El BCU es el regulador más explícito de la región con la nube: acá lo que pide, en números

El 30 de diciembre de 2022 el Banco Central del Uruguay (BCU) publicó las Circulares N° 2419, 2420, 2421 y 2422, que modifican la normativa sobre resguardo de datos y tercerizaciones en el sistema financiero. De los cuatro reguladores financieros que estamos revisando en esta serie sobre la región, el BCU es el que menos margen deja a la interpretación: en lugar de principios generales de gobernanza, pone números concretos en la letra de la norma.

Lo que la norma prohíbe y lo que exige

Antes de llegar a los requisitos técnicos, hay tres reglas de base que conviene tener claras. La entidad financiera necesita autorización del BCU para contratar servicios inherentes al giro del negocio — no es una decisión que la entidad pueda tomar unilateralmente. Está prohibido que el contrato de tercerización limite o exima a la entidad de responsabilidad por el servicio tercerizado: igual que en otros marcos regulatorios de la región, delegar la ejecución no delega la responsabilidad. Y hay una prohibición explícita que no tiene equivalente tan directo en otros países: no se puede tercerizar la aceptación de clientes.

Sobre esa base, la norma pone condiciones específicas para servicios de cómputo en la nube y procesamiento de datos cuando el proveedor está ubicado en el exterior, o presta el servicio parcialmente desde fuera de Uruguay.

Los números que exige el BCU

Acá es donde el marco uruguayo se distingue del resto de la región. El acuerdo de servicio con el proveedor cloud tiene que especificar una disponibilidad de al menos 99,9%, con penalidades explícitas por incumplimiento. No es una recomendación de buena práctica — es un piso contractual que la norma exige que esté por escrito.

El servicio, además, tiene que contar con certificación ISO 27001, y sumarle ISO 27017 o certificación CSA STAR Nivel 1. De nuevo: no es "el proveedor debería estar certificado", es un requisito para que el contrato sea aprobable.

Y cuando los datos se procesan fuera de Uruguay, el BCU exige un punto único de acceso en el país, pensado para garantizar la supervisión. Esto tiene una implicancia de arquitectura directa: no alcanza con que los datos estén disponibles en algún punto del proveedor en el exterior — tiene que existir un punto de acceso local diseñado específicamente para que el regulador pueda ejercer supervisión sobre esa infraestructura tercerizada.

Por qué esto cambia cómo se diseña el contrato y la arquitectura

En Chile, Perú o Argentina, buena parte de lo que exige el regulador se formula en términos de principios: gobernanza, capacidad de supervisión, gestión de riesgo. Eso deja espacio para que la entidad interprete cómo cumplir. En Uruguay, el 99,9% de disponibilidad y las certificaciones específicas no dejan ese espacio — son criterios binarios que el contrato con el proveedor cloud tiene que satisfacer antes de que el BCU lo apruebe.

Eso tiene una consecuencia práctica para cualquier entidad financiera uruguaya evaluando un proveedor cloud: la selección del proveedor y la redacción del contrato no pueden hacerse en paralelo a la definición de arquitectura, tienen que hacerse en conjunto. Un proveedor que no puede comprometerse contractualmente a 99,9% de disponibilidad con penalidades, o que no sostiene las certificaciones exigidas, queda descartado independientemente de cuán conveniente sea en costo o funcionalidad. Y el diseño del punto único de acceso local no es un detalle de implementación — es un requisito que condiciona cómo se estructura la conectividad entre la entidad y el proveedor desde el primer día.

Lo que en otros reguladores de la región queda como buena práctica a criterio de cada entidad, en Uruguay es literalmente lo que hay que poder mostrarle al BCU para que el contrato quede aprobado. Si tu entidad está evaluando un proveedor cloud bajo este marco, en Renaiss ofrecemos consultoría cloud para entidades financieras de la región con foco en arquitectura contractual y de supervisión. Escribimos también sobre este mismo problema desde la regulación argentina en Comunicación A 8398 y arquitectura cloud fintech.

‍