La Superintendencia exige aux coopératives de redéfinir leurs contrôles de risque opérationnel

La Superintendencia de Economía Popular y Solidaria a publié la Norme de contrôle pour la gestion du risque opérationnel dans les entités du secteur financier populaire et solidaire, publiée dans le Deuxième Supplément du Registre Officiel Nº 395 du jeudi 22 octobre 2026. La résolution SEPS-IGT-IGS-IGJ-INR-INSESF-INGINT-INSEPS-0159, signée le 30 septembre 2026 à Quito, oblige les coopératives d’épargne et de crédit, les associations mutualistes, les caisses centrales et la Corporation Nationale de Finances Populaires et Solidaires à redéfinir leurs contrôles internes. Le délai pour le faire varie de six à douze mois, selon le segment dans lequel se situe chaque entité.

L’instrument a été signé par l’Intendant Général Technique, Freddy Alfonso Monge Muñoz, dans l’exercice de l’attribution de « dicter les normes de contrôle » déléguée par la Superintendante de l’Économie Populaire et Solidaire, Christina Ivonne Murillo Navarrete. Il s’appuie sur les articles 74, 163 et 444 du Code Organique Monétaire et Financier et sur les articles 151, 158 et 165 de la Loi Organique de l’Économie Populaire et Solidaire, et s’articule avec les normes de gestion intégrale des risques émises par le Conseil de Politique et de Régulation Financière et Monétaire. La norme abroge les résolutions SEPS-IGT IGS-INSESF-INR-INGINT-INSEPS-IGJ-0116, du 2 juillet 2024, et SEPS-IGT IGS-INSESF-INR-INGINT-INSEPS-IGJ-2024-0123, du 5 juillet 2024, et entre en vigueur dès sa publication.

Manuel, matrice de risque et rapports mensuels

Les entités des segments 1, 2 et 3, les mutualistes, les caisses centrales et la Corporation devront élaborer un manuel de risque opérationnel adapté à leur structure, taille et complexité, incluant des politiques, des rôles, des méthodologies d’identification et de mesure, des stratégies de formation et des mécanismes de rapport. Elles devront également tenir une matrice de risque opérationnel et une base de données centralisée des événements, administrée par l’unité des risques.

Les rapports devront être mensuels —trimestriels pour le segment 3— et contenir, au minimum :

• Le détail des événements présentant le niveau de risque le plus élevé.
• Les indicateurs clés de risque opérationnel.
• Une carte thermique (heat map) avec la concentration des événements par niveau de risque.
• L’ampleur des pertes enregistrées.
• Des matrices avec la ligne métier, le processus, le facteur, le risque inhérent et le risque résiduel.

Les documents devront être transmis au Comité de Gestion Intégrale des Risques et être disponibles à la demande de la Superintendencia. Les entités des segments 4 et 5 ont des exigences proportionnelles : processus définis et approuvés, enregistrement des événements avec impact financier, séparation des fonctions et manuel de gestion du personnel.

Sept lignes de métier et quatre facteurs de risque

La norme oblige à regrouper les processus en sept lignes de métier : détail, microfinance, cartes, commercial, immobilier, compensation des paiements et trésorerie traditionnelle. Chaque processus doit être affecté à une seule ligne et aucun ne peut rester non affecté.

Les facteurs de risque opérationnel sont au nombre de quatre : personnes, processus, technologie de l’information et événements externes. Sur cette base, les événements sont typifiés : fraude interne et externe, pratiques professionnelles, pratiques avec les clients et produits, dommages aux actifs physiques, interruption des activités due à des défaillances technologiques et déficiences dans l’exécution des processus. La norme intègre également une section spécifique sur le risque juridique, avec une classification en risque de documentation, de législation et de capacité.

Tiers, cloud et polices contre la fraude informatique

Le texte consacre un bloc aux services fournis par des tiers. Quiconque contracte une infrastructure, une plateforme ou un logiciel dans le cloud devra disposer de rapports techniques, de sécurité de l’information et juridiques ; les centres de données doivent suivre la norme ANSI/TIA-942 et posséder une certification minimale TIER III, tandis que les fournisseurs doivent être accrédités ISO/IEC 27001, avec un suivi des normes ISO/IEC 27017 et ISO/IEC 27018. Les fournisseurs critiques étrangers nécessitent une filiale ou une contrepartie dans le pays.

Les entités des segments 1, 2 et 3, les mutuelles, les caisses centrales et la Corporation devront disposer de fournisseurs alternatifs pour les services critiques. De plus, elles devront souscrire annuellement des polices couvrant, au minimum, la divulgation illégale de bases de données, l’interception illégale de données, le transfert électronique d’actifs patrimoniaux et les attaques contre l’intégrité des systèmes informatiques.

Délais et responsabilités

La disposition transitoire unique fixe deux calendriers : six mois à compter de la publication pour les segments 1 et 2, les mutuelles, les caisses centrales et la Corporation ; douze mois pour les segments 3, 4 et 5. Le Conseil d’Administration ou le Directoire approuve les politiques, les méthodologies et le manuel ; le Comité de Gestion Intégrée des Risques évalue et propose ; l’unité des risques exécute et rapporte ; et le représentant légal implémente. Les auditeurs internes devront évaluer la gestion et tester les plans de contingence, de continuité et de récupération.

La Superintendance pourra disposer de mesures correctives et exiger les méthodologies pour leur validation. La norme oblige également à générer des plans pour se conformer à la Loi Organique sur la Protection des Données Personnelles et à appliquer la gestion du risque opérationnel aux organisations et sociétés de services auxiliaires.

L’impact repose directement sur le contrôle interne d’un secteur qui administre les dépôts de milliers de membres et d’épargnants : la norme transforme la matrice de risque, les rapports mensuels et l’évaluation des fournisseurs technologiques en obligations vérifiables et soumises à supervision. Pour les entités les plus petites, le défi sera de satisfaire, en douze mois, des exigences de documentation, de cybersécurité et de continuité des activités qui n’étaient pas auparavant détaillées avec ce niveau de précision.

Source : Registro Oficial, Segundo Suplemento Nº 395, jeudi 22 octobre 2026, Función de Transparencia y Control Social, pág. 6 (référence officielle : SEPS-IGT-IGS-IGJ-INR-INSESF-INGINT-INSEPS-0159).