Un marco RPAA que su PSP puede operar, probar y mostrar al Banco de Canadá
El marco de riesgo operativo RPAA y de respuesta a incidentes es una obligación supervisada para todo proveedor de servicios de pago (PSP) registrado ante el Banco de Canadá desde el 8 de septiembre de 2025. Lo construimos en torno a cómo funciona realmente su negocio de pagos: objetivos de fiabilidad, controles, un plan de incidentes probado, evaluaciones de terceros y avisos, con documentos que resisten cuando el Banco pide evidencias.
Marco, plan de incidentes, calendario de revisiones
Fuentes
5
Fuentes verificadas
23.10.2026
Consulta a un socio · respuesta por escrito en 24 horas
Qué exigen las Retail Payment Activities Regulations sobre riesgo operativo
El artículo 17 de la Retail Payment Activities Act obliga al PSP a establecer, aplicar y mantener un marco de gestión de riesgos y respuesta a incidentes. Los artículos 5 a 10 del reglamento (SOR/2023-229) fijan su contenido, y la directriz del Banco de Canadá sobre riesgo operativo y respuesta a incidentes fija las expectativas de supervisión.
El registro de PSP ante el Banco se abrió el 1 de noviembre de 2024; los requisitos del marco entraron en vigor el 8 de septiembre de 2025.
Elementos que debe contener el marco
El artículo 5 del reglamento los enumera:
objetivos de integridad, confidencialidad y disponibilidad, con objetivos de fiabilidad e indicadores medibles;
roles y responsabilidades, con un alto directivo que supervisa el cumplimiento de los artículos 6 a 10;
causas del riesgo operativo, incluidas ciberseguridad, fraude, terceros, cambios y continuidad;
controles, supervisión continua y planes para incidentes y eventos anómalos.
Cada elemento es proporcional al impacto posible en usuarios finales y otros participantes (art. 5(2)).
Objetivos de fiabilidad RPAA, pruebas y revisión anual
Un marco funciona cuando cada objetivo tiene un indicador, cada riesgo un control y un responsable, y el plan de incidentes se ha ensayado. El Banco revisa el mantenimiento con el mismo cuidado que el documento.
El reglamento fija el ritmo tras la aprobación:
Aprobación. El alto directivo, y el consejo si existe, aprueban el marco al menos una vez al año y tras cada cambio material (art. 5(6)).
Revisión. Al menos una vez al año y antes de cualquier cambio material, el PSP revisa el marco, registra las conclusiones y las comunica al alto directivo (art. 8).
Pruebas. El PSP fija su metodología, frecuencia y alcance de pruebas, prueba antes de los cambios materiales y conserva los registros (art. 9).
La directriz del Banco espera objetivos de disponibilidad acordes con el modelo de negocio; elegimos indicadores que usted pueda medir de verdad.
Notificación de incidentes de un PSP al Banco de Canadá: el plazo de 48 horas
Cuando un incidente tiene un impacto material en usuarios finales, en otro PSP o en una cámara de compensación, el PSP debe avisarles a ellos y al Banco sin demora (art. 18 de la RPAA). El Banco espera el aviso inicial a más tardar 48 horas después de que el PSP determine que el incidente es material.
Al Banco (art. 11 del reglamento): por su sistema electrónico, con contacto, descripción, impacto material y medidas adoptadas; un aviso final sigue cuando se conocen la causa raíz y el impacto.
A usuarios finales y otros participantes (art. 12): a cada persona afectada de forma material en sus últimos datos de contacto, o en el sitio web del PSP, con los pasos que pueden dar ellos mismos.
El plan del art. 5(1)(i) asigna de antemano quién escala, investiga, contiene el daño e informa a cada parte. Si hay información personal en juego, las reglas de brechas de PIPEDA corren en paralelo; ese caso lo tratamos en nuestra página de respuesta a incidentes.
Evaluación de proveedores terceros RPAA y revisión independiente cada tres años
El PSP evalúa a sus proveedores de servicios terceros al menos una vez al año y antes de firmar o renovar un contrato, y conserva los registros (art. 5(3)). Los PSP que tienen auditor interno o externo necesitan además una revisión independiente del marco al menos cada tres años (art. 10).
El alojamiento en la nube, el procesamiento, los proveedores de KYC y el soporte externalizado entran en el ciclo de evaluación; los agentes y mandatarios se evalúan cada año con criterios definidos (art. 5(4)).
Quién puede hacer la revisión independiente
El revisor necesita competencia suficiente y ningún papel en la construcción o el funcionamiento del marco; puede ser un empleado o un tercero. Si nosotros construimos su marco, lo revisa otra parte, y nosotros preparamos las evidencias.
Cómo preparamos a un PSP para la supervisión RPAA
Trazamos el mapa de sus actividades de pago y sistemas, redactamos el marco sobre procesos reales y cerramos las brechas, con una carta de alcance de contenido cerrado.
Mapa de actividades. Qué funciones de pago del art. 2 de la RPAA realiza, en qué sistemas y con qué proveedores.
Revisión de brechas frente a los artículos 5 a 10 y la directriz del Banco.
Documentos. Marco, objetivos de fiabilidad, plan de incidentes, registro de terceros, metodología de pruebas.
Correcciones. Accesos, MFA, copias con restauración probada, registro de eventos; el trabajo técnico presencial en Canadá puede hacerse a través de itopsi.com, la marca de TI del grupo.
Ejercicio de simulación del plan de incidentes con su equipo.
Un marco de riesgo operativo y respuesta a incidentes alineado con los artículos 5 a 10 del reglamento
Objetivos de fiabilidad e indicadores que puede medir en sus propios sistemas
Un plan de incidentes con roles, escalada y borradores de avisos, ensayado en un ejercicio
Un registro de terceros y agentes con evaluaciones y fechas de la próxima revisión
Qué necesitamos de usted
Sus actividades de pago minoristas y los datos de su registro como PSP
El alto directivo responsable del marco y la persona que gestiona su TI
Acceso de lectura a las configuraciones clave, según una lista acordada
Una carta de alcance firmada antes de cualquier revisión
Límites del trabajo
El Banco de Canadá supervisa; nosotros preparamos al PSP para sus peticiones y revisiones
Su alto directivo y su consejo aprueban el marco, y usted presenta cada aviso e informe al Banco
El dictamen jurídico sobre el cumplimiento de la RPAA corresponde a un abogado; nosotros cubrimos la parte técnica y organizativa
Respondemos de la exactitud de los documentos y de las medidas ejecutadas; las conclusiones del Banco son suyas
Riesgos de prepararse por cuenta propia, con un chatbot o con un freelance
Por cuenta propia
El marco se escribe una vez para el registro y se aleja de los sistemas reales; la revisión anual se aplaza hasta que el Banco pregunta.
Chatbot
Produce texto fluido y genérico, sin sus proveedores ni referencias a artículos, que su alto directivo firma.
Freelance
Trae una plantilla bancaria que ignora el modelo PSP y el aviso en 48 horas, y accede a sistemas sin carta de alcance.
Preguntas frecuentes
Todo proveedor de servicios de pago con actividades de pago minoristas registrado ante el Banco de Canadá conforme a la RPAA; el registro es previo a esas actividades (art. 23). Los requisitos se aplican desde el 8 de septiembre de 2025. La profundidad crece con el tamaño del PSP, y los elementos obligatorios son los mismos para todos.
La ley dice sin demora, y el Banco ha aclarado que el aviso inicial vence a más tardar 48 horas después de que el PSP determine que el incidente es material. Un aviso final sigue cuando se conocen la causa raíz y el impacto. Los usuarios finales y participantes afectados reciben el aviso directamente o a través del sitio web del PSP.
Según la directriz del Banco, la revisión independiente cada tres años se aplica a los PSP que usan con regularidad un auditor interno o externo; un encargo puntual para una prueba concreta no cuenta. La revisión interna anual se aplica a todos los PSP. Le ayudamos a confirmar si está dentro y preparamos las evidencias en cualquier caso.
El precio depende de cuántas funciones de pago, sistemas y proveedores tiene, de las políticas existentes y de si necesita correcciones técnicas y un ejercicio de simulación. Tras una consulta de pago de 30 minutos fijamos el alcance y un precio cerrado en una carta de alcance, con las preguntas posteriores sobre los mismos documentos incluidas.
Anote cuándo determinó que el incidente era material y cumpla el plazo de 48 horas del aviso inicial. Conserve intactos los registros y los sistemas afectados. Después contacte con nosotros: le ayudamos a reunir los hechos para los avisos, a contener el daño y, a continuación, a construir el marco.
