En breve
- Varios reguladores de habla hispana exigen identificar y evaluar los riesgos de un producto o servicio nuevo antes de lanzarlo, y algunos piden además un informe previo al comité de riesgos o al directorio.
- Lo exigen, por ejemplo, la SBS y la SMV en Perú, la SFC y la Supersolidaria en Colombia, la SEPS en Ecuador y la CNBV para los bancos en México; la CMF lo pide a las fintech de la Ley 21.521 en seguridad de la información, ciberseguridad y continuidad.
- El alcance cambia según el país y el tipo de entidad, así que revisa la tabla y la norma exacta que te aplica.
¿Qué es la evaluación de riesgos de un producto nuevo?
Es el análisis que haces antes de lanzar un producto, un servicio, un canal o un proceso nuevo, o antes de cambiar de forma importante uno que ya existe. Su objetivo es simple: saber qué puede salir mal, cuánto puede costar y qué controles necesitas desde el primer día, en vez de descubrirlo con los primeros reclamos o incidentes.
No solo aplica a bancos. Cooperativas, aseguradoras, administradoras de fondos y fintechs lanzan productos y canales todo el tiempo, y varias normas las alcanzan.
¿Qué exige cada regulador? Tabla por país y supervisor
Las citas son literales. Lee la columna «Alcance y advertencias» antes de concluir que la norma te aplica.
| País | Supervisor | Norma y artículo | Qué dice (literal) | Alcance y advertencias |
|---|---|---|---|---|
| Perú | SBS | Res. SBS 2116-2009 (gestión del riesgo operacional), artículo 9 literal e) | «Evaluar los riesgos operacionales asociados a cambios importantes en el ambiente de negocio, operativo o informático, y asociados al lanzamiento de nuevos productos, cubriendo las diferentes etapas de su desarrollo, desde la concepción de la idea hasta culminar su implementación.» | Es función de la unidad de riesgos. Aplica a las empresas del artículo 16 de la Ley General y a las AFP. Este literal rige desde el 21-08-2021 (Res. SBS 2429-2021). |
| Perú | SBS | Res. SBS 272-2017 (gobierno corporativo y gestión integral de riesgos), artículo 12 literal g) | «Aprobar los informes sobre los riesgos asociados a nuevos productos y las medidas de tratamiento propuestas o implementadas, de forma previa a su lanzamiento; incluyendo aspectos de conducta de mercado.» | Es función del comité de riesgos. El artículo 25 literal h) pide a la unidad de riesgos informar esos riesgos «de forma previa a su lanzamiento o ejecución». Aplica a las empresas de los artículos 16 y 17 de la Ley General, a las AFP y a otras entidades, en tanto no se contraponga con sus normas específicas. Vigente desde el 01-04-2018. |
| Perú | SBS | Res. SBS 877-2020 (continuidad del negocio), artículo 12 | «La empresa debe revisar el sistema de gestión de la continuidad del negocio periódicamente o ante nuevos productos o cambios importantes en el ambiente de negocios, operativo o informático.» | Es revisión de la continuidad del negocio, no una evaluación general de riesgos. Alcanza, entre otras, a la Empresa Emisora de Dinero Electrónico. Vigente desde el 01-01-2022. |
| Perú | SBS | Res. SBS 504-2021 (seguridad de la información y ciberseguridad), artículo 10 numeral 1 literal a) | Entre los objetivos del SGSI-C: formular programas y medidas que busquen reducir la posibilidad de incidentes en «El diseño e implementación de nuevos productos y procesos, proyectos y cambios operativos.» | Es un objetivo del sistema de seguridad de la información y ciberseguridad, no una evaluación general previa al lanzamiento. Aplica a las empresas de los artículos 16 y 17 de la Ley General y a las AFP, entre otras. Vigente desde el 01-07-2021. |
| Perú | SMV | Res. SMV 027-2016, artículo 16 (texto vigente según la Res. SMV 014-2019) | «La Entidad deberá realizar una evaluación de todos los riesgos que se encuentren asociados a los cambios significativos [...]» y «De forma previa a la toma de decisiones sobre los cambios significativos, se deberá remitir un informe que contenga los resultados de dicha evaluación al Directorio, Comité de Riesgos u órgano especializado.» | Entre los cambios significativos están la «Prestación de nuevos servicios y productos» y los «Nuevos canales de atención». Aplica a las entidades con autorización de funcionamiento de la SMV, salvo las empresas clasificadoras de riesgo y las proveedoras de precios (Res. SMV 014-2019, artículo 10). El texto vigente rige desde el 01-01-2020. |
| Colombia | SFC | Circular Básica Financiera (Circular Externa 004 de 2026), Parte 1, Cap. 1, párrafo 1.1.2.122 | «La etapa de identificación debe realizarse previamente a la implementación o modificación de cualquier proceso, producto, servicio o canal [...]» | Es la etapa de identificación del riesgo operacional. Aplica a las entidades vigiladas por la SFC. Vigente desde el 01-06-2026. Ojo: no afirmamos que alcance a las SEDPE ni a las sociedades de financiación colaborativa, porque el párrafo 1.1.1.7 las exceptúa del SIAR general. |
| Colombia | Supersolidaria | Circular Básica Contable y Financiera, Título IV, Cap. I, SIAR, numeral 6.2 «Nuevos mercados y productos» | «[...] previo al ofrecimiento de nuevos productos, debe existir un conocimiento adecuado de todos los aspectos del producto y estar identificados los posibles riesgos de lavado de activos y financiación del terrorismo, crédito, liquidez, mercado, operacionales, incluyendo dentro de estos últimos los riesgos legales o jurídicos.» | Aplica a las organizaciones solidarias vigiladas, con un ámbito diferenciado por sistema. El mismo numeral exige que la oferta de nuevos productos sea autorizada por las instancias competentes y que la operación comience solo después de la etapa de prueba y de la aprobación. |
| Ecuador | SEPS | SEPS 0116, artículo 27 numeral 3 literal e) | «Evaluar el riesgo operativo, de forma previa al lanzamiento de nuevos productos, implementación de nuevos procesos y ante cambios importantes en el ambiente operativo o informático en base a los informes de las áreas que corresponda;» | Es función de la unidad o del administrador de riesgos. Aplica a los segmentos 1, 2 y 3, las cajas centrales, las asociaciones mutualistas y la Corporación. |
| Ecuador | JPRF / SB | Res. JPRF-F-2023-076, Cap. LXII, artículo 30 | «[...] es esencial realizar evaluaciones continuas del riesgo operativo, incluidos los proyectos actuales y nuevos productos.» | Aplica a las entidades de concesión digital de créditos controladas por la Superintendencia de Bancos (fintech). Pide evaluaciones continuas que incluyen los nuevos productos; no usa la palabra «previa». |
| Chile | CMF | Ley 21.521 y NCG 502, secciones IV.C.3.1.1 a) 4) y IV.E.4.1.1 a) 4) | «Procedimientos para la evaluación de los riesgos de seguridad de la información y ciberseguridad que se podrían estar asumiendo al introducir nuevos productos, servicios, sistemas, emprender nuevas actividades o definir nuevos procesos.» | Solo seguridad de la información y ciberseguridad. Aplica a plataformas de financiamiento colectivo y sistemas alternativos de transacción (C.3.1.1) y a intermediación y custodia (E.4.1.1). La sección IV.C.3.2.1 a) 2) pide además «evaluar oportunamente» los riesgos de continuidad de negocios al introducir nuevos productos. Vigente desde el 03-02-2024. |
| México | CNBV | CUB (instituciones de crédito), artículo 71 fracción II inciso d) y artículo 74 fracción X | El comité de riesgos debe aprobar «Las metodologías para la identificación, valuación, medición y control de los riesgos de las nuevas operaciones, productos y servicios que la Institución pretenda ofrecer al mercado.» | Solo instituciones de crédito (bancos). El artículo 74 fracción X pide a la unidad para la Administración Integral de Riesgos elaborar esas metodologías. En las disposiciones para instituciones de tecnología financiera (CUITF) no encontramos una exigencia equivalente, así que no la atribuimos a las fintech mexicanas. |
| España (UE) | La autoridad competente según el tipo de entidad (DORA, artículo 46): el Banco de España (entidades de crédito menos significativas, de pago y de dinero electrónico), el BCE (entidades de crédito significativas), la CNMV y la DGSFP, cada una para las entidades que supervisa | Reglamento (UE) 2022/2554 (DORA), artículos 8.3 y 8.7 | Evaluación del riesgo «cada vez que se produzca un cambio importante en la infraestructura de las redes y los sistemas de información, en los procesos o procedimientos [...]» y «antes y después de conectar tecnologías, aplicaciones o sistemas». | El gatillo es un cambio importante en sistemas, procesos o tecnologías TIC, no un «producto nuevo» en sentido comercial. No rige para microempresas. Aplica, entre otras, a entidades de crédito, de pago y de dinero electrónico, y a proveedores de servicios de criptoactivos y de financiación participativa. Aplicable desde el 17-01-2025. |
¿Y las aseguradoras de Chile? La NCG 454 de la CMF incluye entre sus prácticas de gestión del riesgo operacional la «Gestión del cambio de riesgos y evaluaciones de control»: cuando la compañía hace cambios significativos, la evaluación de riesgos «debe considerar al menos» los «riesgos inherentes en el nuevo producto, servicio o actividad» (sección III, numeral 5, punto 6 literal c). La compañía se autoevalúa contra esa práctica (Anexo 1, 4-4.01b), y la CMF considera estos principios en su evaluación, según la realidad de cada compañía. Iremos sumando más normas a esta guía.
Esta tabla es informativa y no reemplaza la lectura de la norma ni la asesoría legal.
¿Qué normas aplican según el tipo de entidad?
Un resumen rápido para ubicarte, solo con las normas de la tabla:
| Tipo de entidad | Normas de la tabla que pueden aplicar |
|---|---|
| Bancos | SBS 2116-2009 y SBS 272-2017 (Perú), CBF de la SFC (Colombia), CUB de la CNBV (México), DORA (España) |
| Cooperativas de ahorro y crédito | SIAR de la Supersolidaria (Colombia), SEPS 0116 (Ecuador, segmentos 1 a 3) |
| Aseguradoras | CBF de la SFC (Colombia), SBS 272-2017 (Perú, empresas de seguros del artículo 16 de la Ley General, que deben tener comité de riesgos según su artículo 9), NCG 454 de la CMF (Chile, como práctica de gestión del cambio) |
| Fondos y mercado de valores | SMV 027-2016, artículo 16 (Perú, entidades autorizadas por la SMV), CBF de la SFC (Colombia, fiduciarias y administradoras), SBS 2116-2009 (Perú, AFP) |
| Fintechs | NCG 502 (Chile, seguridad de la información, ciberseguridad y continuidad), JPRF-F-2023-076 (Ecuador, concesión digital de créditos), SBS 877-2020 y SBS 272-2017 (Perú, en la medida en que la entidad esté en su alcance, como la Empresa Emisora de Dinero Electrónico), DORA (España) |
Si tu entidad no aparece, eso no significa que no tengas obligaciones: puede que tu norma no esté todavía en esta guía. Y aunque no exista una exigencia expresa, evaluar los riesgos antes de lanzar es una buena práctica coherente con marcos como ISO 31000, que propone integrar la gestión de riesgos en la estrategia, la planificación y la toma de decisiones, y COSO ERM, que pide identificar y evaluar los cambios que pueden afectar sustancialmente la estrategia y los objetivos.
¿Qué debería incluir la evaluación antes del lanzamiento?
Cada norma tiene su propio alcance, pero un buen informe suele cubrir estos puntos. Es una guía general, no un formato oficial:
- Descripción del producto o del cambio. Qué es, a quién va dirigido, por qué canales, qué procesos y sistemas usa y qué proveedores intervienen. La SMV, por ejemplo, pide que el informe contenga como mínimo la información del cambio (descripción, objetivos y procesos asociados), los riesgos identificados por tipo y las medidas de tratamiento.
- Identificación de riesgos por tipo. Operacional (procesos, personas, tecnología, eventos externos), legal, de seguridad de la información, de continuidad y, según el producto, de crédito, liquidez, mercado, lavado de activos o conducta de mercado.
- Evaluación inherente y residual. Probabilidad e impacto antes y después de los controles, con la misma escala que usas en tu matriz. Lo explicamos en cómo armar una matriz de riesgos y controles desde cero.
- Controles y medidas de tratamiento. Qué controles existirán desde el primer día y qué planes de acción quedan abiertos, con responsable y fecha.
- Revisión de continuidad y ciberseguridad. Si el producto agrega sistemas, canales o proveedores, revisa tus planes de continuidad y de seguridad de la información.
- Presentación a la instancia que corresponde. Varias normas piden que el comité de riesgos, el directorio o la instancia competente conozcan o aprueben el informe antes del lanzamiento.
- Monitoreo después del lanzamiento. Define indicadores clave de riesgo (KRI) para los primeros meses y registra los eventos que aparezcan.
Checklist ilustrativo para la reunión previa al lanzamiento:
- Sabemos qué norma nos aplica y qué instancia debe conocer o aprobar el informe.
- Los riesgos están identificados por tipo y evaluados con la escala de la matriz.
- Los controles del primer día están definidos y tienen responsable.
- Los planes de acción abiertos tienen responsable y fecha.
- Continuidad y seguridad de la información revisadas si hay sistemas, canales o proveedores nuevos.
- KRI y registro de eventos listos para el seguimiento posterior.
¿Qué cuenta como «producto nuevo»?
Depende de la norma. La Res. SBS 272-2017 lo define como «producto lanzado por primera vez por la empresa o un cambio en un producto existente que modifica significativamente su perfil de riesgo» (artículo 2 literal w). Otras normas usan conceptos más amplios: la SFC habla de «cualquier proceso, producto, servicio o canal», y la SMV incluye entre los cambios significativos los nuevos canales de atención, los cambios de infraestructura tecnológica y las subcontrataciones significativas.
Una regla práctica: si el cambio modifica de forma relevante qué puede salir mal, trátalo como nuevo.
Preguntas frecuentes
¿Es obligatorio evaluar los riesgos de un producto nuevo antes de lanzarlo?
En varios países, sí, según el tipo de entidad. Por ejemplo, la Res. SBS 2116-2009 y la Res. SBS 272-2017 en Perú, la Circular Básica Financiera de la SFC y el SIAR de la Supersolidaria en Colombia, la SEPS 0116 en Ecuador y la CUB de la CNBV para los bancos en México. Revisa la tabla para ver el alcance exacto.
¿Las fintech también deben evaluar los riesgos de sus productos nuevos?
Depende del país. En Chile, la NCG 502 lo pide para los riesgos de seguridad de la información, ciberseguridad y continuidad. En Ecuador, la JPRF-F-2023-076 pide evaluaciones continuas del riesgo operativo que incluyen los nuevos productos. En México, en las disposiciones para instituciones de tecnología financiera no encontramos una exigencia equivalente a la de los bancos.
¿Quién aprueba la evaluación de riesgos de un producto nuevo?
Depende de la norma. En Perú, el comité de riesgos aprueba los informes de riesgos de nuevos productos antes del lanzamiento (Res. SBS 272-2017, artículo 12 literal g). En México, el comité de riesgos aprueba las metodologías (CUB, artículo 71). En Colombia, la Supersolidaria exige la autorización de las instancias competentes de la organización.
¿Qué se considera un producto nuevo?
La Res. SBS 272-2017 lo define como un producto lanzado por primera vez o un cambio en uno existente que modifica significativamente su perfil de riesgo. Otras normas incluyen también servicios, canales y procesos nuevos.
¿DORA exige evaluar los riesgos de nuevos productos?
No en sentido comercial. DORA pide una evaluación del riesgo cada vez que hay un cambio importante en los sistemas, procesos o procedimientos que sustentan funciones con TIC, y antes y después de conectar tecnologías, aplicaciones o sistemas (artículos 8.3 y 8.7). No rige para microempresas.
¿Qué pasa después del lanzamiento?
La evaluación no termina con el lanzamiento. Conviene seguir el producto con indicadores clave de riesgo (KRI), registrar los eventos que aparezcan y volver a evaluar si cambian sus condiciones.
Sigue leyendo
¿Cómo lo hace iziRisk? En iziRisk Op el producto nuevo se evalúa en la matriz de riesgos y controles, y su seguimiento queda en planes de acción y KRI. Op permite configurar los campos, el flujo y el reporte que exige la norma. Más información en nuestro software de riesgo operacional.
Fuentes
Contenido informativo; no constituye asesoría legal. Consulta siempre el texto oficial.
- Res. SBS 2116-2009, texto actualizado con la Res. SBS 877-2020: https://intranet2.sbs.gob.pe/dv_int_cn/842/v4.0/Adjuntos/2116-2009%20actualizado%20con%20la%20877-2020.doc.pdf. Consultada el 18-10-2026.
- Res. SBS 272-2017: https://intranet2.sbs.gob.pe/dv_int_cn/1708/v7.0/Adjuntos/272-2017.R.pdf. Consultada el 18-10-2026.
- Res. SBS 877-2020: https://intranet2.sbs.gob.pe/dv_int_cn/1894/v6.0/Adjuntos/R.877-2020.pdf. Consultada el 18-10-2026.
- Res. SBS 504-2021: https://intranet2.sbs.gob.pe/dv_int_cn/2046/v4.0/Adjuntos/504-2021.R.pdf. Consultada el 18-10-2026.
- Res. SMV 014-2019-SMV/01 (texto vigente del artículo 16 de la Res. SMV 027-2016-SMV/01): https://cdn.www.gob.pe/uploads/document/file/4192015/013-2019.pdf. Consultada el 18-10-2026.
- Circular Básica Financiera (Circular Externa 004 de 2026), SFC: https://www.superfinanciera.gov.co/loader.php?lServicio=Tools2&lTipo=descargas&lFuncion=descargar&idFile=1081488. Consultada el 18-10-2026.
- Circular Básica Contable y Financiera, Título IV (compilado del 07-02-2026), Supersolidaria: https://www.supersolidaria.gov.co/sites/default/files/data/20260207_tit_iv_circ_cont_finan.pdf. Consultada el 18-10-2026.
- Res. SEPS-IGT-IGS-INSESF-INR-INGINT-INSEPS-IGJ-0116: https://www.seps.gob.ec/wp-content/uploads/NORMA-DE-RIESGO-OPERATIVO.pdf. Consultada el 18-10-2026.
- Res. JPRF-F-2023-076: https://www.bce.fin.ec/storage/JPRF/2023/JPRF-F-2023-076.pdf. Consultada el 18-10-2026.
- NCG 502, CMF: https://www.cmfchile.cl/normativa/ncg_502_2024.pdf. Consultada el 18-10-2026.
- Disposiciones de carácter general aplicables a las instituciones de crédito (CUB), CNBV: https://www.cnbv.gob.mx/Normatividad/Disposiciones%20de%20car%C3%A1cter%20general%20aplicables%20a%20las%20instituciones%20de%20cr%C3%A9dito.pdf. Consultada el 18-10-2026.
- Disposiciones de carácter general aplicables a las instituciones de tecnología financiera (CUITF), CNBV: https://www.cnbv.gob.mx/Normatividad/Disposiciones%20de%20car%C3%A1cter%20general%20aplicables%20a%20las%20Instituciones%20de%20Tecnolog%C3%ADa%20Financiera.pdf. Consultada el 18-10-2026.
- Reglamento (UE) 2022/2554 (DORA), EUR-Lex: https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32022R2554. Consultada el 18-10-2026.
- Banco de España, carátula de adopción de las Directrices JC/GL/2024/36: https://www.bde.es/f/webbe/INF/MenuHorizontal/Normativa/guias/JC_GL_2024_36_Directrices_conjuntas_cooperacion_supervision_e_intercambio_de_informacion_AES_y_CAs_Reg_UE_2022_2554_ES.pdf. Consultada el 18-10-2026.
- CNMV, procedimiento de notificación de incidentes graves TIC (DORA): https://www.cnmv.es/DocPortal/Ciberseguridad/Comunicacion_incidentes_es.pdf. Consultada el 23-10-2026.
- BOE-A-2025-232, Resolución de la DGSFP sobre las Directrices de cooperación del Reglamento (UE) 2022/2554: https://www.boe.es/diario_boe/txt.php?id=BOE-A-2025-232. Consultada el 23-10-2026.
- NCG 454, CMF: https://www.cmfchile.cl/institucional/mercados/ver_archivo.php?archivo=%2Fweb%2Fcompendio%2Fncg%2Fncg_454_2021.pdf. Consultada el 23-10-2026.
- ISO 31000:2018, ISO: https://www.iso.org/standard/65694.html. Consultada el 23-10-2026.
- COSO, Enterprise Risk Management—Integrating with Strategy and Performance, Executive Summary (2017): https://www.coso.org/_files/ugd/3059fc_61ea5985b03c4293960642fdce408eaa.pdf. Consultada el 23-10-2026.
Actualizado el 23-10-2026. Ver todos los recursos