El sistema financiero tendrá una hoja de ruta común para reforzar la ciberseguridad

A lo largo de su presentación en el 9no Congreso de Innovación Financiera en la Era Digital, organizado por Gan@Más y +Finanz@s, Oscar Basso Winffel, gerente de Riesgos de la Superintendencia de Banca, Seguros y AFP (SBS), expuso los lineamientos centrales de la transformación regulatoria que vive el país frente a un ecosistema financiero crecientemente digitalizado. Su ponencia, titulada “Regulación Financiera en el Mundo Digital: Adaptándose a la Disrupción Tecnológica”, puso especial énfasis en los desafíos que enfrenta el supervisor ante una industria que cambia a una velocidad sin precedentes, impulsada por tecnologías avanzadas y por nuevos actores 100 % digitales.

SBS expone la hoja de ruta y principios del modelo de finanzas abiertas

Basso inició recordando que el principal reto para los reguladores no es solo la transformación digital en sí misma, sino la velocidad a la que esta ocurre. En pocos años, tecnologías emergentes como computación espacial, criptografía poscuántica, seguridad contra desinformación y la evolución de la inteligencia artificial han modificado la forma en que se diseña, opera y supervisa el mercado financiero. Incluso dentro de los marcos anuales de proyección tecnológica de Gartner, la IA ha pasado en apenas tres años de ser adaptativa a generativa y, hoy, a agéntica, una versión capaz de actuar de manera autónoma.

Según explicó, la SBS ha tenido que adaptarse rápidamente. Para ello ha creado nuevas áreas como el Departamento de Finanzas Abiertas y el Departamento de Innovación, con el objetivo de incorporar herramientas digitales, conocerlas a fondo y mantenerse a la par de las entidades supervisadas.

Un sistema financiero camino a lo completamente digital

El gerente de Riesgos destacó que la digitalización ya no es una tendencia futura sino una realidad que avanza con fuerza en el Perú. Nuevos productos y modificaciones importantes en servicios financieros crecieron más de 300 % entre 2018 y 2023, impulsados principalmente por tecnologías innovadoras, uso intensivo de datos y automatización. Hoy, por cada operación realizada por canales físicos, se hacen seis en canales digitales.

Asimismo, los nuevos modelos de negocio presentan desafíos inéditos para el supervisor. Empresas nativas digitales —sin agencias físicas— ya buscan ingresar al sistema financiero local, al mismo tiempo que proveedores tecnológicos globales, esenciales para la operación de entidades peruanas, se han vuelto críticos. Una reciente caída de Azure afectó simultáneamente a diversas compañías y evidenció la vulnerabilidad sistémica de depender de grandes proveedores.

Fortaleza financiera, foco en la resiliencia operativa

Basso remarcó que la resiliencia financiera del sistema peruano es sólida: los niveles de solvencia superan ampliamente el requerimiento regulatorio, la rentabilidad se mantiene elevada y la liquidez rebasa los límites exigidos por Basilea. Sin embargo, esta solidez permite que la SBS concentre ahora mayor atención en la resiliencia operativa, donde persisten vulnerabilidades asociadas al ritmo acelerado de la digitalización.

La digitalización trae beneficios evidentes como eficiencia, menor dependencia de infraestructura física y capacidad de procesamiento, pero también genera riesgos adicionales. Entre ellos, la mayor exposición a ciberataques, la dependencia concentrada en grandes proveedores internacionales y una baja tolerancia del mercado ante interrupciones del servicio digital, especialmente entre usuarios jóvenes. En un entorno digital, una simple pantalla caída puede generar temor e incertidumbre sobre la disponibilidad de los fondos.

El reto de los proveedores críticos y la continuidad operativa

El supervisor ha incorporado nuevas exigencias para la gestión de terceros y servicios tecnológicos. La normativa vigente establece políticas claras, procesos de selección rigurosos, contratos con requerimientos mínimos, monitoreo continuo y registros actualizados que permitan evaluar la evolución de cada relación contractual. Existen además requisitos diferenciados para subcontrataciones, servicios de TI, servicios en la nube y procesamiento de datos.

Basso advirtió que el tiempo de interrupción atribuible a fallas tecnológicas ha crecido hasta 80 % del total de incidentes operativos en el sistema financiero, mientras que las fallas vinculadas a proveedores pasaron de representar 25 % en 2020 a más de 70 % en 2023. Estos datos sustentan la reciente resolución de continuidad operativa, vigente desde junio, que eleva los requisitos y establece tiempos máximos de recuperación: tres horas para bancos sistémicos y cinco horas para el resto de entidades, bajo riesgo de sanción. Además, cualquier pérdida de datos es considerada inaceptable y sancionable de inmediato.

Ciberseguridad: un frente prioritario

Uno de los ejes centrales de la exposición fue la ciberseguridad. Aunque el sistema financiero peruano es intensamente supervisado, concentra el 26 % de los ataques cibernéticos registrados entre distintos sectores, solo superado por manufactura. El gerente de Riesgos recordó que este es un mercado altamente atractivo para el ciberdelito debido al valor de los activos y datos involucrados.

La SBS viene trabajando con apoyo del Fondo Monetario Internacional en una nueva regulación de ciberseguridad que actualizará la emitida en 2021. Su enfoque busca asegurar sistemas de gestión robustos, autenticación reforzada de canales digitales, medidas obligatorias en tarjetas de crédito, y requisitos más estrictos en servicios en la nube y proveedores críticos.

El supervisor también inició este año inspecciones especializadas en ciberseguridad en los cinco bancos sistémicos, cuyos resultados se consolidarán en diciembre.

Una hoja de ruta institucional para los próximos años

El avance regulatorio incluirá la creación de un comité de alto nivel en ciberseguridad conformado por la SBS, el Banco Central de Reserva, la Superintendencia del Mercado de Valores y el Ministerio de Economía y Finanzas. También se instalará un foro público-privado que permita coordinar acciones y compartir información en tiempo real, bajo la premisa de que frente al cibercrimen todos los actores del sistema financiero están en el mismo equipo.

Además, la SBS evalúa la creación de un equipo permanente especializado en respuesta a incidentes cibernéticos que monitoree de manera continua la actividad en las entidades supervisadas.

Finalmente, la agenda regulatoria que se irá implementando incluye una norma actualizada de sandbox regulatorio, una norma de riesgo tecnológico más robusta, una nueva normativa de riesgo operacional y el impulso al ecosistema de Open Finance, que comenzará por el Open Banking y se extenderá hacia un intercambio de información más amplio en beneficio de los usuarios.