La CMF de Chile le puso reglas a la externalización cloud: por qué es un problema de arquitectura, no de contrato

El 12 de agosto de 2026 la Comisión para el Mercado Financiero (CMF) de Chile publicó la Norma de Carácter General N°573, que imparte instrucciones sobre externalización de servicios para compañías de seguros y reaseguros. En paralelo, la CMF tiene en consulta pública una actualización del Capítulo 20-7 de la RAN (Recopilación Actualizada de Normas), con lineamientos de externalización dirigidos a bancos, cooperativas de ahorro y crédito, emisores de tarjetas no bancarias y sociedades de apoyo al giro. El proceso ya lleva dos rondas de consulta, entre julio y septiembre de 2025 y entre enero y marzo de 2026.

Para cualquier equipo de tecnología del sector financiero chileno que esté evaluando cómo estructura sus contratos con proveedores cloud, esto no es una actualización menor de compliance. Es un cambio en qué tiene que poder demostrar la organización sobre su propia capacidad de supervisión técnica — y esa capacidad no se resuelve firmando un contrato mejor redactado.

Qué establece la norma, en concreto

La NCG N°573 se enmarca en un conjunto de normas prudenciales que ya venían rigiendo para el sector asegurador: la NCG N°309 sobre gobierno corporativo, la NCG N°325 sobre gestión de riesgo, y la NCG N°454 sobre riesgo operacional y ciberseguridad. La externalización de servicios no aparece como un tema aislado — se inserta dentro de ese marco prudencial más amplio, lo que significa que una compañía de seguros no puede tratar la decisión de externalizar como algo que resuelve el área de compras o el área legal por separado. Tiene que integrarse con cómo la organización ya gestiona riesgo operacional y gobierno corporativo.

Lo mismo aplica, con algunas diferencias de alcance, a la actualización del Capítulo 20-7 de la RAN que la CMF puso en consulta para bancos y otras entidades del sistema financiero. El punto en común entre ambos procesos normativos es explícito: la CMF requiere que las entidades desarrollen capacidades internas especializadas para supervisar procesos de externalización complejos, en particular los vinculados a cómputo en la nube.

Esa frase — "capacidades internas especializadas para supervisar" — es la que más debería llamar la atención de un CTO o de un responsable de riesgo tecnológico. No dice "contratar un proveedor certificado". Dice que la entidad tiene que poder supervisar ella misma, con conocimiento técnico propio, lo que ese proveedor hace.

Por qué esto es un problema de arquitectura y no de compliance

La lectura más común de una norma de externalización es tratarla como un ejercicio de debida diligencia sobre el proveedor: pedirle certificaciones, firmar un acuerdo de nivel de servicio, agregar una cláusula de auditoría. Todo eso es necesario, pero no es lo que la CMF está pidiendo en el fondo.

Lo que la norma exige, leída desde arquitectura, es que la entidad pueda responder preguntas concretas sobre su propia infraestructura cloud en cualquier momento: qué cargas de trabajo están externalizadas y con qué criticidad, qué visibilidad tiene el equipo interno sobre el comportamiento real del proveedor —no solo sobre lo que dice el contrato—, y qué pasa operativamente si ese proveedor falla o cambia condiciones. Responder eso con solidez requiere que la gobernanza de proveedores, la gestión de riesgo operacional y la capacidad de supervisión técnica estén diseñadas desde el principio como parte de la arquitectura, no agregadas después como documentación para el regulador.

Las entidades que ya vienen con esas tres capas resueltas —gobernanza de proveedores documentada y viva, gestión de riesgo operacional que efectivamente se actualiza, y un equipo técnico con capacidad real de auditar lo que el proveedor hace— van a poder adoptar cloud sin fricción regulatoria adicional. Las que traten esto como un trámite van a descubrir, cuando la CMF pida evidencia, que no tienen cómo mostrarla.

Qué hacer mientras el Capítulo 20-7 sigue en consulta

Con la NCG N°573 ya publicada para seguros y el Capítulo 20-7 todavía en proceso de consulta para bancos y el resto del sistema, hay una ventana para anticiparse en lugar de reaccionar cuando el texto se cierre. Mapear qué servicios cloud están externalizados hoy y bajo qué nivel de criticidad, revisar si el equipo interno tiene la capacidad técnica de supervisar esos proveedores más allá del contrato, y dejar la gestión de riesgo operacional en un estado que se pueda auditar en cualquier momento son los tres pasos que no dependen de esperar a que la norma bancaria quede definitiva.

Como pasa con otros reguladores financieros de la región, la tendencia es clara: la externalización de infraestructura crítica deja de ser un asunto puramente contractual y pasa a exigir capacidad técnica interna demostrable. Si tu organización está evaluando cómo estructurar su arquitectura cloud bajo este marco, en Renaiss ofrecemos consultoría cloud para entidades financieras de la región que operan bajo regulación prudencial. Escribimos también sobre cómo encarar este mismo problema desde la regulación del BCRA en Comunicación A 8398 y arquitectura cloud fintech.

‍