación de un Plan de Continuidad Operacional deberá establecer su alcance basándose en la identificación de los principales factores que amenazan la continuidad operacional de la mutualidad, así como su impacto potencial a nivel del negocio, en caso de materializarse un evento que afecte la continuidad operativa. Además, es necesario considerar que la materialización de estos eventos, se puede producir mediante la concreción simultánea de distintos factores o amenazas, conformando de esta manera, escenarios de riesgos de continuidad operacional.

Asimismo, se deberán implementar y documentar metodologías para la realización de Análisis de Impacto al Riesgo (RIA) y Análisis de Impacto en el Negocio (BIA), con el objetivo de brindar un soporte adecuado para la construcción del Plan de Continuidad Operacional, estableciendo criterios de acción en relación al nivel de afectación que se presenta en la continuidad operativa, con base en la criticidad de sus riesgos relacionados con el cumplimiento de los objetivos estratégicos de la mutualidad, los que deberán considerar el adecuado cumplimiento con la administración y las prestaciones del Seguro de la Ley N°16.744, con foco en el beneficiario.

Se entenderá por Plan de Continuidad Operacional a todos los elementos y definiciones a nivel táctico y operacional implementados con el objetivo de asegurar la continuidad operativa de la mutualidad ante la ocurrencia de eventos que puedan crear una interrupción o inestabilidad en las operaciones de la entidad. En ese sentido, la mutualidad deberá implementar planes de continuidad operacional basándose en la realización de un análisis en relación a la identificación de riesgos y sus impactos a nivel del negocio. Lo anterior, permitirá la definición de estrategias de respuesta ante interrupción o inestabilidad en las operaciones con base en la definición de criterios de priorización, acorde a la criticidad de los riesgos y su impacto a nivel de la organización.

El diseño y definiciones de los cursos de acción de un plan, se deberá realizar mediante la definición de parámetros objetivos en relación a las operaciones de la mutualidad, tales como los acuerdos de niveles de servicio; el tiempo máximo tolerable de disrupción; el tiempo objetivo de recuperación, entre otros.

En este sentido cada plan deberá contener a lo menos, los siguientes elementos:

1. Definición del alcance del plan, indicando los procesos y escenarios de riesgo de continuidad considerados;
2. Identificación de escenarios y factores de riesgos (amenazas) de continuidad operacional;
3. Clasificación de eventos de riesgo de continuidad operacional de acuerdo a su criticidad;
4. Definición de una estructura organizacional, con roles y responsabilidades definidos para la coordinación de actividades ante la materialización de eventos de continuidad operacional. Se deberá considerar la implementación de un comité operativo para este efecto;
5. Plan comunicacional que asegure el adecuado flujo de información relevante, en relación a la continuidad operativa, las partes interesadas, dentro de las que se encuentra la Superintendencia de Seguridad Social, y
6. Descripción de las actividades de respuesta ante la materialización de eventos que afecten la continuidad operacional, así como de recuperación operativa.

Complementario a lo anterior, se deberán establecer mecanismos de control que aseguren la actualización de todos los elementos que componen el Sistema de Continuidad Operacional, poniendo especial énfasis en aquellos contenidos en los planes de continuidad que se relacionan con la designación y capacitación en la materia, de los actores claves en la ejecución de las actividades de respuesta ante interrupción o inestabilidad en las operaciones de la mutualidad.

Se considerará buena práctica que el Plan de Continuidad Operacional sea conocido y aprobado por el Comité de Riesgos.

Con el objetivo de asegurar que un Plan de Continuidad Operacional funcione de manera adecuada, las mutualidades deberán realizar de forma periódica, de acuerdo a la criticidad de su impacto en la operación de la mutualidad, pruebas sobre la efectividad de los planes de continuidad operacional. El resultado de dichas pruebas deberá quedar documentado, así como las posibles medidas correctivas y oportunidades de mejoras implementadas.

Asimismo, en caso de materializarse algún evento cuyo impacto sea significativo en el funcionamiento de los procesos de la mutualidad, desde el punto de vista de su continuidad operacional, se deberá realizar un análisis en relación a las acciones ejecutadas y la efectividad de éstas, una vez recuperada la capacidad operativa.

La mutualidad deberá establecer planes anuales de pruebas de efectividad a los planes de continuidad operacional, de acuerdo a la criticidad de sus procesos. Los resultados obtenidos de estas pruebas, así como los resultados de la activación del plan, producto de la materialización de escenarios reales de riesgo de continuidad operativa, deberán estar documentados, junto con los análisis y conclusiones respectivas, las que pueden originar acciones correctivas y oportunidades de mejora al plan.

Se considera buena práctica que, el Comité de Riesgos de la mutualidad tome conocimiento acerca de los resultados obtenidos de las pruebas realizadas, así como los resultados de la materialización de eventos de continuidad operacional, analizando el desempeño del Sistema de Continuidad Operacional, como una actividad relevante para la revisión del mismo, y con una periodicidad al menos anual.

La revisión periódica de los elementos que componen el Sistema de Continuidad Operacional posibilitará la viabilidad en el tiempo del mismo. Dado lo anterior, la mutualidad deberá realizar una revisión y actualización a su sistema con una periodicidad, a lo menos anual, con el objetivo de asegurar su conveniencia, adecuación, eficacia y eficiencia.

En este sentido la revisión del sistema deberá incluir al menos:

1. El estado de las acciones de revisiones anteriores;
2. Cambios en el entorno (factores externos e internos de la mutualidad) que sean relevantes para el Sistema de Gestión de Continuidad Operacional;
3. Información sobre la eficacia y eficiencia de la continuidad operativa, incluyendo los resultados, tanto de las pruebas realizadas, como de la ejecución de actividades ante la materialización de eventos de interrupción o inestabilidad operativa, además de los resultados de auditoría, y
4. Oportunidades para la mejora continua en relación al sistema de gestión.

En relación a la evaluación de la eficacia y eficiencia de la continuidad operativa de la mutualidad, se deberán considerar los siguientes tópicos:

1. Acciones de seguimiento de revisiones previas;
2. Necesidades de cambios en el Sistema de Gestión de Continuidad Operativa, incluyendo la política y los objetivos;
3. Identificación de oportunidades de mejora del sistema;
4. Resultados de las auditorías del Sistema de Gestión de Continuidad Operacional;
5. Las técnicas, productos o procedimientos que pueden ser utilizados en la mutualidad para mejorar el Sistema de Gestión de Continuidad Operativa;
6. Estado de acciones preventivas y correctivas comprometidas;
7. Resultados de las pruebas realizadas a los planes;
8. Riesgos o problemas que no se hayan abordado adecuadamente en cualquier evaluación de riesgo conocido;
9. Cualquier cambio que pueda afectar al Sistema de Gestión de Continuidad Operacional, ya sea interno o externo;
10. Lecciones aprendidas y acciones derivadas de incidentes ocurridos, y
11. Buenas prácticas emergentes y orientación en materia de continuidad operativa.

Como producto del proceso de revisión al Sistema de Gestión de Continuidad Operacional, se espera que emanen decisiones relacionadas a las oportunidades de mejora continua y la posible necesidad de cambios en dicho Sistema, dentro de los cuales se puede encontrar:

1. Variaciones en el alcance del Sistema de Gestión de Continuidad Operativa;
2. Mejora en la eficacia y eficiencia del Sistema de Gestión de Continuidad;
3. Actualización de la evaluación de riesgos, análisis de impacto de negocio, planes de continuidad de negocio y procedimientos relacionados, y
4. Modificación de todos los procedimientos y controles para responder a eventos internos o externos que puedan impactar en el Sistema de Gestión de Continuidad Operacional. Se deberán incluir los requisitos de negocio, la reducción de riesgos, las condiciones de funcionamiento, los requisitos legales, las obligaciones, los niveles de riesgo, las necesidades de recursos y las necesidades de financiamiento.

La mutualidad deberá documentar la información en un medio de almacenamiento de fácil acceso, preferentemente electrónico, como evidencia de los resultados de las revisiones realizadas.

Las mutualidades deberán remitir a la Superintendencia de Seguridad Social a través del Sistema de Gestión de Reportes e Información para la Supervisión (GRIS), de acuerdo con las instrucciones del Título II, del Libro IX, los siguientes documentos:

1. Política de continuidad operacional;
2. Plan anual de pruebas a los planes de continuidad operacional;
3. Informes de resultados de las pruebas realizadas, y
4. Resultados del funcionamiento de sus planes por materialización de eventos de continuidad operativa.

No obstante lo anterior, en caso de materializarse un evento de riesgo operacional que afecte la continuidad operacional, deberá incorporarse en el reporte establecido para la conformación de una base de eventos de riesgo operacional, de acuerdo a lo definido en el número 3. Generación de una base de eventos de riesgo operacional, del Capítulo V, Letra B, Título IV del Libro VII.

​