SEPS fija un nuevo piso de seguridad para los canales digitales de cooperativas y mutualistas

La Superintendencia de Economía Popular y Solidaria expidió la Resolución SEPS-IGT-IGS-IGJ-INSESF-INR-INGINT-INSEPS-2026-0157, que contiene la Norma de control de seguridades en el uso de canales electrónicos para entidades financieras del sector financiero popular y solidario. El Registro Oficial No. 395 publicó la resolución el 22 de octubre de 2026. Se trata de una disposición regulatoria ecuatoriana, no de una guía voluntaria ni de una alerta sobre un incidente concreto.

El ámbito comprende las entidades financieras del sector popular y solidario y los canales tecnológicos usados para prestar servicios financieros. También incluye los casos en que la entidad depende de infraestructura o servicios de terceros. La norma enumera banca electrónica y móvil, aplicaciones transaccionales, autoservicio digital, APIs vinculadas a servicios financieros, cajeros, tarjetas con chip, tarjetas virtuales o tokenizadas y pagos inalámbricos seguros.

El cambio relevante es que la seguridad deja de verse como un requisito limitado a una aplicación móvil. La resolución presenta los canales como un conjunto de componentes que puede incluir identidad, autorización, procesamiento, registro de operaciones, dispositivos, integraciones y proveedores. Una revisión interna debería partir de un inventario de canales y dependencias, no solo de la lista de aplicaciones que mantiene el equipo de tecnología.

En el sector financiero popular y solidario, las entidades tienen tamaños, capacidades y modelos de servicio distintos. La referencia a proveedores importa especialmente cuando una cooperativa contrata el desarrollo de una aplicación, aloja servicios en nube o utiliza un operador para procesar pagos. La responsabilidad de supervisar el riesgo no desaparece por contratar el componente fuera de la entidad: la organización necesita poder explicar qué controla, qué delega y cómo recibe evidencia de seguridad.

La primera tarea práctica es mapear los canales y flujos de información, incluyendo quién autentica al usuario, qué sistema aprueba una operación, qué APIs intercambian datos, dónde quedan los registros y qué proveedor opera cada componente. Ese mapa permite relacionar los controles de acceso con el riesgo de fraude, indisponibilidad, exposición de datos y cambios no autorizados.

Luego conviene comparar las prácticas vigentes con los requisitos de la resolución y documentar brechas con responsables y fechas. La revisión debería incluir autenticación y gestión de credenciales, altas y cambios de datos de contacto, controles de transacción, monitoreo, notificación al usuario, trazabilidad, respuesta a incidentes, pruebas y supervisión de terceros. Las entidades también deberían confirmar que sus contratos y acuerdos de servicio permitan obtener registros, coordinar incidentes y aplicar correcciones con tiempos definidos.

La identificación y fecha de publicación de la resolución se verifican en la edición oficial No. 395 del Registro Oficial. El texto está disponible además en bases jurídicas y documentación normativa sectorial; la información consultada confirma que la norma está dirigida al sector financiero popular y solidario y trata la seguridad en canales electrónicos.

El resumen disponible no permite afirmar aquí plazos de implementación diferenciados, sanciones específicas, excepciones por segmento ni la fecha jurídica exacta de entrada en vigor más allá de lo que disponga el articulado final. Las entidades deben consultar la resolución íntegra y sus disposiciones transitorias antes de fijar fechas de cumplimiento. Tampoco debe extrapolarse automáticamente a bancos privados: la SEPS regula las entidades dentro de su competencia.

Las gerencias de riesgo, tecnología, seguridad, operaciones y cumplimiento deberían acordar una lectura única del texto y convertirla en una matriz de obligaciones. Para cada requisito, registren el canal afectado, el control existente, la evidencia, la brecha, el responsable y la fecha de cierre. Cuando un control resida en un tercero, pidan evidencia verificable y definan cómo se comprobará durante la relación contractual.

La prueba debe ser operativa: ejercicios de recuperación, revisión de permisos, validación de alertas, pruebas de autenticación y seguimiento de operaciones inusuales ayudan a identificar si el control funciona, no solo si está descrito en una política. La entidad debe conservar registros suficientes para reconstruir operaciones y responder a reclamos o incidentes. Las decisiones sobre exigencias concretas y plazos deben validarse contra el texto íntegro vigente y con asesoría jurídica ecuatoriana cuando corresponda.