3 movimientos en 9 semanas, en 2 de los mercados más regulados de la región. Cada uno se comunicó por separado, cada uno llegó a los comités como una noticia de alivio, y ninguno vino con una lectura de qué hacer con el equipo y el presupuesto que ya estaban asignados contra esas fechas.
La prórroga regulatoria llegó a los reguladores de la región
Chile siguió el mismo camino con menos ruido. El 27 de julio de 2026, la CMF dictó la Norma de Carácter General 572 y otorgó un año más de plazo para reportar bajo NIIF S1 y S2: la obligación pasó del ejercicio 2026 al ejercicio 2027, con divulgación en 2028. El regulador invita a reportar de forma voluntaria durante 2027 la información del ejercicio 2026.
El tercer movimiento chileno es de otra naturaleza y pesa más. El 20 de mayo de 2026 la Sala del Senado desechó el oficio presidencial que proponía a los consejeros de la Agencia de Protección de Datos Personales, por no alcanzar el quórum de dos tercios. La Ley 21.719 entra en vigencia el 1 de diciembre de 2026 y crea una autoridad que, a la fecha de este artículo, no tiene Consejo Directivo nombrado. El Ejecutivo evalúa postergar la vigencia. Hay una fecha legal firme y un aparato de fiscalización que todavía no existe.
Esa combinación deja al responsable de protección de datos de una organización que opera en Chile en una posición incómoda. El deber de cumplir arranca el 1 de diciembre de 2026 con la ley vigente. La capacidad de fiscalizar arranca cuando el Senado apruebe una terna, en una fecha que nadie puede anticipar. El registro de actividades de tratamiento, las evaluaciones de impacto y el procedimiento de notificación de brechas tienen que estar operando desde el primer día, aunque todavía no haya quién los pida. La organización que espera a la Agencia para empezar va a construir en el plazo que fije la Agencia, y no en el suyo.
Del otro lado del Atlántico, el patrón es el mismo y arrancó antes. El Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, corrió las obligaciones de alto riesgo del AI Act: el Anexo III al 2 de diciembre de 2027 y el Anexo I al 2 de agosto de 2028. La Directiva (UE) 2026/470 ya había elevado el umbral de la CSRD a 450 millones de euros de facturación y 1.000 empleados. Es el mismo patrón que dejó
Las obligaciones que ningún regulador corrió
El documento IAF MD 30:2025 del International Accreditation Forum fija que, a más tardar el 31 de agosto de 2026, toda certificación inicial y toda recertificación acreditada de ISO 37001 debe emitirse contra la versión 2025 de la norma, con el período de transición cerrado el 28 de febrero de 2027. Una organización que renueva su certificado antisoborno en septiembre lo renueva contra la edición nueva, con su tratamiento reforzado de cultura de cumplimiento y de conflictos de interés. Esa fecha llega en semanas y no se movió.
En Perú, la Resolución SBS N° 00814-2025 incorporó al Reglamento para la Gestión de la Continuidad del Negocio un artículo 19 que prohíbe que los servicios de transferencias, pagos interoperables, pago de planillas y pago a proveedores prestados por banca por internet, aplicativo móvil o billeteras digitales se interrumpan, entre las 06:00 y las 22:00, por más de 3 horas continuas o acumuladas en el día en empresas con concentración de mercado, y por más de 5 horas en las demás. Rige desde el 1 de junio de 2025 para las primeras y desde el 1 de enero de 2026 para el resto. El incumplimiento está tipificado como infracción grave. Es una obligación de resiliencia con umbral horario, y no tuvo prórroga.
El AI Act también dejó parte de su carga en pie. El artículo 50 se aplica desde el 2 de agosto de 2026 en su obligación de informar que se interactúa con un sistema de inteligencia artificial y en la divulgación de contenido manipulado. Con él entró el artículo 101, que habilita a la Comisión Europea a multar a proveedores de modelos de propósito general con hasta 15 millones de euros o el 3% de la facturación mundial anual, el importe que sea mayor. El diferimiento al 2 de diciembre de 2026 alcanza solo al marcado legible por máquina del contenido sintético, y solo para los sistemas puestos en el mercado antes del 2 de agosto de 2026.
Por qué se posterga el reporte y se mantiene la capacidad
Una obligación de divulgación tiene un peticionante organizado. Las cámaras empresarias, los emisores y los estudios que los asesoran calculan el costo de preparar el reporte, lo presentan como carga administrativa, y encuentran un regulador dispuesto a escuchar porque el costo político de conceder es bajo. Nadie se lastima de manera visible cuando un informe se publica un año después. El beneficio del reclamo es inmediato y la consecuencia de la concesión es difusa.
Una obligación de resiliencia operacional no tiene ese peticionante. La organización que pediría relajar el umbral de interrupción de sus canales digitales es la primera perjudicada cuando el umbral se rompe, y su supervisor lo sabe. La falla de continuidad de un banco con concentración de mercado no queda dentro del banco: se propaga al sistema de pagos. Por eso el regulador que corre una fecha de reporte sin costo político no corre una de continuidad.
Los datos de supervisión sostienen esa asimetría. El primer informe conjunto de la Autoridad Bancaria Europea, la Autoridad Europea de Seguros y Pensiones de Jubilación y la Autoridad Europea de Valores y Mercados bajo DORA, publicado el 3 de junio de 2026, registró 3.383 incidentes TIC graves reportados en la Unión Europea durante 2025, con un promedio de 0,18 por entidad sujeta al reglamento y alrededor de un tercio con impacto transfronterizo. Solo el 10% estuvo relacionado con ciberseguridad: los impulsores principales fueron fallas de sistema y eventos externos. Un día antes, el Comité de Supervisión Bancaria de Basilea publicó el documento d611, dedicado de manera específica a los incidentes de tecnología no maliciosos que afectan operaciones críticas. Los 2 supervisores más grandes del mundo miraron el mismo problema en el mismo mes.
Qué hace un responsable de riesgos con un calendario que dejó de ser confiable
Recomiendo que el inventario de obligaciones deje de ordenarse por fecha y pase a ordenarse por forma de cumplimiento, con la fecha como atributo y no como eje.
Una obligación cuya forma de cumplimiento es un documento que se entrega admite holgura. Su fecha depende de una decisión administrativa que puede cambiar, y cambió 3 veces en la región durante 2026. El trabajo previo conserva su valor cuando la fecha se corre, porque el dato que había que producir sigue siendo el mismo. Planificar con margen ahí tiene bajo costo.
Una obligación cuya forma de cumplimiento es una capacidad que se demuestra bajo estrés no admite holgura, y su fecha suele ser menos visible. Nadie anuncia con conferencia de prensa que el umbral de 3 horas de la SBS empezó a regir para el resto del sistema el 1 de enero. La organización se entera cuando tiene una interrupción de 4 horas y el supervisor pide el registro.
El inventario ordenado así tiene una forma concreta. Cada obligación entra con su fuente normativa, su forma de cumplimiento, la evidencia que hay que poder mostrar, el dueño nombrado y la fecha como último campo. Ordenado por forma de cumplimiento, el inventario dice quién trabaja y con qué dotación. Ordenado por fecha, dice cuándo, que es el único dato de esa tabla que cambió 3 veces durante 2026.
Lo que un área de riesgos tiene prohibido hacer es reasignar recursos desde el segundo grupo hacia el primero porque el primero hizo más ruido. Esa restricción define el criterio de asignación del presupuesto 2027. La práctica correcta sostiene la capacidad operativa con su dotación y absorbe la prórroga del reporte moviendo el trabajo de preparación a una ventana más cómoda, sin desarmar el equipo que lo produce.
El inventario ordenado así es también la defensa contra la próxima prórroga. Un programa construido sobre una fecha se desarma cuando la fecha se mueve. Un programa construido sobre el inventario de fuentes cambia de prioridad y sigue produciendo la misma evidencia. La [ingeniería de GRC](https://ibee.education/articulo/ingenieria-grc-de-cumplimiento-a-sistema-operativo-de-control/) que sostiene ese inventario es la misma que ya opera para el riesgo operacional y la continuidad, y no se rehace cada vez que un regulador publica una resolución.
Conclusión
El calendario regulatorio de LATAM dejó de ser un insumo confiable de planificación durante 2026, y va a seguir así mientras la presión de simplificación europea siga bajando a la región.
Un área de riesgos que ordena su inventario por forma de cumplimiento sostiene su capacidad operativa cuando la fecha del reporte se mueve, y produce la evidencia que el supervisor pide sin importar qué versión del cronograma esté vigente ese trimestre.
La que ordena por fecha va a reasignar su equipo cada vez que un regulador cambie de opinión, y a llegar sin dotación al vencimiento que nadie anunció.
¿Querés dar el siguiente paso?
La formación y el desarrollo profesional no son un gasto, sino una inversión estratégica que impulsa el crecimiento individual y organizacional. Priorizar la capacitación es clave para mantenerse competitivo en un entorno laboral en constante evolución.
Preguntas frecuentes
¿Brasil eliminó la obligación de reportar sostenibilidad bajo estándares ISSB?
Sí. La Resolución CVM 244, del 29 de mayo de 2026, revocó el artículo 2 de la Resolución CVM 193 y eliminó la obligatoriedad del reporte de sostenibilidad para las compañías abiertas, con efecto sobre los ejercicios iniciados desde el 1 de enero de 2026. El régimen pasó a adopción voluntaria bajo lógica de practicar o explicar: quien decide reportar debe hacerlo bajo normas CBPS e ISSB y sostenerlo por al menos 3 ejercicios consecutivos, y quien no reporta debe justificarlo por comunicado al mercado desde el 1 de enero de 2027. El régimen de aseguramiento se mantiene para quienes reportan.
¿Cuándo hay que reportar bajo NIIF S1 y S2 en Chile?
Desde el ejercicio anual 2027, con divulgación en 2028. La Norma de Carácter General 519 de la Comisión para el Mercado Financiero había fijado el ejercicio 2026, y la Norma de Carácter General 572, dictada el 27 de julio de 2026, otorgó un año más de plazo. La CMF invita a reportar de forma voluntaria durante 2027 la información del ejercicio 2026, con retroalimentación técnica. La Norma de Carácter General 461 sigue vigente sin cambio de fecha y sigue exigiendo información de sostenibilidad y de gobierno corporativo en la memoria anual integrada.
¿Hasta cuándo se puede certificar ISO 37001 contra la versión 2016?
Hasta el 31 de agosto de 2026 para certificaciones acreditadas. El documento IAF MD 30:2025 del International Accreditation Forum establece que, a más tardar en esa fecha, toda certificación inicial y toda recertificación emitida por un organismo acreditado debe hacerse contra ISO 37001:2025, y fija el cierre del período de transición el 28 de febrero de 2027. La edición 2025 refuerza el tratamiento de la cultura de cumplimiento y de los conflictos de interés. La norma no aborda de manera específica fraude, cárteles ni lavado de activos, aunque la organización puede extender voluntariamente el alcance de su sistema.
¿Qué obligaciones del AI Act entraron en aplicación el 2 de agosto de 2026?
La obligación de informar que se interactúa con un sistema de inteligencia artificial y la de divulgar contenido manipulado, ambas del artículo 50 del Reglamento (UE) 2024/1689, junto con el artículo 101, que habilita a la Comisión Europea a multar a proveedores de modelos de propósito general con hasta 15 millones de euros o el 3% de la facturación mundial anual, el importe que sea mayor. El marcado legible por máquina del contenido sintético quedó diferido al 2 de diciembre de 2026, y solo para los sistemas puestos en el mercado antes del 2 de agosto de 2026.
¿Cuánto tiempo puede estar caído el canal digital de un banco en Perú?
Un máximo de 3 horas continuas o acumuladas en el mismo día para empresas con concentración de mercado, y 5 horas para las demás, dentro del horario de 06:00 a 22:00. El artículo 19 incorporado por la Resolución SBS N° 00814-2025 al Reglamento para la Gestión de la Continuidad del Negocio alcanza a transferencias intrabancarias e interbancarias, pagos interoperables, pago de planillas empresariales y pago a proveedores por banca por internet, aplicativo móvil o billeteras digitales. Rige desde el 1 de junio de 2025 para las primeras y el 1 de enero de 2026 para el resto, y su incumplimiento es infracción grave.
¿Qué evalúa la Quinta Ronda de Evaluaciones Mutuas del GAFILAT?
Evalúa la efectividad del sistema nacional de prevención de lavado de activos y financiamiento del terrorismo, con criterios centrados en resultados. El LIII Pleno de Representantes del GAFILAT, reunido en Lima entre el 13 y el 17 de julio de 2026, aprobó las actualizaciones a los procedimientos de esa ronda, alineadas con la metodología del GAFI. El cambio de enfoque afecta a los sujetos obligados: un programa documentado y sin evidencia de funcionamiento deja de acreditar cumplimiento. El calendario de evaluaciones se maneja país por país y no es de acceso público.
¿Te has preguntado cómo gestionar eficazmente estos riesgos?
¡No busques más!
En Iberoamericana Educación Ejecutiva, hemos creado programas pensando en tus necesidades de información y formación.
Nuestros expertos internacionales han diseñado un completo Programa al respecto para brindarte las herramientas necesarias para comprender y enfrentar estos desafíos de manera efectiva.
¡No esperes más para inscribirte!
Los programas de formación ya están disponibles y estamos aquí para ayudarte a ampliar tus conocimientos y habilidades en esta área crucial.
