El proyecto puesto a conocimiento por la Superintendencia de Servicios Financieros (en adelante, “SSF”) del Banco Central del Uruguay (en adelante, “BCU”) reemplaza al que se puso en consulta el 3 de junio de 2026 y adapta la normativa al art. 715 de la Ley 20.446, que sustituyó el art. 2 de la Ley 17.613.
La Superintendencia de Servicios Financieros (en adelante, “SSF”) puso en conocimiento de las instituciones supervisadas y del público un proyecto normativo sustitutivo del que había sido puesto a consulta el 3 de junio de 2026. La reforma responde al cambio legal introducido por el artículo 715 de la Ley N° 20.416 de 31 de julio de 2025, que sustituyó el artículo 2 de la Ley N° 17.613, y alcanza a cuatro recopilaciones: RNRCSF, RNMV, RNSR y RNCFP.
Con relación a la estructura, se derogan los capítulos de tercerización que estaban repartidos por tipo de entidad. Las reglas se unifican en un nuevo Título XIII:
- RNMV: arts. 143.17 a 143.24. Aplica a bolsas, plataformas de financiamiento colectivo, intermediarios de valores, administradoras de fondos (en adelante, “SAFI”), fiduciarios, asesores de inversión, gestores de portafolios, cajas de valores y proveedores de servicios de activos virtuales (en adelante, “PSAV”). Se derogan los artículos 58.1 a 58.3 (bolsas de valores), 59.18 a 59.22 (plataformas de financiamiento colectivo), 67.1 a 67.3 (intermediarios de valores), 76.2 a 76.4 y 76.6 (administradoras de fondos de inversión), 106 a 106.3 (fiduciarios financieros), 127.1 a 127.3 (asesores de inversión), 127.17 a 127.19 (gestores de portafolios), 127.40 a 127.42 (proveedores de servicios de activos virtuales, cuyo artículo 127.39 se renombra) y 135.1 a 135.3 (cajas de valores).
- RNRCSF: arts. 125.25 a 125.30.
En los requisitos para obtener autorización o inscripción solo queda la "descripción de los servicios a tercerizar imprescindibles para la entrada en operación".
- PLAZOS DE COMUNICACIÓN (art. 143.19)
- La comunicación debe ser previa, antes de firmar el contrato, sin plazo mínimo.
- La comunicación se hace a través de una declaración jurada (proyecto de Circular 1).
- Desaparece el preaviso de 30 días y la posibilidad de que el BCU suspenda el plazo.
- La SSF en todo caso puede pedir información adicional.
Se establecen 180 días corridos de antelación para:
- Alojamiento o procesamiento masivo de datos de clientes u operaciones, o traslado de la infraestructura tecnológica crítica a otro centro de datos (físico o nube), salvo las excepciones previstas por Comunicación.
- Cualquier servicio que refiera a funciones de gestión de riesgos, tecnología o seguridad de la información; o no tenga sustituto razonable porque se discontinúa, no hay proveedor alternativo ni forma de internalizarlo en un tiempo aceptable.
El informe de riesgos debe fundamentar por qué el servicio ingresa o no en el régimen de 180 días. Los cambios posteriores de alcance o condiciones se comunican respetando el plazo que corresponda.
- NO TERCERIZABLE CONFORME A LA RNMV (art 143.18)
- Se mantiene la prohibición en la aceptación de clientes. En las SAFI, solo cuando el cliente contrata directamente con la sociedad.
- Intermediarios de valores: Se mantiene la prohibición en la ejecución de operaciones por cuenta de clientes.
- Plataformas de financiamiento colectivo: la gestión del sistema de negociación.
- Fiduciarios: la disposición de los activos del patrimonio fiduciario.
- Asesores de inversión: Se prohibe la tercerización del asesoramiento en valores objeto de oferta pública y de la canalización de órdenes de clientes (literales a) y b) del art. 124.1).
- Gestores de portafolio: No pueden tercerizar la administración -en forma discrecional e individualizada- de las tenencias de valores de clientes (literal a) del art. 127.8).
- CLÁUSULAS MÍNIMAS DEL CONTRATO (art. 143.20).
- Localización del procesamiento, del mantenimiento y de los respaldos.
- Confidencialidad sin plazo de finalización.
- Obligación del proveedor, al terminar el contrato, de transferir los datos y luego eliminarlos.
- Auditoría sin restricciones y acceso irrestricto sin preaviso a datos y documentación, también para el interventor o liquidador.
- Si el servicio se presta en el exterior y el contrato no lo prevé: acceso de solo lectura, exclusivo y sin restricciones, desde las oficinas de la entidad, para funcionarios de la SSF.
- Obligación del proveedor de avisar eventos que afecten el servicio.
- Obligación de seguir prestando el servicio durante una intervención, resolución o liquidación, siempre que se le siga pagando.
- Rescisión si la SSF lo instruye. Si el contrato no lo prevé, la entidad asume la responsabilidad que derive de esa instrucción.
- OTRAS EXIGENCIAS
- Políticas escritas de gestión de riesgos durante todo el ciclo de vida, incluido el riesgo de concentración cuando varias actividades van al mismo proveedor.
- Informe de riesgos ampliado: resiliencia operativa, seguridad de la información, solvencia del tercero y del subcontratado, riesgo legal sobre el secreto y la justificación de los 180 días.
- La entidad paga los costos de supervisión en el exterior.
- REGÍMENES ESPECÍFICOS (arts. 143.22, 143.23, 198, 198.1 y 374.1).
Procesamiento en o desde el exterior:
- Se mantiene la regla de contar con una copia en Uruguay o, en su lugar, un punto unificado de acceso en el país.
- Como novedad se requieren pruebas anuales documentadas del punto unificado, por persona y por servicio.
- El plan de continuidad y el de recuperación deben probarse con éxito dentro de los 60 días de iniciado el procesamiento y luego una vez al año.
Trato directo con clientes por terceros (aplica a intermediación, gestión y asesoramiento):
- El tercero debe estar regulado, cumplir la capacitación del art. 214 y no puede subcontratar.
- La entidad debe tener un informe jurídico sobre el secreto en la jurisdicción del tercero, un listado de clientes atendidos y acceso en línea a la información.
Gestión de activos de fondos:
- Si el tercero es local: debe ser banco, cooperativa de intermediación financiera, intermediario de valores o gestor de portafolios.
- regulador miembro de IOSCO y firmante del Apéndice A del MMoU;
- no objeción a que la SSF supervise en esa jurisdicción;
- jurisdicción no observada por GAFI.
Debida diligencia tercerizada:
- Comunicación previa y tercero regulado.
- País no sujeto a medidas especiales del GAFI ni en la lista de jurisdicciones no cooperantes de la OCDE.
- Cláusulas mínimas en el contrato, sin subcontratación.
- Actualización de la documentación cada 2 años y listado de clientes.
- El actual 198.1 pasa a ser el 198.1.1.
Multas:
- RNMV: entre 26 y 1.300 veces la multa del art. 357. Es decir, un rango que oscila entre las 130.000 y 6.500.000 UI.
- RNRCSF: entre el 1‰ y el 5% de la responsabilidad patrimonial básica para bancos.
- SERVICIOS EXCEPTUADOS DE COMUNICACIÓN PREVIA Y DE CONDICIONES (proyecto de Comunicación 2).
- servicios generales (vigilancia, limpieza, mantenimiento y reparaciones, entre otros) y apoyo administrativo (pago y liquidacion de sueldos, compras, entre otros);
- investigación de mercado y publicidad sin datos individualizados de clientes;
- asesoría jurídica, fiscal, contable y económico-financiera;
- impresión de comunicaciones de carácter comercial o de promocion sin información de clientes;
- mantenimiento informático sin acceso a datos;
- guarda, traslado y custodia de de documentos que no sean de operaciones de clientes ni contables;
- algunos servicios propios de aseguradoras.
Se deroga en este sentido, la Comunicación 2020/030.
- SAAS/PAAS EXCEPTUADOS DEL PLAZO DE 180 DÍAS (proyecto de Comunicación 3).
Basta la comunicación previa simple para:
- SaaS: autenticación dinámica para acceso y transacciones, herramientas para control de listas en cumplimiento de la prevención de LAFTPADM y plataformas de gestion de relacionamiento con clientes (CRM);
- PaaS: sin datos personales, o con datos disociados según la Ley 18.331.
- Requisitos que deben cumplir para ingresar en la excecpión: SLA de al menos 99,9% con penalidades, ISO 27001 e ISO 27017, o haber aplicado a CSA STAR Level 1. Deroga las Comunicaciones 2022/254 y 2024/103.
Por último, no hay régimen transitorio para los contratos vigentes que cambien de alcance, ni para los servicios ya en curso que pasen a la categoría de 180 días.
Los comentarios se reciben hasta el 6 de noviembre de 2026 en el correo electrónico: ssfproyectonormativoif@bcu.gub.uy. Se debe indicar en el asunto a qué proyecto refieren.
