#risk-assessment
Assess financial risks and implement mitigation strategies
En el primer semestre de 2026, las grandes cuentas comerciales vieron caer las primas un promedio de 2.7% mientras que las cuentas de pequeñas empresas subieron alrededor de 1.1%, impulsado por los pisos de prima mínima, la exposición a catástrofes y el endurecimiento de las tarifas de responsabilidad civil que compensa el alivio en el lado de la propiedad.
El 73% de las firmas contables ya usa herramientas de IA, pero solo el 37% cuenta con alguna capacitación formal en IA, y que el personal pegue datos de clientes en chatbots de consumo puede activar obligaciones de notificación de filtración de datos bajo la Regla de Información Confidencial del Cliente de la AICPA — esto es lo que realmente debe cubrir una política de IA de dos páginas, práctica y usable, para una firma contable pequeña.
Un informe SOC 2 Tipo II del primer año para una empresa SaaS de 10 a 50 personas suele costar entre $25,000 y $80,000 en total, y la tarifa de auditoría en sí cubre solo alrededor del 40 % de ese monto — el resto corresponde a trabajo interno y de preparación.
CIRCIA exige que las entidades cubiertas reporten incidentes cibernéticos sustanciales a CISA en un plazo de 72 horas y los pagos de ransomware en 24 horas, con la regla final prevista para el otoño de 2026 y una cobertura estimada de más de 300,000 organizaciones en 16 sectores de infraestructura crítica.
El IC3 del FBI registró $3.05 mil millones en pérdidas por compromiso de correo electrónico empresarial en 2025, y solo el 25% de las pequeñas empresas cuenta con un mecanismo de denuncia de irregularidades frente al 85% de las grandes empresas. Así es como se desarrollan la suplantación de proveedores, el desvío de nómina y el fraude con cheques, y los controles que los detienen antes de que salga la transferencia.
El acuerdo de 2025 del Departamento de Justicia con RealPage y las nuevas leyes de 2026 en Nueva York, Maryland y California significan que las pequeñas empresas que usan herramientas de precios algorítmicos —desde repricers de Amazon hasta software de alquiler a corto plazo— ahora enfrentan un riesgo real de cumplimiento antimonopolio y de divulgación, no solo los grandes arrendadores.
Botkeeper, una plataforma de contabilidad con IA que recaudó casi $90 millones en 11 años, cerró en cuestión de semanas tras perder entre el 30% y el 40% de sus ingresos cuando importantes firmas contables clientes se consolidaron, dejando a cientos de firmas luchando por encontrar una infraestructura de contabilidad de reemplazo y exportar sus datos antes de que se cortara el acceso.
La prueba de NerdWallet en 2026 sobre ChatGPT, Gemini y Perplexity encontró que los tres chatbots casi aprobaron preguntas fiscales estilo examen del IRS, pero cometieron errores costosos en asesoría personalizada — calcularon mal la deducción estándar por casi $3,000, afirmaron una elegibilidad indebida para el crédito de vehículos eléctricos y recomendaron el estado de declaración incorrecto — lo que demuestra que la IA es confiable para búsquedas factuales pero no para decisiones fiscales específicas de cada caso.
Desde el 8 de julio de 2026, la CPSC exige que los importadores presenten electrónicamente los datos del certificado de cumplimiento directamente en el sistema ACE de la CBP para cada envío regulado, con sanciones que pueden llegar hasta 120,500 dólares por infracción.
La quiebra de Synapse Financial Technologies en abril de 2024 dejó atrapados más de $265 millones pertenecientes a más de 100,000 clientes de empresas fintech, a pesar de que sus fondos estaban en bancos asegurados por la FDIC, porque el libro contable intermedio que rastreaba quién era dueño de qué dentro de las cuentas mancomunadas "FBO" colapsó, exponiendo una brecha entre el seguro de depósitos y la infraestructura de banking-as-a-service que sigue en gran parte sin resolverse a mediados de 2026.
Una orden ejecutiva del 19 de mayo de 2026 acerca aún más a bancos y fintechs, reavivando los riesgos de las alianzas por capas que expuso el colapso de Synapse en 2024: esto es lo que los dueños de pequeñas empresas deben vigilar y hacer antes de que lleguen los plazos regulatorios de 90 y 180 días en agosto y noviembre de 2026.
El período de transición de PCI DSS 4.0 finalizó el 31 de marzo de 2025, por lo que toda evaluación de comerciantes a partir de 2026 en adelante ahora exige monitoreo obligatorio de scripts de páginas de pago, MFA para todo acceso a datos de titulares de tarjetas y escaneos internos de vulnerabilidades autenticados. El incumplimiento conlleva multas mensuales de $5,000 a $100,000 por parte de los bancos adquirentes, más un costo promedio de violación de datos adicional de $173,692 según la investigación de IBM.
