La Directiva N.º 012-2025-OECE/CD no clasifica las infracciones en leves, graves y muy graves. Usa otro esquema: escalamiento por reincidencia. La primera vez, multa. La segunda, multa. La tercera, retiro temporal del registro.
Para un centro de arbitraje eso significa que la conversación sobre cumplimiento deja de ser sobre una multa puntual y pasa a ser sobre la continuidad del negocio.
Las cuatro conductas que tocan al sistema
De todo el catálogo, cuatro afectan directamente a la infraestructura informática:
| Conducta | 1.ª vez | 2.ª vez | 3.ª vez |
|---|---|---|---|
| Seguridad de la información — controles de acceso, autenticación, protección | Multa 4–5 UIT | Multa 4–5 UIT | Retiro temporal 3–12 meses |
| Gestión de incidentes tecnológicos — no comunicar el incidente | Multa 4–5 UIT | Multa 4–5 UIT | Retiro temporal 3–12 meses |
| Trazabilidad documental — fecha, hora, usuario, ingreso y salida | Multa 4–5 UIT | Multa 4–5 UIT | Retiro temporal 3–12 meses |
| Plataforma informática — gestión estructurada con trazabilidad integral | Multa 4–5 UIT | Multa 4–5 UIT | Retiro temporal 3–12 meses |
Hay dos cosas que conviene notar de esta tabla.
La primera: son cuatro supuestos independientes. Una misma situación puede encajar en más de uno. Un endpoint que sirve documentos sin autenticación es, a la vez, un fallo de seguridad de la información y —si no se comunica— un incumplimiento del deber de comunicar incidentes. Son dos infracciones, no una.
La segunda: el retiro temporal de 3 a 12 meses no es teórico. Para una institución inscrita como de mayor envergadura, es una interrupción que los clientes institucionales no perdonan.
Las medidas provisionales
Además de la sanción al final del procedimiento, iniciado un procedimiento administrativo sancionador pueden dictarse medidas provisionales, entre ellas la suspensión provisional de los efectos del registro.
Es decir: el efecto puede llegar antes de que haya una resolución que declare la responsabilidad. Y a eso se suma lo que ya vimos de la Directiva 011: no atender un requerimiento de información en plazo es, por sí solo, causal de suspensión temporal inmediata.
La palanca: subsanación voluntaria
Esta es la parte que compensa las anteriores, y la que menos se conoce.
La Directiva 012 obliga al instructor a evaluar la subsanación voluntaria. Y por remisión al artículo 257 del TUO de la Ley del Procedimiento Administrativo General, subsanar la conducta antes de la notificación de la imputación de cargos opera como eximente de responsabilidad. Después de esa notificación, ya solo funciona como atenuante.
La infracción es objetiva: no haberlo hecho a propósito no exime. Pero haberlo corregido a tiempo, sí puede.
De ahí se sigue una conclusión operativa muy concreta: si su centro tiene hoy un problema conocido —documentos accesibles sin autenticación, ausencia de respaldos, mesa de partes fuera del sistema—, la ventana útil para actuar es ahora, no cuando llegue la carta.
Y hay que hacerlo de una forma específica: corregir y dejar constancia fechada de la corrección. Un parche sin evidencia de cuándo se aplicó no le sirve para acreditar la subsanación. Un registro de auditoría que muestre la fecha del cambio, un informe técnico fechado y firmado, y la prueba de que el comportamiento anterior ya no existe, sí.
Cómo se convierte el software en defensa
Un procedimiento sancionador se resuelve con evidencia. Estas son las cuatro que más pesan y que un sistema bien construido produce solo:
Registro de auditoría inalterable. Que muestre cuándo se hizo cada cosa. Si el registro es una tabla editable por el administrador, la contraparte —o el instructor— puede cuestionarlo. Si está encadenado por hash y protegido por el motor de base de datos contra modificación, no.
Documentación del incidente con sus tres fechas. Detección, reporte al OECE y cierre con medidas. Esto es lo que separa «tuvimos un incidente y lo gestionamos» de «tuvimos un incidente».
Constancias de notificación verificables. Que acrediten la trazabilidad documental exigida, sin depender de la palabra del centro.
Respaldos con historial. No solo que existan: que se pueda mostrar cuándo se hicieron.
Una lectura menos alarmista
Nada de esto significa que el OECE esté buscando sancionar. Significa que el marco cambió y que la evidencia dejó de ser opcional.
Un centro que hoy tiene su expediente electrónico ordenado, su registro de auditoría verificable, sus incidentes documentados y sus requerimientos contestados en plazo no tiene por qué preocuparse por esta tabla. La tabla existe para el que no los tiene.
La pregunta útil no es «¿cuánto me pueden multar?». Es: si mañana me piden acreditar la trazabilidad de tres expedientes elegidos al azar, ¿cuánto tardo?
Análisis informativo sobre el texto de la Directiva N.º 012-2025-OECE/CD y normas concordantes, incluido el TUO de la Ley del Procedimiento Administrativo General. No constituye asesoría legal: la calificación de cada conducta y la estrategia de defensa corresponden al abogado del centro.