Revisión de riesgo de proveedores, tercerización y nube para entidades financieras en Centroamérica

El Art. 41 pide un análisis de criticidad de cada servicio de procesamiento o almacenamiento de información antes de contratarlo, con una metodología basada en estándares internacionales. El análisis pregunta si la falta de disponibilidad, la pérdida de confidencialidad o integridad, o la imposibilidad de sustituir al proveedor en el corto plazo podrían afectar la continuidad del negocio, los servicios financieros, la situación financiera o el prestigio, el sistema de pagos o las obligaciones legales. Después de contratar, el análisis se repite al menos en el primer trimestre de cada año. El resultado va en un informe que la Superintendencia de Bancos puede pedir en cualquier momento.

El Art. 52 fija el 31 de enero de 2027 para hacer ese análisis sobre todos los servicios contratados antes del reglamento. Si un servicio pasa de no crítico a crítico, el Art. 42 da seis meses para aplicar los requisitos de servicios críticos, con informe aprobado por el consejo, y adecuar el contrato.

Los demás artículos dicen qué hacer con el resultado. El Art. 40 pide verificar las certificaciones vigentes del proveedor y, para servicios críticos, sus informes de auditoría independiente del último año. El Art. 43 pide un registro con proveedor, vendedor, criticidad, vencimiento y ubicación geográfica, y un expediente por proveedor. El Art. 45 pide autorización previa de la Superintendencia para contratar servicios críticos. El Art. 46 lista las cláusulas mínimas de esos contratos, entre ellas 99.90% de disponibilidad, tiempos de recuperación, propiedad de la información, borrado seguro al terminar y un plazo máximo de cinco años. El Art. 51 dio doce meses para adecuar los contratos de plazo indeterminado.

En Honduras, la Circular CNBS 025/2022 pide gestionar a los proveedores de TI según su criticidad y riesgo (Art. 10) y hacer diligencia sobre su viabilidad técnica, financiera y legal (Art. 12). La tercerización significativa, que incluye la gestión de seguridad, el riesgo tecnológico y la infraestructura de TI, se notifica a la Comisión 30 días antes de firmar (Art. 13). El procesamiento de datos tercerizado de forma significativa pasa periódicamente por una auditoría independiente del proveedor (Art. 14). El Art. 15 permite la nube con condiciones, y el Art. 16 pide en los contratos derecho de auditoría, acceso a datos y fuentes ante problemas del proveedor, acuerdos de nivel de servicio y obligaciones de seguridad y de continuidad.

En El Salvador, el Anexo 1 de la NRP-23 pide una evaluación de riesgos antes de tercerizar, una diligencia debida documentada y revisada cada año, y una declaración jurada o certificación del proveedor sobre su seguridad, sus planes de continuidad y los resultados de sus pruebas. La Sección B lista diecinueve condiciones de contrato. La Sección C pide planes de salida documentados y probados. La NRP-24 (Art. 20) repite la declaración sobre continuidad para servicios críticos.

En Costa Rica, el Art. 25 del Acuerdo CONASSIF 5-24 hace a la entidad responsable de la seguridad y la resiliencia de lo que le suministran terceros, incluidos los subcontratistas de servicios críticos. El Art. 26 pide identificar a los proveedores críticos con un análisis de riesgos. El Art. 27 pide revelar el riesgo de tercerización en el perfil tecnológico. El Art. 29 pide cláusulas de continuidad. Para la nube, el Art. 23 pide verificar que el proveedor mantenga vigente al menos la certificación ISO 27001.

Partimos de su inventario de contratos. Si no existe, el primer entregable es armarlo. Para cada servicio que procesa o almacena información, aplicamos un método escrito que usa los eventos e impactos de su norma. En Guatemala son los del Art. 41. En los otros países usamos los criterios del análisis de impacto y del riesgo operativo que ya tiene su institución.

Cada servicio queda clasificado como crítico o no crítico, con la razón escrita. Esa razón es lo que el supervisor lee. Un cuadro que dice crítico sin explicar por qué no se puede defender. La metodología queda documentada para que su equipo repita el análisis cada año sin nosotros.

Comparamos cada contrato crítico con las cláusulas que pide su norma: Art. 46 de la JM-98-2025, Art. 16 de la Circular CNBS 025/2022, Sección B del Anexo 1 de la NRP-23 o Art. 29 de CONASSIF 5-24. El resultado es una tabla por contrato con cláusula presente, ausente o débil, y el texto sugerido para la próxima renovación o adenda.

Los contratos de adhesión de los grandes proveedores de nube no se negocian. En esos casos la revisión dice qué controles compensan lo que el contrato no cubre, y qué evidencia guardar en el expediente. No somos abogados. La revisión es técnica y de riesgo, y su asesor legal decide la redacción final.

Esta lista sirve como está para su próxima revisión anual o para una contratación nueva.

• Certificaciones vigentes de seguridad, continuidad o gestión de servicios, con su alcance y fecha de vencimiento.
• Informe de auditoría independiente del último año sobre el servicio contratado.
• Declaración jurada o constancia de que tiene plan de continuidad, con fecha y resultado de la última prueba.
• Lista de subcontratistas que tocan su información y país donde operan.
• Ubicación de los centros de datos donde se procesa y se guarda su información.
• Tiempos de recuperación comprometidos y cómo se miden.
• Procedimiento y plazo para avisarle de un incidente de seguridad.
• Procedimiento de devolución y borrado seguro de la información al terminar el contrato.
• Resultado del último pentest o análisis de vulnerabilidades del servicio, o al menos su resumen.
• Contacto de emergencia probado y escalamiento fuera de horario.

Recibe el inventario de servicios contratados, el informe de criticidad con la metodología, la revisión de cláusulas por contrato crítico y la lista de evidencia pendiente por proveedor. En Guatemala, el formato sigue el informe del Art. 41 y los campos del registro del Art. 43, para que su equipo lo presente al consejo y lo tenga listo para la Superintendencia.

De la firma al informe pasan entre 2 y 6 semanas. Lo que más mueve el plazo es el número de contratos y la rapidez con que llegan los documentos. El precio se fija después de la llamada de alcance, según la cantidad de contratos. Firmamos acuerdo de confidencialidad antes de recibir contratos.

No auditamos al proveedor en sus instalaciones ni reemplazamos la auditoría independiente que pide, por ejemplo, el Art. 14 de la circular hondureña. Revisamos lo que su institución tiene y le decimos qué falta pedir. Cuando un proveedor lo autoriza, también podemos probar su servicio con un pentest.