El regulador bancario modifica los requerimientos para la externalización de procesamiento de datos

En diciembre del año recién pasado, la Comisión para el Mercado Financiero (CMF) modificó el Capítulo 20-7 de la Recopilación Actualizada de Normas. Fundamentalmente, este ajuste normativo permite a las entidades bancarias excepcionar el requerimiento de contar con un sitio de procesamiento alterno de datos en el país –para aquellas actividades externalizadas que sean consideradas significativas o estratégicas-, así como también excepcionar el requisito de riesgo país para la externalización de este tipo de servicios.

Como el propio informe normativo señala, la regulación chilena se ha ido adaptando paulatinamente a la evolución de la industria. En el año 2000 se emitió la normativa, estableciendo los requisitos para el procesamiento de datos; en 2008 se estableció la necesidad de solicitar autorización a la CMF para el procesamiento por parte de terceros, requisito que fue eliminado en 2014, cuando se incorporaron elementos de auto-regulación y se amplió la exigencia de contar con un sitio de contingencia en Chile cuando se externalizasen actividades significativas en otra jurisdicción; posteriormente, en 2017 se incluyeron lineamientos para la operación en modalidad cloud computing.

Es relevante mencionar, en todo caso, que la responsabilidad del Directorio sigue estando claramente definida en la norma, ya que es precisamente esa instancia la que podrá “excepcionar” el requerimiento de un sitio de contingencia en Chile y el de riesgo país, siempre y cuando se cumplan ciertos requisitos, tanto respecto del banco, como del servicio externalizado (ejemplo: up time mínimo), como así también respecto del marco legal del país en donde se realice el procesamiento.

Este cambio a la regulación local se alinea con lo señalado por el Financial Stability Board (FSB), en su documento de diciembre de 2019 titulado “Dependencia de terceros en servicios de nube: consideraciones sobre la estabilidad financiera e implicancias”. En efecto, considerando que la posibilidad de excepcionar los requisitos mencionados anteriormente significará probablemente que cada vez más bancos migren parte de sus operaciones a servicios cloud ubicados fuera de Chile, se debe tener en consideración que existen riesgos propios de la tercerización extraterritorial de servicios de procesamiento que deben ser mitigados para no afectar la capacidad de los bancos de adecuadamente en modo contingencia.

El documento del FSB puede ser descargado desde este link.