NRP-24 en El Salvador: continuidad del negocio, BIA y pruebas del plan

El Art. 2 tiene una lista larga. Incluye bancos y sus subsidiarias, sucursales de bancos extranjeros, sociedades de conglomerados financieros, administradoras de fondos de pensiones, aseguradoras y asociaciones cooperativas de seguros, bolsas y casas de corredores, bancos cooperativos y sociedades de ahorro y crédito, operadores de sistemas de pagos, sociedades proveedoras de dinero electrónico y agencias de información de datos.

También entran entidades públicas: el Fondo Social para la Vivienda, el INPEP, el ISSS en lo relativo a riesgos profesionales, el IPSFA, el Banco de Fomento Agropecuario, el Banco Hipotecario y BANDESAL. La reforma de octubre de 2025 sumó a los bancos de inversión.

El Art. 4 pide que la gestión de continuidad sea "adecuada a la naturaleza, tamaño y complejidad" de cada entidad. Una sociedad de ahorro y crédito no necesita el mismo programa que un banco grande, pero sí necesita todos los elementos del Art. 9.

La norma reparte el trabajo en cuatro niveles. La Junta Directiva aprueba estrategias, políticas y manuales, conoce los resultados de las pruebas y se asegura de que la auditoría interna verifique la gestión de continuidad (Art. 5). El Comité de Riesgos aprueba los planes y el programa de pruebas, y da seguimiento a los planes de mejora que resulten (Art. 6). La Alta Gerencia implementa el sistema y activa los planes cuando ocurre una interrupción (Art. 7).

El cuarto nivel es la función de continuidad, que puede ser una unidad, un área o una persona designada por la Junta (Art. 4). Sus tareas están en el Art. 10: diseñar los planes, hacer el análisis de impacto, diseñar y ejecutar el programa de pruebas e informar los resultados a la Alta Gerencia, al Comité de Riesgos y a la Junta. La Unidad de Riesgos la apoya (Art. 8).

La auditoría interna incluye la evaluación de la NRP-24 en su plan anual de trabajo (Art. 23). Es quien va a pedir los informes de prueba.

El Art. 9 lista los elementos mínimos del sistema: política, roles, el análisis de impacto del negocio (BIA), el análisis de amenazas, estrategias, planes, "Pruebas a los planes de continuidad del negocio", capacitación al menos una vez al año, estrategia de gestión de crisis y revisiones periódicas.

El Art. 13 define el BIA. Debe cubrir todos los productos y servicios y sus procesos, y cuantificar los impactos de una interrupción en términos financieros, reputacionales, operativos, legales y de tiempo. Para cada actividad fija cuatro valores: el período máximo tolerable de disrupción (MTPD), el tiempo objetivo de recuperación (RTO), el punto objetivo de recuperación (RPO) y el objetivo mínimo de continuidad (MBCO). El Art. 3 aclara que el RTO de cada proceso es menor que su MTPD.

El BIA se revisa cuando cambia el plan estratégico, cuando se lanza un producto o servicio nuevo y cuando hay cambios significativos en procesos o infraestructura tecnológica. El Art. 14 suma un análisis de amenazas documentado, y el Art. 15 pide que la estrategia de continuidad considere, entre otros aspectos, la infraestructura de tecnología y la seguridad de la información.

El Art. 17 pide probar el plan "periódicamente, o cuando surja un cambio significativo", con un programa de pruebas. La norma no fija una frecuencia anual. La fija cada entidad en su programa, que aprueba el Comité de Riesgos. Las pruebas se planifican con escenarios realistas y objetivos claros, buscando no interrumpir la operación, y terminan en "un informe formalizado posterior a su realización, el cual contendrá resultados, recomendaciones y acuerdos para implementar mejoras".

El Art. 3 t) describe tres tipos de prueba. La de escritorio es un ejercicio donde los participantes revisan y discuten el plan sin ejecutarlo, por lo general con un facilitador. La simulación usa una situación creada para validar el plan. La prueba de funciones ejecuta la recuperación de un área o línea de negocio. El Art. 3 s) define la prueba completa, que ejecuta todos los planes de la organización.

Dos reglas condicionan el calendario. Las pruebas completas necesitan aprobación previa de la Junta Directiva (Art. 17). Y el Art. 18 pide que, "con al menos 30 días de antelación", la entidad informe a la Superintendencia el tipo y la fecha de las pruebas no anunciadas y las completas.

La NRP-23, la norma de seguridad de la información, agrega un requisito. Su Art. 16 pide "Realizar pruebas del plan de continuidad del negocio que simulen la materialización de ataques cibernéticos". Un ejercicio de escritorio con un escenario de ransomware sirve a las dos normas a la vez.

El Art. 10 g), reformado en 2024, pide designar un responsable titular y un suplente para comunicar a la Superintendencia:

• Los resultados de las pruebas.
• La activación del plan de continuidad ante una interrupción que afecte servicios financieros, en el momento en que la entidad la conoce.
• A más tardar diez días después de esa notificación, la información completa: fecha, descripción, causas de las fallas, diagnóstico técnico, canales afectados, tiempo fuera de servicio, impacto, acciones correctivas y plan de acción.
• Los mantenimientos preventivos a la infraestructura tecnológica, con dos días de anticipación.
• Las interrupciones que afecten la conexión con el sistema de Liquidación Bruta en Tiempo Real, que también se informan al Banco Central.

El Art. 20 trata la tercerización. Los servicios críticos de terceros se gestionan como riesgo operacional, y la entidad "debe requerir al proveedor de servicios prestados una declaración jurada o certificación vigente, que indique que cuentan con una gestión y planes de continuidad del negocio, pruebas desarrolladas y resultados de las pruebas". El plan de la entidad debe considerar las operaciones críticas de tecnología tercerizadas y probar que la estrategia funciona con ellas. La Superintendencia, la auditoría interna y los auditores externos deben tener acceso a la información del servicio.

Si usted es proveedor de una entidad salvadoreña, eso significa que su cliente le va a pedir esa declaración y los resultados de sus propias pruebas. Tenerlos listos acorta la debida diligencia.

El Art. 21 nombra los cambios significativos que obligan a revisar el plan: cambio de infraestructura tecnológica de productos críticos, fusión, nuevo producto o canal, cambio de proveedor o de oficina principal, y los resultados del BIA, de las pruebas o de incidentes. Una migración de core o el cambio de un proveedor de nube son casos típicos.

El plazo de adecuación del Art. 25 (180 días para presentar el plan más 24 meses para ejecutarlo) ya pasó. Hoy lo que cuenta es el ciclo de pruebas y lo que encuentre la supervisión. Esta lista sirve para revisar su programa:

• El BIA tiene MTPD, RTO, RPO y MBCO para cada producto o servicio crítico.
• El BIA se revisó después del último cambio significativo de infraestructura.
• El programa de pruebas está aprobado por el Comité de Riesgos y tiene fechas.
• Cada prueba tiene escenario, objetivo y criterio de éxito escritos antes de ejecutarla.
• Al menos una prueba del año simula un ataque cibernético, como pide la NRP-23.
• Las pruebas completas y las no anunciadas se avisaron a la Superintendencia con 30 días.
• Cada prueba terminó en un informe con resultados, recomendaciones y acuerdos de mejora.
• Hay un titular y un suplente designados para los reportes del Art. 10 g).
• Los proveedores críticos entregaron su declaración o certificación de continuidad con resultados de pruebas.
• La capacitación anual en continuidad tiene registro de asistencia.