Los riesgos operacionales deben ser identificados para poder ser gestionados; sin embargo, y a diferencia de otros riesgos, el riesgo operacional debe normalmente ser evaluado a nivel de unidades de negocio y procesos, con la activa participación del personal de las unidades correspondientes.

Para ello se debe contar con mapas de procesos, de entre los cuales se deben identificar aquellos procesos críticos con base en la definición de los objetivos estratégicos de la mutualidad, y en función de su nivel de riesgo inherente y residual evaluado.

Se considerará buena práctica que la metodología de evaluación acerca de cuáles procesos son críticos sea aprobada por el directorio. Sin perjuicio de ello, la mutualidad debe evaluar la totalidad de sus procesos con el fin de definir y evaluar mitigadores que minimicen sus riesgos.

Las mutualidades, en la gestión de los riesgos operacionales, deben tener en cuenta los siguientes macroprocesos:

1. Prestaciones médicas

2. Prestaciones económicas

3. Prestaciones preventivas

4. Reservas técnicas (conformación de las bases de datos, procesos de consulta a esas bases, determinación de parámetros externos, cálculos actuariales, registro contable, presentación en los estados financieros):

   1. Reserva por pago de prestaciones económicas

   2. Reserva por prestaciones médicas

5. Inversiones

6. Afiliación o adhesión

7. Recaudación de cotizaciones

8. Cobranzas, incluido el manejo del incobrable, y sus respectivas imputaciones contables

9. Recepción de demandas judiciales y juicios

La mutualidad debe realizar una revaluación periódica de la efectividad de sus controles considerando la criticidad de los procesos relacionados. Para lo anterior, podrá utilizar matrices de priorización, las cuales deben considerar ciclos de revisión cuya extensión máxima sea de 36 meses, a excepción de los nuevos procesos y los clasificados como críticos, los cuales deben considerar ciclos de revisión cuya extensión máxima sea de 12 meses.