Cómo evaluar y comprar tecnología: preguntas frecuentes de bancos y fintechs

El mercado está lleno. Solo en México hay 795 fintechs (fuente: Finnovista Fintech Radar, La Jornada, 24 feb 2026). En Brasil, los bancos planean invertir R$ 50,400 millones en tecnología en 2026 (fuente: Febraban/Deloitte, 27 ago 2026).

El problema no es encontrar opciones: es filtrarlas. Muchas tecnologías especializadas no tienen presencia local, y eso complica compras, soporte y cumplimiento.

Los cinco pasos

1. Necesidad: qué problema, con qué métrica y qué sistemas intervienen.
2. Mercado: reducir de decenas a 2–4 candidatos que encajan de verdad.
3. Criterios: las mismas preguntas técnicas, regulatorias y comerciales para todos.
4. Prueba de concepto: resultados con tus datos, no con los del proveedor.
5. Contratación e implementación: contrato, factura y soporte en tu país y un plan de integración acordado.

Por qué con tus datos. Una demo muestra lo que la herramienta puede hacer en condiciones ideales. Una PoC con tus datos muestra lo que hará en tu operación, con tus formatos, tus volúmenes y tus casos difíciles.

Pasos

1. Objetivo y métrica: por ejemplo, alertas útiles frente a falsas o fraudes detectados frente a clientes bloqueados.
2. Muestra: datos históricos con casos confirmados.
3. Tratamiento de los datos: anonimización, acuerdo de confidencialidad y dónde se procesan.
4. Entorno y duración acotados.
5. Comparación contra tu sistema actual.
6. Decisión documentada.

Las reglas de datos también aplican en una prueba. En Brasil, la Resolución CMN 4.893 regula la contratación de procesamiento y almacenamiento de datos (fuente: Resolución CMN 4.893, actualizada por la CMN 5.274 de 2025).

Por qué importa. Para compras, legal y finanzas, un proveedor sin entidad local es un problema práctico:

• contratos con otra jurisdicción,
• facturación que no encaja con los procesos locales,
• soporte en otro horario o idioma.

Muchas buenas tecnologías se descartan por eso, no por su calidad.

Qué confirmar en un esquema con distribuidor local

• Quién responde ante un incidente y en qué plazo (niveles de servicio).
• Cómo se escala un problema al fabricante.
• Qué pasa si cambia la relación entre el distribuidor y el fabricante.
• Qué subcontratistas intervienen.

Brasil exige documentar la tercerización:

• La Resolución CMN 4.893 regula la contratación de procesamiento y nube (fuente: Resolución CMN 4.893, actualizada por la CMN 5.274 de 2025).
• La Resolución BCB 498, del 5 de septiembre de 2025, endurece las reglas para los proveedores de tecnología que conectan instituciones al sistema financiero (fuente: Legisweb).

Dónde se atascan los proyectos. El problema casi nunca es la solución: es la integración. Cores antiguos, interfaces poco documentadas y equipos internos con la agenda llena generan más retrasos que la tecnología nueva.

Buenas prácticas

• Empezar en modo observación o en paralelo, sin afectar la operación, cuando el tipo de solución lo permite.
• Documentar qué datos se intercambian y con qué frecuencia.
• Acordar responsables entre el proveedor, el integrador local y tu equipo.
• Incluir pruebas de integración y un plan de reversión.

Categorías de solución

• Arquitectura de integración.
• Middleware y gestión de APIs.
• Servicios de integración locales.

Qué pedir al proveedor antes de contratar

• Conectores existentes para tu core.
• Experiencia con sistemas similares.
• Un plan de integración con supuestos explícitos.

Las fases típicas

1. Evaluación y prueba de concepto.
2. Contratación y aprobaciones: compras, seguridad de la información, legal y, cuando aplica, aviso al regulador por tercerización.
3. Integración.
4. Calibración: por ejemplo, ajustar reglas y umbrales en antifraude o PLD, o probar la app protegida en todos los dispositivos.
5. Salida gradual a producción.
6. Estabilización.

Qué suele alargar el calendario

• Aprobaciones internas que empiezan tarde.
• Datos históricos difíciles de extraer.
• Equipos de integración compartidos con otros proyectos.

Una recomendación. Desconfía de un plazo sin supuestos. Pide que cada fase diga qué necesita de tu equipo y cuándo.

El riesgo de terceros ya no es teórico. En julio de 2025, en Brasil, un ataque a una empresa de tecnología que conectaba instituciones al sistema de pagos desvió cientos de millones de reales, y el Banco Central suspendió a tres instituciones de Pix (fuente: Agência Brasil, jul-2025). Después, la Resolución BCB 498 endureció las reglas para esos proveedores (fuente: Legisweb, 5 sep 2025).

Preguntas clave

• ¿Qué certificaciones y auditorías independientes tienes, y de qué fecha?
• ¿Dónde se procesan y guardan los datos?
• ¿Quién tiene acceso privilegiado y cómo se controla?
• ¿Cómo y en qué plazo nos avisas de un incidente?
• ¿Qué subcontratistas usas?
• ¿Qué pasa con nuestros datos al terminar el contrato?
• ¿Qué referencias podemos llamar?

Empieza por lo que ya cuesta. En México, en el primer trimestre de 2026 hubo 1 millón 515 mil reclamaciones por fraude, un 31.5% más que un año antes. Se reclamaron 5,201 millones de pesos y solo se devolvió el 24.3% (fuente: Condusef con datos de la CNBV, reportado por El Informador, 6 jul 2026). Cifras así ayudan a dimensionar el problema del sector. Tu caso, en cambio, debe apoyarse en tus propios números.

Ejemplo: el retorno de una solución antifraude. El costo real del fraude incluye las pérdidas no recuperadas, el costo operativo de investigar alertas y reclamos, los clientes que se van y el riesgo regulatorio. Método recomendado:

1. Línea base: pérdidas por tipo de fraude, costo de revisar cada alerta, tasa de rechazos a clientes legítimos y volumen de reclamos.
2. Prueba con datos propios: medir cuánto fraude adicional se detecta y cuántas alertas falsas se evitan.
3. Cálculo: pérdida evitada + horas ahorradas + menos rechazos, frente al costo total de la solución a varios años.
4. Sensibilidad: escenario conservador y escenario esperado.

Estructura recomendada del documento

1. El problema y su costo actual.
2. Las opciones consideradas, incluida la de no hacer nada.
3. El impacto esperado, basado en tu prueba de concepto y no en promedios de proveedores.
4. El costo total a 3 años.
5. Los riesgos y supuestos.
6. Las métricas de seguimiento.