DORA – Directrices para la Gestión del Riesgo Financieros

Introducción

El Reglamento UE DORA (Digital Operational Resilience Act) representa un avance significativo para el sector financiero europeo, poniendo un fuerte énfasis en la gestión de riesgos en tecnología de la información y la comunicación (TIC) y la resiliencia operativa digital de las entidades financieras. Establecido como parte de la estrategia de la Unión Europea para la digitalización y la ciberseguridad, DORA tiene como objetivo garantizar que las entidades financieras puedan resistir, responder y recuperarse de incidentes cibernéticos y otras interrupciones operativas.

Los objetivos principales de DORA incluyen la creación de un marco normativo coherente que regule la resiliencia operativa digital, la mejora de la seguridad de los sistemas y la protección de los consumidores. Su alcance abarca no solo a las entidades financieras, sino también a proveedores de servicios TIC, generando un efecto de cadena en la preparación y respuesta a incidentes operativos. La importancia de contar con un marco robusto para la resiliencia operativa digital y la gestión del riesgo TIC se traduce en una mayor confianza del consumidor y en la estabilidad del sistema financiero en su conjunto.

Cuerpo principal

Gestión del riesgo TIC bajo DORA

Uno de los temas más críticos relacionados con DORA es el marco de gestión del riesgo TIC. Este marco exige a las entidades financieras implementar políticas y procedimientos claros para identificar, evaluar, gestionar y mitigar los riesgos asociados al uso de la tecnología. La gestión del riesgo TIC debe ajustarse a un enfoque basado en el riesgo, lo que implica la priorización de recursos y esfuerzos hacia las áreas más vulnerables.

Impactos operativos y retos de cumplimiento

La exigencia de una gestión formal del riesgo TIC conlleva varios impactos operativos. Las entidades deben establecer una cultura de gestión de riesgos que no solo esté alineada con su estrategia empresarial, sino que también responda a las expectativas regulatorias. Este proceso puede ser demandante, ya que implica la participación activa de la alta dirección y el desarrollo de un marco de gobernanza eficaz.

Entre los retos más comunes que enfrentan las entidades en este ámbito se encuentran la falta de un inventario actualizado de activos TIC, la escasa documentación de incidentes previos y la inadecuada integración de la gestión de riesgos en la planificación estratégica. La naturaleza dinámica del entorno digital exige que las entidades adapten sus políticas y enfoques a un ritmo acelerado, que frecuentemente no es alcanzado por las prácticas tradicionales de gestión de riesgos.

Expectativas regulatorias y brechas comunes

Las expectativas regulatorias bajo DORA son altas y se espera que las entidades demuestren que sus marcos de gestión del riesgo TIC son efectivos y que están implementando controles adecuados. Las brechas comunes en el cumplimiento incluyen la falta de evaluación regular de la efectividad de los controles existentes y la no consideración de las lecciones aprendidas de los incidentes pasados.

Sección práctica de cumplimiento

Para cumplir con los requisitos del Reglamento DORA, las entidades financieras deben adoptar una serie de acciones concretas:

1. Desarrollo de Políticas y Procedimientos:

   • Establecer políticas de gestión del riesgo TIC claras que incluyan directrices para la identificación y evaluación de riesgos.

2. Creación de un Marco de Control:

   • Implementar controles internos que permitan mitigar los riesgos identificados con procesos de monitoreo y reportes periódicos.

3. Documentación y Evidencias:

   • Mantener registros detallados de incidentes, evaluaciones de riesgo, auditorías internas y acciones correctivas. Esta documentación es clave para enfrentar inspecciones regulatorias.

4. Formación y Concienciación:

   • Llevar a cabo programas de formación continua y concienciación para todos los empleados sobre la importancia de la resiliencia digital y la gestión del riesgo TIC.

5. Pruebas de Resiliencia:

   • Realizar pruebas y simulaciones regulares que evalúen la capacidad de respuesta ante incidentes, asegurando que el plan de recuperación es efectivo y adecuado.

6. Relaciones con Terceros:

   • Implementar procedimientos para supervisar los riesgos relacionados con proveedores de servicios TIC y garantizar que también cumplan con las normas establecidas por DORA.

Buenas prácticas para demostrar el cumplimiento continuo de DORA

Algunas buenas prácticas que pueden ayudar a las entidades a demostrar su cumplimiento incluyen la adopción de un enfoque proactivo hacia la gestión de riesgos, el establecimiento de un comité de gobernanza de riesgos TIC que revise periódicamente las políticas y la creación de una cultura organizacional que promueva la gestión del riesgo como responsabilidad compartida.

Conclusión

El Reglamento UE DORA introduce requisitos clave para garantizar que las entidades financieras en Europa cuenten con procesos robustos de resiliencia operativa digital y gestión del riesgo TIC. Con un enfoque estructurado y continuo, las entidades no solo cumplirán con sus obligaciones regulatorias, sino que también fortalecerán su capacidad para enfrentar los desafíos digitales del presente y del futuro. Un compromiso firme con la resiliencia operativa es fundamental para mantener la confianza de los consumidores y la estabilidad del sistema financiero en general.