Dictamen N° OF187341, de 2 de octubre de 2026

N° OF187341 Fecha: 02-10-2026 I. Antecedentes Don Iván Toro Olavarría, en representación de la sociedad Integración de Tecnologías ITQ Limitada (ITQ), solicita un pronunciamiento respecto de la determinación adoptada por el Servicio de Impuestos Internos (SII), en orden a imponerle una multa de 220 unidades de fomento (UF) por el incumplimiento del contrato celebrado en el marco de la licitación pública ID N° 1605-130-LR23, convocada por ese organismo para la provisión de “Servicios Integrales de Ciberseguridad”, específicamente por la tardanza en la reposición de los servicios de monitoreo a través de VPN, luego de la caída del sistema, ocurrida el día viernes 1 de noviembre de 2024. Requerido el SII, éste ha manifestado que su actuación se ajustó a derecho, y que todas las alegaciones formuladas por la empresa en la especie han sido analizadas y rechazadas por sus resoluciones N°s. 1.646, 3094 y 3.306, todas de 2025, por las razones que en ellas se detallan. II. Fundamento jurídico Sobre el particular, cabe señalar que el artículo 10 de la ley N° 19.886 disponía, en su inciso tercero y conforme al texto vigente a la data de la contratación en comento, que los procedimientos de licitación se debían realizar con estricta sujeción, de los participantes y de la entidad licitante, a las bases administrativas y técnicas que la regulen. El decreto N° 250, de 2004, del Ministerio de Hacienda -reglamento aplicable en la especie, atendida la fecha del contrato de que se trata-, preveía, en su artículo 22, N° 11, que las bases debían contener la determinación de las medidas a aplicar en los casos de incumplimiento del proveedor y de las causales expresas en que dichas medidas debían fundarse, así como el procedimiento para su aplicación. Luego, su artículo 79 ter preceptuaba, en su inciso primero, que, en caso de incumplimiento por parte de los proveedores de una o más obligaciones establecidas en las bases y en el contrato, la entidad podría aplicar multas, cobrar la garantía de fiel cumplimiento, terminar anticipadamente el contrato o adoptar otras medidas que se determinen, las que debían encontrarse previamente establecidas en las bases y en el contrato. Al respecto, la jurisprudencia administrativa contenida en los dictámenes N°s. 21.564, de 2019, y E140634, de 2025, ha precisado que, en virtud del principio de estricta sujeción a las bases, corresponde que, para determinar las multas en caso de incumplimiento del proveedor, así como el procedimiento para su aplicación, se debe estar a lo regulado en dichas bases. III. Análisis y conclusión Sobre el particular, cabe hacer presente que de acuerdo con el N° 1 del punto I) de las bases administrativas respectivas, el objeto del contrato en comento es asegurar la protección de los sistemas informáticos del SII en ambientes Internet e Intranet, por un período de 36 meses, y que dentro de los servicios contratados se contempla el servicio de centro de operación de seguridad (SOC), el cual corresponde al ítem 1 del componente 1. A su vez, en conformidad con el N° 1 de las bases técnicas “Es de responsabilidad de los oferentes proveer todos aquellos materiales, herramientas o equipos necesarios para el buen funcionamiento de los productos y servicios objeto de la presente licitación. Los componentes prestarán servicios sobre los dos data center en los cuales el SII posee sistemas de negocio On Premise, los cuales se encuentran ubicados en la Región Metropolitana y también en los ambientes de nube pública en los cuales el SII posea servicios instalados, los cuales corresponden actualmente a los ambientes MICROSOFT AZURE y Amazon AWS”. Asimismo, las bases técnicas establecen, en el N° 2.1, primer párrafo, que los servicios del componente 1 -dentro de los que se encuentra el SOC- “deben considerar los elementos de hardware (si aplica), software, configuración, puesta en marcha, administración, soporte, actualización, mantenimiento y acciones necesarias para hacer efectiva la protección de los activos del SII, tanto en los ambientes Onpremise del Servicio, así como en los ambientes de nube pública Amazon AWS y Microsoft Azure, en los cuales el SII disponibiliza los sistemas de negocio para usuarios internos/externos y contribuyentes en general”. En lo que concierne específicamente al SOC, dichas bases técnicas agregan, en su N° 2.1.1 que “El servicio requerido consiste en el monitoreo, detección, gestión, contención y respuesta de las incidencias de seguridad de la información y ciberseguridad que ocurran en las plataformas tecnológicas del SII”; y que el SOC “debe entregar permanentemente una mirada global de la situación y estado de la plataforma de seguridad, tanto a nivel on premise como a nivel de nube pública del SII, tomando y ejerciendo el rol de auditor. Debe gestionar e informar al SII sobre cualquier hallazgo o incidente que vaya dirigido a afectar o dañar algún recurso del SII o que sea utilizado por éste para la entrega de los servicios a la ciudadanía u otras entidades externas con las cuales debe intercambiar información”. Añade ese numeral que “Dicho servicio deberá ser integral, es decir, debe contemplar todas las herramientas de hardware y software necesarios que se requieran, como así mismo, interfaces que permitan visualizar resultados, patrones y gráficos interactivos que permitan tener una visión global de los eventos”. A continuación, ese numeral, después de señalar en el acápite Control que “Se debe contemplar el monitoreo permanente del servicio”, agrega, en el acápite Del servicio de monitoreo, que “El servicio debe contemplar un nivel de disponibilidad de 99,9% al año, lo que corresponde a un total de indisponibilidad de 8 horas 45 minutos como máximo. Este porcentaje considera el tiempo asociado a actividades de mantenciones preventivas”. Añade este último acápite, que “Se considera indisponibilidad cuando uno o más recursos de hardware y software, provistos para cumplir con el servicio SOC, afecta el envío o la recepción de registros de eventos desde los dispositivos de seguridad que los generan, o afecta el proceso de correlación avanzada de dichos eventos. El oferente debe contemplar todos los elementos de hardware y software para cumplir con el nivel de disponibilidad solicitado, como parte de una solución integral. Las indisponibilidades de uno o más de los dispositivos de seguridad que generan información al SOC, debe ser informada al SII a partir del monitoreo que el oferente realice de los mimos. Mediante esta información se medirán las indisponibilidades para la eventual aplicación de multas”. Asimismo, establece que “El servicio debe contemplar un tiempo máximo de 3 horas completas para reposición del servicio en caso de falla de algún recurso de hardware y software provisto para cumplir con el servicio de SOC, contadas desde el aviso por parte del SII vía telefónica respaldado mediante correo electrónico, u otro medio en el que quede constancia por escrito de la fecha y hora del aviso”. Por otra parte, el N° 4.2.1 del punto I) de las bases administrativas, sobre “Multas por atraso en la reposición de servicios de la componente 1 ítem 1 (SOC)”, prevé que se “contempla un máximo para la reposición de servicios de 3 horas, contadas desde el aviso del SII, respaldado por correo en donde quede constancia de la fecha y hora del aviso. En caso de no cumplir con el plazo señalado, se aplicará una multa de 3 UF cumplida la primera hora y el mismo monto por cada fracción de hora sucesiva. En caso de que el atraso exceda de 24 horas completas, el valor de la hora de atraso se aumentará a 5 UF. Ejemplo: para el caso de 25 horas de atraso la multa aplicada corresponderá a 125 UF”. Ahora bien, de los antecedentes tenidos a la vista se advierte que se produjo una caída del sistema de monitoreo del SOC el día viernes 1 de noviembre de 2024 a las 22:50 horas, el que se solucionó totalmente el domingo 3 de noviembre a las 21:30 horas. En tal contexto, el SII consideró que, descontando las 3 horas que, según las bases, la empresa ITQ tenía para reponer el servicio, el período de reposición se extendió por 43 horas y 40 minutos, por lo que procedió a aplicarle la multa correspondiente a 44 horas de atraso en la reposición de servicios del ítem 1 del componente 1, valorizando cada hora de atraso en 5 UF, en conformidad con lo previsto en el acápite 4.2.1. de las bases administrativas, lo que arrojó como resultado una multa ascendente a 220 UF. Es del caso consignar que, según las bases técnicas respectivas, la empresa ITQ se obligó a entregar un monitoreo permanente del servicio del centro de operación de seguridad, debiendo gestionar e informar cualquier evento que pudiera afectar algún recurso del SII o utilizado por éste para el ejercicio de sus funciones, debiendo contemplar todas las herramientas necesarias para la entrega de un servicio integral, el que suponía una disponibilidad de 99,9% al año, lo que implica que sólo se admitían 8 horas y 45 minutos de indisponibilidad, como máximo, plazo latamente sobrepasado por el incidente de enlace ocurrido en la especie. Así, considerando que ante el SII la empresa ITQ era la única responsable del cumplimiento de las obligaciones que contrajo, el hecho de que haya fallado el proveedor de internet de esta última para el abastecimiento de la comunicación necesaria para la prestación del servicio en análisis, es inoponible al SII. En consecuencia, en atención a que la falla en el enlace de comunicación impidió la transmisión de eventos en tiempo real, lo que, a su vez, imposibilitó el monitoreo continuo previsto en las bases, no se advierte irregularidad en la actuación del SII al aplicar la multa por la que se reclama en la especie (aplica dictamen N° 43.414, de 2014). En lo que atañe a la cuantía de dicha multa, cabe hacer presente que ésta fue calculada en los términos previstos en el acápite 4.2.1. de las bases administrativas respectivas, por lo que se desestima, asimismo, la alegación acerca de ese aspecto. Saluda atentamente a Ud., Por orden de la Contralora General de la República VÍCTOR HUGO MERINO ROJAS Subcontralor General