Si tu proveedor de nube se cae mañana, ¿en cuántas horas vuelves a emitir pólizas? Siete preguntas para revisar el contrato de tu core
En 2026 la asociación mundial de supervisores de seguros publicó su guía final para que las aseguradoras sigan operando cuando falla un sistema o un proveedor, Chile emitió una norma sobre los servicios que las aseguradoras contratan con terceros y Brasil ajustó sus reglas de ciberseguridad. Colombia y Perú ya tenían reglas escritas sobre nube, proveedores e incidentes. El estándar global deja la responsabilidad final en la aseguradora. Cuarta entrega de la serie Plan 2027.
Lo que pide el estándar global
La Asociación Internacional de Supervisores de Seguros (IAIS) publicó el 12 de febrero de 2026 la versión final de su documento de aplicación sobre objetivos y herramientas de resiliencia operativa, es decir, la capacidad de una aseguradora de seguir operando cuando falla un sistema o un proveedor. Es una guía para supervisores y anticipa hacia dónde van las normas locales.
El documento espera que una aseguradora mantenga un inventario actualizado de sus servicios críticos y de las dependencias que los sostienen, que defina cuánto tiempo puede estar interrumpido cada servicio crítico y que pruebe su capacidad de recuperación frente a escenarios severos y plausibles, con una frecuencia sugerida de al menos una vez al año.
Espera también una gestión de incidentes que incluya los cibernéticos, cambios tecnológicos planeados con un plan para volver atrás si algo falla y una gestión de proveedores que cubra a los del propio grupo y a los subcontratistas.
Dos párrafos merecen atención especial de quien compra tecnología. El 58 establece que la responsabilidad final permanece en la entidad, en su junta directiva y en su alta gerencia. El 61 advierte un riesgo de concentración cuando el sector depende de un número limitado de grandes proveedores.
Lo que ya está escrito en la región
País | Norma | Qué exige a la aseguradora |
Chile | NCG 454 de 2021 y NCG 573 del 12 de agosto de 2026, de la CMF | Autoevaluación anual de ciberseguridad y bienal de riesgo operacional, reporte de incidentes de ciberseguridad al supervisor, y principios y requisitos mínimos para gestionar el riesgo de los servicios contratados con terceros |
Colombia | Circular Básica Jurídica y Carta Circular 14 del 4 de marzo de 2026, de la Superintendencia Financiera | Reglas específicas para el uso de servicios de computación en la nube, compiladas en un capítulo propio de la Circular Básica Jurídica, y cumplimiento de las obligaciones de tercerización que la Superintendencia recordó a las entidades vigiladas en marzo de 2026 |
Perú | Resolución SBS 504-2021 | Evidencia anual de las certificaciones ISO 27001, 27017 y 27018 y de un informe independiente de controles SOC 2 del proveedor de nube, aviso al supervisor a más tardar treinta días después de iniciar el servicio, y reporte de un incidente significativo de ciberseguridad en cuanto se advierte |
Brasil | Circular Susep 638 de 2021, modificada por la Resolução Susep 90 del 18 de agosto de 2026 | Aviso a la Susep de un incidente relevante en un máximo de cinco días hábiles, y contratos de procesamiento y almacenamiento de datos, con sus modificaciones y adendas, disponibles cuando la Susep los solicite |
Estas normas se actualizan con frecuencia. Confirma el texto vigente con el supervisor de tu jurisdicción antes de usarlas como referencia contractual.
Lo que cambia para quien compra tecnología
El punto de partida es el párrafo 58 de la IAIS. La aseguradora puede externalizar la operación de un servicio y conserva completa la responsabilidad frente al supervisor. La circular brasileña lo escribe en su artículo 12, cuando advierte que la contratación de un tercero deja intacta la responsabilidad de la supervisada. Eso traslada la conversación al contrato. Lo que el supervisor te va a pedir a ti es lo que tu proveedor te tiene que entregar a ti, en un plazo que te permita cumplir el tuyo.
Los plazos de incidentes muestran por qué importa. Una aseguradora brasileña tiene cinco días hábiles para avisar a la Susep desde que conoce el evento, y una peruana debe reportar en cuanto lo advierte. Ese reloj corre para la aseguradora, y lo que tu proveedor de core tarde en avisarte es tiempo que pierdes para contener el daño y sustentar el reporte.
El core es el caso más sensible porque concentra los procesos centrales del negocio. Póliza, siniestro, recaudo y reaseguro viven allí, y una interrupción del core es una interrupción de la compañía. Por eso conviene que la evaluación de un proveedor de core incluya una revisión de resiliencia junto a la comparación de funcionalidades.
Lo que conviene llevar al presupuesto de 2027
Nuestra recomendación sigue el orden de trabajo que propone la IAIS y sirve aun antes de que tu supervisor lo exija. Empieza por el inventario, con la lista de los servicios que tu compañía considera críticos y, para cada uno, los sistemas, los datos, las personas y los proveedores que lo sostienen. La IAIS recomienda actualizar ese mapa después de cada cambio material y reportar sus resultados al supervisor de forma periódica.
Con el inventario hecho, define la tolerancia, es decir, cuánto tiempo puede estar interrumpido cada servicio crítico. Ese número es el que después se compara con lo que tu proveedor compromete por contrato. Cierra con una prueba anual, con escenarios lo bastante severos para poner en duda las tolerancias que definiste. Chile ya convirtió parte de ese orden en calendario, porque la NCG 454 pide que las autoevaluaciones de riesgo operacional y de ciberseguridad estén a disposición de la CMF el 30 de septiembre de cada año, con el grado de cumplimiento y los planes de acción para cerrar brechas.
Siete preguntas que deberías poder responder sobre tu proveedor de core
1. ¿En qué país y en qué región de nube se procesan y se almacenan tus datos?
2. ¿Qué certificaciones tiene el proveedor de nube, cuáles tiene el proveedor del software y de qué fecha es el último informe independiente de cada uno?
3. ¿Qué disponibilidad está comprometida por contrato y cómo se mide?
4. ¿En cuánto tiempo te notifica el proveedor un incidente, y ese plazo te permite cumplir el tuyo ante el supervisor?
5. ¿Cuándo fue la última prueba de recuperación ante desastres y qué resultado tuvo?
6. ¿Qué subcontratistas intervienen en el servicio y quién responde por ellos?
7. ¿En qué formato y en qué plazo recibes tus datos si decides cambiar de plataforma?
Si alguna respuesta depende de una llamada al proveedor, ese es el punto por donde conviene empezar la revisión del contrato.
Dónde entra Consis
Acsel Suite está certificado y en producción en los principales proveedores de nube, entre ellos AWS, Oracle Cloud y Microsoft Azure, y opera también en instalaciones propias de la aseguradora. Es agnóstico frente a la base de datos. Las certificaciones de seguridad de la infraestructura, como ISO 27001 o los informes SOC, pertenecen al proveedor de nube que cada aseguradora elige. Esa independencia le permite a cada compañía escoger el proveedor y la ubicación que mejor respondan a las exigencias de su supervisor.
Para conversarlo
Toma las siete preguntas y respóndelas por escrito para tu core actual. Si quieres revisar las respuestas con nuestro equipo de arquitectura, escríbenos a comercial@consisint.com. La próxima semana entramos a los seguros de vida y las rentas vitalicias, donde una regla nueva convive durante décadas con las pólizas vigentes.
Comentarios