Una entidad financiera en Chile no puede tratar una caída de sistemas como un simple incidente técnico: la continuidad operativa y la disponibilidad de los datos de sus clientes están reguladas, y un fallo prolongado puede significar un reporte obligatorio, no solo un ticket de soporte. Bancos, aseguradoras, cooperativas de ahorro y fintechs comparten ese mismo nivel de exigencia, aunque su tamaño y madurez tecnológica sean muy distintos.
¿Qué exige realmente la regulación a la infraestructura TI de una entidad financiera?
En términos simples, dos frentes: continuidad del servicio y protección de los datos personales que administra. La Comisión para el Mercado Financiero (CMF) exige a bancos, aseguradoras y otras entidades fiscalizadas contar con planes de continuidad operativa documentados y probados, no solo declarados en un manual. En paralelo, la Ley 21.719 obliga a cualquier empresa que trate datos personales —incluidas las financieras— a poder demostrar cómo los resguarda, por cuánto tiempo los conserva y qué pasa si un sistema que los aloja deja de estar disponible.
Ninguna de las dos exigencias se resuelve con un documento de políticas: se resuelve con infraestructura que efectivamente sostenga esos compromisos.
Continuidad operativa: el estándar que la banca no puede improvisar
Un comercio puede absorber una hora de sistemas caídos con molestia y algo de venta perdida. Un banco o una aseguradora no: una interrupción de ese tamaño en un sistema crítico puede derivar en clientes sin acceso a sus fondos, transacciones no procesadas y, dependiendo de la duración, la obligación de informarlo al regulador. Por eso la exigencia no es solo "tener un plan de contingencia", sino poder demostrar tiempos de recuperación (RTO) y de pérdida de datos aceptable (RPO) definidos para cada sistema crítico, con pruebas periódicas y no solo sobre el papel.
El mismo principio aplica, en una escala distinta, al artículo sobre continuidad operativa en manufactura: la pregunta de fondo —qué pasa si el sistema que sostiene la operación deja de funcionar— es la misma, aunque en el sector financiero la exigencia venga formalizada por un regulador externo y no solo por el costo operativo interno.
Disponibilidad y respaldo de datos: qué pide la normativa en la práctica
La obligación de proteger datos personales bajo la Ley 21.719 no se limita a quién puede acceder a la información: también exige que esos datos estén disponibles cuando se necesitan y que exista una estrategia real de respaldo ante una falla de hardware, un error humano o la caída de un proveedor externo. Para una entidad financiera, donde los registros de transacciones y contratos deben conservarse por años, esto implica una política de respaldo y recuperación probada, no solo un backup automático que nadie ha restaurado nunca.
Auditoría de infraestructura: la base antes de certificar cualquier cumplimiento
Antes de poder afirmar que la infraestructura TI cumple con las exigencias de continuidad y protección de datos, hay que saber exactamente qué tiene la empresa hoy: qué sistemas son realmente críticos, dónde están los puntos únicos de falla y qué tan actualizados están los equipos que sostienen la operación. Es el mismo ejercicio que describimos para una empresa que abre una nueva sucursal, pero en el sector financiero el resultado de esa auditoría suele terminar, además, en un documento que el área de cumplimiento necesita para responder ante el regulador.
Qué debe ofrecer un partner de TI que atienda al sector financiero
No todos los proveedores de soporte o infraestructura están preparados para operar bajo este nivel de exigencia. Un partner que trabaje con bancos, aseguradoras o fintechs debería poder: documentar tiempos de respuesta y de recuperación por escrito, no de palabra; participar en las pruebas de continuidad en vez de solo mantener los equipos; y entender que un cambio de infraestructura mal planificado en una entidad financiera no es solo un riesgo técnico, es un riesgo regulatorio. En Grep trabajamos bajo ese mismo estándar de trazabilidad en la consultoría TI que entregamos a empresas de distintos rubros regulados.
Preguntas frecuentes
¿La Ley 21.719 aplica a bancos, aseguradoras y fintechs igual que a cualquier otra empresa?
Sí. La ley no distingue por rubro: cualquier empresa que trate datos personales debe cumplirla, y en el sector financiero el volumen y la sensibilidad de esos datos hacen que el estándar de cumplimiento suela ser más exigente en la práctica, aunque la norma sea la misma.
¿Qué es el RTO y el RPO, y por qué importan en este sector?
El RTO (tiempo de recuperación objetivo) define cuánto puede estar un sistema caído antes de que el impacto sea inaceptable; el RPO (punto de recuperación objetivo) define cuántos datos se puede permitir perder en una falla. En el sector financiero, ambos suelen fijarse en minutos, no en horas, para los sistemas que procesan transacciones.
¿Una fintech pequeña también debe cumplir estas exigencias de continuidad?
Sí, aunque su tamaño sea menor al de un banco tradicional. El nivel de exigencia regulatorio depende de qué actividad realiza y qué datos maneja, no solo de cuántos empleados tiene la empresa.
¿Con qué frecuencia se debe auditar o probar un plan de continuidad operativa?
No existe un número único válido para todas las entidades, pero la práctica esperada es al menos una prueba anual de los sistemas críticos, además de cada vez que se hace un cambio relevante en la infraestructura.
¿Qué pasa si una entidad financiera no puede demostrar que cumple con estas exigencias?
Depende de la exigencia específica y del regulador involucrado, pero en general implica desde observaciones y plazos para corregir hasta sanciones, según la gravedad y si hubo o no un incidente real de por medio.
Si tu empresa opera en el sector financiero y necesitas que tu infraestructura TI esté a la altura de lo que exige la regulación, conversemos sobre tu caso. Agenda una asesoría sin compromiso en www.grep.cl y un especialista revisa contigo dónde está parada tu operación hoy.