Fuente: Diario Oficial El Peruano.
TEXTO PAGINA: 111
111 NORMAS LEGALES Viernes 3 de julio de 2026 El Peruano / 5.3. La aprobación de la prestación de servicios BaaS, así como sus modi fi caciones, deben efectuarse en el marco de la normativa aplicable a la gestión de riesgos de nuevos productos y cambios importantes. En ese sentido, la empresa debe realizar una evaluación de riesgos por cada prestación de servicios BaaS y remitir a la Superintendencia el Informe de riesgos por nuevos productos o cambios importantes en el ambiente de negocios, operativo o informático, según lo establecido en la Circular N°G-165-2012. Esta obligación aplica tanto para nuevas contrataciones como para modi fi caciones que generen impactos relevantes en dichos ambientes. CAPÍTULO III RESPONSABILIDADES DEL PROVEEDOR DE SERVICIOS BAAS Artículo 6.- Responsabilidades del proveedor de servicios BaaS 6.1. El proveedor de servicios BaaS mantiene la responsabilidad frente a los clientes y ante la Superintendencia por el ofrecimiento de servicios fi nancieros señalados en el artículo 3 del presente Reglamento, sin perjuicio de los acuerdos contractuales que establezca con el receptor de servicios BaaS. 6.2. El proveedor de servicios BaaS debe gestionar los riesgos relacionados al modelo BaaS, según las disposiciones del Reglamento de Gobierno Corporativo y de la Gestión Integral de Riesgos, aprobado por la Resolución SBS N° 272-2017 y sus modi fi catorias. Dicha gestión debe considerar los siguientes aspectos: 1. Gestión del riesgo de crédito, incluyendo la evaluación y clasi fi cación del deudor, así como la remisión del Anexo N° 6 “Reporte Crediticio de Deudores – RCD”. 2. Gestión del riesgo operacional, que debe desplegarse sobre el conjunto de productos, servicios, procesos y/o canales vinculados al modelo BaaS y debe considerar: a) La gestión de los riesgos relacionados a los terceros intervinientes en la provisión de servicios BaaS, incluyendo a los receptores del servicio BaaS; b) En el caso de los productos pasivos, el acceso a los fondos mediante canales o esquemas alternativos habilitados por el proveedor ante la interrupción de operaciones del receptor de servicios BaaS; e c) Incorporar los servicios ofrecidos a través de este esquema en la gestión de incidentes operacionales, de eventos de pérdida por riesgo operacional y de fraudes, que se realiza en cumplimiento del Reglamento para la Gestión del Riesgo Operacional, aprobado por la Resolución SBS N° 2116-2009 y sus modi fi catorias, y del Reglamento para la Gestión de la Continuidad del Negocio, aprobado por la Resolución SBS N° 877-2020 y sus modi fi catorias. 3. Gestión de la seguridad de la información y ciberseguridad, en concordancia con los controles establecidos en el Reglamento para la Gestión de la Seguridad de la Información y la Ciberseguridad, aprobado por la Resolución SBS N° 504-2021 y sus modi fi catorias, asegurando: a) Que los controles de seguridad implementados en las interfaces, integraciones y fl ujos de datos del modelo BaaS sean consistentes con su marco interno de gestión de riesgos y con las disposiciones emitidas por la Superintendencia; b) Que exista supervisión continua sobre los receptores de servicios BaaS y los proveedores tecnológicos críticos que intervengan en la prestación de servicios BaaS, adoptando las medidas correctivas necesarias ante el incumplimiento de los estándares de seguridad establecidos, pudiendo disponer, respecto de los receptores de servicios BaaS, la suspensión del acceso a dichos servicios; y c) Que se reporte a la Superintendencia de los eventos o incidentes de seguridad que afecten la con fi dencialidad, integridad o disponibilidad de la información o que limiten el ofrecimiento de los servicios fi nancieros permitidos, con independencia del actor en cuya infraestructura tecnológica se haya originado el incidente. 4. Gestión de riesgo de lavado de activos y del fi nanciamiento del terrorismo, garantizando la debida diligencia del cliente, el acceso oportuno, completo y sin desfases de la información de las operaciones realizadas, así como la ejecución de medidas de bloqueo o inmovilización de cuentas y/o fondos cuando resulte aplicable el congelamiento de activos. 5. Gestión de conducta de mercado, asegurando la transparencia de la información, adecuadas prácticas de negocio y de gestión de reclamos para los clientes y potenciales clientes. Respecto de este último aspecto, se debe garantizar que tanto el proveedor de servicios BaaS como el receptor de servicios BaaS habiliten canales para la recepción de reclamos y requerimientos de los clientes respecto de los servicios ofrecidos a través del modelo BaaS. 6.3. El proveedor de servicios BaaS debe garantizar su identi fi cación inequívoca frente a sus receptores de servicios BaaS y clientes fi nales, quienes deben recibir la información necesaria para identi fi car sin ambigüedad al proveedor responsable de la provisión del servicio BaaS. Asimismo, el proveedor de servicios BaaS debe mantener un contrato independiente y vigente con cada receptor de servicios BaaS y asegurar que este le proporcione la información necesaria para el cumplimiento de la normativa aplicable, así como la trazabilidad de las operaciones y la delimitación de responsabilidades para efectos de supervisión por parte de la Superintendencia. Artículo 7.- Prohibiciones 7.1. Bajo el marco de la prestación de servicios BaaS, el receptor de servicios BaaS queda prohibido de usar en su razón social, en formularios y en cualquier medio en general, términos que induzcan a pensar que su actividad comprende operaciones que sólo pueden realizarse con autorización de la Superintendencia y bajo su fi scalización, de acuerdo con el numeral 4 del artículo 11 de la Ley General; siempre que no se encuentre autorizada para ello. 7.2. El receptor de servicios BaaS se encuentra prohibido de subcontratar los servicios recibidos del proveedor de servicios BaaS. 7.3. Los proveedores de servicios BaaS, para un mismo servicio fi nanciero, pueden suscribir contratos con más de un receptor de servicios BaaS a la vez. No obstante, queda prohibido que un proveedor de servicios BaaS celebre un contrato para prestar un mismo servicio fi nanciero que el receptor de servicios BaaS ya tenga contratado con otro proveedor bajo un acuerdo vigente. CAPÍTULO IV CONTRATO ENTRE EL PROVEEDOR DEL SERVICIO BAAS Y EL RECEPTOR DEL SERVICIO BAAS Artículo 8.- Contenido del contrato 8.1 El proveedor de servicios BaaS debe suscribir un contrato con el receptor de servicios BaaS que establezca expresamente la asignación de sus funciones y responsabilidades, conforme a lo dispuesto en el presente Reglamento. 8.2 El contrato debe contener cláusulas expresas sobre los siguientes aspectos: 1. El esquema de distribución de comisiones entre el proveedor de servicios BaaS y el receptor de servicios BaaS, sin perjuicio de las obligaciones de transparencia y no cobro de comisiones no autorizadas al cliente de parte del receptor de servicios BaaS. 2. Las responsabilidades del proveedor de servicios BaaS y del receptor de servicios BaaS con relación a la gestión del riesgo de crédito, riesgo operacional, riesgo de lavado de activos y fi nanciamiento del terrorismo