El BCU sustituye la autorización previa por comunicación y traslada a las entidades la responsabilidad plena sobre riesgos y control en las tercerizaciones.
Por Marcelo Casciotti, socio fundador de Globaltax La evolución reciente del régimen de tercerización en Uruguay no debe interpretarse como un simple ajuste operativo. La sustitución de la Comunicación delBanco Central (BCU) 2026/009 por la Comunicación 2026/019, de 23 de enero de 2026 y la consiguiente derogación de la propia Comunicación 2026/019 revela un desplazamiento más profundo: el tránsito desde un modelo de control administrativo ex ante hacia un esquema basado en la responsabilidad técnica directa de la entidad supervisada.
El cambio normativo elimina la autorización previa del regulador, sustituyéndola por un régimen de comunicación previa. Sin embargo, lejos de implicar una flexibilización del estándar, el nuevo marco intensifica las exigencias sobre la calidad del diseño, la gestión de riesgos y la gobernanza interna. La simplificación es formal; la carga sustantiva se mantiene e incluso se profundiza.
Del control previo a la responsabilidad estructural
En el régimen anterior, la autorización previa funcionaba como un filtro institucional: el regulador validaba la estructura antes de su implementación. Bajo el nuevo enfoque, ese control se traslada a la fase posterior, donde el énfasis ya no está en el permiso sino en la coherencia del modelo y la capacidad de gestión del riesgo.
Este cambio implica una redefinición del rol del regulador y, correlativamente, una ampliación de la responsabilidad de la entidad supervisada. La tercerización deja de ser un asunto meramente operativo para convertirse en un componente crítico del sistema de control interno. La ausencia de objeción previa no equivale a validación; la carga de demostrar la robustez del esquema recae ahora sobre la entidad.
En términos jurídicos, el principio de responsabilidad indelegable adquiere centralidad: la externalización de funciones no transfiere la responsabilidad frente al regulador. La entidad continúa siendo titular del riesgo.
La Comunicación 2026/019: precisión operativa
La Comunicación 2026/019 aun dentro de su vigencia y posterior derogación no alteró el eje conceptual del nuevo paradigma, pero sí densificó su contenido operativo. En particular: Definió plazos mínimos de comunicación previa (90 o 30 días según la naturaleza de la tercerización). Estableció la obligación de canalizar la presentación a través del Portal IDI (tipo de dato 153). Formalizó un contenido mínimo obligatorio para la comunicación.
Entre los elementos exigidos: identificación del proveedor; alcance del servicio; tratamiento de datos; esquemas de subcontratación.
Aspectos que antes operaban como "buenas prácticas" pasan a adquirir estatus normativo. La regulación no prescribe cómo estructurar la tercerización, pero sí exige que el diseño sea comprensible, trazable y evaluable desde la perspectiva de riesgo.
La derogación de la Comunicación 2026/019 no implica retorno al régimen previo, sino consolidación del enfoque basado en responsabilidad directa y supervisión posterior.
Relevancia jurídica del diseño contractual
En este nuevo esquema, el contrato de tercerización deja de ser un instrumento meramente comercial para adquirir dimensión regulatoria.
La asignación de responsabilidades, los mecanismos de control, el tratamiento de datos y la continuidad operativa pasan a ser elementos potencialmente evaluados por el supervisor.
No se trata solo de formalizar la relación con el proveedor, sino de demostrar que el modelo: es consistente con el sistema de gestión de riesgos, mantiene control efectivo sobre el servicio, preserva la responsabilidad regulatoria de la entidad.
La debilidad contractual se transforma en debilidad regulatoria.
Cuando se rompe la coherencia entre: modelo operativo, matriz de riesgos, arquitectura documental, el problema deja de ser contractual para convertirse en un riesgo de supervisión.
El desplazamiento del riesgo: de la autorización a la supervisión
La eliminación de la autorización previa no reduce el control; lo transforma.
El riesgo regulatorio ya no se concentra en la aprobación inicial, sino en la revisión posterior del funcionamiento efectivo del esquema.
La entidad debe poder demostrar en cualquier instancia: evaluación adecuada del proveedor, control efectivo del servicio, identificación y gestión de riesgos, preservación del gobierno interno.
El regulador interviene menos antes, pero examina más después, y con mayor profundidad.
Eficiencia regulatoria sin desregulación
Desde una perspectiva sistémica, el cambio se alinea con tendencias internacionales basadas en riesgo y responsabilidad primaria de las entidades supervisadas.
El objetivo no es reducir exigencias, sino mejorar la eficiencia del control: menos fricción administrativa, mayor foco en la sustancia, más exigencia en diseño y ejecución.
La simplificación es procedimental; el estándar regulatorio permanece intacto.
Conclusión: madurez institucional y responsabilidad técnica
La Comunicación BCU 2026/019 aun con su posterior derogación consolidó un cambio estructural en el tratamiento regulatorio de las tercerizaciones.
La transición desde autorización previa hacia comunicación previa no implicó menor regulación, sino una reconfiguración del mecanismo de control.
El eje ya no está en obtener aprobación, sino en sostener coherencia regulatoria. El riesgo no desaparece: se desplaza hacia: la calidad del diseño, la disciplina documental, la efectividad del control, la capacidad de demostrar gestión real del riesgo.
En este marco, la tercerización deja de ser una decisión operativa para convertirse en una cuestión de gobierno corporativo.
Y en ese terreno, la prueba decisiva no es la comunicación al regulador, sino la solidez del modelo cuando es sometido a escrutinio.
El País, Uruguay
1 de marzo de 2026
