Source: http://docplayer.es/7618608-Normas-tecnicas-para-la-gestion-integral-de-los-riesgos-de-las-entidades-de-los-mercados-bursatiles-version-para-comentarios-10-03-2015.html
Timestamp: 2017-11-24 11:33:19
Document Index: 152449325

Matched Legal Cases: ['artículo 2', 'artículo 3', 'artículo 3', 'artículo 35', 'artículo 7', 'artículo 99', 'artículo 8', 'artículo 29', 'artículo 29', 'artículo 133', 'artículo 133', 'artículo 18']

NORMAS TÉCNICAS PARA LA GESTIÓN INTEGRAL DE LOS RIESGOS DE LAS ENTIDADES DE LOS MERCADOS BURSÁTILES Versión para comentarios - PDF
NORMAS TÉCNICAS PARA LA GESTIÓN INTEGRAL DE LOS RIESGOS DE LAS ENTIDADES DE LOS MERCADOS BURSÁTILES Versión para comentarios
Download "NORMAS TÉCNICAS PARA LA GESTIÓN INTEGRAL DE LOS RIESGOS DE LAS ENTIDADES DE LOS MERCADOS BURSÁTILES Versión para comentarios 10-03-2015"
Salvador Bustos Valenzuela
1 EL COMITÉ DE NORMAS DEL BANCO CENTRAL DE RESERVA DE EL SALVADOR, CONSIDERANDO: I. Que el artículo 2, inciso segundo de la Ley de Supervisión y Regulación del Sistema Financiero establece que el buen funcionamiento del Sistema de Supervisión y Regulación Financiera requiere por parte de los integrantes del sistema financiero y demás supervisados, el cumplimiento de las regulaciones vigentes y la adopción de los más altos estándares de conducta en el desarrollo de sus negocios, actos y operaciones, de conformidad a lo establecido en la referida Ley, en las demás leyes aplicables, reglamentos y normas técnicas que se dicten para tal efecto. II. III. IV. Que de conformidad al artículo 3 inciso primero y literal c) de la Ley de Supervisión y Regulación del Sistema Financiero le compete a la Superintendencia del Sistema Financiero: monitorear preventivamente los riesgos de los integrantes del sistema financiero y la forma en que éstos los gestionan, velando por el prudente mantenimiento de su solvencia y liquidez. Que de acuerdo al artículo 3, inciso primero y literal i) de la Ley de Supervisión y Regulación del Sistema Financiero, la Superintendencia del Sistema Financiero es responsable de supervisar la actividad individual y consolidada de los integrantes del sistema financiero y demás personas, operaciones o entidades que mandan las leyes y para tales efectos le compete requerir que las entidades e instituciones supervisadas sean gestionadas y controladas de acuerdo a las mejores prácticas internacionales referidas a la gestión de riesgos y de buen gobierno corporativo, según las normas técnicas que se emitan. Que el artículo 35 en su literal d) de la Ley de Supervisión y Regulación del Sistema Financiero, estipula que los directores, gerentes y demás funcionarios que ostenten cargos de dirección o de administración de los integrantes del sistema financiero, deben conducir sus negocios, actos y operaciones cumpliendo con los más altos estándares éticos de conducta, actuando con la diligencia debida de un buen comerciante en negocio propio, estando obligados a cumplir y a velar porque en la institución que dirigen o laboran se cumpla con la adopción y actualización de políticas y mecanismos para la gestión de riesgos, debiendo entre otras acciones, identificarlos, evaluarlos, mitigarlos y revelarlos acordes a las mejores prácticas internacionales. V. Que el artículo 7 literal f), q), s), t) de la Ley de Supervisión y Regulación del Sistema Financiero establece que están sujetos a supervisión de la Superintendencia: las bolsas de valores, las casas de corredores de bolsa, la sociedades en el depósito y custodia de valores, las clasificadoras de riesgo, las instituciones que presten servicios de carácter auxiliar al mercado bursátil, los agentes especializados en valuación de valores, los almacenes generales de depósitos, las titularizadoras y las bolsas de productos y servicios. Página 1 de 30
2 VI. Que de acuerdo a los estándares internacionales, resulta necesario disponer de un marco de gestión de riesgo sólido para gestionar de manera integral los riesgos de acuerdo al perfil, magnitud de actividades, negocios, recursos de la entidad y mejores prácticas, de forma que se propicie la implementación de medidas prudenciales para el funcionamiento transparente, eficiente y ordenado del mercado. POR TANTO, en virtud de las facultades normativas que le confiere el artículo 99 de la Ley de Supervisión y Regulación del Sistema Financiero, ACUERDA, emitir las siguientes: NORMAS TÉCNICAS PARA LA GESTIÓN INTEGRAL DE LOS RIESGOS DE LAS ENTIDADES CAPÍTULO I OBJETO, SUJETOS Y TÉRMINOS Objeto. Art. 1.- Las presentes Normas tienen como objeto establecer las disposiciones prudenciales de carácter general para fortalecer las prácticas de gobierno corporativo y la gestión integral de riesgos que deben observar los integrantes del sistema financiero que conforman tanto el mercado de valores como el mercado de productos y servicios de conformidad con las leyes aplicables y estándares internacionales en la materia, acorde con la naturaleza y escala de sus actividades. Sujetos Art. 2.- Las disposiciones establecidas en estas Normas son aplicables a las siguientes entidades integrantes del sistema financiero: a) Bolsas de Valores; b) Bolsas de productos y servicios; c) Casas de corredores de bolsa; d) Sociedades especializadas en el depósito y custodia de valores; e) Sociedades clasificadoras de riesgo; f) Agentes especializados en valuación de valores; g) Almacenes generales de depósito; h) Titularizadoras y los fondos que administra; e i) Gestoras de fondos de inversión y los fondos que administran. Términos Art. 3.- Para efectos de estas Normas, los términos que se indican a continuación tienen el significado siguiente: Página 2 de 30
3 a) Alta Gerencia: El Presidente Ejecutivo, Gerente General o quien haga sus veces y los ejecutivos que le reporten al mismo; b) Banco Central: Banco Central de Reserva de El Salvador; c) Casa: Casa de Corredores de Bolsa; d) Código de Gobierno Corporativo: Documento que debe contener de manera amplia la filosofía, prácticas y políticas que en materia de Buen Gobierno sean adoptadas para conducir la entidad, especialmente en lo concerniente a las funciones, responsabilidades de los accionistas, junta directiva, alta gerencia y demás instancias de control; así también deberá desarrollar el manejo de las relaciones con los entes o personas interesadas; e) Conglomerado financiero: Conjunto de sociedades caracterizado por el hecho que más de un cincuenta por ciento de sus respectivos capitales accionarios, es propiedad de una sociedad controladora, la cual es también miembro del conglomerado; f) Depositaria: Sociedad especializada en el depósito y custodia de valores; g) Director Externo: Es aquel que no es empleado ni ostenta cargo ejecutivo en la entidad; h) Entidad: Sujeto obligado al cumplimiento de las disposiciones de las presentes Normas; i) Gestora: Gestora de Fondos de Inversión; j) Grupo empresarial: Es aquel en que una sociedad o conjunto de sociedades tienen un controlador común, quien actuando directa o indirectamente participa con el cincuenta por ciento como mínimo en el capital accionario de cada una de ellas o que tienen accionistas en común que, directa o indirectamente, son titulares del cincuenta por ciento como mínimo del capital de otra sociedad, lo que permite presumir que la actuación económica y financiera está determinada por intereses comunes o subordinados al grupo; k) Junta Directiva: Órgano colegiado encargado de la administración de la entidad, con funciones de supervisión y control; l) Superintendencia: Superintendencia del Sistema Financiero; y m) Titularizadora: Sociedad Titularizadora. CAPÍTULO II ENTORNO PARA LA GESTIÓN INTEGRAL DE RIESGOS Gestión de riesgos Art. 4.- Las entidades deben establecer un sistema de gestión integral de riesgos, que deberá entenderse como un proceso estratégico realizado por toda la entidad, mediante el cual identifican, miden, controlan, monitorean y comunican los distintos tipos de riesgos a los que se encuentran expuestas. Dicha gestión deberá estar de acuerdo con su perfil de riesgo, volumen y complejidad de sus actividades, negocios, recursos de propios y de terceros, de forma que se propicie la implementación de medidas prudenciales acordes a las mejores prácticas para el funcionamiento transparente, eficiente y ordenado del mercado. Etapas del proceso de gestión integral de riesgo Art. 5.- Las entidades deberán contar con un proceso continuo y documentado para la gestión integral de sus riesgos, el cual deberá contener al menos las siguientes etapas: Página 3 de 30
4 a) Identificación: Es la etapa en la que se reconocen y se entienden los riesgos existentes en cada operación, producto, proceso y línea de negocio que desarrolla la entidad y de aquellos que se produzcan en las nuevas líneas de negocio. En esta etapa se identifican los factores de riesgos, que son variables y cuyos movimientos pueden generar cambios en el patrimonio de la entidad o en el de los fondos que ésta administra; b) Medición: Es la etapa en la que los riesgos deberán ser cuantificados con el objeto de determinar el cumplimiento o adecuación de las políticas, los límites fijados y medir el posible impacto económico en los resultados financieros de la entidad. Las metodologías y herramientas para medir el riesgo deben estar de conformidad con su estructura organizacional y volumen de sus operaciones, la naturaleza de sus operaciones y los niveles de riesgo asumidos; c) Control y mitigación: Es la etapa que busca asegurar que las políticas, límites y procedimientos establecidos para el tratamiento y mitigación de los riesgos son apropiadamente ejecutados; se refiere a las acciones o mecanismos de cobertura y control implementados por la entidad con la finalidad de prevenir o reducir los efectos negativos en caso de materializarse los eventos adversos del riesgo identificado y gestionado, debe establecerse un plan de acción para implementar medidas que busquen mitigar los eventos de riesgo identificados. Este plan debe detallar las acciones a implementar, el plazo estimado de ejecución y los responsables directos de dicha ejecución; y d) Monitoreo y comunicación: Es la etapa que da seguimiento sistemático y permanente a las exposiciones de riesgo, su evolución, tendencia y los resultados de las acciones adoptadas. Estos sistemas deberán asegurar una revisión periódica y objetiva de las posiciones de riesgos y la generación de información suficiente para apoyar los procesos de toma de decisiones. Estructura organizacional interna Art. 6.- Las entidades deberán establecer una estructura organizacional o funcional, adecuada a su modelo de negocio y apropiadamente segregada, que delimite claramente sus funciones y responsabilidades, así como los niveles jerárquicos, niveles de dependencia e interrelación que les corresponden a cada una de las áreas de soporte operativo, negocios y control, que participan en el proceso de gestión de los riesgos a los que se encuentran expuestas. Funciones de la Junta Directiva Art. 7.- La Junta Directiva deberá velar por la adecuada vigilancia, control interno y gestión de riesgos, por las decisiones estratégicas de la entidad, el buen gobierno corporativo, teniendo entre sus funciones, como mínimas las siguientes: a) Aprobar y vigilar el cumplimiento del plan estratégico de la entidad y el presupuesto anual; b) Aprobar y velar por que se difunda el Código de Gobierno Corporativo, el cual debe cumplir con lo establecido en el artículo 8 de las presentes Normas; Página 4 de 30
5 c) Adoptar y actualizar políticas sobre estándares éticos de conducta las cuales deberán contener como mínimo lo relativo a la confidencialidad, reserva y la utilización de información privilegiada, la manipulación del mercado, la divulgación de información, la administración de conflictos de interés, manejo de relaciones con terceros y las responsabilidades en su cumplimiento, pudiendo reunir la temática anterior en un Código de Ética o de Conducta; d) Aprobar las siguientes políticas: i. Las políticas de gestión y control de conflictos de interés y operaciones vinculadas; ii. Las políticas para el desarrollo de procedimientos y sistemas de control interno; y iii. Las políticas de retribución y evaluación del desempeño. En caso de existir retribución variable debe considerar se otorgue con base a resultados de gestión de mediano y largo plazo. e) Velar porque la entidad actúe conforme a las leyes y reglamentos aplicables, debiendo cumplir de buena fe sus obligaciones y tomar decisiones con juicio independiente, observando aquellos principios adicionales de responsabilidad social que hubiese previamente aceptado. Especialmente deberá velar por proteger los derechos e intereses de los clientes, proteger los derechos e intereses de los accionistas y establecer mecanismos para su trato equitativo, desarrollar una política de comunicación e información con los accionistas y clientes en general y desempeñar sus funciones anteponiendo el interés de la entidad y con independencia de criterio; f) Conocer y comprender todos los riesgos inherentes a los negocios que desarrolla la entidad, su evolución y sus efectos en los niveles patrimoniales, así como las metodologías para la gestión de riesgos; g) Aprobar las políticas y manuales para la gestión de los riesgos asumidos por la entidad, asegurándose que los mismos sean implementados efectivamente; h) Aprobar la estructura organizacional o funcional interna, con sus respectivos manuales de organización y segregación de funciones, asignando los recursos necesarios para implementar y mantener una adecuada gestión de riesgos, en forma efectiva y eficiente, incluyendo programas de capacitación, así como velar por la independencia entre la unidad o área responsable de la gestión de riesgos y las áreas de negocios de la entidad; i) Crear el Comité de Riesgos, conforme a las disposiciones de estas Normas, aprobando la designación y remoción de sus miembros, cuando aplique, asegurando su carácter de independencia; j) Aprobar los límites de exposición de cada riesgo en particular de acuerdo al perfil de la entidad, así mismo deberá establecer los controles respectivos a excepciones y desviaciones a dichos límites, aprobando las excepciones en caso de sobrepasar o exceder dichos límites o cualquier desviación de las políticas, así como los planes de contingencia a adoptar respecto de escenarios extremos; k) Aprobar la incursión de la entidad en nuevos productos, operaciones y actividades, de acuerdo con las estrategias del negocio y las políticas para la gestión de riesgos; Página 5 de 30
6 l) Aprobar el plan de continuidad del negocio y el sistema de seguridad de la información, de acuerdo a lo establecido en artículo 29 de las presentes Normas; m) Velar por la integridad y actualización de los sistemas contables y de información financiera; n) Velar porque la Auditoría Interna verifique la existencia y cumplimiento del esquema de la gestión integral de riesgos de la entidad; y o) Velar por que la auditoría externa cumpla con los parámetros establecidos por ley en cuanto a independencia. Las políticas y manuales para la gestión de riesgo aprobadas por la Junta Directiva deberán ser remitidas a la Superintendencia para su conocimiento, en los primeros diez días hábiles después de su aprobación o su respectiva modificación. La Junta Directiva deberá reunirse con la frecuencia necesaria para desempeñar de forma eficaz sus funciones, la cual deberá ser al menos trimestralmente. Las reuniones podrán realizarse también por videoconferencias; no obstante, los acuerdos y resoluciones que sean tomadas deberán documentarse de acuerdo a lo señalado en el Código de Comercio. Código de Gobierno Corporativo Art. 8.- El Código de Gobierno Corporativo deberá describir de manera amplia la conformación de la Junta Directiva, su funcionamiento de conformidad a lo regulado en las leyes aplicables y lo establecido en el Pacto Social o sus Estatutos. También debe detallar los principios y lineamientos generales mínimos para la adopción e implementación de las prácticas de gobierno corporativo contenidos en estas Normas, así como las que de forma voluntaria cada entidad decida incluir y los mecanismos para verificar que se cumplan. Funciones de la Alta Gerencia Art. 9.- La Alta Gerencia es la responsable de la implementación de la gestión por cada riesgo particular que le sea aplicable a la entidad, y dará cuenta a la Junta Directiva, debiendo adoptar como mínimo las medidas siguientes: a) Desarrollar sus funciones de acuerdo con los lineamientos estratégicos y las buenas prácticas de gobierno corporativo aprobadas por la Junta Directiva; b) Implementar las políticas y manuales para la gestión de riesgos autorizados por la Junta Directiva, así como los respectivos planes de continuidad del negocio y el sistema de gestión de seguridad de la información de conformidad a lo establecido en el artículo 29 de las presentes Normas; c) Conformar la Unidad de Riesgos, asegurando su carácter de independencia de las áreas de negocio y operativas, así como dotarle de los recursos humanos, materiales y capacitación técnica adecuada; d) Establecer procedimientos que aseguren un adecuado flujo, calidad y oportunidad de la información, entre las unidades de negocio y la Unidad de Riesgos o quién haga sus veces, a fin de que ésta última desarrolle apropiadamente su función; Página 6 de 30
7 e) Asegurar el establecimiento de adecuados mecanismos de divulgación de la cultura de gestión integral de riesgos, en todos los niveles de la estructura organizacional; f) Mantener un seguimiento permanente del cumplimiento de las funciones de la Unidad de Riesgos o quién haga sus veces y de sus funcionarios, así como informar a la Junta Directiva; g) Establecer las condiciones necesarias a nivel de toda la organización para propiciar un ambiente adecuado que procure el desarrollo del proceso de la gestión integral de riesgos; y h) Establecer y velar por la ejecución de programas de capacitación y actualización para la gestión de riesgo de la entidad. CAPÍTULO III DE LOS COMITÉS DE JUNTA DIRECTIVA Establecimiento de Comités Art Para el adecuado ejercicio de la función de supervisión y control, la Junta Directiva podrá constituir los Comités de Junta Directiva o de Apoyo que estime convenientes, debiendo establecer la forma de integrarlos, sus funciones y atribuciones incorporándolos en el Código de Gobierno Corporativo. No obstante lo anterior, para el buen funcionamiento del control interno de la entidad y gestión de riesgos se deberá constituir un Comité de Auditoría y otro de Riesgos cuyas competencias y atribuciones se determinarán en el Código de Gobierno Corporativo. De las sesiones que celebren los Comités se levantará acta y estará a disposición de los miembros de la Junta Directiva. Las actas deberán ser redactadas en forma clara y detallada para comprender los fundamentos de los acuerdos tomados y de los temas conocidos. Comité de Riesgos Art Las entidades deberán contar con un Comité de Riesgos, responsable del seguimiento de la gestión integral de riesgos. Este Comité deberá tener autoridad sobre las áreas operativas para apoyar las labores realizadas por la Unidad de Riesgos o el encargado de ejercer la función de riesgos y será el enlace entre ésta última y la Junta Directiva. El Comité de Riesgos deberá estar integrado, como mínimo por: a) Un miembro de la Junta Directiva de la entidad, quién presidirá el comité en todas las sesiones; b) El Gerente General de la entidad o un funcionario gerencial, a quién éste designe, sin que esto lo exima de su responsabilidad; y c) El encargado de la Unidad de Riegos. Página 7 de 30
8 Cuando el volumen de las operaciones o la estructura organizativa de la entidad no permita la creación de este Comité, las funciones correspondientes podrán ser desarrolladas por la Junta Directiva de la entidad o por un Comité de Riesgos corporativo, conforme al artículo 133 de Ley de Bancos, siempre que cumpla con lo dispuesto en estas Normas y se garantice la objetividad, el adecuado manejo de conflictos de interés, independencia de criterio, confidencialidad y acceso a la información. En estos casos la entidad será responsable de contar con las actas, informes y documentación de respaldo de los temas revisados y la Junta Directiva de la entidad mantendrá la responsabilidad sobre la ejecución de las funciones definidas en estas Normas. Funciones del Comité de Riesgos Art Las funciones del Comité de Riesgos comprenderán, como mínimo las actividades siguientes: a) Velar por que la entidad cuente con la adecuada estructura organizacional, políticas, manuales y recursos para la gestión integral de riesgos; b) Proponer para aprobación de la Junta Directiva, al menos lo siguiente: i. Las políticas y manuales para la gestión integral de riesgos, así como las eventuales modificaciones que se realicen a los mismos; ii. Los límites de exposición a los distintos tipos de riesgos identificados por la entidad; iii. Los mecanismos para la implementación de acciones correctivas, así como los iv. planes de contingencia a adoptar; y Los casos o circunstancias especiales en los cuales se puedan exceder los límites de exposición así como los controles especiales sobre dichas circunstancia; c) Validar: i. La metodología para identificar, medir, controlar, mitigar, monitorear y comunicar los distintos tipos de riesgos a que se encuentra expuesta la entidad, así como sus eventuales modificaciones, asegurándose que la misma considere los riesgos críticos de las actividades que realiza la entidad; y ii. Las acciones correctivas propuestas por la Unidad de Riesgos en el caso que exista desviación con respecto a los niveles o límites de exposición asumidos; d) Informar a la Junta Directiva sobre los riesgos asumidos por la entidad, su evolución, sus efectos en los niveles patrimoniales y las necesidades adicionales de mitigación; e) Asegurar e informar a la Junta Directiva la correcta ejecución de las políticas aprobadas vigilando que la realización de las operaciones de la entidad se ajuste a las políticas y procedimientos definidos para la gestión de riesgos; f) Requerir y dar seguimiento a los planes correctivos para normalizar incumplimientos a los límites de exposición o deficiencias reportadas; y g) Informar a la Junta Directiva sobre el resultado de los Informes elaborados por la Unidad de Riesgos. El Comité de Riesgos revisará al menos una vez al año, lo señalado en los literales a), b) y c) de este artículo. Página 8 de 30
9 Reuniones y acuerdos del Comité de Riesgos Art El Comité de Riesgos se debe reunir periódicamente, como mínimo mensualmente. Los responsables de las distintas áreas involucradas en las operaciones que generan riesgos, pueden participar en las sesiones, con derecho a voz pero sin derecho a voto. Unidad de Riesgos Art La Junta Directiva de la entidad, para facilitar la evaluación de la gestión integral de riesgos, deberá crear una Unidad de Riesgos especializada que cuente con los recursos suficientes para desempeñar su función conforme al tamaño, estructura y perfil de riesgo de la entidad; en todo caso, deberá asegurarse que exista independencia de ésta con las áreas de negocio y operativas, a fin de evitar conflictos de interés y asegurar una adecuada separación de funciones y responsabilidades. El objeto de dicha Unidad, debe ser identificar, medir, controlar, monitorear y comunicar los riesgos que enfrenta la entidad en el desarrollo de sus operaciones, ya sea que éstos afecten activos y pasivos dentro o fuera del balance, incluyendo, en su caso, los riesgos asociados de las operaciones que realice con las sociedades miembros del conglomerado financiero o grupo empresarial. El encargado de la Unidad de Riesgos debe poseer un perfil acorde a las funciones a desempeñar, para esto, la entidad deberá considerar su formación académica, experiencia, capacitación en mercados bursátiles y gestión de riesgos. Unidad de Riesgos Corporativo Art. 15.-Las funciones de la Unidad de Riesgos podrán ser desempeñadas por otra unidad del mismo tipo que forme parte de alguna entidad integrante del conglomerado financiero, de conformidad al artículo 133 de Ley de Bancos, siempre que cumpla con las disposiciones establecidas en estas Normas y se garantice la adecuada gestión de riesgos de cada una de las entidades que tenga a su cargo la respectiva Unidad, la objetividad, el adecuado manejo de conflictos de interés, independencia de criterio, confidencialidad y acceso a la información. En caso que las funciones las realice una Unidad de Riesgos corporativa ésta deberá elaborar un juego de dos originales y la Junta Directiva de la entidad sujeta a estas Normas deberá contar con un original y los documentos de respaldo que la Unidad de Riesgos corporativa utilizó para realizar la identificación, medición, control, monitoreo y comunicación de los riesgos asociados a la entidad sujeta a estas Normas. Adicional al análisis global de gestión de riesgos que la Unidad de Riesgos corporativa pueda realizar, dicha Unidad deberá pronunciarse de forma explícita sobre el análisis de la gestión de riesgos de la entidad sujeta a las presentes Normas. En estos casos, la Junta Directiva de la entidad mantendrá la responsabilidad sobre la ejecución de las funciones definidas en las presentes Normas. Funciones y responsabilidades de la Unidad de Riesgos Art La Unidad de Riesgos deberá cumplir al menos con las funciones siguientes: Página 9 de 30
10 a) Identificar, medir, controlar, monitorear y comunicar los riesgos en que incurre la entidad dentro de sus diversas unidades de negocio, de conformidad a las políticas y metodologías aprobadas; b) Diseñar y proponer al Comité de Riesgos las estrategias, políticas, procedimientos y manuales necesarios para la gestión integral y específica de los riesgos identificados, así como sus modificaciones para su respectiva aprobación; c) Proponer para su aprobación las metodologías, modelos y parámetros para la gestión de los distintos tipos de riesgos a que se encuentra expuesta la entidad; d) Informar periódicamente al Comité de Riesgos sobre la evolución de los principales riesgos asumidos por la entidad, incluyendo detalle de cambios en los factores de riesgos aplicables a la entidad y la evolución histórica de los riesgos asumidos por la entidad; e) Opinar sobre los posibles riesgos que conlleve el establecimiento de nuevos productos, operaciones y actividades así como cambios importantes en el entorno de negocios de la entidad; f) Dar seguimiento al cumplimiento de los límites de exposiciones al riesgo, sus niveles de tolerancia por tipo de riesgo cuantificables y proponer mecanismos de mitigación a las exposiciones e informar al Comité de Riesgos; g) Dar seguimiento periódico a las acciones correctivas presentadas por las unidades para la mejora en la gestión de riesgos, los cuales deberá hacer del conocimiento del Comité de Riesgos y de la Alta Gerencia; y h) Elaborar y proponer al Comité de Riesgos planes de contingencia y continuidad del negocio y la realización de pruebas de tensión para gestionar los riesgos en forma particular en situaciones adversas, incluyendo escenarios de estrés donde las condiciones se deterioren. Comité de Auditoria Art Las entidades deberán conformar un Comité de Auditoría, el cual estará compuesto por el Auditor interno y al menos dos directores externos de la Junta Directiva. Los miembros del Comité deberán contar con experiencia en auditoría o finanzas. El Comité de Auditoría sesionará como mínimo una vez al mes y tendrá las siguientes responsabilidades: a) Velar por el cumplimiento de los acuerdos de la Junta General de Accionistas o su equivalente según el sujeto del que se trate, de la Junta Directiva y de las disposiciones de la Superintendencia y del Banco Central; b) Dar seguimiento a las observaciones que se formulen en los informes del auditor interno, del auditor externo, de la Superintendencia y de alguna otra institución fiscalizadora, para corregirlas o para contribuir a su desvanecimiento, lo cual deberá ser informado oportunamente a la Superintendencia; c) Colaborar en el diseño y aplicación del control interno proponiendo las medidas correctivas pertinentes; d) Supervisar el cumplimiento del contrato de auditoría externa y monitorear el proceso de respuesta a las observaciones incluidas por el Auditor Externo en su Carta de Gerencia; Página 10 de 30
11 e) Evaluar la calidad de la labor de Auditoría Interna, así como el cumplimiento de su programa de trabajo; f) Proponer a la Junta Directiva el nombramiento de los auditores externos y del auditor fiscal. En la contratación de los auditores externos, deberá considerarse su independencia respecto de otros servicios profesionales proporcionados, tales como consultorías, con el objeto de garantizar la imparcialidad de su juicio; g) Conocer y evaluar los procesos relacionados con información financiera y los sistemas de control interno de la entidad; y h) Cerciorarse que los estados financieros intermedios y de cierre de ejercicio sean elaborados cumpliendo los lineamientos normativos. Programas de capacitación Art Debido a que la gestión integral de riesgos es un proceso dinámico, la Alta Gerencia deberá garantizar que los empleados y ejecutivos involucrados directamente en la gestión de riesgos sean capacitados continuamente en dichos temas, desarrollando para ello un plan de capacitación. Asimismo, dado que esta gestión involucra a toda la organización, se deberá establecer un programa de divulgación continua que genere una cultura organizacional del riesgo en todos los empleados y niveles de la organización. CAPÍTULO IV MARCO DE GESTIÓN DE RIESGOS Políticas para la gestión de riesgos Art Las entidades deberán desarrollar políticas para definir el marco de gestión de los distintos tipos de riesgo a los que se encuentran expuestas, que les permitan reducir su vulnerabilidad y pérdidas por dichos riesgos e impulsar a nivel de toda la organización la cultura de prevención y control de riesgos, asegurando el cumplimiento de las normas internas y externas relacionadas al mismo. Las políticas de gestión de riesgos deben considerar, entre otros aspectos, la matriz de riesgos de la entidad, la categorización de eventos de pérdida, las funciones y responsabilidades en la gestión de riesgos, criterios, sistemas de información así como mecanismos de identificación, medición, control y mitigación de los riesgos que presente la entidad. Las políticas y procedimientos de la entidad deberán ser consistentes con su estructura, naturaleza, tamaño, complejidad de sus actividades, operaciones, líneas de negocio, tipo de clientes que atiende y con los deberes aplicables a su actividad. Estas políticas y procedimientos también deberán estar conforme a las operaciones autorizadas según su objeto y régimen legal aplicable. Manual de gestión de riesgo Art Las entidades deben contar con un manual de gestión de riesgos que con base a las políticas agrupe para la gestión de cada riesgo: los procesos asociados, las funciones y responsabilidades de las áreas involucradas, señalando la segregación de funciones de los puestos claves susceptibles de riesgo, la metodología detallando variables, criterios, herramientas utilizadas, Página 11 de 30
12 y la periodicidad con la que se debe informar a la Junta Directiva y a la Alta Gerencia sobre la exposición a cada uno de los tipos de riesgos. El manual para la gestión integral de riesgos deberá ser un documento técnico que contenga, además de los aspectos señalados en el párrafo anterior, como mínimo lo siguiente: los diagramas de flujo de información, matriz de riesgos, modelos, metodologías y cálculos para la valuación de los distintos tipos de riesgo, pruebas de tensión, así como los requerimientos de los sistemas de procesamiento de información y análisis de riesgos. Para el caso de entidades que administran fondos de terceros o de titularización, el referido manual deberá incluir la gestión de los riesgos asociados a dichos fondos. CAPÍTULO V GESTIÓN POR TIPO DE RIESGO Tipos de riesgo Art Para los efectos de las presentes Normas, las entidades deberán gestionar los riesgos que asuman de acuerdo a su estructura, tamaño, negocio y recursos, así como los asumidos por los fondos que administren y recursos de terceros. Considerando al menos los riesgos de crédito, contraparte, custodia, liquidez, mercado, operacional y reputacional. En el caso de las Clasificadoras de riesgo, deberán gestionar lo que corresponde al riesgo operacional y riesgo reputacional. Riesgo de crédito Art Se entenderá por riesgo de crédito la posibilidad de pérdida debido al incumplimiento de las obligaciones contractuales asumidas por el emisor de un título o bien porque la calificación crediticia del título, o en su defecto del emisor, se ha deteriorado. La gestión de este riesgo requiere que se considere como mínimo lo siguiente: a) Identificar los factores o variables cuyos movimientos, puedan originar un incremento en el riesgo de crédito; b) Establecer de acuerdo a un análisis previo, los límites o umbrales de concentración de crédito, a cargo de un emisor o grupo de emisores que deban considerarse como una sola fuente de riesgo por sus vínculos patrimoniales o de responsabilidad; c) Disponer de mecanismos para monitorear los factores de riesgo identificados, debiendo realizar un análisis de concentración de su cartera de inversión así como estimaciones de las tendencias que presentan, considerando para ello: exposiciones individuales frente a un mismo emisor, emisores vinculados y grupos relacionados, emisores en un mismo sector económico o región geográfica; d) Vigilar y controlar la naturaleza, características, diversificación, correlación y calidad de la exposición al riesgo, considerando el tipo de inversión o instrumento relacionado con las operaciones; Página 12 de 30
13 e) Analizar el valor de recuperación, así como los mecanismos de mitigación y estimar la pérdida esperada en la operación; y f) Establecer medidas para mitigar la exposición a este riesgo. Riesgo de contraparte Art Se entenderá por riesgo de contraparte la posibilidad de pérdida que se puede producir debido al incumplimiento de las obligaciones contractuales asumidas por una parte para la liquidación de una operación debido a situaciones de iliquidez, insolvencia, capacidad operativa o actuaciones indebidas. La gestión de este riesgo requiere que se considere como mínimo lo siguiente: a) Identificar y evaluar los factores de riesgo que pueden originar un incremento en el riesgo de contraparte asumido por la entidad; b) Establecer de acuerdo a un análisis previo, los límites o umbrales de concentración a cargo de una o un grupo de contrapartes, que deban considerarse como una sola fuente de riesgo por sus vínculos patrimoniales o de responsabilidad; c) Analizar los medios de pagos; d) Analizar las garantías asociadas a las operaciones que realicen con contrapartes, limitando los activos calificados como aceptables conforme a sus políticas y perfil de riesgo de la entidad; e) Contar con un sistema de garantías operativamente flexible con el objetivo de incorporar los cambios en la gestión y al seguimiento continuo de las garantías; f) Establecer métodos prudentes de valoración de garantías tomando en consideración las condiciones existentes en el mercado; y g) Establecer las demás medidas para mitigar la exposición a este riesgo. Riesgo de Custodia Art Se entenderá por riesgo de custodia a la posibilidad de pérdida que afecte a los valores mantenidos en custodia debido a la insolvencia, la negligencia, el fraude, la administración deficiente o el mantenimiento inadecuado de los registros de un custodio (o un subcustodio). La gestión de este riesgo requiere que se considere como mínimo lo siguiente: a) Identificar y evaluar los factores de riesgos; b) Establecer las medidas necesarias que permitan salvaguardar los activos y minimizar el riesgo de pérdida; c) Establecer medidas que permitan que la entidad tenga capacidad para que la entidad pueda salvaguardar los activos propios o de terceros; d) En el caso de las Depositarias, éstas deberán contar con: i. Reglas y procedimientos para salvaguardar la integridad de las emisiones de valores y los de titulares de valores, para evitar la creación o eliminación no autorizada de valores; ii. Procedimientos de salvaguarda y controles internos que protejan íntegramente los activos. e) Establecer las demás medidas para mitigar la exposición a este riesgo. Página 13 de 30
14 Riesgo de liquidez Art Se entenderá por riesgo de liquidez a la posibilidad de incurrir en pérdidas por no disponer de los recursos suficientes para cumplir con las obligaciones asumidas, incurrir en costos excesivos y no poder desarrollar el negocio en las condiciones previstas. La gestión de este riesgo requiere que se considere como mínimo lo siguiente: a) Identificar y evaluar los factores de riesgo; b) Establecer los niveles mínimos de liquidez en función a los objetivos y estrategia del negocio, volumen de sus operaciones, naturaleza, tamaño y perfil del riesgo asumido; c) Realización de pruebas de tensión bajo un escenario de tensión propio basado en las operaciones que realizan de conformidad a los supuestos o premisas que en lo particular se establezcan de acuerdo a la naturaleza, complejidad, vulnerabilidad y volumen de las operaciones realizadas por la entidad; d) Elaborar planes de contingencia que incorporen las acciones a seguir en caso de presentarse requerimientos inesperados de liquidez, dicho plan deberá contar con roles y responsabilidades de la áreas involucradas, eventos y liquidadores que activan el plan; e) Velar por que los niveles de liquidez establecidos sean suficientes en relación a las obligaciones asumidas; f) Establecer lineamientos específicos de obtención y diversificación de las fuentes de fondeo; g) Evaluar el grado de dependencia de las fuentes de fondeo, por naturaleza, tipo de instrumento, mercado, entre otros; h) Establecer metodologías que cuantifiquen el riesgo de liquidez, la cual debe guardar relación con el nivel y el perfil de riesgo, tamaño, naturaleza, complejidad y demás características propias de la entidad, así como sus indicadores de liquidez; i) Establecer indicadores de alerta temprana que permitan identificar la exposición al riesgo de liquidez; j) Establecer estrategias para administrar una eventual falta de liquidez a nivel de la entidad o sistemática; k) Establecer un nivel activos líquidos de alta calidad y libre de cualquier gravamen, para ser utilizado frente a una serie de tensiones de liquidez; y l) Establecer las medidas para mitigar la exposición a este riesgo. Riesgo de mercado Art Se entenderá por riesgo de mercado a la posibilidad de pérdida, producto de movimientos en los precios de mercado que generan un deterioro de valor en las posiciones de la entidad o los fondos que administra. La gestión de este riesgo requiere que se considere como mínimo lo siguiente: a) Identificar los factores de riesgo; b) Contar con un análisis de mercado que permita monitorear los factores de riesgo identificados; c) Evaluar las posiciones sujetas a riesgo de mercado, utilizando para tal efectos modelos, herramientas y límites que permitan medir la pérdida potencial en dichas posiciones asociadas a movimientos de precio, tasas de interés o tipos de cambios; Página 14 de 30
15 d) Evaluar la concentración, volatilidad y correlación de sus posiciones sujetas a riesgo de mercado; e) Llevar a cabo un análisis de sensibilidad especialmente en situaciones extremas y simulación de escenarios; f) Evaluar el impacto del riesgo de tasa de interés ante los servicios prestados por la entidad y el lanzamiento de nuevos productos; g) Establecer una metodología a utilizar para la valoración de los instrumentos financieros clasificados para negociación, definiendo en su caso las respectivas fuentes de precio; h) Monitorear los movimientos en las tasas de interés y moneda extranjera de las posiciones activas y pasivas, cuando sea el caso; i) Establecer medidas para mitigar el riesgo por tipo de cambio; y j) Establecer las demás medidas para mitigar la exposición a este riesgo. Riesgo operacional Art Se entenderá por riesgo operacional la posibilidad de incurrir en pérdidas debido a fallas en los procesos, de las personas, en los sistemas de información y a causa de acontecimientos externos; el riesgo operacional incluye la gestión de la seguridad de la información, la continuidad del negocio y el riesgo legal. La gestión de este riesgo requiere que se considere como mínimo lo siguiente: a) Identificar todos los eventos de riesgo operacional agrupándolos de acuerdo al Anexo No. 1 de las presentes Normas, de tal forma que le permitan establecer su mapa de riesgo operacional; b) En caso de las bolsas de valores, bolsas de productos y servicios, casas, depositarias, almacenes generales de depósito y gestoras de fondos de inversión, la identificación de los eventos pueden agruparse, adicionalmente, de acuerdo a las líneas de negocio que la entidad mantiene, tal como se amplía en el Anexo No. 2 de las presentes Normas. c) Documentar los procesos que describen las funciones de cada unidad organizacional; d) Establecer los niveles de tolerancia para cada tipo de riesgo identificado, definiendo sus causas, orígenes o factores de riesgo; e) Analizar y ordenar por prioridad los riesgos identificados, clasificándolos de acuerdo a impacto y probabilidad sobre los objetivos institucionales; f) Analizar la exposición a pérdidas potenciales debido a las diversas actividades efectuadas por personas que participan en el negocio de la administración, errores de procesamientos, de las transacciones, entre otros; g) Las entidades deben conformar una base de datos centralizada que permita registrar, ordenar, clasificar y disponer de información sobre los eventos de riesgo operacional. Se deberá clasificar Éstos por factores, determinando la frecuencia del evento y el efecto producido, debiendo contener como mínimo los campos que se detallan en el Anexo No. 3 de las presentes Normas; h) Velar por el cumplimiento de buenas prácticas de gobierno corporativo y las normas de actuación y conducta establecidas en la entidad; Página 15 de 30
16 i) Velar por el cumplimiento de las disposiciones legales, reglamentarias y contractuales a las cuales se encuentra sujeta la entidad y divulgarlas a los empleados y miembros de la Junta Directiva; j) Dar seguimiento sistemático y oportuno a los eventos de riesgo operacional; k) Manejar adecuadamente los riesgos mediante planes de acciones para dar tratamiento al riesgo; l) Estimar el monto de pérdidas potenciales derivado de resoluciones judiciales o administrativas desfavorables, así como la posible aplicación de sanciones, en relación con las operaciones que se lleven a cabo. En dicha estimación, deberán incluirse los litigios judiciales en los que la entidad sea actora o demandada, los procedimientos administrativos en que ésta participe, así como los litigios derivados de la aplicación de medios alternos de solución de conflictos; y m) Mantener un control de las resoluciones judiciales y administrativas, sus causas y costos. Tomando en consideración que el riesgo operacional incluye el riesgo legal, se entenderá por éste la posibilidad de ocurrencia de pérdidas debido a fallas en la ejecución de contratos o acuerdos, incumplimiento de normas, así como factores externos tales como cambios regulatorios, procesos judiciales, entre otros. La gestión del riesgo legal requiere que se considere como mínimo lo siguiente: a) Establecer políticas y controles específicos de manera que, en forma previa a la celebración de actos jurídicos, se analice su validez y procure la adecuada verificación legal de éstos. Asimismo, dichas políticas y procedimientos deben contener aspectos relativos a la conservación ordenada, completa, íntegra y oportuna de la información y documentación que soportan las operaciones de la entidad, estableciendo mecanismos que le permitan dar un adecuado control y seguimiento a sus obligaciones legales y normativas, así como dar seguimiento y cumplimiento a las observaciones que sus supervisores le realicen; b) Estimar el monto de pérdidas potenciales derivado de resoluciones judiciales o administrativas desfavorables, así como la posible aplicación de sanciones, en relación con las operaciones que se lleven a cabo. En dicha estimación, deberán incluirse los litigios judiciales en los que la entidad sea actora o demandada, los procedimientos administrativos en que ésta participe, así como los litigios derivados de la aplicación de medios alternos de solución de conflictos; c) Analizar los actos que realice la entidad, cuando se rijan por un sistema jurídico distinto al nacional y evaluar las diferencias existentes entre el sistema que se trate y el nacional, incluyendo lo relativo al procedimiento judicial; d) Dar a conocer a sus directivos y empleados, las disposiciones legales y administrativas aplicables a las operaciones; y e) Mantener un control de las resoluciones judiciales y administrativas, sus causas y costos. Riesgo Reputacional Art Se entenderá por riesgo reputacional a la posibilidad de incurrir en pérdidas, producto del deterioro de imagen de la entidad debido al incumplimiento de leyes, normas internas, códigos de Página 16 de 30
17 gobierno corporativo, códigos de conducta, lavado de dinero, entre otros. La gestión de este riesgo requiere que se considere como mínimo: a) Identificar y evaluar los factores o eventos de riesgos internos y externos; b) Establecer mecanismos de respuestas para mitigar los riesgos; c) Evaluar los posibles riesgos de contagio que puedan afectar a la reputación de la entidad afectando los niveles de seguridad y solvencia de la entidad; y d) Establecer las demás medidas para mitigar las exposiciones a este riesgo. Plan de continuidad del negocio y de seguridad de la información Art Las entidades deberán implementar un sistema de gestión de continuidad del negocio en caso de interrupciones que incluya planes de contingencia, análisis de impacto en el negocio, plan de recuperación de desastres y planes de gestión del incidente, que aseguren la operatividad normal del negocio ante la ocurrencia de eventos adversos. Los planes de continuidad del negocio deben considerar como mínimo lo siguiente: a) La identificación de eventos que ponen en riesgo la continuidad del negocio, las actividades a realizar para superarlos, las alternativas de operación y el retorno a las actividades normales; b) La definición de los roles y responsables de implementarlos; c) La realización de las pruebas necesarias para confirmar su eficacia y eficiencia, al menos una vez al año; y d) La divulgación del plan a todos los miembros de la entidad. Asimismo, las entidades deben contar con un sistema de gestión de seguridad de la información que les garantice su disponibilidad, integridad y confidencialidad. Prestación de servicios por terceros Art Las entidades deben establecer políticas y procedimientos e indicadores apropiados para evaluar, supervisar y monitorear el desempeño de los servicios críticos brindados por terceros, es decir, aquellos que puedan interrumpir el normal desarrollo de las operaciones definidos en las políticas de cada entidad. La prestación de servicios debe formalizarse mediante contratos firmados, que incluya el alcance del servicio y defina claramente las responsabilidades del proveedor y de la entidad, estableciendo la persona enlace entre la entidad y el proveedor. Asimismo, deben incluir una cláusula que obligue al proveedor a documentar los servicios brindados garantizando el adecuado uso de la información confidencial y el establecimiento de planes de contingencia y de continuidad del servicio brindado. Además, deben incluirse cláusulas que faciliten una adecuada revisión de la respectiva prestación de servicios por parte de las mismas entidades o eventualmente de la Superintendencia y de otros organismos supervisores. Página 17 de 30
18 Asimismo, las entidades deberán garantizar la continuidad de las actividades prestadas por el proveedor en caso de problemas como incumplimiento o revocación del contrato, entre otros. Las entidades deben contar con un control centralizado de todos los servicios prestados por terceros y como requisito mínimo debe contener el nombre del proveedor, el tipo de servicio, el monto del contrato, la contraparte dentro de la entidad y su vigencia. Dicho control debe estar a disposición de la Superintendencia en el momento que ésta lo requiera. Independientemente qué determinados servicios sean realizados por terceras partes, la Junta Directiva es responsable de asegurar el cumplimiento de las disposiciones que le son aplicables. CAPÍTULO VI SISTEMAS DE INFORMACIÓN Y DE CONTROL Sistemas de información gerencial Art La entidad deberá contar con un sistema de información gerencial y base de datos estadísticos, que posibiliten la generación de información oportuna, confiable, consistente y homogénea que permitan elaborar reportes periódicos para la Junta Directiva, el Comité de Riesgos y la Alta Gerencia, así como para otros interesados responsables de la toma de decisiones en la gestión de riesgos. La entidades deben enviar a la Superintendencia, de forma anual y a más tardar el treinta y uno de enero de cada año, los eventos contenidos en las Bases de Datos de Registro de Eventos del Anexo No. 3 de las presentes Normas, iniciando con la base de datos del año dos mil diecisiete, remitiéndolo por medios electrónicos o de la forma que la Superintendencia lo determine. Sistema de control interno Art La gestión integral de riesgos incluye el sistema de control interno que permita verificar el cumplimiento de las políticas, límites, procesos y procedimientos establecidos para la gestión de riesgos de la entidad. Para este propósito, las entidades deben establecer los controles administrativos, financieros, contables y tecnológicos necesarios conforme a los estándares internacionales sobre la materia. Rol de la Auditoría Interna Art La Unidad de Auditoría Interna deberá incluir dentro de su plan anual de trabajo, exámenes a la labor desarrollada por la Unidad de Riesgos. En el caso de las entidades que no estén vinculadas a conglomerados financieros, podrán subcontratar este servicio. Página 18 de 30
19 CAPÍTULO VII TRANSPARENCIA DE LA INFORMACIÓN Informe anual Art Las entidades deberán remitir a la Superintendencia, dentro de los primeros ciento veinte días posteriores a la finalización del ejercicio contable que se reporta, el Informe de Evaluación Técnica de la Gestión Integral de Riesgos, previa aprobación de la Junta Directiva, el cual deberá contener como mínimo lo siguiente: a) La estructura organizativa para la gestión integral de riesgos; b) Detalle de los principales riesgos asumidos así como a los que se encuentran expuesto por las actividades de la entidad; c) Las políticas actualizadas para la gestión integral de riesgos; d) Descripción de las metodologías, sistemas y herramientas utilizadas para cada uno de los riesgos; e) Los resultados de las evaluaciones efectuadas a la gestión integral de riesgos y acciones tomadas; f) Proyectos asociados a la gestión de riesgos a desarrollar en el ejercicio siguiente al reportado; g) Ejecución del plan de capacitación relacionado a la gestión integral de riesgos establecidos en el artículo 18 de las presentes Normas; y h) Conclusiones generales sobre la gestión de riesgo de la entidad. Para los literales b) y e) las entidades deberán incluir estadísticas que permitan realizar un análisis de evolución de la gestión integral de riesgos de la entidad. No obstante lo anterior, la Junta Directiva deberá informar inmediatamente a la Superintendencia al tener conocimiento de cualquier aspecto relacionado con la exposición de riesgos, que puedan impactar en forma cualitativa o cuantitativa a la entidad. Divulgación sobre la gestión integral de riesgos Art Las entidades deberán divulgar de manera resumida en un apartado de su sitio web, pudiendo en todo caso utilizar el sitio de web del conglomerado financiero o grupo empresarial al que corresponda, dentro de los primeros noventa días calendario de cada año, la información relativa a las políticas, metodologías y demás medidas relevantes adoptadas para la gestión de cada tipo de riesgos. Las entidades deberán divulgar de manera resumida en las notas a los estados financieros de cierre anual la forma cómo gestionan los riesgos y el cumplimiento de sus políticas. Informe anual de gobierno corporativo Art Las entidades deberán elaborar anualmente un informe de gobierno corporativo, el cual puede ser parte de su memoria anual de labores. La Junta Directiva será responsable de su Página 19 de 30
20 contenido y aprobación, cuidando que al menos contenga lo detallado en el Anexo No. 4 de las presentes Normas. El informe de gobierno corporativo deberá ser remitido a la Superintendencia durante el primer trimestre del año siguiente al que se refiere el informe. Información en sitio web Art.37.- En el sitio web de las entidades, o sitio web de su conglomerado financiero o grupo empresarial al que corresponde, deberá existir un apartado específico denominado Gobierno Corporativo, debiendo incluir la información siguiente: a) Pacto Social; b) Miembros de la Junta Directiva y de la Alta Gerencia; c) Memoria anual; d) Código de Gobierno Corporativo; e) Código de Ética o de Conducta; f) Informe anual de gobierno corporativo; g) Informes de su clasificación de riesgo, cuando fuere aplicable; h) Medios de atención y comunicación a sus accionistas; i) Estados financieros con la frecuencia establecida en las leyes respectivas; j) Detalle de las operaciones vinculadas relevantes; y k) Informe Anual del Auditor Externo. El contenido de la información a facilitar en el sitio web debe estar en idioma castellano y será responsabilidad de la Junta Directiva, pudiendo además, encontrarse en otro idioma. CAPÍTULO VIII OTRAS DISPOSICIONES FINALES Y VIGENCIA Información adicional Art La Superintendencia podrá requerir a las entidades cualquier información adicional que considere necesaria para la adecuada supervisión de la gestión integral de riesgos y de cada uno de los riesgos específicos a los que se encuentre expuesta la entidad de que se trate. Las entidades deberán tener en todo momento a disposición de la Superintendencia todos los documentos, registros, archivos, en forma física, electrónica o por cualquier otro medio, a que se refieren las presentes Normas, así como la información de las auditorías o revisiones practicadas por sus controladoras, en caso de las entidades cuya controladora se encuentre radicada fuera del país. Asimismo, la Superintendencia deberá tener acceso a la documentación referida en el párrafo anterior, en los casos que las entidades asignen funciones definidas en estas Normas, a comités o unidad de riesgo del conglomerado o grupo empresarial. Página 20 de 30