Paraguay habilitó la nube para su sistema financiero: quién se mueve primero se lleva la ventaja

El 28 de julio de 2022, el Banco Central del Paraguay (BCP) aprobó la Resolución N° 10, Acta N° 43, que creó el Reglamento de Uso de Servicios para Computación en la Nube (RCN). La norma marcó la primera vez que las entidades sujetas a la Ley N° 861/96 de Bancos, Financieras y otras Entidades de Crédito tuvieron una vía explícita para usar cómputo en la nube.

Antes del RCN, una entidad financiera paraguaya que quería migrar a la nube estaba en el mismo lugar en el que estuvo el sistema financiero peruano hasta que la SBS publicó su propio reglamento: sin un marco claro que dijera qué estaba permitido y bajo qué condiciones. El RCN cierra esa incertidumbre, y lo hace con un alcance amplio — aplica tanto a proveedores de cómputo en la nube ubicados en Paraguay como en el exterior.

Los cinco objetivos que fija el reglamento

El RCN no se limita a decir "está permitido". Define cinco objetivos concretos que la entidad tiene que satisfacer al adoptar cómputo en la nube: asegurar la protección adecuada de datos personales; garantizar medidas para mitigar riesgos operacionales; establecer responsabilidades contractuales claras entre la entidad supervisada y el proveedor; extender los planes de continuidad de negocio a los procesos que se externalizan en la nube; y garantizar acceso a la información para que el BCP pueda ejercer una supervisión eficiente basada en riesgo.

Cada uno de esos cinco puntos es, en el fondo, una decisión de arquitectura y no un ítem de checklist. Extender la continuidad de negocio a procesos en la nube significa que el plan de continuidad de la entidad tiene que incorporar explícitamente los escenarios de falla del proveedor cloud, no solo los de la infraestructura propia. Garantizar acceso a la información para supervisión basada en riesgo significa diseñar desde el inicio cómo el BCP puede acceder a lo que necesita sin que eso dependa de un pedido ad hoc al proveedor.

Por qué moverse temprano es una ventaja real, no solo un lugar común

En Paraguay, la experiencia acumulada operando bajo el reglamento todavía es dispar entre entidades. Eso genera una asimetría: las entidades que diseñen su arquitectura cloud pensando en los cinco objetivos del RCN desde el principio —responsabilidades contractuales claras, continuidad de negocio que incluye al proveedor, acceso a información diseñado para supervisión— van a tener una base más sólida que las que esperen a que aparezcan interpretaciones más detalladas antes de moverse.

Como en otros reguladores de la región que ya vienen actualizando sus marcos de tercerización y cómputo en la nube con frecuencia, es razonable esperar que el RCN se vaya precisando con el tiempo. La entidad que ya tiene una arquitectura ordenada alrededor de esos cinco objetivos va a poder adaptarse a esas precisiones con menos fricción que la que recién esté empezando a mapear qué tiene tercerizado.

La ventaja de moverse primero no es simbólica: significa llegar a la siguiente ronda de definiciones del BCP con una arquitectura que ya resuelve los objetivos de fondo, en lugar de tener que rediseñar sobre la marcha. Si tu entidad está evaluando cómo estructurar una migración a cómputo en la nube bajo el RCN, en Renaiss ofrecemos consultoría cloud para entidades financieras de la región. Escribimos también sobre este mismo problema desde la regulación argentina en Comunicación A 8398 y arquitectura cloud fintech.

‍