Cuando la ciberseguridad falla, el ‘compliance’ responde: el nuevo desafío empresarial en América Latina

El caso de Costa Rica revela que el compliance y la ciberseguridad ocupan hoy un lugar central en el gobierno corporativo y en la agenda de las juntas directivas latinoamericanas

En 2022, Costa Rica enfrentó una crisis sin precedentes: una serie de ciberataques paralizó servicios públicos, afectó aproximadamente 26 instituciones gubernamentales y llevó a declarar una emergencia nacional. Según un informe del Banco Mundial, las pérdidas económicas se estimaron en alrededor del 2,4 % del producto interno bruto del país.

Este episodio evidenció una realidad que América Latina no puede ignorar: los riesgos tecnológicos dejaron de ser asuntos exclusivamente informáticos. Hoy comprometen la estabilidad institucional, la continuidad de servicios esenciales y la reputación.

El compliance debe evolucionar del control normativo posterior hacia una función estratégica de gobierno corporativo, capaz de anticipar riesgos, proteger operaciones y generar confianza.

La transformación digital y la inteligencia artificial (IA) hacen indispensable esa evolución. No basta con disponer de políticas, procedimientos y matrices de riesgos. Las organizaciones necesitan liderazgo, capacidades técnicas especializadas y decisiones oportunas que permitan gestionar la incertidumbre, mitigar los riesgos y activar los respectivos planes de acción antes de que estos escalen a una crisis potencialmente catastrófica.

América Latina: regulación, responsabilidad y desafíos institucionales

La región enfrenta el desafío de promover la innovación sin debilitar la protección de derechos fundamentales ni la responsabilidad empresarial. En Colombia, la Ley 1581 de 2012 establece el régimen general de protección de datos personales. Complementariamente, la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio impartió lineamientos sobre el tratamiento de datos personales en sistemas de IA.

Brasil, mediante la Ley General de Protección de Datos (LGPD), ofrece otro referente regional. En el ámbito comparado, el Reglamento Europeo de Inteligencia Artificial (UE 2024/1689) introduce un enfoque regulatorio basado en niveles de riesgo, especialmente relevante para sistemas que pueden afectar derechos, seguridad e infraestructura crítica.

Estos desarrollos plantean una pregunta fundamental: ¿quién responde cuando una decisión automatizada ocasiona perjuicios?

La utilización de algoritmos no elimina las obligaciones legales de las organizaciones. Por el contrario, exige fortalecer la trazabilidad, la supervisión humana, la transparencia y los mecanismos de rendición de cuentas, conforme al marco jurídico aplicable.

Si bien el Estado debe desarrollar capacidades regulatorias y de supervisión acordes con esta realidad. Las empresas, por su parte, no deberían esperar nuevas sanciones o disposiciones para adoptar estándares de gestión responsables, actualizados y que permitan una adecuada administración de la incertidumbre.

Infraestructura crítica: cuando la ciberseguridad protege vidas y operaciones

Para los sectores de hidrocarburos, energía y transporte, el desafío adquiere especial importancia.

La interconexión entre tecnologías de información y sistemas de control industrial aumenta la exposición a amenazas capaces de interrumpir operaciones estratégicas.

En 2021, el ciberataque contra Colonial Pipeline, en EE UU, provocó la suspensión temporal de operaciones de un importante oleoducto de combustibles. El episodio, documentado por el Banco Mundial, demostró que una afectación informática puede producir consecuencias operacionales y económicas que trascienden a la empresa.

En instalaciones industriales, estos escenarios también obligan a considerar la seguridad de las personas, la integridad de los activos y la protección ambiental.

La serie ISA/IEC 62443 proporciona referencias específicas para proteger sistemas de automatización y control industrial. Su relevancia consiste en integrar la seguridad tecnológica con las particularidades de los procesos operacionales.

Para una compañía de O&G, gestionar adecuadamente estos riesgos significa proteger simultáneamente la producción, la distribución, la seguridad industrial, el medioambiente y la continuidad del negocio.

Del estándar internacional a la decisión empresarial

Las normas internacionales ofrecen herramientas concretas para transformar el cumplimiento en capacidad organizacional.

La ISO 31000:2018 orienta la integración de riesgos en las decisiones estratégicas, la ISO 37301:2021 estructura los sistemas de cumplimiento y las normas ISO/IEC 27001:2022 e ISO/IEC 42001:2023 permiten gestionar, respectivamente, la seguridad de la información y los riesgos asociados con la IA. Asimismo, la ISO 22301:2019 fortalece la preparación y recuperación ante interrupciones, mientras la ISO 22316:2017 orienta el desarrollo de resiliencia organizacional.

Su verdadero valor no reside en acumular certificaciones, sino en traducir estos referentes en controles efectivos, responsabilidades definidas, ejercicios de crisis y decisiones verificables. El éxito de una debida administración de riesgos y compliance de hecho consiste en crear y sostener un sistema integrado de Enterprise Risk Management (ERM) y Busniness Continuity & Crisis Management (BC&CM) a la medida de las necesidades únicas y cambiantes de la organización sobre la cual se implementa y administra el sistema.

¿Qué deben exigir las juntas directivas?

La supervisión de riesgos tecnológicos ya no puede delegarse exclusivamente en las áreas de informática, jurídicas o de seguridad.

Las juntas directivas deben exigir a los responsables de las áreas de Riesgos y Cumplimiento, escenarios de riesgo actualizados, indicadores de exposición, planes de continuidad de negocio probados y mecanismos de responsabilidad sobre los sistemas automatizados existentes.

Esto demanda ejecutivos capaces de liderar equipos técnicos multidisciplinarios, comprender riesgos específicos, integrar conocimiento jurídico y operacional y actuar con anticipación, estrategia y experiencia en administración de crisis.

Un vicepresidente de Riesgos y Cumplimiento debe mantenerse a la vanguardia de una competencia global cambiante y de tecnologías que evolucionan a velocidades extraordinarias. Su aporte debe medirse por la capacidad de proteger los objetivos empresariales, fortalecer la toma de decisiones con elementos objetivos de información estratégica y generar confianza entre los grupos de interés garantizando la continuidad operativa y resiliencia.

La confianza exige decisiones, no declaraciones

Costa Rica demostró que una vulnerabilidad tecnológica puede convertirse en una crisis institucional. La lección para América Latina es inequívoca y, por supuesto, Colombia no es la excepción: la resiliencia no puede improvisarse cuando las operaciones ya están comprometidas.

Las juntas directivas deben incorporar la ciberseguridad, la gobernanza de la IA y la continuidad operacional como asuntos permanentes de su agenda, con responsables identificados, recursos suficientes y supervisión periódica. Los reguladores, a su vez, deben promover marcos proporcionales, técnicamente fundamentados y compatibles con la innovación.

El compliance ya no es reconocido únicamente por las infracciones que evite, sino por las crisis que contribuya a prevenir, la continuidad que asegure y la confianza que sea capaz de construir protegiendo la reputación frente a todos los stakeholders.

Nota editorial: Este análisis fue publicado originalmente en Ámbito Jurídico el 19 de octubre de 2026 y se reproduce sin modificaciones en su contenido.