Com. A 8398: Cómo evaluar el nivel de madurez regulatoria de un PSP
Com. A 8398: Cómo evaluar el nivel de madurez regulatoria de un PSP
La Comunicación A 8398 publicada en febrero por el Banco Central de la República Argentina establece nuevos estándares para los Proveedores de Servicios de Pago. Frente a este nuevo marco regulatorio lar organizaciones deben adaptarse como sujetos obligados para cumplir con las nuevas exigencias.
Sin embargo, antes de armar un plan de adecuación a la Com. A 8398, un PSP necesita responder una pregunta previa: en qué punto de partida está. La diferencia entre un diagnóstico honesto y uno optimista determina si el plan posterior es realista o si se va a quebrar a mitad de camino.
Este artículo propone un marco de autoevaluación en siete dimensiones, con cuatro niveles de madurez por dimensión. No reemplaza un diagnóstico formal, pero permite a un directorio o a un compliance officer tener una primera fotografía antes de encarar el proceso.
Para la mayoría de los PSP argentinos que hoy inician este proceso, el objetivo de corto plazo no es nivel 4 en todo. Es un nivel 3 sostenible en las dimensiones de mayor exposición regulatoria.
1. Gobierno. ¿El directorio aprueba formalmente las políticas de tecnología y seguridad? ¿Hay un comité con responsabilidades definidas? ¿Las actas muestran supervisión activa y no solo toma de conocimiento?
2. Gestión de riesgos. ¿Hay un marco de riesgos de tecnología integrado a la gestión de riesgo operacional? ¿Se evalúan explícitamente resiliencia tecnológica, obsolescencia de sistemas y uso de IA/ML?
3. Seguridad de la información. ¿La estrategia de seguridad está alineada con la estrategia de negocio? ¿Hay clasificación de activos y datos? ¿Los controles de autenticación, incluida biometría si aplica, están evaluados frente a sus riesgos específicos?
4. Continuidad del negocio. ¿Hay planes de continuidad probados, no solo documentados, para los procesos críticos? ¿Se ejecutaron pruebas en el último año con resultados registrados?
5. Gestión de ciberincidentes. ¿Hay criterios de escalamiento y métricas de respuesta? ¿El equipo simuló un incidente relevante en los últimos doce meses?
6. Desarrollo y adquisición de software. ¿Los proyectos tecnológicos siguen una metodología formal con roles, hitos y gestión de desvíos? ¿Hay controles específicos para software de terceros?
7. Gestión de terceros. ¿Los contratos con proveedores críticos —cloud, procesamiento, KYC, biometría— contemplan niveles de servicio, métricas de desempeño y cláusulas ante cambios en la prestación? ¿Hay un inventario actualizado de terceros críticos?
Un diagnóstico útil no termina en un puntaje. Su valor está en traducir cada brecha en una acción priorizada según dos criterios: qué tan explícito es el requisito en la norma, y qué tan larga es la implementación —si depende solo de la organización o de terceros externos, como la renegociación de un contrato.
Gobierno y Gestión de terceros suelen ser las dimensiones más lentas de madurar. No por complejidad técnica, sino porque dependen de decisiones institucionales y negociaciones externas. De esta forma, es conveniente que sean abordadas primero, en paralelo con los ajustes técnicos de menor plazo.
Este marco ordena la conversación puertas adentro, pero tiene un límite conocido: es difícil evaluar objetivamente la propia madurez desde adentro, en particular en la dimensión de gobierno. Un diagnóstico externo, con benchmarking sectorial y experiencia previa en procesos de adecuación equivalentes, calibra con más precisión dónde está el PSP y qué tan realista es el plan hacia agosto de 2026.
En este contexto, es necesario que los PSP se adecuen al marco regulatorio del BCRA de manera estratégica e integral, a través de un proceso de autoevaluación exhaustivo que permita evitar posibles riesgos relacionados a futuro.
Sin embargo, antes de armar un plan de adecuación a la Com. A 8398, un PSP necesita responder una pregunta previa: en qué punto de partida está. La diferencia entre un diagnóstico honesto y uno optimista determina si el plan posterior es realista o si se va a quebrar a mitad de camino.
Este artículo propone un marco de autoevaluación en siete dimensiones, con cuatro niveles de madurez por dimensión. No reemplaza un diagnóstico formal, pero permite a un directorio o a un compliance officer tener una primera fotografía antes de encarar el proceso.
Los cuatro niveles
- Nivel 1 — Inicial/Reactivo. No hay políticas formales o están desactualizadas. Las decisiones se toman caso por caso y no existe evidencia sistemática.
- Nivel 2 — En desarrollo. Hay políticas documentadas, pero la aplicación es inconsistente o depende de personas puntuales. La evidencia existe, pero es parcial.
- Nivel 3 — Gestionado. Los procesos están formalizados, se aplican de forma consistente, hay indicadores definidos y el directorio recibe reportes periódicos. La evidencia es sistemática y trazable.
- Nivel 4 — Optimizado. Hay proceso de mejora continua activo, benchmarking frente a estándares internacionales (COBIT, ISO 27001, NIST) y una cultura que identifica riesgos más allá del mínimo regulatorio.
Para la mayoría de los PSP argentinos que hoy inician este proceso, el objetivo de corto plazo no es nivel 4 en todo. Es un nivel 3 sostenible en las dimensiones de mayor exposición regulatoria.
Las siete dimensiones
1. Gobierno. ¿El directorio aprueba formalmente las políticas de tecnología y seguridad? ¿Hay un comité con responsabilidades definidas? ¿Las actas muestran supervisión activa y no solo toma de conocimiento?
2. Gestión de riesgos. ¿Hay un marco de riesgos de tecnología integrado a la gestión de riesgo operacional? ¿Se evalúan explícitamente resiliencia tecnológica, obsolescencia de sistemas y uso de IA/ML?
3. Seguridad de la información. ¿La estrategia de seguridad está alineada con la estrategia de negocio? ¿Hay clasificación de activos y datos? ¿Los controles de autenticación, incluida biometría si aplica, están evaluados frente a sus riesgos específicos?
4. Continuidad del negocio. ¿Hay planes de continuidad probados, no solo documentados, para los procesos críticos? ¿Se ejecutaron pruebas en el último año con resultados registrados?
5. Gestión de ciberincidentes. ¿Hay criterios de escalamiento y métricas de respuesta? ¿El equipo simuló un incidente relevante en los últimos doce meses?
6. Desarrollo y adquisición de software. ¿Los proyectos tecnológicos siguen una metodología formal con roles, hitos y gestión de desvíos? ¿Hay controles específicos para software de terceros?
7. Gestión de terceros. ¿Los contratos con proveedores críticos —cloud, procesamiento, KYC, biometría— contemplan niveles de servicio, métricas de desempeño y cláusulas ante cambios en la prestación? ¿Hay un inventario actualizado de terceros críticos?
De la autoevaluación al plan de acción
Un diagnóstico útil no termina en un puntaje. Su valor está en traducir cada brecha en una acción priorizada según dos criterios: qué tan explícito es el requisito en la norma, y qué tan larga es la implementación —si depende solo de la organización o de terceros externos, como la renegociación de un contrato.
Gobierno y Gestión de terceros suelen ser las dimensiones más lentas de madurar. No por complejidad técnica, sino porque dependen de decisiones institucionales y negociaciones externas. De esta forma, es conveniente que sean abordadas primero, en paralelo con los ajustes técnicos de menor plazo.
Los límites de la autoevaluación
Este marco ordena la conversación puertas adentro, pero tiene un límite conocido: es difícil evaluar objetivamente la propia madurez desde adentro, en particular en la dimensión de gobierno. Un diagnóstico externo, con benchmarking sectorial y experiencia previa en procesos de adecuación equivalentes, calibra con más precisión dónde está el PSP y qué tan realista es el plan hacia agosto de 2026.
En este contexto, es necesario que los PSP se adecuen al marco regulatorio del BCRA de manera estratégica e integral, a través de un proceso de autoevaluación exhaustivo que permita evitar posibles riesgos relacionados a futuro.