La evolución del sistema financiero está modificando la manera en que los productos bancarios son diseñados, distribuidos y consumidos. Uno de los modelos que mayor relevancia ha adquirido es el Banking as a Service (BaaS), mediante el cual una entidad financiera habilita determinados servicios para que sean ofrecidos a través de plataformas, empresas tecnológicas u otros terceros.
Este modelo amplía los canales de distribución, acelera la innovación y facilita la construcción de nuevos ecosistemas digitales. Sin embargo, también incrementa la dependencia de terceros y la exposición a riesgos operacionales, tecnológicos, legales, reputacionales, de ciberseguridad, conducta de mercado y lavado de activos.
En este contexto, la Superintendenia de Banca, Seguros y AFP de Perú, a través de la Resolución SBS N.° 01747-2026 del 1 de Julio 2026, establece obligaciones específicas para las entidades que participen en esquemas BaaS. El mensaje del regulador es directo: la innovación financiera debe desarrollarse bajo un marco sólido de gobierno, gestión integral de riesgos, transparencia y protección del usuario.
BaaS no es únicamente una integración tecnológica
Uno de los principales errores al implementar Banking as a Service es considerarlo exclusivamente como un proyecto de tecnología o integración mediante APIs.
BaaS modifica la cadena de valor del servicio financiero. La entidad supervisada mantiene la capacidad financiera y regulatoria, mientras que un tercero participa en la experiencia del cliente, la distribución o la prestación del servicio.
Esta estructura genera nuevas interdependencias. Una falla en la plataforma receptora, una brecha de seguridad, un proceso deficiente de atención de reclamos o una comunicación inadecuada al usuario puede afectar directamente a la entidad financiera, incluso cuando el incidente se origine fuera de su infraestructura.
Por ello, el modelo debe gestionarse como un acuerdo estratégico con terceros críticos, sujeto a controles previos, monitoreo continuo y mecanismos formales de rendición de cuentas.
El Directorio mantiene la responsabilidad
La Resolución SBS N.° 01747-2026 exige que las entidades establezcan políticas y procedimientos aprobados por el Directorio para la prestación de servicios BaaS.
Estas disposiciones deben contemplar, como mínimo:
- La evaluación previa de los potenciales receptores.
- El monitoreo periódico de su desempeño.
- La gestión de los riesgos asociados al servicio.
- Los criterios para aprobar, mantener, restringir o finalizar la relación.
- Las responsabilidades de las áreas involucradas.
- Los mecanismos de reporte y escalamiento.
Esta exigencia ubica a BaaS dentro de la agenda de gobierno corporativo. El Directorio no debería limitarse a autorizar el lanzamiento comercial del modelo. Debe comprender su exposición, definir el nivel de riesgo aceptable y verificar que existan capacidades suficientes para supervisarlo.
En consecuencia, la entidad necesita incorporar BaaS en su marco de apetito de riesgo, estableciendo límites, indicadores y condiciones de escalamiento que permitan determinar cuándo una relación continúa siendo aceptable y cuándo requiere medidas correctivas.
Evaluación previa del receptor BaaS
La evaluación del receptor no puede reducirse a verificar su capacidad tecnológica o sus perspectivas comerciales. Debe desarrollarse una debida diligencia multidimensional que permita determinar si el tercero cuenta con condiciones suficientes para participar en la prestación de un servicio financiero.
La evaluación debería considerar:
- Solidez financiera y viabilidad del modelo de negocio.
- Experiencia de sus accionistas, directivos y principales ejecutivos.
- Gobierno corporativo y estructura organizacional.
- Capacidad tecnológica y de ciberseguridad.
- Gestión de incidentes y continuidad del negocio.
- Protección de datos personales.
- Prevención del lavado de activos y financiamiento del terrorismo.
- Gestión de reclamos y conducta de mercado.
- Dependencia de proveedores y subcontratistas.
- Historial regulatorio, legal y reputacional.
- Capacidad para cumplir los acuerdos de nivel de servicio.
- Mecanismos de salida, transición y devolución de información.
La debida diligencia debe ser proporcional al tipo de servicio, al volumen de operaciones, a la sensibilidad de la información y al impacto que tendría una interrupción.
No todos los receptores representan el mismo nivel de riesgo. Por tanto, resulta necesario establecer una segmentación por criticidad y aplicar controles reforzados a aquellos que intervengan en procesos esenciales, manejen información sensible o concentren un volumen significativo de clientes.
Gestión integral de los riesgos asociados
La Resolución identifica expresamente la necesidad de gestionar los riesgos derivados del servicio BaaS. Entre ellos se encuentran:
- Riesgo de crédito.
- Riesgo operacional.
- Ciberseguridad.
- Lavado de activos y financiamiento del terrorismo.
- Conducta de mercado.
Esta relación no debería interpretarse como una lista cerrada. Dependiendo del servicio, también pueden presentarse riesgos tecnológicos, legales, reputacionales, de privacidad, concentración, continuidad del negocio y dependencia de terceros.
Riesgo operacional
El modelo BaaS incorpora nuevos puntos de falla: errores de integración, transacciones duplicadas, indisponibilidad de servicios, deficiencias en la conciliación, registros incompletos, fallas en la atención al usuario o debilidades en la gestión de incidentes.
La entidad debe identificar estos escenarios, evaluar su criticidad y establecer controles preventivos, detectivos y correctivos.
Riesgo tecnológico y ciberseguridad
Las APIs se convierten en un componente crítico del ecosistema. Una autenticación deficiente, la exposición indebida de información, la gestión inadecuada de credenciales o la ausencia de monitoreo puede derivar en fraude, fuga de datos e interrupciones.
La gestión debe incluir pruebas de seguridad, control de accesos, cifrado, trazabilidad, monitoreo de transacciones y protocolos coordinados de respuesta ante incidentes.
Lavado de activos y financiamiento del terrorismo
La apertura de nuevos canales y la incorporación de terceros pueden incrementar el riesgo de suplantación, operaciones inusuales y dificultades para conocer al cliente.
Las responsabilidades relacionadas con identificación, validación, monitoreo y reporte deben quedar claramente establecidas. La participación de un tercero no libera a la entidad de sus obligaciones regulatorias.
Conducta de mercado
El usuario debe comprender quién presta el servicio, qué entidad respalda el producto, cuáles son sus condiciones y dónde puede presentar un reclamo.
Una experiencia digital atractiva no compensa una comunicación ambigua. La transparencia debe formar parte del diseño del producto desde su origen.
El contrato como instrumento de control
La Resolución exige suscribir un contrato con cada receptor BaaS que incorpore cláusulas mínimas relacionadas con las condiciones del servicio.
Este contrato debe definir con precisión:
- Alcance y características del servicio.
- Obligaciones y responsabilidades de las partes.
- Niveles de servicio y métricas de desempeño.
- Controles de seguridad y protección de información.
- Procedimientos de atención de reclamos.
- Gestión y notificación de incidentes.
- Continuidad del negocio y recuperación.
- Derechos de auditoría y acceso a información.
- Transparencia frente al usuario.
- Mecanismos para la resolución de controversias.
- Condiciones de terminación y transición del servicio.
El contrato no debe tratarse como una formalidad legal. Constituye uno de los principales controles para asignar responsabilidades, exigir evidencias y activar acciones correctivas.
Sin embargo, ninguna cláusula contractual sustituye la supervisión efectiva. Transferir determinadas actividades no significa transferir completamente el riesgo.
Transparencia y restricciones aplicables
El marco regulatorio establece medidas para evitar que el público interprete que los receptores BaaS cuentan con autorización o supervisión directa de la SBS cuando no sea así.
Por ello, las comunicaciones comerciales y digitales no deben utilizar expresiones que generen una percepción incorrecta sobre la condición regulatoria del receptor.
También resulta necesario informar claramente:
- Que el receptor no se encuentra autorizado ni supervisado directamente por la SBS, cuando corresponda.
- La identidad de la entidad proveedora del servicio BaaS.
- Las condiciones y responsabilidades relacionadas con el producto.
- Los canales habilitados para consultas y reclamos.
Asimismo, la restricción aplicable a la subcontratación busca evitar cadenas opacas de proveedores que dificulten la supervisión, incrementen la exposición operativa y diluyan las responsabilidades.
Registro y reporte ante la SBS
Las entidades deben mantener un listado actualizado de los receptores de servicios BaaS, reportarlo semestralmente a la SBS y publicarlo en su sitio web.
Según las obligaciones identificadas, el reporte debe realizarse dentro de los 15 días calendario siguientes al cierre de cada semestre.
Esta exigencia demanda una fuente única de información que permita conocer, como mínimo:
- Identificación del receptor.
- Servicios proporcionados.
- Fecha de inicio de la relación.
- Estado del contrato.
- Procesos y productos involucrados.
- Nivel de criticidad.
- Principales riesgos.
- Resultados del monitoreo.
- Incidentes relevantes.
- Planes de acción pendientes.
El registro no debería gestionarse únicamente para cumplir con el reporte regulatorio. Debe convertirse en una herramienta de control gerencial sobre el ecosistema BaaS.
Acciones prioritarias para las entidades financieras
Para adecuarse al nuevo marco, las entidades deberían implementar una hoja de ruta estructurada:
- Realizar un diagnóstico de brechas frente a la Resolución SBS N.° 01747-2026.
- Aprobar o actualizar la política BaaS, definiendo gobierno, responsabilidades y criterios de aceptación.
- Inventariar los servicios y receptores existentes, incluyendo relaciones que puedan operar materialmente bajo este modelo.
- Clasificar a los receptores por criticidad, considerando impacto, volumen, información y sustituibilidad.
- Fortalecer la debida diligencia, incorporando criterios financieros, tecnológicos, regulatorios y reputacionales.
- Actualizar los contratos, incluyendo niveles de servicio, auditoría, incidentes, reclamos, continuidad y salida.
- Integrar BaaS al marco de gestión de riesgos, contemplando escenarios, controles, indicadores y límites.
- Implementar monitoreo continuo, mediante KRI, KPI y KCI que permitan identificar desviaciones.
- Revisar la comunicación comercial, evitando mensajes que puedan inducir a error sobre la supervisión del receptor.
- Establecer el registro y reporte regulatorio, garantizando integridad, trazabilidad y actualización de la información.
ALGERisk | Generando Cultura de Riesgos
Acompañamos a organizaciones financieras y empresas de América Latina en la integración de Inteligencia Artificial, Gestión Integral de Riesgos, Gobierno Corporativo, Continuidad del Negocio, Riesgo Tecnológico y Ciberseguridad mediante soluciones innovadoras y alineadas con las mejores prácticas internacionales.