DORA – Normativa sobre Gestión de Riesgos y Cumplimiento Financiero

Introducción

El Reglamento (UE) 2022/2554, comúnmente conocido como DORA (Digital Operational Resilience Act), marca un hito en la regulación del sector financiero europeo, estableciendo requisitos claros para garantizar la resiliencia operativa digital de las entidades financieras y proveedores de servicios TIC. Su objetivo principal es asegurar que estas organizaciones sean capaces de resistir, recuperarse y evolucionar ante incidentes relacionados con sus sistemas operativos y de información.

DORA se aplica a un amplio espectro de entidades, incluidos bancos, compañías de seguros, gestoras de activos y proveedores de servicios tecnológicos. Su enfoque regulatorio establece un marco riguroso para la gestión del riesgo TIC (Tecnologías de la Información y la Comunicación) y la resiliencia operativa digital, elementos que se han vuelto cruciales en un entorno marcado por la creciente complejidad y digitalización de los servicios financieros.

La importancia de la resiliencia operativa digital y la gestión del riesgo TIC dentro del contexto de DORA radica en la necesidad de que estas organizaciones no solo cumplan con los requisitos normativos, sino que también fortalezcan su capacidad de respuesta ante un mundo cada vez más incierto y disruptivo.

Marco de Gestión del Riesgo TIC

Uno de los pilares fundamentales de DORA es el establecimiento de un marco de gestión del riesgo TIC. Esto implica que las entidades deben identificar, evaluar, gestionar y mitigar los riesgos tecnológicos de manera integrada y eficiente. Uno de los impactos operativos más significativos del DORA es la obligación de las entidades financieras de implementar un enfoque holístico que contemple tanto la identificación de riesgos como su clasificación y gestión.

Impactos Operativos y Retos de Cumplimiento

La adecuación a estos requisitos no está exenta de desafíos. Muchas entidades financieras pueden encontrar dificultades al integrar su marco de gestión del riesgo TIC en sus operaciones diarias. Los principales retos incluyen:

• Identificación de riesgos emergentes: La rápida evolución de la tecnología dificulta la identificación proactiva de nuevos riesgos asociados con los sistemas y las operaciones.

• Recursos limitados: Las entidades más pequeñas a menudo carecen de la infraestructura y el personal adecuados para cumplir con las exigencias normativas.

• Integración de sistemas: La interconectividad de los sistemas TI con terceros puede resultar en vulnerabilidades que son complicadas de gestionar y supervisar de manera efectiva.

Las expectativas regulatorias bajo DORA son elevadas, y una de las brechas comunes observadas es la falta de alineación entre las estrategias de gestión del riesgo TIC y las estrategias de negocio de las entidades.

Sección Práctica de Cumplimiento

Acciones Concretas que Deben Adoptar las Entidades

Para cumplir con DORA, las entidades deben adoptar varias acciones concretas:

1. Desarrollo de Políticas de Gestión del Riesgo TIC: Estas deben articular un enfoque claro para la identificación, evaluación y mitigación de riesgos tecnológicos.

2. Implementación de Procedimientos Estandarizados: Los procedimientos operativos deben ser actualizados y estandarizados para asegurar que todos los empleados estén alineados con las políticas de gestión del riesgo TIC.

3. Establecimiento de Marcos de Control Internos: Los marcos de control deben incluir la supervisión continua de la efectividad de las estrategias de gestión del riesgo.

Evidencias y Documentación Esperadas en Auditorías

En las auditorías o inspecciones, se espera que las entidades proporcionen documentación que demuestre:

• La implementación de políticas y procedimientos de gestión del riesgo TIC.
• Informes de incidentes y su clasificación para evaluar la severidad de cada caso.
• Resultados de pruebas de resiliencia operativa digital realizadas periódicamente.

Buenas Prácticas para Demostrar el Cumplimiento Continuo

1. Realización de Pruebas Regulares: Implementar pruebas de resiliencia operativa que evalúen la efectividad de las medidas adoptadas.

2. Capacitación Continua: Capacitar regularmente a los empleados sobre las políticas de gestión del riesgo y los procedimientos establecidos.

3. Revisión y Actualización de Políticas: Asegurar que las políticas se revisen periódicamente para reflejar cambios en el entorno regulatorio o en la infraestructura tecnológica.

Conclusión

El Reglamento UE DORA representa un cambio significativo en la forma en que las entidades financieras deben abordar la resiliencia operativa digital y la gestión del riesgo TIC. Cumplir con sus exigencias no solo es una cuestión de evitar sanciones, sino que también es vital para garantizar la continuidad del negocio en un entorno cada vez más complejo y digitalizado.

El enfoque estructurado y continuo en la resiliencia digital no solo protege a las organizaciones contra posibles incidentes, sino que también les permite adaptarse y prosperar en un mercado en constante evolución. La inversión en capacidades de resiliencia operativa se traduce en una ventaja competitiva y en una mayor confianza por parte de los clientes y partes interesadas.