CMF publica nueva normativa sobre externalización de servicios en compañías de seguros y reaseguros

La NCG N°573 establece un marco específico para que las aseguradoras identifiquen, evalúen, monitoreen y controlen los riesgos asociados a la contratación de terceros, reforzando la responsabilidad de las compañías sobre los servicios que externalizan.

12 de agosto de 2026. La Comisión para el Mercado Financiero (CMF) dio un nuevo paso en el fortalecimiento de la gestión de riesgos del mercado asegurador con la publicación de la Norma de Carácter General N°573 (NCG N°573), que establece instrucciones específicas sobre la externalización de servicios por parte de las compañías de seguros y reaseguros.

La nueva regulación busca responder a una realidad cada vez más extendida en la industria: las aseguradoras recurren crecientemente a terceros para desarrollar actividades, funciones y procesos, desde servicios tecnológicos y procesamiento de información hasta funciones operativas especializadas.

La externalización puede generar importantes beneficios en términos de eficiencia, flexibilidad y acceso a tecnologías y capacidades especializadas. Sin embargo, también puede incrementar la exposición de las compañías a riesgos operacionales, tecnológicos, de ciberseguridad, continuidad de negocios, protección de datos, cumplimiento y reputación. El informe normativo elaborado por la CMF identifica precisamente estos riesgos como uno de los fundamentos para establecer un marco regulatorio específico.

Una norma que completa el marco de gestión de riesgos

La NCG N°573 se inserta en el modelo de Supervisión Basada en Riesgo que la CMF ha venido desarrollando para la industria aseguradora y complementa los principios establecidos en las normas sobre gobierno corporativo, sistemas de gestión de riesgos y riesgo operacional y ciberseguridad.

En particular, la nueva regulación se articula con la NCG N°309 sobre Gobierno Corporativo, la NCG N°325 sobre Sistemas de Gestión de Riesgos y la NCG N°454 sobre Gestión de Riesgo Operacional y Ciberseguridad.

De esta manera, la externalización deja de ser considerada únicamente como una decisión operacional o contractual y pasa a formar parte explícita del sistema integral de gestión de riesgos de las compañías.

El enfoque resulta especialmente relevante considerando que la NCG N°454 ya había reconocido que la externalización constituye una fuente potencial de riesgo operacional, particularmente en materias como continuidad operacional, ciberseguridad, protección de datos y calidad de los servicios.

Materialidad y criticidad serán elementos centrales

Uno de los principales elementos de la nueva regulación es la necesidad de que las compañías determinen la materialidad y criticidad de los servicios externalizados.

Esto supone que no todos los contratos con proveedores deberán ser tratados necesariamente de la misma manera. Las exigencias y controles deberán guardar relación con el impacto potencial que una interrupción, falla o deficiencia del servicio pueda tener sobre la compañía.

El proyecto regulatorio ya contemplaba la clasificación de las actividades externalizadas mediante criterios cuantitativos y cualitativos, de modo que los controles fueran proporcionales al nivel de riesgo.

Este enfoque proporcional constituye uno de los aspectos relevantes de la regulación, ya que permite considerar las diferencias de tamaño, complejidad y perfil de riesgo existentes entre las distintas compañías del mercado.

La responsabilidad no se externaliza

Uno de los principios fundamentales detrás de la NCG N°573 es que la contratación de un tercero no significa transferir la responsabilidad de la gestión del riesgo.

La compañía de seguros seguirá siendo responsable de asegurar que el servicio externalizado se encuentre adecuadamente gestionado, controlado y supervisado. La CMF ya había establecido este principio como parte de la propuesta normativa: la externalización no puede traducirse en una pérdida de control ni en un debilitamiento de los sistemas internos de gobierno, gestión de riesgos y cumplimiento.

Esto adquiere especial importancia cuando se externalizan funciones críticas o estratégicas, o cuando existe una alta dependencia tecnológica de determinados proveedores.

La regulación también busca evitar situaciones de concentración y dependencia, obligando a considerar factores como las barreras de salida, la propiedad de los datos, la jurisdicción donde se procesan y almacenan, y las alternativas disponibles para mantener la continuidad de las operaciones.

Nuevas exigencias para la relación con proveedores

La NCG N°573 establece lineamientos para los procesos de selección, contratación y monitoreo de proveedores, junto con requisitos mínimos que deberán ser considerados en los contratos de servicios externalizados.

Entre las materias que adquieren especial relevancia se encuentran:

• Evaluación previa de los riesgos y de la materialidad del servicio.

• Procesos de debida diligencia y selección de proveedores.

• Definición clara de responsabilidades y niveles de servicio.

• Mecanismos de supervisión y monitoreo.

• Derechos de auditoría y acceso a información.

• Condiciones para la terminación anticipada de los contratos.

• Gestión de subcontrataciones.

• Medidas de seguridad de la información y ciberseguridad.

• Continuidad operacional y planes de contingencia.

• Gestión de riesgos derivados de proveedores internacionales.

• Control de la dependencia y concentración de proveedores.

Estos elementos buscan que la relación contractual no sea solamente un acuerdo comercial, sino también una herramienta efectiva de gestión de riesgos.

Un punto especialmente relevante: el acceso de la CMF

Uno de los principios que la regulación refuerza es la necesidad de garantizar que la CMF pueda acceder a la información relacionada con los servicios externalizados.

La responsabilidad de asegurar este acceso corresponde a la compañía de seguros, incluso cuando existan restricciones o condiciones establecidas por el proveedor en el contrato.

Por ello, las aseguradoras deberán adoptar las medidas necesarias —incluidas cláusulas contractuales y mecanismos de supervisión— para garantizar que la externalización no limite las facultades de fiscalización del regulador.

El principio adquiere una dimensión adicional cuando los servicios son prestados desde el extranjero, especialmente en operaciones que involucran infraestructura tecnológica, procesamiento de datos o servicios en la nube.

Continuidad operacional y ciberseguridad

La regulación también profundiza la relación entre externalización y resiliencia operacional.

Los servicios externalizados que sean relevantes para la operación de una aseguradora deberán ser considerados dentro de los planes de continuidad del negocio. A su vez, la gestión deberá contemplar los riesgos asociados tanto al proveedor como a eventuales subcontratistas.

La ciberseguridad ocupa igualmente un lugar relevante, particularmente en aquellos servicios que manejan información sensible o que resultan críticos para la operación de la compañía.

Esto refleja una tendencia internacional: la supervisión financiera ha ido desplazándose desde una visión centrada exclusivamente en la relación entre la entidad regulada y sus sistemas internos hacia una mirada integral de toda su cadena de proveedores tecnológicos y operacionales.

Dos consultas públicas antes de la versión definitiva

La nueva norma es el resultado de un proceso regulatorio que incluyó dos períodos de consulta pública.

El primero se desarrolló entre julio y septiembre de 2025, mientras que el segundo se realizó entre enero y marzo de 2026. La CMF señala que los comentarios recibidos de la industria y la revisión de mejores prácticas internacionales fueron considerados para elaborar la versión definitiva.

De hecho, en enero de este año la Comisión había iniciado el segundo proceso de consulta mediante la Resolución Exenta N°1.245, precisamente respecto de la norma sobre externalización de servicios de compañías de seguros y reaseguros.

Según la CMF, este proceso permitió introducir ajustes destinados a entregar mayor precisión y proporcionalidad a las exigencias regulatorias.

Habrá un período de transición

Considerando el impacto que la nueva normativa tendrá sobre las relaciones contractuales existentes, la CMF incorporó una regla de transitoriedad para su entrada en vigencia.

El objetivo es permitir que las compañías puedan revisar y adecuar los contratos correspondientes a servicios externalizados antes de quedar plenamente sujetas a las nuevas exigencias.

Este aspecto será particularmente relevante para las aseguradoras que mantienen un número significativo de proveedores y contratos de largo plazo, ya que la implementación no se limitará a modificar políticas internas: en determinados casos será necesario revisar contratos, acuerdos de nivel de servicio, cláusulas de auditoría, subcontratación, seguridad de la información, continuidad y acceso a información.

Un cambio que trasciende al área de operaciones

La NCG N°573 probablemente tendrá efectos que irán mucho más allá de las áreas tradicionalmente responsables de administrar proveedores.

Su implementación involucrará, entre otras, a las áreas de riesgo, tecnología, ciberseguridad, operaciones, legal, cumplimiento, auditoría interna y alta administración, además de los directorios, dependiendo de la naturaleza y criticidad de los servicios externalizados.

El desafío será construir una visión integral del ecosistema de proveedores y determinar cuáles de ellos pueden generar una exposición relevante para la compañía.

En este sentido, el propio análisis de impacto regulatorio de la CMF anticipaba una mayor carga operativa inicial para las compañías, asociada a la revisión y adecuación de contratos, evaluaciones de materialidad, actualización de políticas, capacitación, herramientas de monitoreo y eventuales auditorías adicionales.

Hacia una mayor resiliencia del mercado asegurador

La externalización se ha convertido en un componente estructural del funcionamiento de las compañías de seguros. La utilización de proveedores especializados permite acceder a nuevas tecnologías, reducir costos y aumentar la flexibilidad operacional, pero también puede generar dependencias que, si no son adecuadamente gestionadas, pueden transformarse en fuentes importantes de riesgo.

Con la NCG N°573, la CMF busca establecer un estándar común para que esa externalización se realice bajo criterios de gobierno, proporcionalidad, trazabilidad, continuidad, seguridad y control.

La norma representa, en definitiva, un nuevo paso en la evolución del modelo de supervisión de la industria aseguradora chilena: las compañías pueden externalizar servicios, pero no pueden externalizar su responsabilidad sobre los riesgos que esa decisión genera.