Gobierno interno
El control del riesgo tecnológico deja de ser un asunto del área técnica y sube a la mesa donde se decide. Eso pide roles asignados, decisiones fechadas y una línea de responsabilidad que se pueda seguir hacia arriba.
Argentina · BCRA · Com. «A» 8398 y 8401
En febrero de 2026 el Banco Central actualizó los requisitos mínimos para la gestión y control de los riesgos de tecnología y seguridad de la información. El eje se movió: además del control propio, la norma mira el gobierno interno y la relación con terceros. Andin mantiene el registro que sostiene esa cadena entera —quién decidió, sobre qué proveedor y cuándo.
Disponible hoy Vigente.
Qué cambió
Las dos actualizan el mismo cuerpo de requisitos mínimos y conviene leerlas juntas. Lo que traen no es una tecnología nueva: es una vara nueva sobre cómo se gobierna lo que ya existe.
El control del riesgo tecnológico deja de ser un asunto del área técnica y sube a la mesa donde se decide. Eso pide roles asignados, decisiones fechadas y una línea de responsabilidad que se pueda seguir hacia arriba.
Cuando un servicio crítico se opera afuera, el riesgo sigue adentro. La norma pone el foco en cómo se decide tercerizar, qué se documenta antes de hacerlo y cómo se sostiene el control después.
El proveedor del proveedor también cuenta. La cadena hay que conocerla, mantenerla actualizada y poder mostrarla —con la evidencia de que el control existió mientras el servicio corría.
Un punto sí está fijado en el texto y ya no admite ambigüedad: la Com. «A» 8398 incorpora a los Proveedores de Servicios de Pago (PSP) inscriptos en el Registro de PSP del BCRA como sujetos obligados, con 180 días corridos desde la divulgación de la comunicación para implementar los requisitos. El resto de los plazos y categorías de servicio quedan en el texto de cada comunicación: conviene leerlos en la fuente antes de tomarlos como plazo propio.
A quién aplica
El destinatario no es solo la entidad financiera. La Com. «A» 8398 nombra a los Proveedores de Servicios de Pago (PSP) inscriptos en el Registro de PSP del BCRA como sujetos obligados directos — no por la vía del contrato con un banco, sino por norma propia.
Andin acompaña a la entidad alcanzada y también al proveedor que recibe la exigencia por contrato: el trabajo de sostener y demostrar el control es el mismo de los dos lados.
Cómo ayuda Andin
El problema de una revisión sobre terceros no es tener controles: es poder mostrar que estaban puestos en la fecha que se pregunta, y quién los sostuvo. Andin registra eso durante el año.
Disponible hoy
Controles, decisiones y responsables quedan fechados a medida que se trabaja. La postura ante el regulador se consulta en el registro, sin reconstruirla.
Disponible hoy
La norma exige un catálogo de servicios tercerizados con su evaluación de riesgo aprobada por las máximas autoridades locales (10.2), y un aviso previo a la SEFYC con 60 días de antelación antes de tercerizar un servicio crítico (10.1). Andin mantiene ese catálogo vivo, con cada evaluación fechada y su responsable.
Disponible hoy
La misma evidencia sirve ante el BCRA y ante una auditoría de sistema de gestión. El trabajo se hace una vez y se presenta en el formato que pida cada contraparte.
Andin genera y ordena la evidencia. La conformidad la evalúa el BCRA; Andin sostiene el registro con el que usted responde.
Preguntas frecuentes
Depende de qué tipo de proveedor. Si está inscripto como Proveedor de Servicios de Pago (PSP) en el Registro del BCRA, la norma lo alcanza directamente — no por contrato, por norma propia, con 180 días corridos desde la divulgación de la Com. «A» 8398 para implementar. Si es otro tipo de proveedor de un servicio crítico, la exigencia le llega por el contrato con la entidad: se lo va a pedir como condición para sostener el servicio. En los dos casos, ordenarse antes de esa conversación es lo que la vuelve corta.
Si es un PSP inscripto en el Registro del BCRA: 180 días corridos desde la divulgación de la Com. «A» 8398 (5 de febrero de 2026) — contados desde esa divulgación, no desde la publicación en el Boletín Oficial. Para el resto de los requisitos y categorías de servicio, la fecha está en el texto de cada comunicación: prefiera leerla ahí antes que un número de segunda mano.
Sirve, y mucho. El sistema de gestión ya cubre buena parte del gobierno y del control de proveedores. Lo que suele faltar es la evidencia fechada de que el control operó durante el período, que es justamente lo que Andin mantiene.
La relación con el regulador es de la entidad. Andin sostiene el registro y la evidencia con los que esa relación se responde a tiempo y con respaldo.
Conversemos
Si su organización opera bajo el régimen del BCRA —o le provee un servicio crítico a alguien que sí—, la evidencia que va a necesitar se construye durante el año, no en la semana previa. Conversemos sobre cómo dejar ese registro andando.