Pruebas de resiliencia para entidades supervisadas en Honduras, El Salvador, Guatemala y Costa Rica

En Honduras, la Circular CNBS 025/2022 (Art. 27) fija siete fases de continuidad del negocio, y una es la ejecución de pruebas y ejercicios. El Art. 32 pide que esas pruebas se documenten con resultados, recomendaciones y acciones de mejora. El Art. 35 va más abajo: los procedimientos de respaldo y recuperación deben probarse periódicamente.

En El Salvador, la NRP-24 (Art. 17) obliga a bancos, administradoras de fondos de pensiones, aseguradoras, cooperativas y otras entidades supervisadas a tener un programa de pruebas de continuidad, con escenarios realistas y un informe formal al terminar. La NRP-23 (Art. 16 d) agrega que esas pruebas simulen ataques cibernéticos.

En Guatemala, la JM-98-2025 de la Junta Monetaria pide probar el plan de recuperación ante desastres como mínimo una vez al año (Art. 35) y analizar la criticidad de cada servicio de procesamiento o almacenamiento contratado con terceros (Art. 41). En Costa Rica, el Acuerdo CONASSIF 5-24 (Art. 10) pone en el órgano de dirección la obligación de que existan planes de respuesta, recuperación y atención de crisis, y el Art. 25 lo hace responsable de la seguridad de lo que le suministran terceros.

Las cuatro reglas usan palabras distintas. Todas terminan en lo mismo: un supervisor o un auditor va a pedir el informe de la última prueba.

Cada servicio produce un documento que alguien le va a pedir. La tabla resume qué se prueba y de dónde viene la obligación. Cada servicio tiene su propia página con el método y el entregable.

Los integradores de la región venden e instalan respaldo, replicación, sitios alternos y nube. Ese trabajo es necesario y no lo hacemos. Lo que muchas veces queda sin hacer es la prueba independiente: alguien que no vendió la herramienta restaura un sistema real, mide el tiempo y escribe lo que pasó.

Cuando quien instaló es también quien prueba, el informe tiende a confirmar la instalación. Un auditor lo nota. Por eso conviene separar los papeles. Su integrador sigue a cargo de la plataforma y del soporte. Toukan diseña el ejercicio, observa la ejecución, mide y documenta. Si la prueba muestra que hay que cambiar algo, el cambio lo hace quien administra la plataforma.

No recomendamos marcas ni cobramos comisiones de ningún fabricante. Para el integrador esto también sirve: recibe un informe concreto de qué falló y puede corregirlo antes de que lo vea el supervisor.

Las pruebas de resiliencia no tienen precio publicado. El precio se fija después de una llamada de alcance, cuando sabemos cuántos sistemas, sitios, contratos o personas entran. Una prueba de restauración de pocos sistemas es corta. Una prueba de recuperación con conmutación de sitio o una revisión de cuarenta contratos toma más.

De la firma al informe pasan entre 2 y 6 semanas, según el alcance. La mayor parte de ese tiempo no es nuestra: depende de que haya una ventana para la prueba y de que lleguen los documentos. Si su fecha viene de un supervisor, dígalo en la llamada de alcance y armamos el calendario hacia atrás desde esa fecha.

Firmamos acuerdo de confidencialidad antes de recibir planes, contratos o diagramas. La persona que acuerda el alcance con usted es la que dirige la prueba y firma el informe.

Cada servicio cierra con un informe que su comité, su auditor interno o el supervisor pueden leer sin una reunión de explicación. No decimos que su institución quede en regla. Decimos qué se probó, qué resultado dio y qué falta, y usted presenta la evidencia.

• Resumen ejecutivo para el comité de riesgos o la junta directiva.
• Alcance, escenario y fecha de la prueba, con quién participó.
• Resultados medidos: tiempos reales frente a los objetivos de su plan.
• Hallazgos con evidencia, impacto y acción sugerida, ordenados por prioridad.
• Referencia al artículo de la norma de su país que pide esa prueba.
• Lista de cambios sugeridos al plan o al contrato, lista para su seguimiento.

En Guatemala el calendario manda. La JM-98-2025 entró en vigencia el 30 de octubre de 2025. El Art. 50 da doce meses para actualizar el plan de recuperación ante desastres, y el Art. 52 fija el 31 de enero de 2027 para el análisis de criticidad de los servicios contratados antes del reglamento. Si su banco tiene ambos pendientes, empiece por la revisión de proveedores y siga con la prueba del plan actualizado.

En El Salvador, la pregunta suele ser si el programa de pruebas de la NRP-24 tiene escenarios de ataque y un informe formal. Recuerde que las pruebas completas y las no anunciadas se avisan a la Superintendencia con 30 días de antelación (Art. 18). En Honduras, conviene empezar por la restauración: el Art. 35 de la circular pide probar los procedimientos de respaldo y es la prueba más corta. En Costa Rica, el punto de entrada suele ser el riesgo de tercerización que el Art. 27 de CONASSIF 5-24 pide revelar en el perfil tecnológico.

Si no sabe cuál pedir, la llamada de alcance sirve para eso. Con la norma que le aplica y la última observación del auditor a mano, se ve rápido qué prueba le da la evidencia que le falta.