¿Por qué los reguladores financieros regulan la computación en la nube y qué podría cambiar en Bolivia?

La computación en la nube se ha convertido en una herramienta indispensable para la transformación digital del sector financiero. Gracias a ella, los bancos pueden reducir costos de infraestructura, acelerar el lanzamiento de nuevos productos digitales y acceder a capacidades tecnológicas avanzadas sin necesidad de operar grandes centros de datos propios.

Sin embargo, a medida que más entidades financieras migran sus operaciones hacia la nube, surge una preocupación que los reguladores internacionales han comenzado a analizar con mayor atención: el riesgo sistémico asociado a la concentración de servicios tecnológicos críticos.

Del contagio financiero al contagio tecnológico

Para entender esta preocupación es útil recordar la crisis financiera de 2008.

Durante esa crisis, el contagio entre instituciones financieras se produjo principalmente a través del canal financiero. Los bancos estaban interconectados mediante préstamos, derivados y otras exposiciones financieras. Cuando una entidad importante sufrió pérdidas o quebró, el impacto se propagó rápidamente hacia otras instituciones.

La caída de Lehman Brothers es probablemente el ejemplo más conocido. Su quiebra desencadenó una reacción en cadena que afectó a bancos, aseguradoras y mercados financieros en todo el mundo.

En ese contexto, el riesgo sistémico provenía de la interconexión financiera.

Hoy los reguladores observan un fenómeno diferente.

El nuevo riesgo: la concentración tecnológica

Actualmente una parte significativa del sistema financiero mundial depende de un grupo reducido de proveedores de computación en la nube.

Amazon Web Services (AWS), Microsoft Azure y Google Cloud concentran una gran parte de la infraestructura tecnológica utilizada por bancos, aseguradoras y fintechs.

La preocupación regulatoria es relativamente sencilla de entender:

¿Qué ocurriría si uno de estos proveedores sufriera una interrupción importante, una falla operativa o un incidente de ciberseguridad de gran escala?

En ese escenario, múltiples entidades financieras podrían verse afectadas simultáneamente.

A diferencia de la crisis de 2008, el contagio no ocurriría por relaciones financieras entre bancos, sino por una dependencia compartida de la misma infraestructura tecnológica.

El canal de contagio deja de ser financiero y pasa a ser tecnológico.

Esta situación es particularmente relevante porque muchas instituciones utilizan los mismos proveedores para alojar canales digitales, aplicaciones móviles, sistemas analíticos y servicios críticos de negocio.

Esta preocupación no es meramente teórica. En una encuesta realizada por el Banco de Inglaterra a entidades financieras y aseguradoras del Reino Unido, se observó que la provisión de infraestructura tecnológica en la nube ya se encontraba altamente concentrada. Como muestra el Gráfico 1, aproximadamente tres cuartas partes de los bancos y más del 80% de las aseguradoras dependían de solo dos proveedores de infraestructura cloud (IaaS). Este hallazgo llevó al regulador británico a advertir sobre el potencial riesgo de concentración, es decir, la posibilidad de que una interrupción significativa en uno de estos proveedores afecte simultáneamente a un gran número de entidades financieras.

Gráfico 1. Concentración de proveedores de infraestructura cloud en bancos y aseguradoras del Reino Unido.

Fuente: Banco de Inglaterra (2020), basado en la encuesta realizada por la Prudential Regulation Authority (PRA) sobre servicios de outsourcing y computación en la nube.

¿Por qué preocupa especialmente a los reguladores?

La concentración tecnológica genera varias preocupaciones:

• Riesgo de interrupción simultánea de múltiples entidades financieras.
• Dependencia de proveedores difíciles de sustituir.
• Barreras de entrada para entidades más pequeñas.
• Menor capacidad de negociación frente a grandes proveedores globales.
• Riesgos asociados a la localización de datos y la supervisión regulatoria.

Además, existe una asimetría regulatoria evidente: mientras los bancos están fuertemente regulados y supervisados, los proveedores tecnológicos que soportan funciones críticas normalmente no lo están.

En otras palabras, tenemos bancos regulados apoyándose en proveedores tecnológicos que tradicionalmente han permanecido fuera del perímetro de supervisión financiera.

La respuesta europea: DORA

La Unión Europea abordó este desafío mediante el Reglamento de Resiliencia Operacional Digital, conocido como DORA (Digital Operational Resilience Act).

DORA introduce dos cambios relevantes.

En primer lugar, obliga a las entidades financieras a fortalecer la gestión de riesgos asociados a terceros tecnológicos. Esto incluye identificar proveedores críticos, realizar procesos de due diligence, monitorear continuamente su desempeño y mantener planes de salida que permitan migrar servicios cuando sea necesario.

En segundo lugar, DORA reconoce que ciertos proveedores tecnológicos pueden llegar a ser críticos para la estabilidad del sistema financiero.

Por ello, establece mecanismos para que los supervisores europeos puedan ejercer supervisión directa sobre determinados proveedores tecnológicos cuya falla podría generar impactos sistémicos.

Se trata de un cambio conceptual importante: el regulador deja de observar únicamente a los bancos y comienza a observar también a la infraestructura tecnológica que sostiene al sistema financiero.

¿Dónde se encuentra Bolivia?

Bolivia ya cuenta con regulación específica para servicios de computación en la nube.

Actualmente, las entidades financieras deben solicitar una no objeción de la Autoridad de Supervisión del Sistema Financiero (ASFI) para la contratación de estos servicios, cumpliendo requisitos relacionados con confidencialidad, seguridad de la información, cumplimiento normativo y posibilidad de supervisión por parte de la autoridad.

El objetivo es razonable: proteger la información financiera y reducir riesgos operativos.

Sin embargo, en la práctica, algunas exigencias pueden resultar difíciles de negociar con los grandes proveedores globales de nube, especialmente para entidades medianas o pequeñas que no cuentan con el mismo poder de negociación que los grandes bancos internacionales.

Esto puede generar tensiones entre dos objetivos igualmente importantes: la protección del sistema financiero y la agilidad necesaria para impulsar la innovación digital.

¿Qué podría cambiar?

Durante la Rendición Pública de Cuentas Inicial 2026, ASFI anunció la revisión de la normativa relacionada con servicios de computación en la nube.

Aunque todavía no se conocen los detalles de la futura regulación, una evolución natural sería avanzar hacia un enfoque basado en riesgos.

Bajo este esquema, los servicios críticos — aquellos que soportan funciones esenciales del negocio financiero — continuarían sujetos a controles más estrictos y procesos formales de autorización o no objeción.

Por otro lado, servicios de menor criticidad podrían beneficiarse de mecanismos más ágiles de contratación y supervisión.

Este enfoque ya ha sido adoptado por varios reguladores internacionales y permite equilibrar mejor la innovación tecnológica con la gestión prudente de riesgos.

Demasiado interconectados para fallar

La discusión sobre computación en la nube ya no trata únicamente de tecnología. Se ha convertido en una discusión sobre estabilidad financiera.

La crisis de 2008 enseñó que las interconexiones financieras pueden generar contagio sistémico. Dos décadas después, los reguladores comienzan a preguntarse si una dependencia excesiva de unos pocos proveedores tecnológicos podría producir un efecto similar.

La respuesta regulatoria que adopte Bolivia en los próximos años será relevante no solo para las entidades financieras, sino también para la velocidad con la que el sistema financiero nacional pueda continuar su proceso de transformación digital.