La NCG 454 es la Norma de Carácter General de la Comisión para el Mercado Financiero (CMF) de Chile que establece los principios que las compañías de seguros y reaseguros deben cumplir en gestión de riesgo operacional y ciberseguridad. Publicada el 18 de mayo de 2021 y vigente desde el 30 de septiembre de ese año, obliga a las aseguradoras a implementar un marco de riesgo operacional bajo el modelo de tres líneas de defensa, un marco de ciberseguridad basado en mejores prácticas internacionales, autoevaluaciones periódicas y la comunicación de incidentes a la CMF en un plazo máximo de 30 minutos.
Su relevancia creció en 2025: con la entrada en vigor de la Ley Marco de Ciberseguridad 21.663 y la creación de la Agencia Nacional de Ciberseguridad (ANCI), muchas aseguradoras quedaron sujetas a dos marcos de ciberseguridad en paralelo. Cumplir bien la NCG 454 dejó de ser opcional: es la base sobre la que se articula todo lo demás.
Qué es la NCG 454
La NCG 454 es una norma de la CMF que se enmarca en el modelo de Supervisión Basada en Riesgo del mercado de seguros chileno. Su objetivo es establecer los principios de un adecuado sistema de gestión del riesgo operacional y de ciberseguridad que sirven de base para que la CMF evalúe a las compañías en el contexto de su nivel de solvencia. Puedes consultar el texto oficial en el sitio de la CMF.
La norma se apoya en las recomendaciones de la Asociación Internacional de Supervisores de Seguros (IAIS) y define el riesgo operacional como el riesgo de pérdidas financieras que resulta de fallos en los procesos, personas o sistemas, ya sea ante eventos internos o externos. Un punto clave de su filosofía es que está basada en principios, no en una lista de verificación: la CMF fija el qué —los principios— y deja a cada compañía el cómo, aplicando el principio de proporcionalidad según su tamaño, naturaleza, complejidad y perfil de riesgo.
Otro rasgo central: la norma responsabiliza directamente al directorio y a la alta gerencia. Son ellos quienes deben aprobar las políticas que implementan los principios, monitorear su cumplimiento y aprobar los informes de autoevaluación antes de enviarlos a la CMF. La NCG 454 se lee, por tanto, en clave de gobierno corporativo, articulándose con las normas NCG 309 (gestión de riesgos) y NCG 325 (solvencia).
Novedades recientes: la Ley 21.663 y la ANCI
El cambio más importante en el entorno de la NCG 454 no está en la norma misma, sino en su contexto. En 2024-2025, Chile estrenó un marco transversal de ciberseguridad que convive con la regulación sectorial de la CMF.
La Ley N° 21.663, Ley Marco de Ciberseguridad, fue promulgada en abril de 2024, y sus artículos clave entraron en vigor el 1 de marzo de 2025. La ley crea la Agencia Nacional de Ciberseguridad (ANCI) como ente fiscalizador, define la figura del Operador de Importancia Vital (OIV) y establece un régimen de reporte de incidentes y de sanciones. Puedes revisar el texto en la Biblioteca del Congreso Nacional.
Lo relevante para una aseguradora es que la ANCI publicó a fines de 2025 el listado definitivo de OIV, que incluye decenas de instituciones del sector bancario, financiero y de medios de pago. Las entidades financieras reguladas por la CMF quedan sujetas a las disposiciones de la Ley 21.663 en materia de protección de sus sistemas, pero la CMF sigue siendo su regulador financiero principal. En la práctica, la NCG 454 y la Ley 21.663 operan en paralelo, no en sustitución: una aseguradora calificada como OIV debe coordinar el reporte de incidentes hacia ambos reguladores y alinear su programa de ciberseguridad con los requisitos de los dos marcos.
Esto convierte a la NCG 454 en la columna vertebral del cumplimiento: una compañía que ya tiene un marco robusto de riesgo operacional y ciberseguridad bajo esta norma parte con gran ventaja para responder a las exigencias de la ANCI, en lugar de construir dos sistemas separados.
A quién aplica la NCG 454
La NCG 454 aplica a todas las entidades aseguradoras y reaseguradoras fiscalizadas por la CMF en Chile. No distingue por tamaño: aplica tanto a grandes compañías como a aseguradoras pequeñas, aunque su exigencia se modula con el principio de proporcionalidad.
Ese principio es esencial para entender el alcance real de la norma. La CMF reconoce que las prácticas de gestión de riesgo operacional y ciberseguridad pueden adoptar modalidades distintas en cada compañía según su tamaño, estructura de propiedad, naturaleza, alcance, complejidad de operaciones, estrategia y perfil de riesgo. Una aseguradora pequeña y poco compleja no está obligada a replicar la estructura de una gran compañía, pero sí a demostrar que gestiona sus riesgos de forma adecuada a su realidad. La proporcionalidad no es una exención: es una calibración.
Conviene ubicar la NCG 454 en el mapa regulatorio chileno. Para el sector asegurador, es la norma de referencia en riesgo operacional y ciberseguridad. En el sector bancario existe una regulación análoga (el RAN, Recopilación Actualizada de Normas). Y por encima de todo el sistema financiero se superpone ahora la Ley 21.663.
Gestión de riesgo operacional: los cuatro principios
El núcleo de la gestión de riesgo operacional en la NCG 454 se organiza en cuatro principios que la CMF evalúa:
- Principio 1 — Marco de gestión: La gestión del riesgo operacional debe integrarse completamente en el sistema general de gestión de riesgos de la compañía y documentarse adecuadamente. No puede ser un anexo aislado: es un elemento fundamental del gobierno de riesgos.
- Principio 2 — Apetito de riesgo: La compañía debe desarrollar y usar una declaración de apetito de riesgo operacional, clara y con componentes medibles (límites o umbrales), integrada en su marco general de apetito de riesgo.
- Principio 3 — Tres líneas de defensa: La compañía debe garantizar una rendición de cuentas efectiva mediante una estructura de tres líneas de defensa o equivalente robusta.
- Principio 4 — Identificación y evaluación: La compañía debe identificar y evaluar el riesgo operacional de forma integral, usando herramientas de gestión adecuadas: taxonomía de riesgos, evaluaciones de riesgo y control, indicadores de riesgo (KRI), mapeo de procesos, análisis de escenarios y recopilación de eventos internos y externos.
La norma acompaña estos principios con un catálogo de prácticas emergentes de gestión de riesgo operacional (PGRO) que la CMF considera como referencia de buenas prácticas, sin tratarlas como una lista de verificación obligatoria.
El modelo de tres líneas de defensa
El principio 3 merece atención propia porque estructura toda la rendición de cuentas. La NCG 454 describe tres líneas con roles bien diferenciados:
- Primera línea de defensa: Es la línea de negocios, que tiene la propiedad del riesgo. Reconoce y gestiona el riesgo operacional en el que incurre al realizar sus actividades diarias, establece controles de mitigación y reporta su perfil de riesgo.
- Segunda línea de defensa: Es la función de gestión de riesgos, que supervisa de forma independiente: identifica, mide, monitorea y reporta objetivamente el riesgo operacional, y provee una evaluación objetiva de lo que hace la primera línea. La norma exige que las aseguradoras cuenten formalmente con una función de gestión de riesgos, con recursos e independencia adecuados.
- Tercera línea de defensa: Es la auditoría interna, separada de las dos anteriores, que revisa y prueba objetivamente los controles, procesos y sistemas de gestión de riesgo operacional y verifica que el marco funcione según lo previsto.
Este modelo no es un organigrama rígido: la forma concreta de implementarlo depende del modelo de negocio y perfil de riesgo de cada compañía. Lo que la CMF espera es la separación funcional que garantiza objetividad.
Marco de ciberseguridad: los ocho elementos
La NCG 454 aborda la ciberseguridad como un riesgo tecnológico dentro del riesgo operacional. Su marco se basa en los ocho elementos fundamentales de ciberseguridad del G7 (G7FE), alineados con estándares como el NIST Cybersecurity Framework. Los ocho elementos son:
- Estrategia y marco de ciberseguridad, alineado con el marco de riesgo operacional.
- Gobierno, con roles y responsabilidades claros del directorio y la alta gerencia, y un ejecutivo senior responsable.
- Evaluación de riesgo y control, incluyendo inventario y clasificación de activos por confidencialidad, integridad y disponibilidad, y gestión de dependencias de terceros.
- Monitoreo continuo para detectar incidentes y evaluar la efectividad de los controles.
- Respuesta, con planes de respuesta a incidentes y de comunicación.
- Recuperación, con planes probados de continuidad y respaldo de datos.
- Intercambio de información sobre amenazas con la industria y las autoridades.
- Aprendizaje continuo, revisando el marco ante un entorno de amenazas cambiante.
La norma pide especial atención a la protección de los datos personales y sensibles de los asegurados —incluida información de salud—, un punto donde la ciberseguridad se cruza con la protección de datos. Todo esto debe aplicarse, nuevamente, bajo el principio de proporcionalidad.
Autoevaluaciones y comunicación de incidentes
La NCG 454 traduce sus principios en obligaciones concretas y medibles, con plazos definidos.
- Autoevaluaciones: Las compañías deben autoevaluar su grado de cumplimiento usando los cuestionarios de los Anexos de la norma, calificando su madurez en una escala de 1 a 4 (de "observado" a "no observado") y definiendo planes de acción para cerrar brechas. La autoevaluación de riesgo operacional se realiza cada dos años y se informa a la CMF a más tardar el 30 de septiembre; la de ciberseguridad es anual y debe quedar disponible para la CMF. Ambas deben ser aprobadas por el directorio.
- Comunicación de incidentes: Este es uno de los puntos más exigentes de la norma. Las compañías deben comunicar a la CMF los incidentes operacionales que afecten la continuidad del negocio, los recursos, la calidad de los servicios o la imagen de la institución, en un plazo máximo de 30 minutos desde que toman conocimiento, en cualquier horario y día. Deben reportar tanto el inicio como el cierre del incidente, con información detallada.
- Intercambio con la industria: Los incidentes de ciberseguridad deben compartirse con el resto de la industria aseguradora a través de un sistema de alertas, para prevenir a otras entidades y proteger al sistema en su conjunto.
El plazo de 30 minutos para reportar incidentes exige capacidades de detección y escalamiento que no se improvisan: requieren procesos, responsables designados y herramientas que permitan actuar de inmediato.
Cómo cumplir con la NCG 454: enfoque práctico
Cumplir la NCG 454 exige convertir principios en un sistema operativo de gestión. Estos pasos ordenan el trabajo:
- Formaliza el marco y las tres líneas de defensa: Documenta el marco de gestión de riesgo operacional, define la función de riesgos independiente y separa auditoría interna. Asegura que el directorio tenga un rol activo.
- Construye tus herramientas de gestión: Implementa la taxonomía de riesgos, las evaluaciones de riesgo y control, los KRI, el mapeo de procesos y la recopilación de eventos. Son la materia prima de las autoevaluaciones.
- Estructura el marco de ciberseguridad: Inventaría y clasifica tus activos de información, define el gobierno de ciberseguridad, e implementa monitoreo, respuesta y recuperación alineados con los ocho elementos.
- Prepara la maquinaria de incidentes: Designa responsables, define el flujo de detección-escalamiento-reporte y asegura que puedes cumplir el plazo de 30 minutos hacia la CMF —y, si eres OIV, coordinar también con la ANCI.
- Sistematiza las autoevaluaciones y la evidencia: Mantén las autoevaluaciones, los planes de acción y su evidencia de respaldo en un solo lugar, listos para la supervisión de la CMF.
La diferencia entre gestionar la NCG 454 en planillas dispersas y hacerlo en un sistema especializado se vuelve crítica justo cuando ocurre un incidente o llega la autoevaluación:
Riesgo operacional y ciberseguridad: dos caras de la misma gestión
La NCG 454 tiene una lección de fondo: la ciberseguridad no es un silo separado del riesgo operacional, sino una de sus dimensiones. La propia norma define el riesgo de ciberseguridad como un riesgo tecnológico dentro del riesgo operacional, y exige que el marco de ciberseguridad esté alineado con el marco de gestión de riesgo operacional. Gestionarlos por separado —un equipo para riesgo operacional, otro para ciberseguridad, sin lenguaje común— genera duplicidad y puntos ciegos.
Una visión integrada conecta ambos frentes: los activos de información que la ciberseguridad debe proteger son también fuentes de riesgo operacional; los incidentes cibernéticos son eventos operacionales que hay que registrar, escalar y reportar; y las tres líneas de defensa aplican por igual a uno y otro. Esta es la lógica con que Pirani articula la gestión de riesgos operacionales y la seguridad de la información sobre una misma plataforma, para que cumplir la NCG 454 sea un solo proceso coherente y no dos esfuerzos paralelos.
Cumple con la NCG 454 usando ORM e ISMS de Pirani
Cumplir la NCG 454 y responder con solvencia ante la CMF es, sobre todo, un reto de estructura, control y evidencia. Con el sistema ORM de Pirani puedes construir tu marco de riesgo operacional bajo el modelo de tres líneas de defensa: identificar y evaluar riesgos, asociar controles con responsables, monitorear indicadores de riesgo (KRI) y registrar los eventos e incidentes operacionales de forma estructurada, con la trazabilidad que exigen las autoevaluaciones y el reporte a la CMF. Y con el sistema ISMS de Pirani puedes inventariar y clasificar tus activos de información por confidencialidad, integridad y disponibilidad, gestionar los riesgos de ciberseguridad y reportar incidentes, alineando tu marco con los ocho elementos de la norma y con estándares como ISO 27001. Así es como hacemos simple la gestión de riesgos.
Pirani se adapta a marcos como ISO 31000, ISO 27001 y las mejores prácticas internacionales que inspiran la NCG 454, gestionando de forma integrada los riesgos operacionales, de seguridad de la información, de cumplimiento y de lavado de activos, con el respaldo de certificaciones como ISO 27001, ISO 9001 y SOC 2 Type II.
Puedes empezar hoy: crea una cuenta gratis —no necesitas tarjeta de crédito— o agenda una demo con un asesor para ver cómo estructurar el cumplimiento de la NCG 454 en tu compañía.
Preguntas frecuentes
- ¿Qué es la NCG 454 de la CMF? Es la Norma de Carácter General N° 454 de la Comisión para el Mercado Financiero de Chile, publicada en 2021, que establece los principios de gestión de riesgo operacional y ciberseguridad que deben cumplir las compañías de seguros y reaseguros, junto con autoevaluaciones periódicas y la comunicación de incidentes.
- ¿A quién aplica la NCG 454? Aplica a todas las entidades aseguradoras y reaseguradoras fiscalizadas por la CMF en Chile, con exigencias moduladas por el principio de proporcionalidad según el tamaño, la complejidad y el perfil de riesgo de cada compañía.
- ¿Qué plazo hay para reportar incidentes bajo la NCG 454? Las compañías deben comunicar a la CMF los incidentes operacionales relevantes en un plazo máximo de 30 minutos desde que toman conocimiento, en cualquier horario y día, informando tanto el inicio como el cierre del incidente.
- ¿Cada cuánto hay que hacer las autoevaluaciones de la NCG 454? La autoevaluación de riesgo operacional se realiza cada dos años y se informa a la CMF; la de ciberseguridad es anual y debe quedar disponible para la CMF. Ambas deben ser aprobadas por el directorio de la compañía.
- ¿Cómo se relaciona la NCG 454 con la Ley 21.663 de ciberseguridad? Operan en paralelo. La NCG 454 es la norma sectorial de la CMF para aseguradoras, mientras que la Ley 21.663 crea un régimen transversal fiscalizado por la ANCI. Las aseguradoras calificadas como Operadores de Importancia Vital deben cumplir ambos marcos y coordinar el reporte de incidentes con los dos reguladores.
Todo sobre la regulación para retailers en México
Guía Completa de la Norma ISO 19011: Auditoría de Sistemas de Gestión
