Normativa · Comunicación 2025/194 · comunicaciones

Artículo 2025/194Instituciones de intermediación financiera y Empresas Administradoras de Crédito de Mayores Activos (artículos 151.1 y 151.2 de la Recopilación de Normas de Reg

Montevideo, 17 de diciembre de 2025 COMUNICACION N°2025/194 Ref: INSTITUCIONES DE INTERMEDIACIÓN FINANCIERA Y EMPRESAS ADMINISTRADORAS DE CRÉDITO DE MAYORES ACTIVOS (artículos 151.1 y 151.2 de la Recopilación de Normas de Regulación y Control del Sistema Financiero) Se pone en conocimiento del mercado que la Superintendencia de Servicios Financieros, adoptó con fecha 17 de diciembre de 2025 la resolución RR-SSF- 2024-704. JUAN PEDRO CANTERA Superintendente de Servicios Financieros 2025-50-1-01643 Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 1 RR-SSF-2025-704 Fecha: 17/12/2025 12:00:55 COMUNICACIÓN N°2025/194 SUPERINTENDENCIA DE SERVICIOS FINANCIEROS – RESOLUCIÓN SUPERINTENDENCIA DE SERVICIOS FINANCIEROS VISTO: el documento Estándares Mínimos de Gestión para instituciones de intermediación financiera vigencia 1° de julio de 2017. RESULTANDO: I) Que en el plan de actividades del año 2025 de la Superintendencia de Servicios Financieros se incluyó la Iniciativa Operativa N° 10 (Revisión de EMG Bancos), que comprende la revisión de los estándares mínimos de gestión aplicable a empresas de intermediación financiera, incorporando temas de riesgos climático, resiliencia operativa, planes de recuperación, proceso de autoevaluación de capital y proceso de autoevaluación de liquidez. II) Que la aplicación del documento referido en el VISTO se ha extendido a las empresas administradoras de crédito de mayores activos, considerando la naturaleza, tamaño y complejidad de las operaciones y su perfil de riesgos. III) Que la propuesta elaborada fue puesta oportunamente a consulta de las instituciones de intermediación financiera y de las empresas administradoras de crédito de mayores activos a las que le aplica los estándares mínimos de gestión (artículos 151.1 y 151.2 de la Recopilación de Normas de Regulación y Control del Sistema Financiero). IV) Que en virtud de lo referido en el RESULTANDO III) se recibieron comentarios de la Asociación de Bancos Privados del Uruguay, Banco de la República Oriental del Uruguay, OCA S.A. y la Asociación Nacional de Empresas Administradoras de Crédito. CONSIDERANDO: que el documento se actualizó teniendo en cuenta las mejores prácticas y recomendaciones internacionales adaptadas a la realidad de nuestro sistema financiero, habiendo considerado los comentarios recibidos de las entidades supervisadas referidos en RESULTANDO III) y IV). ATENTO: a lo dispuesto en los artículos 37 y 38 (literal K) de la Ley N° 16.696 de 30 de marzo de 1995, en la redacción dada por los artículos 1 y 2 respectivamente de la Ley N° 20.345 de 19 de setiembre de 2024. SE RESUELVE 1. Aprobar con vigencia 1° de enero de 2026 el documento “Estándares Mínimos de Gestión para instituciones de intermediación financiera y empresas administradoras de crédito de mayores activos (artículos 151.1 y 151.2 de la Recopilación de Normas de Regulación y Control del Sistema Financiero)” agregado en folios 96 a 153 del expediente N° 2025-50-1-01643. 2. Poner en conocimiento la resolución mediante la emisión de Comunicación adjuntando el documento aprobado. JUAN PEDRO CANTERA Superintendente de Servicios Financieros Exp. 2025-50-1-01643 Publicable: Si - Firmante: JUAN PEDRO CANTERA SENCIÓN Expediente N°: 2025-50-1-01643 COMUNICACIÓN N°2025/ ESTÁNDARES MÍNIMOS DE GESTIÓN PARA INSTITUCIONES DE INTERMEDIACIÓN FINANCIERA Y EMPRESAS ADMINISTRADORAS DE CRÉDITO DE MAYORES ACTIVOS 1 Vigencia: 1 de enero de 2026 1 Artículos 151.1 y 151.2 de la Recopilación de Normas de Regulación y Control del Sistema Financiero (RNRCSF) EMG Final.pdf Folio n° 96 Expediente N°: 2025-50-1-01643 Contenido INTRODUCCIÓN..............................................................................................................................................2 METODOLOGÍA DE CALIFICACIÓN CERT................................................................................................2 Interrelación entre los distintos componentes del CERT.............................................................2 LOS ESTÁNDARES MÍNIMOS Y SU ALCANCE.........................................................................................3 COMUNICACIÓN N°2025/ Conglomerados Financieros o Grupos Financieros........................................................................3 Definiciones.................................................................................................................................................3 ESTÁNDARES DE GOBIERNO CORPORATIVO (C).................................................................................4 DIRECTORIO................................................................................................................................................5 ALTA GERENCIA........................................................................................................................................12 COMITÉ DE AUDITORÍA..........................................................................................................................16 AUDITORÍA INTERNA..............................................................................................................................16 AUDITORÍA EXTERNA.............................................................................................................................17 ESTÁNDARES DE GESTIÓN DE RIESGOS (R)......................................................................................18 EL SISTEMA DE GESTIÓN INTEGRAL DE RIESGOS........................................................................18 RIESGO DE CRÉDITO..............................................................................................................................18 RIESGOS DE MERCADO.........................................................................................................................24 RIESGO DE LIQUIDEZ ............................................................................................................................29 RIESGO OPERACIONAL...........................................................................................................................34 RIESGO DE LAVADO DE ACTIVOS, FINANCIAMIENTO DEL TERRORISMO Y FINANCIAMIENTO DE LA PROLIFERACION DE ARMAS DE DESTRUCCIÓN MASIVA............40 RIESGO DE REPUTACION.......................................................................................................................44 ESTÁNDARES DE TECNOLOGÍA (T)........................................................................................................46 EMG Final.pdf Folio n° 98 Expediente N°: 2025-50-1-01643 INTRODUCCIÓN La Superintendencia de Servicios Financieros ha definido que el proceso de supervisión esté orientado a ser integral, proactivo, enfocado a los riesgos y sobre una base consolidada. Una de las herramientas con que cuenta la supervisión para cumplir con sus cometidos es la Evaluación Integral, trabajo llevado a cabo mayoritariamente in-situ en la institución. El propósito de dicha herramienta es evaluar la calidad de la gestión de las entidades, y en caso de detectar debilidades, analizar su impacto sobre la capacidad de la entidad de mantener niveles prudenciales de solvencia a corto, mediano y largo plazo. COMUNICACIÓN N°2025/ Asimismo y a efectos de contar con un mecanismo que permita resumir los resultados, se ha definido una metodología de calificación denominada CERT, cuyo objetivo es sintetizar la evaluación por componente y en forma general, de tres aspectos:  si existe alguna debilidad en uno de los componentes que requiera atención prioritaria por parte de la institución  en qué etapa de resolución se encuentra dicha debilidad  el impacto potencial de la debilidad encontrada sobre la capacidad de la institución de mantener niveles de solvencia prudenciales en el corto plazo. METODOLOGÍA DE CALIFICACIÓN CERT Para aplicar la metodología CERT los Supervisores analizarán los siguientes componentes:  C –Gobierno Corporativo, es el sistema a través del cual las instituciones son dirigidas, monitoreadas y controladas.  E – Evaluación económico-financiera – La situación se analiza haciendo hincapié en el nivel de los resultados, la calidad del patrimonio de la institución y su capacidad de respaldar los riesgos asumidos y proveer protección a los acreedores, así como en el análisis del modelo de negocios, su estrategia y sosteniblidad.  R – Riesgos – El Sistema de Gestión de Riesgos de la institución y su capacidad de identificar, controlar, medir y monitorear los siguientes riesgos en forma integral: - Riesgo de Crédito1 - Riesgo de Mercado2 - Riesgo de Liquidez 3 - Riesgo Operacional 4 - Riesgo de Lavado de Activos, Financiamiento del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva (LA/FT/FPADM). - Riesgo Reputación  T – Tecnología – Refiere a la gestión de los Riesgos Tecnológicos y a la confiabilidad y eficacia de los sistemas de información como herramientas de la gestión. Interrelación entre los distintos componentes del CERT Desde el punto de vista metodológico, debe visualizarse al Gobierno Corporativo como el núcleo central del análisis, con el cual se interrelacionan los otros componentes del sistema. Gráficamente, podemos verlo de la siguiente manera: 1 Incluye el riesgo país en la dimensión activa 2 Incluye el riesgo país en la dimensión activa 33 Incluye el riesgo país en la dimensión pasiva 4 Incluye el Riesgo de cumplimiento EMG Final.pdf Folio n° 99 Expediente N°: 2025-50-1-01643 COMUNICACIÓN N°2025/ En aras de una mayor transparencia sobre la aplicación del sistema y con la idea de proveer orientación a las instituciones sobre qué se espera de ellas, se ha elaborado una serie de estándares mínimos de gestión asociados a los componentes de la metodología CERT. Desde el punto de vista del supervisor, se entiende que el no cumplimiento de un estándar constituye una debilidad que debe ser tratada con atención prioritaria por la entidad. LOS ESTÁNDARES MÍNIMOS Y SU ALCANCE Las instituciones adoptan diferentes esquemas y estructuras para llevar adelante su gestión, tomando en cuenta la naturaleza, tamaño y complejidad de sus operaciones y su perfil de riesgos. El supervisor lleva adelante sus procedimientos de supervisión y evaluación teniendo en cuenta estos elementos. Los estándares constituyen prácticas de gestión que se espera encontrar en las entidades supervisadas. El supervisor formula su juicio global sobre la entidad en base a procedimientos a distancia y a una serie de procedimientos in-situ (según la metodología CERT). Se buscan evidencias de que los procesos y procedimientos, en general, son adecuados dadas las características de cada entidad y que las distintas estructuras de Gobierno Corporativo cumplen con sus roles y responsabilidades en forma adecuada. Los hallazgos permiten a posteriori definir si existen o no apartamientos a los estándares que se definen seguidamente, aunque el supervisor no certifica la adherencia estricta a los puntos específicos contenidos en estos estándares. Los estándares se aplican a las instituciones de intermediación financiera y empresas administradoras de crédito de mayores activos, según lo establecido en la Recopilación de Normas de Regulación y Supervisión del Sistema Financiero, sin perjuicio que se utilizan como guía para las actuaciones en otras entidades de crédito reguladas. Conglomerados Financieros o Grupos Financieros5 Las prácticas de gestión deben aplicarse tanto a las entidades individualmente consideradas como al grupo financiero que integran. El hecho de pertenecer a un grupo genera una serie de riesgos (contagio, concentraciones, riesgos derivados de operaciones y exposiciones intra-grupo, múltiple uso del capital, etc.), por lo cual deben considerarse estas características en el marco de una gestión integrada, considerando tanto las empresas reguladas por el BCU que forman parte del grupo, como aquellas que no se encuentran dentro de su perímetro regulatorio. En este documento se estará refiriendo a este tipo de estructuras como “conglomerados financieros” o “grupos financieros” en forma indistinta. En el caso del sistema financiero uruguayo, las estructuras de conglomerados financieros que se han identificado, se pueden asimilar a alguno de los siguientes dos tipos:  Estructuras entidad controlante - subsidiaria: una entidad que opera en el sistema y cumple el rol de Entidad Controlante en relación a otras empresas vinculadas.  Estructuras horizontales: varias entidades son controladas por un accionista común (en el país o en el exterior), y ninguna de las entidades locales opera como controlante de las otras. 5 Conjunto o grupo formado por dos o más entidades interconectadas bajo un control común o influencia significativa, de forma directa o indirecta, donde al menos alguna de ellas opera en algún sector regulado por la Superintendencia de Servicios Financieros. EMG Final.pdf Folio n° 100 Expediente N°: 2025-50-1-01643 En el primer caso, la Dirección de la Entidad Controlante tendrá responsabilidades sobre la gestión de todo el conglomerado financiero en base consolidada, tanto en lo que refiere al funcionamiento del Gobierno Corporativo como en relación a la Gestión de Riesgos. En el caso de las estructuras horizontales, la Dirección de cada una de las entidades locales a nivel individual deberá gestionar los eventuales impactos que puedan provenir de las entidades vinculadas locales. Los Estándares Mínimos se aplicarán teniendo en cuenta un enfoque de riesgos, las particularidades de la estructura adoptada por cada conglomerado financiero y las potestades previstas por la normativa vigente. COMUNICACIÓN N°2025/ Definiciones Marco de gestión de riesgos: incluye las políticas, procesos, controles y sistemas a través de las cuales se establece, comunica y monitorea el apetito de riesgo. Incluye además la declaración del apetito, los límites de riesgo y un resumen de los roles y responsabilidades de quienes supervisan su implementación y monitoreo. El marco debe tomar en cuenta los principales riesgos que enfrenta la institución y estar alineado con su estrategia y plan de negocios. Apetito de riesgo: es el nivel y el tipo riesgo que una institución está dispuesta a asumir en sus exposiciones y actividades de negocio, teniendo en cuenta los objetivos definidos y las obligaciones con los accionistas y otras partes interesadas. El apetito es generalmente expresado en términos cuantitativos y debe reflejar el potencial impacto en los resultados, el nivel de capital, el nivel de fondeo, liquidez y exposición a riesgos de la institución. Declaración del apetito de riesgo: es el documento en el cual se establece el apetito de riesgo. Límites de riesgo: es la cantidad o umbral aceptable relacionado a ciertos riesgos específicos o unidades, líneas o productos del negocio. Un sistema de límites debe incluir por ejemplo los umbrales que no deben ser superados (tolerancia) de acuerdo con las políticas y los indicadores de alerta definidos, así como la capacidad (máximo nivel que se puede soportar). Perfil de riesgo: valoración en un momento dado de las exposiciones al riesgo brutas de la institución, o si procede, exposiciones al riesgo netas. Deber de diligencia: deber de los miembros del Directorio de decidir y actuar con conocimiento de causa y prudencia en los asuntos de la institución. Suele interpretarse como la obligación de los directores de tratar los asuntos de la entidad como lo haría una “persona prudente” con sus asuntos personales. Deber de lealtad: deber de los directores de actuar de buena fe en el interés de la institución. El deber de lealtad debe impedir que cada director actúe en interés propio, o en el interés de otro individuo o grupo, a expensas de la institución sus accionistas y partes interesadas. Sostenibilidad del modelo de negocio: estrategias diseñadas para generar retornos sustentables en el tiempo y capacidad de ejecución que considere posibles cambios en el entorno operativo. Riesgos financieros relacionados con el clima: riesgos potenciales que pueden surgir del cambio climático o de las iniciativas para mitigarlo, sus impactos, consecuencias económicas y financieras. Comprende riesgos físicos y de transición. Los riesgos físicos son aquellos que derivan de eventos climáticos extremos o cambios graduales en el clima, mientras que los riesgos de transición se asocian al proceso de descarbonización de la economía. economía. Ambos factores pueden traducirse o materializarse en las categorías de riesgos tradicionales, como los riesgos de crédito, de mercado, operativos, de liquidez y reputacionales. Los riesgos financieros relacionados con el clima pueden materializarse en horizontes temporales que pueden ir más allá del horizonte de planificación. Ciberseguridad: es la preservación de la confidencialidad, integridad y la disponibilidad de los sistemas de información y comunicación de una organización así como de los datos que se procesan, frente a amenazas internas y externas. EMG Final.pdf Folio n° 101 Expediente N°: 2025-50-1-01643 Resiliencia Operativa: capacidad para mantener operaciones críticas y recuperarse rápidamente frente a interrupciones, ya sean tecnológicas, humanas o naturales. Ciberresiliencia: capacidad para resistir, responder y recuperarse de incidentes de ciberseguridad, minimizando el impacto sobre sus operaciones y activos digitales. Integra medidas preventivas, defensivas y de recuperación ante incidentes. Riesgos Tecnológicos: posibles eventos o condiciones asociadas con el uso de tecnologías que pueden afectar la operación, seguridad o reputación de la organización. Seguridad de la Información: conjunto de políticas, procedimientos, prácticas y controles para proteger los activos de información en todas sus formas, garantizando confidencialidad, integridadN°2025/ COMUNICACIÓN y disponibilidad. Plan de Recuperación de Desastres (Disaster Recovery Plan – DRP): conjunto de estrategias, procedimientos y recursos destinados a restaurar sistemas críticos y operaciones después de un desastre o interrupción grave. Plan de Respuesta a Incidencias de Seguridad: conjunto de procedimientos diseñados para identificar, contener, analizar y resolver incidentes que afecten la integridad, disponibilidad y/o confidencialidad de la información, minimizando impactos y recuperando operaciones normales rápidamente. ESTÁNDARES DE GOBIERNO CORPORATIVO (C) El Gobierno Corporativo es el sistema a través del cual las instituciones son dirigidas, monitoreadas y controladas e incluye a la Dirección, la Alta Gerencia, y a los distintos mecanismos de control como son la Auditoría Interna, la Auditoría Externa y Comité de Auditoría. Un Gobierno Corporativo eficaz se basa en los siguientes componentes fundamentales:  Cultura corporativa apropiada con normas establecidas para un comportamiento responsable y ético.  Marco de apetito de riesgo  Responsabilidades bien definidas y comunicadas a toda la organización para la gestión de riesgos y controles, lo que se conoce como “las tres líneas de defensa” - la línea de negocio; - una función de gestión del riesgo y de cumplimiento independientes de la primera línea de defensa; y - una función de auditoría interna independiente La línea de negocio -primera línea de defensa- es donde se generan primordialmente los riesgos y es responsable de su gestión continua. La gestión del riesgo, -segunda línea de defensa-, es responsable de identificar, medir, controlar y monitorear el riesgo, en forma independiente de la primera línea de defensa. La función de cumplimiento es también parte de esta segunda línea y es responsable de realizar el seguimiento continuo del cumplimiento de la legislación, normas de gobierno corporativo, regulaciones, códigos y políticas a las que esté sujeta la institución. La función de auditoría interna es la tercera línea de defensa. La misma debe realizar auditorías y revisiones independientes de las dos líneas anteriores, para garantizar al Directorio que el marco de gobierno general, incluido el marco de gestión de riesgos, es eficaz y que existen y se aplican consistentemente las políticas y procesos definidos.  Debe existir una clara definición de roles y responsabilidades dentro de la organización y una estructura que permita establecer sus objetivos, determinando los medios para alcanzarlos y cómo supervisar su cumplimiento. La estructura organizacional debe permitir a la Dirección implementar una estrategia eficiente y efectiva, que asegure tanto un sólido control interno como una adecuada gestión de riesgos, apoyándose en sistemas de información íntegros, confiables, oportunos y accesibles  El Directorio y la Alta Gerencia de la institución deben ser integrados por personas con los conocimientos, experiencia y competencias necesarias para cumplir con sus respectivos roles. Deben planificar y dirigir la gestión comercial y de riesgos y manejar eficazmente la solvencia y liquidez de la entidad. EMG Final.pdf Folio n° 102 Expediente N°: 2025-50-1-01643  Debe promoverse una cultura de riesgo adecuada en relación al volumen y complejidad de las operaciones y al perfil de riesgo de la institución. Se considerarán en este capítulo los estándares mínimos que deben cumplir el Directorio, la Alta Gerencia, el Comité de Auditoría, la Auditoría Interna y la Auditoría Externa para asegurar un adecuado funcionamiento del Gobierno Corporativo. DIRECTORIO En adelante, cuando se hace referencia al Directorio debe entenderse como el órgano que ejerce la administración efectiva de la entidad. En entidades organizadas como sociedades anónimas será el Directorio estatutario. En las organizadas como cooperativas, será el Consejo Directivo o Mesa COMUNICACIÓN N°2025/ Directiva según definición estatutaria y en el caso de las sucursales de personas jurídicas extranjeras será el Directorio de la Casa Matriz, o el órgano de control al que la Casa Matriz le haya asignado en forma expresa sus atribuciones respecto a la sucursal en el país. El Directorio es el responsable último de definir la estrategia y controlar su implementación, vigilar la solvencia de la institución, tomar las decisiones sobre el personal clave, la organización interna y las prácticas de gobierno, fijar el marco y apetito de riesgo y controlar su gestión, así como velar por el cumplimiento de las obligaciones legales y regulatorias. También es responsable de asegurar la implementación de un sistema de remuneración con los incentivos adecuados. El cuidado, diligencia, habilidad y prudencia con la cual los integrantes del Directorio cumplen sus roles tiene una influencia crítica sobre la viabilidad, sostenibilidad, seguridad y solidez de la institución, sobre su capacidad de ejecutar la estrategia de negocio y cumplir los objetivos y sobre su capacidad de generar confianza a los depositantes, inversores, supervisores, calificadores y otros actores. Los estándares mínimos que el Directorio debe cumplir son los que se detallan a continuación. 1. El Directorio debe mantener una estructura apropiada que permita una visión independiente de la influencia de la Alta Gerencia, de influencias políticas y/o de otros intereses externos. Para ello6: 1.1 El Directorio debe incluir personas con un buen balance de habilidades, experiencia y conocimientos, que de forma colectiva posean las aptitudes necesarias conforme al tamaño, complejidad y perfil de riesgo de la institución y del conglomerado cuando corresponda. 1.2 El Directorio debe comprender un número suficiente de directores independientes 7. Se considera que se pierde la calidad de director independiente cuando se ejerce dicha función en el Directorio por un período de 8 años. 1.3 Los Directores No Ejecutivos8 no deben tener injerencia en las decisiones diarias de la gestión. 1.4 Los Directores Ejecutivos no deben ejercer una influencia dominante en el conjunto del Directorio. 1.5 Los integrantes del Directorio deben tener un claro entendimiento de su rol dentro del Gobierno Corporativo y deben cumplir con el deber de lealtad y diligencia. 1.6 El Directorio debe poseer la capacidad de ejercer un juicio independiente sobre los asuntos de la institución financiera. Ello no obsta a que el Directorio pueda participar en el proceso de aprobación de algunas operaciones, o en algunas decisiones operativas de significativa magnitud para la entidad. 1.7 El Directorio debe implementar una estructura de Comités de Dirección acorde con el volumen, complejidad de las actividades y perfil de riesgos de la entidad para asegurar la participación de los distintos sectores involucrados en las decisiones relevantes. Los Comités de Dirección deben tener una integración mínima de tres miembros, de los cuales la mayoría deben ser directores. 6 A efectos de la aplicación del presente estándar, debe observarse la Guía de interpretación para el Estándar Mínimo de Gestión N° 1 (https://www.bcu.gub.uy/Servicios-Financieros-SSF/Documents/Guia_EMG_1.pdf). 7 Director independiente: miembro no ejecutivo del Directorio (ver Definición Director no ejecutivo – Pie de página #8) sin responsabilidades de gestión en la institución y que no se encuentra sometido a ninguna influencia interna o externa, política o de propiedad, que le pudiera condicionar su opinión sobre los asuntos en los que debe intervenir. Será de aplicación a bancos privados. 8 Director no ejecutivo: Si bien no existe desde el punto de vista jurídico el concepto de Director no ejecutivo, debe entenderse por tal a aquellos directores que no cumplen ninguna función ejecutiva, aunque mantienen sus responsabilidades en tanto directores. EMG Final.pdf Folio n° 103 Expediente N°: 2025-50-1-01643 1.8 El Directorio y sus comités deben mantener documentadas sus deliberaciones y decisiones (por ejemplo, actas de reuniones o resúmenes de temas tratados, recomendaciones emitidas decisiones adoptadas y reportes utilizados para la toma de decisiones). 1.9 Los bancos de importancia sistémica deberán contar con un Comité de Riesgos a nivel de Directorio, órgano que debe:  contar con un Presidente que sea director independiente  incluir una mayoría de miembros no ejecutivos  incluir miembros con experiencia en temas y prácticas de gestión de riesgos;  analizar las estrategias de riesgo a nivel agregado y por tipo de riesgo y emitir lasN°2025/ COMUNICACIÓN correspondientes recomendaciones al Directorio, así como sobre el marco y apetito de riesgo;  revisar periódicamente las políticas de riesgo y el apetito de riesgo de la institución y sus subsidiarias cuando corresponda  vigilar la aplicación por la Alta Gerencia de la declaración de apetito de riesgo  vigilar las estrategias de gestión de capital, liquidez y recuperación, así como de todos los riesgos relevantes para garantizar que son coherentes con el apetito de riesgo  monitorear el perfil de riesgos y el consumo de los límites definidos 2. El Directorio debe asegurar un adecuado relacionamiento con el accionista o con la entidad controlante. Para ello el Directorio debe asegurar que: 2.1 Existe una adecuada coordinación e integración entre las distintas estructuras de Gobierno Corporativo de la entidad y su controlante. 2.2 Existe un adecuado control y monitoreo sobre las actividades tercerizadas, cuando sean realizadas por empresas relacionadas. 2.3 Sus roles y responsabilidades y los de su controlante se encuentran claramente establecidos y delimitados. 2.4 Su independencia es respetada por parte de su controlante en lo que refiere a las responsabilidades que debe asumir el Directorio. 3. El Directorio debe aprobar los objetivos estratégicos de la institución y supervisar su implementación, tanto a nivel individual como en base consolidada, cuando corresponda. Para ello, el Directorio debe: 3.1 Aprobar un marco estratégico que defina claramente el modelo de negocio, los segmentos objetivo y los retornos esperados, asegurando su coherencia con el nivel de riesgo definido y con la sostenibilidad a largo plazo de la entidad. Este marco debe ser claramente plasmado en políticas escritas y comunicado a toda la institución. 3.2 Aprobar el Plan comercial o de Negocios que contemple los objetivos estratégicos definidos, dentro de los cuales se contemplarán las distintas entidades que componen el Conglomerado. 3.3 Evaluar regularmente los resultados comparándolos contra el presupuesto aprobado. 3.4 Revisar al menos anualmente los planes, objetivos, iniciativas estratégicas y proyectos asociados, los planes de negocio, el apetito y los límites de riesgo para asegurar que siguen siendo válidos. 3.5 Asegurar la existencia de un sistema de información íntegro, confiable y oportuno que permita tomar sus decisiones y que asegure la efectividad de las mismas. 3.6 Aprobar una estrategia y un marco de gobernanza y gestión de Tecnología de la Información (TI) alineadas a la estrategia general de la institución, así como orientar, evaluar y monitorear su implementación por parte de la Alta Gerencia. Para ello debe asegurar que:  Cuenta con una organización clara y eficaz, así como con personal capacitado para una adecuada gestión de tecnología ( TI) y de los riesgos asociados.  El soporte de TI permite dar cumplimiento a los requerimientos legales, regulatorios, contractuales y operativos para el manejo de riesgos. EMG Final.pdf Folio n° 104 Expediente N°: 2025-50-1-01643 3.7 Considerar en la estrategia los posibles impactos de los riesgos financieros relacionados con el clima. 4. En un Conglomerado Financiero, el Directorio de la entidad controlante debe asegurar el establecimiento y funcionamiento de un marco de gobierno corporativo claro y adecuado para la estructura, negocio y riesgos del Conglomerado y sus entidades. El Directorio debe conocer y comprender la estructura organizativa del Conglomerado y los riesgos que asume. A fin de cumplir sus responsabilidades, el Directorio de la entidad controlante debe: COMUNICACIÓN N°2025/ 4.1 Establecer un marco de gobierno corporativo con funciones y responsabilidades claramente definidas. 4.2 Ser consciente de los riesgos sustanciales que puedan afectar tanto a la entidad controlante como a sus subsidiarias, incluyendo tanto a entidades locales como del exterior, reguladas y no reguladas. 4.3 Ejercer una vigilancia adecuada de las subsidiarias, al tiempo que respeta la independencia de las responsabilidades jurídicas y de gobierno que puedan corresponder a los Directorios de las mismas. 4.4 Asegurar que la estructura del Conglomerado:  Sea clara y transparente, evitando la existencia de estructuras opacas, carentes de sustancia económica o fines empresariales. En este sentido, la realidad jurídica debe ser consistente con la realidad económica.  Deje de manifiesto la unidad que ejerce el control final del Conglomerado.  Resulte adecuada al perfil de riesgos y modelo de negocio del Conglomerado.  Permita al supervisor ejercer una supervisión efectiva sobre las actividades del Conglomerado. 4.5 Incluir en el marco de gobierno corporativo del Conglomerado políticas y procedimientos para identificar y tratar potenciales conflictos de intereses intragrupo, 4.6 Asegurar que existen políticas y procedimientos claramente definidos en relación a las operaciones entre empresas del Conglomerado, para:  evaluar su riesgo  ser sometidas a límites apropiados  ser pactadas en condiciones de mercado de forma de evitar desventajas en perjuicio de alguna entidad del grupo o sus clientes. 4.7 Asegurar que existan sistemas eficaces para intercambiar información y gestionar los riesgos de las distintas entidades del Conglomerado y de éste en su conjunto. 4.8 Comunicar oportunamente al supervisor cualquier cambio de estructura, de la situación económica financiera o de cualquier otro hecho relevante del Conglomerado. 5. El Directorio debe seleccionar, monitorear y si es necesario reemplazar a la Alta Gerencia Para ello, el Directorio debe: 5.1 Aprobar los roles y responsabilidades de la Alta Gerencia. 5.2 Evaluar si el conocimiento, integridad y experiencia de la Alta Gerencia siguen siendo apropiados dada la naturaleza del negocio y el perfil de riesgo del banco. 5.3 Evaluar regularmente la efectividad y prudencia de la Alta Gerencia en la gestión de las operaciones y de los riesgos, así como de los Directorios de las empresas subsidiarias, cuando corresponda y establecer las posibles consecuencias si dichas acciones no se alinean con las expectativas de desempeño del Directorio. Esto incluye respetar los valores de la institución, su cultura y apetito de riesgo en todas las circunstancias. 5.4 Asegurar que las actuaciones de la Alta Gerencia son coherentes con la estrategia y políticas aprobadas por el Directorio, incluido el apetito de riesgo. 5.5 Cuestionar y revisar de forma crítica las explicaciones e información facilitada por la Alta Gerencia. EMG Final.pdf Folio n° 105 Expediente N°: 2025-50-1-01643 5.6 Aprobar los planes de sucesión de la Gerencia General y de la Alta Gerencia. 6. El Directorio debe aprobar el marco de gestión de riesgos que contenga la declaración de apetito de riesgo consistente con los objetivos estratégicos, los límites de riesgo y políticas asociadas que permitan la identificación, medición, monitoreo y control de todos los riesgos que puedan afectar el cumplimiento de los objetivos de la entidad, tanto a nivel individual como en base consolidada. Para ello el Directorio debe: 6.1 Entender todos los riesgos materiales que enfrenta la entidad y el Conglomerado de manera integral, incluyendo aquellos provenientes de entidades reguladasCOMUNICACIÓN o no reguladasN°2025/ establecidas en el país o en el exterior, así como también vehículos de propósito especial y definir el nivel de exposición a cada tipo de riesgo en forma individual. Asegurarse que se lleva adelante un proceso de gestión integral de gestión de riesgos para:  identificar, medir, evaluar, supervisar, informar y controlar o mitigar todos los riesgos materiales de forma oportuna (lo que puede implicar abordar riesgos relacionados con la digitalización, riesgos financieros relacionados con el clima y otros riesgos emergentes).  evaluar la adecuación de capital, liquidez y la sostenibilidad del modelo de negocio en relación con el perfil de riesgos, las condiciones macroeconómicas y de mercado. 6.2 Promover una cultura de riesgos en la organización y en todas las entidades del Conglomerado. 6.3 Aprobar el marco de gestión de riesgos que incluya la declaración del apetito de riesgo, los roles y responsabilidades asociados, así como los mecanismos de medición y seguimiento y revisarlo periódicamente. La declaración del apetito de riesgo debe:  ser consistente con la estrategia general y el plan de negocios definidos.  considerar todos los riesgos identificados en el sistema de gestión integral de riesgos, incluyendo los riesgos de TI y de Seguridad de la Información.  contemplar los riesgos propios de la naturaleza del Conglomerado cuando corresponda  estar claramente definida por escrito y cumplir con los requisitos regulatorios y ser adecuada para la índole y complejidad de las actividades de la institución.  para cada uno de los riesgo fijar niveles deseados, tanto cuantitativos como cualitativos 6.4 Asegurar que la Alta Gerencia implemente un sistema de gestión integral de riesgos que contemple el apetito de riesgo definido por el Directorio y que involucra a todo el personal. 6.5 Asegurar que cuenta con los recursos requeridos para gestionar los riesgos dentro del marco establecido, tomando en cuenta las presiones externas de precio, tiempo y/o estructura que puedan sobrevenir. 6.6 Garantizar que existan políticas y procedimientos escritos que constituyan una guía efectiva para asumir y gestionar los riesgos y que dichos procedimientos estén implementados previo a la realización de nuevas actividades o al lanzamiento de nuevos productos. 6.7 Asegurar que se cuenta con sistemas de información interna y de agregación de datos que permitan monitorear los riesgos significativos (incluidos aquellos relacionados con el clima) y generar información para garantizar la toma de decisiones oportuna por parte del Directorio y la Alta Gerencia. 6.8 Asegurar que se cuenta con programas de pruebas de tensión prospectivas, acordes con el perfil de riesgo como parte integral del proceso de gestión del riesgo. 6.9 Aprobar una estrategia y un marco de gobernanza y gestión de Seguridad de la información que incluya aspectos de ciberseguridad alineados a la estrategia general de la institución y orientar, evaluar y monitorear su implementación por parte de la Alta Gerencia. Para ello, debe asegurar que cuenta con una organización clara y eficaz y con personal capacitado. 6.10 Asegurar que existe una gestión de TI cuyos objetivos se encuentran alineados con los del negocio. 6.11 Asegurar que existe un sistema de Evaluación de Riesgos que garantiza el logro de los objetivos de TI y de seguridad de la información y que permita a la institución responder a las amenazas que pueden afectar estos servicios. EMG Final.pdf Folio n° 106 Expediente N°: 2025-50-1-01643 6.12 Asegurar que los procesos de TI, ciberseguridad y seguridad de la información se monitorean y son auditados regularmente por personas independientes. 6.13 Aprobar los lineamientos estratégicos y el marco de gobernanza y gestión en materia de resiliencia operativa y asegurar que la institución cuenta con una política de gestión de incidentes y un plan de continuidad del negocio adecuado al volumen, naturaleza y complejidad de sus operaciones y que, en particular, incluya un plan de contingencia de TI. 6.14 Aprobar una estrategia y marco de gobernanza y gestión de datos alineados a la estrategia general de la institución, así como orientar, evaluar y monitorear su implementación por parte de la Alta Gerencia. Para ello, debe asegurar que cuenta con una organización clara y eficaz y con personal capacitado. COMUNICACIÓN N°2025/ 6.15 Formalizar en el marco de gestión de riesgos la interacción con otros procesos estratégicos 9, como lo constituyen el proceso de autoevaluación de capital (PAC o ICAAP por su sigla en inglés –Internal Capital Adequacy Assessment Process), el proceso de autoevaluación de liquidez (PAL o ILAAP por su sigla en inglés –Internal Liquidity Adequacy Assessment Process), el plan de recuperación y el marco de remuneraciones al personal, particularmente aquellas retribuciones variables sujetas al cumplimiento de metas o resultados, con el grado de detalle suficiente que permita evaluar que se asignen incentivos adecuados y alineados a los intereses de largo plazo. 7. El Directorio debe promover una cultura corporativa que exija y provea los incentivos adecuados para una conducta ética y que evite o administre los posibles conflictos de interés Para ello el Directorio debe: 7.1 Establecer y comunicar los estándares éticos (a través de un Código de Ética) que guíen el accionar de la institución financiera, así como del Conglomerado. 7.2 Definir una política sobre conflictos de intereses y un procedimiento de cumplimiento para su aplicación. 7.3 Actuar como ejemplo del cumplimiento de los estándares éticos. 7.4 Asegurar que la Alta Gerencia implementa políticas y procedimientos adecuados para evitar o administrar los posibles conflictos de interés y confirmar que los empleados y la Alta Gerencia son conscientes de que se tomarán medidas disciplinarias u otras medidas apropiadas ante comportamientos inaceptables o infracciones. 7.5 Asegurar que existen políticas y procedimientos claramente definidos para el tratamiento de operaciones con el personal superior o con empresas vinculadas a éste o al accionista. Estas políticas deben incluir la aprobación por parte del Directorio de las operaciones más significativas (excluyendo a Directores que pueden tener conflictos de interés). 7.6 Asegurar que existen políticas y procedimientos claramente definidos en relación a las operaciones entre empresas del conglomerado, de forma de evaluar sus riesgos y asegurar que sean pactadas en condiciones de mercado, evitando desventajas en perjuicio de alguna entidad del grupo o sus clientes. 7.7 Asegurar que las políticas de compensación son transparentes y consistentes con la estrategia global de largo plazo, la cultura y apetito de riesgo de la institución y que existen mecanismos para verificar su cumplimiento. El sistema de remuneración debe crear los incentivos necesarios para gestionar en forma adecuada el riesgo, el capital y la liquidez. 7.8 Vigilar la integridad, independencia y eficacia de las políticas y procedimientos de denuncia de irregularidades de la institución. 8. El Directorio debe promover una cultura de control en la institución y a nivel del Conglomerado cuando corresponda, verificando que la Alta Gerencia implementa las políticas y procedimientos necesarios para que todos entiendan su rol en el control interno y la gestión de riesgos. Para ello, el Directorio debe: 8.1 Promover una cultura de riesgo y transmitir que todos los empleados son responsables de ayudar a la institución a operar dentro del grado de apetito de riesgo y las delimitaciones del riesgo establecidas. 9 Las referencias a ICAAP, ILAAP y planes de recuperación no aplica a las empresas administradoras de crédito de mayores activos. EMG Final.pdf Folio n° 107 Expediente N°: 2025-50-1-01643 8.2 Aprobar la estructura organizativa acorde al tamaño, complejidad, naturaleza y volumen de las operaciones y al perfil de riesgos de la institución y asegurar que la misma es conocida por toda la organización. Esta estructura debe asegurar:  una clara separación y equilibrio de las funciones comerciales y de toma de riesgos de las funciones de monitoreo y control.  que existan sendas funciones de riesgo y de cumplimiento claramente definidas e independientes de la gestión, contando con la suficiente autoridad, relevancia, recursos y acceso al Directorio.  que existe una adecuada segregación de funciones que facilite los controles cruzados.  que exista una función de Auditoría Interna, independiente de la gestión,COMUNICACIÓN que cuente conN°2025/ la suficiente autoridad, relevancia, recursos y acceso al Directorio 8.3 Asegurar que existen mecanismos de control interno efectivos, acorde a la naturaleza y complejidad de las operaciones. 8.4 Asegurar que existe una clara definición de deberes y responsabilidades que sea consistente con la estrategia definida y que permita una clara asignación de autoridad. 8.5 Asegurar que la estructura organizativa definida permite un monitoreo de la subsidiarias y que sus actividades se incluyen dentro de los controles y auditorías regulares. 8.6 Controlar a la Alta Gerencia en la implementación de las estrategias y el cumplimiento de las políticas establecidas. 8.7 Asegurar que el nivel de control se mantiene aún en el caso de tareas tercerizadas. 8.8 Asegurar que el Comité de Auditoría y/o la Auditoría Interna brinden garantías sobre el Sistema de información Gerencial, de modo que el mismo sea oportuno, íntegro y confiable. 9. El Directorio debe asegurar que el Comité de Auditoría cumple su cometido. Para ello, el Directorio debe: 9.1 Aprobar un estatuto o misión que establezca el propósito del Comité, sus objetivos, organización, autoridad y responsabilidad, así como las características que debe tener el Registro especial de informes sobre el Sistema de Gestión Integral de Riesgos. 9.2 Asegurar que la integración de este Comité de Dirección es acorde con la naturaleza, complejidad y volumen de las operaciones de la institución y que permite cumplir su cometido con independencia. Para ello, la mayoría de los miembros no deben estar involucrados con la gestión diaria de la entidad. 9.3 Asegurar que la experiencia de todos sus miembros es compatible con sus obligaciones, debiéndose procurar que en su conjunto cuenten con formación en las áreas financiero- contable, auditoría y tecnologías de la información (entre otras). 9.4 Proveer al Comité de Auditoría de apoyo y recursos para que pueda desempeñar sus funciones en forma independiente. 9.5 Asegurar que la periodicidad de las reuniones es suficiente para monitorear y evaluar el adecuado funcionamiento de los mecanismos de control interno. 9.6 Tener comunicación regular con el Comité de Auditoría promoviendo la rápida resolución de debilidades encontradas. 9.7 En caso de corresponder, asegurar que el Comité de Auditoría considere el impacto de estar integrando un Conglomerado. 10. El Directorio debe asegurar que la función de Auditoría Interna cumple su cometido. Para ello el Directorio debe: 10.1 Asegurar que la Auditoría Interna es independiente de las actividades auditadas y que cuenta con la suficiente autoridad y jerarquía para poder actuar con objetividad e imparcialidad. 10.2 Asegurar que la línea de reporte es a sí mismo o al Comité de Auditoría. En el caso de las sucursales, deberá reportar además a la Auditoría Interna corporativa y debe tener independencia presupuestal respecto a las operaciones locales. EMG Final.pdf Folio n° 108 Expediente N°: 2025-50-1-01643 10.3 Asegurar que la función de Auditoría Interna es llevada a cabo por personal independiente, competente y capacitado y que existen recursos suficientes para cumplir con los objetivos establecidos y el plan anual. 10.4 Asegurar, en forma directa o a través del Comité de Auditoría que el Auditor Interno cumple con sus cometidos con eficacia y eficiencia. 10.5 Asegurar el acceso de la Auditoría Interna a la información necesaria para ejercer su función con eficacia. 10.6 Vigilar que la Alta Gerencia actúa para resolver deficiencias o debilidades encontradas por la Auditoría Interna. COMUNICACIÓN N°2025/ 11. El Directorio debe asegurar que la Auditoría Externa cumple su cometido. Para ello, el Directorio debe: 11.1 Reconocer y comunicar la importancia de la función de Auditoría Externa dentro de la organización. 11.2 Tomar las medidas necesarias para asegurar la independencia de la Auditoría Externa dentro de la organización. 11.3 Asegurar que la Alta Gerencia toma las medidas las necesarias para corregir los problemas detectados oportunamente. 12. El Directorio es responsable de la gobernanza eficaz e implementación del proceso de autoevaluación de capital (PAC o ICAAP por su sigla en inglés). (EMG aplicable a bancos de importancia sistémica10). Para ello el Directorio debe: 12.1 Suscribir anualmente la declaración de suficiencia o adecuación de capital, basada en los resultados del PAC y en cualquier otra información relevante. 12.2 Aprobar y revisar periódicamente los siguientes elementos clave del PAC:  la estructura de gobernanza;  los requisitos de documentación interna;  el perímetro de entidades consideradas, el proceso de identificación de riesgos y el inventario o la taxonomía interna, reflejando el alcance de los riesgos materiales así como su cobertura de capital;  las metodologías de cuantificación de los riesgos, incluidas las hipótesis y los parámetros generales de cuantificación (por ejemplo, horizonte temporal, hipótesis sobre diversificación y niveles de confianza), sustentadas en datos fiables y en sistemas sólidos de agregación de datos;  el enfoque utilizado para evaluar la adecuación del capital (incluido el marco de pruebas de tensión y una definición clara de la adecuación del capital);  los riesgos que han de considerarse materiales y cuáles de ellos se cubrirán con capital. 12.3 Definir políticas y procedimientos de revisión interna y validación adecuados, así como tomar conocimiento de sus resultados. 12.4 Asegurar que la adecuación del capital se gestiona activamente y que la entidad mantiene una capitalización adecuada de forma continuada, teniendo en cuenta la perspectiva normativa y económica. 12.5 Aprobar una definición y una metodología adecuadas para determinar el capital de manera prudente y conservadora. 12.6 Evaluar y definir colchones de gestión por encima de los mínimos regulatorios y de las necesidades internas de capital, que le permitan a la entidad aplicar su estrategia de forma sostenible. 12Bis. El Directorio debe aprobar el plan de recuperación y supervisar su implementación. (EMG aplicable a bancos de importancia sistémica). 10 Sin perjuicio que constituye una guía para el resto de las instituciones de intermediación financiera. EMG Final.pdf Folio n° 109 Expediente N°: 2025-50-1-01643 Para ello, el Directorio debe: 12Bis 1 Aprobar un plan de recuperación alineado con la estrategia del banco, su marco de gestión de riesgos, su apetito de riesgos, así como con otros procesos clave del banco, como la planificación de capital, la gestión de liquidez, las pruebas de tensión, la continuidad del negocio y la planificación operativa. El resultado debe ser consistente con el que surja de la planificación de recuperación de su entidad controlante o matriz, en caso de corresponder. 12Bis 2 Aprobar los siguientes elementos clave del plan: COMUNICACIÓN N°2025/  Definición de las principales líneas de negocio, procesos y proveedores críticos, aplicativos informáticos, así como el perímetro de entidades consideradas.  Factores desencadenantes.  Alternativas viables para la recuperación ante escenarios de tensión internos y externos severos para restaurar la solidez financiera y la viabilidad del banco de manera oportuna.  Evaluación de impacto.  Procedimientos para la toma de decisiones, definiendo roles y responsabilidades para implementar el plan y plazos bien para la toma de decisiones ante una crisis, asegurando que el Directorio (o un Comité Delegado) pueda actuar rápidamente.  Reportes gerenciales.  Procedimientos de comunicación para informar a las partes interesadas. 12Bis 3 Revisar el plan al menos anualmente, o bien cuando la Alta Gerencia proponga modificaciones en caso de ocurrencia de eventos que cambien materialmente la estructura, estrategia, operaciones o exposición al riesgo agregado de la entidad. 12Bis 4 Asegurar la notificación inmediata a la Superintendencia de Servicios Financieros del BCU cuando se activen medidas de recuperación. ALTA GERENCIA Las responsabilidades de la Alta Gerencia se centran en la implementación de las políticas, procedimientos, procesos y controles necesarios para gestionar las operaciones y riesgos en forma prudente para cumplir con los objetivos estratégicos y el apetito de riesgo fijados por el Directorio. Asimismo debe asegurar que el Directorio recibe información relevante, íntegra y oportuna que le permita evaluar la gestión y analizar si las responsabilidades delegadas a la Alta Gerencia se están cumpliendo efectivamente. En general, debe entenderse como Alta Gerencia al equipo formado por la Gerencia General o similar y las líneas de reporte relevantes, quienes en su conjunto son los responsables de la ejecución de la estrategia de la institución. Los estándares mínimos que la Alta Gerencia debe cumplir son los que se detallan a continuación: 13. La Alta Gerencia como equipo y cada uno de sus integrantes deben poseer los conocimientos y habilidades para gestionar y supervisar la actividad de conformidad con la estrategia del negocio, el apetito de riesgo y otras políticas aprobadas por el Directorio. Para ello, la Alta Gerencia debe: 13.1 Estar integrada por personas con capacidad, experiencia e integridad necesarias para gestionar las actividades y el personal bajo su supervisión. 13.2 Trabajar como equipo respetando los roles de los distintos integrantes y asegurar el cumplimiento de las directivas establecidas por el Directorio. 13.3 Ejercer una adecuada vigilancia de sus subordinados y garantizar que las actividades de la institución son coherentes con la estrategia de negocio, apetito de riesgo y políticas aprobadas por el Directorio. 13.4 Tener acceso regular a capacitación para mantener y mejorar sus competencias, así como mantenerse al tanto de los desarrollos relevantes para sus áreas de responsabilidad. 14. La Alta Gerencia debe establecer y seguir un proceso continuo y adecuado para la gestión estratégica de la entidad en función de los lineamientos del Directorio y rendir cuentas a éste de lo actuado. Para ello, la Alta Gerencia debe: EMG Final.pdf Folio n° 110 Expediente N°: 2025-50-1-01643 14.1 Desarrollar y presentar al Directorio para su aprobación:  El plan de negocios en base a los lineamientos estratégicos y a la declaración de apetito de riesgo definidos por el Directorio, que considere las características del entorno económico y de negocios, la situación financiera y patrimonial de la institución y los riesgos en los cuales tiene o tendrá exposiciones.  El presupuesto anual.  El plan de gestión de incidentes que afecten la integridad, disponibilidad y/o confidencialidad de la información y el plan de continuidad del negocio, de acuerdo a los lineamientos estratégicos y el marco de gestión definidos en materia de resiliencia operativa. COMUNICACIÓN N°2025/ 14.2 Implementar la estrategia y el plan de negocios aprobado. 14.3 Asegurar que la estructura organizacional es consistente con los objetivos estratégicos y políticas aprobadas por el Directorio. 14.4 Monitorear periódicamente el cumplimiento con respecto al presupuesto y al plan de negocios y analizar los desvíos. 14.5 Monitorear los resultados de las pruebas de los planes de continuidad y de los planes de gestión de incidentes de seguridad de la información. 14.6 Proveer al Directorio información completa, relevante, oportuna y periódica al menos sobre los siguientes temas:  implementación de la estrategia y de los planes de negocios,  implementación de la estrategia y perfil de riesgo  los resultados y condición financiera de la institución  excepciones a los límites del riesgo y/o infracciones a las normas de cumplimiento  deficiencias en los controles internos;  inquietudes jurídicas o reguladoras;  denuncia de irregularidades  resultados de las pruebas del plan de continuidad y resiliencia operativa  seguridad de la información 14.7 Poner en práctica las políticas de compensación fijadas por el Directorio. 15. La Alta Gerencia debe implementar un sistema de gestión integral de riesgos que contemple el apetito de riesgo, involucre a todo el personal y sea proactivo. Para ello, la Alta Gerencia debe: 15.1 Implementar la estrategia de riesgos aprobada por el Directorio. 15.2 Asegurar que existe un responsable del manejo de cada uno de los riesgos (incluyendo aquellos relacionados con el clima) y un sistema que permita obtener una visión integral de los riesgos que asume la entidad. 15.3 Desarrollar, poner en práctica y hacer cumplir los procesos y procedimientos que permitan identificar, medir, monitorear y controlar todos los riesgos que puedan afectar el cumplimiento de los objetivos de la institución. Estos procedimientos deben considerar el riesgo en todas las actividades de la institución, dentro y fuera de balance, a nivel de carteras, líneas de negocio y de grupo. 15.4 Asegurar que cuenta con los recursos suficientes para un manejo adecuado de acuerdo al marco de riesgos determinado por la Dirección. 15.5 Asegurar que el personal involucrado en el proceso de Gestión de Riesgos tiene la capacidad técnica para comprender y analizar los riesgos asumidos. La descripción de funciones, cargos y responsabilidades del personal involucrado deberá incluir explícitamente el rol en el sistema de gestión integral de riesgos. 15.6 Implementar procedimientos sobre las políticas de seguridad de la información aprobadas por el Directorio. 15.7 Implementar un proceso para la aprobación y puesta en producción de nuevos productos que asegure un adecuado control y gestión de riesgos antes de su introducción o implementación. 15.8 Evaluar y revisar periódicamente los riesgos a los que se enfrenta la institución y su perfil general de riesgo reportándolo oportunamente al Directorio. EMG Final.pdf Folio n° 111 Expediente N°: 2025-50-1-01643 15Bis. La Alta Gerencia debe implementar un proceso interno de evaluación de la adecuación de capital (PAC) que incluya una planificación de capital y pruebas de tensión exhaustivas y que asegure que todos los riesgos materiales se identifican y gestionan eficazmente y se cubren con una cantidad suficiente de capital de alta calidad. (EMG aplicable a bancos de importancia sistémica11). Para ello la Alta Gerencia debe: 15Bis 1 Implementar, al menos anualmente, un proceso para identificar todos los riesgos materiales a los que está o podría estar expuesta la entidad, mediante un enfoque global que incluya todas las líneas de negocio, exposiciones y entidades jurídicas relevantes, eN°2025/ COMUNICACIÓN incluirlos en un inventario interno de riesgos exhaustivo. 15Bis 2 Definir metodologías de cuantificación de los riesgos adecuadas a sus circunstancias particulares, teniendo en cuenta que los parámetros e hipótesis principales sean coherentes entre las categorías de riesgo. 15Bis 3 Implementar una revisión interna de los resultados e hipótesis del PAC, que abarque la planificación de capital, los escenarios y la cuantificación de los riesgos. Se deberá analizar si los procesos internos y las metodologías e hipótesis utilizadas han proporcionado resultados sólidos (back-testing) y si siguen siendo adecuados teniendo en cuenta la situación actual y los probables acontecimientos futuros. 15Bis 4 Definir un programa adecuado de pruebas de tensión, tanto para la perspectiva regulatoria como para la económica, que contemple:  Un examen específico y en profundidad de sus vulnerabilidades, derivados de su modelo de negocio y su entorno operativo en un contexto de tensión de las condiciones macroeconómicas y financieras.  Un abanico de escenarios adversos que cubra adecuadamente desaceleraciones económicas severas y perturbaciones financieras, vulnerabilidades relevantes específicas de la entidad, exposiciones frente a contrapartes importantes y combinaciones plausibles de las anteriores.  La utilización de hipótesis macroeconómicas severas pero plausibles y el énfasis en las principales vulnerabilidades que tengan un impacto material en el capital interno y regulatorio de la entidad.  Seguimiento continuo del entorno y actualización periódica del impacto de los distintos escenarios.  Pruebas de tensión inversas. 15Ter. La Alta Gerencia debe elaborar e implementar el plan de recuperación siguiendo los lineamientos de Directorio garantizando su operatividad en caso de crisis y su integración con la estrategia y el marco de gestión de riesgos de la institución. (EMG aplicable a bancos de importancia sistémica). Para ello, la Alta Gerencia debe: 15Ter 1 Diseñar el plan de recuperación con base en los lineamientos del Directorio, garantizando su operatividad en caso de crisis y su integración con la estrategia de la institución y su marco de gestión de riesgos 15Ter 2 Revisar el plan al menos anualmente, o en respuesta a un evento o cambios en el perfil de riesgo del banco, así como frente a cambios significativos del mercado. La revisión debe comprender los desencadenantes (incluye umbrales y calibración) y las alternativas de recuperación. 15Ter 3 Integrar el plan y el proceso de recuperación a la gestión integral de riesgos de la entidad, para lo cual se deberá:  Implementar un sistema de monitoreo de desencadenantes o indicadores clave que permitan una activación rápida del plan.  Ejecutar pruebas de tensión y simulacros periódicos para evaluar la efectividad del plan y mejorar su implementación, asegurando que las estrategias de recuperación sean efectivas y viables.  Emitir reportes gerenciales con información sobre el monitoreo de los desencadenantes. 11 Sin perjuicio que constituye una guía para el resto de las instituciones de intermediación financiera. EMG Final.pdf Folio n° 112 Expediente N°: 2025-50-1-01643 15Ter 4 Implementar el plan de recuperación, para lo cual se debe:  Asegurar la ejecución de las estrategias de recuperación aprobadas por Directorio cuando se detecten señales de alerta.  Asignar recursos adecuados para la implementación de estrategias de recuperación.  Proveer al Directorio información completa y periódica sobre la situación financiera y los avances en la ejecución del plan.  Asegurar el cumplimiento de los requisitos de comunicación y reporte a la Superintendencia de Servicios Financieros y otras partes interesadas. COMUNICACIÓN N°2025/ 16. La Alta Gerencia debe promover una cultura de control en toda la organización. Para ello, la Alta Gerencia debe: 16.1 Diseñar y mantener una estructura organizacional de acuerdo a los lineamientos aprobados por el Directorio, la que asegure un adecuado sistema de control. 16.2 Diseñar un sistema de comunicación que asegure que todo el personal de la institución entiende y cumple su rol en el control interno. 16.3 Asegurar que existen comités y delegaciones de responsabilidades que garanticen la coordinación y comunicación de actividades entre distintas áreas y que promuevan la transparencia y rendición de cuentas. 16.4 Asegurar que los comités mantengan adecuadamente documentadas sus deliberaciones y decisiones (por ejemplo, actas de reuniones o resúmenes de temas tratados, recomendaciones emitidas y decisiones adoptadas). 16.5 Demostrar en su actuación diaria un claro compromiso con el control. 16.6 Mantener un seguimiento estricto de los riesgos derivados de las actividades tercerizadas, evaluando su impacto en la calidad del sistema de control. 16.7 Tomar las medidas necesarias para corregir los problemas detectados por el Auditor Interno o Auditor Externo y Supervisores. 16.8 Facilitar el relacionamiento con el supervisor y proveer los elementos necesarios para que éste pueda cumplir su rol. 16.9 Proporcionar al Directorio la información que necesite para efectuar sus funciones de supervisión de la Alta Gerencia y evaluar la calidad de su desempeño. 17. La Alta Gerencia debe implementar las políticas aprobadas por el Directorio para evitar o administrar posibles conflictos de interés y establecer los procedimientos de control necesarios. Para ello, la Alta Gerencia debe: 17.1 Implementar las políticas y procedimientos para identificar, evitar o administrar y explicitar adecuadamente los conflictos de intereses, en particular, en lo vinculado a las operaciones con entidades relacionadas. 17.2 Asegurar, en caso de concederse préstamos a los empleados, que existen procedimientos que regulen la operativa y su efectivo cumplimiento. Estas operaciones deben estar sujetas a revisión de los Auditores Internos y Externos. 17.3 Implementar procedimientos que aseguren que la entidad cumple efectivamente con lo dispuesto por la ley en relación a la concesión de créditos o avales al personal superior, así como a empresas o a instituciones de cualquier naturaleza en las que el personal superior actúe en forma rentada u honoraria. 18. La Alta Gerencia debe a s e g u r a r l a implementación de un proceso íntegro de gestión de la Tecnología de Información (TI) y ciberseguridad consistente con la estrategia. Para ello se debe cumplir que: 18.1 Los roles del responsable del área de TI y ciberseguridad se encuentran claramente definidos. 18.2 Existen políticas de medición y mitigación de los riesgos en los procesos. EMG Final.pdf Folio n° 113 Expediente N°: 2025-50-1-01643 18.3 Se entiende y comunica la necesidad de cumplir con los requerimientos del organismo supervisor. 18.4 El Área de TI esté ubicada dentro de la estructura general de la organización de modo de garantizar la competencia técnica e independencia respecto de las áreas usuarias, para garantizar soluciones de tecnología de la información útiles para la organización. 18.5 El área de TI tenga la habilidad de desarrollar, adquirir, instalar y mantener soluciones apropiadas y acordes a las necesidades de la entidad, en forma prudente y dentro de un ambiente controlado. COMUNICACIÓN N°2025/ 18.6 Existan procedimientos de control de la gestión del área de TI y ciberseguridad. Los servicios a ser prestados por el área de TI deben ser monitoreados (indicadores clave del desempeño y/o factores críticos de éxito) por la Alta Gerencia y comparados con los niveles mínimos establecidos. La evaluación del desempeño del área de TI debe llevarse a cabo en forma continua. 18.7 Se mida, a intervalos regulares, la satisfacción del cliente sobre los servicios prestados por el área de TI para identificar el déficit en los niveles de servicio y establecer objetivos de mejoras. 18.8 Los procesos que no alcancen las metas mínimas de desempeño establecidas, se seleccionan para ser incluidos en procesos de mejoras. 18.9 Se ejecutan los procedimientos implementados sobre las políticas de seguridad de la información aprobadas por el Directorio. 19. La Alta Gerencia debe definir e implementar un sistema de información adecuado para cuantificar, evaluar e indicar el volumen, composición y calidad de las exposiciones de los riesgos que asume la entidad. La información debe ser confiable, oportuna, fácilmente accesible y provista en un formato adecuado. Para ello, el sistema de información debe: 19.1 Cubrir todas las actividades significativas de la institución. 19.2 Captar la información relevante de todas las entidades que conforman el Conglomerado cuando corresponde, recogiendo especialmente la información de operaciones y exposiciones intra-grupo y concentraciones de exposiciones con terceros. 19.3 Incluir información sobre eventos externos y condiciones relevantes a la toma de decisiones. 19.4 El proceso de generación de información debe ser seguro, estar independientemente monitoreado y respaldado con planes de contingencia adecuados. 19.5 El sistema de información debe cumplir con las características de:  Oportunidad - El sistema debe proveer información actualizada en forma oportuna a los usuarios apropiados, de forma de facilitar la toma de decisiones.  Precisión - El sistema de controles sobre el procesamiento de información debe ser efectivo.  Consistencia - La información debe ser procesada y compilada en forma consistente y uniforme. Los cambios en los sistemas deben estar adecuadamente documentados y claramente comunicados a los usuarios de la información.  Integridad - Los tomadores de decisiones deben contar con información completa y pertinente en forma sintetizada.  Relevancia - Está directamente relacionado con las necesidades de la Gerencia y la Dirección para el desarrollo de su trabajo. 19.6 El proceso de generación de información debe ser seguro, estar independientemente monitoreado y respaldado con planes de continuidad adecuados. 19.7 Los informes remitidos al organismo supervisor y al Directorio deben proveer datos confiables, para lo cual se deben verificar previamente. COMITÉ DE AUDITORÍA 20. El Comité de Auditoría debe asegurar que el sistema de gestión integral de riesgos de la institución es adecuado y que se toman las medidas necesarias para su mantenimiento en forma continua, así como el cumplimiento de la regulación EMG Final.pdf Folio n° 114 Expediente N°: 2025-50-1-01643 aplicable. Para ello, el Comité de Auditoría debe: 20.1 Estar conformado adecuadamente de forma de asegurar el cumplimiento de los objetivos fijados para esta estructura de control. 20.2 Tomar medidas para que la Alta Gerencia lleve a cabo las acciones correctivas necesarias para subsanar las observaciones de la Auditoría Interna, Externa y del Supervisor de manera oportuna y monitorear su implementación. Para ello se debe tener en cuenta los informes de la entidad individual como del resto de las entidades del conglomerado. También deben considerar la resolución de los hallazgos de las distintas entidadesN°2025/ COMUNICACIÓN pertenecientes al Conglomerado cuando corresponda. 20.3 Proveer información al Directorio que le permita evaluar el desempeño del Comité de Auditoría y sus preocupaciones. 20.4 Asegurar que la Alta Gerencia establece y mantiene un adecuado y efectivo sistema de gestión integral de riesgos 20.5 Implementar un proceso orientado a identificar áreas de riesgo donde se debe profundizar las tareas de Auditoría y documentar sus resultados por lo menos anualmente. 20.6 Aprobar el Estatuto del Auditor Interno en donde se establece el propósito de la Auditoría Interna, sus objetivos, su autoridad y responsabilidades. 20.7 Analizar y aprobar el plan y cronograma anual de Auditoría Interna y monitorear su funcionamiento y desempeño en el cumplimiento de los planes de Auditoría oportunamente aprobados. 20.8 Asegurar que la Auditoría Interna revise los riesgos derivados de pertenecer a un conglomerado financiero (Ej. operaciones intra-grupo). 20.9 Contar con un proceso para aprobar -o bien para recomendar que se apruebe- la designación, reelección, sustitución y remuneración del Auditor Externo e informar al Directorio. Esta contratación también puede ser realizada por el propio Directorio. 20.10 Validar el plan de trabajo de la Auditoría Externa. 20.11 Efectuar una evaluación y seguimiento de la independencia del Auditor Externo, asegurando que otras tareas adicionales (por ejemplo, consultorías) son compatibles y no impactan negativamente. Asimismo, considerar a dichos efectos otros aspectos tales como la antigüedad de la contratación e importancia de la facturación por otros servicios prestados a la entidad. 20.12 Revisar los informes de la Auditoría Externa y de la Auditoría Interna tanto de la entidad individual, como del resto de las entidades del Conglomerado, cuando corresponda. 20.13 Establecer una comunicación eficaz con el Auditor Externo y exigirle que le informe sobre todos los asuntos pertinentes de forma que permita a dicho comité desempeñar sus responsabilidades de vigilancia y mejorar la calidad de la auditoría. 20.14 Acceder a los resultados obtenidos por el Síndico o la Comisión Fiscal en la realización de sus tareas, según surja de sus respectivos informes. 20.15 Mantener comunicación periódica con la Superintendencia de Servicios Financieros a fin de conocer sus inquietudes, los problemas detectados en la supervisión de la institución, así como el seguimiento llevado a cabo para su solución. 20.16 Revisar las políticas establecidas en la institución relativas al cumplimiento de leyes y regulaciones, normas de ética, conflictos de intereses e investigaciones por faltas disciplinarias y fraude. AUDITORÍA INTERNA 21. La función de Auditoría Interna debe proporcionar fiabilidad al Directorio y al Comité de Auditoría sobre la calidad y eficacia de los sistemas y procesos de control interno, sobre los procesos de gestión del riesgo, cumplimiento y gobierno corporativo de la institución, contribuyendo con ello al Directorio y al Comité de Auditoría a efectos de proteger la organización y su reputación. Para el cumplimiento el Auditor Interno debe: EMG Final.pdf Folio n° 115 Expediente N°: 2025-50-1-01643 21.1 Tener un mandato claro, rendir cuentas al Directorio y al Comité de Auditoría y actuar de forma independiente de las actividades auditadas. Debe contar con suficiente prestigio, destrezas, recursos y autoridad en la institución para desempeñar sus funciones de forma eficaz y objetiva. 21.2 Elaborar y someter a la aprobación del Comité de Auditoría un Estatuto en el cual se establezcan los objetivos, funciones, autoridad, responsabilidades, políticas de la Auditoría Interna y -en el caso de ser aplicable- para la tercerización de tareas de Auditoría interna. 21.3 Contar con los conocimientos y experiencia adecuados en forma individual y colectiva. COMUNICACIÓN N°2025/ 21.4 Cumplir con los estándares y prácticas internacionales de auditoría interna y con el código de ética pertinente. 21.5 Implementar procesos que aseguren que las pruebas, hallazgos y acciones correctivas son documentados adecuadamente y realizar un seguimiento proactivo de las debilidades detectadas. 21.6 Desarrollar y presentar al Comité de Auditoría un plan anual de auditoría basado en riesgos. El plan anual debe contener el alcance, los ciclos a auditar con su valoración de riesgo, cronogramas, recursos humanos necesarios, sistema de reportes y de ser aplicable, el presupuesto financiero requerido. 21.7 El alcance debe ser determinado en base a riesgos y debe cubrir todas las actividades (incluso las tercerizadas) de la entidad y tomar en cuenta los riesgos derivados de pertenecer a un conglomerado financiero. 21.8 Deberá evaluar la efectividad y eficiencia, al menos de:  el sistema de gestión integral de riesgos, incluidas las técnicas de gestión y los métodos de evaluación de los riesgos  las medidas adoptadas para la implementación del marco de apetito de riesgo definido por el Directorio  el proceso de autoevaluación de capital y su resultados  el proceso de recuperación y sus resultados  el diseño e implementación del enfoque de resiliencia operativa  el sistema de información gerencial y sus procesos  los procesos de TI y de gestión de seguridad de la información  los controles internos  la precisión y confiabilidad de los registros contables y los informes financieros y de gestión;  los métodos para custodiar activos de forma segura  los sistemas diseñados para asegurar el cumplimiento de los requisitos legales, normativos y contractuales, así como del código de ética  la comprobación de las transacciones, de la puesta en práctica de políticas, procedimientos y límites adecuados y del funcionamiento de los mecanismos de control  la comprobación de la integridad, confiabilidad y oportunidad de los informes exigidos por el supervisor o la información suministrada a éste  cuando la institución utilice modelos para medir los riesgos, la realización de validaciones periódicas e independientes de los mismos  la implementación de las medidas correctivas de las recomendaciones realizadas 21.9 Implementar el plan aprobado e informar al Comité de Auditoría sobre la existencia de desvíos significativos y el impacto de dichos desvíos sobre el cumplimiento de los objetivos establecidos. 21.10 Presentar sus informes de actuación con sus conclusiones y recomendaciones al Comité de Auditoría para su información y acción. 21.11 Mantener estrecha coordinación con otras estructuras de control (Síndico, Comisión Fiscal, etc.), que aseguren la cobertura de todas las actividades de la entidad. AUDITORÍA EXTERNA 22. La Auditoría Externa debe aportar una seguridad razonable de que los estados financieros en su conjunto están libres de incorrección material, debido a fraude o error, que permita al auditor expresar una opinión sobre si los estados financieros están preparados, en todos los aspectos materiales, de conformidad con un marco de información financiera aplicable. EMG Final.pdf Folio n° 116 Expediente N°: 2025-50-1-01643 Para ello, la institución debe asegurar que el auditor externo: 22.1 Designa un equipo de Auditoría que cuenta con un número adecuado de personas competentes para la función y con conocimiento del negocio 22.2 Comprende su responsabilidad hacia la institución y todas las partes interesadas. 22.3 Actúa con objetividad e independencia en la planificación de las actividades y en la ejecución de la auditoría. 22.4 Reporta todos los hallazgos significativos y conclusiones de su trabajo tanto a la Dirección como al supervisor. COMUNICACIÓN N°2025/ ESTÁNDARES DE GESTIÓN DE RIESGOS (R) EL SISTEMA DE GESTIÓN INTEGRAL DE RIESGOS El negocio de una institución financiera implica asumir riesgos para generar ganancias. Como consecuencia, una competencia clave de cualquier institución financiera es su capacidad de gestionar los riesgos que asume en forma prudente y rentable. La institución debe implementar un Sistema de Gestión Integral de Riesgos, definido como el conjunto de políticas, procedimientos y mecanismos de control implementados por la entidad para propiciar una apropiada identificación, medición, control y monitoreo de los riesgos a los que se encuentra expuesto y evaluar la suficiencia de su capital y liquidez en relación con su perfil de riesgo y la situación macroeconómica y de los mercados. Las prácticas de gestión de riesgos deberán aplicarse tanto a nivel individual como en base consolidada, cuando corresponda. Para el caso de aquellas entidades controlantes de un conglomerado financiero, la gestión de riesgos deberá ser ejercida tanto en forma individual, como en base consolidada, considerando todos los riesgos relevantes de las entidades subsidiarias. Para aquellas entidades que formen parte de un conglomerado, no siendo estas la entidad controlante, dentro de su gestión de riesgos deberán considerar el potencial impacto del vínculo con otras entidades del grupo, especialmente aquel proveniente de operaciones y exposiciones intra- grupo, contagios, y problemas reputacionales, entre otros. RIESGO DE CRÉDITO El riesgo de crédito se define como la posibilidad de que la entidad vea afectadas sus ganancias o su patrimonio debido a la incapacidad del deudor de cumplir con los términos del contrato firmado con la institución o de actuar según lo pactado. El riesgo crediticio puede encontrarse en todas las actividades donde el éxito depende del cumplimiento del deudor o contraparte. El riesgo crediticio se encuentra cada vez que la institución extiende o compromete fondos, coloca en custodia, invierte o se expone en otra forma a través de un acuerdo existente o implícito que puede reflejarse o no en sus estados contables. Dentro del riesgo de crédito también se incluye el riesgo de sufrir pérdidas en los activos causadas por hechos económicos, sociales o políticos acaecidos en un país extranjero. La institución debe de disponer de una visión integral de las exposiciones al riesgo de crédito en el conjunto del banco y del conglomerado. Deberán tenerse en cuenta las posibles exposiciones a regulaciones ambientales o eventos climáticos extremos que puedan impactar en un deterioro crediticio de algunos clientes o segmentos y por ende afectar la calidad de los activos. Asimismo se deberán identificar sectores, actividades o regiones con alta sensibilidad al riesgo, considerándolo en los respectivos análisis. A - MARCO DE RIESGOS, POLÍTICAS Y PROCEDIMIENTOS 23. El Directorio debe aprobar la estrategia de negocios y las políticas para la gestión del riesgo de crédito en base individual y consolidada y revisarlas periódicamente. La estrategia debe contemplar el apetito de riesgo, el perfil de riesgos de la institución y entidades controladas, la situación macroeconómica y EMG Final.pdf Folio n° 117 Expediente N°: 2025-50-1-01643 de los mercados. El Directorio debe revisar regularmente las exposiciones al riesgo de crédito y asegurar que los niveles de riesgos se encuentran dentro del marco establecido. Para ello el Directorio debe: 23.1 Aprobar la estrategia de negocios y políticas de gestión del riesgo de crédito y revisarlas periódicamente. Estas políticas deben ser consistentes con el apetito de riesgo definido y ser aplicadas a nivel de las entidades individuales y -cuando corresponda- en forma consolidada y ser divulgadas eficazmente a toda la institución. Las citadas políticas deben: COMUNICACIÓN N°2025/  contemplar el ciclo de vida completo del crédito, incluida la concesión el análisis del crédito, la gestión continua del portafolio de crédito y la recuperación (incluidas las cuentas fuera de balance).  incluir tipos, niveles y límites de riesgos aceptables acordes con el apetito de riesgo y perfil de riesgo de la institución.  identificar los mercados objetivo.  prever mecanismos de identificación y notificación de excepciones a las mismas. 23.2 Evaluar periódicamente los resultados de la institución y en función de los mismos evaluar cambios en las políticas de riesgo. 23.3 Revisar las estrategias, políticas y apetito de riesgo en función de los resultados de la pruebas de tensión y sus mediciones de riesgos. 23.4 Asegurar que la institución cuenta con una estructura organizacional adecuada para la gestión del riesgo de crédito. 23.5 Promover que exista un equilibrio razonable entre las áreas comerciales y de riesgos. Esta última debe disponer de recursos suficientes, independencia, autoridad y acceso al Directorio de forma de poder desempeñar eficazmente sus tareas. 23.6 Establecer claramente las funciones, responsabilidades y atribuciones en materia de identificación, aprobación, medición y control del riesgo de crédito. Identificar líneas de responsabilidad y autoridad en la gestión del riesgo de crédito. 23.7 Contar con información suficiente, detallada y oportuna sobre el riesgo de crédito de forma que le permita comprender los riesgos asumidos y evaluar el desempeño de la Alta Gerencia en el monitoreo y control de dicho riesgo. 23.8 Asegurar la realización de revisiones independientes para que en forma periódica se validen los procesos, las políticas, los procedimientos. Asegurar que se instrumenten las acciones apropiadas ante las debilidades o fallas significativas detectadas por el auditor interno, externo, supervisor o profesional independiente. 23.9 Asegurar que la Alta Gerencia implemente las políticas y los procesos necesarios para que los riesgos asumidos sean consistentes con las estrategias y políticas aprobadas. 23Bis. Las instituciones financieras deberán contemplar los riesgos derivados del cambio climático en sus políticas y procesos de gestión del riesgo de crédito. Esto incluye tanto los riesgos físicos (impactos derivados de eventos extremos como sequías, inundaciones o tormentas) como los riesgos de transición (impactos financieros vinculados a cambios regulatorios, tecnológicos o de mercado en el proceso de descarbonización de la economía). A tales efectos las instituciones considerarán: 23Bis 1 Identificar sectores económicos, actividades productivas o regiones con alta sensibilidad al riesgo climático e incorporarlos a los análisis de créditos. 23Bis 2 Analizar el grado de exposición de los deudores al riesgo climático en el proceso de evaluación crediticia, considerando su actividad, localización, modelo de negocio y capacidad de adaptación. 23Bis 3 Reflejar la exposición al riesgo climático en la clasificación crediticia interna y ajustar las condiciones del crédito cuando corresponda (plazo, garantías, etc.). 23Bis 4 Documentar en la carpeta del cliente las consideraciones climáticas que hayan tenido impacto en la decisión crediticia. EMG Final.pdf Folio n° 118 Expediente N°: 2025-50-1-01643 23Bis 5 Las instituciones con exposición a sectores sensibles deberán desarrollar herramientas prospectivas (por ejemplo, análisis de escenarios o stress climáticos) que permitan evaluar el impacto potencial del riesgo climático en su portafolio. 23Bis 6 Capacitar al personal comercial y de riesgos en la identificación y evaluación del riesgo climático. 23Bis 7 Asignar responsabilidades claras dentro del área de riesgos. 23Bis 8 Establecer revisiones periódicas del marco de gestión del riesgo climático. COMUNICACIÓN N°2025/ 24. La Alta Gerencia debe implementar la estrategia y las políticas aprobadas por el Directorio para la gestión del riesgo de crédito y desarrollar procedimientos para su identificación, medición, monitoreo y control. Estas políticas y procedimientos deben considerar el riesgo de crédito tanto a nivel de riesgos crediticios individuales como del total de la cartera. Para ello, la Alta Gerencia debe: 24.1 Implementar las políticas y desarrollar procedimientos para gestionar el riesgo de crédito de forma consistente con la estrategia y las políticas definidas. 24.2 Asignar claramente las funciones, responsabilidades y atribuciones en materia de identificación, aprobación, medición y control del riesgo de crédito 24.3 Asignar los recursos necesarios en cantidad, calidad a efectos de un buen manejo del riesgo de crédito. 24.4 Asegurar que las personas involucradas en el proceso de crédito cuenten con las competencias, conocimiento técnico y experiencia necesarios para cumplir con sus responsabilidades. 24.5 Asegurar que existan mecanismos efectivos de control y de corresponder, asegurar controles eficaces sobre los modelos utilizados para identificar y cuantificar el riesgo de crédito. 24.6 Implementar un sistema de control de límites que asegure que las exposiciones a los riesgos se mantienen dentro de las políticas aprobadas por el Directorio. El sistema de límites debe incorporar parámetros que permitan controlar impactos adversos en el riesgo de crédito de la institución derivados de cambios en condiciones, hechos económicos, sociales y políticos. 24.7 Efectuar un proceso de monitoreo periódico de la composición y calidad de las exposiciones del portafolio (considerando las operaciones dentro y fuera de balance) frente a los límites fijados y contar con procedimientos para incrementar el monitoreo y tomar medidas adecuadas si las exposiciones se acercan a los límites. 24.8 Implementar procesos adecuados que permitan la pronta identificación y gestión de créditos con problemas potenciales y efectivamente problemáticos así como el seguimiento y gestión de recupero de operaciones vencidas. 24.9 Asegurar que exista un proceso adecuado de evaluación y aprobación de nuevos productos, asegurando que se cuenta con procedimientos y controles suficientes antes de la entrada en vigencia de los mismos. Asegurar que en el proceso de creación de nuevos productos se considera el riesgo de crédito en forma explícita 24.10 Definir un sistema de clasificación de créditos y asegurar que las previsiones son adecuadas en relación al nivel de riesgos asumidos 24.11 Definir procedimientos y criterios claros sobre la aceptación y valuación de garantías 24.12 Evaluar los resultados de las pruebas de tensión periódicamente y tomar acciones oportunas y adecuadas cuando los resultados son superiores a las tolerancias definidas. 24.13 Revisar periódicamente las políticas y procedimientos para asegurar que siguen siendo adecuados y prudentes. 24.14 Desarrollar un sistema de información que permita una oportuna y correcta agregación y notificación al Directorio de las exposiciones al riesgo de crédito así como que permita evaluar la efectividad de gestión del riesgo. EMG Final.pdf Folio n° 119 Expediente N°: 2025-50-1-01643 25. La Alta Gerencia debe asegurar que el otorgamiento de créditos se realiza en forma transparente sin estar sujetos a conflictos de interés. Particularmente, los créditos a compañías e individuos relacionados a la institución y al conglomerado financiero tienen que ser monitoreados en forma cercana. Para ello la Alta Gerencia debe: 25.1 Establecer criterios que las operaciones con partes vinculadas se realicen con total imparcialidad y transparencia COMUNICACIÓN 25.2 Asegurar que los términos y condiciones de estos créditos no sean más favorables que elN°2025/ crédito otorgado a deudores no relacionados bajo circunstancias similares e imponiendo límites estrictos sobre estos créditos. 25.3 Asegurar que los criterios generales de la institución para otorgar crédito no deben ser modificados en función de las características de las operaciones o de las empresas y/o individuos relacionados. 25.4 Adoptar medidas adecuadas para monitorear, controlar o mitigar este tipo de créditos. 26. La institución debe establecer criterios prudentes y bien definidos para aprobar nuevas exposiciones al riesgo, así como para renovar, refinanciar, reestructurar y recuperar créditos. (Manual de créditos) Para ello, la institución debe: 26.1 Contar con criterios bien definidos para aprobar, renovar, refinanciar y reestructurar créditos de una forma prudente y segura. 26.2 Incorporar en el proceso de aprobación de riesgos crediticios el caso de las inversiones en valores no líquidos. 26.3 Establecer pautas claras para manejar los riesgos derivados de la concesión de créditos en una moneda diferente a la de los ingresos principales del prestatario (descalce de monedas del deudor). 26.4 Definir criterios para evaluar la relación riesgo/retorno a nivel de cada operación, deudor y portafolio. Los precios y las condiciones de los créditos (garantías, restricciones, etc.) se deben fijar de forma que cubran todos los costos implícitos y compensen a la institución por los riesgos incurridos. 26.5 Definir criterios sobre la documentación necesaria para aprobar créditos nuevos, renovar, reestructurar o refinanciar créditos existentes y/o cambiar los términos y las condiciones de los créditos aprobados con anterioridad así como la gestión posterior de dicha información. 26.6 Disponer de la documentación adecuada que sustente la clasificación asignada y el nivel de previsiones del deudor. 26.7 Definir criterios y procedimientos de análisis de la capacidad de pago del deudor en función del riesgo a asumir. Según corresponda, se tendrá en cuenta como mínimo:  El destino del crédito, fuente de repago y nivel de ingresos  Integridad y reputación de la contraparte  Capacidad legal del prestatario o contraparte  Posición del deudor en la institución y en el sistema financiero  Análisis de la experiencia de pago  Conocimiento del negocio, del sector económico y de la situación económica financiera de la empresa  Análisis de la situación financiera y patrimonial actual, prospectiva y bajo condiciones de tensión 26.8 En caso de contar con sistemas de calificación cualitativos, tener definidos y documentados los criterios, parámetros y la metodología utilizada. B - MEDICIÓN, CONTROL Y MONITOREO DEL RIESGO DE CRÉDITO 27. La institución debe contar con procesos adecuados para identificar, cuantificar, informar y controlar las concentraciones de riesgo en el momento EMG Final.pdf Folio n° 120 Expediente N°: 2025-50-1-01643 oportuno. Para ello la institución debe: 27.1 Fijar límites de concentraciones aceptables de riesgos de acuerdo a su apetito de riesgo y el perfil de riesgos. Estas concentraciones de crédito resultan de exposiciones frente a: contrapartes individuales o grupos de contrapartes conectadas tanto de forma directa como indirecta, contrapartes en la misma industria, sector económico o región geográfica y contrapartes cuyos resultados financieros dependen de la misma actividad o materia prima, así como de exposiciones fuera de balance. 27.2 Identificar situaciones en las que es apropiado clasificar un grupo de COMUNICACIÓN deudores comoN°2025/ contrapartes relacionadas entre sí (conjunto económico) y por ende, como un solo riesgo. 27.3 Comunicar a la Alta Gerencia sobre los excesos en los límites de concentración establecidos. 27.4 Disponer de adecuados sistemas de información que le permita y gestionar en forma activa las posiciones de generadoras de concentraciones de riesgos y frente a contrapartes individuales o grupos de contrapartes relacionadas (conjuntos económicos). 28. La institución debe contar con procesos eficaces para la gestión del riesgo de crédito. Para ello, la institución debe: 28.1 Cumplir con los procesos de aprobación y recupero de créditos de acuerdo con las pautas establecidas por la Dirección y Alta Gerencia. 28.2 Contar con mecanismos claros que documenten que se ha cumplido con el proceso de aprobación, evaluación y recupero y que identifican al (a los) individuo(s) y/o comité(s) que se han involucrado en las decisiones. 28.3 Cumplir con los criterios definidos respecto a la información del deudor y documentación del crédito. 29. La institución debe contar con un sistema de clasificación coherente con la naturaleza, el tamaño y la complejidad de las actividades de la institución. 29.1 El sistema de clasificación de riesgos debe:  Segmentar la cartera de créditos en forma efectiva y consistente.  Tomar en cuenta la situación financiera del deudor y su capacidad de pago, el tipo de exposición y/o garantías que podrían afectar las perspectivas de cobro de capital e intereses.  Ser revisado y probado en forma periódica  Permitir a la Alta Gerencia verificar las características actuales de la cartera de crédito  Permitir identificar créditos donde existe deterioro potencial o actual y tomar acciones correctivas  Ser aplicado en forma consistente a lo largo de la institución y de acuerdo con políticas y procedimientos establecidos. 29.2 En el caso de utilizar un sistema de calificación cuantitativo, la institución debe contar con un proceso documentado que incluya:  La metodología estadística utilizada para definir y comprobar el sistema de scoring. Las condiciones de los productos (monto máximo, condiciones y plan de repago).  Documentar los supuestos utilizados para las clasificaciones establecidas mediante modelos cuantitativos  Controles que aseguren la veracidad de la información recabada sobre los solicitantes y el cumplimiento con los lineamientos de la aprobación.  Procedimientos de revisión periódica de la metodología utilizada y de los resultados del modelo. 30. La institución debe definir procedimientos para asegurar que las previsiones constituidas a nivel individual y colectivo son suficientes para absorber las pérdidas crediticias esperadas y son consistentes con el nivel de riesgo de crédito asumido. La institución debe: EMG Final.pdf Folio n° 121 Expediente N°: 2025-50-1-01643 30.1 Asegurar que las previsiones se reconocen contablemente en forma oportuna y reflejan expectativas realistas de reembolso y recuperación, teniendo en cuenta la situación del deudor, macroeconómica y de los mercados. 30.2 Asegurar que las previsiones toman en cuenta las posiciones fuera de balance. 30.3 De corresponder, contar con procedimientos de validación de los modelos utilizados en el cálculo de las pérdidas crediticias esperadas. 31. La institución debe tener un sistema para monitorear la condición de créditos individuales. COMUNICACIÓN N°2025/ Para ello, la institución debe: 31.1 Proveer de información para monitorear la condición de créditos en las diferentes carteras de la institución. 31.2 Contar con medidas para:  Actualizar la información sobre la condición financiera relevante del deudor, asegurando que se incluya la identificación de todas las fuentes de riesgo posibles.  Asegurar que todos los créditos cumplen con los contratos existentes.  Controlar el uso que los clientes hacen de las líneas de crédito aprobadas.  Identificar problemas de repago. 31.3 Medir en forma regular el riesgo de descalce a nivel individual y determinar los controles y mitigantes de este riesgo. 31.4 Asegurar que la carpeta de crédito del deudor contenga toda la información necesaria para verificar la situación del deudor en forma permanente. 31.5 Valorar periódicamente y monitorear las coberturas de riesgo, incluidos avales, derivados crediticios y garantías. 31.6 Verificar la ejecutabilidad de las garantías durante la vigencia del crédito. 32. La institución debe tener procesos y procedimientos y sistemas de información adecuados para identificar, gestionar y monitorear administrar los créditos potencial o efectivamente problemáticos. Para ello, la institución debe: 32.1 Realizar una pronta identificación de activos con problemas potenciales o efectivamente problemáticos. 32.2 Realizar una vigilancia continua de los activos problemáticos. 32.3 Definir responsables en la identificación temprana y resolución de problemas de créditos con problemas potenciales o problemáticos. 32.4 Contar con criterios claros y bien definidos para el pasaje de un crédito problemático o con problemas potenciales a un sector especializado de resolución. 32.5 Contar con procedimientos tendientes a maximizar la recuperación de créditos. 32.6 Contar con criterios de cobranza, reestructuración de operaciones y castigo de los créditos. 32.7 Contar con reportes para monitorear los créditos con síntomas de deterioro que sean revisados regularmente por la Alta Gerencia. 33. La institución debe tener un sistema para monitorear la composición y calidad general de la cartera de crédito. Para ello, la institución debe: 33.1 Efectuar el monitoreo de:  la calidad y composición de la cartera de crédito incluidas las operaciones fuera de balance.  las exposiciones en relación a los límites de concentración fijados y tomar medidas cuando se acerquen o superen los límites. EMG Final.pdf Folio n° 122 Expediente N°: 2025-50-1-01643  el riesgo de descalce del portafolio en su conjunto  las concentraciones de créditos directos o indirectos a: - Una sola contraparte: - Un grupo de contrapartes relacionadas. - Un sector industrial o económico particular. - Un país extranjero individual - Un producto de crédito. - Un tipo de garantía.  la diversificación del portafolio en relación a los mercados objetivos y la estrategia de crédito de la institución. COMUNICACIÓN N°2025/ 33.2 Definir estrategias y alternativas para reducir o minimizar las concentraciones, tales como fijar precios para el riesgo adicional, exigir tenencias crecientes de capital para compensar los riesgos adicionales y utilizar participaciones en préstamos para reducir la dependencia de sectores específicos de la economía o grupos de deudores relacionados. 33.3 Definir procedimientos para identificar el riesgo de monedas, medirlo en forma regular y determinar los controles y mitigantes. 34. La institución debe evaluar la exposición al riesgo de crédito del portafolio teniendo en cuenta los cambios futuros posibles en las condiciones económicas y en condiciones de tensión. Para ello, la institución debe: 34.1 Contar con un sistema de pruebas de tensión para identificar posibles eventos o cambios en las condiciones económicas que podrían tener efectos adversos en las exposiciones de crédito de la institución y evaluar su capacidad para hacer frente a estos cambios. 34.2 Establecer escenarios acordes con su perfil de riesgo los cuales tendrán que captar fuentes de riesgo significativas. 34.3 Documentar los supuestos y la metodología utilizada para la elaboración de los diferentes escenarios de tensión. 34.4 Incluir planes de contingencia respecto al conjunto de acciones que la Alta Gerencia puede tomar en ciertas circunstancias. 34.5 Las pruebas de tensión deben ser oportunas e integradas a la gestión y ser realizadas con una periodicidad definida y comunicados sus resultados a los comités involucrados y al Directorio. 35. La institución debe establecer y realizar controles para asegurar que las excepciones en las políticas, los procedimientos y límites son identificadas y reportadas oportunamente al nivel jerárquico apropiado. Para ello, la institución debe: 35.1 Contar con mecanismos de control interno que aseguren que la gestión del riesgo de crédito se realiza de acuerdo con las políticas y procedimientos definidos por el Directorio y Alta Gerencia. 35.2 Establecer procedimientos de identificación, monitoreo, documentación y notificación de excepciones a las políticas y límites establecidos. 35.3 Asegurar que las posiciones que exceden niveles predefinidos reciban la atención de la Alta Gerencia en forma oportuna. 36. La institución debe contar con un sistema de información gerencial que suministre información adecuada sobre la composición de la cartera de crédito. Para ello, el sistema debe: 36.1 Permitir al Directorio y a todos los niveles gerenciales cumplir con sus roles respectivos de supervisión, incluyendo la determinación del nivel de patrimonio adecuado que la institución debe mantener. 36.2 Proveer una visión sobre la composición y calidad de los distintos portafolios, incluyendo el consolidado, que permita a la Gerencia evaluar exactamente el nivel del riesgo de crédito EMG Final.pdf Folio n° 123 Expediente N°: 2025-50-1-01643 derivado de las actividades de la institución y determinar si ésta se encuadra en la estrategia definida para el riesgo de crédito y las regulaciones vigentes. 36.3 Emitir reportes en forma regular, Incluir todas las exposiciones y medirlas contra los límites de riesgo establecidos. 36.4 Proveer información que permita a la Gerencia identificar concentraciones de riesgo en la cartera de crédito. 36.5 Informar sobre las excepciones en los límites del riesgo de crédito de manera oportuna y adecuada y proveer señales oportunas a la Alta Gerencia de las exposiciones que se están acercando a los límites de riesgo. COMUNICACIÓN N°2025/ 36.6 Permitir análisis adicionales de la cartera de crédito, incluyendo las pruebas de tensión. C – REVISIÓN DEL SISTEMA 37. La institución debe establecer mecanismos de revisión independiente y periódica del proceso de gestión de créditos. Los resultados de las revisiones deben ser reportados directamente al Directorio y a la Alta Gerencia. La revisión independiente debe incluir la evaluación de: 37.1 El sistema en su conjunto y su eficacia en el cumplimiento de los objetivos. 37.2 El cumplimiento efectivo de las políticas y procedimientos y la adecuada documentación de los procesos y las decisiones adoptadas. 37.3 La organización y la suficiencia de los recursos humanos en cuanto a número y competencia técnica para gestionar en forma correcta el riesgo. 37.4 El equilibrio existente entre las áreas comerciales y de control de riesgos. 37.5 El desempeño de los oficiales y el estado actual de la cartera de crédito. 37.6 La capacidad y eficacia del sistema para e capturar todos los elementos materiales de riesgo. 37.7 La exactitud de las clasificaciones de riesgo y de las previsiones constituidas. 37.8 La confiabilidad y corrección en el procesamiento, agregación y cotejo de los datos. 37.9 Los supuestos utilizados en la formulación de los modelos y si están correctamente documentados. 37.10 Los cambios significativos que puedan afectar la efectividad de los controles, como cambios en los mercados, recursos humanos, tecnología o estructuras de cumplimiento. RIESGOS DE MERCADO Los riesgos de mercado son aquellos por los cuales el valor de las posiciones dentro y fuera de balance puede verse adversamente afectado, debido a movimientos en las variables de mercado - básicamente las tasas de interés y los tipos de cambio entre divisas- con el consiguiente impacto en las utilidades y el patrimonio de la institución financiera. A estos efectos se identifican como riesgos de mercado:  Riesgo de tasa de interés  Riesgo de tipo de cambio  Riesgo de reajuste  Otros riesgos de mercado a) RIESGO DE TASA DE INTERES El riesgo tasa de interés está integrado por los siguientes riesgos: - Riesgo de tasa de interés de la Cartera de Valores – Es el riesgo asociado a las eventuales pérdidas en el valor de mercado de la cartera de Valores originadas por movimientos adversos en las tasas de interés. Este riesgo tiene a su vez dos componentes: EMG Final.pdf Folio n° 124 Expediente N°: 2025-50-1-01643 o Riesgo Específico: Deriva de movimientos adversos en el valor de mercado dela cartera de valores originados en factores relacionados con los emisores de los instrumentos. o Riesgo General: Proviene de movimientos adversos de precios originados por variaciones en las tasas de interés de mercado libres de riesgo. Este riesgo general tiene, a su vez, tres componentes básicos: el riesgo direccional, que mide la sensibilidad del precio de cada una de las posiciones, el riesgo de base, que contempla posibles compensaciones provenientes de posiciones con signos opuestos en una misma banda temporal y el riesgo de movimientos no paralelos en la curva, que mide las posibles compensaciones entre posiciones situadas con distintos horizontes temporales. COMUNICACIÓN N°2025/ - Riesgo de tasa de interés estructural – Este riesgo abarca a todo el balance del banco, incluyendo las posiciones fuera de balance. Es el riesgo potencial de que los resultados (perspectiva contable) o el patrimonio de la entidad (perspectiva económica) se vean afectados como consecuencia de movimientos en las tasas de interés. Este riesgo surge por la diferencia que existe entre el momento en que se recalculan las tasas activas y las pasivas de la entidad. También en este caso, se pueden distinguir tres componentes: el riesgo direccional, el riesgo de base y el riesgo de movimientos no paralelos en la curva de tasas de interés. 12 b) RIESGO DE TIPO DE CAMBIO El riesgo tipo de cambio se define como la posibilidad de que los resultados o el ratio de capital sobre activos se vea adversamente afectado por movimientos desfavorables en las tasas de cambio entre divisas para posiciones dentro y fuera de balance. c) RIESGO DE REAJUSTE El riesgo de reajuste es el riesgo de que el patrimonio se vea adversamente afectado por movimientos en los tipos de cambio de las unidades de cuenta en moneda nacional en un horizonte de largo plazo. d) OTROS RIESGOS DE MERCADO Los otros riesgos de mercado se definen como la posibilidad de que el patrimonio se vea afectado por movimientos adversos en el precio de acciones y/o precio de mercancías. Deberá considerarse la exposición a valores o segmentos cuyos emisores puedan ser catalogados como poco sostenibles o contaminantes climáticos. A - MARCO DE RIESGOS, POLÍTICAS Y PROCEDIMIENTOS 38. El Directorio debe aprobar la estrategia y las políticas para la gestión de los riesgos de mercado en base individual y consolidada y revisarlas periódicamente. La estrategia debe reflejar el apetito de riesgo, el perfil de riesgos de la institución y entidades controladas y la situación macroeconómica y de los mercados. El Directorio debe revisar regularmente las exposiciones a los distintos riesgos de mercado y asegurar que los niveles de riesgos se encuentran dentro del marco establecido. Para ello el Directorio debe: 38.1 Aprobar la estrategia y las políticas de gestión del riesgo de mercado y revisarlas periódicamente. Estas políticas deben ser consistentes con el apetito de riesgo definido y deben ser aplicadas en forma consolidada y a nivel de las entidades individuales cuando corresponda. Las mismas deben:  Incluir tipos, niveles y límites de riesgos aceptables acordes con el apetito de riesgo y perfil de riesgo de la institución.  Prever mecanismos de identificación y notificación de excepciones a las mismas. 38.2 Revisar la estrategia, políticas y apetito al riesgo en función de los resultados de las pruebas de tensión y sus mediciones de riesgos. 12 A efectos de la aplicación de los EMG sobre RTIE, observar la Guía para la medición y gestión del riesgo de tasa de interés estructural: https://www.bcu.gub.uy/Servicios-Financieros- SSF/Documents/GUIA_RTI_ESTRUCTURAL.pdf EMG Final.pdf Folio n° 125 Expediente N°: 2025-50-1-01643 38.3 Evaluar periódicamente las políticas de riesgos de mercado y el impacto de las estrategias comerciales sobre los riesgos asumidos. 38.4 Asegurar que la institución cuenta con una estructura organizacional adecuada para la gestión del riesgo de mercado. 38.5 Promover que exista un equilibrio razonable entre las áreas comerciales y de riesgos. Esta última debe disponer de recursos suficientes, independencia, autoridad y acceso al Directorio de forma de poder desempeñar eficazmente sus tareas. 38.6 Identificar líneas de responsabilidad y autoridad en la gestión del riesgo de mercado. COMUNICACIÓN N°2025/ 38.7 Contar con información suficiente, detallada y oportuna sobre los riesgos de mercado, de forma que permita comprender los riesgos asumidos y evaluar el desempeño de la Alta Gerencia en el monitoreo y control de dichos riesgos. 38.8 Asegurar la realización de revisiones independientes para que en forma periódica se validen los procesos, las políticas, los procedimientos. Asegurar que se instrumenten las acciones apropiadas ante las debilidades o fallas significativas detectadas por el auditor interno, externo, supervisor o profesional independiente. 38.9 Asegurar que la Alta Gerencia implemente las políticas y procesos necesarios para que los riesgos asumidos sean consistentes con las estrategias y políticas aprobadas. 38Bis. Las instituciones financieras deberán incorporar los riesgos derivados del cambio climático en sus políticas y procesos de gestión del riesgo de mercado, considerando tanto los riesgos físicos como los riesgos de transición. Para ello las entidades deberán: 38Bis 1 Evaluar la forma en que el riesgo climático puede afectar los precios de los instrumentos financieros, la liquidez de los mercados y la volatilidad. 38Bis 2 Identificar exposiciones relevantes a instrumentos o emisores susceptibles a los riesgos climáticos, incluyendo bonos o instrumentos vinculados a sectores de alta sensibilidad climática. 38Bis 3 Considerar el impacto del riesgo climático en la valoración de instrumentos financieros, incluyendo ajustes en los modelos de valuación o en los supuestos utilizados, cuando sea pertinente. 38Bis 4 En las pruebas de tensión evaluarse la consideración de escenarios relacionados con riesgos climáticos, tanto físicos como de transición, que puedan afectar de forma significativa los portafolios de negociación o inversión. 38Bis 5 Al establecer límites de exposición considerar la concentración en instrumentos o emisores con alta vulnerabilidad climática. 38Bis 6 Capacitar al personal de riesgos y comercial en la identificación y evaluación del riesgo. 38Bis 7 Asignar responsabilidad clara dentro del área de riesgos. 38Bis 8 Establecer revisiones periódicas del marco de gestión del riesgo climático. 39. La Alta Gerencia debe implementar la estrategia y las políticas aprobadas por el Directorio para la gestión del riesgo de mercado y desarrollar procedimientos para su identificación, medición, monitoreo y control. Para ello, la Alta Gerencia debe: 39.1 Implementar las políticas y desarrollar procedimientos para gestionar los riesgos de mercado en el corto, mediano y largo plazo de forma consistente con la estrategia y las políticas definidas. 39.2 Asignar claramente las funciones, responsabilidades y atribuciones en materia de identificación, aprobación, medición y control del riesgo de mercado. 39.3 Asignar los recursos necesarios en cantidad, calidad y competencia a efectos de un buen manejo del riesgo de mercado. EMG Final.pdf Folio n° 126 Expediente N°: 2025-50-1-01643 39.4 Asegurar que existan mecanismos efectivos de control y de corresponder, asegurar controles eficaces sobre los modelos utilizados para identificar y cuantificar los riesgos de mercado. 39.5 Implementar un sistema de límites que asegure que las exposiciones a los riesgos se mantienen dentro de las políticas aprobadas por el Directorio. 39.6 Implementar un sistema para asegurar la medición correcta de los riesgos. 39.7 Definir una metodología para valuar posiciones y medir el desempeño. COMUNICACIÓN N°2025/ 39.8 Asegurar que en el proceso de creación de nuevos productos se considera el riesgo mercado en forma explícita 39.9 Revisar periódicamente las políticas y procedimientos para asegurar que siguen siendo adecuados y prudentes. 39.10 Desarrollar un sistema de información que permita una oportuna y correcta agregación y notificación al Directorio de las exposiciones al riesgo de mercado así como que permita evaluar la efectividad de gestión del riesgo. 40. La Alta Gerencia debe asegurar que hay una adecuada separación de responsabilidades entre las áreas clave del proceso de gestión de riesgos para evitar potenciales conflictos de interés. Para ello, la Alta Gerencia debe: 40.1 Definir claramente los responsables del desarrollo de estrategias, tácticas, medición y reportes de los riesgos de mercado. 40.2 Asegurar que existe un responsable de la administración de los riesgos financieros en forma integral, con la formación y experiencia suficiente de acuerdo a la complejidad y naturaleza de las operaciones. 40.3 Asegurar que existen suficientes resguardos para minimizar la influencia inadecuada de los que asumen posiciones de riesgos sobre las funciones de control, elaboración de reportes u otras áreas administrativas. B - MEDICIÓN, CONTROL Y MONITOREO DEL RIESGO DE MERCADO 41. La institución debe tener un sistema de medición de riesgo de mercado que capture toda fuente material de riesgo tasa de interés, tipo de cambio, reajuste y otros riesgos de mercado y evaluar el impacto de los mismos sobre la institución. Los supuestos subyacentes en dichos sistemas deben ser comprendidos claramente por el Directorio y la Alta Gerencia. El sistema debe: 41.1 Incorporar las exposiciones que provienen de todas las actividades de la institución. 41.2 Evaluar el impacto de los cambios en los resultados, el valor económico y el ratio de capital/activos. 41.3 Identificar excesos en límites establecidos. 41.4 Asegurar que los supuestos están claramente documentados y que pueden ser comprendidos por la Alta Gerencia. Dichos supuestos deben ser revisados por lo menos anualmente. 41.5 Prestar especial atención en las siguientes áreas:  Instrumentos complejos o con vencimientos inciertos.  Posiciones cuyo comportamiento difiere del vencimiento contractual.  Posiciones denominadas en diferentes monedas. 41.6 Utilizar conceptos financieros y técnicas de medición de riesgos de mercado generalmente aceptados. En particular, el sistema de medición de riesgo tipo de cambio debe considerar no solamente el impacto de las variaciones en las tasas de cambio entre divisas sobre las utilidades de la institución, sino también sobre el ratio de capital/activos. Es decir, debe considerarse la probabilidad de que, ante movimientos de las tasas de cambio entre divisas, los EMG Final.pdf Folio n° 127 Expediente N°: 2025-50-1-01643 mayores/menores requerimientos de capital en moneda nacional necesarios para mantener el ratio capital/activos constante, no se compensen con las ganancias/pérdidas por diferencias de cambio medidas en moneda nacional, generadas por las posiciones en divisas dentro y fuera de balance. Por su parte, el sistema de medición de riesgo tasa de interés debe: 41.7 Incluir todas las fuentes materiales de riesgo incluyendo los riesgos de:  cambios en los valores de las tasas al vencimiento de las operaciones.  los cambios en la relación de tasas entre diferentes curvas de interés (riesgo base). COMUNICACIÓN N°2025/  los cambios en la relación entre las tasas a lo largo de los diferentes vencimientos dentro de la curva (cambios no paralelos).  la concentración de posiciones.  Instrumentos con opciones implícitas o explicitas. 41.8 Tener un grado de detalle y complejidad que sea consistente con la complejidad y nivel de riesgo asumido. 42. La institución debe medir su vulnerabilidad a pérdidas bajo condiciones de tensión y considerar dichos resultados cuando se defina o se revise el apetito de riesgo. Para ello, el sistema de medición en condiciones de tensión debe: 42.1 Proveer información sobre las condiciones bajo las cuales las estrategias o posiciones son más vulnerables. 42.2 Establecer escenarios en base a diversas técnicas disponibles como ser: análisis de sensibilidad, o de variación de varios parámetros simultáneamente, ya sea histórico o hipotético, considerando sus interrelaciones. 42.3 Las pruebas de tensión deben ser oportunas e integradas a la gestión. Realizadas con una periodicidad definida y comunicados sus resultados a los comités involucrados y al Directorio. 43. La institución debe tener un sistema adecuado para el monitoreo y control de los riesgos de mercado. 43.1 Para ello el sistema de monitoreo y control debe:  Controlar los límites y métricas aprobadas  Incluir procedimientos y metodologías de control claramente establecidas y definidas.  Capturar todos los elementos materiales de riesgo de mercado dentro y fuera del balance. Asimismo se deberá: 43.2 Evaluar los supuestos utilizados y revisar si están adecuadamente documentados. 43.3 Verificar que los datos utilizados son procesados correctamente y la agregación de los datos es correcta y confiable. 43.4 Asegurar que las posiciones que exceden los niveles predefinidos reciben la atención de la Alta Gerencia en forma oportuna. Las excepciones a los límites deben ser reportadas rápidamente a la Alta Gerencia. 44. La institución debe establecer y realizar controles para asegurar que las excepciones en las políticas, los procedimientos y límites son identificadas y reportadas oportunamente al nivel jerárquico apropiado. Para ello, la institución debe: 44.1 Contar con mecanismos de control interno que aseguren que la gestión del riesgo de mercado se realiza de acuerdo con las políticas y procedimientos definidos por el Directorio y Alta Gerencia. 44.2 Establecer procedimientos de identificación, monitoreo, documentación y notificación de excepciones a las políticas y límites establecidos. EMG Final.pdf Folio n° 128 Expediente N°: 2025-50-1-01643 44.3 Asegurar que las posiciones que exceden niveles predefinidos reciban la atención de la Alta Gerencia en forma oportuna. 45. La institución debe contar con un sistema de información gerencial que suministre información adecuada y oportuna sobre las exposiciones a los riesgos de mercado al Directorio y la Alta Gerencia y los Gerentes de línea. Un sistema informativo, fiel y oportuno es esencial para gestionar las exposiciones de riesgos de mercado y asegurar el cumplimiento con las políticas establecidas por el Directorio. Para ello, el sistema debe: COMUNICACIÓN N°2025/ 45.1 Emitir reportes en forma regular y comparar las exposiciones con los límites establecidos. 45.2 Incluir una comparación de las proyecciones con los resultados reales para permitir la identificación de limitaciones o errores en los modelos. 45.3 Incluir como mínimo un resumen de las exposiciones agregadas con:  el cumplimiento con las distintas políticas y los límites aprobados.  los supuestos clave incluyendo el comportamiento de depósitos sin vencimiento establecido y prepago.  los resultados de las pruebas de tensión, incluyendo las fallas en los supuestos y los parámetros clave.  un resumen de los hallazgos de revisiones internas y externas de políticas, procedimientos y sistemas. C – REVISIÓN DEL SISTEMA 46. La institución debe establecer mecanismos de revisión independiente y periódica del proceso de gestión del riesgo de mercado. Los resultados de las revisiones deben ser reportados directamente al Directorio y a la Alta Gerencia. La revisión independiente debe incluir la evaluación de: 46.1 El sistema en su conjunto y su eficacia en el cumplimiento de los objetivos. 46.2 El cumplimiento efectivo de las políticas y procedimientos y la adecuada documentación de los procesos y las decisiones adoptadas. 46.3 La organización y la suficiencia de los recursos humanos en cuanto a número y competencia técnica para gestionar en forma correcta el riesgo. 46.4 El equilibrio existente entre las áreas comerciales y de control de riesgos. 46.5 La capacidad y eficacia del sistema para capturar todos los elementos materiales de riesgo. 46.6 La confiabilidad y corrección en el procesamiento, agregación y cotejo de los datos. 46.7 Los supuestos utilizados en la formulación de los modelos y si están correctamente documentados. 46.8 Los cambios significativos que puedan afectar la efectividad de los controles, como cambios en los mercados, recursos humanos, tecnología o estructuras de cumplimiento. RIESGO DE LIQUIDEZ 13 El riesgo de liquidez depende de dos dimensiones definidas como el riesgo de liquidez de fondeo (Pasiva) y el riesgo de liquidez de mercado (Activa) y de la correlación existente entre las mismas.  Riesgo de liquidez de fondeo - Incluye la incapacidad de la institución de gestionar bajas o cambios inesperados en las fuentes de financiamiento tanto locales como internacionales. A menudo esto puede causar la liquidación prematura de parte de sus activos.  Riesgo de liquidez de mercado - Proviene de las dificultades derivadas de los cambios en las condiciones de mercado que afecten la rápida liquidación de los activos con una mínima pérdida de valor. Puede incluir riesgos financieros relacionados con el clima. 13 A efectos de la aplicación de los EMG, observar la Guía para la gestión y medición del riesgo de liquidez: https://www.bcu.gub.uy/Servicios-Financieros-SSF/Documents/Guia%20para%20la%20gestion%20y %20medicion%20dela%20liquidez.pdf EMG Final.pdf Folio n° 129 Expediente N°: 2025-50-1-01643 A - MARCO DE RIESGOS, POLÍTICAS Y PROCEDIMIENTOS 47. El Directorio debe aprobar la estrategia y las políticas para la gestión del riesgo de liquidez de la institución en base individual y consolidada y revisarlas periódicamente. La estrategia debe reflejar el apetito de riesgo, el perfil de riesgos de la institución y entidades controladas y la situación macroeconómica y de los mercados. El Directorio debe revisar regularmente las exposiciones a los distintos riesgos de liquidez y asegurar que los niveles de riesgos se encuentran dentro del marco establecido. Para ello, el Directorio debe: COMUNICACIÓN N°2025/ 47.1 Aprobar la estrategia y las políticas de gestión del riesgo de liquidez y revisarlas periódicamente a la luz de la experiencia y de las tendencias de liquidez de la empresa y del mercado. Estas políticas deben ser consistentes con el apetito de riesgo definido y deben ser aplicadas en forma consolidada y a nivel de las entidades individuales cuando corresponda. Las mismas deben:  Incluir límites a las exposiciones al riesgo de liquidez.  Prever mecanismos de identificación y notificación de excepciones a las mismas. 47.2 Revisar la estrategia, políticas y el apetito al riesgo en función de los resultados de las pruebas de tensión. 47.3 Aprobar y revisar los planes de contingencia para enfrentar eventuales problemas de liquidez. 47.4 Monitorear la relación de rentabilidad y riesgo de liquidez de la Institución. 47.5 Asegurar que la institución cuenta con una estructura organizacional adecuada para la gestión del riesgo de liquidez. 47.6 Identificar líneas de responsabilidad y autoridad en la gestión del riesgo de liquidez. 47.7 Promover que exista un equilibrio razonable entre las áreas comerciales y de riesgos. Esta última debe disponer de recursos suficientes, independencia, autoridad y acceso al Directorio de forma de poder desempeñar eficazmente sus tareas. 47.8 Contar con información suficiente, detallada y oportuna sobre el riesgo de liquidez de forma que permita comprender los riesgos asumidos y evaluar el desempeño de la Alta Gerencia en el monitoreo y control de dicho riesgo. 47.9 Asegurar la realización de revisiones independientes para que en forma periódica se validen los procesos, las políticas, los procedimientos. Asegurar que se instrumenten las acciones apropiadas ante las debilidades o fallas significativas detectadas por el auditor interno, externo, supervisor o profesional independiente. 47.10 Asegurar que la Alta Gerencia implemente las políticas y los procedimientos necesarios para que los riesgos asumidos sean consistentes con las estrategias y políticas aprobadas. 47.11 Evaluar si los riesgos financieros relacionados con el clima podrían causar salidas netas de efectivo, agotamiento de sus reservas de liquidez o dificultades de acceso a mercados, considerando tanto condiciones de continuidad como de tensión (considerando escenarios graves pero plausibles). 47.12 Incluir en su proceso interno de evaluación de la suficiencia de liquidez los riesgos financieros relacionados con el clima evaluados como materiales en horizontes temporales relevantes que puedan perjudicar su posición de liquidez. 47Bis El Directorio es responsable del proceso de autoevaluación de la liquidez (PAL o ILAAP por su sigla en inglés), incluyendo la implementación, supervisión y aprobación de su marco de gobernanza con una asignación clara de responsabilidades. (EMG aplicable a bancos de importancia sistémica 14) Para ello, el Directorio debe: 47Bis 1 Aprobar los siguientes elementos clave del PAL. 14 Sin perjuicio que constituye una guía para el resto de las instituciones de intermediación financiera. EMG Final.pdf Folio n° 130 Expediente N°: 2025-50-1-01643  estructura de gobernanza  requisitos de documentación interna  metodologías de cuantificación del riesgo  enfoque para evaluar la adecuación de la liquidez (incluido el marco de pruebas de tensión)  identificar los riesgos y definir cuáles de ellos deben considerarse materiales y justificar cuales no se consideran materiales 47Bis 2 Suscribir anualmente la declaración de adecuación de liquidez. La declaración de liquidez deber ser clara y concisa, evaluando la adecuación de la liquidez de la entidad basado en los resultados del PAL y cualquier otra información relevante. COMUNICACIÓN N°2025/ 47Bis 3 Establecer políticas y procedimientos para la revisión interna y validación periódica del PAL, asegurando que los procesos y metodologías sean sólidos y eficaces. 47Bis 5 Asegurar que la adecuación de la liquidez se gestiona activamente y que la entidad mantiene un nivel de liquidez adecuado continuamente teniendo en cuenta la perspectiva normativa y económica. 48. La Alta Gerencia debe implementar la estrategia y las políticas aprobadas por Directorio para la gestión del riesgo de la liquidez y desarrollar procedimientos para su identificación, medición, monitoreo y control. Para ello, la Alta Gerencia debe: 48.1 Implementar las políticas y Desarrollar procedimientos específicos para la gestión de liquidez que incluyan lineamientos sobre la composición de activos y pasivos, la administración de liquidez en diferentes monedas, de los activos y pasivos radicados en diferentes países y el uso de los distintos instrumentos financieros. 48.2 Definir los responsables de la administración del riesgo de liquidez y el mecanismo a través del cual se implementa la política de liquidez y se revisan las decisiones tomadas sobre la posición de liquidez. 48.3 Asignar los recursos necesarios en cantidad, calidad y competencia a efectos de un buen manejo del riesgo de liquidez. 48.4 Asegurar que existan mecanismos efectivos de control y de corresponder, asegurar controles eficaces sobre los modelos utilizados para identificar y cuantificar el riesgo de liquidez. 48.5 Implementar un sistema de límites que asegure que la liquidez se mantiene dentro de las políticas aprobadas por el Directorio. 48.6 Desarrollar procedimientos para la gestión de riesgos de liquidez que incluya la medición de costos, beneficios y riesgos de liquidez en los procesos de formación interna de precios, medición de resultados y aprobación de nuevos productos. 48.7 Desarrollar procedimientos de control que expliciten los procesos de aprobación, límites, revisiones y otros mecanismos apropiados designados para proporcionar una seguridad razonable de que se logren los objetivos del manejo del riesgo de liquidez de la institución. 48.8 Evaluar cómo otros riesgos, incluyendo los riesgos de crédito, de mercado y de operación, pueden impactar sobre la estrategia global de liquidez de la institución. 48.9 Asegurar que en el proceso de creación de nuevos productos se considera el riesgo de liquidez en forma explícita. 48.10 Implementar un proceso continuo de evaluación sobre el posible impacto de diferentes escenarios sobre su posición de liquidez. 48.11 Revisar periódicamente las políticas y procedimientos para asegurar que siguen siendo adecuados y prudentes. 48.12 Desarrollar e implementar el Plan de Contingencia de Liquidez aprobado por el Directorio. 48.13 Desarrollar planes para enfrentar la potencial falta de liquidez tanto transitoria como a largo plazo. 48.14 Desarrollar un sistema de información que permita una oportuna y correcta agregación y notificación al Directorio de las exposiciones al riesgo de liquidez, así como que permita evaluar la efectividad de gestión del riesgo. EMG Final.pdf Folio n° 131 Expediente N°: 2025-50-1-01643 48Bis. La Alta Gerencia debe implementar y supervisar un proceso de evaluación de liquidez (PAL) que asegure la adecuada relación entre el perfil de riesgo y la liquidez interna. (EMG aplicable a bancos de importancia sistémica 15) Para ello la Alta Gerencia debe: 48Bis 1 Implementar un proceso efectivo de autoevaluación de liquidez de la institución. 48Bis 2 Asegurar que se identifiquen, midan, controlen y gestionen adecuadamente los riesgos de liquidez. COMUNICACIÓN N°2025/ 48Bis 3 Implementar políticas, procedimientos y controles relacionados con la gestión de liquidez. 48Bis 4 Definir y elaborar métricas de liquidez, el plan de financiamiento, el nivel de activos líquidos y garantías, los mecanismos de asignación de costos, la gestión de la liquidez intradía, el plan de contingencia y las pruebas de tensión. 48Bis 5 Evaluar periódicamente los resultados de la autoevaluación y tomar decisiones para mejorar la posición de liquidez de la entidad, integrando los resultados del PAL en los procesos de negocio, decisiones estratégicas y gestión de riesgos de la entidad. 48Bis 6 Implementar las políticas y procedimientos establecidos por el Directorio para la revisión interna y validación del PAL. 48Bis 7 Recibir y evaluar las conclusiones de la validación interna del PAL y garantizar que se tomen medidas correctivas en caso de identificar deficiencias. 48Bis 8 Supervisar el entorno y detectar nuevas amenazas, vulnerabilidades y cambios que pueden afectar la adecuación de la liquidez. 48Bis 9 Participar en Comités relevantes, como los de gestión de activos y pasivos, riesgos y otros relacionados con la gobernanza del PAL. B - MEDICIÓN, CONTROL Y MONITOREO DEL RIESGO DE LIQUIDEZ 49. La institución debe establecer un sistema de medición y monitoreo continuo de los requerimientos netos de fondos, considerando sus posiciones de liquidez en las principales monedas con las que trabaja. Para ello el sistema debe: 49.1 Tener la capacidad de calcular las posiciones de liquidez en plazos cortos y en distintos periodos específicos (incluyendo períodos más lejanos en el tiempo, por moneda y en forma agregada Las posiciones de liquidez deberán ser calculadas en una situación estática y/o dinámica. 49.2 Ser lo suficientemente flexible como para enfrentar variadas contingencias que puedan surgir. 49.3 Contar con un sistema de información que le permita comparar los ingresos y egresos de efectivo en forma diaria o para distintos periodos especificados y. los niveles de activos líquidos. 49.4 Incorporar el monitoreo de factores externos (tendencias económicas, de mercado e información específica sobre la propia institución) con el objetivo de evaluar su potencial impacto sobre la liquidez. 49.5 Analizar las condiciones de mercado que podrían afectar el acceso al mercado de moneda extranjera y saber que los depositantes y prestatarios de moneda extranjera podrían intentar retirar sus fondos más rápidamente que las contrapartes locales. 49.6 Evaluar su acceso a fuentes alternativas de fondos para el reembolso de obligaciones en moneda extranjera. 49.7 Considerar que podrían haber dificultades de acceso a ciertos mercados y que los mercados de divisas podrían carecer de liquidez y/o el tipo de cambio podría depreciarse drásticamente. 50. La institución debe analizar la liquidez utilizando distintos escenarios, llevar a 15 Sin perjuicio que constituye una guía para el resto de las instituciones de intermediación financiera. EMG Final.pdf Folio n° 132 Expediente N°: 2025-50-1-01643 cabo pruebas de tensión y revisar frecuentemente la validez de los supuestos utilizados para administrar la liquidez. Dado que muchos pasivos y activos no tienen vencimientos definidos, la institución debe: 50.1 Implementar un proceso de evaluación de la experiencia histórica de la institución sobre patrones de comportamiento de los flujos. 50.2 Evaluar en forma periódica el comportamiento de los flujos de efectivo en distintos escenarios, a partir de cambios en los supuestos utilizados. Al hacer una evaluación, la institución debe tomar en cuenta no sólo su propia experiencia histórica, sino también la experiencia de otras entidades en una crisis de liquidez. COMUNICACIÓN N°2025/ 50.3 Realizar pruebas de tensión en base a distintos supuestos. Debe considerarse escenarios de crisis idiosincrática y sistémica. En la medida que la posición de liquidez futura puede verse afectada por factores que no siempre pueden ser pronosticados con precisión, los supuestos deben revisarse frecuentemente para determinar su validez, especialmente dada la velocidad de cambio en los mercados financieros 50.4 Los escenarios deben considerar del lado del activo la incapacidad de recuperar las colocaciones y del lado del pasivo un retiro significativo de depósitos de no residentes. 50.5 Las pruebas de tensión deben ser oportunas e integradas a la gestión; realizadas con una periodicidad definida y comunicados sus resultados a los comités involucrados y al Directorio. 51. La institución debe revisar regularmente las estrategias de financiación y el nivel de liquidez de los activos. Para ello, la institución debe: 51.1 Revisar el nivel de activos líquidos de alta calidad y libre de cargas que puedan ser utilizados en periodos de tensión 51.2 Evaluar a intervalos regulares la capacidad para vender activos 51.3 Revisar el perfil de financiación estable en relación con la composición de sus activos y actividades fuera de balance. 51.4 Evaluar periódicamente las opciones disponibles de fondeo, las posibilidades de acceso a las mismas y el monto de fondos que puede esperar recibir del mercado, tanto en circunstancias normales como adversas. 51.5 Evaluar la composición, características y nivel de concentración de sus fuentes de fondos. Se debe considerar en el análisis el financiamiento mayorista. 51.6 Monitorear las variadas opciones de provisión de fondos y sus tendencias actuales. 51.7 Definir e implementar una estrategia de relacionamiento y comunicación con los proveedores clave de fondos para proporcionar una línea de defensa ante un problema de liquidez y formar parte integral de la administración de liquidez de la entidad. 52. La institución debe establecer planes de contingencia que respalden la estrategia para manejar crisis de liquidez e incluir procedimientos. El plan de contingencia debe: 52.1 Estar adecuadamente documentado 52.2 Contener políticas que permitan gestionar situaciones de tensión (idiosincráticas y sistémicas) establecer líneas de responsabilidad claras e incluir procedimientos de activación y refuerzo del plan. Asimismo deberá someterse a actualizaciones y revisiones periódicos a fin de garantizar que su operativa es robusta 52.3 Incluir procedimientos que estén estrechamente conectados con el continuo proceso de análisis del riesgo de liquidez de la institución y con los resultados de los escenarios y supuestos utilizados en las pruebas de tensión. 52.4 Establecer procedimientos que aseguren que los flujos de información son oportunos e ininterrumpidos y que proporcionan a la Gerencia la información precisa para tomar decisiones rápidas. 52.5 Establecer una clara asignación de responsabilidades de manera que todo el personal conozca lo que se espera de él durante una situación problemática. EMG Final.pdf Folio n° 133 Expediente N°: 2025-50-1-01643 52.6 Incluir las acciones a tomar en el caso de enfrentarse con un problema de liquidez incluyendo: • planes de comunicación claros dirigidos a todos los agentes internos y externos • considerar los efectos de las tensiones en los mercados sobre su capacidad para vender o titulizar activos; • la relación entre la liquidez de mercado y la liquidez de fondeo • efectos de reputación relacionados con la adopción de las medidas de financiación contingente 52.7 Incluir procedimientos para compensar déficits de flujo de efectivo en situaciones adversas.N°2025/ COMUNICACIÓN La institución debe tener disponibles varias fuentes posibles de fondos, incluyendo facilidades de crédito no usadas anteriormente. El plan debe establecer tan claramente como sea posible la cantidad de fondos de estas fuentes que la institución tendría a disposición y bajo qué situaciones podría usarlos. 53. La institución debe definir mecanismos de control que aseguren el cumplimiento de los límites de descalce de su flujo de efectivo vigentes y contar con un proceso adecuado para la identificación y tratamiento de las excepciones. Para ello, la institución debe: 53.1 Contar con mecanismos de control interno que aseguren que el manejo del riesgo de liquidez se realiza de acuerdo con las políticas y procedimientos definidos por el Directorio y Alta Gerencia. 53.2 Establecer procedimientos de identificación, monitoreo documentación y notificación de excepciones a las políticas y límites establecidos. 53.3 Asegurar que las posiciones que exceden niveles predefinidos reciban la atención de la Alta Gerencia en forma oportuna. 54. La institución debe contar con un sistema de información gerencial que suministre información adecuada y oportuna adecuada para monitorear, controlar e informar el riesgo de liquidez. Los informes deben entregarse periódicamente al Directorio y Alta Gerencia. Para ello, el sistema debe: 54.1 Emitir información en forma regular que permita el control de exposiciones al riesgo de liquidez actuales en relación a los límites establecidos 54.2 Permitir una evaluación del nivel y de las tendencias en la exposición agregada al riesgo de liquidez de la Institución. 54.3 Utilizar supuestos claramente explicitados para que la Gerencia pueda evaluar la validez y consistencia de los supuestos clave y conocer las implicaciones de las distintas situaciones planteadas en las pruebas de tensión. C – REVISIÓN DEL SISTEMA La revisión independiente debe incluir la evaluación de: 55. La institución debe establecer mecanismos de revisión independiente y periódica del proceso de gestión de la liquidez. Los resultados de las revisiones deben ser reportados directamente al Directorio y a la Alta Gerencia. 55.1 El sistema en su conjunto y su eficacia en el cumplimiento de los objetivos. 55.2 El cumplimiento efectivo de las políticas y procedimientos y la adecuada documentación de los procesos y las decisiones adoptadas. 55.3 La organización y la suficiencia de los recursos humanos en cuanto a número y competencia técnica para gestionar en forma correcta el riesgo. 55.4 El equilibrio existente entre las áreas comerciales y de control de riesgos. 55.5 La capacidad y eficacia del sistema para capturar todos los elementos materiales de riesgo. 55.6 La confiabilidad y corrección en el procesamiento, agregación y cotejo de los datos. EMG Final.pdf Folio n° 134 Expediente N°: 2025-50-1-01643 55.7 Los supuestos utilizados en la formulación de los modelos y si están correctamente documentados. 55.8 Los cambios significativos que puedan afectar la efectividad de los controles, como cambios en los mercados, recursos humanos, tecnología o estructuras de cumplimiento. RIESGO OPERACIONAL El riesgo operacional se define como el riesgo presente y futuro de que las ganancias o el patrimonio de la entidad se vean afectados por pérdidas resultantes de procesos, personal o sistemas internos inadecuados o defectuosos, o por eventos externos. Incluye además el riesgo de COMUNICACIÓN N°2025/ cumplimiento, es decir, la posibilidad de que una entidad se vea afectada por violaciones a las leyes, regulaciones, estándares y prácticas de la industria o estándares éticos. Este riesgo también aparece en situaciones en donde las leyes o regulaciones que rigen ciertos productos o actividades son ambiguas. El riesgo operacional acompaña el desarrollo y evolución de los productos, el desarrollo e implementación de los sistemas, los procesos transaccionales y guarda relación con la complejidad de los productos y servicios, la calidad del personal y el ambiente de control interno, Es un riesgo diferente a otros, como el riesgo de crédito o de mercado, ya que no se asume riesgo operacional con el objetivo de obtener un retorno, sino que surge de la actividad normal de la entidad y afecta el manejo integral de riesgos. La entidad puede tener su propia definición del riesgo operacional, pero cualquiera sea ésta, es crítico que exista una comprensión del concepto para su manejo efectivo. Cada entidad puede tener una forma de organización diferente para esta función que debe estar de acuerdo con su tamaño, complejidad y líneas de negocio. Sin perjuicio de ello, la institución debe asignar los recursos necesarios, definir claramente responsabilidades, tener independencia operativa para el ejercicio de la función y estar sujeta a revisiones periódicas por parte de la Auditoría Interna. Las interrupciones en la infraestructura física o en la cadena de proveedores por razones climáticas puede afectar la continuidad operativa, lo que también deberá ser considerado. Por otra parte, la resiliencia operativa es la capacidad de mantener operaciones críticas en caso de interrupciones. Adoptar un enfoque de resiliencia operativa permite a las instituciones identificar y protegerse de amenazas y posibles fallas, responder y adaptarse, así como recuperarse y aprender de eventos disruptivos para minimizar su impacto en la entrega de operaciones críticas, teniendo en cuenta su apetito de riesgo. A la hora de definir e implementar el enfoque de resiliencia, deben tenerse en cuenta aspectos vinculados a gobernanza, gestión de riesgo operacional, planificación y pruebas de continuidad del negocio, interdependencia de operaciones críticas y los procesos y sistemas que las soportan, dependencia de terceros, administración de incidentes, tecnología de la información y comunicaciones y ciberseguridad. 56. El Directorio debe aprobar los principios generales para el manejo del riesgo operacional, el apetito de riesgo y las políticas de la institución en base individual y consolidada y revisarlos periódicamente. Asimismo, debe revisar regularmente la exposición al riesgo operacional y asegurar que los niveles de riesgos se encuentran dentro del marco establecido. Para ello, el Directorio debe: 56.1 Aprobar las políticas en relación al riesgo operacional y revisarlas periódicamente. Estas políticas deben ser consistentes con el apetito de riesgo definido. Las mismas deben:  Reconocer el riesgo operacional, (el cual incluye el riesgo de cumplimiento) como un riesgo que la entidad debe manejar explícitamente.  Constituir una guía clara en relación al control de este riesgo y asegurar que todo el personal está comprometido con dichas actividades de control.  Asegurar que todo el personal está comprometido con dichas actividades de control. 56.2 Promover una cultura de control adecuada en la organización y el cumplimiento de las leyes, regulaciones, prácticas de la industria y estándares éticos. 56.3 Asegurar que la gestión del riesgo operacional se lleva a cabo en forma continua. 56.4 Revisar periódicamente la efectividad de la gestión del riesgo operacional. EMG Final.pdf Folio n° 135 Expediente N°: 2025-50-1-01643 56.5 Asegurar que se cuenta con una estructura organizacional adecuada para la gestión del riesgo operacional. 56.6 Identificar líneas de responsabilidad y autoridad en la gestión del riesgo operacional. 56.7 Aprobar los lineamientos estratégicos y el marco de gobernanza y gestión en materia de resiliencia operativa, de manera consistente con el apetito de riesgo. 56.8 Aprobar las políticas en relación a seguridad de la información y revisar periódicamente la efectividad de su implementación. COMUNICACIÓN N°2025/ Las mismas deben:  Reconocer explícitamente los riesgos vinculados a la gestión de activos de información y la necesidad de que su gestión sea consistente con la naturaleza y el nivel de complejidad de las operaciones.  Constituir una guía clara en relación a la gestión de seguridad de la información.  Promover una adecuada cultura de seguridad de la información. 56.9 Contar con información suficiente, detallada y oportuna sobre el riesgo operacional de forma que le permita comprender los riesgos asumidos y evaluar el desempeño de la Alta Gerencia en el monitoreo y control de dicho riesgo. 56.10 Asegurar la realización de revisiones independientes para que en forma periódica se validen los procesos, las políticas, los procedimientos. Asegurar que se instrumenten las acciones apropiadas ante las debilidades o fallas significativas detectadas por el auditor interno, externo, supervisor o profesional independiente. 56.11 Asegurar que la Alta Gerencia implemente las políticas y los procesos necesarios para que los riesgos asumidos sean consistentes con las políticas aprobadas. 56BIS. Las instituciones financieras deberán considerar los efectos del cambio climático en su gestión del riesgo operacional, incluyendo los riesgos físicos y de transición que puedan afectar los procesos, sistemas, personas o infraestructura. A tales efectos deberán: 56Bis 1 Identificar cómo los eventos climáticos extremos (por ejemplo, inundaciones, olas de calor, tormentas) pueden afectar la continuidad operativa, la infraestructura física, los centros de procesamiento de datos y las redes de comunicación. 56Bis 2 Evaluar los riesgos derivados de cambios regulatorios o reputacionales vinculados a la sostenibilidad ambiental, que puedan generar fallas operativas, sanciones o pérdida de confianza. 56Bis 3 Revisar los planes de continuidad del negocio y recuperación de desastres para asegurar que contemplen escenarios climáticos severos y se mantenga la resiliencia operativa. 56Bis 4 Capacitar al personal relevante sobre los riesgos operacionales relacionados con el cambio climático, incluyendo áreas de tecnología, gestión de proveedores y seguridad física e informática. 56Bis 5 Monitorear y gestionar riesgos operacionales en su cadena de suministros, en particular cuando dependen de terceros ubicados en regiones altamente expuestas a riesgos climáticos. 56Bis 6 Asignar responsabilidades claras dentro del área de riesgos. 56Bis 7 Establecer revisiones periódicas del marco de gestión del riesgo climático. 57. La Alta Gerencia debe implementar las políticas aprobadas por el Directorio y desarrollar procedimientos apropiados para la identificación, medición, monitoreo y control del riesgo operacional Estas políticas y procedimientos deben considerar el riesgo operacional en todas las actividades de la institución. Para ello, la Alta Gerencia debe: 57.1 Implementar las políticas y desarrollar procedimientos para gestionar el riesgo operacional, de forma consistente con las políticas definidas. EMG Final.pdf Folio n° 136 Expediente N°: 2025-50-1-01643 57.2 Asignar responsabilidades en forma explícita para el manejo del riesgo operacional, independientemente de la estructura organizacional que se defina. En particular, se asignan y definen roles y responsabilidades sobre la seguridad de la información. 57.3 Se asignan los recursos necesarios en cantidad, calidad y competencia a efectos de un buen manejo del riesgo operacional. 57.4 Identificar adecuadamente las fuentes potenciales de riesgo operacional y en consecuencia establecer mecanismos que mitigan este riesgo. 57.5 Establecer que la función de seguridad de la información debe ser independiente funcional y presupuestalmente del área de TI. COMUNICACIÓN N°2025/ 57.6 Asegurar que en el proceso de creación de nuevos productos o en la revisión de procesos, se considera el riesgo operacional en forma explícita. 57.7 Revisar periódicamente las políticas y procedimientos para asegurar que siguen siendo adecuados y prudentes. 57.8 Desarrollar un sistema de información que permita una oportuna y correcta agregación y notificación al Directorio del riesgo operacional así como que permita evaluar la efectividad de gestión del riesgo. 58. La Alta Gerencia debe implementar las políticas y desarrollar procedimientos apropiados para la identificación, medición, monitoreo y control del riesgo de cumplimiento y reportar al Directorio sobre el manejo de este riesgo. Para ello, la Alta Gerencia debe: 58.1 Asignar responsabilidades en forma explícita para el manejo del riesgo de cumplimiento, independientemente de la estructura organizacional que se defina. 58.2 Identificar adecuadamente las fuentes potenciales de riesgo de cumplimiento, y en consecuencia establecer mecanismos que mitigan este riesgo. 58.3 Asegurar que el Directorio reciba en forma periódica información sobre la efectividad de la función de cumplimiento y en particular, cualquier aspecto que represente un riesgo de cumplimiento significativo. 58.4 Asegurar que exista un proceso que asegure el cumplimiento con las leyes y las regulaciones bancocentralistas. 58.5 Revisar periódicamente las políticas y procedimientos para asegurar que siguen siendo adecuados y prudentes. 58.6 Desarrollar un sistema de información que permita una oportuna y correcta agregación y notificación al Directorio del riesgo operacional así como que permita evaluar la efectividad de gestión del riesgo. B - MEDICIÓN, CONTROL Y MONITOREO DEL RIESGO OPERACIONAL 59. La institución debe contar con procedimientos de identificación, medición y evaluación de las fuentes de riesgo operacional y definir los mecanismos para mitigar dichos riesgos. Para ello, la institución debe: 59.1 Realizar un mapeo de los distintos procesos y revisarlo periódicamente. 59.2 Establecer algún mecanismo de auto evaluación de riesgos a nivel de los distintos procesos operativos de la entidad y definir los controles orientados a mitigar dichos riesgos. 59.3 Involucrar al personal vinculado a los distintos procesos en este mecanismo de auto evaluación. 59.4 Llevar un registro de los eventos de riesgo operacional que permita su consolidación y análisis. 59.5 Llevar un registro de las incidencias generadas en el proceso de atención a los clientes. 59.6 Generar un sistema de indicadores que alerten sobre debilidades en los procesos. EMG Final.pdf Folio n° 137 Expediente N°: 2025-50-1-01643 59.7 Realizar análisis de escenarios, incluidos eventos de baja probabilidad y alto impacto, algunos de los cuales podrían resultar en pérdidas graves por riesgo operativo y afectar la resiliencia operativa. 59.8 Contar con procedimientos que permitan asegurar el cumplimiento con las leyes, normas e instrucciones emitidas por entes reguladores. 59.9 Analizar integralmente los resultados de las diferentes herramientas de medición y gestión de riesgos implementadas en la institución para mejorar la comprensión del perfil de riesgo operativo y la toma de decisiones. COMUNICACIÓN N°2025/ 59.10 Informar los resultados de las distintas herramientas de gestión de riesgo operacional al Comité de Riesgos, a la Auditoría Interna y al Comité de Auditoría y comunicarlas al personal involucrado. 60. La institución debe implementar procedimientos de control y monitoreo del riesgo operacional Para ello la institución debe: 60.1 Asegurar que exista un estrecho contacto entre las estructuras de control, y se intercambie información sobre el resultado de las actuaciones de cada una de ellas. 60.2 Asegurar que los procesos (o partes de ellos) que se encuentren tercerizados están adecuadamente controlados. 60.3 Asegurar que existan reportes periódicos al Directorio sobre la eficacia de las políticas implementadas. 61. La institución debe contar con un plan de respuesta a incidentes de seguridad de información (plan de recuperación de desastres) que contemple roles, responsabilidades, escenarios y actividades a realizar por todas las partes involucradas, en línea con el enfoque de resiliencia operativa adoptado. 61.1 El plan definido deberá establecer claramente su gobernanza, alcance, definiciones, plan de comunicación, recursos utilizados, contactos del personal clave y proveedores implicados, niveles de severidad y priorización de los incidentes 61.2 Deberá revisarse la aplicabilidad del plan y procedimientos definidos. Para ello, se deberá realizar una prueba (ejercicios de escritorio, simulaciones o ejercicios reales) por lo menos anualmente, debidamente documentada y analizada al culminarse. 61.3 Independientemente del tipo de prueba a realizar sobre el plan, se deberán establecer métricas de desempeño. 61.4 En todos los casos, el alcance de las pruebas y las métricas definidas deberá permitir asegurar la adecuación y efectividad del plan. 61.5 Las lecciones aprendidas derivadas de las pruebas realizadas y de los incidentes reales, en particular los ciberataques, junto con los problemas que se hayan planteado en la ejecución de las pruebas, se deben incorporar de forma continua al proceso de evaluación de riesgos. 62. La institución debe contar con un plan de contingencia y de continuidad de los negocios que permita operar ante la ocurrencia de eventos externos severos y se enmarque en el enfoque de resiliencia operativa adoptado. Para ello debe: 62.1 Contar con un Análisis de Impacto e n e l Negocio con el cual se identifiquen las actividades críticas de la institución. 62.2 Establecer planes que ante distintos escenarios de desastre (incluyendo ciberataques), aseguren la continuidad del negocio. Los mismos deben diseñarse para permitir la recuperación de las operaciones y para no interrumpir el servicio prestado por los centros de procesamiento de datos, redes, proveedores externos y unidades de negocios. 62.3 Abarcar en sus planes la continuidad de los servicios tercerizados. 62.4 Establecer planes de respaldo de información que aseguren su recuperabilidad. EMG Final.pdf Folio n° 138 Expediente N°: 2025-50-1-01643 62.5 Revisar periódicamente la aplicabilidad de estos planes. Para esto, se debe realizar una prueba (paralela o completa) por lo menos anualmente, debiendo ser debidamente documentada y analizada al culminarse, así como reportarse al Comité de Riesgos. 62.6 Revisar periódicamente la aplicabilidad de estos planes. Para esto, se debe realizar una prueba (paralela o completa) por lo menos anualmente, debiendo ser documentada y analizada al culminarse, así como reportarse al Comité de Riesgos. 62.7 En todos los casos, el alcance de las pruebas deberá permitir asegurar la adecuación y efectividad de los planes para permitir la recuperación ante eventos severos en condiciones aceptables para el negocio. COMUNICACIÓN N°2025/ 62.8 Las lecciones aprendidas derivadas de las pruebas de resiliencia operativa llevadas a cabo de conformidad con los requerimientos anteriores y de los incidentes reales, en particular los ciberataques, junto con los problemas que se hayan planteado al activar los planes de continuidad y los planes de respuesta y recuperación en materia de tecnología, además de la información pertinente intercambiada con las contrapartes, se incorporarán de forma continua al proceso de evaluación de riesgos y serán reportadas al Comité de Riesgos y al Comité de Auditoría. 63. La institución debe contar con una gestión integral e independiente de la seguridad de la información que asegure el cumplimiento e implementación efectiva de los marcos, políticas, estándares, procedimientos y mecanismos definidos. Para ello debe: 63.1 Mantener actualizada la clasificación de sus activos de información. Debe asignarse dueño y custodio a todo dato y software necesario para reconstruir las informaciones emitidas para el Banco Central del Uruguay, los registros contables y cada uno de los movimientos que dan origen a los mismos (hasta el grado de detalle establecido en la normativa vigente). 63.2 Definir y monitorear el cumplimiento de estándares, procedimientos y directrices que permitan preservar la confidencialidad, integridad y disponibilidad de la información, teniendo en cuenta aspectos de seguridad física y lógica. 63.3 Definir una política de control de acceso que incorpore los principios de menor privilegio y segregación de funciones. Definir y establecer los niveles, controles y trazas necesarias y asegurar el cumplimiento de las mismas. 63.4 Se deberá asegurar la ejecución de un monitoreo y control sobre el proceso de recertificación de usuarios, roles y permisos asignados en los sistemas y servicios utilizados con una periodicidad no mayor a un año. Deberá realizarse de tal manera que se pueda identificar, controlar, medir y evaluar la efectiva implementación y ejecución de la gestión de modificaciones, excepciones y aprobaciones de usuarios, roles y permisos de dicho proceso. Esto aplicará también a los usuarios privilegiados definidos en el ámbito de Tecnología de la información y comunicación. 63.5 Identificar, evaluar, tratar y monitorear los riesgos asociados a la gestión de sus activos de información, de manera que se incluya un análisis sobre las amenazas y vulnerabilidades presentes. 63.6 Contar con indicadores y medidas que contribuyan al monitoreo de la gestión de la seguridad de la información. 63.7 Generar concientización y asegurar una adecuada capacitación al personal que permita involucrar a todos en la gestión de los riesgos asociados a los activos de información. 63.8 Generar instancias de sensibilización a los clientes en materia de seguridad de la información, educando sobre los riesgos asociados al uso de los distintos canales e instrumentos y promoviendo las mejores prácticas. 63.9 Asegurar el cumplimiento de las políticas de seguridad de la información en el caso de actividades tercerizadas, y velar por la seguridad de los datos procesados externamente considerando, entre otros, los riesgos específicos asociados al proveedor, su jurisdicción, la sensibilidad de los datos procesados, la relevancia de los procesos operativos involucrados y su impacto en la continuidad del negocio. EMG Final.pdf Folio n° 139 Expediente N°: 2025-50-1-01643 63.10 Contar con una política, procedimientos e indicadores de gestión de incidentes de seguridad, y supervisar las pruebas periódicas que garanticen su efectividad. 63.11 Supervisar las medidas adoptadas para garantizar la seguridad de los medios de trasmisión de datos, minimizar el riesgo de corrupción o pérdida de datos y el acceso no autorizado, evitar la falta de disponibilidad, el menoscabo de la autenticidad e integridad, la vulneración de la confidencialidad y la pérdida de datos o fuga de información. 63.12 Velar por una gestión sólida de redes e infraestructuras y la utilización de técnicas, métodos y protocolos adecuados que puedan incluir la aplicación de mecanismos automatizados para aislar los activos de información afectados en caso de ciberataques, con el fin de minimizar y prevenir el contagio, especialmente en los procesos financierosN°2025/ COMUNICACIÓN interconectados. 63.13 Asegurar que se hayan implementado mecanismos para detectar rápidamente actividades anómalas e identificar posibles puntos únicos de fallo significativos, definiendo umbrales de alerta para activas e iniciar procesos de respuesta a incidentes, y asegurarse de la implementación de este tipo de mecanismos en los proveedores de procesamiento de datos. 64. La función de cumplimiento debe contar con mecanismos para identificar, medir, controlar y monitorear el riesgo de cumplimiento asumido. Para ello debe: 64.1 Asesorar al Directorio y a la Alta Gerencia del cumplimiento por parte de la institución de las leyes, normativas y estándares aplicables. 64.2 Contar con la suficiente autoridad, importancia, independencia, recursos y acceso al Directorio 64.3 Promover y participar activamente en la capacitación de todos los funcionarios en materia de cumplimiento, actuar de punto de contacto para preguntas sobre cumplimiento y guiar sobre la aplicación adecuada de las leyes, normas, estándares aplicables, políticas y procedimientos, códigos de ética y de buenas prácticas. 64.4 Implementar mecanismos para identificar y evaluar el riesgo de cumplimiento existente en las distintas actividades de la entidad, incluyendo los productos nuevos, las propuestas de nuevos tipos de negocios o cualquier cambio en las características del relacionamiento con los clientes. 64.5 Establecer mecanismos para medir el riesgo de cumplimiento y usar estas medidas para mejorar el manejo de este riesgo. Algunos indicadores pueden ser utilizados con el apoyo tecnológico respectivo, para identificar y medir potenciales problemas de cumplimiento. 64.6 Implementar mecanismos para monitorear el cumplimiento y la efectividad de las políticas definidas, tanto a nivel interno como en actividades tercerizadas. 64.7 Asegurar el cumplimiento adecuado y oportuno con la información suministrada al supervisor. 64.8 Reportar al Directorio sobre los resultados del monitoreo realizado y en general, sobre el perfil general del riesgo de cumplimiento basado en los indicadores definidos. 65. La información suministrada al supervisor debe ser confiable y oportuna y debe existir un responsable en la organización por su elaboración y presentación. La información suministrada por la entidad es un insumo básico para que el supervisor pueda cumplir con sus responsabilidades. Por tanto, la calidad de dicha información es fundamental y constituye un elemento esencial en la definición del alcance de las actividades que debe desarrollar. Para que el patrimonio cumpla su función, el monto reportado debe existir realmente. Como consecuencia, es crítico que los activos y pasivos estén valuados correctamente. Los sistemas de contabilidad y procedimientos utilizados para informar al Supervisor y al público en general son un elemento crítico en la evaluación del perfil de riesgos de una institución y de su condición financiera y patrimonial. Para que el proceso de generación de información al supervisor sea confiable debe: EMG Final.pdf Folio n° 140 Expediente N°: 2025-50-1-01643 65.1 Tener políticas y procedimientos claros sobre el tratamiento contable consistente con los requisitos regulatorios y los estándares internacionales. 65.2 Asegurar que los procesos de contabilización son eficaces y controlados evitando el diferimiento en la contabilización de las operaciones. 65.3 Existir un proceso automatizado de generación de información, donde ésta fluya naturalmente desde las transacciones a los productos finales de información. 65.4 Estar dotado de un sistema de controles adecuados (separación de funciones, actividades de control, reportes, etc.). COMUNICACIÓN N°2025/ 65.5 Contar con recursos suficientes y capacitados para llevar adelante la tarea en tiempo y forma. 65.6 Estar sometido a revisiones independientes periódicas por parte de la Auditoría Interna. 65.7 Contar con un responsable por la generación de información hacia el exterior de la empresa (tanto para el supervisor como para cualquier usuario externo). C – REVISIÓN DEL SISTEMA 66. La institución debe establecer mecanismos de revisión independiente y periódica del proceso de gestión del riesgo operacional. Los resultados de las revisiones deben ser reportados directamente al Directorio y a la Alta Gerencia. La revisión independiente debe incluir la evaluación de: 66.1 El sistema en su conjunto y su eficacia en el cumplimiento de los objetivos. 66.2 El cumplimiento efectivo de las políticas y procedimientos y la adecuada documentación de los procesos y las decisiones adoptadas. 66.3 La organización y la suficiencia de los recursos humanos en cuanto a número y competencia técnica para gestionar en forma correcta el riesgo. 66.4 La capacidad y eficacia del sistema para capturar todos los elementos materiales de riesgo. 66.5 La confiabilidad y corrección en el procesamiento, agregación y cotejo de los datos. 66.6 Los supuestos utilizados en la formulación de los modelos y si están correctamente documentados. 66.7 Los cambios significativos que puedan afectar la efectividad de los controles, como cambios en los mercados, recursos humanos, tecnología o estructuras de cumplimiento. RIESGO DE LAVADO DE ACTIVOS, FINANCIAMIENTO DEL TERRORISMO Y FINANCIAMIENTO DE LA PROLIFERACION DE ARMAS DE DESTRUCCIÓN MASIVA El riesgo refiere a la posibilidad de pérdida o daño que puede sufrir una entidad al ser utilizada directamente o a través de sus operaciones como instrumento para el lavado de activos y/o canalización de recursos hacia la realización de actividades terroristas o hacia la proliferación de armas de destrucción masiva, o cuando se pretenda el ocultamiento de activos provenientes de dichas actividades. Las operaciones de lavado son realizadas con el propósito de legalizar (o al menos dar apariencia de ello) bienes de origen ilícito; encubrir el origen ilícito de los recursos eliminando el vínculo con la actividad que lo originó, o mezclar dineros ilegales con transacciones financieras legítimas a efectos de justificar el origen de la suma total como proveniente de alguna actividad legal que sirve de fachada. En cambio, los fondos utilizados para apoyar el financiamiento del terrorismo y el financiamiento de la proliferación de armas de destrucción masiva pueden provenir de fuentes legítimas, actividades delictivas, o ambas. En este caso lo que importa es ocultar la fuente del financiamiento, sin reparar en si es legítima o ilícita, ya que si se logra encubrir la fuente, ésta se mantiene disponible para actividades de financiamiento futuras. Las instituciones financieras cumplen un rol importante, ya que se intentará por parte de las personas u organizaciones delictivas, su utilización de diversas formas, desde la introducción del efectivo al circuito legal; la realización de múltiples transferencias o giros bancarios tendientes a borrar el rastro, traspaso de custodia de valores y dificultar el seguimiento de los fondos ilícitos; hasta reincorporarlos formalmente al circuito legal utilizando la fachada de alguna actividad económica lícita y desarrollando transacciones normales para cualquier empresa, como por ejemplo EMG Final.pdf Folio n° 141 Expediente N°: 2025-50-1-01643 importaciones, exportaciones, pagos de servicios o intereses sobre préstamos, pero con la característica especial de tener un origen ilegítimo y muchas veces ficticio. Las instituciones deberán instrumentar un sistema que abarque políticas, prácticas y procedimientos que le permitan identificar, evaluar, monitorear y mitigar el riesgo de ser utilizada como instrumento para el lavado o la canalización de fondos destinados al financiamiento del terrorismo y el financiamiento de la proliferación de armas de destrucción masiva. Para ello, las instituciones deberán contar con políticas y procedimientos bien documentados y correctamente comunicados a todo el personal pertinente y estar integrados en la gestión integral de riesgos de la institución y deben ser aplicados de forma continuada y a todo el grupo financiero. Se deberán implantar reglas estrictas tendientes a conocer cabalmente a sus clientes, logrando identificar quién es el “verdadero beneficiario” de la cuenta. También será necesario establecer estándaresN°2025/ COMUNICACIÓN éticos que le aseguren sobre la integridad de su personal y definir programas de formación continua para el personal que habiliten a los empleados a reconocer las innovaciones relacionadas a estos ilícitos y a proceder según la situación. Asimismo, los intereses comerciales del banco no deberán oponerse en absoluto al eficaz desempeño de la función de cumplimiento, debiendo la entidad asumir una estructura de funcionamiento y responsabilidades acorde con su tamaño y complejidad de la operativa y nivel de riesgo. 67. El Directorio debe aprobar la estrategia y las políticas que propicien una adecuada gestión del riesgo de Lavado de Activos y Financiamiento del Terrorismo en base individual y consolidada y revisarlas periódicamente. El Directorio debe revisar regularmente la exposición al riesgo de LA/FT/FPADM y asegurar que los niveles de riesgos se encuentran dentro del marco establecido. Para ello, el Directorio debe: 67.1 Aprobar las estrategias y políticas en relación al riesgo y revisarlas periódicamente. Estas políticas deben ser consistentes con el marco de riesgo definido y deben ser aplicadas en forma consolidada y a nivel de las entidades individuales cuando corresponda. Las mismas deben:  Promover normas éticas y profesionales de alto nivel para impedir que la institución sea utilizada con fines delictivos.  Definir criterios para la prevención y detección de actividades delictivas y la notificación de las actividades sospechosas al supervisor.  Definir criterios claros de aceptación de inicio y cese de vinculación con clientes y relaciones de corresponsalía.  Establecer criterios de selección, evaluación y capacitación del personal y de las terceras partes en la que se delegan actividades comerciales o de servicios.  Prever mecanismos de identificación y notificación de excepciones a las mismas. 67.2 Conocer y entender los riesgos de LA/FT/FPADM a los que se encuentra expuesta la institución y el grupo a los efectos de definir políticas acordes a los riesgos identificados. 67.3 Promover una cultura de control y presentar un fuerte compromiso con la prevención del riesgo de LA/FT/FPADM. 67.4 Asegurar que exista una estructura organizacional, con una adecuada separación de funciones y una clara asignación de responsabilidades, que incluya la designación del Oficial de Cumplimiento con la preparación e idoneidad adecuada, asignándole jerarquía dentro de la organización, los recursos humanos y materiales necesarios para desarrollar su tarea en forma autónoma y eficiente . 67.5 Contar con información suficiente, detallada y oportuna, de forma que le permita comprender el nivel de riesgo al que se encuentra expuesta la entidad y evaluar el desempeño de la Alta Gerencia y en particular del Oficial de Cumplimiento, en el monitoreo y control de este riesgo. 67.6 Asegurar la realización de revisiones independientes para que en forma periódica se validen los procesos, las políticas, los procedimientos y los controles relativos al sistema de prevención de LA/FT. Asegurar que se instrumenten las acciones apropiadas ante las debilidades o fallas significativas detectadas por el auditor interno, externo, supervisor o profesional independiente. 67.7 Asegurar que se cuenta con un soporte tecnológico adecuado para el sistema de administración del riesgo de LA/FT/FPADM.. 67.8 Asegurar que la Alta Gerencia implemente las políticas y los procesos necesarios para que los riesgos asumidos sean consistentes con las estrategias y políticas aprobadas. EMG Final.pdf Folio n° 142 Expediente N°: 2025-50-1-01643 68. La Alta Gerencia debe asegurar la implementación de las políticas de riesgo aprobadas por el Directorio en relación al riesgo de lavado de activos y financiamiento del terrorismo, y el desarrollo de procedimientos para la identificación, medición, monitoreo y control. Para ello, la Alta Gerencia debe: 68.1 Conocer y analizar periódicamente los riesgos a los que se encuentra expuesta la entidad considerando todos los factores relevantes para determinar su perfil de riesgo y el adecuado nivel de mitigación que se aplicará. COMUNICACIÓN 68.2 Instrumentar una estructura organizacional con clara definición de responsabilidades, queN°2025/ cuente con los recursos necesarios en cantidad, conocimiento técnico y experiencia, que aseguren un eficaz cumplimiento de las actividades de análisis, monitoreo y control del riesgo. 68.3 Asegurar que el personal comprenda su rol en el sistema de prevención y esté en conocimiento de los procedimientos y controles internos diseñados de forma de mitigar el riesgo de LA/FT. 68.4 Se asignan los recursos necesarios en cantidad, calidad y competencia a efectos de un buen manejo del riesgo. 68.5 Asegurar que el sistema de gestión del riesgo cuente con:  Procedimientos y criterios de admisión y desvinculación de clientes  Procedimientos de debida diligencia  Procedimientos de gestión de la información  Criterios de categorización de clientes  Determinación de niveles máximos de exposición  Procedimientos y/o sistemas para la identificación y gestión de alertas  Procedimientos de identificación y reporte de operaciones inusuales o sospechosas 68.6 Asegurar que en el proceso de creación de nuevos productos se considere el riesgo en forma explícita. 68.7 Asegurar que el Código de Ética aprobado es conocido y aplicado por toda la organización y refleja el compromiso institucional con el ambiente de control, estimulando la conciencia y el compromiso de control entre todo su personal, la integridad y los valores éticos, en particular en cuanto a prevenir su utilización para el LA/FT/FPADM. 68.8 Controlar que las áreas de negocios (incluyendo las dependencias) apliquen adecuadamente los procesos de debida diligencia definidos y, cuando corresponda, verificar que el monitoreo aplicado sea acorde a los perfiles de riesgo asignados 68.9 Revisar periódicamente las políticas y procedimientos para asegurar que siguen siendo adecuados y prudentes y acordes al nivel de actividad y complejidad financiera de la operativa desarrollada. 68.10 Desarrollar un sistema de información que permita una oportuna y correcta agregación y notificación al Directorio de las exposiciones al riesgo, así como que permita evaluar la efectividad de su gestión. 69. El Oficial de Cumplimiento es el responsable de la implantación, seguimiento y control del adecuado funcionamiento del sistema de prevención del riesgo de LA/FT/FPADM. Para ello, el Oficial de Cumplimiento debe: En su rol de encargado del sistema de prevención: 69.1 Implementar las estrategias y políticas aprobadas por el Directorio y desarrollar procedimientos bien documentados que permitan identificar, medir y controlar el riesgo de LA/FT/FPADM, los cuales deberán aplicarse en toda la institución, sus subsidiarias y sucursales y en los servicios tercerizados. 69.2 Verificar que los riesgos se encuadren dentro de los niveles fijados por la Dirección y en caso contrario pasen a conocimiento y decisión de los niveles jerárquicos correspondientes. 69.3 Proponer la actualización de políticas y procedimientos en relación al riesgo . EMG Final.pdf Folio n° 143 Expediente N°: 2025-50-1-01643 69.4 Verificar a través de muestreos el adecuado funcionamiento del sistema de gestión del riesgo de LA/FT/FPADM y sus componentes, de forma que permita detectar posibles apartamientos al marco de riesgo aprobado. 69.5 Diseñar programas de capacitación del personal y detectar necesidades de capacitación en materia de prevención de LA/FT/FPADM. 69.6 Elaborar informes periódicos que incluyan, entre otros aspectos, su evaluación sobre la eficacia del sistema implantado por la institución para gestionar el riesgo y que permitan informar a sus niveles de reporte, en forma completa y oportuna, sobre el cumplimiento de las políticas. COMUNICACIÓN N°2025/ 69.7 Asegurar que se cumple, por parte de los prestadores de servicios tercerizados, con los términos y procedimientos acordados. 69.8 Proponer el uso de herramientas adecuadas a la complejidad y el nivel de actividad desarrollado. 69.9 Ser el funcionario que sirva de enlace con los organismos competentes (auditor interno, auditor externo, supervisor, profesionales en materia de LA/FT/FPADM). 69.10 Participar en el desarrollo y actualización de nuevos productos y procesos a fin de asegurar controles adecuados en relación al riesgo. B - MEDICIÓN, CONTROL Y MONITOREO DEL RIESGO DE LA/FT 70. SISTEMA GENERAL. La institución debe desarrollar un sistema de administración del riesgo que permita identificar y evaluar los factores de riesgo a los que se encuentra expuesta. Para ello, la institución debe: 70.1 Establecer y documentar una metodología para segmentar los factores de riesgo (productos, servicios, clientes zona geográfica y canales de distribución), definir eventos asociados a cada factor, determinar la posibilidad de ocurrencia y evaluar el posible impacto. 70.2 A partir de la evaluación de riesgos realizada definir el impacto y las acciones que se derivan, en cuanto a los procedimientos y monitoreo a realizar. 70.3 Contar con un sistema de categorización de clientes que permita segmentarlos según su nivel de riesgo de LA/FT/FPADM. 70.4 Definir procedimientos para el mantenimiento, actualización, custodia y registro de la información de clientes, beneficiarios finales y transacciones. 70.5 Contar con un sistema de información a la Dirección y Alta Gerencia adecuado que permita establecer la evolución y perfil del riesgo, así como la eficacia de los controles en la implementación de las políticas. 71. DEBIDA DILIGENCIA. La institución debe desarrollar procedimientos de debida diligencia a ser aplicados a sus clientes y entidades o personas con las que se vincula y sus transacciones, que sean diferenciales en función de su nivel de riesgo Los procedimientos de debida diligencia a aplicar deberán comprender como mínimo los siguientes puntos: 71.1 Respecto de los clientes o personas con las que opera la Institución:  Un detalle de las actividades y mecanismos utilizados para una adecuada verificación de la identidad de los clientes y de los beneficiarios finales de las cuentas o transacciones, que incluyan una definición precisa de la forma en que se mantendrá un contacto personal y los procedimientos alternativos para las excepciones para los casos de menor riesgo.+  Un detalle de la información y documentación mínima a requerir al cliente y beneficiario final para verificar sus antecedentes, actividad y origen de fondos.  Entender el propósito de la vinculación del cliente y obtener información suficiente de él y/o del beneficiario final a los efectos de obtener un conocimiento adecuado de los riesgos asociados a la relación comercial y que provea información para su seguimiento posterior. En los clientes considerados de mayor riesgo o aquellos que conforman grupos EMG Final.pdf Folio n° 144 Expediente N°: 2025-50-1-01643 económicos o financieros vinculados por un mismo titular, beneficiario final o apoderado y operan a través de distintas cuentas, el conocimiento y perfil transaccional asignado debe fundamentarse en un informe circunstanciado.  Procedimientos de debida diligencia reforzada para las personas políticamente expuestas, para los clientes categorizados como de alto riesgo y para los clientes de banca privada con alta transaccionalidad que incluya, entre otros aspectos, mecanismos para su identificación y aprobación de su vinculación por la alta dirección, confección de informes circunstanciado donde se fundamente la actividad, propósito de la cuenta, vínculo o transacción y el perfil transaccional y verificaciones y requerimientos de documentación más exigentes.  Procedimientos para la identificación de aquellos clientes que, en forma habitual, realizan o cursan operaciones en sus cuentas transacciones financieras para tercerasN°2025/ COMUNICACIÓN personas y procedimientos diferenciales de debida diligencia, distinguiendo aquellos que están supervisados por algún organismo nacional o internacional de aquellos que no lo están. 71.2 Respecto de otras relaciones Definir procesos específicos para la actividad de corresponsalía. Estos procesos incluyen: (a) recabar suficiente información sobre los bancos corresponsales para tener una comprensión plena de la naturaleza de su actividad y base de clientes, así como de la forma en que están supervisados; b) verificar que no se establezcan ni mantengan relaciones de corresponsalía con quienes carezcan de adecuados controles frente a actividades delictivas o no estén eficazmente supervisados por las autoridades pertinentes, o con aquellos bancos considerados simulados. c) parámetros de información a solicitar y el mecanismo de aprobación de la operativa con corresponsales del exterior, especialmente cuando se les habilite a éstos a canalizar fondos de y para sus clientes por medio de la entidad.  Definir procesos específicos para los empleados de la institución que incluyan el análisis de antecedentes, cambios en el nivel de vida y comportamiento laboral, entre otros. 72. MONITOREO. La institución debe desarrollar un sistema de seguimiento de las relaciones comerciales y de las transacciones acorde con su tamaño, complejidad y riesgo de sus actividades. Para ello la institución debe: 72.1 Implementar procedimientos de seguimiento acorde con su tamaño, riesgos y complejidad de sus actividades que permitan detectar desvíos respecto de lo usual para el tipo de cliente, actividad o según el tipo de transacción. El sistema de seguimiento debe:  Ser continuo, oportuno y abarcar todas las actividades, productos, clientes y canales utilizados para realizar las transacciones, teniendo como base su evaluación de riesgo.  Contar con un soporte informático acorde con la complejidad de sus actividades.  Tener como base el perfil transaccional y la categoría de riesgo del cliente y los factores de riesgo propios de su actividad y las mejores prácticas internacionales respecto de éstos.  Utilizar parámetros adecuados para reflejar situaciones de riesgo, operaciones inusuales o patrones de actividad sospechosos.  Gestionar las alertas en forma oportuna, tomando como base la información disponible y requiriendo la información adicional que corresponda requerir. 72.2 Contar con procedimientos especiales para identificar posibles operaciones tendientes a financiar actividades de terrorismo, realizando los controles y búsquedas en listas de individuos o entidades asociadas, confeccionadas en cumplimiento de las Resoluciones del Consejo de Seguridad de la Organización de las Naciones Unidas, para impedir el terrorismo y su financiamiento. 72.3 Contar con un sistema que permita monitorear especialmente y de acuerdo a su nivel de riesgo, a aquellos clientes que canalicen fondos en sus cuentas para terceros, debiendo permitir relevar información del beneficiario final de la transacción (cliente de su cliente) y requerir documentación de respaldo en ciertas condiciones de riesgo. Para los clientes que no se encuentran bajo supervisión y regulación, estos procedimientos de identificación y requerimientos de documentación para respaldar las transacciones no podrán ser menos exigentes que los requeridos para sus propios clientes. 72.4 Definir procedimientos de monitoreo especial y previo a concretar la transacción, para aquellas que presenten características especiales de riesgo como ser el monto involucrado o las realizadas con personas y empresas - incluidas las instituciones financieras- residentes en EMG Final.pdf Folio n° 145 Expediente N°: 2025-50-1-01643 países o territorios que no sean miembros del Grupo de Acción Financiera Internacional (GAFI) o de alguno de los grupos regionales de similar naturaleza o estén siendo objeto de medidas especiales por parte de éstos por no aplicar o no aplicar suficientemente las recomendaciones del mencionado organismo. 73. OPERACIONES INUSUALES Y SOSPECHOSAS. La institución debe contar con procedimientos para detectar las operaciones inusuales y/o sospechosas, de notificación al supervisor y para atender en forma oportuna sus solicitudes. Para ello la institución debe: 73.1 Definir claramente el proceso para identificar, investigar y notificar COMUNICACIÓN transaccionesN°2025/ sospechosas al supervisor y comunicarse a todo el personal. Estas definiciones deben incluir los canales internos de reporte, los responsables por el análisis y las guías a considerar. 73.2 Ofrecer al personal con vínculo directo o el tercerizado, según corresponda, una descripción clara de sus obligaciones, así como instrucciones para el análisis, investigación y notificación de dichas actividades dentro de la entidad. 73.3 Asegurarse que los responsables por la decisión de reportar o no a la Unidad de Análisis e Información Financiera (UIAF) están claramente designados, como así también la forma en que se documenta la decisión. 73.4 Asegurarse que el procedimiento implementado garantiza la confidencialidad del reporte y de la información en él incluida. 73.5 Definir procedimientos o instructivos que permitan asegurar que los reportes de operaciones sospechosas se elaboran y notifican oportunamente y contienen la información mínima relevante y de acuerdo a los estándares. 73.6 Definir procedimientos para implementar la política definida por el Directorio sobre cómo proceder con los clientes respecto de los cuales se ha reportado una operación sospechosa a la UIAF. Para los casos en que se mantiene el vínculo con el cliente, los procedimientos deben contemplar el monitoreo intensificado para las transacciones cursadas por estos clientes. 73.7 Definir procedimientos que aseguren atender en forma oportuna y con información precisa las consultas o pedidos de información realizadas por la UIAF. Estos procedimientos deberán establecer claramente los responsables y los procesos de búsqueda y consulta interna ante cada pedido y la forma en que se garantizará la confidencialidad de estas solicitudes. C – REVISIÓN DEL SISTEMA 74. La institución debe establecer mecanismos de revisión independiente y periódica del proceso de gestión del riesgo LA/FT/FPADM. Los resultados de las revisiones deben ser reportados directamente al Directorio y a la Alta Gerencia. La revisión independiente debe incluir la evaluación de: 74.1 El sistema en su conjunto y su eficacia en el cumplimiento de los objetivos. 74.2 El cumplimiento efectivo de las políticas y procedimientos y la adecuada documentación de los procesos y las decisiones adoptadas. 74.3 La organización y la suficiencia de los recursos humanos en cuanto a número y competencia técnica para gestionar en forma correcta el riesgo. 74.4 El equilibrio existente entre las áreas comerciales y de control de riesgos. 74.5 La capacidad y eficacia del sistema para capturar todos los elementos materiales de riesgo. 74.6 La confiabilidad y corrección en el procesamiento, agregación y cotejo de los datos. 74.7 Los cambios significativos que puedan afectar la efectividad de los controles, como cambios en los mercados, recursos humanos, tecnología o estructuras de cumplimiento. RIESGO DE REPUTACION El riesgo de reputación se define como el riesgo presente y futuro de que las ganancias o el patrimonio de la entidad se vean afectados por una opinión pública negativa. Afecta la capacidad de la institución de establecer nuevas relaciones o servicios, o continuar sirviendo a las relaciones EMG Final.pdf Folio n° 146 Expediente N°: 2025-50-1-01643 ya existentes. Este riesgo puede exponer a la institución a juicios, pérdidas financieras o a una disminución en la base de clientes. La exposición al riesgo de reputación incluye la responsabilidad de tener amplia precaución al tratar con los clientes y la comunidad. El riesgo de reputación no es fácilmente cuantificable pero aparece en todas las relaciones con los clientes, en particular aquellas que aparejan asesoramiento y manejo de información confidencial de los mismos. 75. El Directorio debe aprobar y revisar periódicamente las políticas vinculadas al manejo de las relaciones con los clientes de la Institución, que incluyan formalmente el manejo de la información de los mismos y la atención de los clientes. COMUNICACIÓN N°2025/ Para ello, el Directorio debe: 75.1 Aprobar las políticas en relación al riesgo de reputación. Estas políticas deben reconocer el riesgo de reputación que subyace en el relacionamiento con los clientes como un riesgo que la entidad debe manejar explícitamente. En este sentido, deberá incluir elementos tales como la definición de la estructura y responsabilidades en el servicio de atención a los clientes, el sistema de reportes, la conservación de la documentación, etc. 75.2 Establecer un servicio de atención a los clientes acorde a las características de la institución que permita canalizar las consultas y los reclamos recibidos, velando por los derechos de los clientes reconocidos legalmente y en la normativa del Banco Central del Uruguay, así como en las buenas prácticas bancarias que son razonablemente exigibles para la conducción responsable y diligente de los negocios 16. 75.3 Considerar el riesgo reputación derivado de pertenecer a un conglomerado financiero, generado por la existencia de entidades subsidiarias y entidades vinculadas, según corresponda. 75.4 Asegurar el cumplimiento de las políticas definidas en relación al riesgo de reputación. 75.5 Revisar periódicamente la efectividad de estas políticas. 75.6 Considerar el impacto en la reputación derivado de la exposición a clientes o sectores expuestos a riesgos climáticos, así como a otros riesgos emergentes. 76. La Alta Gerencia debe implementar y comunicar las políticas definidas, asegurar que las mismas se cumplen y reportar al Directorio sobre el manejo de este riesgo. Para ello la Alta Gerencia debe asegurar que: 76.1 Se identifican adecuadamente las fuentes potenciales de riesgo de reputación y en consecuencia, se establecen mecanismos que mitigan o eliminan este riesgo. 76.2 Existen mecanismos de evaluación independientes de la efectividad de las políticas definidas en torno al relacionamiento con los clientes. La Auditoría Interna deberá incluir entre sus actividades la evaluación del funcionamiento del servicio de atención al cliente, en particular, la adhesión a las políticas y procedimientos definidos, la naturaleza y cantidad de reclamos recibidos y las operativas, productos o servicios que puedan presentar problemas extendidos de malas prácticas bancarias. 76.3 Se considera explícitamente el riesgo de reputación en el proceso de lanzamiento de nuevos productos u operativas. 76.4 Se manejan los riesgos derivados del manejo de información sensible o confidencial por parte de los proveedores de servicios tercerizados, cuando existen. 76.5 Existe un responsable del funcionamiento del servicio de atención al cliente. Este servicio debe ser llevado adelante con independencia y objetividad, por personas que cuentan con la experiencia y conocimientos adecuados para ejercer estas funciones. La institución podrá delegar este servicio en una persona física o jurídica externa, que reciba y resuelva los reclamos de los clientes, manteniendo la institución la responsabilidad por la correcta solución de los mismos. Esta delegación debe ser expresa y por escrito. 76.6 Se aplican efectivamente los procedimientos de atención de reclamos establecidos. 16 Podrá considerarse la Guía de Buenas Prácticas en Protección al Consumidor de Servicios Financieros: https://www.bcu.gub.uy/Servicios-Financieros-SSF/Documents/guia_buenas_practicas.pdf EMG Final.pdf Folio n° 147 Expediente N°: 2025-50-1-01643 76.7 Existe una adecuada difusión del servicio de atención al cliente en las oficinas de la institución, en la documentación de las operaciones y en el sitio de Internet de la entidad. 76.8 Existen reportes al Directorio en forma periódica sobre cualquier aspecto que represente un riesgo de reputación significativo, en particular en lo que refiere a los resultados de la gestión del servicio de atención al cliente. 77. La institución debe contar con un sistema para gestionar adecuadamente las actividades de asesoramiento y administración y custodia de activos de terceros. COMUNICACIÓN N°2025/ Para ello, 77.1 El Directorio debe establecer políticas claras en relación a estas actividades. 77.2 La Alta Gerencia debe implementar estas políticas y diseñar procedimientos que permitan gestionar los riesgos derivados de estas actividades. 77.3 El sistema de información debe permitir un monitoreo adecuado de los riesgos identificados en estas operativas por parte del Directorio y la Alta Gerencia. ESTÁNDARES DE TECNOLOGÍA (T) La evaluación de las áreas de Tecnología de Información se fundamenta en principios del marco COBIT, en prácticas alineadas con estándares reconocidos en gobernanza y gestión de la ciber resiliencia,17, así como en la Guía de los Estándares Mínimos de Gestión relativos a la Seguridad de la Información18. 78. La institución debe establecer y supervisar un marco de gobierno de tecnologías de la información y ciberseguridad alineado con la estrategia institucional. Para ello: 78.1 El Directorio debe aprobar el marco de gobierno de tecnologías de información y ciberseguridad, incluyendo roles y ámbitos de decisión, responsabilidades y control. 78.2 Deberán existir mecanismos formales para la revisión y aprobación de políticas asociados a tecnología de la información y ciberseguridad. 78.3 El Directorio deberá recibir informes periódicos sobre desempeño de TI, riesgos tecnológicos y ciberseguridad. 78.4 Asegurar que los procesos de TI cuentan con recursos suficientes, talento adecuado y supervisión efectiva. 79. La institución debe establecer un marco de gestión de TI que asegure la entrega de valor y control de riesgos tecnológicos y de ciberseguridad. Para ello debe: 79.1 Documentar políticas, procedimientos y estructuras organizativas para la gestión de TI y ciberseguridad. 79.2 Integrar el marco de gestión de TI y ciberseguridad con los procesos corporativos de planificación, riesgos y cumplimiento. 79.3 Realizar revisiones periódicas del marco frente a cambios regulatorios y tecnológicos. 79.4 Designar responsables para la aplicación efectiva de los elementos del marco. 79.5 Realizar el mantenimiento y control de la documentación de gobierno y gestión de las Tecnologías de la Información y ciberseguridad de manera que permitan una clara 17 https://www.gub.uy/agencia-gobierno-electronico-sociedad-informacion- conocimiento/comunicacion/publicaciones/marco-ciberseguridad 18 https://www.bcu.gub.uy/Servicios-Financieros-SSF/Paginas/Est%C3%A1ndares-M%C3%ADnimos.aspx EMG Final.pdf Folio n° 148 Expediente N°: 2025-50-1-01643 trazabilidad de su revisión, actualización, validación y/o eventual aprobación, según corresponda al tipo documento. 80. La institución debe identificar, evaluar y tratar los riesgos tecnológicos y de ciberseguridad de forma sistemática. Para ello debe: 80.1 Disponer y gestionar un inventario de activos tecnológicos críticos y sus riesgos asociados. 80.2 Aplicar metodologías reconocidas de análisis y evaluación de riesgos. COMUNICACIÓN N°2025/ 80.3 Definir umbrales de tolerancia y planes de tratamiento de riesgos tecnológicos. 80.4 Reportar periódicamente la evolución de los riesgos a los órganos de gobierno. 80.5 Gestionar los riesgos y el desempeño de los proveedores críticos que soportan procesos claves de la Institución y/o acceden a información de clientes. 81. La Gerencia de TI debe tener la habilidad para identificar las necesidades y para desarrollar, adquirir, instalar y mantener soluciones de TI apropiadas de acuerdo a las necesidades de la entidad. Para ello debe: 81.1 Tener procesos para identificar necesidades e implementar, controlar y mantener soluciones de TI adecuadas. Esto incluye la existencia de presupuestos, compras de hardware o software realizadas por el proveedor interno o externo de TI, desarrollo y programación realizado por la institución o un proveedor externo, compra de servicios a vendedores independientes, centros de procesamiento de datos vinculados a la institución, o una combinación de estas actividades. 81.2 Adoptar y documentar prácticas de gestión de proyectos reconocidas y adaptadas a las necesidades, requerimientos y características de los equipos de la Institución, garantizando que existen mecanismos y documentación necesaria que permita dar visibilidad y seguimiento en cada proyecto. 81.3 Implementar una metodología de desarrollo de sistemas que incluya un análisis y gestión adecuada de los riesgos tecnológicos asociados. 81.4 Asegurar que todos los nuevos desarrollos o adquisiciones de sistemas incluyan la aplicación de requisitos de seguridad en las fases de análisis, diseño, pruebas e implementación. 81.5 Documentar y mantener una política de gestión de versiones, parches y gestión de vulnerabilidades en los elementos reutilizados para el desarrollo de software. 81.6 Disponer de un mecanismo que permita registrar y gestionar los defectos de desarrollo identificados, capaz de brindar garantías de integridad y auditabilidad. 81.7 Establecer un procedimiento de custodia (al menos en el caso de sistemas críticos) de las distintas versiones del software adquirido y del código de fuente de los desarrollos implementados, que brinde garantías de confidencialidad, integridad, disponibilidad y auditabilidad. 81.8 Evaluar y documentar los resultados de la calidad del desarrollo de software y las soluciones desarrolladas a través de pruebas unitarias automatizadas, pruebas de integración, pruebas funcionales, pruebas de rendimiento y robustez, como así también las pruebas de aceptación por parte del usuario final. 81.9 Tener un proceso de gestión de cambios que comprenda roles, responsabilidades, controles, aprobaciones, registros y todas las fases necesarias para implementar un cambio controlado de sistemas, infraestructura, aplicativos o desarrollos de software. EMG Final.pdf Folio n° 149 Expediente N°: 2025-50-1-01643 81.10 Documentar e implementar procedimientos para la liberación o publicación de los desarrollos de software, asegurando la trazabilidad, control y reversibilidad de los cambios. 81.11 Evaluar en los proveedores externos de servicios de TI los aspectos vinculados a la calidad de las entregas de software y documentación y a la adecuación de la capacitación proporcionada a los clientes. 82. La institución debe asegurar una operación de TI estable, segura y eficiente que respalde los procesos críticos del negocio. Para ello debe: COMUNICACIÓN N°2025/ 82.1 Establecer procedimientos formales para operación, monitoreo y soporte técnico. 82.2 Disponer de monitoreo y control sobre la ejecución de actividades críticas que puedan tener impacto en la operativa de la Institución, asegurando la integridad, trazabilidad y custodia de los registros de dichas actividades. 82.3 Proporcionar un nivel de servicio que satisfaga las necesidades del negocio. 82.4 En el caso de servicios prestados por terceros, asegurar que se han documentado adecuadamente las condiciones y niveles mínimos de servicio y se han establecido mecanismos para monitorear su cumplimiento. 82.5 Asegurar que los procedimientos contemplan la continuidad del servicio y del negocio, atendiendo la identificación de procesos definidos como críticos. 82.6 Mantener un inventario actualizado de hardware y software con su ciclo de vida estimado y fechas de fin de soporte. 82.7 Mantener un inventario actualizado de los respaldos de información que brinde garantías de integridad y permita la clara identificación del medio de respaldo, alcance de la información, fechas de realización y ubicación física y lógica. 82.8 Evaluar periódicamente los riesgos de obsolescencia y establecer planes de mitigación o reemplazo. 82.9 Asegurar la calidad de los procesos y/o los programas que monitorean la capacidad y el desempeño del servicio de TI. 82.10 Asegurar la calidad de la asistencia proporcionada a los usuarios, incluida la habilidad para manejar problemas. 82.11 Contar con una arquitectura tecnológica resiliente, debidamente documentada y gestionada que habilite y soporte los procesos de negocio de la institución. 82.12 Definir e implementar líneas bases de seguridad sobre la infraestructura, plataformas, sistemas operativos y dispositivos de usuario finales que permitan reducir la superficie de exposición a riesgos cibernéticos. 82.13 Adoptar un marco de seguridad para contemplar el uso de nube y asegurar que los servicios utilizados se gestionen bajo controles equivalentes o superiores a los sistemas internos. 82.14 Implementar soluciones de Gestión de Dispositivos Móviles (MDM) que permitan la administración centralizada y segura de los dispositivos provistos por la organización. 82.15 Desarrollar y mantener una base de datos de gestión de configuración (CMDB) que contenga información actualizada sobre los activos de TI y sus relaciones. 82.16 Asegurar que los centros de procesamiento de datos operan eficientemente y cuentan con controles físicos, lógicos y administrativos que garanticen la seguridad y resiliencia de la infraestructura desplegada para ejercer el procesamiento de datos y telecomunicaciones. 83. La Institución debe establecer y asegurar una gobernanza y gestión de ciberseguridad que permita la adopción de una postura de ciberresiliencia clara, EMG Final.pdf Folio n° 150 Expediente N°: 2025-50-1-01643 eficaz y alineada con la estrategia de negocio. Para ello debe: 83.1 Definir claramente los roles y responsabilidades de ciberseguridad en toda la organización. 83.2 Asegurar que el personal involucrado en ciberseguridad cuente con las competencias y formación adecuadas. 83.3 Implementar políticas y procedimientos que cubran los dominios de seguridad lógica, gestión de identidades, accesos, registros de actividades, monitoreo, respuesta a incidentesN°2025/ COMUNICACIÓN y protección de activos de información. 83.4 Implementar políticas de gestión de acceso lógico basadas en el principio de privilegio mínimo y separación de funciones. 83.5 Implementar una solución de gestión de identidades y accesos (IAM) con controles de provisión, revisión periódica y baja inmediata. 83.6 Revisar al menos anualmente todos los accesos otorgados a usuarios y su adecuación al cargo, incluyendo usuarios privilegiados y aquellos utilizados por terceros ajenos a la institución. 83.7 Asegurar la autenticación reforzada en usuarios privilegiados cuando se realicen actividades críticas. 83.8 Establecer mecanismos y controles para la gestión de cuentas y claves privilegiadas, incluyendo el monitoreo, custodia y rotación periódica de contraseñas. 83.9 Exigir autenticación multifactorial para usuarios con accesos remotos. 83.10 Establecer mecanismos de monitoreo y control sobre los accesos y actividades críticas que realizan los usuarios privilegiados en base de datos. 83.11 Definir y ejecutar procedimientos de gestión de vulnerabilidades, incluyendo escaneos automáticos y periódicos sobre los activos de información, en base a los riesgos identificados y su criticidad. La periodicidad referida no deberá superar una frecuencia mensual. 83.12 Definir procedimientos documentados para la gestión de remediación de vulnerabilidades de seguridad, estableciendo como mínimo responsabilidades, actividades y plazos máximos de remediación según la criticidad de las vulnerabilidades que se identifiquen. 83.13 Realizar evaluaciones periódicas de ciberseguridad sobre el ambiente tecnológico, incluyendo pruebas de penetración sobre aplicativos críticos en función de su análisis de riesgo y exposición. 83.14 Implementar un mecanismo para la recolección, retención de logs de eventos significativos para la seguridad y operaciones, que brinde garantías de integridad y auditabilidad, asegurando que la prevención y detección de cualquier tipo de manipulación. 83.15 Asegurar la existencia de monitoreo continuo de eventos de seguridad mediante soluciones de Gestión de eventos e información de seguridad (SIEM). 83.16 Implementar un proceso continuo y sistemático de inteligencia de amenazas para anticipar y mitigar ciberataques. 83.17 Definir y documentar un procedimiento de gestión y respuesta a incidentes de seguridad una respuesta oportuna y eficaz que minimice el impacto en las operaciones, adicionalmente se deberá como mínimo:  Implementar un sistema de registro y seguimiento de incidentes que permita su clasificación, priorización y resolución eficiente.  Establecer procedimientos de escalamiento y comunicación para incidentes críticos, garantizando la participación de los niveles adecuados de soporte. EMG Final.pdf Folio n° 151 Expediente N°: 2025-50-1-01643  Realizar análisis post-mortem de incidentes significativos para identificar causas raíz y prevenir recurrencias.  Realización de simulacros para evaluar la efectividad del procedimiento y conocimiento de las personas involucradas, los cuales deberán ser documentados y con una periodicidad al menos anual. 84. La institución debe monitorear el desempeño, cumplimiento y control interno de los procesos de TI y Ciberseguridad. Para ello debe: COMUNICACIÓN N°2025/ 84.1 Establecer métricas y/o indicadores de desempeño y cumplimiento aplicables a objetivos, procesos, sistemas y proveedores. 84.2 Establecer indicadores claves de riesgos que permitan identificar, monitorear y mitigar riesgos potenciales de manera oportuna. 84.3 Establecer mecanismos que permitan medir la efectividad y eficiencia de los controles internos implementados para mitigar riesgos específicos. 84.4 Establecer mecanismos de seguimiento y verificación de la implementación de recomendaciones de auditoría, enfocándose en la mejora de la ciberresiliencia y la mitigación de riesgos tecnológicos. 84.5 Implementar mejora continua a partir de hallazgos y recomendaciones de auditorías, supervisiones o controles internos, priorizando acciones que fortalezcan la postura de ciberseguridad y la capacidad de recuperación ante incidentes. 84.6 Elevar el resultado del monitoreo de los distintos indicadores y/o métricas a los órganos o áreas de control correspondientes. 85. La institución debe establecer un modelo de gobernanza y gestión de datos que asegure su calidad, integridad, seguridad, trazabilidad, disponibilidad y protección. Para ello debe: 85.1 Definir políticas de gobernanza, gestión, calidad, acceso, retención y eliminación segura de datos. 85.2 Identificar y clasificar los datos críticos del negocio por niveles de sensibilidad y definir controles diferenciados para cada nivel. 85.3 Definir y asignar responsabilidades y roles necesarios para establecer la propiedad, custodia y uso de los datos. 85.4 Supervisar periódicamente la calidad y cumplimiento normativo del tratamiento de datos. 85.5 Clasificar la información por nivel de sensibilidad en base a criterios formalmente establecidos y aprobados por la Dirección, que consideren, al menos, el impacto potencial de su divulgación no autorizada, así como la pérdida de integridad y/o disponibilidad y definir controles diferenciados para cada uno. 85.6 Aplicar políticas de retención y destrucción segura de la información en papel y formato digital sin afectar su confidencialidad, integridad, disponibilidad y el cumplimiento regulatorio. 85.7 Implementar medidas de seguridad para la información que se encuentra en tránsito y en reposo. 85.8 Asegurar que los procedimientos de eliminación, anonimización y transferencia de datos cumplen con requisitos regulatorios. 85.9 Asegurar la adecuada vigilancia, control y acceso a los datos que se custodian o procesan en proveedores de servicios tercerizados. EMG Final.pdf Folio n° 152

Rige desde

la fuente no lo dice; el texto es el de la copia consultada el 11 de octubre de 2026

Copia

Comunicación 2025/194

Texto oficial

https://www.bcu.gub.uy/Comunicados/seggco25194.pdf

Banco Central del Uruguay, www.bcu.gub.uy, información regulatoria pública. Condiciones de uso: https://www.bcu.gub.uy/Paginas/Condiciones-de-uso.aspx. Cambios de finterlace: el texto se extrajo del PDF y se partió en artículos. No se cambió ninguna palabra del texto. Fuentes y licencias.

Quién lo cita

Los documentos que citan cada artículo los ve el nivel Suscriptor individual. Qué se ve con cada nivel

Qué normas se nombran con él

Qué normas nombran cada artículo las ve el nivel Suscriptor individual. Qué se ve con cada nivel

Versiones

El historial de cada artículo lo ve el nivel Suscriptor individual. Qué se ve con cada nivel