En agosto de 2011 la Junta Monetaria emitió la resolución JM-102-2011, el primer Reglamento para la Administración del Riesgo Tecnológico del sistema financiero guatemalteco. Era un documento de veintiséis artículos escrito para un mundo donde el centro de datos estaba en el sótano del banco y la nube era una metáfora del clima.
Diez años después llegó la JM-104-2021, que lo sustituyó con ocho capítulos y cuarenta y seis artículos. Y en octubre de 2025, la JM-98-2025 lo actualizó de nuevo. Entre medio apareció además la JM-91-2024, el Reglamento de Medidas de Seguridad en Canales Electrónicos, modificado a su vez por la JM-99-2025.
Cuatro reglamentos en cinco años. Si usted trabaja en una institución supervisada, ya lo sabe. Si trabaja en una cooperativa, este artículo es para usted.
Qué exige realmente el reglamento
Más allá de la letra, la norma pide tres cosas que cambian la forma de operar:
- Responsabilidades nombradas. El consejo de administración y el comité de gestión de riesgos dejan de ser espectadores. Alguien firma.
- Funciones específicas que deben existir. Un oficial de seguridad de la información, un centro de operaciones de seguridad y un equipo de respuesta a incidentes cibernéticos. No son recomendaciones: son estructuras que el supervisor espera encontrar.
- Evidencia de que los procedimientos se ejecutan. Tener una política escrita no es cumplir. Cumplir es poder mostrar que la política se aplicó, cuándo, sobre qué activo y con qué resultado.
Ese tercer punto es el que hunde a la mayoría. Las instituciones suelen tener los documentos. Lo que no tienen es el rastro.
Por qué esto le importa a una cooperativa que nadie supervisa
Las cooperativas de ahorro y crédito en Guatemala no están bajo la Superintendencia de Bancos. Legalmente, la JM-98-2025 no les aplica.
En la práctica, la exigencia les llega por otras tres vías, y todas con la misma fuerza:
- Los organismos de integración adoptan la norma bancaria como referencia porque no existe otra mejor.
- Los auditores externos la usan como criterio de evaluación, porque es el estándar del país para el sector financiero.
- La banca corresponsal la exige cuando hay que abrir o mantener cuentas y corresponsalías.
Es un segmento con la obligación funcional y sin la obligación legal. Que no haya una multa detrás no significa que no haya consecuencias: significa que llegan más tarde y en forma de observación de auditoría, no de sanción.
Qué hacer, en orden
Si está empezando desde cero, este es el orden que menos dinero desperdicia:
- Diagnóstico de brecha contra el reglamento vigente y contra ISO/IEC 27001:2022. Cuatro a ocho semanas. Sin esto, cualquier inversión es una apuesta.
- Nombrar responsables antes de comprar herramientas. Un oficial de seguridad sin herramientas puede avanzar; una herramienta sin dueño no hace nada.
- Cerrar los hallazgos críticos, que casi siempre son los mismos: accesos sin revocar, respaldos sin prueba de restauración, y ausencia total de registro de cambios.
- Montar el registro, es decir, la capacidad de producir evidencia sin trabajo manual. Es lo que convierte un esfuerzo puntual en cumplimiento sostenible.
- Ensayar el incidente antes de que ocurra. Un plan de respuesta que nunca se probó es un documento, no una capacidad.
Una advertencia sobre citar la norma
Antes de citar cualquier resolución en una propuesta, un informe o una presentación al comité de riesgos, verifique el número, la versión vigente y la fecha de entrada en vigor en el Sistema de Leyes y Normativa Prudencial de la Superintendencia de Bancos.
Las resoluciones se modifican cada pocos años. Citar una versión derogada frente a un comité de riesgos cuesta la credibilidad completa, y no hay forma elegante de recuperarla en la misma reunión. En Otero esa verificación se hace cada trimestre y es responsabilidad de una persona nombrada, no del equipo en general.