Entre el 7 y el 23 de octubre recorrimos cuatro ciudades con las Regionales Financoop 360°, y en todas abrimos con la misma pregunta: ¿quién actualizó la app de su cooperativa después del 28 de septiembre?
Cambiaban las salas. En Portoviejo fue una sala de reuniones; en Ambato, un aula con escritorios; en Quito, un salón con mesas redondas; en Cuenca, un salón con jardín. La pregunta seguía siendo la misma porque la respuesta importa igual en cualquier cooperativa: si esa actualización salió después del 28 de septiembre de 2026, ya debía cumplir la Resolución SEPS 0157.
Muchas entidades creen que tienen 12 o 24 meses. Los tienen, pero solo para lo que ya estaba en operación. Toda app nueva y toda actualización significativa deben cumplir desde esa fecha, sin periodo de gracia. Esa diferencia es lo que más vale la pena entender de la norma, y por eso empezamos por ahí.
Tres ideas que repetimos en cada ciudad
1. Cumplir ya no es tener políticas escritas. La 0157 pide pruebas documentadas por cada versión de la app y la aprobación del comité de riesgos antes de publicarla (Art. 42). La SEPS puede pedir esas evidencias en cualquier momento. Para nosotros, eso cambia quién debe sentarse a la mesa: la seguridad deja de ser un tema de TI y pasa a ser una decisión de la cooperativa.
2. El proveedor responde, y la cooperativa también. Las empresas que operan los canales responden directo ante la SEPS (Art. 41). Pero si el canal falla y el socio no tiene la culpa, quien le devuelve el dinero es la cooperativa, aunque la falla venga de un tercero (Art. 31). Por eso el contrato con el proveedor se vuelve parte de la seguridad: SLA, aviso de incidentes con más rapidez que las 24 horas que tiene la entidad para reportar, auditoría y condiciones de salida. Una pregunta sencilla para cualquier gerente: ¿cuánto tarda mi proveedor en avisarme de un incidente, y dónde está escrito?
3. La seguridad tiene que verla el socio. El fraude con inteligencia artificial funciona porque el socio, convencido, aprueba la transferencia él mismo, y los pagos inmediatos acortan el tiempo para reaccionar. La norma responde dándole información en el momento justo: ver monto y destino antes de aprobar (Art. 19.2), una pausa de 12 a 24 horas tras cambiar clave, límites o beneficiarios (Art. 7.18c) y un botón de pánico que congela todo con un toque (Art. 29.1). La contrapartida es la fricción, y hay que diseñarla para que no espante al socio mayor.
El ejercicio del semáforo
En cada ciudad cerramos con un ejercicio corto: un autodiagnóstico de 15 controles clave de la 0157, que cada entidad califica en verde, amarillo o rojo según lo que hoy puede demostrar, no según lo que cree que hace. La regla es simple: si dos personas califican distinto el mismo control, gana el color más bajo.
Lo que más nos interesa del ejercicio es qué pasa cuando la gerencia y el área de TI no coinciden. Para nosotros, ese desacuerdo es el hallazgo. Cuando una entidad lo descubre en un ejercicio de 15 controles, aún puede corregirlo con calma. Cuando lo descubre en una revisión de la SEPS, ya no.
Ese semáforo es la versión corta de un trabajo más amplio: la matriz de autodiagnóstico con las 165 obligaciones de la norma, que elaboramos en Tikee para la red Financoop.
Lo que nos llevamos de la gira
Salimos de Portoviejo, Ambato, Quito y Cuenca con la misma convicción: la 0157 no es un trámite que se delega a un solo equipo, y los plazos de 12 y 24 meses sirven para lo que ya opera, no para lo que se publique desde el 28 de septiembre. En Tikee estamos en el mismo proceso de adecuación que el resto del sector, y por eso preferimos conversarlo abiertamente con las cooperativas.
Si su entidad quiere empezar por el autodiagnóstico, la matriz está disponible aquí. Y si prefiere revisarla acompañado, escríbanos y lo hacemos juntos.
Gracias a Financoop por abrirnos las puertas en cada ciudad, y a las cooperativas que nos recibieron con tiempo y buenas preguntas.
0 comentarios