SEC y OCC endurecen controles en LatAm

Las reglas de divulgación de ciberseguridad de la SEC de Estados Unidos siguen en vigor y sin enmiendas a agosto de 2026. La norma abarca Regulation S-K Item 106, Form 10-K Item 1C e Item 1.05 de Form 8-K, y aplica tanto a emisores domésticos como a foreign private issuers que listan valores en mercados estadounidenses, incluidas entidades financieras internacionales con operaciones en Argentina y México cuando cotizan o emiten en EE.UU.

Terceros bajo más escrutinio

En paralelo, análisis recientes sobre supervisión de la OCC señalan que el organismo está aplicando la guía interagencial de 2023 sobre terceros con un enfoque reforzado hacia fintechs y proveedores críticos. Ese enfoque exige que los bancos documenten la evaluación estratégica de la relación, la solidez financiera del proveedor, su resiliencia cibernética, su exposición a subcontratistas y sus planes de continuidad.

Los criterios alcanzan servicios prestados desde o hacia jurisdicciones como Argentina y México cuando esos servicios forman parte de la cadena de valor de entidades bancarias reguladas en Estados Unidos. La mirada del regulador no se limita al proveedor directo, sino también al entorno operativo y a las dependencias que sostienen la prestación del servicio.

Controles técnicos y reporte de incidentes

Las guías técnicas para instituciones financieras en Estados Unidos también marcan un estándar amplio. El marco sectorial de ciberseguridad, que incluye la GLBA Safeguards Rule, la guía de exámenes FFIEC y regulaciones como NYDFS Part 500, exige programas formales de seguridad de la información con pruebas independientes. Ese alcance se extiende a bancos, aseguradoras y gestores de activos, incluidas sucursales y data centers ubicados fuera de Estados Unidos cuando soportan servicios a clientes estadounidenses.

En gestión de riesgo de terceros, los análisis especializados citados en el material remarcan además que las normas de reguladores estadounidenses tratan expresamente los incidentes materiales ocurridos en proveedores externos como parte de las obligaciones de reporte de la entidad regulada. Eso incluye incidentes en proveedores o filiales ubicados en América Latina que afecten de manera significativa a entidades financieras supervisadas en Estados Unidos.

Para el mercado, el cuadro es coherente. Las obligaciones de divulgación de la SEC, el esquema de supervisión de la OCC y los requisitos técnicos de FFIEC, GLBA y NYDFS convergen en un punto: los controles y los reportes no terminan en la frontera de Estados Unidos, tampoco cuando la operación o el proveedor relevante está en Argentina o México.