La Resolución SBS N.° 01959-2026 introduce un cambio que puede alterar la arquitectura interna de los grupos financieros peruanos: desde el 1 de julio de 2027, la entidad responsable de reportar información consolidada deberá procurar que las empresas vinculadas adopten estándares de gobierno corporativo y gestión integral de riesgos compatibles con los exigidos por la Superintendencia de Banca, Seguros y AFP (SBS). La regla no convierte automáticamente a cada sociedad del conglomerado en una entidad supervisada por la SBS, pero sí reduce el margen para que una empresa regulada opere con controles estrictos mientras otras compañías del mismo grupo mantienen prácticas más laxas.
La modificación fue publicada en el Diario Oficial el 4 de agosto de 2026 y concede casi once meses de adecuación. Ese plazo parece amplio, pero para un conglomerado con bancos, aseguradoras, administradoras de fondos, empresas de servicios financieros y sociedades no reguladas implica revisar directorios, comités, matrices de riesgo, canales de información, auditorías y políticas de operaciones entre vinculadas. El alcance práctico de la norma dependerá menos de la existencia de un nuevo manual y más de la capacidad de la empresa cabeza de grupo para demostrar que sus controles funcionan en toda la estructura.
La regla cambia el centro de responsabilidad
El Reglamento de Gobierno Corporativo y de la Gestión Integral de Riesgos aprobado mediante la Resolución SBS N.° 272-2017 ya exigía a las entidades supervisadas contar con sistemas formales para identificar, medir, controlar y reportar sus riesgos. La nueva resolución modifica el alcance de ese esquema. Incorpora las definiciones de “grupo consolidable”, “grupo financiero” y del reglamento de supervisión consolidada, y añade una obligación específica cuando la SBS ejerce supervisión consolidada.
La empresa que remite la información consolidada pasa a ocupar una posición más exigente. Debe procurar que las entidades del grupo adopten estándares de gobierno corporativo y gestión integral de riesgos atendiendo a la naturaleza, tamaño, complejidad y marco normativo de cada sociedad. La palabra “procurar” es determinante: la disposición no establece que todas las entidades deban copiar de manera idéntica el reglamento aplicable a un banco o una aseguradora. Exige, en cambio, una gestión activa para que las diferencias entre compañías sean justificadas y no se conviertan en espacios ciegos para el riesgo.
La lógica está respaldada por el artículo 138 de la Ley N.° 26702 y por la Resolución SBS N.° 11823-2010, que regulan la supervisión consolidada de conglomerados financieros y mixtos. El supuesto de fondo es sencillo: una entidad no supervisada directamente puede afectar la solvencia, liquidez, reputación o continuidad operativa de otra que sí está bajo vigilancia. Un problema originado en una empresa de servicios, una inmobiliaria vinculada o una sociedad que concentra operaciones tecnológicas puede trasladarse al banco del grupo mediante garantías, préstamos, dependencia operativa, conflictos de interés o pérdida de confianza.
El riesgo no desaparece en la frontera societaria
La primera lectura relevante es que la SBS está intentando cerrar una brecha frecuente en los conglomerados: la separación legal entre compañías no siempre coincide con la separación económica del riesgo. Una empresa puede tener personalidad jurídica propia, estados financieros independientes y un directorio formalmente distinto, pero seguir dependiendo de la misma tesorería, de los mismos sistemas, de los mismos accionistas o de la misma marca comercial.
En ese contexto, la supervisión limitada a las entidades reguladas puede producir una imagen incompleta. Un banco podría cumplir con sus límites de concentración y sus protocolos de continuidad, mientras una empresa relacionada acumula obligaciones con proveedores críticos o mantiene una exposición elevada a un solo cliente. Si ambas comparten sistemas, caja, personal clave o garantías cruzadas, el deterioro de la compañía menos regulada puede presionar a la entidad supervisada. La nueva norma busca que ese vínculo sea visible antes de que se transforme en una contingencia financiera.
Este es el primer cambio de fondo: la gestión de riesgos deja de ser únicamente una función de cada empresa y pasa a convertirse en una responsabilidad de coordinación del grupo. La matriz o entidad responsable tendrá que conocer riesgos que anteriormente podían ser tratados como asuntos internos de una compañía no supervisada. Eso incluye riesgos financieros, operativos, tecnológicos, legales, de conducta, reputacionales y de concentración.
Una obligación proporcional, no una uniformidad mecánica
El segundo punto, menos evidente, es que la resolución no impone una homogeneización absoluta. La propia SBS reconoce que la aplicación debe considerar la actividad, el tamaño, la complejidad y el marco normativo de cada entidad. Una administradora de fondos, una empresa de seguros, una compañía tecnológica y una sociedad dedicada a servicios administrativos no enfrentan los mismos riesgos ni requieren idénticos controles.
La proporcionalidad puede evitar costos innecesarios. Obligar a una pequeña empresa de soporte a replicar todos los comités y reportes de un banco sería ineficiente y podría generar estructuras puramente formales. Sin embargo, la flexibilidad también crea una zona de interpretación. El desafío será determinar cuándo una adaptación es razonable y cuándo constituye una excusa para mantener controles insuficientes. La SBS probablemente tendrá que evaluar no solo la existencia de políticas, sino la trazabilidad de las decisiones y la evidencia de que la empresa dominante corrigió deficiencias conocidas.
Un ejemplo hipotético ayuda a dimensionar el problema. Si una entidad no supervisada concentra la administración de datos, pagos o servicios tecnológicos de un banco del mismo grupo, no sería suficiente que el banco posea un plan de continuidad propio. El grupo tendría que verificar la seguridad, respaldo, recuperación y gobierno de esa empresa proveedora. El estándar no tendría que ser idéntico al del banco, pero sí suficientemente robusto para que una interrupción o un ataque no comprometa la operación supervisada.
La proporcionalidad, por tanto, no debe confundirse con una excepción general. Puede reducir la carga documental para las empresas pequeñas, pero aumenta la responsabilidad de los directorios y de la entidad consolidante: deberán explicar por qué un control es adecuado para cada negocio y cómo se verifica su cumplimiento.
El costo inmediato recaerá en la gobernanza
Para los grupos financieros, el impacto más tangible será organizacional. Deberán mapear sus estructuras societarias, identificar quién toma decisiones críticas, revisar los flujos de información y establecer mecanismos para que los riesgos de las compañías vinculadas lleguen a los órganos de gobierno correspondientes. En muchos casos, el primer obstáculo no será tecnológico, sino corporativo: empresas del mismo grupo pueden tener culturas, sistemas de incentivos y niveles de transparencia diferentes.
Los directorios tendrán que responder preguntas que antes podían quedar fuera de su agenda: ¿qué obligaciones mantiene una compañía relacionada con terceros? ¿Qué servicios esenciales presta al banco? ¿Existen garantías cruzadas? ¿Quién puede aprobar operaciones entre empresas vinculadas? ¿Qué ocurre si una sociedad no comparte información o se niega a adoptar una política de grupo? La respuesta no puede descansar exclusivamente en el área de cumplimiento. Requiere una línea clara de responsabilidad entre directorio, gerencia, auditoría interna y gestión de riesgos.
También habrá costos de implementación. La adecuación puede exigir inversiones en sistemas de reporte, clasificación de riesgos, controles de acceso, auditorías independientes y capacitación. Para los grandes grupos, el gasto será absorbible, aunque la integración de plataformas y bases de datos puede ser compleja. Para empresas medianas, la exigencia puede acelerar la profesionalización, pero también elevar costos fijos y hacer menos atractivas ciertas estructuras de diversificación.
El efecto competitivo es ambiguo. Un marco de control más sólido puede beneficiar a los grupos que ya cuentan con una gobernanza integrada y aumentar la confianza de depositantes, asegurados y afiliados. Pero podría afectar a conglomerados que se expandieron mediante adquisiciones de compañías con sistemas débiles o escasa disciplina corporativa. La nueva regla puede convertir la calidad del gobierno interno en una condición más importante para comprar, mantener o vender una empresa vinculada.
Quién gana y quién asume la carga
Para los ahorristas, asegurados y afiliados de fondos de pensiones, el beneficio esperado es indirecto pero significativo. Una visión consolidada permite detectar antes los conflictos de interés, las exposiciones excesivas y las dependencias operativas que no aparecen al mirar cada balance por separado. También puede mejorar la protección de los fondos administrados, porque obliga a considerar el entorno corporativo que rodea a la entidad regulada.
La SBS obtiene una herramienta para exigir explicaciones sobre la conducta del grupo, aunque su capacidad dependerá de la calidad de la información que reciba. La supervisión consolidada es tan fuerte como sus datos: si la entidad responsable no identifica una sociedad, reporta tarde o presenta información agregada que oculta concentraciones, la norma pierde eficacia. Por eso, el proceso de adecuación debería incluir formatos comparables, criterios de materialidad y mecanismos para verificar la información, no solo declaraciones de cumplimiento.
Los accionistas pueden observar la reforma desde dos ángulos. Quienes buscan estabilidad encontrarán ventajas en una estructura de control común. Otros podrían cuestionar que una empresa regulada tenga que dedicar recursos a vigilar compañías que no generan ingresos financieros directos o que operan bajo leyes diferentes. La respuesta regulatoria es que el costo no se justifica por la propiedad común en sí misma, sino por la posibilidad de contagio. La controversia aparecerá en los casos donde el vínculo societario sea débil, pero la SBS considere que existe un riesgo material.
Las empresas no supervisadas también enfrentarán una tensión. No estarán sometidas automáticamente a todas las obligaciones prudenciales de un banco, pero su pertenencia a un grupo supervisado las colocará bajo una expectativa mayor de transparencia. Esto puede ser especialmente sensible para sociedades familiares, vehículos de inversión o compañías tecnológicas que no fueron diseñadas para entregar información con la frecuencia y precisión que exige una institución financiera.
El verdadero examen será la supervisión de terceros
Una de las áreas más delicadas será la gestión de proveedores y servicios compartidos. Los conglomerados suelen centralizar tecnología, recursos humanos, compras, tesorería, infraestructura y procesamiento de datos. Esa centralización reduce costos, pero crea puntos únicos de falla. Si una sola plataforma sostiene operaciones de varias entidades, un incidente puede multiplicar sus efectos y dificultar la recuperación.
La nueva exigencia también puede elevar la calidad de la gestión de riesgos de terceros. Las empresas deberán definir niveles de servicio, derechos de auditoría, planes de contingencia, protocolos de ciberseguridad y mecanismos de salida. El riesgo ya no será evaluado únicamente por el contrato comercial, sino por su impacto en la estabilidad de las entidades supervisadas.
La amenaza más probable no es que los grupos carezcan de políticas, sino que exista una brecha entre la política y la práctica. Los manuales pueden estar actualizados mientras los comités no reciben información completa, los indicadores no se revisan oportunamente o las excepciones se vuelven permanentes. La SBS tendrá que distinguir entre cumplimiento documental y control efectivo. Esa diferencia será central en las inspecciones posteriores al 1 de julio de 2027.
De aquí a julio de 2027: la ventana de adecuación
El calendario ofrece una oportunidad para que los grupos actúen antes de que la obligación sea exigible. El primer paso debería ser un inventario completo de entidades, participaciones, negocios, servicios compartidos, garantías y flujos financieros. Después será necesario clasificar los riesgos por impacto potencial sobre las compañías supervisadas, en lugar de limitarse a una clasificación basada en el tamaño legal de cada empresa.
El segundo paso consiste en establecer una arquitectura de gobierno. La entidad consolidante debería contar con facultades para solicitar información, imponer estándares mínimos, escalar incumplimientos y reportar riesgos relevantes al directorio. Sin autoridad efectiva, la obligación de “procurar” puede quedar reducida a recomendaciones no vinculantes.
El tercer paso será probar los controles. Simulaciones de interrupción tecnológica, crisis de liquidez, filtración de datos, incumplimiento de un proveedor o deterioro de una empresa vinculada permitirán comprobar si la información circula y si alguien tiene capacidad real de decisión. Estos ejercicios serán más útiles que una revisión puramente formal de políticas.
El plazo también podría impulsar una revisión de estructuras corporativas. Algunos grupos optarán por integrar funciones para mejorar el control; otros podrían separar negocios, vender unidades de bajo rendimiento o reducir relaciones financieras entre compañías. No sería correcto atribuir cualquier reorganización futura exclusivamente a la resolución, pero la norma sí cambia el costo de mantener estructuras complejas y opacas.
Más transparencia, pero también nuevos riesgos
El principal riesgo regulatorio es la sobrerreacción. Si los grupos interpretan la norma como una obligación de uniformidad total, podrían crear capas burocráticas que no mejoren la identificación de riesgos. La gestión debe ser proporcional y orientada a resultados. Más comités no significan necesariamente mejor gobierno si los directores carecen de información pertinente o si las responsabilidades se diluyen.
Existe además un riesgo de concentración de poder en la empresa que remite la información consolidada. Si esa entidad define estándares para todo el grupo sin controles de independencia, podría imponer decisiones que favorezcan a una línea de negocio o trasladar riesgos hacia compañías menos visibles. La supervisión consolidada necesita, por ello, mecanismos para detectar conflictos de interés y operaciones intragrupo que no respondan a condiciones de mercado.
Otro desafío es la coordinación con otras autoridades y normas sectoriales. Una empresa del conglomerado puede estar regulada por un régimen distinto o no estar sometida a supervisión prudencial directa. Las exigencias de la SBS tendrán que convivir con las reglas societarias, tributarias, de protección de datos, mercado de valores y competencia. La ausencia de criterios coordinados podría generar duplicidades, costos innecesarios o interpretaciones contradictorias.
La tendencia de fondo, sin embargo, apunta hacia una supervisión cada vez más basada en el riesgo consolidado. Los reguladores internacionales han aprendido que las crisis no respetan organigramas: se transmiten por liquidez, reputación, tecnología, garantías y confianza. Perú está reforzando esa mirada mediante una norma que no amplía formalmente la licencia de las entidades supervisadas, pero sí amplía el perímetro de la responsabilidad corporativa.
El resultado dependerá de cómo se aplique la regla. Si la SBS exige información útil, evalúa la proporcionalidad y sanciona deficiencias materiales, los grupos tendrán incentivos para construir controles verdaderamente integrados. Si el proceso se convierte en una lista de documentos, las compañías podrán cumplir en el papel sin reducir sus vulnerabilidades. La fecha del 1 de julio de 2027 no será el final del proceso, sino el punto a partir del cual la solidez de un grupo financiero se medirá también por aquello que ocurre fuera de la entidad directamente supervisada.
