BCRP refuerza seguridad y resiliencia del sistema de pagos de alto valor con nuevo reglamento del LBTR

El Banco Central de Reserva del Perú (BCRP) oficializó la actualización del Reglamento del Sistema de Liquidación Bruta en Tiempo Real (LBTR) mediante la Circular N.º 0011-2026-BCRP, incorporando nuevos servicios, reforzando los estándares de ciberseguridad y resiliencia operativa, y modificando el esquema tarifario aplicable a las operaciones procesadas en el principal sistema de pagos de alto valor del país.

La actualización normativa forma parte del proceso de modernización del Sistema Nacional de Pagos y responde a las nuevas exigencias de continuidad operativa, digitalización financiera y gestión de riesgos sistémicos en un entorno cada vez más interconectado.

El reglamento se sustenta en la Ley N.º 29440, Ley de los Sistemas de Pagos y de Liquidación de Valores, modificada por el Decreto Legislativo N.º 1665, que reconoce al BCRP como Órgano Rector del Sistema Nacional de Pagos.

Sistema clave para la estabilidad financiera

El Sistema LBTR constituye la infraestructura central para la liquidación de pagos de alto valor en el sistema financiero peruano. Su operación bajo el esquema de “liquidación bruta en tiempo real” implica que cada operación es procesada individualmente, de forma inmediata e irrevocable, una vez aceptada por el sistema.

El modelo permite reducir riesgos de incumplimiento y evitar acumulaciones de obligaciones pendientes entre entidades financieras, fortaleciendo así la estabilidad del sistema financiero y la seguridad de las operaciones interbancarias.

Las operaciones afectan directamente las cuentas liquidadoras que los participantes mantienen en el Banco Central, tanto en moneda nacional como extranjera.

Nueva arquitectura de participantes

El reglamento establece una clasificación diferenciada de participantes según el tipo de entidad y el nivel de acceso permitido al sistema.

Dentro de los Participantes Tipo I se encuentran los bancos y bancos de inversión, que tendrán acceso total a los servicios y estarán obligados a operar mediante interconexión automatizada a través de la Aplicación Participante LBTR bajo esquemas STP (Straight Through Processing).

En tanto, los Participantes Tipo II incluyen financieras, cajas municipales y cajas rurales, las cuales podrán acceder mediante Cliente Web o Aplicación Participante.

Asimismo, el reglamento contempla a otros participantes, como Banco de la Nación, COFIDE, Agrobanco, entidades emisoras de dinero electrónico, Tesoro Público, Fondo Mivivienda y Fondo de Seguro de Depósitos, los cuales operarán únicamente con fondos propios y bajo servicios autorizados expresamente por el BCRP.

Interconexión y exigencias documentarias

La norma introduce mecanismos de interconexión anticipada para entidades Tipo I que cuenten con autorización de organización de la SBS, permitiéndoles iniciar pruebas técnicas antes de obtener la autorización definitiva de funcionamiento.

El proceso estándar requerirá capacitación, evaluaciones técnicas y la firma obligatoria del Convenio de Adhesión y del Contrato de Comunicaciones.

Además, las entidades deberán presentar documentación específica para la apertura de cuentas liquidadoras, incluyendo autorizaciones publicadas por la SBS, estatutos actualizados, acuerdos de confidencialidad con proveedores tecnológicos y declaraciones juradas de cumplimiento de requisitos de seguridad y ciberseguridad.

Mayor exigencia tecnológica y de ciberseguridad

Uno de los ejes centrales del nuevo reglamento es el fortalecimiento de la infraestructura tecnológica y de seguridad de los participantes.

El BCRP exige el uso obligatorio de cajas HSM (Hardware Security Module) tanto en ambientes de producción como de certificación, así como una separación total entre los entornos de desarrollo, pruebas y operación.

También se establece la obligación de contar con dos operadores de telecomunicaciones y doble enlace de conectividad para asegurar redundancia y continuidad operativa.

La regulación incorpora además exigencias de segmentación de redes, sistemas SIEM-SOC, antimalware y WAF para participantes que operen mediante Web Services.

Adicionalmente, las entidades deberán realizar evaluaciones anuales de ethical hacking y pruebas de vulnerabilidad sobre infraestructura crítica.

Como parte de la gestión de seguridad, cada participante deberá designar al menos dos funcionarios de seguridad y dos funcionarios de acceso para garantizar redundancia operativa.

El reglamento también obliga a conservar respaldos de información por un periodo mínimo de diez años.

Nuevos mecanismos operativos y control de riesgos

El reglamento actualiza diversos servicios operativos del LBTR e incorpora mecanismos destinados a reducir riesgos de liquidez y bloqueos operativos.

Entre ellos destaca el mecanismo “Bypass FIFO”, diseñado para evitar el denominado “head-of-line blocking”. Bajo este esquema, si una operación no cuenta con fondos suficientes, el sistema podrá ejecutar otra transacción posterior de menor monto que sí tenga cobertura.

Asimismo, el reglamento regula el Servicio de Solicitud de Cobro (SSC), mediante el cual el receptor puede iniciar una instrucción de cobro previa confirmación del ordenante, y el Servicio de Compra-Venta de Moneda Extranjera (SCVME), que garantiza la simultaneidad de pagos mediante el modelo “pago contra pago”.

En este último caso, los fondos en soles quedan retenidos hasta que se confirme la transferencia de dólares, asegurando que ambas operaciones se liquiden de manera simultánea.

Repos intradía y gestión de liquidez

La actualización normativa también fortalece los mecanismos de liquidez intradía mediante operaciones repo.

El reglamento establece un orden de prelación para los activos elegibles, priorizando moneda extranjera y valores del BCRP, seguidos por bonos del Tesoro Público y otros valores autorizados.

Para activos en dólares, el Banco Central aplicará una valorización equivalente al 95% del tipo de cambio compra de la SBS del día hábil anterior.

Asimismo, se regula el mecanismo de pre-reserva de liquidez, cuyo monto mínimo será equivalente al 0.25% del TOSE definitivo más reciente en moneda nacional.

La norma precisa además que, en caso de incumplimiento de recompra al cierre de operaciones, los activos utilizados permanecerán en propiedad definitiva del BCRP.

Horarios operativos y disciplina del sistema

El reglamento establece un cronograma operativo estricto que inicia a las 08:00 de la mañana y culmina a las 18:30 horas.

Durante el día se habilitan distintas ventanas para operaciones de transferencias, repos intradía, financiamiento interbancario y operaciones overnight.

A las 16:59 horas se bloquea el uso de repos intradía y comienza el proceso de pre-cierre del sistema, mientras que las operaciones por incumplimiento de recompra se ejecutan entre las 18:00 y 18:30 horas.

El cumplimiento riguroso de estos horarios es considerado esencial para preservar la estabilidad operativa y evitar riesgos sistémicos.

Participantes sistémicos deberán contar con centros de contingencia extremos

La regulación incorpora exigencias especiales para los participantes considerados sistémicamente importantes, es decir, aquellos que procesen más del 5% del valor anual del sistema.

Estas entidades deberán contar con centros de datos principal y secundario separados por al menos 10 kilómetros, además de un centro de contingencia extrema ubicado a una distancia mínima de 500 kilómetros del centro principal.

El reglamento también fija un tiempo máximo de recuperación operativa de dos horas. Superado dicho plazo, la entidad estará obligada a activar mecanismos alternativos de contingencia como Cliente Web o Carta Orden.

Nuevo esquema tarifario

El BCRP también actualizó el tarifario del Sistema LBTR.

Las transferencias electrónicas realizadas mediante Aplicación Participante o Cliente Web tendrán un costo de S/ 1.4 por operación, mientras que las transferencias efectuadas vía Carta Orden costarán S/ 2.5.

En tanto, las operaciones de liquidación de compensación tendrán una tarifa de S/ 5.0.

Las tarifas serán cobradas mensualmente mediante cargo automático el primer día hábil del mes siguiente.

Periodo de adecuación y entrada en vigencia

La circular entrará plenamente en vigencia en junio de 2026 y contempla diversos plazos de adecuación para los participantes.

Las entidades deberán presentar sus planes de trabajo dentro del primer mes del periodo de adecuación.

Asimismo, tendrán hasta seis meses para implementar el Cliente Web tras la apertura de cuentas liquidadoras y hasta tres años para adecuar infraestructura de alta disponibilidad y centros de datos.

El reglamento también exige que cualquier modificación de claves públicas, privadas o contraseñas institucionales sea notificada al BCRP con un mes de anticipación.

Con esta actualización normativa, el Banco Central busca fortalecer la resiliencia del sistema de pagos peruano frente a riesgos operativos, tecnológicos y cibernéticos, en un contexto de creciente digitalización e interdependencia financiera.