Gestión de Riesgos y Cumplimiento

Introducción

El Reglamento (UE) 2022/2554, conocido como DORA (Digital Operational Resilience Act), establece un marco normativo esencial para las entidades financieras de la Unión Europea, orientado a fortalecer la resiliencia operativa digital frente a incidentes relacionados con las tecnologías de la información y la comunicación (TIC). Este reglamento se erige como un componente clave de la estrategia de la UE para garantizar un sistema financiero robusto y seguro en un entorno cada vez más digitalizado.

Objetivos y alcance regulatorio

El principal objetivo de DORA es asegurar que los organismos financieros, incluidas las entidades de crédito, las empresas de inversión y otras entidades reguladas, estén adecuadamente preparados para enfrentar y recuperarse de cualquier incidente disruptivo en sus operaciones digitales. DORA se extiende a toda la cadena de suministro de servicios digitales, incluyendo proveedores de terceros, lo que implica un enfoque más integral a la gestión de riesgos TIC.

La importancia de la resiliencia operativa digital y la gestión del riesgo TIC radica en la capacidad de una entidad para operar de manera continua y eficiente, incluso cuando se presentan interrupciones. DORA busca establecer un estándar elevado en la protección de la infraestructura digital, promoviendo la confianza del cliente y la integridad del sistema financiero.

Cuerpo principal

Marco de gestión del riesgo TIC: Retos y expectativas regulatorias

Uno de los temas cruciales que aborda DORA es el marco de gestión del riesgo TIC. Este marco debe integrar procedimientos que permitan detectar, evaluar y mitigar riesgos asociados a sus operaciones digitales. La regulación establece que las entidades deben implementar un enfoque sistémico que contemple no solo la identificación de riesgos, sino también su adecuada respuesta y recuperación.

Impactos operativos y retos de cumplimiento

El cumplimiento de DORA presenta varios retos para las entidades financieras, como:

• Fragmentación de sistemas: En muchas organizaciones, la infraestructura digital incluye sistemas heterogéneos que pueden dificultar una gestión uniforme de riesgos.
• Gestión de proveedores: La dependencia de terceros para servicios críticos implica una necesidad reforzada de monitoreo y control.
• Internalización de procesos: Muchas entidades tendrán que reevaluar y, en algunos casos, rediseñar sus procesos internos para ajustarse a las exigencias del nuevo marco normativo.

Adicionalmente, los responsables de cumplimiento deben estar atentos a las expectativas regulatorias que demanda DORA, ya que las brechas en la documentación y la falta de procesos definidos pueden resultar en sanciones significativas.

Expectativas regulatorias y brechas comunes

Las entidades deberán demostrar que tienen un marco de gestión del riesgo TIC bien definido, que cubre:

1. Identificación: Establecimiento de un inventario de activos y sus vulnerabilidades.
2. Evaluación: Métodos adecuados para priorizar los riesgos en función de su impacto potencial.
3. Mitigación: Estrategias concretas para reducir la probabilidad y el impacto de los incidentes.

Las brechas comunes suelen estar relacionadas con la falta de integración de la gestión de riesgos en la estrategia empresarial global, la indefinición de roles y responsabilidades, y la falta de documentación adecuada para auditorías.

Sección práctica de cumplimiento

Acciones concretas que deben adoptar las entidades

Para asegurar el cumplimiento con DORA, las entidades financieras deben:

• Desarrollar políticas robustas que articulen la gestión del riesgo TIC, definiendo claramente los roles y responsabilidades.
• Implementar procedimientos concretos para la identificación y gestión de riesgos, incluyendo el monitoreo continuo de las capacidades de resiliencia operacional.

Políticas, procedimientos y marcos de control requeridos

Es esencial que las entidades creen y mantengan documentación que respalde sus procesos de gestión de riesgos, incluyendo:

• Planes de recuperación ante desastres que incluyan pruebas periódicas de funcionalidad.
• Protocolos para la notificación de incidentes a las autoridades pertinentes, incluyendo los criterios para clasificar la gravedad de los mismos.

Evidencias y documentación esperadas en auditorías o inspecciones

Durante auditorías o inspecciones, las entidades deben poder proporcionar evidencias claras de:

• Evaluaciones de riesgo realizadas y las respuestas implementadas.
• Resultados de las pruebas de resiliencia operativa y análisis postevaluación.

Buenas prácticas para demostrar el cumplimiento continuo de DORA

Algunas buenas prácticas que ayudan a mantener el cumplimiento continuo incluyen:

• Cesión de responsabilidades: Definir comités de gestión de riesgos que reúnan a representantes de diferentes áreas (TI, operaciones, compliance).
• Capacitación continua: Establecer programas de formación para el personal sobre la importancia de la resiliencia digital y la gestión de riesgos TIC.
• Actualización regular de procesos: Revisar y ajustar las políticas y procedimientos a medida que evoluciona el panorama de riesgos.

Conclusión

El Reglamento UE DORA marca un hito en la regulación del sector financiero europeo, estableciendo un marco robusto para la gestión del riesgo TIC y la resiliencia operativa digital. Las entidades financieras deben adoptar un enfoque estructurado y continuo ante la resiliencia digital que contemple desde la identificación de riesgos hasta su mitigación efectiva.

La clave para el éxito radica en la implementación de políticas y procedimientos claros, la preparación para auditorías rigurosas y la adaptación constante ante un ecosistema tecnológico en constante evolución. Las organizaciones que aborden estos requisitos de cumplimiento con seriedad no solo protegerán sus operaciones, sino que también fomentarán la confianza de sus clientes y contribuirán al fortaleza del sistema financiero en su conjunto.