La transformación digital del sistema financiero chileno da un paso crucial con la entrada en vigor de la Norma de Carácter General N°538 (NCG 538), emitida por la Comisión para el Mercado Financiero (CMF). Esta nueva regulación establece estándares mínimos de seguridad, autenticación y registro para emisores de medios de pago y prestadores de servicios financieros. Su aplicación comienza oficialmente el 1 de agosto de 2025, con requisitos obligatorios adicionales que se activarán a partir del 1 de julio de 2026.

¿Por qué esta norma es tan importante?

La NCG 538 surge como respuesta a un entorno cada vez más digitalizado y complejo, donde los ataques de phishing, malware y suplantación de identidad son amenazas reales para millones de usuarios financieros. En este contexto, la CMF busca fortalecer la confianza del público y asegurar que las entidades financieras cuenten con mecanismos modernos, seguros y eficaces para proteger a sus clientes.

¿A quiénes afecta?

Esta norma se aplica a todas las entidades reguladas bajo la Ley N°20.009:

• Bancos
• Sociedades de apoyo al giro bancario
• Empresas emisoras de tarjetas de pago
• Cooperativas de ahorro y crédito fiscalizadas por la CMF

Estas entidades están obligadas a implementar mecanismos de autenticación reforzada (ARC) en diversas operaciones críticas y a cumplir con requisitos técnicos específicos relacionados con la integridad, disponibilidad y confidencialidad de sus sistemas.

Nuevos estándares de autenticación: ¿qué es ARC?

La autenticación reforzada de cliente (ARC) consiste en exigir al menos dos factores de autenticación independientes de distintas categorías:

• 🔐 Conocimiento: algo que el usuario sabe (ej. clave secreta, PIN)
• 📱 Posesión: algo que el usuario tiene (ej. token OTP, smartphone, tarjeta)
• 🧬 Inherencia: algo que el usuario es (ej. biometría: huella, rostro, voz)

El objetivo es que el sistema pueda verificar la identidad de forma inequívoca y mitigar riesgos como el robo de claves o la suplantación digital.

Casos en los que el uso de ARC es obligatorio

A partir del 1 de julio de 2026, será obligatorio implementar autenticación reforzada en:

• Todas las transferencias electrónicas de fondos, incluidas modificaciones de datos asociados a destinatarios y pagos recurrentes.
• Procesos de incorporación de clientes en canales digitales.
• Modificación de datos personales y claves.
• Enrolamiento y reemplazo de dispositivos de confianza.

Además, los emisores pueden utilizar ARC en cualquier otra operación de riesgo, según su política interna de gestión de riesgos.

El fin de las tarjetas de coordenadas

Uno de los aspectos más destacados de esta norma es que prohíbe expresamente el uso de mecanismos de autenticación basados en conjuntos de datos impresos, como las tarjetas de coordenadas. Esto se debe a que:

• ❌ No cumplen con el principio de autenticación reforzada (solo utilizan un factor).
• ❌ Son vulnerables al phishing y a la clonación física.
• ❌ No tienen trazabilidad ni mecanismos de expiración o bloqueo.

¿Qué deben implementar los bancos?

Las instituciones que aún usan este método deberán migrar hacia alternativas modernas, como:

• Aplicaciones móviles de autenticación con OTP dinámico
• Sistemas biométricos (rostro, huella)
• Dispositivos de confianza enrolados electrónicamente

💡 Este cambio no solo es una exigencia regulatoria, sino una oportunidad para modernizar la experiencia del cliente y robustecer los canales digitales frente al fraude.

Obligaciones y sanciones

Los emisores serán responsables por los perjuicios causados a los usuarios si incumplen los estándares exigidos por la norma. La CMF tiene facultades para fiscalizar y sancionar según el Decreto Ley N°3.538. Por lo tanto, el incumplimiento no solo expone a la empresa al riesgo reputacional, sino también a consecuencias legales.

---

Fechas clave

• 1 de agosto de 2025: Entrada en vigor de la norma
• 1 de julio de 2026: Inicio obligatorio de ARC en operaciones críticas

Conclusión: avanzar hacia una banca más segura

La NCG 538 marca un punto de inflexión en la madurez digital del sistema financiero chileno. Obliga a las instituciones a dejar atrás tecnologías obsoletas y adoptar herramientas más robustas, que ayuden a proteger tanto la identidad como los fondos de sus clientes.

✨ Para las empresas del sector financiero, el mensaje es claro: es hora de evolucionar en seguridad, no solo para cumplir la normativa, sino para entregar experiencias digitales más seguras, modernas y confiables.