Cambios en tercerización de servicios

A partir de esa fecha se dictaron normas a nivel bancocentralista que fueron estableciendo los requisitos que debían cumplirse para tramitar esa autorización. Más acá en el tiempo el BCU listó algunos servicios que, si eran tercerizados a nivel local, no requerían autorización. 

La Circular 2339 y la Comunicación 2020/030 dictadas por el BCU el 28 de enero y el 2 de marzo de 2020, respectivamente, introdujeron modificaciones al régimen de tercerizaciones. En grandes líneas, la primera flexibilizó el régimen para las tercerizaciones locales, mientras que la segunda estableció un listado de servicios cuya tercerización -ya sea local o con el exterior- no requiere autorización. 

En esta nota comentaremos brevemente el régimen actual en lo que refiere a tercerizaciones de servicios en general, excepto tercerización de servicios de procedimiento de debida diligencia que tiene una regulación específica, con requisitos diferentes, prevista en el artículo 79 de la Recopilación de Normas de Seguros y Reaseguros.

El principio general que viene de la Ley Nº 17.613 y que recoge la nueva normativa bancocentralista es que solo requieren autorización los servicios de tal modo inherentes al giro de las compañías de seguros que, cuando son cumplidas por éstas directamente, están bajo el control del BCU. 

La normativa agrega que la Superintendencia de Servicios Financieros del BCU (“Superintendencia”) puede determinar servicios que no requieren autorización. En tal sentido, la Comunicación 2020/030 de marzo de 2020 estableció un listado de estos servicios. 

Ya antes había una norma que establecía algunos servicios exentos de autorización -la Comunicación 2016/208-, pero ésta solo comprendía ciertos servicios y en la medida en que fueran contratados con terceros radicados en el país. La actual Comunicación 2020/030 derogó esa norma y estableció un listado de servicios exentos de autorización, pero, a diferencia de la anterior regulación, ahora sin distinguir si los servicios son prestados localmente o desde el exterior. Esta es una flexibilización respecto del régimen anterior.

Los siguientes son servicios que las compañías aseguradoras pueden tercerizar sin necesidad de autorización, contratándolos con empresas locales o extranjeras, tanto si estos servicios se prestan en el país o desde el exterior:

. servicios generales: vigilancia, limpieza, mantenimiento, mensajería y servicios públicos;

. actividades de apoyo administrativo: pago y liquidación de sueldos, compras, capacitación y selección de personal; 

. actividades de investigación de mercado y publicidad, excepto que incluyan el acceso a datos individualizados de clientes;

. servicios profesionales de asesoría en materia jurídica, fiscal, contable y económico-financiera y la realización de exámenes médicos;

. reparación o mantenimiento de equipos informáticos y servicios para el mantenimiento de software utilitario, su actualización o instalación. En ningún caso los servicios pueden implicar el acceso a datos que se procesen;

.guardia, traslado y custodia de documentos excepto los relacionados con operaciones de clientes o con operaciones o registros contables;

. servicios de reparación y asistencia vehicular y domiciliaria;

. servicios de rastreo, localización y recupero de vehículos; y

. servicios de fiscalía y asistencia a siniestros.

Varios de estos servicios son los mismos o similares a los previstos en la normativa anterior. Sin embargo, cuando la normativa anterior los listaba, incluía expresiones tales como “entre otros”, o incluía la frase etcétera al identificar algunas categorías de servicios. Concluíamos entonces que el listado era enunciativo, no taxativo. 

La enunciación de servicios en la actual Comunicación 2020/030 es por el contrario taxativa. No obstante, en aplicación del principio general que surge de la Ley 17.613, si una compañía de seguro terceriza servicios distintos a los previstos en la Comunicación 2020/030, pero los mismos no son inherentes a su giro, esa tercerización no requerirá autorización regulatoria.

La tercerización de servicios locales en empresas radicadas en el país se considera autorizada (autorización tácita) siempre que cumpla una serie de requisitos. Este régimen es más flexible que el anterior en el que, aun cuando se tratara de tercerizaciones locales, correspondía tramitar la autorización o no dependiendo de si el servicio era o no inherente al giro de la compañía de seguros.

Los siguientes son los requisitos que deben cumplirse para que una tercerización local se considere autorizada:

La tercerización debe documentarse en un contrato que contenga ciertas cláusulas requeridas por la regulación. Esto no es nuevo, antes ya se exigían estas mismas cláusulas para autorizar las tercerizaciones de servicios. Las mismas son: a) identificación de las partes; b) identificación del objeto (alcance de los servicios, y niveles mínimos de prestación -esto último es nuevo-), y si se van a procesar datos, indicar el lugar de procesamiento, mantenimiento y respaldo; c) responsabilidad de la institución por los servicios prestados; d) compromisos en materia de confidencialidad y protección de datos; e) derecho a realizar auditorías, sin restricciones, por parte de la Superintendencia y de la institución; f) procedimientos referentes a la continuidad de servicios; y g) causales de rescisión, entre las que debe incluirse la instrucción del cese de los servicios por parte de la Superintendencia (los requisitos de los literales b), d) y e), son exigibles también a los eventuales contratos con empresas subcontratadas por el proveedor).

Este requisito es nuevo. Antes las compañías de seguros le aportaban a la Superintendencia información sobre el proveedor para que ese organismo lo evaluara. Ahora es la propia compañía de seguros quien debe realizar la evaluación de los riesgos asociados a la tercerización, considerando en forma específica la solvencia patrimonial/técnica del proveedor y aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto. Esa evaluación y las conclusiones deben volcarse a un informe preparado por la compañía de seguros.

En los casos de autorización tácita, ni el contrato, ni el informe interno se presentan a la Superintendencia. Estos tienen que ser conservados por la compañía de seguros (que debe actualizar además periódicamente el informe de riesgos) y estar a disposición de la Superintendencia. 

Si los servicios tercerizados son prestados por terceros radicados fuera de Uruguay, o por terceros radicados en el país pero los servicios se prestan total o parcialmente en o desde el exterior, es necesario tramitar y obtener la autorización de la Superintendencia para llevar adelante esa contratación. 

Junto con la solicitud de autorización la compañía de seguros debe presentar el texto del contrato que se propone firmar y que debe incluir las cláusulas obligatorias que mencionamos antes. La compañía de seguros también debe preparar un informe de evaluación de los riesgos de la tercerización, pero en este caso debe presentarlo al solicitar la autorización. 

Algunas tercerizaciones de servicios implican procesamiento de datos. Según lo define el BCU, procesamiento de datos supone la ejecución de cualquier acción sobre los datos que logre una transformación en ellos, incluido el cambio de medio en que están soportados.

En estos casos, además de los requisitos mencionados antes, la compañía de seguros debe cumplir con los procedimientos de resguardo, continuidad operacional y seguridad previstos en la normativa. Adicionalmente, si los clientes reciben información procesada por un tercero, éste deberá ser identificado por la institución por cualquier medio, indicando denominación social y domicilio. 

Por otra parte, cuando el procesamiento de datos se realiza en el exterior se agregan exigencias tales como: (i) una de las copias de resguardo debe encontrarse en nuestro país; (ii) debe existir un plan de continuidad operacional que sea aprobado en forma exitosa antes del inicio de actividades y luego una vez al año; (iii) la compañía de seguros debe prestar atención a los requerimientos legales del país del proveedor, así como las condiciones políticas, económicas y sociales que puedan afectar el cumplimiento del proveedor; y (iv) debe implementarse una modalidad de operación y equipamiento que permita en todo momento el acceso en línea a toda la información desde las terminales instaladas en la compañía de seguros.

Otros aspectos 

Las compañías de seguros deben contar con políticas y procedimientos que les permitan identificar, medir, controlar y monitorear los riesgos asociados a sus acuerdos de tercerización de servicios. 

Cuando una compañía de seguros celebra un contrato de tercerización de servicios de los que requieren autorización expresa o tácita, debe informarlo a la Superintendencia dentro de los 10 días hábiles de firmado el contrato. 

Ahora existen sanciones específicas en esta materia para las compañías de seguros. Si la compañía de seguros celebra un contrato de tercerización sin la autorización regulatoria, obviamente en los casos en que según la regulación esto correspondía, la Compañía de seguros podrá ser sancionada con una multa de entre 130.000 y 500.000 unidades indexadas. Si la compañía de seguros incumple otras normas en materia de tercerización, podrá ser sancionada con una multa no inferior a 13.000 unidades indexadas ni superior a 250.000 unidades indexadas.