SBS destaca la importancia de fortalecer la seguridad digital para impulsar la innovación en la banca

La transformación digital está cambiando aceleradamente la forma en que operan las entidades financieras y se relacionan con sus clientes. Sin embargo, el crecimiento de las operaciones digitales, la incorporación de nuevas tecnologías y la creciente dependencia de proveedores externos también están ampliando los riesgos operacionales y de ciberseguridad que enfrenta el sector.

En este contexto, la Superintendencia de Banca, Seguros y AFP (SBS) considera necesario evolucionar hacia un modelo de resiliencia operacional que permita a las instituciones financieras no solo recuperarse rápidamente de una interrupción, sino también contar con las capacidades necesarias para mantener la prestación de sus servicios críticos ante situaciones adversas.

Así lo señaló Oscar Basso Winffel, gerente de Riesgos de la SBS, durante su exposición «La supervisión financiera en la era digital: el reto de lograr una resiliencia operacional adecuada», realizada en el décimo Congreso de Innovación Financiera, organizado por Gan@Más y +Finanz@s.

Durante su presentación, el funcionario explicó que la digitalización es un proceso irreversible que exige tanto a las entidades financieras como a los organismos supervisores adaptar sus capacidades a una realidad caracterizada por la velocidad del cambio tecnológico, la aparición de nuevos competidores y una mayor interconexión entre los distintos participantes del sistema.

Las operaciones digitales transforman el sistema financiero

Uno de los principales indicadores de esta transformación es el crecimiento de las operaciones realizadas a través de canales no presenciales. Según las cifras presentadas por Basso, por cada operación física que se realiza en el sistema financiero peruano se efectúan ocho operaciones digitales.

Esto significa que aproximadamente el 90% de las operaciones financieras se realiza mediante canales digitales o no presenciales, lo que evidencia la importancia que han adquirido las aplicaciones, las plataformas en línea y otros mecanismos tecnológicos para atender a los usuarios.

El funcionario indicó que esta tendencia continuará profundizándose, aunque reconoció que todavía existen segmentos en los que la atención presencial mantiene una función importante. Entre ellos mencionó a las cooperativas de ahorro y crédito que operan en zonas alejadas del país, donde las condiciones geográficas y las características de los usuarios hacen necesario conservar los servicios físicos.

No obstante, sostuvo que la evolución del mercado exige que las entidades amplíen progresivamente sus capacidades digitales y ofrezcan alternativas que respondan a las nuevas expectativas de los consumidores, quienes demandan servicios más rápidos, accesibles y eficientes.

La velocidad con la que se producen los cambios tecnológicos constituye, precisamente, uno de los mayores desafíos para la industria financiera y sus supervisores. Basso recordó que tecnologías que antes necesitaban décadas para alcanzar una adopción masiva ahora pueden conseguir millones de usuarios en periodos considerablemente más cortos.

Como ejemplo, mencionó la rápida expansión de herramientas de inteligencia artificial generativa y plataformas digitales, que demuestra que las instituciones no pueden limitarse a adaptar sus procedimientos de manera gradual, sino que necesitan desarrollar capacidades para responder a transformaciones cada vez más frecuentes.

En ese escenario, la inteligencia artificial, la computación en la nube, las billeteras digitales, la banca abierta y los procesos de incorporación digital de clientes forman parte de un ecosistema tecnológico que ofrece oportunidades para mejorar la productividad, personalizar los servicios y fortalecer la gestión de riesgos.

Sin embargo, el gerente de Riesgos de la SBS advirtió que estos avances también generan nuevas vulnerabilidades que deben ser identificadas y gestionadas oportunamente.

Inteligencia artificial: oportunidades y nuevos riesgos

Basso explicó que la inteligencia artificial permite automatizar procesos, aumentar la capacidad de procesamiento de información, detectar patrones que anteriormente resultaban difíciles de identificar y mejorar los mecanismos de prevención de riesgos.

Asimismo, estas herramientas pueden contribuir a ofrecer servicios financieros más personalizados y reforzar las capacidades de ciberdefensa de las instituciones. Su aplicación también puede facilitar el análisis de grandes volúmenes de información para identificar relaciones entre distintos riesgos y anticipar posibles problemas.

No obstante, advirtió que la adopción de estas tecnologías debe realizarse de manera responsable. Entre los principales riesgos mencionó la falta de transparencia de algunos modelos, los sesgos que pueden generar resultados discriminatorios y la posibilidad de que los sistemas recomienden productos o decisiones que no sean los más adecuados para determinados clientes.

Por ello, consideró fundamental establecer mecanismos de gobernanza que definan claramente las responsabilidades de quienes desarrollan, implementan y supervisan estas herramientas.

También destacó la necesidad de contar con datos confiables y consistentes, así como de establecer procesos independientes de validación de los resultados que producen los modelos de inteligencia artificial.

En ese sentido, subrayó que la intervención humana debe mantenerse como un componente esencial de la toma de decisiones. Aunque la inteligencia artificial puede facilitar los análisis y acelerar los procesos, las instituciones deben asegurar que exista una revisión adecuada de sus resultados antes de utilizarlos para adoptar decisiones relevantes.

La seguridad de la información, la confidencialidad de los datos y el desarrollo de capacidades especializadas también son condiciones necesarias para aprovechar los beneficios de estas tecnologías sin comprometer la estabilidad de las operaciones financieras.

La dependencia de proveedores tecnológicos aumenta los riesgos

Otro de los aspectos centrales de la exposición fue la creciente dependencia de las entidades financieras de proveedores tecnológicos externos, especialmente aquellos que ofrecen servicios de computación en la nube, almacenamiento, procesamiento de datos y otras soluciones esenciales para sus operaciones.

Basso reconoció que estos proveedores ofrecen ventajas importantes, como la posibilidad de ampliar capacidades de manera flexible, reducir inversiones en infraestructura propia, acceder a conocimientos especializados y acelerar la incorporación de nuevas tecnologías.

Sin embargo, advirtió que esta dependencia también genera riesgos de concentración, debido a que un número relativamente reducido de empresas proporciona servicios utilizados por numerosas instituciones financieras en diferentes países.

Cuando uno de estos proveedores experimenta una interrupción, las consecuencias pueden extenderse simultáneamente a múltiples entidades y afectar a una gran cantidad de usuarios.

El funcionario explicó que, aunque la falla se origine en un proveedor externo, las consecuencias operacionales y reputacionales recaen directamente sobre las entidades financieras ante los ojos de sus clientes. Si una persona no puede acceder a sus cuentas, realizar pagos o utilizar sus servicios, normalmente responsabilizará a la institución con la que mantiene su relación financiera.

Esta situación demuestra que la gestión de riesgos no puede limitarse a los sistemas internos de cada organización. También debe considerar las dependencias externas, las interconexiones entre instituciones y la capacidad de los proveedores para mantener sus servicios.

De acuerdo con las estadísticas presentadas durante la exposición, más del 80% de las fuentes de interrupción de los servicios de la industria financiera durante los últimos años estuvo relacionado con fallas tecnológicas. Basso advirtió que una proporción importante de estos problemas está vinculada a los servicios y componentes tecnológicos de los que dependen las entidades.

A ello se suma el incremento de los riesgos de ciberseguridad. La automatización y sofisticación de los ataques permiten que los delincuentes utilicen herramientas cada vez más accesibles, amplíen el alcance de sus operaciones y reduzcan las barreras técnicas necesarias para ejecutar actividades maliciosas.

En consecuencia, el sector financiero enfrenta una superficie de exposición cada vez mayor, debido al crecimiento de los canales digitales, la integración de nuevos servicios y la participación de terceros en procesos críticos.

El gerente de Riesgos de la SBS también mencionó cifras expuestas durante la presentación sobre incidentes de ciberseguridad en el sector financiero y de seguros: el 36% de los ataques analizados ingresó a través de aplicaciones expuestas a internet, mientras que el 46% de los incidentes terminó en el robo de credenciales. Asimismo, indicó que el 16% de los incidentes considerados en esa estadística ocurrió en América Latina.

Estas cifras, señaló, muestran que incluso las industrias sujetas a elevados estándares de supervisión y seguridad siguen expuestas a amenazas importantes.

De la gestión de riesgos a la resiliencia operacional

Frente a este escenario, la SBS busca impulsar una evolución en la manera en que las entidades financieras gestionan las interrupciones y los incidentes tecnológicos.

Basso explicó que el enfoque tradicional de continuidad del negocio suele concentrarse en recuperar los sistemas, procesos y recursos afectados después de una interrupción. La resiliencia operacional, en cambio, propone una perspectiva más amplia: preservar la prestación de los servicios críticos, incluso cuando se produzcan fallas o ataques.

«La pregunta ya no es si habrá una interrupción y cuánto tardaremos en recuperar. La pregunta es si estamos lo suficientemente robustos para que no caigamos», sostuvo como reflexión final de su exposición.

Este cambio supone que las instituciones deben prepararse no solo para restablecer sus operaciones, sino también para resistir situaciones adversas y reducir sus consecuencias sobre los clientes.

Para conseguirlo, Basso identificó cuatro capacidades fundamentales. La primera consiste en identificar los servicios críticos que deben mantenerse operativos. La segunda implica mapear las dependencias necesarias para prestar esos servicios, incluidos los sistemas tecnológicos y los proveedores externos.

La tercera comprende el desarrollo y la puesta a prueba de planes de respuesta y recuperación. Finalmente, la cuarta consiste en fortalecer la capacidad de aprendizaje de las organizaciones mediante el análisis de incidentes, las pruebas de estrés y la mejora continua de sus mecanismos de protección.

El funcionario remarcó que estas capacidades no deben funcionar de manera aislada. La continuidad del negocio, la seguridad de la información, la gestión del riesgo tecnológico y la ciberseguridad deben integrarse dentro de una estrategia común.

Asimismo, sostuvo que la resiliencia operacional requiere la participación coordinada de las áreas de negocio, riesgos y tecnología, además del compromiso de los niveles más altos de dirección de las entidades financieras.

En su opinión, la responsabilidad no puede recaer exclusivamente en los equipos técnicos, debido a que las decisiones de inversión, la asignación de recursos y la definición de prioridades corresponden también a la alta dirección.

Como ejemplo, recordó un ejercicio de ciberseguridad realizado en el Perú con el acompañamiento del Fondo Monetario Internacional (FMI), en el que participaron entidades supervisadas y otras organizaciones vinculadas con el sistema financiero, los mercados de valores y los sistemas de pagos.

A partir de esa experiencia, señaló que las vulnerabilidades no se encuentran únicamente dentro de cada institución, sino también en las interconexiones y en la coordinación necesaria para responder ante incidentes que afectan a varios participantes.

Por ello, consideró importante que los miembros de los directorios y los principales ejecutivos conozcan directamente estos riesgos y comprendan las consecuencias que podrían tener sobre sus organizaciones.

La SBS evalúa una supervisión más integrada y proactiva

En materia regulatoria, Basso indicó que la Superintendencia busca avanzar hacia un enfoque que integre las distintas disposiciones relacionadas con la gestión de riesgos tecnológicos, operacionales y de ciberseguridad.

Como referencia, mencionó el marco europeo conocido como DORA, siglas de la Ley de Resiliencia Operativa Digital, que establece exigencias para fortalecer la capacidad de las entidades financieras de prevenir, resistir y responder a incidentes relacionados con las tecnologías de la información y las comunicaciones.

El objetivo, explicó, es avanzar hacia un marco que recoja las mejores prácticas internacionales, pero que también esté adaptado a las características y necesidades del sistema financiero peruano.

La supervisión también podría beneficiarse de la incorporación de inteligencia artificial para analizar mayores volúmenes de información, integrar diferentes fuentes de datos, identificar patrones y anticipar situaciones que requieran una intervención.

Basso sostuvo que estas herramientas pueden contribuir a que la supervisión sea más proactiva, especialmente en un entorno en el que aumenta la cantidad de productos, las interconexiones entre instituciones y la velocidad con la que evolucionan los riesgos.

No obstante, precisó que su utilización debe estar acompañada de una estructura adecuada de gobernanza, responsabilidades claramente definidas, controles de seguridad, protección de la confidencialidad y datos confiables.

La SBS también necesita desarrollar las capacidades humanas y tecnológicas necesarias para interpretar los resultados de estos sistemas y asegurar que las decisiones de supervisión mantengan una evaluación apropiada.

La resiliencia operacional como protección de la confianza

Finalmente, el gerente de Riesgos de la SBS destacó que la resiliencia operacional tiene una dimensión que va más allá de la tecnología: la protección de la reputación y la confianza de los usuarios en el sistema financiero.

En un entorno en el que las operaciones se realizan cada vez más a través de canales digitales, una interrupción puede afectar de manera inmediata la experiencia de los clientes y generar consecuencias reputacionales para las instituciones.

Por ello, sostuvo que la transformación digital debe ir acompañada de una evolución equivalente en las capacidades de gestión y supervisión de riesgos.

Aunque las inversiones realizadas por las entidades financieras permiten prevenir numerosos incidentes, reconoció que el crecimiento y la sofisticación del cibercrimen hacen imposible descartar por completo la posibilidad de nuevas vulneraciones.

El desafío consiste, por tanto, en desarrollar organizaciones capaces de anticipar amenazas, mantener sus servicios esenciales y aprender de los incidentes para mejorar continuamente sus mecanismos de respuesta.

La conclusión de la exposición fue que la digitalización y la inteligencia artificial amplían las oportunidades para el sistema financiero, pero también incrementan su complejidad. En consecuencia, la industria y los organismos supervisores deben evolucionar al ritmo de los cambios tecnológicos para proteger la continuidad de los servicios, reducir los riesgos y preservar la confianza de los usuarios.