Alerta Bancaria y Fintech - octubre 2026
Para mayor información, contactar a:
Temas
SBS publica segundo bloque del Reglamento del Sistema de Finanzas Abiertas
La Superintendencia de Banca, Seguros y AFP (“SBS”) publicó para comentarios el segundo bloque del proyecto de Reglamento General del Sistema de Finanzas Abiertas (“Reglamento”), que regulará el Sistema de Finanzas Abiertas (“SFA”), mediante la Resolución SBS No. 02519-2026. La propuesta comprende los Títulos V al VII y complementa el primer bloque con las reglas técnicas necesarias para que el intercambio de información opere de forma segura, estandarizada, interoperable y confiable.
Este segundo bloque desarrolla la infraestructura digital común y los estándares técnicos, de seguridad y calidad de datos aplicables a los participantes del SFA.
Estas son las principales implicancias de la propuesta:
- Infraestructura digital común: La propuesta regula los componentes y servicios que facilitarán la interacción entre participantes, incluidos el Directorio de Participantes, el Portal del SFA, el Portal del Desarrollador, el ambiente de pruebas, entre otros.
- Pruebas y conformidad: Antes de operar en el SFA, las entidades deberán realizar las pruebas, certificaciones y validaciones aplicables al rol solicitado, a fin de acreditar el cumplimiento de las condiciones técnicas y operativas.
- Marco de Confianza: Establece reglas y mecanismos para verificar la identidad, habilitación, roles, aplicaciones, certificados y demás elementos de confianza de los participantes. El Directorio de Participantes será la fuente oficial de esta información y las entidades deberán efectuar las validaciones antes y durante cada interacción, rechazándola o interrumpiéndola cuando no puedan acreditarse las condiciones exigidas.
- Interfaces y estándares comunes: El intercambio se realizará exclusivamente mediante APIs sujetas a estándares comunes y obligatorios: OpenAPI, arquitectura REST y mensajería JSON, además del modelo y diccionario de datos definidos en el Anexo 3, que toman como referencia ISO 20022. Las Entidades Proveedoras de Datos (“EPD”) no podrán exigir parámetros, encabezados, pasos o condiciones adicionales ni acuerdos bilaterales para acceder o suministrar los datos e información comprendidos en el SFA.
- Perfil de Seguridad y certificación: El Perfil de Seguridad establecerá requisitos obligatorios sobre autenticación, autorización, firma, cifrado, registro dinámico de aplicaciones y emisión y validación de tokens, y adaptará al SFA especificaciones FAPI 2.0 de la OpenID Foundation. Los participantes deberán acreditar su cumplimiento mediante certificación con vigencia anual y obtener una nueva acreditación ante nuevas versiones, cambios relevantes, pérdida de vigencia, suspensión o revocación, vulnerabilidades críticas y demás supuestos aplicables.
- Niveles de servicio: Los participantes deberán cumplir los niveles de disponibilidad, tiempos de respuesta y tasas de error aplicables a los endpoints que operen; las EPD deberán, además, atender la capacidad mínima establecida para cada API.
- Calidad de datos: Las EPD y las Entidades Receptoras de Datos (“ERD”) deberán incorporar los datos del SFA en sus procesos de gobierno de datos, aplicar controles según su rol, medir indicadores, conservar evidencias y remediar las deficiencias identificadas.
- Trazabilidad: Debe asignarse y propagarse un identificador único por cada solicitud y respuesta, que permita reconstruir de extremo a extremo las interacciones en el SFA y se deberán conservar registros y evidencias de las interacciones realizadas por un plazo mínimo de diez años.
La propuesta estará disponible para comentarios hasta el 6 de noviembre de 2026.
Las entidades interesadas deberían evaluar de manera temprana la arquitectura de sus APIs, los procesos de certificación y pruebas, los mecanismos de identidad y habilitación, la trazabilidad, los niveles de servicio y el gobierno de calidad de datos, e identificar las brechas que podrían afectar su futura incorporación al SFA.