La Superintendencia exige a cooperativas rediseñar sus controles de riesgo operativo

La Superintendencia de Economía Popular y Solidaria expidió la Norma de control para la administración del riesgo operativo en las entidades del sector financiero popular y solidario, publicada en el Segundo Suplemento del Registro Oficial Nº 395 del jueves 22 de octubre de 2026. La resolución SEPS-IGT-IGS-IGJ-INR-INSESF-INGINT-INSEPS-0159, firmada el 30 de septiembre de 2026 en Quito, obliga a cooperativas de ahorro y crédito, asociaciones mutualistas, cajas centrales y a la Corporación Nacional de Finanzas Populares y Solidarias a rediseñar sus controles internos. El plazo para hacerlo va de seis a doce meses, según el segmento en el que esté ubicada cada entidad.

El instrumento fue suscrito por el Intendente General Técnico, Freddy Alfonso Monge Muñoz, en ejercicio de la atribución de “dictar las normas de control” delegada por la Superintendente de Economía Popular y Solidaria, Christina Ivonne Murillo Navarrete. Se ampara en los artículos 74, 163 y 444 del Código Orgánico Monetario y Financiero y en los artículos 151, 158 y 165 de la Ley Orgánica de Economía Popular y Solidaria, y se articula con las normas de administración integral de riesgos que emite la Junta de Política y Regulación Financiera y Monetaria. La norma deroga las resoluciones SEPS-IGT IGS-INSESF-INR-INGINT-INSEPS-IGJ-0116, de 2 de julio de 2024, y SEPS-IGT IGS-INSESF-INR-INGINT-INSEPS-IGJ-2024-0123, de 5 de julio de 2024, y rige desde su publicación.

Manual, matriz de riesgo y reportes mensuales

Las entidades de los segmentos 1, 2 y 3, las mutualistas, las cajas centrales y la Corporación deberán elaborar un manual de riesgo operativo acorde a su estructura, tamaño y complejidad, que incluya políticas, roles, metodologías de identificación y medición, estrategias de capacitación y mecanismos de reporte. También deberán mantener una matriz de riesgo operativo y una base de datos centralizada de eventos, administrada por la unidad de riesgos.

Los reportes deberán ser mensuales —trimestrales para el segmento 3— y contener, como mínimo:

• Detalle de los eventos de mayor nivel de riesgo.
• Indicadores clave de riesgo operativo.
• Mapa de calor con la concentración de eventos por nivel de riesgo.
• Magnitud de las pérdidas registradas.
• Matrices con línea de negocio, proceso, factor, riesgo inherente y riesgo residual.

Los documentos deberán llegar al Comité de Administración Integral de Riesgos y estar disponibles cuando los requiera la Superintendencia. Las entidades de los segmentos 4 y 5 tienen exigencias proporcionales: procesos definidos y aprobados, registro de eventos con impacto financiero, separación de funciones y manual de administración del personal.

Siete líneas de negocio y cuatro factores de riesgo

La norma obliga a agrupar los procesos en siete líneas de negocio: minorista, microfinanzas, tarjetas, comercial, inmobiliaria, compensación de pagos y tesorería tradicional. Cada proceso debe quedar asignado a una sola línea y ninguno puede permanecer sin asignar.

Los factores de riesgo operativo son cuatro: personas, procesos, tecnología de la información y eventos externos. Sobre esa base se tipifican los eventos: fraude interno y externo, prácticas laborales, prácticas con clientes y productos, daños a activos físicos, interrupción del negocio por fallas tecnológicas y deficiencias en la ejecución de procesos. La norma incorpora además una sección específica de riesgo legal, con clasificación en riesgo de documentación, de legislación y de capacidad.

Terceros, nube y pólizas contra fraude informático

El articulado dedica un bloque a los servicios provistos por terceros. Quien contrate infraestructura, plataforma o software en la nube deberá contar con informes técnico, de seguridad de la información y legal; los centros de datos deben seguir el estándar ANSI/TIA-942 y tener certificación mínima TIER III, mientras los proveedores deben acreditar ISO/IEC 27001, con seguimiento de ISO/IEC 27017 e ISO/IEC 27018. Los proveedores críticos del exterior requieren subsidiaria o contraparte en el país.

Las entidades de los segmentos 1, 2 y 3, las mutualistas, las cajas centrales y la Corporación deberán tener proveedores alternos para servicios críticos. Además, deberán contratar anualmente pólizas que cubran, al menos, revelación ilegal de bases de datos, interceptación ilegal de datos, transferencia electrónica del activo patrimonial y ataques a la integridad de los sistemas informáticos.

Plazos y responsabilidades

La disposición transitoria única fija dos calendarios: seis meses desde la publicación para los segmentos 1 y 2, mutualistas, cajas centrales y la Corporación; doce meses para los segmentos 3, 4 y 5. El Consejo de Administración o Directorio aprueba políticas, metodologías y el manual; el Comité de Administración Integral de Riesgos evalúa y propone; la unidad de riesgos ejecuta y reporta; y el representante legal implementa. Los auditores internos deberán evaluar la gestión y probar los planes de contingencia, continuidad y recuperación.

La Superintendencia podrá disponer medidas correctivas y exigir las metodologías para su validación. La norma también obliga a generar planes para cumplir la Ley Orgánica de Protección de Datos Personales y a aplicar la gestión de riesgo operativo a las organizaciones y compañías de servicios auxiliares.

El impacto recae directamente en el control interno de un sector que administra depósitos de miles de socios y ahorristas: la norma convierte la matriz de riesgo, los reportes mensuales y la evaluación de proveedores tecnológicos en obligaciones verificables y sujetas a supervisión. Para las entidades más pequeñas, el reto será cumplir en doce meses exigencias de documentación, ciberseguridad y continuidad del negocio que antes no estaban detalladas con este nivel de precisión.

Fuente: Registro Oficial, Segundo Suplemento Nº 395, jueves 22 de octubre de 2026, Función de Transparencia y Control Social, pág. 6 (referencia oficial: SEPS-IGT-IGS-IGJ-INR-INSESF-INGINT-INSEPS-0159).