Las Cajas deben complementar la información del Código de Buenas Prácticas y Conducta, indicado en la normativa de Gobiernos Corporativos, para establecer los lineamientos de integridad y valores éticos como elementos partícipes del ambiente de control interno, que sean adecuados entre todo su personal y organizaciones relacionadas, verificando periódicamente su difusión y conocimiento, definiendo líneas de acción claras en caso de transgresiones a los valores establecidos y a las conductas. Todo lo anterior, complementando el marco del Gobierno Corporativo en las Cajas de Compensación de Asignación Familiar.

Asimismo, se debe considerar la aplicación de sanciones ante conductas impropias que vulneren el Código mencionado anteriormente. Además, deben promoverse canales de comunicación formales para los trabajadores de la Caja como para el público en general que faciliten el reporte de actividades sospechosas o cuestionables, y aquellas acciones que vayan en contra de los lineamientos establecidos en el Sistema de Control Interno.

La estructura funcional que cada Caja adopte para la implementación del Sistema de Control Interno debe entregar información permanente a los diversos Comités de la misma, los que deben analizar los resultados del Sistema de Control Interno, en el ámbito de su competencia, e informar oportunamente al directorio sobre aquellos hallazgos relevantes referentes al control interno. El tratamiento de las materias de control interno en los Comités debe quedar reflejado en sus respectivas Políticas y documentación de respaldo.

Cada Caja debe implementar una estructura organizacional que asegure un marco formal de autoridad y responsabilidad dentro del cual se proyecten, ejecuten y controlen las actividades que permitan cumplir sus objetivos institucionales, estableciendo necesariamente una correcta segregación funcional, de supervisión, aprobación y contingencia, en el marco de un Sistema de Control Interno, complementando la gestión de procesos y la gestión de la continuidad operativa.

La Estructura Organizacional debe plasmarse en un documento, el que debe ser informado al directorio ante cambios relevantes en la organización, en donde, al menos, se señalen con claridad: la gerencia general, las gerencias y subgerencias, jefaturas y/o supervisores.

Además, la unidad encargada de la gestión de los recursos humanos debe tener un medio en donde se indique la individualización de sus trabajadores, sus cargos, respectivas unidades organizacionales, roles, funciones, procesos a cargo, dependencias jerárquicas y reemplazos en casos de contingencia. Este documento debe ser actualizado en cada cambio organizacional y debe estar disponible para fines administrativos y de gestión interna de la Caja, así como de los organismos reguladores.

Las Cajas deben desarrollar una Política de administración de Recursos Humanos que considere los niveles esperados de integridad, comportamiento ético, capacidades y conocimientos de los trabajadores. Además, deben elaborar un Manual de Administración de Recursos Humanos que considere al menos los siguientes ámbitos:

1. Competencia: la administración superior de la Caja debe especificar los niveles de competencia para los distintos cargos, precisando los requisitos de conocimiento y habilidades para poder desempeñarlos.

2. Definición de los perfiles de cargo: detallar la estructura organizacional y fijar las funciones de cada uno de los cargos de la organización.

3. Contratación: establecer un procedimiento de selección y reclutamiento que defina los requisitos adecuados de conocimientos, experiencia e integridad, previstos en los perfiles de cargos, en que se especifiquen suficientemente las obligaciones a que se encuentran sujetos los trabajadores en esta materia y la aplicación de sanciones frente a su inobservancia.

4. Inducción: esto es, presentaciones acerca de la historia, cultura y procedimientos de la empresa, contemplando además los niveles de integridad, comportamiento ético, capacidad y conocimientos que les son exigibles a los trabajadores que ingresan a la organización.

5. Toma de Conocimiento: aceptación y conocimiento de los Códigos, Políticas y Manuales que les sean aplicables a sus funciones.

6. Capacitación: procurar el desarrollo planes de capacitación periódicos, con el fin de mejorar el desempeño profesional, considerando aquellos lineamientos que permitan mejorar el desempeño laboral y personal de los trabajadores y trabajadoras.

7. Oportunidad: potenciar el desarrollo y el trato entre los trabajadores de manera equitativa y respetuosa, con igualdad de oportunidades en materia de género y evitando todo tipo de discriminación.

8. Evaluación: establecer la metodología de evaluación anual y reconocimientos del desempeño de los trabajadores.

9. Sanciones: definir las sanciones y medidas disciplinarias aplicables a los trabajadores.

La Gerencia General debe velar porque los incentivos que se establezcan sobre desempeño del personal de la Caja de Compensación no supongan conductas alejadas de los lineamientos éticos o prácticas que incidan en potenciales conflictos de interés.

Por lo anterior, en el caso de la alta administración, no se pueden vincular sus incentivos económicos a desempeños que no se encuentren establecidos en sus respectivos contratos de trabajo y que puedan generar malas prácticas o conflictos de interés. Además, dichos mecanismos de incentivos deben ser aprobados por acuerdo del directorio e informados a esta Superintendencia.

Las compensaciones, en otros estamentos organizacionales diferentes a la alta administración, pueden ser contempladas en Planes Anuales aprobados por el directorio.

El directorio de cada Caja de Compensación debe revisar anualmente los planes de incentivos de los funcionarios y garantizar que no ocurran las conductas y prácticas precedentemente aludidas.

Las Cajas deben desarrollar una filosofía de Administración de Riesgos, velando por identificar, medir, controlar, monitorear e informar los diversos tipos de riesgos a los que se ven expuestas en el desarrollo de sus actividades, tanto propias como aquellas que se encuentren en procesos externalizados. Es por ello que las Cajas de Compensación de Asignación Familiar deben promover una gestión basada en riesgos, que se transmita y divulgue en toda la organización, sus empresas relacionadas y proveedoras; generando una cultura de riesgo que se integre con el sistema de control interno apropiado a la naturaleza, tamaño y complejidad de las actividades que desarrolla.

Los controles implementados deben contemplar los aspectos de diseño y efectividad, estableciendo una metodología de evaluación de los mismos que permita determinar con claridad su acción mitigante por sobre los riesgos inherentes identificados.

La unidad de Auditoría Interna es la responsable de la revisión independiente de todos los procesos realizados por las Cajas de Compensación, evaluando la implementación de las políticas, el desarrollo y funcionamiento de los procedimientos y la efectividad ex post de los controles realizados. En el marco del Sistema de Control Interno, la Unidad de Auditoría debe:

1. Verificar la efectividad y cumplimiento de las políticas, los procesos y de aquellos controles internos implementados.

2. Asegurar razonablemente que los riesgos identificados sean evaluados y mitigados con la aplicación de controles, en donde se revise su diseño y efectividad y que estos resultados sean considerados en sus informes de auditoría.

3. Verificar que las acciones de mitigación y control definidas efectivamente se han implementado y que mitigan apropiadamente los riesgos dentro de niveles aceptables.

4. Reportar directamente al directorio y a los respectivos Comités las situaciones observadas.

Las políticas, procesos y controles desarrollados e implementados en el marco de Control Interno pueden ser revisados por Auditores Externos de manera independiente, según las normativas vigentes.

Las Cajas de Compensación se encuentran sometidas al control y fiscalización de la Superintendencia de Seguridad Social, de acuerdo con lo señalado en el artículo 23 de la Ley N°16.395, así como también de otros organismos reguladores. Por lo anterior, la relación existente entre la Caja de Compensación y sus organismos reguladores debe ser ajustada a los términos establecidos en el ordenamiento jurídico vigente, a las instrucciones impartidas, velando por la disponibilidad de la información que requieran los reguladores.

El Sistema de Control interno debe también verificar el cumplimiento, en tiempo y forma, respecto de la entrega de información requerida por los entes reguladores.

Se deben aplicar diversos tipos de controles a las actividades de los procesos, como, por ejemplo, los controles preventivos, concurrentes o de retroalimentación, contemplando en dichos controles la totalidad, integridad y el correcto registro de datos, que permitan verificar que los resultados de los procesos sean efectivos y eficientes.

Las tareas y responsabilidades esenciales relativas a la autorización, ejecución, registro, custodia y revisión de las transacciones y operaciones de la entidad deben ser asignadas velando que no se generen conflictos entre ejecución y control.

Las transacciones y operaciones que afectan a una entidad deben registrarse inmediatamente y ser debidamente clasificadas, así como sus controles y evaluaciones.

Los registros contables deben quedar respaldados con la documentación de soporte respectiva según los plazos establecidos en la legislación vigente. Esta documentación tiene que quedar adecuadamente disponible para permitir y facilitar las revisiones internas y externas, incluidas la revisión de esta Superintendencia. El acceso a estos respaldos no debe depender de la presencia o ausencia de las personas, ni de los servicios de custodia y almacenaje contratados para ello, incorporando los mismos a los Sistemas de Seguridad de la Información implementados.

Los actos y transacciones relevantes sólo pueden ser autorizados y ejecutados por trabajadores que actúen dentro del ámbito de su autoridad, establecida en su perfil de cargo y su perfil sistémico. La conformidad de las autorizaciones y poderes deben estar en línea con la dirección, misión, estrategia, planes, programas y presupuesto de cada Caja.

Las autorizaciones y poderes otorgados en cada Caja deben encontrarse documentados formalmente y ser comunicados explícitamente tanto al directorio como a las personas o sectores autorizados. Estos últimos deben ejecutar las tareas que se les han asignado, en apego a las directrices definidas y dentro del ámbito de competencias establecidas por la normativa existente.

Las Cajas deben proteger y limitar el acceso a los recursos, activos, registros y comprobantes. Las personas autorizadas para acceder a estos datos, deben tener accesos registrados y tener controles de acceso a la información en custodia además de registros de su utilización.

Todo activo de valor o de información debe ser asignado a un responsable por su custodia y es responsabilidad de la administración superior velar porque se cuente con adecuadas protecciones, mediante el uso de seguros, almacenaje, sistemas de alarma, claves de acceso, sistemas de respaldo, etc., en base al cumplimiento de la seguridad de la información, complementario a la Gestión del Riesgo Operacional.

Los activos deben estar debidamente registrados y periódicamente, sin previo aviso, se deben cotejar las existencias físicas con los registros contables para verificar su coincidencia. La frecuencia de la comparación debe ser definida por la alta administración, dependiendo del nivel de vulnerabilidad del activo.

Ningún trabajador debiera tener a su cargo, como única función, tareas críticas que presenten un alto potencial de llegar a cometer irregularidades, materialización de riesgos operacionales o que potencialmente presenten riesgos al sistema de control interno o continuidad operativa de la Caja de Compensación. Los trabajadores a cargo de dichas tareas deben tener respaldos en otros trabajadores. La administración superior de cada Caja debe velar por establecer medidas mitigadoras suficientes cuando lo anterior no pueda cumplirse.

La Gerencia General de la Caja debe controlar periódicamente el desempeño de las diversas áreas funcionales de la misma, por la vía de la revisión de la trazabilidad de indicadores de desempeño, de riesgo y de controles en los procesos. Se deben diferenciar claramente los indicadores de riesgo de los indicadores de gestión y esta información debe ser complementada con otros aspectos de evaluación. Los resultados de dichas revisiones deben ser informadas al directorio.

Asimismo, el directorio debe controlar el rendimiento, comparando la evolución de la entidad y su desempeño, incorporando el análisis de las desviaciones en los planes estratégicos, presupuestos, la comparación con el resultado de años anteriores y con el mercado.

Los controles a los sistemas de información y los sistemas de seguridad de la información deben estar referidos a los controles de los riesgos identificados en las actividades sistémicas, esto es, controles sobre las operaciones ejecutadas en los sistemas, en los centros de procesamientos de datos, de arquitectura de los sistemas, integridad de los datos, sobre la seguridad física y lógica de los datos, la ejecución y/o contratación y mantenimiento del hardware y software, perfiles de acceso, controles de acceso físico y lógico a instalaciones o sistemas y controles sobre desarrollo, mantenimiento e implementación y aseguramiento de la calidad de los sistemas informáticos y de aplicaciones.

Se encuentran dentro de esta categoría de controles los procesos de respaldo de datos y recuperación de caídas de los sistemas informáticos, contemplados en los respectivos planes de continuidad operativa. Esos controles deben ser aplicados a toda la tecnología crítica incluyendo, al menos, los sistemas principales, servidores, bases de datos, almacenamiento de datos, redes de comunicación, enlaces de datos y voz y computadores personales.

También deben considerarse controles de aplicación en los procesos que conllevan riesgos significativos, contribuyendo con ello al aseguramiento de la integridad y exactitud de tales procesos, prestando especial atención a las interfaces y relación entre sistemas y aplicaciones. Los controles de aplicación se deben extender también a las aplicaciones de usuarios finales relacionadas eventualmente a riesgos en los ámbitos de control interno.

Las Cajas deben mantener un sistema de gestión contable que refleje de forma clara y fehaciente su situación económica y financiera.

Para lo anterior, cada Caja debe incorporar a su Sistema de Control interno todos los procesos y operaciones realizadas por gestión contable, tesorería y sus unidades relacionadas, internas o externas.

Asimismo, dichas unidades deben implementar procedimientos y medidas de control para que la contabilidad se encuentre debidamente registrada y asegurar que se apliquen las respectivas medidas de conciliación de la información, realizar pruebas de calidad de datos y documentar aquellas partidas que así Io requieran.

Además, cada Caja debe disponer de un Manual de Cuentas actualizado y aprobado para cada una de las cuentas que conforman el sistema contable de la misma, en donde se detallen los conceptos por los cuales se efectúan abonos y cargos, a la vez que se indique el ítem del Formato Único de Presentación de Estados Financieros (F.U.P.E.F) donde se registran.

Las herramientas de control interno, esto es, los organigramas funcionales, la descripción de funciones, los manuales de operaciones, de procedimientos y sus controles, análisis de riesgos y evaluación de controles, deben estar documentados y disponibles para el personal encargado de las respectivas operaciones. Tal documentación, respectivamente aprobada y actualizada por sus respectivos dueños de procesos y la unidad encargada de la gestión de los procesos, debe estar también disponible para esta Superintendencia.

Los procesos a seguir en las rutinas administrativas deben estar descritos en documentos denominados Manuales de Procedimientos. Además, deben identificarse los cargos responsables de las decisiones y tareas asumidas en los procesos que se describan, incorporando también las actividades sistémicas, de control y de apoyo, tanto como las desarrolladas por la Caja de Compensación, como aquellas actividades externalizadas.

Los manuales deben ser coherentes con la normativa vigente, y con las estrategias y las políticas internas de la Caja, además de observar los principios de riesgos y de control interno, como la definición de los niveles jerárquicos, las responsabilidades de las personas que intervienen en las actividades y la segregación de funciones.

Dichos manuales deben ser codificados, dados a conocer y estar disponibles para todos los encargados de la ejecución de las actividades y procesos, y deben ser objeto de actualización permanente. Se debe además obtener confirmación de la recepción de éstos por parte de los destinatarios, incluidos los trabajadores que se van integrando a la Caja, en los procesos de inducción, según especialidad y procesos.

En la elaboración se deben contemplar, al menos, las siguientes líneas de negocio y/o procesos, considerando todas sus actividades componentes, ya sean éstos del tipo estratégico, relacionados a las líneas de negocios, o de apoyo:

• Subsidio Maternal.

• Asignación Familiar.

• Prestaciones Adicionales.

• Prestaciones Complementarias.

• Crédito Social de Consumo - Microempresario - Educacional e Hipotecario.

• Cuentas de ahorro metódico y voluntario.

• Subsidio de Cesantía.

• Subsidio de Incapacidad Laboral.

• Captación y mantención de afiliados.

• Operaciones y relación con empresas filiales.

• Operaciones y relación con empresas proveedoras de servicios.

• Otros servicios prestados por las Cajas, distintos a los anteriores.

Los manuales de procesos deben incluir las actividades de control insertas en sus actividades. Asimismo, deben ser objeto de una evaluación anual formal de su vigencia, por parte de los respectivos dueños de procesos con el fin de confirmar esto y que describan el proceso vigente.

La reevaluación periódica de los riesgos inherentes y residuales de estos procesos, con el fin de examinar la efectividad de los controles, debe ser realizada acorde a las normas impartidas por esta Superintendencia.