Gestión de cambios y segregación de funciones en Fintech

Agosto 31, 2025 redtiseg
Off
Artículo

En muchas startups o fintech pequeñas, los desarrolladores tienen acceso directo a producción, realizan cambios “urgentes” y los administradores de bases de datos aplican ajustes sin aprobación formal.

Aunque esto acelera el negocio, representa riesgos críticos:

  • Cambios sin pruebas → fallas en producción.
  • Accesos irrestrictos → posibilidad de fraude interno.
  • Falta de evidencias → incumplimiento regulatorio y sanciones.

 

Por ello, la Circular ASFI/885/25 (Capítulo XI, Anexos 7 y 8) exige:

  • Procedimientos formales de gestión de cambios.
  • Separación de ambientes (desarrollo, prueba y producción).
  • Segregación de roles y accesos, para evitar concentrar poder en una sola persona.

  1. ¿Qué significa gestión de cambios para ASFI?

La gestión de cambios es la capacidad de controlar, registrar y aprobar todo ajuste que afecte sistemas, datos o procesos críticos.

Un procedimiento adecuado debe contemplar:

  1. Solicitud documentada del cambio.
  2. Análisis de impacto y riesgos.
  3. Aprobación por un responsable distinto al solicitante.
  4. Pruebas en un ambiente controlado.
  5. Despliegue en producción con plan de rollback.
  6. Verificación post-cambio y cierre documentado.

 

  1. Ejemplo práctico de flujo en una Fintech

  1. El desarrollador abre un ticket en Jira: “Actualizar API de pagos para soporte QR”.
  2. Seguridad evalúa el impacto en autenticación.
  3. El comité de cambios aprueba.
  4. QA prueba en ambiente de test con datos anonimizados.
  5. Release manager despliega mediante pipeline CI/CD en producción.
  6. Se verifican métricas y logs post-release.
  7. Se cierra el ticket con reporte firmado.

Evidencia típica: ticket de cambio, matriz de riesgos, logs de despliegue y acta de verificación.

  1. Segregación de funciones: principio clave

ASFI espera que ninguna persona pueda diseñar, aprobar y ejecutar un cambio crítico de manera individual.

Ejemplo de segregación mínima:

  • Dev: programa el código.
  • QA: valida y prueba.
  • Ops/Release: despliega.
  • Seguridad: revisa riesgos y accesos.
  • Comité/Gerencia: aprueba.

En equipos pequeños, esta segregación se puede lograr con roles rotativos o apoyo de proveedores, pero nunca con “superusuarios omnipotentes”.

  1. Herramientas que ayudan

  • CI/CD (GitLab, GitHub Actions, Jenkins): automatizan despliegues y generan trazabilidad.
  • ITSM (Jira, ServiceNow): centralizan tickets y aprobaciones.
  • PAM (Privileged Access Management): controlan y graban sesiones de administradores.
  • Vaults (HashiCorp Vault, AWS Secrets Manager): gestionan secretos y accesos.
  • Auditoría de código y despliegue: SonarQube, Checkov, OWASP tools.

  1. Evidencias que ASFI puede solicitar

  • Políticas de gestión de cambios y segregación de funciones.
  • Tickets documentados con aprobaciones y matrices de riesgo.
  • Evidencias de pruebas (QA logs, reportes de test).
  • Logs de despliegue y pipelines CI/CD.
  • Actas del comité de cambios.

  1. Errores comunes en Fintech

  • Ambientes sin separación real: pruebas realizadas en producción.
  • Cambios de emergencia no documentados: ajustes directos sin tickets.
  • Accesos privilegiados irrestrictos: un sysadmin con control total sin registros.
  • Rollback inexistente: cambios fallidos sin plan de reversión.
  • Pruebas superficiales: se validan solo escenarios ideales, sin considerar fallas.

  1. Buenas prácticas para cumplir sin frenar al equipo

  • Define un único canal oficial de cambios (tickets, no WhatsApp).
  • Diferencia entre cambios menores, mayores y de emergencia.
  • Usa pipelines para automatizar despliegues y generar trazabilidad.
  • Implementa revisiones rápidas de seguridad, pero obligatorias.
  • Realiza post-mortem de cambios fallidos para aprendizaje continuo.

Conclusión

La gestión de cambios y la segregación de funciones son la base de la confiabilidad operativa en fintech. Para ASFI, garantizan que los datos y sistemas no sean manipulados sin control; para tu empresa, significan menos incidentes, mayor orden y más confianza de clientes e inversionistas.

La regla de oro es clara: nadie debería poder cambiar un sistema crítico sin que alguien más lo sepa, lo apruebe y lo audite.

En REDTISEG apoyamos a fintech y PSAV en el diseño de procesos de gestión de cambios, segregación de funciones y preparación de evidencias regulatorias.

Escríbenos a contacto@redtiseg.com y agenda una asesoría para fortalecer tu estrategia de cumplimiento ante ASFI.

Artículo
Artículo