Por la cual se dictan disposiciones relacionadas con el Sistema de Administración de Riesgos para las Entidades Promotoras de Salud del Régimen Contributivo y Entidades Adaptadas previstas en el Sistema de Habilitación — Condiciones financieras y de suficiencia patrimonial, se definen las fases para su implementación y se dictan otras disposiciones

Objeto y ámbito de aplicación: La presente resolución tiene por objeto establecer la gradualidad, los contenidos y los mecanismos de control de cumplimiento del Sistema de Administración de Riesgos aplicable a las Entidades Promotoras de Salud del Régimen Contributivo y Entidades Adaptadas de que trata el Decreto 1698 de 2007 y aquellas normas que lo adicionen, reglamenten o sustituyan. , Bo. MAY 20 RESOLUCIÓN NÚMERO U1740 e hd HOJA No 2

Definiciones: Para la aplicación del objeto de la presente Resolución, se adoptan las siguientes definiciones: Incertidumbre: Corresponde a aquella situación sobre la cual no se conoce con seguridad si ocurrirá y, de ocurrir, cómo se comportará en el futuro. Riesgo: Se refiere a aquella incertidumbre que afecta negativamente el bienestar de los agentes económicos y el logro de los objetivos de la organización, en * particular, se considera como riesgo la posibilidad de generarse una pérdida económica por la ocurrencia de un evento adverso. Sistema de Administración de Riesgos: Se entiende por el Sistema de Administración de Riesgos los procesos, procedimientos y tareas sistemáticas de planear, hacer, verificar y actuar frente al riesgo. Este sistema puede ser parte integral de los sistemas de gestión de la entidad.

Ámbitos de acción del Sistema de Administración de Riesgos: Con el fin de implementar plenamente el Sistema de Administración de Riesgos, las entidades deben establecer las acciones a desarrollar en cada uno de los siguientes ámbitos, los cuales deben revisarse periódicamente constituyendo un ciclo permanente: 1. Identificación del riesgo: Consiste en determinar y documentar cuáles son las exposiciones al riesgo o vulnerabilidades de las entidades para el negocio en que opera (visión integral de la empresa). Para caracterizar correctamente el riesgo se deberá establecer una perspectiva de la entidad en su conjunto y analizar la totalidad de las incertidumbres que la afectan. 2. Evaluación y medición del riesgo: Es la cuantificación de los efectos probables asociados a los riesgos que han sido identificados, considerando la frecuencia y la severidad de su ocurrencid "ER 188-Btápas iniciales se refiere a la definición cualitativa de los riesgos de acuerdo a una escala que los clasifique en un grado alto o bajo. Una vez completado el plan de implementación del sistema de administración de riesgos, se deberá medir la probabilidad de ocurrencia de un evento de pérdida y su impacto en caso de materializarse, con cualquier esquema de cuantificación de reconocida validez técnica. 3. Selección de métodos para la administración del riesgo: Se deben determinar las políticas y las acciones tendientes a gestionar los riesgos a los que se ve expuesta la entidad, de acuerdo con los niveles de riesgo determinados. Para el efecto, se contemplan cuatro métodos fundamentales: ; Evitar el riesgo. Prevenir y controlar las pérdidas. Retener el riesgo Transferir el riesgo ao ResoLución Número 41740 202 200% 2008 HOJA No 3 Para seleccionar el mecanismo o conjunto de mecanismos que se ajuste a las necesidades de la entidad se deberá realizar un análisis de costo beneficio de las diferentes alternativas a considerar. 4. Implementación: Una vez establecidos los posibles mecanismos o conjunto de mecanismos para la mitigación y gestión de los riesgos que se han identificado como relevantes para la entidad, ésta deberá poner en práctica tales métodos. 5. Retroalimentación: Las incertidumbres esperadas, los riesgos derivados y la cuantificación de los mismos deben ser contrastados regularmente con la realidad observada.

Elementos de la gestión del Sistema de Administración de Riesgos. Para una adecuada administración de riesgos, se deberán tener en cuenta los siguientes elementos: 1. Ambiente interno: La actividad de administración y gestión de riesgos debe ejecutarse por la organización en su conjunto, lo cual supone que todos los niveles jerárquicos tengan conciencia del riesgo y lo involucren en sus actividades cotidianas de gestión. 2. Plan de implementación: El Sistema de Administración de Riesgos debe partir de la determinación de objetivos generales y específicos, que puntualicen el alcance de la gestión de riesgos dentro de la organización además de un plan de implementación que incluya la fijación de metas, los recursos humanos y financieros involucrados, las metodologías y herramientas necesarias, la identificación de los riesgos críticos y el cronograma de implementación. 3. Respuesta y comunicación: Descripción y operación de los mecanismos para mantener el contacto regular y pertinente con los actores involucrados (funcionarios, terceros interesados y autoridades) incluyendo manuales y documentación de procesos, informes, entre otros. 4. Monitoreo: Comprende el diseño y aplicación del sistema de indicadores y acciones definidas para el seguimiento y aseguramiento del proceso de gestión de riesgos y su impacto. Lo anterior es una secuencia lógica de actividades para la implementación del sistema de administración de riesgos. El proceso de gestión de riesgos supone que estos elementos se contemplen desde el inicio del proceso.

Áreas de análisis y riesgos a considerar: Para la aplicación de lo dispuesto en el Sistema Unico de Habilitación definido en los Decretos 574 y . 1698 de 2007 o los que los adicionen, modifiquen o sustituyan, en relación con las condiciones de suficiencia patrimonial y financiera y las fases de implementación, se definen las siguientes áreas de análisis en el marco general del Sistema de Administración de Riesgos, asociándose a los riesgos que le son propios: a 0 MAY 2008 RESOLUCIÓN NÚMERO. 61740: 62/2008 HOJA No 4 1. Administración de riesgos en salud: a. Riesgo de concentración y hechos catastróficos: Corresponde a la probabilidad de pérdida en que puede incurrir una entidad como consecuencia de una concentración de los riesgos, bien sea por género, franjas de edades, de regiones, de patologías, por la ocurrencia de hechos catastróficos o situaciones similares qué afecten un número elevado de afiliados. Riesgo de incrementos inesperados en los índices de morbilidad y de los costos de atención: Corresponde a la probabilidad de pérdida en un periodo contable que se genera como consecuencia de diferencias apreciables entre las condiciones de morbilidad asumidas y las actuales, así como pérdidas derivadas de incrementos inesperados en los costos de atención. Riesgo de cambios permanentes en las condiciones de salud o cambios tecnológicos: Corresponde a la probabilidad de que ocurran cambios permanentes en las condiciones de salud de la población objeto o derivados de la disponibilidad e incorporación al plan de beneficios de nuevas tecnologías, que requieran ajustes en la financiación de este plan de beneficios. Riesgo de insuficiencia de reservas técnicas: Corresponde a la probabilidad de pérdida como consecuencia de una subestimación en el cálculo de las reservas técnicas y otras obligaciones contractuales (servicios autorizados y servicios facturados). Riesgo de comportamiento: Corresponde a los posibles conflictos de interés de individuos o instituciones respecto de los objetivos generales del Sistema General de Seguridad Social en Salud. 2. Administración de riesgo operativo: a. Riesgo operativo. Es la posibilidad de incurrir en pérdidas por deficiencias, fallas o inadecuaciones, en el recurso humano, los procesos, la tecnología, la infraestructura, ya sea por causa endógena o por la ocurrencia de acontecimientos externos. La exposición a este riesgo puede resultar de una deficiencia o ruptura en los controles internos o procesos de control, fallas tecnológicas, errores humanos o deshonestidad, práctica insegura y catástrofes naturales, entre otras causas. Riesgo legal y regulatorio. Contempla la posibilidad de incurrir en pérdidas derivadas del incumplimiento de normas legales, errores u omisiones en la contratación, de la inobservancia de disposiciones reglamentarias, de códigos de conducta o normas éticas. Así mismo, el riesgo legal puede derivarse de situaciones de orden jurídico que afecten la titularidad o disponibilidad de los activos, en detrimento de su valor. El riesgo regulatorio se refiere a los riesgos derivados de los cambios en las normas que rigen la actividad. Riesgo reputacional. Asociado a la ocurrencia de otros riesgos, éste se refiere a la probabilidad de pérdidas por la disminución de ingreso o E 2 0 MAY 2008 ResoLución NúMERO_ (1740 pe 2008 HOJA No 5 aumento de los costos como consecuencia de fallas en la prestación del servicio, noticias adversas derivadas de acciones de mercado o sanciones impuestas por la autoridad, debilidades financieras que minen la confianza de afiliados, clientes o acreedores, entre otros. 3. Administración de riesgos generales del negocio, de mercado y de crédito: a. Riesgo estratégico: Corresponde a la probabilidad de pérdida como consecuencia de la imposibilidad de implementar apropiadamente los planes de negocio, las estrategias, las decisiones de mercado, la asignación de recursos y su incapacidad para adaptarse a los cambios en el entorno de los negocios. Así mismo, se debe analizar el riesgo que emerge de la pérdida de participación en el mercado y/o disminuciones en los ingresos que puedan afectar la situación financiera de la entidad. b. Riesgo de crédito: Es la posibilidad de incurrir en pérdidas por el no pago o pago inoportuno de las obligaciones a cargo de (i) sus aseguradoras (particularmente en el caso de enfermedades de alto costo), (ii) de sus afiliados y aportantes, (iii) anticipos otorgados a prestadores de servicios (contratos por capitación), (iv) riesgo de contraparte de las inversiones, y (v) de retrasos en el flujo oportuno de los recursos del sistema, vi) cualquier otra operación que determine una deuda a favor de la entidad. c. Riesgo de mercado: Corresponde a la posibilidad de incurrir en pérdidas derivadas del incremento no esperado en el monto de sus obligaciones con acreedores externos o pérdida en el valor de activos, a causa de variaciones en las tasas de interés, en la tasa de devaluación o cualquier otro parámetro de referencia. d. Riesgo de liquidez: Está dado por la imposibilidad de adquirir u obtener los fondos necesarios para atender el pago de obligaciones tanto a corto plazo (riesgo inminente) como en el mediano y largo plazo (riesgo latente), bien sea para el pago de los gastos en salud o para el ajuste de reservas y sus inversiones. Esta organización de riesgos es meramente indicativa y se admite que las entidades adopten otro tipo de agrupaciones, siempre y cuando se contemplen los riesgos más relevantes que enfrenta la entidad y se incluyan los acá descritos. Las entidades deberán disponer de planes de contingencia y de continuidad del negocio aprobado por la Junta Directiva.

Roles y responsabilidades: Las entidades deben establecer y asignar funciones en relación con las distintas etapas y componentes del Sistema de Administración de Riesgos. La junta directiva, el representante legal y la instancia que lidere la administración de riesgos de la entidad, deberán , desarrollar como mínimo las siguientes funciones: EA ds] resoLución número_0 1740 * pe 200800 HHOJANO 6 0 MAY 2008 Entidades Adaptadas previstas en el Sistema de Habilitación - Condiciones financieras y de 1. Junta Directiva u órgano que haga sus veces: Serán funciones a cargo de la Junta Directiva u Órgano que haga sus veces: a. b. Aprobar el sistema de administración de riesgos del Sistema General de Seguridad Social en Salud. Establecer las políticas generales del Sistema de Administración de Riesgos. Hacer seguimiento y pronunciarse sobre el perfil de riesgo de la entidad. : . Aprobar el diseño y plan de implementación del Sistema de Administración de Riesgos y sus actualizaciones Aprobar los planes de contingencia y de continuidad del negocio presentados por el representante legal de la entidad. Proveer los recursos necesarios para implementar y mantener en funcionamiento, de forma efectiva y eficiente, el Sistema de Administración de Riesgos. 2. Representante Legal: Frente al Sistema de Administración de Riesgos, serán funciones del Representante Legal: a. Diseñar y someter a aprobación de la Junta Directiva u órgano que haga sus veces, el Sistema de Administración de Riesgos y sus actualizaciones. Velar por el cumplimiento efectivo de las políticas establecidas por la Junta Directiva en relación con el Sistema de Administración de Riesgos. Adelantar un seguimiento permanente de la aplicación del Sistema de Administración de Riesgos, incluyendo los aspectos de cultura organizacional requeridos para su buen desarrollo. Designar el área, cargo o comité que actuará como responsable de la implementación y seguimiento del Sistema de Administración de Riesgos, asegurando la idoneidad técnica del recurso humano asignado. Adoptar las medidas relativas al perfil de riesgo en concordancia con las políticas y lineamientos definidos por la Junta Directiva. Velar por la correcta aplicación de los controles del riesgo identificado y medido. Presentar un informe periódico, como mínimo de forma semestral, a la Junta Directiva sobre la evolución y aspectos relevantes del Sistema de Administración de Riesgos, incluyendo, entre otros, el nivel de riesgo de la entidad, las acciones preventivas y correctivas implementadas o por implementar y el área responsable. Establecer un procedimiento para construir las bases de datos necesarias para la gestión del riesgo en los términos previstos en la presente resolución. al 2 0 Mar 2008 ResoLución Número U1740 pe 2008 HOJA No 7 3. Responsables de implementar y operar el Sistema de Administración de Riesgos: a. b. Definir los instrumentos, metodologías y procedimientos tendientes a que la entidad administre efectivamente sus riesgos. Desarrollar e implementar el sistema de reportes, internos y externos, del riesgo de la entidad. Diseñar, construir y mantener de las bases de datos relacionadas con la medición y evaluación del Sistema de Administración de Riesgos. Evaluar la efectividad de las medidas de control potenciales y ejecutadas para los riesgos identificados Establecer y monitorear el perfil de riesgo de la entidad e informarlo al representante legal. Realizar el seguimiento permanente de los procedimientos y planes de acción relacionados con el Sistema de Administración de Riesgos y proponer sus correspondientes actualizaciones y modificaciones. Desarrollar los modelos de medición del riesgo de la entidad. Diseñar e implementar los programas de capacitación de la entidad relacionados con el Sistema de Administración de Riesgos. Realizar seguimiento a las medidas adoptadas para mitigar él riesgo, con el propósito de evaluar su eficacia y efectividad. Reportar trimestralmente al Representante Legal la evolución del riesgo, los controles implementados y el monitoreo que se realice sobre el mismo, en los términos de la presente normatividad. 4. Responsables de los órganos de control de la organización: a. Las entidades deben establecer instancias responsables de efectuar una evaluación del Sistema de Administración de Riesgo, con el fin de determinar sus debilidades, e informarlas a los órganos competentes. Los órganos de control no deben ser responsables de la administración de los riesgos de la entidad. Sin perjuicio de las funciones asignadas en otras disposiciones a la Auditoria Interna, o quien cumpla las funciones de control interno, ésta deberá evaluar anualmente la efectividad y cumplimiento de todas y cada una de las etapas del Sistema de Administración de Riesgos con el fin de determinar las deficiencias y sus posibles soluciones.

Reglas de la estructura y operación del Sistema de Administración de Riesgos. Al momento de completarse el proceso de implementación del Sistema de Administración de Riesgos de cada entidad, éste deberá satisfacer las siguientes reglas: 1. Infraestructura: La junta directiva de cada entidad o el órgano que haga sus veces, deberá establecer y asegurar la dotación de los recursos humanos, tecnológicos y demás que se consideren necesarios para la adecuada operación del Sistema de Administración de Riesgos. Desde el punto de vista organizativo, cada entidad determinará si se crea una unidad de riesgos o implementa un sistema por procesos en el cual se Ted ] 2 0 MAY 2008 resoLución número U 1740 pg 2008 HOJA No 8 involucra toda la organización, con una instancia de coordinación individual o colegiada, pero que en todo caso debe reportar al máximo nivel jerárquico de la entidad y debe ser independiente del órgano de control de la misma. 2. Características de las metodologías de cuantificación de los riesgos: En primera instancia, para la cuantificación de los riesgos mencionados las entidades podrán utilizar los métodos cualitativos, también llamados de expertos. Al final de las fases de implementación descritas en la ' normatividad, las entidades deberán usar métodos estadísticos, actuariales y financieros adecuados y con sustento técnico idóneo, para la cuantificación de los riesgos. Los cálculos deben ser realizados con base en estadísticas y series históricas particulares de cada entidad y del mercado, velando en todo momento por la calidad del dato desde su recolección hasta su presentación y utilización como información. Para garantizar comparabilidad de la información y establecer los riesgos de mercado, la Superintendencia Nacional de Salud deberá definir: (i) la estructura de las bases de datos en que se van a capturar los eventos de riesgo, (ii) la periodicidad y (iii) las condiciones del reporte de eventos a presentar.

Fases de implementación. Para el cumplimiento de lo dispuesto en el artículo 7? del Decreto 1698 de 2007 y aquellas normas que lo adicionen, reglamenten o sustituyan, se han establecido las siguientes fases anuales para la implementación del Sistema de Administración de Riesgos, entendiéndose que el avanzar a cada etapa siguiente supone la adopción plena y a satisfacción de la Superintendencia Nacional de Salud de la etapa anterior, etapas que se detallan en su gradualidad en el anexo técnico de la presente resolución: Fase l. Plan de implementación: determinación de objetivos generales y específicos, que puntualicen el alcance de la gestión de riesgos dentro de la organización, que incluya la fijación de metas, los recursos humanos y financieros involucrados, las metodologías y herramientas necesarias, la identificación de los riesgos críticos y el cronograma de implementación, así como el proceso para informar a la organización acerca del plan. En el área de salud: Documentar la gestión de riesgo existente en la organización, realizar pruebas de implementación con un alcance general enfocado al riesgo poblacional (o de grupo de riesgo), con énfasis en el mejoramiento de las herramientas del sistema y en la adecuación del sistema de información. Lo anterior debe incluir un análisis de la situación de salud, capacidad instalada de red contratada y descripción de las rutas de acceso a los servicios, con un enfoque de riesgo. Fase ll. Despliegue del sistema: Énfasis en seguimiento a la implantación y despliegue del sistema a toda la organización y organizaciones con las que se relaciona. Medición de los avances en la implantación del modelo del Sistema de Administración de Riesgos. En esta fase debe diseñarse la identificación de riesgos en salud desde la afiliación. 2 0 MAY 2008 ResoLución Número _U174Ú pe 2008 HOJA No 9 En el área de salud: Implantación inicial, partiendo de actividades ya existentes y ampliándolas a grupos priorizados de riesgos, para los cuáles se debe llegar a la gestión individualizada del riesgo. Lo anterior debe incluir un análisis de la situación de salud, capacidad instalada de red contratada y descripción de las rutas de acceso a los servicios con un enfoque de riesgo por regiones. Se deberán iniciar esquemas cualitativos de medición del impacto. Fase lll: Ampliación del sistema: Inicio de la implementación del Sistema de Administración de Riesgos en áreas diferentes a salud. 1. En el área de salud: Lo establecido en las Fases | y Il debe estar en plena operación e iniciar la medición cuantitativa de los efectos de los principales riesgos priorizados, así como la medición del impacto de las intervenciones. Lo anterior debe incluir una evaluación por parte de' la organización de la pertinencia de los riesgos priorizados o de su posible ampliación. 2. En el área operativa: Documentar la gestión de riesgo existente en la organización e identificar con un alcance general, enfocado a los riesgos asociados al recurso humano, los procesos y tecnología con énfasis en el mejoramiento de las herramientas del sistema y en la adecuación del sistema de información. Lo anterior debe incluir un mapa de procesos críticos clasificados según su riesgo inherente. 3. En el área de riesgos generales del negocio, de mercado y de crédito: Iniciar la gestión del riesgo de liquidez, incorporando flujos de caja (incluyendo estimación de la transabilidad del portafolio de inversiones) para determinar los requerimientos de liquidez de la entidad. Se deberán identificar los riesgos de crédito referido a los deudores de la entidad e inversiones. Fase IV. Consolidación del sistema: Completar la implementación del Sistema en áreas diferentes a salud. 1. En el área de salud: Consolidar el sistema, garantizando que se aplica de manera sistemática ejecutando el ciclo de planear, hacer, verificar y actuar frente al riesgo. 2. En el área operativa: Documentar la gestión de riesgo existente en la organización, adicionando a lo considerado en la fase anterior los demás riesgos del área operativa. Se complementa el mapa de procesos críticos, clasificados según su riesgo inherente, e inician esquemas cualitativos de medición del impacto. 3. En el área de riesgos generales del negocio, de mercado y de crédito: Se identifican los riesgos asociados a la exposición de las inversiones a precios de mercado. Se desarrolla una metodología 2 0 Mar 2008 RESOLUCIÓN NÚMERO (01740 DE 2008 HOJA No 10 disposiciones" adecuada para la estimación del valor en riesgo de las inversiones de la entidad y su reflejo en la contabilidad de acuerdo con las normas vigentes. De acuerdo con cada fase y al plan de implementación del Sistema de Administración de Riesgos, se debe contar con indicadores para evaluar el impacto de las intervenciones del riesgo. Los anteriores requisitos se consideran como mínimos, pudiendo una entidad hacer desarrollos mayores del sistema, de acuerdo con sus objetivos. En el anexo técnico de la presente resolución, se ilustra el cronograma de implementación de cada una de las fases de implementación del Sistema de Administración de Riesgos, de acuerdo con los elementos de gestión establecidos en el artículo 4”.

Periodicidad de la evaluación y reporte a la Superintendencia Nacional de Salud. Cada entidad debe mantener en todo momento, a disposición de la Superintendencia Nacional de Salud, la información empleada en el cálculo de los valores estimados y las medidas de control y monitoreo adoptados en cada etapa : Los resultados de la medición de riesgos deben reportarse a la Superintendencia Nacional de Salud, con una periodicidad semestral en los formatos previstos para este propósito por la misma.

Facultad de objeción y auditoria del Sistema de Administración de Riesgos por parte de la Superintendencia Nacional de Salud. Cada fase del Sistema de Administración de Riesgos, incluida la metodología de cuantificación de riesgos que se diseñe, deberá estar operando de acuerdo con las siguientes fechas: FASE | Fecha de evaluación por parte de la Superintendencia Nacional de Salud | Debe estar lista a más tardar el 31 de diciembre de 2008. 11 Debe estar lista a más tardar el 31 de diciembre de 2009 HI Debe estar lista a más tardar el 31 de diciembre de 2010. IV | Debe estar lista a más tardar el 31 de diciembre de 2011 Las Entidades Promotoras de Salud del Régimen Contributivo y Entidades Adaptadas deberán someter el Sistema de Administración de Riesgos diseñado por éstas a revisión por parte de las firmas externas que la Superintendencia Nacional de Salud determine. Éstas rendirán un informe dirigido a la Superintendencia Nacional de Salud en el cual se determine si el sistema de cada entidad vigilada cumple con las condiciones establecidas por esta norma. ; Con base en este concepto, la Superintendencia Nacional de Salud podrá no objetarlo o exigir correctivos antes del pronunciamiento final. 2 0 MAY 2008 RESOLUCIÓN NÚMERO (1740 De 2008 HOJA No 11 Para efectos de lo previsto en el presente artículo, la Superintendencia Nacional de Salud y las Entidades deberán cumplir con el siguiente cronograma: Cronograma para emisión de concepto y decisión de la Superintendencia Nacional de Salud Actividad | Fecha límite Responsable Selección de firmas externas que pueden elaborar 30 de junio de 2008 Superintendencia conceptos acerca de la implementación del sistema Nacional de Salud Finalización de cada fase 31 de diciembre del año correspondiente a la gradualidad Entidades Promotoras de Salud del Régimen Contributivo y entidades definida adaptadas Concepto cumplimiento fase 31 de enero siguiente | Firma externa 28 de febrero Superintendencia Observaciones siguiente Nacional de Salud Presentación de correctivos 15 de abril siguiente Entidades Promotoras de Salud del Régimen Contributivo y entidades adaptadas Concepto definitivo sobre el cumplimiento de cada fase 15 de mayo siguiente Firma externa Pronunciamiento definitivo acerca del cumplimiento fase 30 de mayo siguiente Superintendencia Nacional de Salud Para todos los efectos del presente cronograma, en caso de que a la fecha límite de 30 de mayo correspondiente la Superintendencia Nacional de Salud no se haya pronunciado objetando el cumplimiento de la implementación del sistema, se entenderá la fase como cumplida por la Entidad Promotora de Salud del Régimen Contributivo o la entidad adaptada y, por lo tanto, dicha entidad tendrá derecho a los descuentos relacionados con el sistema de administración de riesgos de que trata el Decreto 1698 de 2007 y aquellas normas que lo adicionen, reglamenten o sustituyan Una vez ha concluido la implementación completa del Sistema de Administración de Riesgos, las Entidades Promotoras de Salud del Régimen Contributivo y entidades adaptadas seguirán presentando a la Superintendencia Nacional de Salud, un concepto elaborado por las firmas externas aprobadas, acerca del adecuado funcionamiento del Sistema de Administración de Riesgos, con periodicidad bianual. Parágrafo: Para efectos de aplicar los descuentos a los que hace referencia el Decreto 1698 de 2007 y aquellas normas que lo adicionen, reglamenten o . sustituyan, cada año se evaluará el cumplimiento de la fase correspondiente de la implementación del Sistema de Administración de Riesgos de manera independiente, es decir que si el concepto es de cumplimiento, se aplicará la totalidad del descuento y si es de incumplimiento, los requisitos de margen de solvencia se aplicarán al 100% de lo previsto para el periodo correspondiente. wi o1740 2.0 MAY 2008 RESOLUCIÓN NÚMERO DE 2008. HOJANo 12

Entidades delegadas para la evaluación de los Sistemas de Administración de Riesgos: Para llevar a cabo el estudio de los Sistemas de Administración de Riesgos de que trata el artículo anterior, la Superintendencia Nacional de Salud definirá varias firmas consultoras o auditoras, de reconocido prestigio nacional e internacional en gestión de riesgos, auditoría de riesgos financieros, consultoría financiera o similares, estableciendo condiciones mínimas de experiencia nacional e internacional, capacidad financiera, capacidad técnica de infraestructura tecnológica (tecnología dura y blanda, aplicaciones estadísticas y de gestión de riesgos) y de recurso humano con experiencia individual acreditada en finanzas, gestión en salud, economía de la salud y gestión de riesgos. Dentro de las firmas así seleccionadas, las entidades vigiladas podrán escoger libremente aquella que deberá realizar la evaluación correspondiente.

Instrumentos de Control. La Superintendencia Nacional de Salud definirá los instrumentos mediante los cuales realizará el proceso de verificación del cumplimiento de lo dispuesto en la presente Resolución y los informará a las entidades vigiladas.

Vigencia: La presente Resolución rige a partir de la fecha de su publicación y deroga las disposiciones que le sean contrarias.

Pl 6 Álvaro Muñoz Escobar Aprobó: Carlos Ignacio Cuervo Valencia Carlos Jorge Rodríguez Restrepo S 2 0 MÁr 2008 ResoLución NúmeRO (1740 “pe 2008 HOJA No: 13 disposiciones" ANEXO TÉCNICO En el presente anexo se ilustra el cronograma de implementación de cada una de las fases de implementación del Sistema de Administración de Riesgos, de acuerdo con los elementos de gestión establecidos en el artículo 4”. Siglas: RGS: Riesgos generales en salud. RIS: Riesgos individuales en el grupo priorizado del riesgo en salud RO: Riesgos de operación. RFM: Riesgos financieros y de mercado. FASE |: Xx Tipo de riesgo Componente RGS RIS RO RFM 1 Ambiente interno, plan implementación: x x ¿E x 2. Identificación de eventos: Xx 3. Evaluación de riesgos: Xx 4. Respuesta al riesgo y actividades de control: x 5. Respuesta y comunicación: x 6. Monitoreo: FASE ll: Ñ Tipo de riesgo Componente RGS RIS RO RFM y Ambiente interno, plan implementación: x x x x 2. Identificación de eventos: x EE 3. Evaluación de riesgos: x t 4. Respuesta al riesgo y actividades de control: x YE 5. Respuesta y comunicación: x t .|6. Monitoreo: sx RESOLUCIÓN NúMERO 01740 2 0 MAY 2008 DE 2008 HOJA No 14 Entidades Adaptadas previstas en el Sistema de Habilitación - Condiciones financieras y de FASE lll: É Tipo de riesgo Componente RGS RIS RO RFM T Ambiente interno, plan implementación: x x x 2. Identificación de eventos: t li [1 3, Evaluación de riesgos: x E É 4, Respuesta al riesgo y actividades de control: x t É 5. Respuesta y comunicación: Xx t (a E 6. Monitoreo: x É É FASE IV: X Tipo de riesgo Componente RGS RIS RO RFM Ye Ambiente interno, plan implementación: x x Xx 2. Identificación de eventos: t É [ 3. Evaluación de riesgos: x + É pa 4. Respuesta al riesgo y actividades de control: x t É Y 5. Respuesta y comunicación: x + [4 [7 6. Monitoreo: x [a É Y